Зникаючі повідомлення можуть зменшити обсяг історії розмов, що зберігається на пристроях учасників. Вони не гарантують зникнення кожної копії повідомлення, а таймер не є сертифікатом очищення даних, що унеможливлює криміналістичне відновлення.
Корисне питання не в тому, чи видалення «справжнє» або «несправжнє». Воно таке: яка копія видаляється, з якого сховища та за яких припущень? Видимий чат застосунку, його локальна база даних, завантажене вкладення та знімок екрана одержувача — різні копії.
Що може таймер зникаючих повідомлень
Таймер указує програмному забезпеченню, яке дотримується правил продукту, коли видаляти вміст. Правила можуть відрізнятися: відлік може починатися під час надсилання або прочитання, налаштування може стосуватися лише нових повідомлень, а пов’язані пристрої можуть окремо обробляти затриману доставку.
У настановах Signal щодо зникаючих повідомлень прямо попереджено, що ця функція не захищає від одержувача, який бажає зберегти запис. Обмеження діє незалежно від ретельності реалізації локального видалення.
Одержувач може сфотографувати екран, скопіювати уривок або зберегти файл до закінчення строку. Шкідливе ПЗ із доступом до відкритого тексту може зробити те саме, не чекаючи, поки людина зробить знімок екрана.
Чому видалення зі сховища складніше за прибирання бульбашки повідомлення
Видалення запису бази даних або файлу не обов’язково відразу перезаписує всі фізичні ділянки, де вони колись містилися. Бази даних, тимчасові файли, резервні копії та керування флешпам’яттю можуть ускладнювати видалення. Однак це не доводить, що кожне видалене повідомлення на будь-якому сучасному телефоні легко відновити.
Можливість відновлення залежить від застосунку, операційної системи, шифрування сховища, доступності ключів, стану пристрою та можливостей нападника. Твердження про конкретний застосунок потребують доказів щодо цього застосунку та версії, а не загального висловлювання про SQLite чи флешпам’ять.
Що додає криптографічне стирання
Мета криптографічного стирання — зробити зашифровані дані недоступними через надійне знищення ключів, потрібних для розшифрування. NIST розглядає цей підхід у чинних настановах з очищення носіїв SP 800-88 Revision 2.
Для архітектури обміну повідомленнями його корисність залежить від кількох умов:
- Цільовий вміст належним чином зашифровано перед збереженням.
- Видалений ключ справді необхідний для відновлення цього вмісту.
- Жоден уцілілий ключ, резервна копія чи збережений стан виведення ключів не дозволяє відновити його.
- Враховано всі відповідні копії ключа, а не лише одну змінну в пам’яті.
- Копії відкритого тексту та незалежні копії одержувачів обробляються окремо.
Окремі ключі для повідомлень або файлів можуть підтримувати деталізовані політики зберігання. Саме їх існування не доводить безпечного стирання. Видалення ключа вкладення зі збереженням його всередині доступного давнього повідомлення може залишити шлях відновлення.
Чотири копії, що потребують різних заходів контролю
| Копія | Що перевірити |
|---|---|
| Повідомлення всередині застосунку | Поведінку таймера, локальне зберігання та обробку на пов’язаних пристроях |
| Завантажене фото або документ | Галерею, завантаження, експорт і сховища інших застосунків |
| Резервна копія або перенесена історія | Чи залишаються придатними до відновлення прострочений вміст або дієві ключі |
| Власна копія одержувача | Довіру та домовленість про поширення; віддалене видалення не гарантує відкликання копій |
Шифрування всього пристрою залишається корисним, навіть коли застосунок використовує окремі ключі вмісту. Ці заходи захищають у різних ситуаціях; жоден не слід вважати несуттєвим.
Як реалістично користуватися зникаючими повідомленнями
Виберіть відповідний розмові строк зберігання й переконайтеся, що учасники його розуміють. Перевірте, чи створює збереження медіа окрему копію. З’ясуйте поведінку резервного копіювання та що відбувається, коли пов’язаний пристрій, який був офлайн, знову підключається.
Якщо потрібно вивести пристрій з експлуатації, дотримуйтеся процедури очищення даних операційної системи або організації. Не вважайте таймер чату заміною заходам під час утилізації пристрою.
Для Livara сторінка безпеки описує окремі ключі файлів, а модель загроз визначає ризики розкриття в одержувача та на кінцевих пристроях. Самі по собі ці факти не доводять криптографічного стирання кожного повідомлення чи видалення, що унеможливлює криміналістичне відновлення, на кожному пристрої. Ця стаття не заявляє про таку реалізацію.
Зникаючі повідомлення найкорисніші як засіб контролю строків зберігання. Незворотне видалення — сильніше твердження, що потребує окремих доказів.
