Wewnętrzna pamięć podręczna, galeria i RAM to trzy różne granice; usunięcie jednej kopii nie dowodzi usunięcia wszystkich.
Szyfrowanie end-to-end chroni przesyłanie zdjęcia; po jego otwarciu bezpieczeństwo widocznej kopii zależy również od urządzenia i sposobu przechowywania danych przez aplikację. Jednak nie każdy plik tymczasowy w Androidzie jest publiczny i nie każdy obraz zapisany w pamięci podręcznej automatycznie trafia do galerii.
Aby ocenić ryzyko, zamiast niejasnego określenia „wyciek z pamięci podręcznej” rozróżnij trzy miejsca: prywatną pamięć aplikacji, przestrzeń wspólną, taką jak galeria, oraz aktywną pamięć procesu, czyli RAM. Każde ma inne zasady dostępu i cykl życia.
Gdzie może pozostać odszyfrowane zdjęcie?
| Miejsce | Typowe zastosowanie | Uwaga dotycząca bezpieczeństwa |
|---|---|---|
| Prywatna wewnętrzna pamięć podręczna aplikacji | Szybkie ponowne wyświetlanie obrazu | Inne zwykłe aplikacje nie powinny mieć do niej swobodnego dostępu |
| Galeria lub przestrzeń wspólna | Zapisywanie, edycja lub udostępnianie zdjęcia | Może być dostępna dla aplikacji z uprawnieniami i usługi kopii zapasowych |
| RAM i pamięć komponentów wyświetlania | Przetwarzanie obrazu podczas używania | Tymczasowość nie oznacza odporności na zainfekowane urządzenie |
| Wyeksportowana kopia lub podgląd | Otwieranie pliku w innej aplikacji | Może mieć niezależny cykl usuwania |
Dokumentacja przechowywania danych w Androidzie rozróżnia przestrzeń aplikacji i przestrzeń wspólną. Stwierdzenie „każdy plik pamięci podręcznej jest indeksowany przez MediaStore” jest więc nieprawdziwe; decydują lokalizacja zapisu, użyte API i uprawnienia.
Jak chroniona jest wewnętrzna pamięć podręczna?
Android oddziela wewnętrzną przestrzeń aplikacji od innych zwykłych aplikacji. Oficjalny poradnik zaleca właśnie to miejsce na tymczasowe dane wrażliwe. Plik pamięci podręcznej może zostać usunięty przez aplikację lub system przed odinstalowaniem aplikacji, ale programista nie powinien pozostawiać sprzątania wyłącznie sytuacji braku miejsca. Poradnik dotyczący plików aplikacji.
Ta ochrona nie oznacza, że „nikt nie może wyodrębnić pliku”. Dostęp napastnika do zablokowanego telefonu, odblokowanego telefonu, podatnego systemu lub urządzenia z uprawnieniami root to różne sytuacje. Wiarygodne twierdzenie z zakresu informatyki śledczej wymaga określenia modelu urządzenia, wersji systemu, stanu blokady i rodzaju dostępu napastnika.
Dlaczego przechowywanie w RAM nie gwarantuje całkowitego usunięcia?
Unikanie zapisu niezaszyfrowanej kopii na dysku może zmniejszyć liczbę trwałych kopii. Czyszczenie wrażliwych buforów również może być częścią projektu zabezpieczeń. Samo jednak wspomnienie o „zerowaniu RAM” nie pozwala ogłosić zerowej możliwości odzyskania.
Podczas przetwarzania obraz może być kopiowany do wielu buforów, bibliotek lub komponentów wyświetlania. Wyczyszczenie jednego bufora samo w sobie nie dowodzi usunięcia wszystkich kopii. Nawet jeśli nie powstaje żaden trwały plik, złośliwe oprogramowanie mające dostęp do danych podczas wyświetlania może je skopiować. Szyfrowanie i zarządzanie pamięcią uzupełniają się, a nie zastępują.
Co mogą zrobić użytkownicy?
- Sprawdź zapisywanie w galerii niezależnie od automatycznego pobierania. Pobranie multimediów do wyświetlenia w aplikacji nie musi oznaczać zapisania ich w galerii.
- Kontroluj kopie zapasowe zdjęć. Wyeksportowane zdjęcie może trafić do chmury niezależnie od czatu.
- Przejrzyj uprawnienia innych aplikacji do zdjęć i plików. Nie myl dostępu potrzebnego do konkretnej czynności ze stałym dostępem do kolekcji zdjęć.
- Sprawdź to na zdjęciu testowym. Zobacz, które kopie zostają w galerii lub innej aplikacji po odebraniu, otwarciu, zapisaniu i usunięciu.
- Przed usunięciem danych aplikacji sprawdź sposób odzyskiwania. „Wyczyść pamięć podręczną”, „wyczyść pamięć” i wylogowanie mają różne skutki; druga opcja może usunąć klucze lub potrzebne dane lokalne.
Test z niewrażliwym zdjęciem jest przydatny, ale brak pliku w galerii nie dowodzi braku jakichkolwiek śladów na urządzeniu.
Jak programista powinien testować czyszczenie?
Sprawdzenie powinno obejmować całą ścieżkę multimediów: odbiór, odszyfrowanie, wyświetlanie, udostępnianie, zamknięcie ekranu, wylogowanie i ponowne logowanie. Trwające pobieranie lub generowanie podglądu musi być skoordynowane z zasadami wylogowania; w przeciwnym razie po sprzątaniu może zostać zapisany nowy plik. To scenariusz do przetestowania, a nie udowodnione twierdzenie dotyczące wszystkich komunikatorów.
Przeprowadź test na określonej wersji i zapisz lokalizacje plików oraz wynik każdego etapu. Zalecenia bezpieczeństwa Androida podkreślają minimalizowanie dostępu i przechowywanie danych wrażliwych we właściwym miejscu.
Co te rozważania mówią o Livara?
Model zagrożeń Livara nie gwarantuje ochrony przed zainfekowanym lub odblokowanym urządzeniem. Sama dokumentacja szyfrowania transmisji nie jest dowodem twierdzenia, że „w pamięci podręcznej nie pozostaje żadna niezaszyfrowana kopia”. Takie twierdzenie wymaga sprawdzenia konkretnej wersji aplikacji i ścieżek multimediów.
Podsumowanie: poznaj lokalizacje i liczbę kopii zdjęć. Ograniczenie zbędnych kopii, odpowiednia blokada urządzenia i aktualizacje są ważne; obietnica „zerowej możliwości odzyskania” bez testów i modelu zagrożeń nie jest wiarygodnym kryterium.
