Le cache interne, la galerie et la RAM sont trois frontières distinctes ; supprimer une copie ne prouve pas que toutes les copies ont disparu.
Le chiffrement de bout en bout protège le trajet d’une photo ; une fois celle-ci ouverte, la sécurité de la copie visible dépend aussi de l’appareil et des pratiques de stockage de l’application. Mais tous les fichiers temporaires d’Android ne sont pas publics, et toutes les images mises en cache ne rejoignent pas automatiquement la galerie.
Pour évaluer le risque, distinguez trois emplacements plutôt que d’employer l’expression vague « fuite du cache » : le stockage privé de l’app, le stockage partagé comme la galerie, et la mémoire active du processus ou RAM. Chacun a ses propres accès et son propre cycle de vie.
Où une photo déchiffrée peut-elle subsister ?
| Emplacement | Usage courant | Point de sécurité |
|---|---|---|
| Cache interne privé de l’app | Réafficher rapidement une image | Les autres applications ordinaires ne devraient pas y accéder librement |
| Galerie ou stockage partagé | Enregistrer, modifier ou partager une photo | Des apps autorisées et des services de sauvegarde peuvent y accéder |
| RAM et mémoire des composants d’affichage | Traiter l’image pendant l’utilisation | Le caractère temporaire ne protège pas d’un appareil compromis |
| Copie exportée ou aperçu | Ouvrir un fichier dans une autre app | Son cycle de suppression peut être indépendant |
La documentation de stockage Android distingue l’espace propre à une app de l’espace partagé. Dire que « chaque fichier du cache est indexé par MediaStore » est donc incorrect : le chemin de stockage, l’API utilisée et les autorisations sont déterminants.
Quelle protection offre le cache interne ?
Android isole le stockage interne privé d’une app des autres applications ordinaires. Le guide officiel recommande cet espace pour les données temporaires sensibles. Un fichier du cache peut être supprimé par l’app ou le système avant la désinstallation, mais le développeur ne doit pas confier le nettoyage au seul manque d’espace sur l’appareil. Voir le guide des fichiers propres à une app.
Cette protection ne signifie pas que « personne ne peut extraire le fichier ». L’accès d’un attaquant à un téléphone verrouillé, déverrouillé, à un système vulnérable ou à un appareil doté d’un accès root n’est pas identique. Une affirmation forensique valable doit préciser le modèle de l’appareil, la version du système, l’état de verrouillage et le type d’accès de l’attaquant.
Pourquoi la conservation en RAM ne garantit-elle pas une suppression complète ?
Éviter d’écrire une copie non chiffrée sur disque peut réduire le nombre de copies persistantes. Nettoyer les tampons sensibles peut aussi faire partie d’une conception défensive. Cependant, la simple mention d’une « remise à zéro de la RAM » ne permet pas d’affirmer que la probabilité de récupération est nulle.
Une image peut être copiée dans plusieurs tampons, bibliothèques ou composants d’affichage pendant son traitement. Effacer un tampon ne prouve pas, à lui seul, la suppression de toutes les copies. Même sans fichier persistant, un logiciel malveillant ayant accès aux données pendant leur affichage peut les copier. Le chiffrement et la gestion de la mémoire se complètent, sans se remplacer.
Que peuvent faire les utilisateurs ?
- Vérifiez l’enregistrement dans la galerie séparément du téléchargement automatique. Recevoir un média pour l’afficher dans l’app ne signifie pas nécessairement l’enregistrer dans la galerie.
- Contrôlez les sauvegardes de photos. Une photo exportée peut rejoindre le cloud indépendamment du chat.
- Examinez les autorisations photo et fichiers des autres apps. Ne confondez pas l’accès nécessaire à une tâche précise avec un accès permanent à la collection de photos.
- Vérifiez avec une photo de test. Observez quelle copie reste dans la galerie ou une autre app après réception, ouverture, enregistrement et suppression.
- Vérifiez le moyen de récupération avant de supprimer les données de l’app. « Vider le cache », « effacer le stockage » et se déconnecter ont des effets différents ; la deuxième opération peut supprimer des clés ou des données locales nécessaires.
Un test avec une photo non sensible est utile, mais l’absence d’un fichier dans la galerie ne prouve pas qu’aucune trace n’existe sur l’appareil.
Comment le développeur doit-il tester le nettoyage ?
La vérification doit couvrir tout le parcours du média : réception, déchiffrement, affichage, partage, fermeture de l’écran, déconnexion et reconnexion. Les téléchargements ou créations d’aperçus en cours doivent être coordonnés avec la politique de déconnexion ; sinon, un nouveau fichier pourrait être écrit après le nettoyage. C’est un scénario testable, pas une affirmation démontrée concernant toutes les messageries.
Testez une version précise et consignez l’emplacement des fichiers et le résultat de chaque étape. Les recommandations de sécurité Android soulignent l’importance de minimiser les accès et de conserver les données sensibles dans un emplacement approprié.
Que signifie cette discussion pour Livara ?
Le modèle de menace de Livara ne garantit pas la protection d’un appareil compromis ou déverrouillé. La documentation du chiffrement en transit ne prouve pas à elle seule qu’« aucune copie non chiffrée ne reste dans le cache ». Une telle affirmation exige l’examen d’une version précise de l’app et de ses parcours multimédias.
En résumé : connaissez les emplacements et le nombre de copies des photos. Réduire les copies supplémentaires, verrouiller convenablement l’appareil et le mettre à jour sont importants ; une promesse de « récupération nulle » sans tests ni modèle de menace n’est pas un critère fiable.
