رمزنگاری سرتاسری همان پاکت مهروموم است و گالری گوشی همان کپی: به‌محض باز شدن پاکت، مهر روی کپی منتقل نمی‌شود.
Livara: پیوست‌های رمزنگاری‌شده با کلید تازه در هر فایل
نقطهٔ قوت روی این محور
- هر پیوست — عکس، ویدیو، فایل، کپشن، ویس‌نوت — پیش از آپلود با کلید محتوای تازهٔ ۳۲ بایتی رمزنگاری می‌شود و کلید داخل پاکت LVR1 (دونفره) یا LGS1 (گروه خصوصی) سفر می‌کند.
- گفتگوی دونفره روی LVR1 کار می‌کند: رتچت دوگانهٔ پساکوانتومی ترکیبی که ECDH P-256 و ML-KEM-768 را کنار هم می‌گذارد، با فرارِ رو به جلو و امنیت پس از نفوذ.
- رمزنگاری شفاف و قابل‌بررسی است: بردارهای آزمون ماشین‌خوان، مشخصات باز پروتکل، و بررسی آفلاین APK در آزمایشگاه اثبات.
- کانال‌های عمومی عمداً رمزنگاری سرتاسری ندارند، چون سطح پخش عمومی‌اند و باید قابل بررسی و اقدام باشند.
محدودیت‌ها
- نسخه‌ای که روی گوشی رمزگشایی و در گالری ذخیره می‌شود، بیرون از رمزنگاری سرتاسری است — مثل هر پیام‌رسان دیگر.
- فرادادهٔ مسیریابی (فرستنده، مقصد، زمان تحویل) برای همگام‌سازی نگه داشته می‌شود.
- اینکه نسخهٔ رمزگشایی‌شده در حافظهٔ مشترک نوشته شود یا نه به تنظیمات دستگاه شما بستگی دارد؛ مرزهای منتشرشده را ببینید.
پیام‌رسان‌های رایج: Signal، WhatsApp، Telegram و Element
نقطهٔ قوت روی این محور
- همهٔ این اپ‌ها برای گفتگوهای خصوصی رمزنگاری سرتاسری دارند و مدیا را در مسیر و روی سرور محافظت می‌کنند.
- بعضی از آن‌ها مدیا را در حافظهٔ خصوصی خودشان نگه می‌دارند و ذخیره در گالری را به انتخاب کاربر می‌سپارند، که سطح حمله را کم می‌کند.
محدودیت‌ها
- آنجا که ذخیرهٔ خودکار روشن است، نسخهٔ رمزگشایی‌شده در پوشه‌ای مشترک می‌نشیند که هر اپ دارای مجوز می‌تواند بخواند.
- رفتار پیش‌فرض بین نسخه‌ها و سیستم‌عامل‌ها تفاوت دارد و به‌سادگی قابل تعمیم نیست؛ باید تنظیمات همان نصب بررسی شود.
- هیچ‌کدام از این اپ‌ها نمی‌توانند از نسخه‌ای که شما در گالری ذخیره کرده‌اید محافظت کنند.
روی محور «ذخیره‌سازی خودکار مدیا و نسخهٔ رمزگشایی‌شده روی دستگاه»، Livara در مسیر انتقال و کلیدگذاری پیوست‌ها دقیق و قابل‌بررسی است: هر پیوست کلید تازه دارد و کلید داخل پاکت رمزنگاری‌شده می‌رسد، پس نسخهٔ رمزنگاری‌شده جای دیگر بی‌فایده است. اما برندهٔ واقعی این مقایسه یک پیام‌رسان نیست، یک تنظیم است — تا وقتی نسخهٔ رمزگشایی‌شده در گالری مشترک نوشته نشود، هیچ اپی جز صاحب همان فایل به آن دسترسی ندارد. Livara در مدل رمزنگاری و شفافیت جلوتر است؛ در نسخهٔ روی گوشی، به همان اندازهٔ بقیه به تصمیم شما و به حافظهٔ دستگاه وابسته است. اگر می‌خواهید بدانید Livara کجا قوی‌تر و کجا ضعیف‌تر است، [صفحهٔ مقایسه](/compare) همین را بدون تعارف می‌گوید.
بله — عکس‌های چت رمزنگاری‌شده معمولاً به‌صورت رمزگشایی‌شده در گالری گوشی ذخیره می‌شوند و رمزنگاری سرتاسری آن نسخه را پوشش نمی‌دهد. رمزنگاری سرتاسری مسیر انتقال و ذخیرهٔ روی سرور را می‌پوشاند، اما برای اینکه شما عکس را ببینید، پیام‌رسان باید آن را روی دستگاه رمزگشایی کند؛ اگر همان نسخهٔ رمزگشایی‌شده در حافظهٔ مشترک گوشی نوشته شود، دیگر یک فایل رمزنگاری‌شده نیست. مسئله ضعف الگوریتم‌ها نیست؛ یک لایهٔ فراموش‌شده است به نام ذخیره خودکار عکس در گالری پیام‌رسان — همان موضوعی که در منابع فنی auto-download media privacy messaging نامیده می‌شود.
نکات کلیدی
- رمزنگاری سرتاسری در نقطهٔ پایانی تمام می‌شود؛ نسخه‌ای که روی گوشی رمزگشایی می‌شود دیگر زیر پوشش آن نیست.
- ذخیره خودکار عکس در گالری پیام‌رسان نسخهٔ رمزگشایی‌شده را در حافظهٔ مشترک می‌نویسد؛ همان جایی که اپ‌های دیگر با مجوز مناسب می‌توانند بخوانند.
- مستندات Scoped storage پروژهٔ متن‌باز اندروید هدف این مدل را محافظت از دادهٔ کاربر و اپ می‌داند؛ اما اپی که مجوز خواندن عکس‌ها را گرفته باشد، همان فایل‌ها را می‌بیند.
- حذف پیام از چت، نسخهٔ ذخیره‌شده در گالری را پاک نمی‌کند؛ این دو نسخهٔ مستقل‌اند و باید جداگانه پاک شوند.
- اگر پشتیبان‌گیری ابری گالری روی گوشی روشن باشد، نسخهٔ رمزگشایی‌شده می‌تواند از دستگاه هم بیرون برود — مستقل از اینکه پیام‌رسان چقدر امن باشد.
آیا عکس‌های چت رمزنگاری‌شده در گالری ذخیره می‌شوند؟
بله؛ در بسیاری از پیام‌رسان‌ها — و تقریباً همیشه وقتی گزینهٔ ذخیره یا دانلود خودکار مدیا روشن باشد — عکس دریافتی پس از رمزگشایی به‌صورت یک فایل عادی در گالری نوشته می‌شود. برای اینکه تصویر روی صفحه ظاهر شود، اپ باید قفل رمزنگاری را باز کند؛ اگر همان نتیجه در حافظهٔ مشترک گوشی ذخیره شود، از آن لحظه یک فایل تصویری معمولی است.
اینجا دو اصطلاح را باید جدا نگه داشت. رمزنگاری سرتاسری یعنی فقط دو سر گفتگو کلید را دارند و هیچ واسطه‌ای — نه سرور، نه اپراتور — نمی‌تواند محتوا را بخواند. رمزنگاری در حالت سکون یعنی محافظت از فایلی که روی یک دستگاه نشسته است. این دو یکی نیستند و یکی جای دیگری را پر نمی‌کند.
نکتهٔ عملی: اگر مدیا در حافظهٔ خصوصی خود اپ بماند و روی «ذخیره در گالری» نزنید، سندباکس اندروید جلوی خواندن آن توسط اپ‌های دیگر را می‌گیرد. یعنی تفاوت اصلی در همین انتخاب است: فایل داخل اپ، یا فایل در گالری مشترک.
چرا رمزنگاری سرتاسری نسخهٔ ذخیره‌شده در گالری را پوشش نمی‌دهد؟
چون رمزنگاری سرتاسری قراردادی بین فرستنده و گیرنده است و در نقطهٔ پایانی بسته می‌شود؛ هر چیزی که بعد از رمزگشایی روی دستگاه ساخته می‌شود، بیرون از آن قرارداد است.
تصور کنید نامه‌ای در پاکت مهروموم می‌آید. تا وقتی پاکت بسته است، هیچ‌کس محتوا را نمی‌خواند. اما به‌محض باز شدن، نامه یک کاغذ معمولی است و هر کپی که از آن گرفته شود، مهر پاکت را با خود ندارد. رمزنگاری سرتاسری همان پاکت است؛ گالری گوشی همان کپی.
از نظر فنی، پیام‌رسان بستهٔ رمزنگاری‌شده را می‌گیرد، با کلید گفتگو بازش می‌کند و متن یا تصویر خام را به سیستم‌عامل می‌دهد. اگر سیستم‌عامل آن را در MediaStore بنویسد، محافظت فایل به مجوزهای فایل‌سیستم و قفل بودن دستگاه وصل می‌شود، نه به کلید گفتگو. برای درک دقیق این مرز، رمزنگاری سرتاسری از چه چیزی محافظت می‌کند و از چه چیزی نه را ببینید.
این به معنی بی‌فایده بودن رمزنگاری سرتاسری نیست. بدون آن، همان عکس در سرور و در مسیر هم خوانا بود و هر واسطه‌ای می‌توانست ببیندش. رمزنگاری سرتاسری دامنهٔ تهدید را کوچک می‌کند؛ حذفش نمی‌کند.
ذخیره خودکار عکس در گالری پیام‌رسان چطور کار می‌کند؟
مسیر کوتاه است: پیام‌رسان بستهٔ رمزنگاری‌شده را می‌گیرد، روی دستگاه رمزگشایی می‌کند و اگر ذخیره یا دانلود خودکار روشن باشد، نسخهٔ رمزگشایی‌شده را در حافظهٔ مشترک می‌نویسد؛ از آن لحظه گالری و بقیهٔ اپ‌ها آن را می‌بینند.
گام‌به‌گام:
- فرستنده فایل را رمزنگاری و آپلود می‌کند. در Livara هر پیوست — عکس، ویدیو، فایل، کپشن، ویس‌نوت — کلید محتوای تازهٔ خودش را می‌گیرد و آن کلید داخل پاکت LVR1 یا LGS1 سفر می‌کند.
- گیرنده بستهٔ رمزنگاری‌شده را دریافت می‌کند.
- اپ روی دستگاه رمزگشایی می‌کند.
- اگر ذخیرهٔ خودکار روشن باشد، نتیجهٔ رمزگشایی‌شده در حافظهٔ مشترک نوشته می‌شود.
- سیستم مدیا را ایندکس می‌کند و فایل در گالری، فایل‌منیجر و اپ‌های دیگر ظاهر می‌شود.
این معماری اندروید است، نه انتخاب یک پیام‌رسان. مستندات Scoped storage پروژهٔ متن‌باز اندروید توضیح می‌دهد که از اندروید ۱۱ اپ‌هایی که API ۳۰ یا بالاتر را هدف می‌گیرند باید از این مدل استفاده کنند، و صفحهٔ Storage updates in Android 11 در مستندات توسعه‌دهندگان اندروید روش‌های تازهٔ دسترسی به فایل‌های مدیا و مدل مجوز بازبینی‌شده را شرح می‌دهد. نوشتهٔ فنی Android Scoped Storage Internals هم نشان می‌دهد این مدل فقط تغییر مجوز نیست: لایهٔ FUSE و پایگاه‌دادهٔ MediaStore با هم کار می‌کنند تا اپ‌ها تصویر را از پشت یک فایل‌سیستم واسط ببینند.
نتیجهٔ عملی: وقتی فایل در MediaStore ثبت شد، دیگر بخشی از پیام‌رسان نیست. یک فایل مشترک است.
دسترسی اپلیکیشن‌ها به گالری و حریم خصوصی اندروید: چه کسی عکس‌ها را می‌بیند؟
هر اپی که مجوز خواندن عکس‌ها و فایل‌ها را گرفته باشد می‌تواند فایل‌های حافظهٔ مشترک را بخواند — از جمله عکس‌هایی که از چت در گالری ذخیره شده‌اند. این محدودیت طراحی اندروید است، نه نقص یک پیام‌رسان.
اندروید در سال‌های اخیر این دسترسی را سخت‌تر کرده است. Scoped storage اپ‌ها را مجبور می‌کند از MediaStore عبور کنند و نمی‌توانند آزادانه کل حافظه را بگردند. اندروید ۱۱ هم مجوزهای یک‌بارمصرف و بازنشانی خودکار مجوز اپ‌های بلااستفاده را اضافه کرد؛ یعنی مجوزی که سال پیش داده‌اید ممکن است امروز معتبر نباشد.
اما محدود کردن، صفر کردن نیست. اپی که برایش «دسترسی به همهٔ عکس‌ها» را روشن کرده‌اید، همهٔ آن‌ها را می‌بیند. پس هر بار بپرسید این اپ واقعاً به گالری نیاز دارد یا نه — فهرست پرسش‌هایی که پیش از دادن چنین مجوزی باید جواب بگیرید در چک‌لیست ۱۲ سؤالی انتخاب پیام‌رسان آمده است.
حریم خصوصی گالری گوشی اندروید: از فایل ذخیره‌شده چه چیزی لو می‌رود؟
از خود فایل: محتوای تصویر، فراداده‌های درون فایل مثل زمان عکس‌برداری و مدل دوربین، و اگر دوربین موقعیت مکانی ثبت کرده باشد مختصات آن، و همچنین اینکه فایل چه زمانی و در کدام پوشه نوشته شده است.
سه چیز را جدا حساب کنید:
- نسخهٔ بندانگشتی: گالری برای نمایش سریع، تصویر کوچک می‌سازد و آن هم یک فایل مستقل است.
- پشتیبان‌گیری ابری: اگر روی گوشی پشتیبان‌گیری خودکار عکس روشن باشد، همان نسخهٔ رمزگشایی‌شده ممکن است به حساب ابری برود.
- حذف فایل: حذف شدن از گالری همیشه به معنی نابودی داده نیست؛ فایل‌های حذف‌شده ممکن است تا وقتی فضایشان بازنویسی نشود قابل بازیابی باشند.
یک لایهٔ جدا هم هست: فرادادهٔ خود پیام‌رسان — چه کسی، چه زمانی — که حتی وقتی محتوا رمزنگاری‌شده است باقی می‌ماند؛ فرادادهٔ پیام‌رسانی چه چیزی را لو می‌دهد این تفاوت را باز می‌کند.
محدودیت را هم بگوییم: حذف کامل فراداده از تصویر دریافتی، رفتار یکسانی در همهٔ اپ‌ها ندارد و تضمین‌شده نیست؛ اگر موقعیت مکانی برایتان مهم است، فرض کنید ممکن است باقی مانده باشد.
Livara، Signal، WhatsApp، Telegram و Element: مقایسهٔ ذخیره‌سازی خودکار مدیا
پیش‌فرض‌ها بین نسخه‌ها و سیستم‌عامل‌ها عوض می‌شوند، پس جدول زیر یک راهنمای بررسی است، نه ادعای ثابت دربارهٔ همهٔ نسخه‌ها. ردیف‌های این جدول را از صفحهٔ تنظیمات و مستندات رسمی خودِ همین اپ‌ها کنار هم گذاشته‌ایم — همان منابع اولیه‌ای که می‌توانید در اپ نصب‌شدهٔ خودتان هم راستی‌آزمایی کنید؛ تنها مرجع قطعی، تنظیمات همان نسخه‌ای است که روی گوشی شما نصب است.
| پیام‌رسان | مدیای رمزگشایی‌شده به‌طور پیش‌فرض کجا می‌نشیند؟ | چه چیزی را در تنظیمات بررسی کنید |
|---|---|---|
| Livara | پیوست‌ها رمزنگاری‌شده جابه‌جا می‌شوند و رمزگشایی روی دستگاه انجام می‌شود | گزینهٔ ذخیره/دانلود خودکار مدیا و مرزهای امنیتی منتشرشده |
| Signal | مدیا در حافظهٔ خصوصی اپ نگه داشته می‌شود و ذخیره در گالری معمولاً یک انتخاب صریح است | گزینهٔ ذخیرهٔ مدیا در گالری |
| در بسیاری از نسخه‌ها عکس و ویدیوی دریافتی در پوشهٔ WhatsApp داخل گالری دیده می‌شود | دانلود خودکار مدیا و ذخیره در گالری | |
| Telegram | مدیا در حافظهٔ داخلی خود اپ می‌ماند و ذخیره در گالری معمولاً دستی است | گزینهٔ ذخیره در گالری |
| Element | مدیا در حافظه و کش خود اپ می‌ماند و ذخیره در گالری انتخابی است | گزینهٔ ذخیره در گالری |
روی محور «چه چیزی در مسیر سفر می‌کند»، Livara دقیق است: گفتگوی دونفره با LVR1 (رتچت دوگانهٔ پساکوانتومی ترکیبی از ECDH P-256 و ML-KEM-768) و گروه خصوصی با LGS1 (رمزنگاری کلید فرستنده که هر کلید در پاکت‌های دونفرهٔ LVR1 جاسازی شده) محافظت می‌شود؛ هر پیوست کلید تازهٔ خودش را دارد و کلید همراه همان پیام می‌رسد. Livara همچنین فرادادهٔ مسیریابی — فرستنده، مقصد، زمان تحویل — را برای همگام‌سازی دستگاه‌ها نگه می‌دارد، و کانال‌های عمومی عمداً رمزنگاری سرتاسری ندارند چون سطح پخش عمومی‌اند. جزئیات این مرزها در صفحهٔ امنیت Livara آمده است.
اما این محور همه‌چیز را تعیین نمی‌کند: هیچ‌کدام از این اپ‌ها نمی‌تواند از نسخه‌ای که در گالری مشترک نوشته شده محافظت کند. تفاوت واقعی در این است که هر اپ چقدر راحت و شفاف اجازه می‌دهد آن نسخه ساخته نشود.
پاک کردن مدیای رمزگشایی‌شده از گوشی: ترتیب درست کارها
ترتیب کار مهم است: اول جلوی ساخته شدن نسخهٔ تازه را بگیرید، بعد نسخه‌های موجود را پاک کنید، و آخر سر کپی‌های ابری و کش‌ها را بررسی کنید.
- در هر پیام‌رسان، ذخیره یا دانلود خودکار مدیا را خاموش کنید تا نسخهٔ تازهٔ رمزگشایی‌شده ساخته نشود.
- فایل‌های ذخیره‌شده را از خود گالری پاک کنید؛ حذف پیام در چت کافی نیست.
- سطل بازیافت گالری را خالی کنید.
- پشتیبان‌گیری ابری عکس را بررسی کنید؛ حذف محلی، نسخهٔ ابری را پاک نمی‌کند.
- کش و بندانگشتی‌های اپ را پاک کنید — با این هشدار که در بعضی اپ‌ها پاک کردن دادهٔ اپ، تاریخچهٔ محلی گفتگوها را هم می‌برد. اگر می‌خواهید چت‌ها بمانند، اول راهنمای پشتیبان‌گیری امن از چت‌های رمزنگاری‌شده را بخوانید.
- مجوز گالری اپ‌هایی را که لازمشان ندارند لغو کنید.
- اگر گوشی را می‌فروشید یا امانت می‌دهید، فقط پاک کردن فایل کافی نیست؛ پاک‌سازی کامل دستگاه لازم است.
پرسش‌های پرتکرار
آیا رمزنگاری سرتاسری عکس‌های داخل گالری را هم رمز می‌کند؟
نه. رمزنگاری سرتاسری در نقطهٔ پایانی تمام می‌شود و به فایلی که بعد از رمزگشایی روی دستگاه ساخته می‌شود نمی‌رسد؛ امنیت آن فایل به قفل بودن دستگاه و مجوزهای اپ‌ها بستگی دارد، نه به کلید گفتگو.
اگر پیام را در چت پاک کنم، عکس از گالری هم پاک می‌شود؟
معمولاً نه؛ حذف پیام فقط نسخهٔ داخل اپ را برمی‌دارد و فایل گالری باید جداگانه حذف شود. اگر پشتیبان‌گیری ابری هم روشن بوده باشد، آن نسخه جای دیگری می‌ماند.
چرا پیام‌رسان‌ها مدیا را در گالری ذخیره می‌کنند؟
چون کاربر می‌خواهد عکس را بعداً در گالری، فایل‌منیجر یا اپ دیگری ببیند و برای این کار مجبور نباشد پیام‌رسان را باز کند. این راحتی با نوشتن نسخهٔ رمزگشایی‌شده در فضای مشترک به دست می‌آید؛ اگر لازمش ندارید، خاموشش کنید.
آیا لغو دسترسی اپ‌ها به گالری مشکل را حل می‌کند؟
تا حد زیادی، و بهترین کار عملی همین است: هر اپی که مجوز عکس‌ها دارد می‌تواند فایل‌های حافظهٔ مشترک را بخواند. اما جلوی خود پیام‌رسان را نمی‌گیرد؛ اپی که عکس را نشان می‌دهد، به هر حال آن را روی دستگاه رمزگشایی می‌کند.
آیا Livara مدیا را در گالری گوشی ذخیره می‌کند؟
Livara هم از این قانون مستثنا نیست: مدیا داخل پاکت‌های رمزنگاری‌شدهٔ LVR1 و LGS1 جابه‌جا می‌شود، اما وقتی عکس برای نمایش روی دستگاه رمزگشایی می‌شود، محافظتش به حافظهٔ گوشی و مجوزهای اپ‌ها می‌رسد — نه به کلید گفتگو. اگر گزینهٔ ذخیره/دانلود خودکار روشن باشد، نسخهٔ رمزگشایی‌شده در گالری نوشته می‌شود.
