Apple beveiligingsupdate sluit de deur voor het lekken van gegevens uit notificatiedatabases

Apple heeft een beveiligingsupdate voor iPhone uitgebracht die een bug aanpakt waardoor inhoud van meldingen van iPhones kan worden gehaald, zelfs als de app is verwijderd. Het beveiligingslek werd misbruikt door de FBI, die het gebruikte om de logbestanden met Signaalberichten van een verdachte van de iPhone te halen.

Applein de release notes staat over het probleem het volgende "Meldingen die gemarkeerd waren om verwijderd te worden, konden onverwacht op het apparaat blijven staan." Met de update is er nu "verbeterde gegevensredactie", wat waarschijnlijk verwijst naar het feit dat het bedrijf nu gegevens die privé zouden moeten zijn, privé houdt.

De kwestie kwam halverwege de maand april onder de aandacht van https://mashable.com/article/fbi-crack-signal-messages-how-to-fixtoen bleek dat onderzoekers de inhoud van berichten hadden achterhaald door toegang te krijgen tot de opgeslagen database met pushberichten van een telefoon. Cruciaal was dat die gegevens beschikbaar bleven, zelfs nadat Signal zelf van het apparaat was verwijderd.

De voorzitter van Signal Foundation, Meredith Whittaker, merkte op dat het gedrag indruist tegen de privacyverwachtingen van de app, en verklaarde op X: "Meldingen voor verwijderde berichten horen niet in een database met OS-meldingen te blijven staan, en we hebben Apple gevraagd hier iets aan te doen."

Applede nieuwste iOS-update, iOS 26.4.2, zoals hierboven beschreven, lijkt het antwoord van het bedrijf op het probleem te zijn.

Signal is een versleutelde berichten-app die gebouwd is rond privacy, dus het zou zowel voor gebruikers als voor het bedrijf zorgwekkend zijn als die privacy geschonden kon worden - of omzeild, zoals in dit geval. Het is de moeite waard om op te merken dat dit probleem niet beperkt zou zijn tot Signal alleen, maar mogelijk elke app waarvan de meldingsinhoud wordt gelogd en opgeslagen door iOS - in ieder geval vóór de patch.

De aflevering benadrukt een bekend spanningsveld in mobiele beveiliging: versleutelde apps kunnen gegevens alleen beschermen tot het punt waar het besturingssysteem ze opslaat. In dit specifieke geval zat de zwakke plek niet in de berichtenapp Signal, maar in hoe het besturingssysteem zelf omging met wat er overbleef.

Zoals met de meeste beveiligingslekken, gaat het er niet alleen om wie het als eerste gevonden heeft, maar ook wie het later misschien gevonden heeft. Applede patch sluit die deur, zelfs als de legitimiteit van de omstandigheden rond hoe het werd gebruikt waarschijnlijk ter discussie zal blijven staan.