Försvinnande meddelanden kan minska mängden konversationshistorik som sparas på deltagande enheter. De garanterar inte att varje kopia av ett meddelande har försvunnit, och en timer är inget intyg om forensiskt säker datasanering.
Den användbara frågan är inte om radering är ”verklig” eller ”falsk”. Den är vilken kopia som raderas, från vilken lagringsplats och under vilka antaganden? Appens synliga chatt, dess lokala databas, en nedladdad bilaga och mottagarens skärmbild är olika kopior.
Vad en timer för försvinnande meddelanden kan göra
En timer talar om för samverkande programvara när innehåll ska tas bort enligt produktens regler. Reglerna kan skilja sig åt: klockan kan börja gå vid sändning eller läsning, en inställning kan bara gälla nya meddelanden och länkade enheter kan hantera försenad leverans separat.
Signals vägledning om försvinnande meddelanden varnar uttryckligen för att funktionen inte skyddar mot en mottagare som vill behålla en kopia. Den begränsningen gäller oavsett hur noggrant lokal radering har implementerats.
En mottagare kan fotografera en skärm, kopiera ett stycke eller spara en fil innan tiden löper ut. Skadlig kod med åtkomst till klartext kan göra samma sak utan att vänta på att en person tar en skärmbild.
Varför radering i lagring är mer komplicerad än att ta bort en pratbubbla
Att radera en databaspost eller fil behöver inte omedelbart skriva över varje fysisk plats där den en gång lagrades. Databaser, temporära filer, säkerhetskopior och hanteringen av flashlagring kan komplicera borttagningen. Det visar dock inte att varje raderat meddelande på varje modern telefon är lätt att återställa.
Möjligheten till återställning beror på appen, operativsystemet, lagringskrypteringen, tillgången till nycklar, enhetens tillstånd och angriparens förmåga. Påståenden om en viss app kräver belägg från just den appen och versionen, inte ett allmänt påstående om SQLite eller flashminne.
Vad kryptografisk radering tillför
Kryptografisk radering syftar till att göra krypterade data oåtkomliga genom att säkert undanröja de nycklar som behövs för dekryptering. NIST behandlar detta i sin aktuella vägledning för mediesanering SP 800-88 Revision 2.
För en meddelandearkitektur beror nyttan på flera villkor:
- Det berörda innehållet krypterades på lämpligt sätt innan det lagrades.
- Den raderade nyckeln behövs faktiskt för att återställa innehållet.
- Ingen kvarvarande nyckel, säkerhetskopia eller bevarat härledningstillstånd kan återskapa den.
- Alla relevanta nyckelkopior omfattas, inte bara en variabel i minnet.
- Klartextkopior och mottagares oberoende kopior hanteras separat.
Nycklar per meddelande eller per fil kan stödja detaljerade lagringspolicyer. Att de finns bevisar inte i sig säker radering. Att radera en bilagenyckel men behålla den i ett åtkomligt historiskt meddelande kan lämna en väg till återställning.
Fyra kopior som kräver olika skydd
| Kopia | Vad du ska kontrollera |
|---|---|
| Meddelande inne i appen | Timerns beteende, lokal lagring och hantering av länkade enheter |
| Nedladdat foto eller dokument | Galleri, nedladdningar, exporter och andra appars lagring |
| Säkerhetskopia eller överförd historik | Om utgånget innehåll eller användbara nycklar fortfarande kan återställas |
| Mottagarens egen kopia | Tillit och överenskommelse om delning; fjärradering kan inte garantera återkallande |
Kryptering av hela enheten är fortfarande användbar även om en app använder separata innehållsnycklar. Dessa skydd gäller olika situationer; inget av dem bör avfärdas som irrelevant.
Så använder du försvinnande meddelanden realistiskt
Välj en lagringstid som passar samtalet och se till att deltagarna förstår den. Kontrollera om sparade medier skapar en separat kopia. Granska hur säkerhetskopior fungerar och vad som händer när en länkad enhet som varit offline ansluter igen.
Om du behöver avveckla en enhet ska du följa operativsystemets eller organisationens saneringsförfarande. Behandla inte en chattimer som ersättning för skydd vid avveckling av enheter.
För Livara beskriver säkerhetssidan nycklar per fil, och hotmodellen identifierar exponering via mottagare och ändpunkter. Dessa fakta visar inte i sig kryptografisk radering per meddelande eller forensiskt säker radering på varje enhet. Den här artikeln gör inget sådant påstående om implementationen.
Försvinnande meddelanden är mest användbara som ett sätt att begränsa lagring. Se oåterkallelig radering som ett starkare påstående som kräver separata belägg.
