À retenir : – Le FBI a récupéré des messages Signal via les notifications d’un iPhone. – Les messages étaient stockés en clair dans la mémoire interne de l’iPhone. – L’accusée n’avait pas activé le réglage masquant le contenu des notifications. – Le système iOS conserve le token de notification même après désinstallation d’application. – Une modification dans iOS 26.4 pourrait colmater cette faille.
Le FBI a réussi à récupérer des messages supprimés de l’application Signal sur un iPhone dans une affaire récente au Texas. Cette opération a été rendue possible grâce à l’utilisation de la base de données des notifications internes d’iOS, comme l’indique 404 Media.
Dans cette affaire, Lynette Sharp, qui a plaidé coupable pour avoir apporté un soutien matériel à des terroristes après des dégradations au centre de détention de la police de l’immigration (ICE) d’Alvarado au Texas, n’avait pas configuré son application Signal pour masquer le contenu des messages dans les notifications. En conséquence, les messages reçus ont été stockés en clair dans la mémoire interne de son iPhone. Il est important de noter que seule la récupération des messages entrants a été possible, et non celle des messages envoyés.
Lors du procès, l’agent spécial du FBI Clark Wiethorn a témoigné sur ces éléments clés. Ce phénomène découle d’un comportement spécifique à iOS : le token utilisé pour envoyer les notifications n’est pas immédiatement invalidé lorsque l’application est désinstallée. Le serveur continue donc d’envoyer des notifications sans savoir si l’application est toujours présente sur le smartphone. Par conséquent, iOS peut décider de conserver leur contenu localement en cache.
Cette situation repose sur une hypothèse selon laquelle différents états de verrouillage du dispositif — tels que BFU (Before First Unlock) et AFU (After First Unlock) — sont suffisants pour protéger ces données. Cependant, la méthode précise employée par le FBI pour extraire ces informations reste floue en raison du manque de détails techniques concernant l’état de l’iPhone lors du processus d’extraction. Une extraction effectuée à partir d’une sauvegarde via des outils commerciaux dédiés à l’investigation numérique exploitant certaines failles dans la sécurité d’iOS semble plausible.
Il convient également de noter qu’Apple a récemment modifié sa façon de valider les tokens liés aux notifications avec la mise à jour iOS 26.4. Bien qu’il soit difficile d’établir un lien direct entre cette modification et cette affaire particulière pour le moment, il est intéressant que ce changement puisse combler potentiellement la faille utilisée dans ce cas sans que cela ait été explicitement communiqué par Apple
Grand maitre Goa'uld des dessins animés, j'ai beaucoup aidé sur l'ancienne version du site de 2002 et je reviens filer un coup de main quand j'ai du temps.
