夜雨聆风最近，FBI利用取证手段获取iPhone上Signal消息的事件，再次引发了人们对移动隐私由来已久的误解：人们普遍认为阅后即焚消息和加密应用能够保证在删除消息或卸载应用后，不会留下任何通信痕迹。404 Media报道并经多位安全研究人员分析的一起德克萨斯州法庭案件表明，这种假设与现代智能手机的实际运作方式并不相符。
据404 Media报道，在最近一起案件的庭审中，多名在场人士向FBI作证时透露，FBI能够从被告的iPhone手机中提取出Signal应用内接收信息的副本，即使该应用已被删除，因为这些信息的内容副本仍保存在设备的推送通知数据库中。该案涉及一群人在7月份于德克萨斯州阿尔瓦拉多市的ICE Prairieland拘留中心燃放烟花并破坏财物，其中一人还开枪击中了一名警官的颈部。404 Media发布的报道称：“这则新闻表明，当有人能够实际接触到设备并运行专门的软件时，法证提取技术可以如何从意想不到的地方获取来自安全通讯应用的敏感数据。”
即使嫌疑人卸载了 Signal 应用，且消息本身被设置为短时间自动消失，调查人员仍然能够从其 iPhone 中恢复收到的消息。FBI 并未破解 Signal 的加密，也没有利用其协议中的任何漏洞。相反，他们是从系统完全不同的层面——苹果公司自身的通知存储——获取了这些数据。
法庭证词显示，调查人员仅恢复了iPhone接收的信息，而未恢复发送的信息。这一点至关重要，因为接收的信息会由苹果的推送通知系统处理，并会临时存储以用于锁屏/通知预览，即使从应用程序中删除，也可能留下操作系统痕迹。发送的信息则没有这种通知痕迹，这也解释了调查人员的局限性。
用户误解了“删除”或“消失”的真正含义。像 Signal 这样的即时通讯应用会在传输过程中加密消息，并根据预设时间从应用界面中删除消息。但消息送达后，会在接收者的设备上解密显示。操作系统可能会在 Signal 无法控制的情况下独立缓存通知内容。
“这里需要注意一个重要细节：我们只恢复了收到的消息，没有恢复发出的消息。这完全符合推送通知的工作原理。”研究员安德烈亚·福图纳 (Andrea Fortuna) 发表的一篇分析文章中写道。“当有人通过 Signal 向您发送消息时，应用服务器会将通知推送至苹果的基础设施，然后由苹果将通知发送到您的设备。如果通知内容在发送前没有被删除，那么文本就会进入操作系统的通知数据库。而直接从您的设备发送到服务器的消息，则不会经过这条路径，因此不会留下任何痕迹。”
苹果的推送通知服务通过安全令牌将加密消息路由到设备。带有可见提醒的有效载荷（如果启用预览）会在本地解密，但由 iOS 渲染，iOS 会缓存通知数据以便进行历史记录/重启恢复。即使应用被删除，iOS 数据库也会保留部分片段，从而即使采用端到端加密，也能对过去的通知进行取证恢复。
安全研究人员和取证分析师早就知道，iOS 会维护结构化的通知数据库，这些数据库通常与用于跟踪警报和用户交互的系统框架相关联。即使卸载了应用，这些数据库仍然会保留。实际上，这意味着卸载 Signal 并不一定会彻底清除屏幕上曾经显示的所有消息痕迹。相反，这些消息的部分片段可能会仍然嵌入到系统级存储中，而这些存储是为通知历史记录等便捷功能而设计的。
取证工具从完整的文件系统镜像、备份或未锁定的快照中提取数据。它们分析操作系统解密的数据，例如系统数据库、缓存文件和通知内容，并非破解加密，而是访问 iOS 已解密/存储以供使用的数据。
在德克萨斯州的案例中，FBI很可能并非通过破解加密，而是通过存储在设备上的iOS取证数据，才恢复了Signal消息的残留信息。Fortuna解释说，一种可能的途径是在手机至少解锁一次（AFU状态）后进行逻辑获取，然后分析加密的iTunes备份，其中可能包含丰富的系统和应用程序数据，包括通知数据库。诸如idevicebackup2之类的工具可以在不修改设备的情况下提取备份。
另一种方法是使用 Cellebrite UFED 或 Magnet AXIOM 等商业取证套件，这些套件结合了备份提取、基于 AFC 的逻辑访问以及有时基于漏洞利用的方法来恢复更深层次的 iOS 数据。执法部门广泛使用这些工具来访问标准备份无法获取的数据。
第三种情况涉及 iCloud 备份，合法获取的 iCloud 备份也可能包含类似的系统级数据。所有方法的关键在于，iOS 会保留许多用户看不到的信息。因此，在取证过程中，“删除”或“卸载”并不一定意味着无法恢复。
据报道，在德克萨斯州的这起案件中，FBI是从苹果公司的内部通知存储中提取证据，而不是从Signal本身提取。iPhone重启后解锁（“首次解锁后”），更多加密的系统数据便可通过标准取证方法访问，包括通知数据库。这揭示了用户预期与系统行为之间的差距。
许多人认为阅后即焚的消息或应用删除意味着数据彻底清除。但实际上，移动操作系统为了提升用户体验和性能，会保留通知历史记录、缓存、日志和预测文本等数据，即使应用被删除，这些数据仍然存在。
Signal 的加密功能依然完好无损；问题出在操作系统上，操作系统可以独立存储消息内容。
可以通过禁用通知预览或使用“内容隐藏”模式来降低风险，防止可读消息文本存储在设备上。
FBI的案例凸显了数字隐私的层层保护。加密可以保护传输中的数据，但并非总能保护静态数据。即时通讯应用可以从自身系统中删除消息，但它们无法完全控制操作系统如何存储通知或系统级数据。
即使是像 Signal 或 WhatsApp 这样安全的应用，其运行环境的设计也侧重于易用性和持久性，而非完美的数据擦除。因此，消息可能会从屏幕上消失，但仍会在设备上留下痕迹。
关键在于，应用内的消失并不意味着手机内的数据也会消失。智能手机不可避免地会保留系统级数据，从而形成用户无法察觉的多层信息。
