Interne cache, galerij en RAM zijn drie verschillende grenzen; het wissen van één kopie bewijst niet dat alle kopieën verdwenen zijn.
End-to-endversleuteling beschermt het transport van een foto; nadat je die opent, hangt de veiligheid van de zichtbare kopie ook af van het apparaat en de manier waarop de app gegevens opslaat. Maar niet elk tijdelijk bestand op Android is openbaar en niet elke gecachte afbeelding komt automatisch in de galerij terecht.
Onderscheid bij het beoordelen van het risico drie locaties in plaats van de vage term ‘cachelek’: privéopslag van de app, gedeelde opslag zoals de galerij en actief procesgeheugen of RAM. Elk heeft andere toegangsregels en een andere levensduur.
Waar kan een ontsleutelde foto achterblijven?
| Locatie | Gebruikelijk doel | Beveiligingspunt |
|---|---|---|
| Interne privécache van de app | Een afbeelding snel opnieuw tonen | Andere gewone apps zouden er niet vrij bij moeten kunnen |
| Galerij of gedeelde opslag | Een foto opslaan, bewerken of delen | Apps met toestemming en back-updiensten kunnen er mogelijk bij |
| RAM en geheugen van weergavecomponenten | De afbeelding verwerken tijdens gebruik | Tijdelijkheid biedt geen bescherming tegen een gecompromitteerd apparaat |
| Geëxporteerde kopie of voorbeeld | Een bestand in een andere app openen | De kopie kan een zelfstandige verwijderingscyclus hebben |
De Android-documentatie over opslag maakt onderscheid tussen app-specifieke en gedeelde opslag. De uitspraak ‘elk cachebestand wordt door MediaStore geïndexeerd’ klopt dus niet: het opslagpad, de gebruikte API en de machtigingen zijn bepalend.
Welke bescherming heeft de interne cache?
Android scheidt de interne privéopslag van een app van andere gewone apps. De officiële handleiding beveelt deze opslag aan voor gevoelige tijdelijke gegevens. Een cachebestand kan door de app of het systeem worden verwijderd voordat de app wordt verwijderd, maar ontwikkelaars moeten het opruimen niet uitsluitend overlaten aan ruimtegebrek op het apparaat. Zie de handleiding voor app-specifieke bestanden.
Deze bescherming betekent niet dat ‘niemand het bestand kan extraheren’. De toegang van een aanvaller tot een vergrendelde telefoon, een ontgrendelde telefoon, een kwetsbaar besturingssysteem of een apparaat met roottoegang is niet hetzelfde. Een geldige forensische claim moet het apparaatmodel, de systeemversie, de vergrendelingsstatus en het soort toegang van de aanvaller benoemen.
Waarom garandeert bewaren in RAM geen volledige verwijdering?
Geen onversleutelde kopie naar schijf schrijven kan het aantal blijvende kopieën verminderen. Gevoelige buffers wissen kan ook deel zijn van een defensief ontwerp. Alleen ‘RAM op nul zetten’ noemen rechtvaardigt echter niet de uitspraak dat de kans op herstel nul is.
Tijdens verwerking kan een afbeelding worden gekopieerd naar meerdere buffers, bibliotheken of weergavecomponenten. Eén buffer wissen bewijst op zichzelf niet dat alle kopieën verwijderd zijn. Zelfs als er geen blijvend bestand ontstaat, kan malware die tijdens de weergave toegang heeft tot de gegevens deze kopiëren. Versleuteling en geheugenbeheer vullen elkaar aan en vervangen elkaar niet.
Wat kunnen gebruikers doen?
- Controleer opslaan in de galerij los van automatisch downloaden. Media ontvangen om ze in de app te tonen is niet noodzakelijk hetzelfde als opslaan in de galerij.
- Beheer fotoback-ups. Een geëxporteerde foto kan onafhankelijk van de chat in de cloud terechtkomen.
- Bekijk de foto- en bestandsmachtigingen van andere apps. Verwar toegang die nodig is voor een bepaalde taak niet met permanente toegang tot de fotoverzameling.
- Controleer het met een testfoto. Kijk welke kopie in de galerij of een andere app blijft na ontvangen, openen, opslaan en verwijderen.
- Controleer je herstelmethode voordat je appgegevens wist. ‘Cache wissen’, ‘opslag wissen’ en afmelden hebben verschillende gevolgen; de tweede optie kan sleutels of noodzakelijke lokale gegevens verwijderen.
Testen met een niet-gevoelige foto is nuttig, maar de afwezigheid van een bestand in de galerij bewijst niet dat er geen sporen op het apparaat staan.
Hoe moeten ontwikkelaars het opruimen testen?
De controle moet de volledige mediaroute omvatten: ontvangen, ontsleutelen, tonen, delen, het scherm sluiten, afmelden en opnieuw aanmelden. Lopende downloads of het aanmaken van voorbeelden moeten worden afgestemd op het afmeldbeleid; anders kan na het opruimen een nieuw bestand worden geschreven. Dit is een testbaar scenario, geen bewezen uitspraak over alle chatapps.
Test een specifieke versie en leg bestandslocaties en het resultaat van elke stap vast. De beveiligingsaanbevelingen van Android benadrukken minimale toegang en het bewaren van gevoelige gegevens op een geschikte locatie.
Wat betekent dit voor Livara?
Livara’s dreigingsmodel garandeert geen bescherming van een gecompromitteerd of ontgrendeld apparaat. Documentatie van versleuteling tijdens transport alleen bewijst niet dat ‘geen onversleutelde kopie in de cache achterblijft’. Voor zo’n claim moeten een specifieke appversie en de mediaroutes worden onderzocht.
Kortom: weet waar fotokopieën staan en hoeveel er zijn. Extra kopieën beperken, een geschikte apparaatvergrendeling gebruiken en updates installeren zijn belangrijk; een belofte van ‘nul herstel’ zonder tests en dreigingsmodel is geen betrouwbare maatstaf.
