پیام‌های ناپدیدشونده می‌توانند مقدار تاریخچهٔ گفت‌وگوی نگهداری‌شده روی دستگاه‌های مشارکت‌کننده را کاهش دهند. آن‌ها تضمین نمی‌کنند که همهٔ نسخه‌های یک پیام ناپدید شده باشد و تایمر، گواهی پاک‌سازی داده در برابر بازیابی جرم‌یابانه نیست.
پرسش مفید این نیست که حذف «واقعی» است یا «ساختگی». پرسش این است: کدام نسخه، از کدام محل ذخیره‌سازی و با چه فرض‌هایی حذف می‌شود؟ چت قابل‌مشاهدهٔ برنامه، پایگاه دادهٔ محلی آن، پیوست دانلودشده و اسکرین‌شات گیرنده نسخه‌های متفاوتی هستند.
تایمر پیام ناپدیدشونده چه کاری می‌تواند انجام دهد؟
تایمر به نرم‌افزارهای همکاری‌کننده می‌گوید طبق قواعد محصول چه زمانی محتوا را حذف کنند. این قواعد ممکن است متفاوت باشند: شمارش زمان شاید هنگام ارسال یا خواندن آغاز شود، تنظیم ممکن است فقط شامل پیام‌های جدید باشد و دستگاه‌های متصل ممکن است تحویل با تأخیر را جداگانه مدیریت کنند.
راهنمای پیام‌های ناپدیدشوندهٔ سیگنال صریحاً هشدار می‌دهد که این قابلیت دفاعی در برابر گیرنده‌ای نیست که می‌خواهد سابقه‌ای نگه دارد. این محدودیت مستقل از میزان دقت در پیاده‌سازی حذف محلی برقرار است.
گیرنده می‌تواند پیش از پایان مهلت، از صفحه عکس بگیرد، بخشی از متن را کپی کند یا فایلی را ذخیره کند. بدافزاری که به متن آشکار دسترسی دارد نیز می‌تواند همین کار را انجام دهد، بدون اینکه منتظر اسکرین‌شات گرفتن یک فرد بماند.
چرا حذف از حافظه پیچیده‌تر از برداشتن حباب پیام است؟
حذف یک رکورد پایگاه داده یا فایل لزوماً همهٔ محل‌های فیزیکی را که زمانی آن را نگه داشته‌اند فوراً بازنویسی نمی‌کند. پایگاه‌های داده، فایل‌های موقت، پشتیبان‌ها و مدیریت حافظهٔ فلش می‌توانند حذف را پیچیده کنند. بااین‌حال، این موضوع ثابت نمی‌کند که هر پیام حذف‌شده در هر گوشی مدرن به‌آسانی بازیابی‌پذیر است.
امکان بازیابی به برنامه، سیستم‌عامل، رمزنگاری حافظه، دسترس‌پذیری کلیدها، وضعیت دستگاه و توانایی مهاجم بستگی دارد. ادعا دربارهٔ یک برنامهٔ خاص به شواهد همان برنامه و نسخه نیاز دارد، نه یک گزارهٔ کلی دربارهٔ SQLite یا حافظهٔ فلش.
پاک‌سازی رمزنگارانه چه چیزی اضافه می‌کند؟
هدف پاک‌سازی رمزنگارانه این است که با پاک‌سازی امن کلیدهای لازم برای رمزگشایی، دادهٔ رمز‌شده را دسترس‌ناپذیر کند. NIST این رویکرد را در راهنمای فعلی پاک‌سازی رسانه، SP 800-88 Revision 2 بررسی می‌کند.
در طراحی یک پیام‌رسان، سودمندی آن به چند شرط بستگی دارد:
- محتوای هدف پیش از ذخیره‌شدن به‌درستی رمزنگاری شده باشد.
- کلید حذف‌شده واقعاً برای بازیابی آن محتوا ضروری باشد.
- هیچ کلید باقی‌مانده، پشتیبان یا وضعیت نگهداری‌شدهٔ مشتق‌سازی کلید نتواند آن را بازسازی کند.
- همهٔ نسخه‌های مرتبط کلید در نظر گرفته شوند، نه فقط یک متغیر در حافظه.
- نسخه‌های متن آشکار و نسخه‌های مستقل گیرندگان جداگانه مدیریت شوند.
کلید مجزا برای هر پیام یا فایل می‌تواند از سیاست‌های دقیق نگهداری پشتیبانی کند. صرف وجود آن‌ها اثبات حذف امن نیست. حذف کلید پیوست درحالی‌که همان کلید در یک پیام قدیمیِ دسترس‌پذیر باقی مانده، ممکن است مسیر بازیابی را باز بگذارد.
چهار نسخه که به کنترل‌های متفاوت نیاز دارند
| نسخه | چه چیزی بررسی شود؟ |
|---|---|
| پیام داخل برنامه | رفتار تایمر، نگهداری محلی و نحوهٔ مدیریت دستگاه‌های متصل |
| عکس یا سند دانلودشده | گالری، دانلودها، خروجی‌ها و فضای ذخیره‌سازی برنامه‌های دیگر |
| پشتیبان یا تاریخچهٔ منتقل‌شده | آیا محتوای منقضی‌شده یا کلیدهای قابل‌استفاده همچنان بازیابی‌پذیرند؟ |
| نسخهٔ شخصی گیرنده | اعتماد و توافق اشتراک‌گذاری؛ حذف از راه دور نمی‌تواند بازپس‌گیری نسخه‌ها را تضمین کند |
رمزنگاری کل دستگاه حتی زمانی که برنامه کلیدهای جداگانهٔ محتوا دارد، همچنان مفید است. این کنترل‌ها از موقعیت‌های متفاوت محافظت می‌کنند؛ هیچ‌کدام را نباید بی‌ربط دانست.
چگونه واقع‌بینانه از پیام‌های ناپدیدشونده استفاده کنیم؟
مدت نگهداری متناسب با گفت‌وگو انتخاب کنید و مطمئن شوید شرکت‌کنندگان آن را درک می‌کنند. بررسی کنید آیا ذخیرهٔ رسانه نسخه‌ای جداگانه ایجاد می‌کند. رفتار پشتیبان‌گیری و اتفاقی را که هنگام اتصال دوبارهٔ یک دستگاه متصلِ آفلاین رخ می‌دهد مرور کنید.
اگر باید دستگاهی را از رده خارج کنید، از فرایند پاک‌سازی سیستم‌عامل یا سازمان پیروی کنید. تایمر چت را جایگزین کنترل‌های مربوط به از رده خارج کردن دستگاه ندانید.
در مورد لیوارا، صفحهٔ امنیت کلیدهای مجزای هر فایل را توضیح می‌دهد و مدل تهدید مواجههٔ گیرنده و نقاط پایانی را مشخص می‌کند. این واقعیت‌ها به‌تنهایی پاک‌سازی رمزنگارانهٔ تک‌تک پیام‌ها یا حذف مقاوم در برابر بازیابی جرم‌یابانه در همهٔ دستگاه‌ها را اثبات نمی‌کنند. این مقاله چنین ادعایی دربارهٔ پیاده‌سازی ندارد.
پیام‌های ناپدیدشونده بیشترین فایده را به‌عنوان کنترل نگهداری دارند. حذف برگشت‌ناپذیر را ادعایی قوی‌تر بدانید که به شواهد جداگانه نیاز دارد.
