Apple heeft een beveiligingsbug verholpen die, zo blijkt, eigenlijk een achterdeur openliet voor wetshandhaving om verwijderde Signal-berichten te bespioneren. Oeps.

Voor degenen die dachten dat het gebruik van versleutelde apps zoals Signal betekende dat hun geheimen veilig waren, hier is de clou: Apple bewaarde pushmeldingen met delen van die berichten tot een maand lang. Dat klopt - zelfs nadat je het bericht had ingesteld om te vernietigen of de app volledig had verwijderd, bleef er een digitaal spook achter in de meldingendatabase, wachtend op een dagvaarding.

Het probleem kwam aan het licht dankzij 404 Media, dat sprak met aanwezigen van een hoorzitting waar de FBI getuigde dat het "forensisch kopieën van inkomende Signal-berichten van de iPhone van een verdachte had geëxtraheerd, zelfs nadat de app was verwijderd, omdat kopieën van de inhoud waren opgeslagen in de pushmeldingendatabase van het apparaat." De zaak in kwestie? De eerste keer dat autoriteiten mensen aanklaagden voor vermeende "Antifa"-activiteiten nadat president Trump de term tot terroristische organisatie had bestempeld. Want natuurlijk is dat de zaak.

Woensdag bevestigde Apple dat het de bug had verholpen. Getroffen gebruikers kunnen hun apparaten updaten om te stoppen wat Apple omschreef als "meldingen gemarkeerd voor verwijdering" die "onverwacht op het apparaat konden worden bewaard." Volgens Apple hadden de pushmeldingen nooit opgeslagen mogen worden, maar een "logboekprobleem" had de gegevens niet verwijderd. Dus het was minder een kwaadaardig complot en meer een bureaucratische blunder - een schrale troost als je de verdachte was.

Op Bluesky vierde Signal de oplossing en zei dat het "erg blij" was dat Apple geen tijd had verspild. "We zijn Apple dankbaar voor de snelle actie hier, en voor het begrijpen en handelen naar de inzet van dit soort problemen," luidde het bericht. "Er is een ecosysteem voor nodig om het fundamentele mensenrecht op privécommunicatie te behouden." Signal bevestigde dat na het updaten van hun apparaten "geen actie nodig is om deze oplossing Signal-gebruikers op iOS te laten beschermen. Zodra je de patch installeert, worden alle per ongeluk bewaarde meldingen verwijderd en worden er geen toekomstige meldingen bewaard voor verwijderde applicaties."

Maar niet iedereen staat te juichen. Op de thread van Signal discussieerden gebruikers of de update voldoende is. Sommigen stelden dat de echte les is om berichtvoorbeelden volledig uit te schakelen, een sentiment dat werd gedeeld door Signal-president Meredith Whittaker, die gebruikers eerder adviseerde om meldingen in te stellen op "Toon geen naam of inhoud" om privacyproblemen te voorkomen. Een Bluesky-gebruiker, LofiTurtle, vatte het samen: "Door berichtvoorbeelden in meldingen te hebben, geef je het besturingssysteem toegang tot die inhoud zonder zeker te weten hoe het met die berichten omgaat. Deze patch verwijdert één bekende methode, maar voor volledige zekerheid moet je voorbeelden uitschakelen zodat het besturingssysteem het nooit ziet."

Een andere gebruiker, Alexndr, vroeg zich af wat er nog meer in iOS-meldingencaches op de loer lag: "De meldingsinhoud die het verwijderen van de app overleeft, is het wilde deel. Blij dat het is gepatcht, maar het doet je afvragen wat er nog meer in iOS-meldingencaches zit."

Een milder standpunt kwam van Coyote, die opmerkte dat Apple's blog verduidelijkte dat het een logboekprobleem was, geen cacheprobleem: "Meldingsinhoud mocht niet in diagnostische logboeken terechtkomen, maar deed dat soms wel. Specifiek gebeurde dat wanneer je een melding krijgt die de telefoon niet aankan, zoals wanneer de app waarvoor het is, is verwijderd."

Toch blijven er vragen. Apple haalde vorig jaar de krantenkoppen toen het end-to-end-encryptie in het VK introk om een wet te omzeilen die het voor functionarissen gemakkelijker maakte om versleutelde chats te bespioneren. En 404 Media merkte op dat wetshandhaving wereldwijd steeds vaker vertrouwt op pushmeldingen als onderzoeksstrategie. Vorig jaar zwichtte Apple voor juridische eisen die "overheden gegevens gaven over duizenden pushmeldingen." Dus word niet te comfortabel.