מטמון פנימי, גלריה ו־RAM הם שלושה גבולות שונים; מחיקת עותק אחד אינה מוכיחה שכל העותקים נמחקו.
הצפנה מקצה לקצה מגינה על מסלול העברת התמונה; לאחר פתיחתה, אבטחת העותק הניתן לצפייה תלויה גם במכשיר ובאופן האחסון של האפליקציה. אבל לא כל קובץ זמני ב־Android הוא ציבורי, ולא כל תמונה שנשמרת במטמון נכנסת אוטומטית לגלריה.
כדי לבחון את הסיכון, במקום הביטוי המעורפל ״דליפה מהמטמון״, הבחינו בין שלושה מקומות: האחסון הפרטי של האפליקציה, מרחב משותף כגון הגלריה, וזיכרון התהליך הפעיל, או RAM. לכל אחד הרשאות גישה ומחזור חיים שונים.
היכן יכולה להישאר תמונה שפוענחה?
| מקום | שימוש נפוץ | היבט אבטחה |
|---|---|---|
| מטמון פנימי פרטי של האפליקציה | הצגה מהירה מחדש של התמונה | לאפליקציות רגילות אחרות לא אמורה להיות גישה חופשית אליו |
| גלריה או אחסון משותף | שמירה, עריכה או שיתוף תמונה | עשוי להיות נגיש לאפליקציות בעלות הרשאה ולשירות גיבוי |
| RAM וזיכרון של רכיבי תצוגה | עיבוד תמונה במהלך השימוש | זמניות אינה פירושה חסינות מפני מכשיר נגוע |
| עותק שיוצא או תצוגה מקדימה | פתיחת קובץ באפליקציה אחרת | עשוי להיות בעל מחזור מחיקה עצמאי |
תיעוד האחסון של Android מבחין בין מרחב ייעודי לאפליקציה לבין אחסון משותף. לכן הטענה ״כל קובץ מטמון מאונדקס בידי MediaStore״ אינה נכונה; נתיב האחסון, ה־API שבו משתמשים וההרשאות הם שקובעים.
איזו הגנה יש למטמון הפנימי?
Android מבודדת את המרחב הפנימי הייעודי של האפליקציה מאפליקציות רגילות אחרות. המדריך הרשמי ממליץ על מרחב זה לנתונים רגישים זמניים. קובץ מטמון עשוי להימחק בידי האפליקציה או המערכת לפני הסרת האפליקציה, אבל המפתח לא צריך להשאיר את הניקוי רק למצב של מחסור במקום במכשיר. מדריך לקבצים ייעודיים לאפליקציה.
הגנה זו אינה שקולה ל״אף אחד לא יכול לחלץ את הקובץ״. גישת תוקף לטלפון נעול, לטלפון לא נעול, למערכת הפעלה פגיעה או למכשיר בעל גישת root אינה זהה. כדי שטענה פורנזית תהיה מבוססת, יש לציין את דגם המכשיר, גרסת המערכת, מצב הנעילה וסוג הגישה של התוקף.
למה שמירה ב־RAM אינה מבטיחה מחיקה מלאה?
הימנעות מכתיבת עותק לא מוצפן לדיסק יכולה לצמצם את מספר העותקים המתמידים. ניקוי חוצצים רגישים יכול גם הוא להיות חלק מתכנון הגנתי. עם זאת, אי אפשר להכריז על סיכוי אפסי לשחזור רק באמצעות אזכור ״איפוס RAM״.
תמונה עשויה להיות מועתקת במהלך העיבוד לכמה חוצצים, ספריות או רכיבי תצוגה. ניקוי חוצץ אחד אינו מוכיח כשלעצמו שכל העותקים נמחקו. גם אם לא נוצר קובץ מתמיד, נוזקה שיש לה גישה לנתונים בזמן התצוגה עלולה להעתיק אותם. הצפנה וניהול זיכרון משלימים זה את זה, ואינם תחליפים זה לזה.
מה משתמשים יכולים לעשות?
- בדקו שמירה לגלריה בנפרד מהורדה אוטומטית. קבלת מדיה להצגה בתוך האפליקציה אינה בהכרח שמירה לגלריה.
- שלטו בגיבוי התמונות. תמונה שיוצאה עשויה להיכנס לענן באופן עצמאי מהצ׳אט.
- עברו על הרשאות התמונות והקבצים של אפליקציות אחרות. אל תבלבלו בין גישה הדרושה למשימה מסוימת לבין גישה קבועה לאוסף התמונות.
- בדקו עם תמונת ניסיון. ראו איזה עותק נשאר בגלריה או באפליקציה אחרת לאחר קבלה, פתיחה, שמירה ומחיקה.
- בדקו את אפשרות השחזור לפני מחיקת נתוני האפליקציה. ל״ניקוי מטמון״, ״ניקוי אחסון״ ויציאה מהחשבון יש השפעות שונות; הפעולה השנייה עלולה למחוק מפתחות או נתונים מקומיים נחוצים.
בדיקה עם תמונה שאינה רגישה מועילה, אבל היעדר קובץ בגלריה אינו מוכיח שאין שום עקבות במכשיר.
איך מפתח צריך לבדוק את הניקוי?
הבדיקה צריכה לכסות את מסלול המדיה המלא: קבלה, פענוח, תצוגה, שיתוף, סגירת המסך, יציאה מהחשבון וכניסה מחדש. הורדות או יצירת תצוגה מקדימה שנמצאות בתהליך צריכות להיות מתואמות עם מדיניות היציאה; אחרת עלול להיכתב קובץ חדש לאחר הניקוי. זהו תרחיש שניתן לבדוק, ולא טענה מוכחת לגבי כל אפליקציות המסרים.
בצעו את הבדיקה בגרסה מוגדרת ותעדו את מיקומי הקבצים ואת התוצאה בכל שלב. המלצות האבטחה של Android מדגישות צמצום גישה ושמירת נתונים רגישים במקום המתאים.
מה הדיון הזה אומר על Livara?
מודל האיומים של Livara אינו מבטיח הגנה מפני מכשיר נגוע או לא נעול. תיעוד ההצפנה בעת העברה אינו כשלעצמו ראיה לטענה ״לא נשאר במטמון שום עותק לא מוצפן״. טענה כזו דורשת בדיקה של גרסת אפליקציה מסוימת ושל מסלולי המדיה.
סיכום: הכירו את המיקום ואת מספר העותקים של התמונות. צמצום עותקים מיותרים, נעילה מתאימה של המכשיר ועדכונים הם חשובים; הבטחת ״אפס שחזור״ בלי בדיקות ומודל איומים אינה מדד אמין.
