Šifrované správy v aplikácii Signal považujú bezpečnostní experti za jedny z najlepšie chránených foriem digitálnej komunikácie. No začiatkom apríla vyšlo najavo niečo, čo mnohých prekvapilo: FBI dokázala získať obsah vymazaných správ bez toho, aby prelomila samotné šifrovanie. Využila na to databázu notifikácií v systéme iOS, na čo musel Apple reagovať núdzovou aktualizáciou.
Kľúčom k pochopeniu celého prípadu je spôsob, akým iOS narába s push notifikáciami. Keď aplikácia ako Signal doručí správu, systém ju nakrátko uloží do vlastnej databázy notifikácií, a to ešte predtým, než ju samotná aplikácia spracuje a prípadne zašifruje či vymaže. Tento mechanizmus existuje preto, aby mohol iPhone zobrazovať notifikácie aj v situáciách, keď je samotná aplikácia zatvorená alebo nedostupná.
Ako informuje portál 9to5Mac, FBI pri vyšetrovaní jedného z prípadov skonfiškovala iPhone podozrivého a prostredníctvom forenzných nástrojov získala prístup práve k tejto notifikačnej databáze. V nej sa nachádzali textové náhľady správ zo Signalu, ktoré používateľ dávno vymazal priamo v aplikácii. Samotné šifrovanie Signalu pritom zostalo neporušené: zraniteľnosť tkvela v správaní operačného systému, nie šifrovacej aplikácie.
Inak povedané, notifikačná databáza iOS si po určitú dobu uchováva obsah správ nezávisle od toho, čo sa deje v samotnej aplikácii. Signal síce správy šifruje a umožňuje ich vymazanie, no systémová vrstva iOS si náhľad notifikácie medzitým uloží na vlastné účely. A práve toto de facto medzipamäťové správanie sa stalo nástrojom pre forenzný prístup k dátam.
K čomu sa vedeli dostať?
Konkrétny rozsah dát, ku ktorým sa dalo takýmto spôsobom dostať, závisel od nastavení zariadenia a konkrétnej aplikácie. V prípade Signalu išlo predovšetkým o textové náhľady správ zobrazované v notifikáciách, teda to, čo bežne vidíte na uzamknutej obrazovke alebo v centre notifikácií.
Podľa portálu MacRumors sa táto zraniteľnosť dostala do databázy Common Vulnerabilities and Exposures pod označením CVE-2026-28950. Citlivé dáta sa v notifikačnej databáze ukladali vo forme čitateľného textu, pričom forenzný softvér k nim získal prístup v rýmci analýzy fyzickej zálohy zariadenia. Engadget dopĺňa, že FBI na získanie týchto dát nepotrebovala žiadny zero-day exploit ani pokročilý hackerský nástroj. Pohodlne postačili bežne dostupné forenzné metódy, doplnené o fyzický prístup k zariadeniu.
Je pritom dôležité upozorniť, že táto zraniteľnosť sa netýkala len Signalu. Rovnakým spôsobom bolo teoreticky možné pristupovať k notifikačným dátam ďalších aplikácií, a to vrátane tých, ktoré pracujú s citlivými informáciami, čiže napríklad bankových alebo zdravotných aplikácií.
Núdzová aktualizácia
Keď sa prípad dostal na verejnosť (prostredníctvom súdnych dokumentov a investigatívnych správ), Apple na nič nečakal a takmer okamžite vydal aktualizáciu iOS 26.4.2, ktorá zraniteľnosť priamo rieši. Tento inštalačný balíček vyšiel včera, teda len niekoľko dní po tom, čo sa problém naplno dostal do mediálneho priestoru.
Neprehliadnite
Ako popisuje AppleInsider, záplata mení spôsob, akým iOS ukladá obsah notifikácií do lokálnej databázy. Citlivé textové náhľady správ sa od tejto verzie neuchovávajú v takej forme, v akej by k nim mohol mať prístup forenzný softvér. Aktualizácia priamo rieši problém ako s notifikačnou databázou Signalu, tak aj príbuzných aplikácií.
Apple zároveň túto aktualizáciu vydal aj pre iPady a Macy, keďže rovnaký systém správy notifikácií funguje naprieč celým ekosystémom. Odborná komunita odporúča používateľom nainštalovať ju čo najskôr, a to nielen tým, ktorí používajú Signal, ale všetkým, ktorým záleží na súkromí ich digitálnej komunikácie.
Kritika na seba nenechala čakať
Ako to už pri takýchto incidentoch býva, celá kauza si získala pozornosť nielen bezpečnostnej komunity, ale aj širokej verejnosti, pretože názorne poukazuje na jednu zásadnú vec: šifrovanie aplikácie samo o sebe nestačí, ak operačný systém na pozadí uchováva dáta, ku ktorým možno získať prístup iným spôsobom.
Forbes v tejto súvislosti upozornil, že používatelia Signalu, ktorí chceli minimalizovať riziko podobného scenára ešte pred vydaním záplaty, mohli v nastaveniach Signalu vypnúť zobrazovanie náhľadov správ v notifikáciách. Tým by sa predišlo ukladaniu citlivého textu do systémovej databázy. Po nainštalovaní iOS 26.4.2 je táto vrstva ochrany zabezpečená priamo na úrovni systému.
Tento prípad má aj širší kontext. Orgány činné v trestnom konaní vo viacerých krajinách dlhodobo hľadajú spôsoby, ako získavať dáta zo šifrovaných zariadení. Apple sa pritom opakovane dostával do konfliktu s americkými úradmi práve kvôli svojmu prístupu k ochrane súkromia používateľov. Odmietla napríklad vytvoriť zadné vrátka do systému iOS, o čo FBI žiadala ešte v roku 2016 v súvislosti s teroristickým útokom v San Bernardine.
Aktuálna situácia je ale iná. Nejde o žiadosť o spoluprácu ani o cielený útok na šifrovanie. Ide o nenápadnú vlastnosť systému, ktorú experti na bezpečnosť prehliadli, a ktorú zákon presadzujúce orgány jednoducho využili. No práve v tom spočíva jej závažnosť.
Čo z toho plynie pre používateľov
Pre drvivú väčšinu používateľov iPhonu aktualizácia iOS 26.4.2 nepredstavuje žiadnu viditeľnú zmenu v každodennom používaní. Na pozadí však rieši bezpečnostnú medzeru, ktorá mohla byť (a zjavne aj bola) zneužitá v reálnych prípadoch. Odporúčanie je teda prosté: aktualizovať zariadenie na najnovšiu verziu iOS.
Pre používateľov Signalu a iných komunikačných aplikácií, ktoré využívajú šifrovanie, teda platí, že bezpečnosť ich komunikácie závisí nielen od samotnej aplikácie, ale aj od toho, ako sa k dátam správa operačný systém pod ňou.
