La caché interna, la galería y la RAM son tres límites distintos; eliminar una copia no demuestra que se hayan eliminado todas.
El cifrado de extremo a extremo protege la imagen durante la transmisión; después de abrirla, la seguridad de la copia visible también depende del dispositivo y de las prácticas de almacenamiento de la aplicación. Pero no todos los archivos temporales de Android son públicos ni todas las imágenes en caché aparecen automáticamente en la galería.
Para evaluar el riesgo, en lugar de la expresión vaga «filtración de la caché», distingue tres ubicaciones: el almacenamiento privado de la app, el compartido, como la galería, y la memoria activa del proceso o RAM. Cada una tiene distintos accesos y ciclos de vida.
¿Dónde puede permanecer una imagen descifrada?
| Ubicación | Uso habitual | Consideración de seguridad |
|---|---|---|
| Caché interna privada de la app | Volver a mostrar rápidamente una imagen | Otras apps normales no deberían acceder libremente a ella |
| Galería o almacenamiento compartido | Guardar, editar o compartir fotos | Puede ser accesible para apps con permiso y servicios de copia de seguridad |
| RAM y memoria de componentes de visualización | Procesar la imagen durante su uso | Ser temporal no implica estar a salvo de un dispositivo comprometido |
| Copia exportada o vista previa | Abrir un archivo en otra app | Puede tener un ciclo de eliminación independiente |
La documentación de almacenamiento de Android distingue el espacio específico de una app del compartido. Por tanto, es incorrecto decir que «MediaStore indexa todos los archivos de caché»: importan la ruta de almacenamiento, la API utilizada y los permisos.
¿Qué protección ofrece la caché interna?
Android aísla el almacenamiento interno privado de una app de otras aplicaciones normales. La guía oficial recomienda ese espacio para datos temporales sensibles. La app o el sistema pueden eliminar un archivo de caché antes de desinstalar la aplicación, pero los desarrolladores no deberían dejar la limpieza únicamente a la falta de espacio en el dispositivo. Consulta la guía de archivos específicos de una app.
Esta protección no equivale a «nadie puede extraer el archivo». El acceso de un atacante a un teléfono bloqueado, uno desbloqueado, un sistema operativo vulnerable o un dispositivo con acceso raíz no es igual. Una afirmación forense válida debe especificar el modelo del dispositivo, la versión del sistema, el estado de bloqueo y el tipo de acceso del atacante.
¿Por qué guardar en RAM no garantiza la eliminación completa?
Evitar escribir una copia sin cifrar en disco puede reducir el número de copias persistentes. Limpiar los búferes sensibles también puede formar parte de un diseño defensivo. Sin embargo, mencionar simplemente el «borrado a ceros de la RAM» no permite afirmar que la probabilidad de recuperación sea cero.
Durante el procesamiento, una imagen puede copiarse en varios búferes, bibliotecas o componentes de visualización. Borrar un búfer no demuestra, por sí solo, que se hayan eliminado todas las copias. Incluso sin crear ningún archivo persistente, el malware que accede a los datos mientras se muestran puede copiarlos. El cifrado y la gestión de memoria se complementan; no se sustituyen.
¿Qué pueden hacer los usuarios?
- Revisa el guardado en la galería por separado de la descarga automática. Recibir contenido multimedia para verlo dentro de la app no equivale necesariamente a guardarlo en la galería.
- Controla las copias de seguridad de fotos. Una foto exportada puede llegar a la nube independientemente del chat.
- Revisa los permisos de fotos y archivos de otras apps. No confundas el acceso necesario para una tarea concreta con el acceso permanente a la colección de fotos.
- Compruébalo con una foto de prueba. Observa qué copia queda en la galería o en otra app después de recibirla, abrirla, guardarla y eliminarla.
- Comprueba el método de recuperación antes de borrar datos de la app. «Borrar caché», «borrar almacenamiento» y cerrar sesión tienen efectos diferentes; la segunda opción puede eliminar claves o datos locales necesarios.
Probar con una imagen no sensible es útil, pero que un archivo no aparezca en la galería no demuestra que no queden rastros en el dispositivo.
¿Cómo deberían los desarrolladores probar la limpieza?
La comprobación debe abarcar todo el recorrido del contenido multimedia: recepción, descifrado, visualización, uso compartido, cierre de la pantalla, cierre de sesión y nuevo inicio de sesión. Las descargas o la generación de vistas previas en curso deben coordinarse con la política de cierre de sesión; de lo contrario, podría escribirse un archivo nuevo después de limpiar. Es un escenario comprobable, no una afirmación demostrada sobre todos los servicios de mensajería.
Haz la prueba en una versión concreta y registra las ubicaciones de los archivos y el resultado de cada paso. Las recomendaciones de seguridad de Android destacan la importancia de minimizar el acceso y conservar los datos sensibles en un lugar adecuado.
¿Qué significa esto para Livara?
El modelo de amenazas de Livara no garantiza la protección de un dispositivo comprometido o desbloqueado. La documentación del cifrado en tránsito no demuestra por sí sola que «no quede ninguna copia sin cifrar en la caché». Esa afirmación requiere examinar una versión concreta de la app y sus recorridos multimedia.
En resumen: conoce la ubicación y el número de copias de las imágenes. Reducir las copias adicionales, usar un bloqueo adecuado y actualizar es importante; una promesa de «recuperación cero» sin pruebas ni modelo de amenazas no es un criterio fiable.
