Результат форензики зависит от фактического состояния устройства и ключей, а не только от названия базы данных или алгоритма.
Сквозное шифрование и защита локальных данных — связанные, но разные задачи. Сообщение, защищённое при передаче по сети, должно стать читаемым для отображения на устройстве. Результат криминалистического исследования зависит от состояния устройства, типа доступа, версии системы и приложения, а также расположения ключей; одно название алгоритма не определяет результат.
Поэтому осторожности требуют как утверждение «при физическом доступе всё сразу читается», так и обещание «извлечение никогда невозможно».
Рассматривайте четыре уровня защиты отдельно
| Уровень | Основная задача | Важное ограничение |
|---|---|---|
| E2EE сообщений | Защита содержимого между устройствами участников | Не гарантирует безопасность устройства и локальных копий |
| Изоляция приложений | Ограничение доступа обычных приложений к данным друг друга | Высокопривилегированный доступ или уязвимость могут изменить модель |
| Шифрование файлов или диска | Защита хранимых данных при определённых условиях | Важны состояние блокировки и доступность ключа |
| Шифрование базы данных в приложении | Дополнительная граница защиты файла базы данных | Решающее значение имеют хранение и использование ключа |
Документация Android FBE различает хранилище, зависящее от учётных данных пользователя, и хранилище, доступное в Direct Boot. По фразе «телефон заблокирован» нельзя определить полное состояние ключей; может иметь значение и то, происходила ли первая разблокировка после запуска.
Что доказывает файл SQLite?
SQLite — формат и движок хранения, а не обозначение, само по себе показывающее наличие или отсутствие всех защит. Файл может находиться в зашифрованном пространстве операционной системы или защищаться отдельным решением.
Кроме того, удаление строки не обязательно устраняет все её следы во всех файлах. Документация SQLite описывает настройки безопасного удаления и ограничения виртуальных таблиц. При рассмотрении жизненного цикла данных нужно учитывать также вспомогательные файлы и резервные копии. Это не означает гарантированного восстановления любого удалённого сообщения на любом телефоне.
Не выполняйте команды обслуживания базы на реальных данных без знания приложения; прямое изменение файлов приложения может повредить данные или изменить доказательства.
SQLCipher и Keystore — решения, а не сертификаты неуязвимости
SQLCipher предназначен для прозрачного шифрования базы данных, но характеристики нужно читать с учётом версии. Страница архитектуры SQLCipher описывает AES-CBC с аутентификацией; анонс бета-версии 5 в сентябре 2026 года сообщает о переходе на AES-GCM. Поэтому приписывать один режим шифрования всем версиям неточно.
Android Keystore тоже может обеспечивать защиту ключа и контроль его использования, но необходимо установить, какие возможности и какой аппаратный уровень действительно использует приложение. Упоминание StrongBox в статье не доказывает его использование продуктом. Руководство Keystore.
Даже неизвлекаемый ключ при определённых условиях может использоваться через разрешённые операции. «Ключ нельзя скопировать» и «злоумышленник не может открыть никакие данные» — не одно утверждение.
Какую роль играют RAM и ратчет?
Ограничение времени жизни ключа и чувствительного текста уменьшает число возможностей утечки. Но очистка одного буфера не доказывает, что другие копии не остались в библиотеке, предпросмотре или процессе отображения.
Действие ратчета тоже различается в зависимости от типа раскрытого ключа и сохранения доступа злоумышленника. Из «отдельного ключа для каждого сообщения» нельзя заключить, что один снимок памяти раскрывает максимум одно сообщение. Хранение читаемой истории на устройстве — отдельный вопрос от ключей передачи.
Что не подтверждено в отношении Livara?
Модель угроз Livara не гарантирует защиту заражённого или разблокированного устройства. Эта статья не подтверждает независимо использование SQLCipher или StrongBox конкретной версией Livara, полную очистку RAM либо отсутствие локальных данных звонков. Без отчёта об испытаниях и доказательств реализации эти свойства нельзя приписывать продукту.
Кроме того, пакет восстановления личности в документации безопасности — не то же самое, что резервная копия истории. Проверка хеша APK в Proof Lab может показать соответствие файла доверенному хешу; её результат не является аудитом хранения или испытанием защиты от форензики.
Какие сведения должно содержать обоснованное заявление о форензике?
Запрашивайте модель устройства, версии системы и приложения, состояние блокировки, метод и уровень доступа, тип полученных данных и ограничения теста. Неудача одного инструмента в одном эксперименте не доказывает невозможность всех методов; ограниченный успех тоже не даёт оснований обобщать результат на всех пользователей.
Для обычного пользователя приоритетны обновления, надёжная блокировка, сокращение лишних копий медиа и защита способов восстановления. При серьёзном инциденте обратитесь к уполномоченному специалисту до действий, меняющих данные или доказательства.
