Внутренний кэш, галерея и RAM — три разные границы; удаление одной копии не доказывает удаления всех.
Сквозное шифрование защищает путь передачи фотографии; после её открытия безопасность видимой копии зависит также от устройства и способа хранения данных приложением. Но не каждый временный файл в Android общедоступен и не каждое изображение из кэша автоматически попадает в галерею.
Чтобы оценить риск, вместо расплывчатого выражения «утечка из кэша» различайте три места: частное хранилище приложения, общее пространство, например галерею, и активную память процесса, или RAM. У каждого свои правила доступа и жизненный цикл.
Где может остаться расшифрованная фотография?
| Место | Обычное назначение | Особенность безопасности |
|---|---|---|
| Частный внутренний кэш приложения | Быстрое повторное отображение изображения | Другие обычные приложения не должны иметь к нему свободного доступа |
| Галерея или общее хранилище | Сохранение, редактирование или передача фотографии | Может быть доступно приложениям с разрешениями и службе резервного копирования |
| RAM и память компонентов отображения | Обработка изображения во время использования | Временный характер не означает защищённости от заражённого устройства |
| Экспортированная копия или предпросмотр | Открытие файла в другом приложении | Может иметь независимый цикл удаления |
Документация Android по хранению данных различает пространство конкретного приложения и общее хранилище. Поэтому утверждение «каждый файл кэша индексируется MediaStore» неверно: решающими являются путь хранения, используемый API и разрешения.
Как защищён внутренний кэш?
Android изолирует внутреннее пространство приложения от других обычных приложений. Официальное руководство рекомендует именно его для временных чувствительных данных. Файл кэша может быть удалён самим приложением или системой ещё до удаления приложения, но разработчик не должен оставлять очистку исключительно на случай нехватки места на устройстве. Руководство по файлам приложений.
Эта защита не равнозначна утверждению «никто не может извлечь файл». Доступ злоумышленника к заблокированному телефону, разблокированному телефону, уязвимой ОС или устройству с root-доступом неодинаков. Для обоснованного криминалистического утверждения необходимо указать модель устройства, версию системы, состояние блокировки и тип доступа злоумышленника.
Почему хранение в RAM не гарантирует полного удаления?
Отказ от записи незашифрованной копии на диск может сократить число долговременных копий. Очистка чувствительных буферов тоже может быть частью защитного проектирования. Однако одного упоминания «обнуления RAM» недостаточно, чтобы объявить вероятность восстановления нулевой.
При обработке изображение может копироваться в несколько буферов, библиотек или компонентов отображения. Очистка одного буфера сама по себе не доказывает удаления всех копий. Даже если долговременный файл не создаётся, вредоносное ПО, имеющее доступ к данным во время показа, может их скопировать. Шифрование и управление памятью дополняют, а не заменяют друг друга.
Что могут сделать пользователи?
- Проверяйте сохранение в галерею отдельно от автоматической загрузки. Получение медиа для показа внутри приложения не обязательно означает сохранение в галерею.
- Контролируйте резервное копирование фотографий. Экспортированная фотография может попасть в облако независимо от чата.
- Проверяйте разрешения других приложений на фотографии и файлы. Не путайте доступ, необходимый для конкретного действия, с постоянным доступом ко всей коллекции фотографий.
- Проверьте поведение на тестовой фотографии. Посмотрите, какая копия остаётся в галерее или другом приложении после получения, открытия, сохранения и удаления.
- Проверьте способ восстановления перед удалением данных приложения. «Очистить кэш», «Очистить хранилище» и выход из аккаунта имеют разные последствия; второе действие может уничтожить ключи или необходимые локальные данные.
Тест с нечувствительной фотографией полезен, но отсутствие файла в галерее не доказывает отсутствия каких-либо следов на устройстве.
Как разработчику проверять очистку?
Проверка должна охватывать весь путь медиа: получение, расшифровку, отображение, передачу, закрытие экрана, выход из аккаунта и повторный вход. Выполняющиеся загрузки или создание предпросмотра должны быть согласованы с политикой выхода; иначе после очистки может быть записан новый файл. Это проверяемый сценарий, а не доказанное утверждение обо всех мессенджерах.
Проводите тест на определённой версии и записывайте расположение файлов и результат каждого этапа. Рекомендации Android по безопасности подчёркивают необходимость минимизировать доступ и хранить чувствительные данные в подходящем месте.
Что это говорит о Livara?
Модель угроз Livara не гарантирует защиту от заражённого или разблокированного устройства. Документация шифрования при передаче сама по себе не подтверждает утверждение «в кэше не остаётся ни одной незашифрованной копии». Такой вывод требует проверки конкретной версии приложения и путей обработки медиа.
Итог: Знайте расположение и количество копий фотографий. Важны сокращение лишних копий, надлежащая блокировка устройства и обновления; обещание «нулевого восстановления» без тестирования и модели угроз — ненадёжный критерий.
