الذاكرة المؤقتة الداخلية والمعرض وRAM ثلاث حدود مختلفة؛ حذف نسخة واحدة لا يثبت حذف جميع النسخ.
يحمي التشفير التام بين الطرفين مسار نقل الصورة؛ وبعد فتحها، يعتمد أمان النسخة القابلة للعرض أيضًا على الجهاز وطريقة تخزين التطبيق. لكن ليس كل ملف مؤقت في Android عامًا، ولا تدخل كل صورة مخزنة في الذاكرة المؤقتة إلى المعرض تلقائيًا.
لفحص الخطر، ميّز بين ثلاثة مواضع بدلًا من العبارة المبهمة «تسرّب من الذاكرة المؤقتة»: تخزين التطبيق الخاص، والمساحة المشتركة مثل المعرض، وذاكرة العملية النشطة أو RAM. لكل منها صلاحيات وصول ودورة حياة مختلفة.
أين قد تبقى الصورة بعد فك تشفيرها؟
| الموضع | الاستخدام المعتاد | الملاحظة الأمنية |
|---|---|---|
| ذاكرة التطبيق المؤقتة الداخلية الخاصة | إعادة عرض الصورة بسرعة | ينبغي ألا تصل إليها التطبيقات العادية الأخرى بحرية |
| المعرض أو المساحة المشتركة | حفظ الصورة أو تعديلها أو مشاركتها | قد تتمكن التطبيقات ذات الأذونات وخدمة النسخ الاحتياطي من الوصول إليها |
| RAM وذاكرة مكونات العرض | معالجة الصورة أثناء الاستخدام | كونها مؤقتة لا يعني حصانتها على جهاز مخترق |
| النسخة المصدّرة أو المعاينة | فتح الملف في تطبيق آخر | قد تكون لها دورة حذف مستقلة |
تميّز وثائق التخزين في Android بين المساحة الخاصة بالتطبيق والمساحة المشتركة. لذلك فإن عبارة «يفهرس MediaStore كل ملف مؤقت» غير صحيحة؛ فمسار التخزين وواجهة API المستخدمة والأذونات عوامل حاسمة.
ما الحماية التي توفرها الذاكرة المؤقتة الداخلية؟
يعزل Android المساحة الداخلية الخاصة بالتطبيق عن التطبيقات العادية الأخرى. ويوصي الدليل الرسمي بهذه المساحة للبيانات الحساسة المؤقتة. قد يحذف التطبيق نفسه أو النظام ملفًا مؤقتًا قبل إزالة التطبيق، لكن ينبغي للمطور ألا يترك التنظيف معتمدًا فقط على نقص مساحة الجهاز. دليل الملفات الخاصة بالتطبيق.
هذه الحماية لا تعني «لا يستطيع أحد استخراج الملف». ليست قدرة المهاجم على الوصول إلى هاتف مقفل أو مفتوح، أو نظام تشغيل ذي ثغرات، أو جهاز بصلاحيات الجذر، متساوية. يتطلب الادعاء الموثوق بشأن التحليل الجنائي تحديد طراز الجهاز وإصدار النظام وحالة القفل ونوع وصول المهاجم.
لماذا لا يضمن الاحتفاظ في RAM حذفًا كاملًا؟
يمكن لتجنب كتابة نسخة غير مشفّرة على القرص أن يقلل عدد النسخ الدائمة. وقد يكون مسح المخازن المؤقتة الحساسة جزءًا من التصميم الدفاعي. ومع ذلك، لا يمكن إعلان أن احتمال الاسترداد صفر بمجرد ذكر «تصفير RAM».
قد تُنسخ الصورة أثناء المعالجة إلى عدة مخازن مؤقتة أو مكتبات أو مكونات عرض. مسح مخزن واحد لا يثبت بحد ذاته حذف جميع النسخ. وحتى إن لم يُنشأ أي ملف دائم، فقد تنسخ برمجية خبيثة البيانات إذا استطاعت الوصول إليها أثناء العرض. التشفير وإدارة الذاكرة متكاملان، لا بديلان أحدهما عن الآخر.
ما الذي يستطيع المستخدمون فعله؟
- افحص الحفظ في المعرض بمعزل عن التنزيل التلقائي. استقبال الوسائط لعرضها داخل التطبيق لا يساوي بالضرورة حفظها في المعرض.
- تحكّم في النسخ الاحتياطي للصور. قد تدخل صورة مصدّرة إلى السحابة بصورة مستقلة عن المحادثة.
- راجع أذونات الصور والملفات للتطبيقات الأخرى. لا تخلط بين الوصول اللازم لمهمة محددة والوصول الدائم إلى مجموعة الصور.
- افحص باستخدام صورة تجريبية. انظر أي نسخة تبقى في المعرض أو تطبيق آخر بعد الاستقبال والفتح والحفظ والحذف.
- تحقق من طريقة الاسترداد قبل حذف بيانات التطبيق. تختلف آثار «مسح الذاكرة المؤقتة» و«مسح مساحة التخزين» وتسجيل الخروج؛ وقد يزيل الخيار الثاني مفاتيح أو بيانات محلية لازمة.
الاختبار بصورة غير حساسة مفيد، لكن عدم وجود ملف في المعرض لا يثبت عدم وجود أي أثر على الجهاز.
كيف يختبر المطور التنظيف؟
ينبغي أن يشمل الفحص مسار الوسائط كاملًا: الاستقبال وفك التشفير والعرض والمشاركة وإغلاق الشاشة وتسجيل الخروج وتسجيل الدخول مجددًا. يجب تنسيق عمليات التنزيل أو إنشاء المعاينات الجارية مع سياسة الخروج؛ وإلا فقد يُكتب ملف جديد بعد التنظيف. هذا سيناريو قابل للاختبار، وليس ادعاءً مثبتًا عن جميع تطبيقات المراسلة.
نفّذ الاختبار على إصدار محدد، وسجّل مواقع الملفات ونتيجة كل مرحلة. تؤكد توصيات أمان Android تقليل الوصول والاحتفاظ بالبيانات الحساسة في الموضع المناسب.
ماذا يعني هذا النقاش بالنسبة إلى Livara؟
لا يضمن نموذج تهديد Livara حماية الجهاز المخترق أو المفتوح. وثائق تشفير النقل وحدها ليست دليلًا على ادعاء «لا تبقى أي نسخة غير مشفّرة في الذاكرة المؤقتة». يتطلب ذلك فحص إصدار محدد من التطبيق ومسارات الوسائط.
الخلاصة: اعرف مواضع نسخ الصور وعددها. تقليل النسخ الزائدة وقفل الجهاز بطريقة مناسبة والتحديث أمور مهمة؛ أما وعد «انعدام إمكانية الاسترداد» دون اختبار ونموذج تهديد فليس معيارًا موثوقًا.
