阅后即焚消息可以减少参与设备上保留的对话历史。它们不能保证消息的每一份副本都已消失，计时器也不是取证意义上的数据清除证明。
有用的问题不是删除究竟是“真的”还是“假的”，而是删除了哪份副本、从哪个存储位置删除、基于哪些假设？ 应用中可见的聊天、本地数据库、下载的附件和接收者的截图，是不同的副本。
消息消失计时器能做什么
计时器告知配合执行的软件，应何时按产品规则移除内容。这些规则可能不同：计时可能从发送或阅读时开始，设置可能只适用于新消息，关联设备也可能单独处理延迟送达。
Signal 的阅后即焚消息指南明确警告，这项功能无法防范想保留记录的接收者。无论本地删除实现得多么谨慎，这一限制都存在。
接收者可以在到期前拍摄屏幕、复制一段文字或保存文件。能够访问明文的恶意软件也可以这么做，无须等人截图。
为什么存储层面的删除比移除聊天气泡更复杂
删除数据库记录或文件，不一定会立即覆盖曾存放它的每一个物理位置。数据库、临时文件、备份和闪存管理都可能使移除变得复杂。然而，这并不能证明每一部现代手机上的每条已删除消息都很容易恢复。
可恢复性取决于应用、操作系统、存储加密、密钥是否可用、设备状态和攻击者能力。针对特定应用的主张，需要来自该应用及其版本的证据，而不能仅凭关于 SQLite 或闪存的一般说法。
加密擦除带来了什么
加密擦除旨在通过清除解密所需的密钥，使加密数据无法访问。NIST 在当前的 SP 800-88 第 2 次修订版介质清除指南中讨论了这种方法。
对消息系统设计而言，它是否有用取决于几个条件：
- 目标内容在存储前已得到适当加密。
- 删除的密钥确实是恢复该内容所必需的。
- 不存在能重建它的剩余密钥、备份或保留的派生状态。
- 已处理所有相关密钥副本，而不只是内存中的一个变量。
- 明文副本和接收者独立保存的副本另行处理。
逐消息或逐文件密钥可支持细粒度的保留策略。但仅仅存在这些密钥，并不能证明实现了安全擦除。如果删除附件密钥，却仍将它保留在可访问的历史消息中，就可能留下恢复路径。
需要不同控制措施的四类副本
| 副本 | 要检查的事项 |
|---|---|
| 应用内的消息 | 计时器行为、本地保留和关联设备的处理 |
| 下载的照片或文档 | 图库、下载、导出和其他应用的存储 |
| 备份或转移的历史记录 | 过期内容或可用密钥是否仍可恢复 |
| 接收者自己的副本 | 信任与共享约定；远程删除不能保证收回 |
即使应用采用独立的内容密钥，整机加密仍然有用。这些控制措施保护的是不同情形，不应把其中任何一种视为无关紧要。
如何务实地使用阅后即焚消息
选择适合对话的保留期限，并确保参与者理解它。检查保存媒体是否会创建单独的副本。审视备份行为，以及离线的关联设备重新连接时会发生什么。
如果需要处置设备，请遵循操作系统或组织的数据清除程序。不要把聊天计时器当作设备处置控制措施的替代品。
对于 Livara，安全页面描述了逐文件密钥，威胁模型指出了接收者和端点方面的暴露风险。这些事实本身并不能证明逐消息加密擦除或跨所有设备的取证级删除。本文不作此类实现主张。
阅后即焚消息最适合作为保留控制措施。不可逆删除是更强的主张，需要单独的证据。
