La suposada invulnerabilitat de les apps de missatgeria xifrada torna a estar sota la lupa després de conèixer-se que l' FBI va aconseguir recuperar missatges esborrats de Signal en un iPhone sense necessitat de trencar el xifratge. La troballa no té a veure amb una bretxa al protocol de Signal ni amb errors en la verificació de claus de contactes , sinó amb una característica poc visible de l'iOS: com gestiona i emmagatzema les notificacions push.
El que s'ha revelat en un judici als Estats Units mostra que, encara que una conversa s'autodispareixi dins de l'app i fins i tot es desinstal·li Signal de l'iPhone , poden quedar còpies parcials d'aquests missatges en una base de dades interna de notificacions del sistema. Un recordatori incòmode per a qualsevol que confiï a l'iPhone com a bastió absolut de privadesa, inclosos usuaris a Espanya i Europa que utilitzen Signal per a comunicacions sensibles.
El cas Prairieland: un judici per terrorisme que destapa el mètode de l'FBI
La tècnica va sortir a la llum en el conegut cas Prairieland , un procés federal als Estats Units relacionat amb un atac contra el centre de detenció ICE Prairieland a Alvarado (Texas). Al juliol, un grup de persones va llançar focs artificials, va causar danys a les instal·lacions i un dels incidents va acabar amb un agent de policia ferit de bala al coll, cosa que va derivar en acusacions de terrorisme domèstic.
Durant el judici, l'agent especial de l'FBI Clark Wiethorn va testificar sobre com s'havien obtingut missatges entrants de Signal de l'iPhone d'una de les acusades, Lynette Sharp, presentats com a prova a l'anomenat Exhibit 158. Segons el resum d'aquesta prova, l'aplicació de Signal ja havia estat eliminada del dispositiu quan es va dur a terme l'extracció.
Persones presents a la sala van explicar que l'FBI no va demanar ajuda a Signal ni va vulnerar els seus servidors, sinó que va recórrer a una anàlisi forense del mateix iPhone . El telèfon es va examinar amb eines especialitzades, com ara les solucions comercials tipus Cellebrite, que permeten accedir a capes del sistema operatiu fora de l'abast de l'usuari mitjà.
El detall clau assenyalat en aquestes notes és que els missatges recuperats no procedien de la base de dades interna de Signal , sinó del sistema de notificacions push dApple. La prova recollia que «Signal es va eliminar, però les notificacions entrants es van retenir a la memòria interna», i que només es van capturar missatges rebuts, no enviats.
El cas, a més, ha tingut una forta càrrega política als Estats Units en presentar-se com a exemple d'actuació contra suposades activitats vinculades a “Antifa”. Més enllà del debat ideològic, el que és rellevant per a la privadesa digital és que el procediment evidencia noves capacitats forenses sobre dispositius iOS que afecten qualsevol que utilitzi missatgeria xifrada.
Què fa realment iOS amb les notificacions de Signal
Per entendre per què l'FBI va poder llegir aquests missatges, cal mirar una capa per sota de l'app: com iOS processa i desa les notificacions push . Cada vegada que arriba un missatge nou de Signal, el sistema operatiu desxifra localment el contingut al dispositiu per generar la vista prèvia que veiem a la pantalla de bloqueig o als avisos emergents.
Aquest contingut ja desxifrat -nom del remitent i part o tot el text del missatge, segons la configuració- s'emmagatzema en una memòria cau interna de notificacions que manté iOS, separada del contenidor de l'aplicació. És a dir, és el sistema operatiu qui conserva aquesta informació, no Signal. I les polítiques exactes sobre quant de temps romanen allà i en quines condicions no són públiques.
D'aquesta manera es produeixen tres efectes amb implicacions forenses clares: d'una banda, la memòria cau pot sobreviure a la desinstal·lació de l'app perquè resideix a l'àrea de dades del sistema. De l'altra, els missatges configurats per autodestruir-se a Signal poden deixar rastres en aquestes vistes prèvies durant dies o setmanes. I a més, el mecanisme només genera registres de missatges entrants , ja que la notificació es crea quan el dispositiu rep el missatge.
Al judici es van descriure casos en què es van mostrar missatges que a Signal ja havien desaparegut gràcies als temporitzadors de desaparició. Tot i això, extractes d'aquests mateixos missatges seguien accessibles en extreure la base de dades interna de notificacions de iOS, cosa que confirma que l'app va complir la seva funció, però el sistema operatiu va mantenir una còpia secundària.
Convé subratllar un punt que els experts repeteixen una vegada i una altra: el xifratge d'extrem a extrem de Signal no va ser trencat . La intercepció es va produir després, quan el missatge ja estava en text llegible dins del dispositiu i iOS va decidir emmagatzemar-ho per poder mostrar-ho com a avís. No es tracta d'una “porta del darrere” al protocol de Signal, sinó de la típica esquerda lateral a l'arquitectura del sistema.
És culpa de Signal o de la configuració d'iOS?
La pregunta que molts usuaris es fan és si el problema és a Signal, a Apple oa tots dos. La majoria d'analistes coincideixen que la responsabilitat directa no recau en el xifratge de Signal , sinó en la combinació de les opcions de notificació de l'app i les decisions de disseny d'iOS en desar aquestes dades.
Signal ofereix des de fa temps un ajustament específic per protegir-se d'aquest vector: als ajustaments interns de l'app es pot activar el mode «Sense nom, sense vista prèvia» . Amb aquesta configuració, les notificacions ja no inclouen ni el nom del contacte ni el contingut del missatge, de manera que el que iOS emmagatzema és, a la pràctica, un simple avís genèric, sense dades útils que es puguin recuperar després.
Això és molt diferent de limitar les previsualitzacions des dels paràmetres generals de l'iPhone (Configuració > Notificacions > Mostrar previsualitzacions). Aquest paràmetre del sistema pot amagar la vista prèvia a la pantalla de bloqueig, però no impedeix necessàriament que el contingut hagi estat processat i emmagatzemat prèviament per la infraestructura de notificacions.
En el cas analitzat al judici, tot apunta que la persona investigada mantenia activades les previsualitzacions completes a Signal, permetent que iOS rebés i guardés el text íntegre dels missatges entrants. Si s'hagués fet servir el mode sense nom ni contingut, la finestra d'exposició hauria estat molt menor o, directament, inexistent a nivell de contingut llegible.
La situació tampoc no sembla exclusiva d'aquesta aplicació: altres plataformes de missatgeria com WhatsApp o Telegram ofereixen ajustaments similars respecte al que mostren en les notificacions, i és raonable pensar que totes depenen del mateix sistema de notificacions d'iOS (consulteu les diferències de seguretat entre iMessage i Telegram ). El problema de fons no és una app concreta, sinó com el sistema operatiu gestiona la comoditat dels avisos davant de la privadesa.
Quina informació pot estar en risc i qui hi podria accedir
A la vista del que ha transcendit, qualsevol usuari que tingui un iPhone i utilitzi Signal (o apps semblants) amb previsualitzacions activades hauria d'assumir que part del contingut dels missatges entrants pot haver quedat emmagatzemat al sistema en algun moment. Això inclou missatges que ja han estat esborrats manualment o que van caducar mitjançant temporitzadors de desaparició.
Ara bé, aquesta no és una fallada que permeti a qualsevol espiar un telèfon a distància. Per explotar aquesta via es requereix accés físic al dispositiu i utilitzar eines d'extracció forense capaces de llegir aquestes bases de dades internes, cosa que a la pràctica està en mans de forces de seguretat amb ordre judicial o d'actors molt sofisticats amb accés temporal al terminal desbloquejat.
Un altre punt delicat és el de les còpies de seguretat a iCloud . Si l'iPhone realitza còpies de seguretat al núvol d'Apple, hi ha la possibilitat que part d'aquesta informació de notificacions s'inclogui a les còpies, ampliant l'abast de l'exposició més enllà del dispositiu físic. En entorns d'alta sensibilitat, diversos experts recomanen desactivar les còpies a iCloud o activar la protecció de dades avançada d'Apple per endurir l'accés.
Per a perfils de risc com periodistes de recerca, activistes, advocats, denunciants o equips directius que comparteixen informació estratègica, aquest cas demostra que la superfície d'atac real va més enllà de l'app de missatgeria . La seguretat de la comunicació també depèn del sistema operatiu, de les còpies de seguretat i de petits detalls d'usabilitat que solem donar per fets.
Tot i així, no estem davant d'una via de vigilància massiva i silenciosa a l'estil de les escoltes tradicionals. Els informes apunten a un ús puntual d' eines comercials forenses dins una investigació penal concreta, amb el dispositiu sota custòdia i una ordre judicial que autoritza l'extracció.
Impacte per a usuaris a Espanya i Europa
Tot i que l'exemple concret procedeix d'un judici als Estats Units, les implicacions arriben de ple a usuaris d'iPhone a Espanya i la resta d'Europa. Qualsevol que utilitzi Signal al seu dia a dia —ja sigui per a comunicacions laborals, contactes personals o coordinació política — es veu afectat per la manera com iOS maneja les notificacions.
A nivell europeu, on el Reglament General de Protecció de Dades (RGPD) marca un estàndard alt en protecció de la informació, aquest tipus de comportament del sistema operatiu reobre el debat sobre fins a quin punt les dades generades per funcions de conveniència (com les previsualitzacions de missatges) haurien de considerar-se informació personal sensible subjecta a majors garanties.
Les forces i cossos de seguretat dels diferents països de la UE també utilitzen solucions forenses sobre mòbils incautats en investigacions penals. Tot i que els detalls tècnics varien segons la jurisdicció i el proveïdor, el precedent del cas Prairieland indica que les bases de dades internes de notificacions són un objectiu prioritari en aquest tipus d'anàlisi.
Per a empreses europees, startups tecnològiques o despatxos professionals que es recolzen a Signal per tractar assumptes confidencials, aquesta situació obliga a revisar les polítiques internes d'ús de missatgeria . No n'hi ha prou amb “utilitzar una app xifrada”, sinó que convé definir estàndards de configuració de notificacions i de gestió de dispositius per evitar sorpreses en un hipotètic registre.
També s'obre la porta a possibles preguntes per a reguladors i autoritats de protecció de dades a la UE sobre la transparència d'Apple pel que fa a la retenció i el tractament de dades de notificacions, un terreny poc visible per a l'usuari final però amb conseqüències clares en termes de privadesa.
Recomanacions pràctiques per blindar les converses a iPhone
A partir del que s'ha conegut, comunitats de privadesa i organitzacions com l'Electronic Frontier Foundation o fòrums especialitzats han difós una sèrie de pautes pràctiques pensades per reduir el risc sense necessitat de ser expert en ciberseguretat.
A Signal, el pas més efectiu és activar l'opció «Sense nom, sense vista prèvia» per a les notificacions. La ruta habitual és entrar a l'app, anar a Configuració > Notificacions i triar l'opció més restrictiva dins de “Mostrar”. Així s'evita que el contingut del missatge surti de l'entorn xifrat de Signal i arribi clar al sistema de notificacions.
La següent mesura passa per coordinar la configuració amb els teus contactes . De poc serveix extremar les precaucions si els teus interlocutors mantenen previsualitzacions completes activades: en aquest cas, els missatges que tu envies podrien quedar emmagatzemats a la memòria cau de notificacions dels seus iPhone. Convé acordar, almenys entre els que manegen informació sensible, un nivell de protecció homogeni.
En situacions en què un dispositiu ha estat retingut per tercers (per exemple, una incautació a frontera o una detenció), alguns experts recomanen valorar un restabliment de fàbrica sense restaurar des d'una còpia al núvol . Aquesta operació elimina els artefactes forenses que puguin quedar a l'emmagatzematge intern, encara que restaurar des d'un backup podria reintroduir-los si la còpia ja contenia aquestes dades.
Finalment, cal no oblidar la capa més bàsica: un codi d'accés robust a l'iPhone continua sent una barrera important. Un codi numèric de quatre dígits ofereix una resistència limitada davant d'atacs de força bruta recolzats en maquinari especialitzat. Optar per codis més llargs o alfanumèrics complica substancialment aquest tipus d‟intents d‟accés.
En paral·lel, pot ser útil revisar els ajustaments generals de notificacions de iOS, reduint al mínim les previsualitzacions en pantalla i limitant quines apps poden mostrar contingut a la pantalla de bloqueig. No és una solució total al problema, però ajuda a minimitzar la quantitat de dades exposades en cas de pèrdua, robatori o confiscació del dispositiu.
La posició legal i el pols entre Apple, Signal i les forces de seguretat
Des del punt de vista jurídic, la tècnica emprada per l'FBI en el cas Prairieland s'enquadra en un escenari clàssic d'extracció forense amb ordre judicial sobre un dispositiu confiscat. No s'ha descrit un mecanisme d'accés remot massiu ni una col·laboració especial de Signal per afeblir-ne el xifratge.
La polèmica ve més aviat de la constatació que les eines forenses comercials per a iOS estan molt més avançades del que molts usuaris imaginen. La línia entre el que considerem “missatge eliminat” i el que per a un analista forense és “dada recuperable” s'ha tornat força fina, i aquest cas ho ha posat negre sobre blanc.
Ni Apple ni Signal han ofert ara com ara explicacions detallades sobre el comportament exacte de la base de dades de notificacions, malgrat que mitjans especialitzats han intentat demanar la seva versió. El silenci, combinat amb canvis recents en la gestió de tokens de notificacions en versions modernes de iOS, fa pensar que el tema és sobre la taula dins de la companyia.
No seria la primera vegada que Apple respon a avenços forenses endurint la seguretat del sistema. En el passat, funcions com el reinici per inactivitat o l'evolució del Secure Enclave han tancat camins que abans aprofitaven laboratoris d'anàlisi i agències de seguretat. No és desgavellat esperar que futures versions de iOS ajustin la manera com es guarden i purguen les notificacions.
En qualsevol cas, la situació reforça la idea que la privadesa digital és una pràctica de capes , no un interruptor que s'activa instal·lant una sola aplicació. El xifratge robust és una peça central, però l'arquitectura del sistema operatiu, les còpies de seguretat, les notificacions i els hàbits d'ús diari completen el puzle.
El que mostra aquest episodi de l'FBI i iOS és que, encara que Signal segueixi sent una de les opcions més sòlides per a la missatgeria privada, la protecció real d'una conversa depèn també de com es configuri l'iPhone, de què es permet mostrar en les notificacions i de quant s'assumeix que un “missatge esborrat” ha desaparegut per sempre, quan la realitat tècnica demu.
