L'illusione dei messaggi effimeri

Abstract

La cancellazione di un messaggio agisce su tre piani distinti l'interfaccia, il database dell'applicazione e il supporto di memorizzazione che l'utente percepisce come un gesto solo. Questo lavoro ricostruisce i tre piani a partire dalla documentazione dei fornitori e dagli standard di sanitizzazione, e delimita ciò che la cifratura end-to-end garantisce rispetto a ciò che le viene comunemente attribuito.

Introduzione

La percezione di sicurezza nelle applicazioni di messaggistica poggia su due pilastri: la riservatezza del canale di trasmissione e il controllo sull'effettiva permanenza dei dati. La cancellazione remota, il blocco delle singole conversazioni e i messaggi a scadenza vengono comunemente letti come garanzie di scomparsa definitiva. Esiste però una divergenza fra il livello logico - ciò che l'interfaccia mostra - e il livello fisico, ciò che accade sul supporto di memorizzazione.

• Livello dell'interfaccia: il messaggio sparisce dalla vista dell'utente.
• Livello del database applicativo: il record viene marcato come eliminato.
• Livello del supporto di memorizzazione: i byte restano finché non vengono sovrascritti.

Cancellazione logica e persistenza fisica

La maggior parte delle applicazioni di messaggistica mobile gestisce i dati tramite il motore relazionale SQLite. In ambiente Android le conversazioni risiedono in msgstore.db e la rubrica applicativa in wa.db; su iOS il contenuto è consolidato nel file ChatStorage.sqlite. Secondo la documentazione di SQLite, l'esecuzione di un comando DELETE non comporta di per sé l'eliminazione dei byte dal supporto. Il motore esegue una cancellazione logica: le pagine contenenti i record eliminati vengono scollegate, ma il contenuto resta dove si trova finché non viene sovrascritto.

La cifratura end-to-end

È diffusa la convinzione che la presenza della cifratura end-to-end implichi l'impossibilità di recuperare i dati eliminati. In realtà il protocollo protegge il dato in transito. Una volta decifrato e consegnato, il messaggio passa allo stato di dato a riposo, e la sua sicurezza dipende dalle contromisure del sistema operativo locale.

Conclusioni

La scomparsa immediata e totale di un dato su una piattaforma di messaggistica mobile è un'astrazione costruita per l'interfaccia utente. La cancellazione, il timer e il blocco delle conversazioni agiscono su ciò che l'applicazione controlla, mentre la traccia informatica segue le regole del filesystem e del controller di memoria, che nessuna di quelle funzioni governa.