A cache interna, a galeria e a RAM são três fronteiras distintas; apagar uma cópia não prova que todas foram eliminadas.
A encriptação ponta a ponta protege o percurso de transmissão da fotografia; depois de a abrir, a segurança da cópia visível também depende do dispositivo e da forma como a aplicação armazena os dados. Mas nem todos os ficheiros temporários no Android são públicos, e nem todas as imagens em cache entram automaticamente na galeria.
Para analisar o risco, em vez da expressão vaga «fuga da cache», distinga três locais: armazenamento privado da aplicação, espaço partilhado como a galeria e memória ativa do processo, ou RAM. Cada um tem acessos e ciclos de vida diferentes.
Onde pode permanecer uma fotografia desencriptada?
| Local | Utilização habitual | Nota de segurança |
|---|---|---|
| Cache interna privada da aplicação | Voltar a apresentar rapidamente uma imagem | Outras aplicações comuns não devem ter acesso livre |
| Galeria ou espaço partilhado | Guardar, editar ou partilhar fotografias | Pode ficar acessível a aplicações autorizadas e ao serviço de cópias de segurança |
| RAM e memória dos componentes de apresentação | Processar a imagem durante a utilização | Ser temporária não significa estar protegida num dispositivo infetado |
| Cópia exportada ou pré-visualização | Abrir o ficheiro noutra aplicação | Pode ter um ciclo de eliminação independente |
A documentação de armazenamento do Android distingue o espaço específico da aplicação do espaço partilhado. Assim, a frase «todos os ficheiros de cache são indexados pelo MediaStore» é incorreta; o caminho de armazenamento, a API utilizada e as permissões são determinantes.
Que proteção tem a cache interna?
O Android isola o espaço interno específico da aplicação das outras aplicações comuns. O guia oficial recomenda este espaço para dados sensíveis temporários. Um ficheiro de cache pode ser eliminado pela própria aplicação ou pelo sistema antes da desinstalação, mas o programador não deve deixar a limpeza depender apenas da falta de espaço no dispositivo. Guia de ficheiros específicos da aplicação.
Esta proteção não equivale a «ninguém consegue extrair o ficheiro». O acesso de um atacante a um telemóvel bloqueado, desbloqueado, com sistema operativo vulnerável ou com acesso root não é igual. Uma afirmação forense válida deve especificar o modelo do dispositivo, a versão do sistema, o estado de bloqueio e o tipo de acesso do atacante.
Porque guardar na RAM não garante eliminação completa?
Evitar escrever uma cópia em claro no disco pode reduzir o número de cópias persistentes. Limpar buffers sensíveis também pode fazer parte de uma conceção defensiva. Contudo, não se pode declarar nula a possibilidade de recuperação apenas por mencionar «colocar a RAM a zero».
Durante o processamento, uma imagem pode ser copiada para vários buffers, bibliotecas ou componentes de apresentação. Limpar um buffer não prova, por si só, que todas as cópias foram eliminadas. Mesmo sem criar qualquer ficheiro persistente, malware com acesso aos dados durante a apresentação pode copiá-los. A encriptação e a gestão de memória complementam-se, não se substituem.
O que podem fazer os utilizadores?
- Verifique a gravação na galeria separadamente da transferência automática. Receber conteúdos para os apresentar na aplicação não é necessariamente o mesmo que guardá-los na galeria.
- Controle as cópias de segurança das fotografias. Uma fotografia exportada pode chegar à nuvem independentemente do chat.
- Reveja as permissões de fotografias e ficheiros das outras aplicações. Não confunda o acesso necessário para uma tarefa específica com acesso permanente à coleção de fotografias.
- Experimente com uma fotografia de teste. Veja que cópias ficam na galeria ou noutra aplicação depois de receber, abrir, guardar e eliminar.
- Verifique a recuperação antes de eliminar os dados da aplicação. «Limpar cache», «limpar armazenamento» e terminar sessão têm efeitos diferentes; a segunda opção pode eliminar chaves ou dados locais necessários.
Um teste com uma fotografia não sensível é útil, mas a ausência do ficheiro na galeria não prova que não existem vestígios no dispositivo.
Como deve o programador testar a limpeza?
A análise deve abranger todo o percurso dos conteúdos: receção, desencriptação, apresentação, partilha, fecho do ecrã, fim de sessão e novo início de sessão. Transferências ou criação de pré-visualizações em curso devem ser coordenadas com a política de fim de sessão; caso contrário, pode ser escrito um novo ficheiro após a limpeza. Este é um cenário testável, não uma afirmação comprovada sobre todos os mensageiros.
Teste uma versão específica e registe os locais dos ficheiros e o resultado de cada etapa. As recomendações de segurança do Android salientam a minimização do acesso e o armazenamento dos dados sensíveis no local adequado.
O que diz esta discussão sobre a Livara?
O modelo de ameaças da Livara não garante proteção num dispositivo infetado ou desbloqueado. A documentação da encriptação de transmissão, por si só, não sustenta a afirmação de que «nenhuma cópia em claro fica na cache». Essa afirmação exige analisar uma versão específica da aplicação e os percursos dos conteúdos.
Conclusão: conheça os locais e o número de cópias das fotografias. Reduzir cópias adicionais, bloquear adequadamente o dispositivo e atualizar são importantes; uma promessa de «recuperação zero» sem testes nem modelo de ameaças não é um critério fiável.
