Внутрішній кеш, галерея та RAM — три різні межі; видалення однієї копії не доводить видалення всіх.
Наскрізне шифрування захищає шлях передавання фотографії; після відкриття безпека видимої копії залежить також від пристрою та способу зберігання даних застосунком. Але не кожен тимчасовий файл в Android є загальнодоступним і не кожне зображення з кешу автоматично потрапляє до галереї.
Щоб оцінити ризик, замість нечіткого вислову «витік із кешу» розрізняйте три місця: приватне сховище застосунку, спільний простір на зразок галереї та активну пам’ять процесу, або RAM. Кожне має власні правила доступу й життєвий цикл.
Де може залишитися розшифрована фотографія?
| Місце | Звичайне призначення | Особливість безпеки |
|---|---|---|
| Приватний внутрішній кеш застосунку | Швидкий повторний показ зображення | Інші звичайні застосунки не повинні мати вільного доступу |
| Галерея або спільне сховище | Збереження, редагування чи поширення фотографії | Може бути доступне застосункам із дозволами та службі резервного копіювання |
| RAM і пам’ять компонентів відображення | Обробка зображення під час використання | Тимчасовість не означає захищеності від зараженого пристрою |
| Експортована копія або попередній перегляд | Відкриття файлу в іншому застосунку | Може мати незалежний цикл видалення |
Документація Android щодо зберігання даних розрізняє простір конкретного застосунку та спільне сховище. Тому твердження «кожен файл кешу індексується MediaStore» неправильне: визначальними є шлях зберігання, використаний API та дозволи.
Який захист має внутрішній кеш?
Android відокремлює внутрішній простір застосунку від інших звичайних застосунків. Офіційний посібник рекомендує саме цей простір для тимчасових чутливих даних. Файл кешу може видалити сам застосунок або система ще до видалення застосунку, але розробник не повинен залишати очищення виключно на випадок нестачі місця на пристрої. Посібник щодо файлів застосунків.
Цей захист не тотожний твердженню «ніхто не може витягти файл». Доступ зловмисника до заблокованого телефона, розблокованого телефона, вразливої ОС або пристрою з root-доступом неоднаковий. Для обґрунтованого криміналістичного твердження потрібно вказати модель пристрою, версію системи, стан блокування та тип доступу зловмисника.
Чому зберігання в RAM не гарантує повного видалення?
Відмова від запису незашифрованої копії на диск може зменшити кількість довготривалих копій. Очищення чутливих буферів також може бути частиною захисного проєктування. Проте самого згадування «занулення RAM» недостатньо, щоб оголосити ймовірність відновлення нульовою.
Під час обробки зображення може копіюватися до кількох буферів, бібліотек або компонентів відображення. Очищення одного буфера саме собою не доводить видалення всіх копій. Навіть якщо довготривалий файл не створюється, шкідливе ПЗ, яке має доступ до даних під час показу, може їх скопіювати. Шифрування й керування пам’яттю доповнюють, а не замінюють одне одного.
Що можуть зробити користувачі?
- Перевіряйте збереження до галереї окремо від автоматичного завантаження. Отримання медіа для показу всередині застосунку не обов’язково означає збереження до галереї.
- Контролюйте резервне копіювання фотографій. Експортоване фото може потрапити до хмари незалежно від чату.
- Переглядайте дозволи інших застосунків на фотографії та файли. Не плутайте доступ для конкретного завдання з постійним доступом до колекції фотографій.
- Перевірте поведінку за допомогою тестового фото. Подивіться, яка копія залишається в галереї чи іншому застосунку після отримання, відкриття, збереження та видалення.
- Перевірте спосіб відновлення перед видаленням даних застосунку. «Очистити кеш», «Очистити сховище» та вихід з облікового запису мають різні наслідки; друга дія може знищити ключі або потрібні локальні дані.
Тест із нечутливою фотографією корисний, але відсутність файлу в галереї не доводить, що на пристрої немає жодних слідів.
Як розробникові тестувати очищення?
Перевірка має охоплювати весь шлях медіа: отримання, розшифрування, відображення, поширення, закриття екрана, вихід з облікового запису та повторний вхід. Поточні завантаження або створення попереднього перегляду потрібно узгодити з політикою виходу; інакше після очищення може записатися новий файл. Це сценарій, який можна перевірити, а не доведене твердження щодо всіх месенджерів.
Проводьте тест на визначеній версії та фіксуйте розташування файлів і результат кожного етапу. Рекомендації Android щодо безпеки наголошують на мінімізації доступу та зберіганні чутливих даних у відповідному місці.
Що це говорить про Livara?
Модель загроз Livara не гарантує захисту від зараженого чи розблокованого пристрою. Документація шифрування під час передавання сама собою не є доказом твердження «у кеші не залишається жодної незашифрованої копії». Таке твердження потребує перевірки конкретної версії застосунку та шляхів обробки медіа.
Підсумок: Знайте розташування та кількість копій фотографій. Важливі зменшення зайвих копій, належне блокування пристрою й оновлення; обіцянка «нульового відновлення» без тестів і моделі загроз — ненадійний критерій.
