Siete sicuri che anche l’app più sicura permetta di nascondere un passaggio di dati?
Signal è un’app di messaggistica con il massimo degli accorgimenti e cura per la privacy e la sicurezza, l’architettura generale e la solidità del protocollo utilizzato, elementi che la rendono l’app di messaggistica universalmente riconosciuta, da esperti ed addetti ai lavori, come la più sicura tra quelle centralizzate.
Nonostante la grande attenzione per la sicurezza, tutto questo a quanto pare non basta: l’FBI è riuscita a estrapolare copie di messaggi arrivati sull’iPhone di un imputato, anche dopo l’eliminazione dell’app.
Il recupero dei messaggi è stato possibile perché copie del contenuto erano state salvate nel database delle notifiche push del dispositivo, Lo riferisce il sito 404 Media che racconta di alcune testimonianza dell’FBI in un recente processo.
Il caso riguarda un gruppo di persone che a luglio dello scorso anno aveva fatto esplodere dei fuochi d’artificio e vandalizzato una struttura di detenzione dell’ICE (Immigration and Customs Enforcement) in Texas, e un individuo che aveva colpito un agente di polizia al collo con un colpo di arma da fuoco.
L’estrazione forense con software specializzati (il processo tecnico e legale di acquisizione, recupero e analisi di informazioni da dispositivi digitali) quando si ha accesso fisico a un dispositivo, dimostra la possibilità di recuperare dati sensibili anche dalle app di messaggistica ritenute sicure.
Signal – come altre app – offre un’impostazione che impedisce la visualizzazione del contenuto del messaggio nelle notifiche push ma in questo caso l’impostazione non sarebbe stata attiva, consentendo al sistema operativo di salvare il testo dei messaggi all’interno del database delle notifiche: in altre parole anche eliminando l’app, una parte delle informazioni può restare memorizzata localmente. Non è una anomalia ma – semplificando – è un modo per consentire a iOS di velocizzare la gestione dei dati offrendo accesso rapido alle notifiche.
“Abbiamo appreso che, specificamente sugli iPhone, se le impostazioni dell’app Signal consentono la visualizzazione delle notifiche e delle anteprime dei messaggi sulla schermata di blocco, [allora] l’iPhone memorizzerà internamente tali notifiche/anteprime nella memoria interna del dispositivo”, ha spiegato un sostenitore degli imputati. In una delle giornate nelle quali si è svolto il processo, l’agente speciale dell’FBI Clark Wiethorn ha testimoniato su alcune delle prove raccolte spiegando che “I messaggi sono stati recuperati dal telefono passando dall’archivio interno delle notifiche di Apple”. L’app Signal era stata rimossa, ma le notifiche in entrata erano state conservate nella memoria interna. “Sono stati acquisiti solo i messaggi in entrata (nessuno in uscita)”.
“Sono riusciti a catturare queste chat a causa del modo in cui lei aveva impostato le notifiche sul telefono”, spiega uno dei sostenitori degli imputati. “Ogni volta che una notifica appare sulla schermata di blocco, Apple la memorizza nella memoria interna del dispositivo”.
iOS tiene conto dei vari stati di sicurezza del dispositivo per impedire la lettura (ad esempio se telefono è stato sbloccato o meno dopo l’accensione) ma il funzionamento delle notifiche push può in alcuni casi aprire una falla: quando di disinstalla un’app il token che permette ai server di inviare notifiche a un dispositivo non è invalidato immediatamente e il server può continuare a inviare notifiche anche dopo la rimozione dell’app, lasciando al sistema operativo la gestione finale, compresa la memorizzazione nel database delle notifiche.
Non vi sono dettagli a disposizione per capire il metodo sfruttato dall’FBI per recuperare alcuni dei messaggi in arrivo ma è probabile che questi siano stati recuperati da elementi memorizzati nelle notifiche push o più semplicemente da backup dei dispositivi.
