کش داخلی، گالری و RAM سه مرز متفاوت‌اند؛ پاک‌شدن یک نسخه، حذف همهٔ نسخه‌ها را ثابت نمی‌کند.
رمزنگاری سرتاسری از مسیر انتقال عکس محافظت می‌کند؛ پس از بازشدن عکس، امنیت نسخهٔ قابل‌مشاهده به دستگاه و شیوهٔ ذخیره‌سازی برنامه هم وابسته است. اما هر فایل موقت در اندروید عمومی نیست و هر تصویرِ ذخیره‌شده در کش، خودکار وارد گالری نمی‌شود.
برای بررسی خطر، به‌جای عبارت مبهم «نشت از کش» سه محل را جدا کنید: حافظهٔ خصوصی برنامه، فضای مشترک مثل گالری، و حافظهٔ فعال پردازش یا RAM. هرکدام دسترسی و چرخهٔ عمر متفاوتی دارند.
عکس رمزگشایی‌شده کجا می‌تواند باقی بماند؟
| محل | کاربرد معمول | نکتهٔ امنیتی |
|---|---|---|
| کش داخلیِ خصوصی برنامه | نمایش دوبارهٔ سریع تصویر | برنامه‌های عادی دیگر نباید آزادانه به آن دسترسی داشته باشند |
| گالری یا فضای مشترک | ذخیره، ویرایش یا اشتراک‌گذاری عکس | ممکن است در دسترس برنامه‌های دارای مجوز و سرویس پشتیبان‌گیری قرار بگیرد |
| RAM و حافظهٔ اجزای نمایش | پردازش تصویر هنگام استفاده | موقتی‌بودن به معنی مصونیت از دستگاه آلوده نیست |
| نسخهٔ صادرشده یا پیش‌نمایش | بازکردن فایل در برنامه‌ای دیگر | ممکن است چرخهٔ حذف مستقلی داشته باشد |
مستندات ذخیره‌سازی اندروید میان فضای اختصاصی برنامه و فضای مشترک تفاوت می‌گذارد. بنابراین جملهٔ «هر فایل کش توسط MediaStore نمایه‌سازی می‌شود» درست نیست؛ مسیر ذخیره، API مورد استفاده و مجوزها تعیین‌کننده‌اند.
کش داخلی چه حفاظتی دارد؟
اندروید فضای داخلی اختصاصی برنامه را از برنامه‌های معمول دیگر جدا می‌کند. راهنمای رسمی، همین فضا را برای دادهٔ حساس موقت پیشنهاد می‌کند. فایل کش ممکن است پیش از حذف برنامه توسط خود برنامه یا سیستم حذف شود، ولی توسعه‌دهنده نباید پاکسازی را فقط به کمبود فضای دستگاه واگذار کند. راهنمای فایل‌های اختصاصی برنامه.
این حفاظت با «هیچ‌کس نمی‌تواند فایل را استخراج کند» برابر نیست. دسترسی مهاجم به یک گوشی قفل‌شده، گوشی باز، سیستم‌عامل آسیب‌پذیر یا دستگاه دارای دسترسی ریشه یکسان نیست. برای یک ادعای فورنزیک معتبر باید مدل دستگاه، نسخهٔ سیستم، وضعیت قفل و نوع دسترسی مهاجم مشخص باشد.
چرا نگهداری در RAM تضمین حذف کامل نیست؟
پرهیز از نوشتن نسخهٔ خام روی دیسک می‌تواند تعداد نسخه‌های ماندگار را کم کند. پاکسازی بافرهای حساس هم ممکن است بخشی از طراحی دفاعی باشد. بااین‌حال نمی‌توان صرفاً با نام‌بردن از «صفرسازی RAM» احتمال بازیابی را صفر اعلام کرد.
یک تصویر ممکن است هنگام پردازش در چند بافر، کتابخانه یا جزء نمایش کپی شود. پاک‌کردن یک بافر، به‌خودی‌خود اثبات حذف همهٔ کپی‌ها نیست. حتی اگر هیچ فایل ماندگاری ساخته نشود، بدافزاری که هنگام نمایش به داده دسترسی دارد ممکن است آن را کپی کند. رمزنگاری و مدیریت حافظه مکمل یکدیگرند، نه جایگزین هم.
کاربران چه کارهایی می‌توانند انجام دهند؟
- ذخیره در گالری را جدا از دانلود خودکار بررسی کنید. دریافت رسانه برای نمایش داخل برنامه الزاماً همان ذخیره در گالری نیست.
- پشتیبان‌گیری عکس‌ها را کنترل کنید. یک عکس صادرشده ممکن است مستقل از چت وارد فضای ابری شود.
- مجوز عکس و فایلِ برنامه‌های دیگر را مرور کنید. دسترسی لازم برای یک کار مشخص را با دسترسی همیشگی به مجموعهٔ عکس‌ها اشتباه نگیرید.
- با یک عکس آزمایشی بررسی کنید. ببینید پس از دریافت، بازکردن، ذخیره‌کردن و حذف، کدام نسخه در گالری یا برنامهٔ دیگر باقی می‌ماند.
- پیش از حذف دادهٔ برنامه، راه بازیابی را بررسی کنید. «پاک‌کردن کش»، «پاک‌کردن فضای ذخیره‌سازی» و خروج از حساب آثار متفاوتی دارند؛ دومی ممکن است کلیدها یا دادهٔ محلی لازم را از بین ببرد.
آزمون با عکس غیرحساس مفید است، اما نبودن فایل در گالری اثبات نمی‌کند هیچ اثری در دستگاه وجود ندارد.
توسعه‌دهنده چگونه پاکسازی را آزمایش کند؟
بررسی باید مسیر کامل رسانه را پوشش دهد: دریافت، رمزگشایی، نمایش، اشتراک‌گذاری، بستن صفحه، خروج از حساب و ورود دوباره. عملیات دانلود یا ساخت پیش‌نمایشِ در حال اجرا باید با سیاست خروج هماهنگ باشد؛ وگرنه ممکن است پس از پاکسازی، فایل تازه‌ای نوشته شود. این یک سناریوی قابل‌آزمایش است، نه ادعای اثبات‌شده دربارهٔ همهٔ پیام‌رسان‌ها.
آزمون را روی نسخهٔ مشخص انجام دهید و محل فایل‌ها و نتیجهٔ هر مرحله را ثبت کنید. توصیه‌های امنیتی اندروید بر حداقل‌سازی دسترسی و نگهداری دادهٔ حساس در محل مناسب تأکید دارد.
این بحث دربارهٔ لیوارا چه می‌گوید؟
مدل تهدید لیوارا حفاظت از دستگاه آلوده یا باز را تضمین نمی‌کند. مستندات رمزنگاریِ انتقال به‌تنهایی شاهدی برای ادعای «هیچ نسخهٔ خامی در کش نمی‌ماند» نیست. چنین ادعایی نیاز به بررسی نسخهٔ مشخص برنامه و مسیرهای رسانه دارد.
جمع‌بندی: محل و تعداد نسخه‌های عکس را بشناسید. کم‌کردن نسخه‌های اضافی، قفل مناسب دستگاه و به‌روزرسانی مهم‌اند؛ وعدهٔ «بازیابی صفر» بدون آزمون و مدل تهدید، معیار قابل‌اعتمادی نیست.
