Logo

Whitepaper de segurança e privacidade (visão geral)Capítulo 6

Capítulo 6 Ciclo de vida e exclusão de dados

Este capítulo define o ciclo de vida dos dados criptografados (blocos de texto cifrado e manifestos): criação, retenção, expiração e exclusão. O objetivo é um comportamento previsível para usuários e auditores, mantendo os limites de conhecimento zero.

6.1 Categorias de dados

  • Blocos de texto cifrado: partes criptografadas do arquivo armazenadas no armazenamento de objetos.
  • Manifesto: parâmetros públicos necessários para o download/montagem (sem CEK).
  • Estado: autorização, progresso, TTL, indicadores de revogação e evidências mínimas de entrega.

6.2 Semântica de exclusão

  • A exclusão/revogação iniciada pelo remetente DEVE fazer com que o acesso subsequente falhe (tokens invalidados / o estado nega o acesso).
  • A exclusão DEVERIA acionar a limpeza dos objetos relacionados (blocos/manifesto) sempre que possível.
  • O comportamento do sistema DEVE ser consistente para os destinatários: transferências revogadas/expiradas devem mostrar um motivo claro.

6.3 Política de expiração e limpeza automatizada

6.3.1 Gatilhos de expiração

  • As transferências DEVERIAM ter uma política expiresAt (retenção baseada no plano ou TTL escolhido pelo usuário).
  • Após a expiração, o acesso DEVE ser negado mesmo que o texto cifrado ainda exista temporariamente.

6.3.2 Limpeza automatizada

  • A limpeza em segundo plano DEVERIA excluir blocos/manifestos expirados dentro de uma janela razoável.
  • A limpeza deve ser resiliente a novas tentativas e falhas parciais (exclusão idempotente).

6.3.3 Restrições de UX após a expiração

  • Os destinatários DEVEM ver um estado “Expirado” explícito e o próximo passo (entrar em contato com o remetente).
  • Os remetentes DEVERIAM conseguir distinguir “expirado” de “revogado” na interface de gerenciamento.

6.4 Garantias visíveis ao usuário

  • A exclusão/revogação DEVE ter efeito imediato no controle de acesso (falha fechada, ou fail closed).
  • A exclusão física do armazenamento PODE ser eventual; no entanto, o acesso deve continuar negado, sem reativação.
  • Os logs e as evidências devem permanecer mínimos e não devem incluir segredos (fragmentos/CEK).

6.5 IDs de afirmação relacionados