Cache interna, galleria e RAM sono tre confini diversi: eliminare una copia non dimostra che siano state eliminate tutte.
La crittografia end-to-end protegge il percorso di trasmissione della foto; dopo l’apertura, la sicurezza della copia visibile dipende anche dal dispositivo e dalle pratiche di archiviazione dell’app. Ma non tutti i file temporanei su Android sono pubblici, e non tutte le immagini nella cache entrano automaticamente nella galleria.
Per valutare il rischio, invece della vaga espressione «fuga dalla cache», distingui tre luoghi: lo spazio privato dell’app, quello condiviso come la galleria e la memoria attiva del processo, o RAM. Ciascuno ha accessi e cicli di vita diversi.
Dove può rimanere una foto decifrata?
| Posizione | Uso abituale | Considerazione di sicurezza |
|---|---|---|
| Cache interna privata dell’app | Mostrare rapidamente di nuovo un’immagine | Le altre app ordinarie non dovrebbero potervi accedere liberamente |
| Galleria o spazio condiviso | Salvare, modificare o condividere una foto | Può essere accessibile ad app autorizzate e servizi di backup |
| RAM e memoria dei componenti di visualizzazione | Elaborare l’immagine durante l’uso | Essere temporanea non significa essere protetta da un dispositivo compromesso |
| Copia esportata o anteprima | Aprire un file in un’altra app | Può avere un ciclo di eliminazione indipendente |
La documentazione di archiviazione Android distingue lo spazio specifico dell’app da quello condiviso. È quindi errato dire che «ogni file della cache viene indicizzato da MediaStore»: contano il percorso di archiviazione, l’API usata e le autorizzazioni.
Quale protezione offre la cache interna?
Android isola la memoria interna privata dell’app dalle altre applicazioni ordinarie. La guida ufficiale raccomanda questo spazio per i dati temporanei sensibili. Un file della cache può essere eliminato dall’app o dal sistema prima della disinstallazione, ma gli sviluppatori non dovrebbero affidare la pulizia soltanto alla carenza di spazio sul dispositivo. Vedi la guida ai file specifici dell’app.
Questa protezione non equivale a «nessuno può estrarre il file». L’accesso di un attaccante a un telefono bloccato, sbloccato, a un sistema operativo vulnerabile o a un dispositivo con accesso root non è identico. Un’affermazione forense valida deve specificare il modello del dispositivo, la versione del sistema, lo stato di blocco e il tipo di accesso dell’attaccante.
Perché conservare in RAM non garantisce l’eliminazione completa?
Evitare di scrivere una copia non cifrata su disco può ridurre il numero di copie persistenti. Anche la pulizia dei buffer sensibili può far parte di un progetto difensivo. Tuttavia, citare semplicemente l’«azzeramento della RAM» non giustifica dichiarare nulla la probabilità di recupero.
Durante l’elaborazione, un’immagine può essere copiata in più buffer, librerie o componenti di visualizzazione. Cancellare un buffer non dimostra, di per sé, che tutte le copie siano state eliminate. Anche senza creare file persistenti, un malware che accede ai dati durante la visualizzazione può copiarli. Cifratura e gestione della memoria si completano, non si sostituiscono.
Che cosa possono fare gli utenti?
- Controlla il salvataggio nella galleria separatamente dal download automatico. Ricevere contenuti multimediali per mostrarli nell’app non equivale necessariamente a salvarli nella galleria.
- Controlla i backup delle foto. Una foto esportata può raggiungere il cloud indipendentemente dalla chat.
- Esamina le autorizzazioni per foto e file delle altre app. Non confondere l’accesso necessario per una specifica attività con l’accesso permanente alla raccolta di foto.
- Verifica con una foto di prova. Osserva quale copia rimane nella galleria o in un’altra app dopo ricezione, apertura, salvataggio ed eliminazione.
- Verifica il metodo di recupero prima di eliminare i dati dell’app. «Svuota cache», «cancella spazio di archiviazione» e disconnessione hanno effetti diversi; la seconda operazione può rimuovere chiavi o dati locali necessari.
Una prova con una foto non sensibile è utile, ma l’assenza del file nella galleria non dimostra che sul dispositivo non rimangano tracce.
Come dovrebbe lo sviluppatore testare la pulizia?
La verifica deve coprire l’intero percorso del contenuto multimediale: ricezione, decifratura, visualizzazione, condivisione, chiusura della schermata, disconnessione e nuovo accesso. I download o la generazione di anteprime in corso devono essere coordinati con la politica di disconnessione; altrimenti potrebbe essere scritto un nuovo file dopo la pulizia. È uno scenario verificabile, non un’affermazione dimostrata su tutte le app di messaggistica.
Esegui la prova su una versione specifica e registra le posizioni dei file e l’esito di ogni passaggio. Le raccomandazioni di sicurezza Android sottolineano l’importanza di ridurre al minimo gli accessi e conservare i dati sensibili in una posizione adeguata.
Che cosa significa per Livara?
Il modello delle minacce di Livara non garantisce la protezione di un dispositivo compromesso o sbloccato. La sola documentazione della cifratura in transito non dimostra che «nessuna copia non cifrata rimanga nella cache». Un’affermazione simile richiede l’esame di una versione specifica dell’app e dei suoi percorsi multimediali.
In sintesi: conosci le posizioni e il numero delle copie delle foto. Ridurre le copie aggiuntive, usare un blocco adeguato del dispositivo e aggiornare sono importanti; una promessa di «recupero zero» senza prove e modello delle minacce non è un criterio affidabile.
