内部キャッシュ、ギャラリー、RAM は異なる三つの境界です。一つのコピーが消えても、すべてのコピーの削除が証明されるわけではありません。
エンドツーエンド暗号化は画像の転送経路を保護します。画像を開いた後、表示可能なコピーの安全性は端末とアプリの保存方法にも依存します。ただし、Android の一時ファイルがすべて公開されるわけではなく、キャッシュされた画像がすべて自動でギャラリーに入るわけでもありません。
リスクを調べる際は、曖昧な「キャッシュからの漏えい」という表現ではなく、アプリのプライベートストレージ、ギャラリーなどの共有領域、プロセスが使用中のメモリである RAM の三つを区別しましょう。それぞれアクセス範囲とライフサイクルが異なります。
復号された画像はどこに残り得るか？
| 場所 | 一般的な用途 | セキュリティ上の注意 |
|---|---|---|
| アプリ専用の内部キャッシュ | 画像を素早く再表示する | 他の通常のアプリが自由にアクセスできてはいけません |
| ギャラリーや共有領域 | 画像の保存、編集、共有 | 権限を持つアプリやバックアップサービスがアクセスできる場合があります |
| RAM と表示コンポーネントのメモリ | 使用中の画像処理 | 一時的であることは、侵害された端末に対する安全性を意味しません |
| 書き出したコピーやプレビュー | 別のアプリでファイルを開く | 独立した削除のライフサイクルを持つ場合があります |
Android のストレージ文書はアプリ固有の領域と共有領域を区別しています。そのため「すべてのキャッシュファイルは MediaStore にインデックス登録される」という説明は正しくありません。保存先、使用する API、権限が決め手です。
内部キャッシュにはどのような保護があるか？
Android はアプリ固有の内部領域を他の通常のアプリから分離します。公式ガイドは機密性の高い一時データにもこの領域を推奨しています。キャッシュファイルはアプリのアンインストール前にアプリ自身やシステムによって削除されることがありますが、開発者は端末の空き容量不足だけにクリーンアップを任せてはいけません。アプリ固有ファイルのガイド。
この保護は「誰もファイルを抽出できない」と同義ではありません。ロックされた電話、ロック解除済みの電話、脆弱な OS、root 権限のある端末で、攻撃者のアクセス能力は同じではありません。信頼できるフォレンジック上の主張には、端末モデル、システムのバージョン、ロック状態、攻撃者のアクセスの種類を明記する必要があります。
RAM に置くだけでは完全削除を保証できない理由
未暗号化のコピーをディスクに書き込まないことで、永続的なコピーを減らせます。機密バッファの消去も防御設計の一部になり得ます。しかし「RAM のゼロ化」に言及するだけで、復元可能性がゼロだと宣言することはできません。
画像は処理中に複数のバッファ、ライブラリ、表示コンポーネントへコピーされる場合があります。一つのバッファを消しても、それだけではすべてのコピーの消去を証明できません。永続的なファイルが作られなくても、表示中にデータへアクセスできるマルウェアがコピーする可能性があります。暗号化とメモリ管理は互いを補完するもので、代替ではありません。
利用者にできること
- ギャラリーへの保存と自動ダウンロードを別々に確認します。 アプリ内で表示するためのメディア受信は、必ずしもギャラリーへの保存と同じではありません。
- 写真のバックアップを管理します。 書き出した写真がチャットとは独立してクラウドに入る場合があります。
- 他のアプリの写真・ファイル権限を見直します。 特定の作業に必要なアクセスと、写真コレクションへの恒常的なアクセスを混同しないでください。
- テスト画像で確認します。 受信、表示、保存、削除の後に、どのコピーがギャラリーや別のアプリに残るかを確認します。
- アプリデータを削除する前に復旧方法を確認します。 「キャッシュを削除」「ストレージを消去」、ログアウトは影響が異なります。二つ目は必要な鍵やローカルデータを失わせる場合があります。
機密性のない画像でのテストは有用ですが、ギャラリーにファイルがないことは、端末に痕跡がまったくないという証明ではありません。
開発者はクリーンアップをどうテストすべきか？
確認はメディアの全経路、すなわち受信、復号、表示、共有、画面を閉じる操作、ログアウト、再ログインを網羅すべきです。実行中のダウンロードやプレビュー生成をログアウト方針と連携させなければ、クリーンアップ後に新しいファイルが書き込まれる可能性があります。これはテスト可能なシナリオであり、すべてのメッセンジャーについて実証済みの主張ではありません。
特定のバージョンでテストし、ファイルの場所と各段階の結果を記録してください。Android のセキュリティ推奨事項は、アクセスの最小化と、機密データを適切な場所に保存することを重視しています。
この議論は Livara について何を意味するか？
Livara の脅威モデルは、侵害された端末やロック解除された端末の保護を保証しません。転送時の暗号化に関する文書だけでは「キャッシュに未暗号化コピーが一切残らない」という主張の証拠にはなりません。そのような主張には、アプリの特定バージョンとメディア経路の調査が必要です。
まとめ： 写真のコピーの場所と数を把握しましょう。余分なコピーを減らすこと、適切な端末ロック、更新が重要です。テストと脅威モデルのない「復元可能性ゼロ」という約束は信頼できる基準ではありません。
