Исчезающие сообщения могут уменьшить объём истории разговоров, сохраняемой на участвующих устройствах. Они не гарантируют исчезновения каждой копии сообщения, а таймер не является сертификатом очистки данных, исключающей криминалистическое восстановление.
Полезный вопрос не в том, «настоящее» удаление или «ненастоящее». Он звучит так: какая копия удаляется, из какого хранилища и при каких предположениях? Видимый чат приложения, его локальная база данных, скачанное вложение и снимок экрана у получателя — разные копии.
Что может таймер исчезающих сообщений
Таймер указывает взаимодействующему программному обеспечению, когда удалять содержимое по правилам продукта. Эти правила могут различаться: отсчёт может начинаться при отправке или прочтении, настройка может относиться только к новым сообщениям, а связанные устройства могут отдельно обрабатывать задержанную доставку.
В руководстве Signal по исчезающим сообщениям прямо предупреждается, что эта функция не защищает от получателя, желающего сохранить запись. Это ограничение действует независимо от тщательности реализации локального удаления.
Получатель может сфотографировать экран, скопировать отрывок или сохранить файл до истечения срока. Вредоносное ПО с доступом к открытому тексту может сделать то же самое, не ожидая, пока человек сделает снимок экрана.
Почему удаление из хранилища сложнее удаления пузырька сообщения
Удаление записи базы данных или файла не обязательно сразу перезаписывает все физические участки, где они когда-либо находились. Базы данных, временные файлы, резервные копии и управление флеш-памятью могут усложнять удаление. Однако это не доказывает, что каждое удалённое сообщение на любом современном телефоне легко восстановить.
Возможность восстановления зависит от приложения, операционной системы, шифрования хранилища, доступности ключей, состояния устройства и возможностей атакующего. Утверждения о конкретном приложении требуют доказательств для этого приложения и версии, а не общего высказывания о SQLite или флеш-памяти.
Что добавляет криптографическое стирание
Криптографическое стирание направлено на то, чтобы сделать зашифрованные данные недоступными путём надёжного уничтожения необходимых для расшифрования ключей. NIST рассматривает этот подход в действующем руководстве по очистке носителей SP 800-88 Revision 2.
Для архитектуры обмена сообщениями его полезность зависит от нескольких условий:
- Целевое содержимое было надлежащим образом зашифровано перед сохранением.
- Удалённый ключ действительно необходим для восстановления этого содержимого.
- Никакой сохранившийся ключ, резервная копия или сохранённое состояние выработки ключей не позволяют восстановить его.
- Учтены все соответствующие копии ключа, а не только одна переменная в памяти.
- Копии открытого текста и независимые копии получателей обрабатываются отдельно.
Отдельные ключи для сообщений или файлов могут поддерживать детальные политики хранения. Само их наличие не доказывает безопасного стирания. Удаление ключа вложения при сохранении его внутри доступного старого сообщения может оставить путь восстановления.
Четыре копии, которым нужны разные меры контроля
| Копия | Что проверить |
|---|---|
| Сообщение внутри приложения | Поведение таймера, локальное хранение и обработку на связанных устройствах |
| Скачанная фотография или документ | Галерею, загрузки, экспорт и хранилища других приложений |
| Резервная копия или перенесённая история | Можно ли по-прежнему восстановить просроченное содержимое или пригодные ключи |
| Собственная копия получателя | Доверие и договорённость об обмене; удалённое удаление не гарантирует отзыв копий |
Шифрование всего устройства остаётся полезным, даже если приложение использует отдельные ключи содержимого. Эти меры защищают в разных ситуациях; ни одну не следует считать несущественной.
Как реалистично использовать исчезающие сообщения
Выберите подходящий для разговора срок хранения и убедитесь, что участники его понимают. Проверьте, создаёт ли сохранение медиа отдельную копию. Изучите поведение резервного копирования и то, что происходит при повторном подключении связанного устройства, бывшего офлайн.
Если нужно вывести устройство из эксплуатации, следуйте процедуре очистки данных операционной системы или организации. Не считайте таймер чата заменой мерам при утилизации устройства.
В случае Livara страница безопасности описывает отдельные ключи файлов, а модель угроз указывает на раскрытие у получателя и на конечных устройствах. Сами по себе эти факты не доказывают криптографического стирания каждого сообщения или удаления, исключающего криминалистическое восстановление, на всех устройствах. Эта статья не заявляет о такой реализации.
Исчезающие сообщения наиболее полезны как средство контроля сроков хранения. Необратимое удаление — более сильное утверждение, требующее отдельных доказательств.
