تعتمد نتيجة الفحص الجنائي الرقمي على الحالة الفعلية للجهاز والمفاتيح، لا على اسم قاعدة البيانات أو الخوارزمية وحده.
التشفير التام بين الطرفين وحماية البيانات المحلية مسألتان مترابطتان لكنهما مختلفتان. فالرسالة المحمية أثناء انتقالها عبر الشبكة يجب أن تصبح قابلة للقراءة لعرضها على الجهاز. وتعتمد نتيجة الفحص الجنائي الرقمي على حالة الجهاز ونوع الوصول وإصدار النظام والتطبيق ومكان المفاتيح؛ ولا يحدد اسم أي خوارزمية النتيجة بمفرده.
لذلك يجب الحذر من ادعاء «مع الوصول المادي تُقرأ جميع البيانات فورًا»، وكذلك من وعد «الاستخراج مستحيل دائمًا».
افحص أربع طبقات حماية كلًّا على حدة
| الطبقة | الدور الأساسي | قيد مهم |
|---|---|---|
| التشفير التام بين الطرفين للرسائل | حماية المحتوى بين أجهزة المشاركين | لا يضمن سلامة الجهاز وحماية النسخ المحلية |
| عزل التطبيقات | تقييد وصول التطبيقات العادية إلى بيانات بعضها | قد يغيّر الوصول بصلاحيات عالية أو وجود ثغرة هذا النموذج |
| تشفير الملفات أو القرص | حماية البيانات المخزّنة ضمن شروط محددة | حالة القفل وتوافر المفتاح مهمان |
| تشفير قاعدة البيانات داخل التطبيق | حد حماية إضافي لملف قاعدة البيانات | طريقة حفظ المفتاح واستخدامه عامل حاسم |
تميّز وثائق FBE في أندرويد بين التخزين المرتبط ببيانات اعتماد المستخدم والتخزين المتاح في Direct Boot. لا يمكن معرفة حالة جميع المفاتيح من عبارة «الهاتف مقفل» وحدها؛ فقد يكون من المهم أيضًا ما إذا كان أول فتح للقفل بعد التشغيل قد حدث أم لا.
ماذا يثبت ملف SQLite؟
SQLite تنسيق ومحرك تخزين، وليس تصنيفًا يبيّن وحده وجود جميع وسائل الحماية أو غيابها. قد يكون الملف داخل مساحة مشفرة بنظام التشغيل أو محميًا بحل منفصل.
كذلك فإن حذف صف لا يزيل بالضرورة جميع آثاره من كل الملفات. تشرح وثائق SQLite إعدادات الحذف الآمن وقيود الجداول الافتراضية. ويجب أيضًا مراعاة الملفات الجانبية والنسخ الاحتياطية عند فحص دورة حياة البيانات. هذا لا يعني ضمان استعادة كل رسالة محذوفة على كل هاتف.
لا تنفّذ أوامر صيانة قاعدة البيانات على بيانات حقيقية دون معرفة التطبيق؛ فقد يؤدي التعديل المباشر لملفاته إلى إتلاف البيانات أو تغيير الأدلة.
SQLCipher وKeystore حلّان، لا شهادتا حصانة
صُمّم SQLCipher لتشفير قواعد البيانات بشفافية، لكن يجب قراءة المواصفات بحسب الإصدار. تصف صفحة تصميم SQLCipher بنية AES-CBC مع التحقق من الأصالة؛ ويذكر تقديم الإصدار التجريبي 5 في سبتمبر 2026 الانتقال إلى AES-GCM. لذلك ليس من الدقة نسبة نمط تشفير واحد إلى جميع الإصدارات.
يمكن لـAndroid Keystore أيضًا توفير حماية للمفتاح والتحكم في استخدامه، لكن يلزم تحديد الإمكانات ومستوى العتاد اللذين استخدمهما التطبيق فعلًا. ورود اسم StrongBox في مقال ليس دليلًا على استخدام المنتج له. دليل Keystore.
حتى المفتاح غير القابل للاستخراج قد يكون قابلًا للاستخدام في ظروف معينة عبر عمليات مسموح بها. «لا يمكن نسخ المفتاح» ليست الادعاء نفسه الذي تقوله عبارة «لا يستطيع المهاجم فتح أي بيانات».
ما دور RAM وآلية ratchet؟
تقليل مدة بقاء المفتاح والنص الحساس يقلل فرص الانكشاف. لكن مسح مخزن مؤقت واحد لا يثبت عدم بقاء أي نسخة أخرى في مكتبة أو معاينة أو عملية عرض.
كما يختلف نطاق حماية ratchet بحسب نوع المفتاح المنكشف واستمرار وصول المهاجم. لا يمكن استنتاج أن لقطة واحدة للذاكرة تكشف رسالة واحدة كحد أقصى من عبارة «مفتاح مستقل لكل رسالة». وتخزين سجل قابل للقراءة على الجهاز مسألة منفصلة عن مفاتيح النقل.
ما الذي لم يُتحقّق منه بشأن Livara؟
لا يضمن نموذج تهديدات Livara حماية جهاز مصاب أو غير مقفل. ولا يؤكد هذا المقال بشكل مستقل استخدام إصدار محدد من Livara لـSQLCipher أو StrongBox، أو مسح RAM بالكامل، أو غياب بيانات المكالمات المحلية. ولا ينبغي نسبة هذه الأمور إلى المنتج دون تقرير اختبار وأدلة على التنفيذ.
كذلك فإن حزمة استعادة الهوية في وثائق الأمان ليست نسخة احتياطية من السجل. يمكن لفحص بصمة APK في Proof Lab إظهار تطابق الملف مع بصمة موثوقة؛ لكن نتيجته ليست تدقيقًا للتخزين أو اختبارًا لمقاومة الفحص الجنائي الرقمي.
ما المعلومات التي يجب أن يتضمنها ادعاء جنائي رقمي موثوق؟
اطلب طراز الجهاز وإصدار النظام والتطبيق وحالة القفل وطريقة الوصول ومستواه ونوع البيانات التي جرى الحصول عليها وحدود الاختبار. فشل أداة في تجربة واحدة لا يثبت استحالة جميع الطرق؛ كما أن النجاح المحدود لا يبرر التعميم على كل المستخدمين.
بالنسبة للمستخدم العادي، الأولويات هي التحديثات والقفل القوي وتقليل نسخ الوسائط الزائدة والاهتمام بطرق الاستعادة. وفي حادثة خطيرة، استعن بخبير مخوّل قبل إجراءات تغيّر البيانات أو الأدلة.
