Apple har fixat en säkerhetsbugg som, visar det sig, i princip lämnade en bakdörr öppen för polisen att snoka i raderade Signal-meddelanden. Hoppsan.

För den som trodde att krypterade appar som Signal innebar att deras hemligheter var säkra, här är smällen: Apple lagrade push-notiser som innehöll delar av dessa meddelanden i upp till en månad. Just det – även efter att du ställt in meddelandet på självförstörelse eller raderat appen helt, fanns ett digitalt spöke kvar i notisdatabasen, redo för en stämningsansökan.

Problemet uppdagades tack vare 404 Media, som pratade med deltagare i en förhandling där FBI vittnade om att de ”forensiskt extraherat kopior av inkommande Signal-meddelanden från en tilltalads iPhone, även efter att appen raderats, eftersom kopior av innehållet sparats i enhetens push-notisdatabas.” Fallet i fråga? Första gången myndigheter åtalade personer för påstådd ”Antifa”-verksamhet efter att president Trump utsett termen till en terroristorganisation. För att det såklart är det fallet.

På onsdagen bekräftade Apple att de fixat buggen. Berörda användare kan uppdatera sina enheter för att stoppa det Apple beskrev som ”notiser markerade för radering” som ”oväntat kunde sparas på enheten.” Enligt Apple borde push-notiserna aldrig ha lagrats, men ett ”loggningsproblem” misslyckades med att maskera datan. Så det var mindre en ondskefull plan och mer en byråkratisk tabbe – klen tröst om du var den tilltalade.

På Bluesky firade Signal fixen och sa att de var ”mycket glada” över att Apple inte drog ut på tiden. ”Vi är tacksamma mot Apple för den snabba åtgärden här, och för att de förstår och agerar på insatserna i den här typen av frågor,” stod det i inlägget. ”Det krävs ett ekosystem för att bevara den grundläggande mänskliga rätten till privat kommunikation.” Signal bekräftade att efter att användare uppdaterat sina enheter ”krävs ingen åtgärd för att denna fix ska skydda Signal-användare på iOS. När du installerar patchen kommer alla oavsiktligt sparade notiser att raderas och inga framtida notiser kommer att sparas för raderade appar.”

Men alla är inte redo att high-fiva. I Signals tråd diskuterade användare om uppdateringen är tillräcklig. Vissa menade att den verkliga lärdomen är att stänga av meddelandeförhandsvisningar helt, en åsikt som delas av Signals president Meredith Whittaker, som tidigare rådde användare att ställa in notiser på ”Visa inget namn eller innehåll” för att undvika integritetsproblem. En Bluesky-användare, LofiTurtle, sammanfattade: ”Genom att ha meddelandeförhandsvisningar i notiser ger du operativsystemet tillgång till det innehållet utan att vara säker på hur det kommer att hantera dessa meddelanden. Denna patch tar bort en känd metod, men för full försäkran bör du bara stänga av förhandsvisningar så att operativsystemet aldrig ser det från första början.”

En annan användare, Alexndr, undrade vad mer som kan ligga och lura i iOS-notiscachar: ”Att notisens innehåll överlever appradering är det vilda. Glad att det är patchat men man undrar vad mer som sitter i iOS-notiscachar.”

En mer välvillig tolkning kom från Coyote, som noterade att Apples blogg förtydligade att det var ett loggningsproblem, inte ett cachningsproblem: ”Notisens innehåll skulle inte hamna i diagnostikloggar men gjorde det ibland. Specifikt hände det när du får en notis som telefonen inte kan hantera, som när appen den är till för har raderats.”

Ändå kvarstår frågor. Apple hamnade i rubrikerna förra året för att de drog in end-to-end-kryptering i Storbritannien för att undvika en lag som gjorde det lättare för myndigheter att spionera på krypterade chattar. Och 404 Media noterade att polis globalt i allt högre grad förlitar sig på push-notiser som en utredningsstrategi. Förra året gav Apple efter för juridiska krav som ”gav regeringar data om tusentals push-notiser.” Så sitt inte för bekvämt.