Verdwijnende berichten kunnen de hoeveelheid gespreksgeschiedenis op deelnemende apparaten verminderen. Ze garanderen niet dat elke kopie van een bericht is verdwenen, en een timer is geen certificaat voor forensisch veilige gegevenssanering.
De nuttige vraag is niet of verwijderen „echt” of „nep” is. Het is: welke kopie wordt verwijderd, uit welke opslaglocatie en onder welke aannames? De zichtbare chat van een app, de lokale database, een gedownloade bijlage en de screenshot van een ontvanger zijn verschillende kopieën.
Wat een timer voor verdwijnende berichten kan doen
Een timer vertelt meewerkende software wanneer die inhoud volgens de regels van het product moet verwijderen. Die regels kunnen verschillen: de tijd kan ingaan bij verzenden of lezen, een instelling kan alleen op nieuwe berichten van toepassing zijn en gekoppelde apparaten kunnen vertraagde aflevering afzonderlijk behandelen.
Signals handleiding voor verdwijnende berichten waarschuwt uitdrukkelijk dat de functie geen bescherming biedt tegen een ontvanger die een verslag wil bewaren. Die beperking geldt ongeacht hoe zorgvuldig lokaal verwijderen is geïmplementeerd.
Een ontvanger kan vóór het verlopen een scherm fotograferen, een passage kopiëren of een bestand opslaan. Malware met toegang tot leesbare tekst kan hetzelfde doen zonder te wachten tot iemand een screenshot maakt.
Waarom uit opslag verwijderen ingewikkelder is dan een tekstballon weghalen
Het verwijderen van een databaserecord of bestand overschrijft niet noodzakelijk meteen elke fysieke locatie waar het ooit heeft gestaan. Databases, tijdelijke bestanden, back-ups en het beheer van flashopslag kunnen verwijderen bemoeilijken. Maar dat toont niet aan dat elk verwijderd bericht op elke moderne telefoon eenvoudig terug te halen is.
Herstelbaarheid hangt af van de app, het besturingssysteem, opslagversleuteling, de beschikbaarheid van sleutels, de toestand van het apparaat en de mogelijkheden van de aanvaller. Uitspraken over een specifieke app vereisen bewijs over die app en versie, niet een algemene uitspraak over SQLite of flashgeheugen.
Wat cryptografisch wissen toevoegt
Cryptografisch wissen is bedoeld om versleutelde gegevens ontoegankelijk te maken door de sleutels die nodig zijn om ze te ontsleutelen veilig te verwijderen. NIST bespreekt deze aanpak in zijn actuele richtlijn voor mediasanering SP 800-88 Revision 2.
Voor het ontwerp van een berichtendienst hangt het nut ervan af van verschillende voorwaarden:
- De betreffende inhoud is vóór opslag op passende wijze versleuteld.
- De verwijderde sleutel is daadwerkelijk nodig om die inhoud te herstellen.
- Geen overgebleven sleutel, back-up of bewaarde afleidingstoestand kan hem reconstrueren.
- Alle relevante sleutelkopieën worden aangepakt, niet slechts één variabele in het geheugen.
- Kopieën in leesbare tekst en onafhankelijke kopieën van ontvangers worden afzonderlijk behandeld.
Sleutels per bericht of per bestand kunnen fijnmazig bewaarbeleid ondersteunen. Hun bestaan alleen bewijst niet dat veilig wissen plaatsvindt. Het verwijderen van een bijlagesleutel terwijl die in een toegankelijk oud bericht bewaard blijft, kan een herstelroute openlaten.
Vier kopieën die verschillende maatregelen nodig hebben
| Kopie | Wat te controleren |
|---|---|
| Bericht in de app | Timergedrag, lokale bewaring en behandeling van gekoppelde apparaten |
| Gedownloade foto of document | Galerij, downloads, exports en opslag van andere apps |
| Back-up of overgedragen geschiedenis | Of verlopen inhoud of bruikbare sleutels herstelbaar blijven |
| Eigen kopie van de ontvanger | Vertrouwen en afspraken over delen; verwijderen op afstand kan terughalen niet garanderen |
Versleuteling van het hele apparaat blijft nuttig, ook als een app aparte inhoudssleutels gebruikt. Deze maatregelen beschermen verschillende situaties; geen van beide moet als irrelevant worden afgedaan.
Verdwijnende berichten realistisch gebruiken
Kies een bewaartermijn die bij het gesprek past en zorg dat deelnemers die begrijpen. Controleer of het opslaan van media een aparte kopie maakt. Bekijk hoe back-ups werken en wat er gebeurt wanneer een offline gekoppeld apparaat opnieuw verbinding maakt.
Moet u een apparaat afvoeren, volg dan de saneringsprocedure van het besturingssysteem of de organisatie. Beschouw een chattimer niet als vervanging voor maatregelen bij het afvoeren van apparaten.
Voor Livara beschrijft de beveiligingspagina sleutels per bestand en benoemt het dreigingsmodel blootstelling bij ontvangers en eindapparaten. Die feiten bewijzen op zichzelf geen cryptografisch wissen per bericht of forensisch veilige verwijdering op elk apparaat. Dit artikel doet geen dergelijke uitspraak over de implementatie.
Verdwijnende berichten zijn vooral nuttig als bewaarmaatregel. Beschouw onomkeerbaar verwijderen als een sterkere claim die afzonderlijk bewijs vereist.
