Apple sulgeb iPhone’i turvaviga, mis on seotud kustutatud Signal’i eelvaadetega

Apple on parandanud turvapuuduse, mis põhjustas selle, et kustutamiseks märgitud teated säilisid seadmes kauem kui oodata sai. 

IOS 16.4.2 ja iOS 18.7.8 turvanoteerimistes kirjeldas Apple probleemi nii: see mõjutas Teatete teenuseid.

Parandus järgnes teadetele selle kohta, et puudus võimaldas lugeda Signal’i sõnumite eelvaateid iPhone’i teadete andmebaasis. Apple ei nimetanud oma soovituses otse Signal’i, kuid värskendus ilmus pärast avalikku teatamist, milles seotakse säilinud teateid föderaalsete uurijatega. Parandus on nüüd saadaval Apple’i viimastes iPhone’i ja iPad’i tarkvaravärskendustes.

Kohtuotsus tõi puuduse tähelepanu alla

Probleem tuli avalikkuse ette pärast kohtuistungit Texas’i föderaalkohtus, kus selgus, et uurijad olid leidnud Signal’i sõnumite eelvaated iPhone’i teadete andmebaasist. Selle teatamise kohaselt ekstrahesid FBI spetsialistid forensiliselt saabuvaid Signal’i sõnumeid kaitsja iPhone’ist isegi pärast seda, kui rakendus oli seadmest kustutatud – sõnumite sisu oli säilinud seadme push-teadete andmebaasis.

Leitud andmed hõlmasid ainult saabuvaid sõnumeid, mitte saatvaid. Apple’i värskendus käsitles probleemi, kus kustutatud teated võisid säilida seadmes, kuigi Apple ei ühendanud oma soovituses parandust otse sellega kohtuasjaga. See teatamine aitas kooskõlastada kohtu tõendite ja Apple’i paranduse ajatempli.

Signal ütleb, et viimane iOS-värskendus lahendas probleemi

Signal teatas, et Apple’i viimane värskendus on parandanud selle probleemi põhjustanud vigu. Sõnumirakendus kirjutas X-is: „Apple’i soovitus kinnitas, et need vead, mis seda võimaldasid, on parandatud viimasest iOS-väljalaskest.“ See avaldus ilmus vaid mõni tund pärast seda, kui Apple avaldas oma turvanoteerimised.

Siaal ja väliste teadete allikate kohaselt oli tegu seadme tasemel salvestusprobleemiga, mitte Signal’i lõpust-lõppu krüpteeringu katkemisega. Sõnumite sisu ilmnes tõenäoliselt operatsioonisüsteemi poolt salvestatud teadete eelvaadetena. See tähendab, et privaatsuslück oli seotud telefoniga teadete kuvamisega, mitte Signal’i põhikrüpteeringusüsteemiga.

Lisaks tõi see juhtum uuesti tähelepanu sellele, kuidas sõnumite eelvaated kuvatakse lukustatud ekraanil ja kohalikes teadete logides. Juhtumi kohta teatanud allikad märkisid, et kasutajad, kes lubavad täielikke teadete eelvaateid, võivad seadmesse jätta rohkem loetavat sisu, isegi kui sõnumirakendus ise kasutab tugevat krüpteeringut.