Η εσωτερική κρυφή μνήμη, η συλλογή και η RAM έχουν διαφορετικά όρια· η διαγραφή ενός αντιγράφου δεν αποδεικνύει τη διαγραφή όλων.
Η κρυπτογράφηση από άκρο σε άκρο προστατεύει τη διαδρομή μετάδοσης μιας φωτογραφίας· αφού ανοίξει, η ασφάλεια της ορατής εκδοχής εξαρτάται επίσης από τη συσκευή και τον τρόπο αποθήκευσης της εφαρμογής. Όμως δεν είναι δημόσιο κάθε προσωρινό αρχείο στο Android και δεν εισέρχεται αυτόματα στη συλλογή κάθε εικόνα της κρυφής μνήμης.
Για να εξετάσετε τον κίνδυνο, αντί για την αόριστη φράση «διαρροή από την κρυφή μνήμη», διαχωρίστε τρεις τοποθεσίες: τον ιδιωτικό χώρο της εφαρμογής, τον κοινόχρηστο χώρο όπως η συλλογή και την ενεργή μνήμη της διεργασίας, ή RAM. Καθεμία έχει διαφορετική πρόσβαση και κύκλο ζωής.
Πού μπορεί να παραμείνει μια αποκρυπτογραφημένη φωτογραφία;
| Τοποθεσία | Συνήθης χρήση | Σημείο ασφάλειας |
|---|---|---|
| Ιδιωτική εσωτερική κρυφή μνήμη της εφαρμογής | Γρήγορη επανεμφάνιση της εικόνας | Άλλες συνήθεις εφαρμογές δεν θα πρέπει να έχουν ελεύθερη πρόσβαση |
| Συλλογή ή κοινόχρηστος χώρος | Αποθήκευση, επεξεργασία ή κοινοποίηση φωτογραφίας | Μπορεί να είναι προσβάσιμη σε εφαρμογές με άδεια και στην υπηρεσία αντιγράφων ασφαλείας |
| RAM και μνήμη στοιχείων προβολής | Επεξεργασία εικόνας κατά τη χρήση | Η προσωρινή φύση δεν σημαίνει προστασία από μολυσμένη συσκευή |
| Εξαγόμενο αντίγραφο ή προεπισκόπηση | Άνοιγμα αρχείου σε άλλη εφαρμογή | Μπορεί να έχει ανεξάρτητο κύκλο διαγραφής |
Η τεκμηρίωση αποθήκευσης Android διακρίνει τον χώρο που προορίζεται για την εφαρμογή από τον κοινόχρηστο χώρο. Επομένως, ο ισχυρισμός «κάθε αρχείο κρυφής μνήμης ευρετηριάζεται από το MediaStore» είναι λανθασμένος· καθοριστικά είναι η διαδρομή αποθήκευσης, το χρησιμοποιούμενο API και τα δικαιώματα.
Τι προστασία έχει η εσωτερική κρυφή μνήμη;
Το Android απομονώνει τον εσωτερικό χώρο της εφαρμογής από άλλες συνήθεις εφαρμογές. Ο επίσημος οδηγός συνιστά αυτόν τον χώρο για προσωρινά ευαίσθητα δεδομένα. Ένα αρχείο κρυφής μνήμης μπορεί να διαγραφεί από την εφαρμογή ή το σύστημα πριν από την απεγκατάστασή της, αλλά ο προγραμματιστής δεν πρέπει να αφήνει την εκκαθάριση αποκλειστικά στην έλλειψη χώρου της συσκευής. Οδηγός αρχείων ειδικά για εφαρμογές.
Αυτή η προστασία δεν ισοδυναμεί με το «κανείς δεν μπορεί να εξαγάγει το αρχείο». Η πρόσβαση ενός επιτιθέμενου σε κλειδωμένο τηλέφωνο, ξεκλείδωτο τηλέφωνο, ευάλωτο λειτουργικό σύστημα ή συσκευή με πρόσβαση root δεν είναι ίδια. Ένας έγκυρος ισχυρισμός ψηφιακής εγκληματολογίας πρέπει να προσδιορίζει το μοντέλο συσκευής, την έκδοση συστήματος, την κατάσταση κλειδώματος και το είδος πρόσβασης του επιτιθέμενου.
Γιατί η διατήρηση στη RAM δεν εγγυάται πλήρη διαγραφή;
Η αποφυγή εγγραφής μη κρυπτογραφημένου αντιγράφου στον δίσκο μπορεί να μειώσει τον αριθμό των μόνιμων αντιγράφων. Η εκκαθάριση ευαίσθητων buffer μπορεί επίσης να αποτελεί μέρος αμυντικού σχεδιασμού. Ωστόσο, η απλή αναφορά σε «μηδενισμό της RAM» δεν δικαιολογεί δήλωση μηδενικής πιθανότητας ανάκτησης.
Κατά την επεξεργασία, μια εικόνα μπορεί να αντιγραφεί σε πολλά buffer, βιβλιοθήκες ή στοιχεία προβολής. Η εκκαθάριση ενός buffer δεν αποδεικνύει από μόνη της τη διαγραφή όλων των αντιγράφων. Ακόμη κι αν δεν δημιουργείται μόνιμο αρχείο, κακόβουλο λογισμικό που έχει πρόσβαση στα δεδομένα κατά την προβολή μπορεί να τα αντιγράψει. Η κρυπτογράφηση και η διαχείριση μνήμης συμπληρώνουν η μία την άλλη, δεν την αντικαθιστούν.
Τι μπορούν να κάνουν οι χρήστες;
- Ελέγξτε την αποθήκευση στη συλλογή χωριστά από την αυτόματη λήψη. Η λήψη πολυμέσων για προβολή εντός εφαρμογής δεν είναι απαραίτητα αποθήκευση στη συλλογή.
- Ελέγξτε τα αντίγραφα ασφαλείας φωτογραφιών. Μια εξαγόμενη φωτογραφία μπορεί να μεταφερθεί στο cloud ανεξάρτητα από τη συνομιλία.
- Εξετάστε τα δικαιώματα φωτογραφιών και αρχείων άλλων εφαρμογών. Μη συγχέετε την πρόσβαση που απαιτείται για συγκεκριμένη εργασία με τη μόνιμη πρόσβαση στη συλλογή φωτογραφιών.
- Δοκιμάστε με μια δοκιμαστική φωτογραφία. Δείτε ποιο αντίγραφο παραμένει στη συλλογή ή σε άλλη εφαρμογή μετά τη λήψη, το άνοιγμα, την αποθήκευση και τη διαγραφή.
- Ελέγξτε τη δυνατότητα ανάκτησης πριν διαγράψετε δεδομένα εφαρμογής. Η «εκκαθάριση κρυφής μνήμης», η «εκκαθάριση αποθηκευτικού χώρου» και η αποσύνδεση έχουν διαφορετικές συνέπειες· η δεύτερη μπορεί να καταστρέψει κλειδιά ή απαραίτητα τοπικά δεδομένα.
Η δοκιμή με μη ευαίσθητη φωτογραφία είναι χρήσιμη, αλλά η απουσία αρχείου από τη συλλογή δεν αποδεικνύει ότι δεν υπάρχει κανένα ίχνος στη συσκευή.
Πώς πρέπει ο προγραμματιστής να δοκιμάζει την εκκαθάριση;
Ο έλεγχος πρέπει να καλύπτει ολόκληρη τη διαδρομή των πολυμέσων: λήψη, αποκρυπτογράφηση, προβολή, κοινοποίηση, κλείσιμο οθόνης, αποσύνδεση και νέα σύνδεση. Οι λήψεις ή η δημιουργία προεπισκοπήσεων που βρίσκονται σε εξέλιξη πρέπει να συντονίζονται με την πολιτική αποσύνδεσης· διαφορετικά μπορεί να γραφτεί νέο αρχείο μετά την εκκαθάριση. Αυτό είναι σενάριο που μπορεί να δοκιμαστεί, όχι αποδεδειγμένος ισχυρισμός για όλες τις εφαρμογές μηνυμάτων.
Εκτελέστε τη δοκιμή σε συγκεκριμένη έκδοση και καταγράψτε τις τοποθεσίες αρχείων και το αποτέλεσμα κάθε βήματος. Οι συστάσεις ασφάλειας Android τονίζουν την ελαχιστοποίηση της πρόσβασης και τη διατήρηση ευαίσθητων δεδομένων στην κατάλληλη τοποθεσία.
Τι λέει αυτή η συζήτηση για τη Livara;
Το μοντέλο απειλών της Livara δεν εγγυάται προστασία από μολυσμένη ή ξεκλείδωτη συσκευή. Η τεκμηρίωση της κρυπτογράφησης κατά τη μετάδοση δεν αποτελεί από μόνη της απόδειξη για τον ισχυρισμό «κανένα μη κρυπτογραφημένο αντίγραφο δεν παραμένει στην κρυφή μνήμη». Ένας τέτοιος ισχυρισμός απαιτεί εξέταση συγκεκριμένης έκδοσης της εφαρμογής και των διαδρομών πολυμέσων.
Συμπέρασμα: Γνωρίστε τις τοποθεσίες και τον αριθμό των αντιγράφων φωτογραφιών. Η μείωση περιττών αντιγράφων, το κατάλληλο κλείδωμα συσκευής και οι ενημερώσεις είναι σημαντικά· η υπόσχεση «μηδενικής ανάκτησης» χωρίς δοκιμές και μοντέλο απειλών δεν είναι αξιόπιστο κριτήριο.
