Apple l'aggiornamento della sicurezza chiude la porta alle fughe di dati del database delle notifiche

Apple ha rilasciato un aggiornamento di sicurezza per iPhone che risolve un bug che consentiva di estrarre il contenuto delle notifiche dagli iPhone anche se l'app era stata eliminata. La vulnerabilità è stata sfruttata dall'FBI, che l'ha utilizzata per estrarre i registri dei messaggi Signal di un sospetto dall'iPhone.

Applele note di rilascio dell'applicazione dicono che per quanto riguarda il problema: "Le notifiche contrassegnate per l'eliminazione potrebbero essere inaspettatamente conservate sul dispositivo" Con l'aggiornamento, c'è ora "una migliore redenzione dei dati", presumibilmente riferendosi al fatto che l'azienda ora mantiene i dati che dovrebbero essere privati, privati.

Il problema è stato portato all'attenzione di a metà aprilel, quando è emerso che gli investigatori avevano recuperato il contenuto dei messaggi accedendo al database delle notifiche push memorizzate di un telefono. In particolare, questi dati sono rimasti disponibili anche dopo che Signal stesso è stato rimosso dal dispositivo.

Il Presidente della Signal Foundation, Meredith Whittaker, ha commentato che il comportamento è contrario alle aspettative di privacy dell'app, affermando su X: "Le notifiche per i messaggi cancellati non dovrebbero rimanere in nessun database di notifiche del sistema operativo, e abbiamo chiesto a Apple di risolvere questo problema"

Applel'ultimo aggiornamento iOS, iOS 26.4.2, come descritto sopra, sembra essere la risposta dell'azienda al problema.

Signal è un'app di messaggistica crittografata costruita sulla privacy, quindi sarebbe preoccupante sia per gli utenti che per l'azienda se questa privacy potesse essere violata - o elusa, come in questo caso. Vale la pena notare che questo problema non sarebbe limitato solo a Signal, ma potenzialmente a qualsiasi app il cui contenuto di notifica viene registrato e memorizzato da iOS - almeno prima della patch.

L'episodio evidenzia una tensione familiare nella sicurezza mobile: le app crittografate possono proteggere i dati solo fino al punto in cui il sistema operativo li memorizza. In questo caso particolare, la debolezza non era nell'app di messaggistica, Signal, ma nel modo in cui il sistema operativo stesso gestiva ciò che rimaneva.

Come per la maggior parte delle falle di sicurezza, la preoccupazione non è solo chi l'ha trovata per primo, ma anche chi potrebbe averla trovata in seguito. Applela patch dell'OS chiude questa porta, anche se la legittimità delle circostanze in cui è stata utilizzata rimarrà probabilmente discussa.