Инструменты для криминалистического анализа GrayKey, которыми пользуются правоохранительные органы, могут сохранять на iPhone состояние, упрощающее извлечение данных после перезагрузки. Об этом сообщает AppleInsider со ссылкой на обучающее видео для силовых ведомств, с которым ознакомилось издание 404 Media.
Речь идёт о функции защиты, появившейся в iOS 18.1. Если iPhone остаётся заблокированным в течение 72 часов, устройство автоматически перезагружается и переходит в режим Before First Unlock (BFU) — «до первого разблокирования». В этом состоянии доступ к ключам шифрования существенно ограничен, поэтому подбор пароля и другие способы получения доступа к данным заметно усложняются.
Сохранение состояния после разблокировки
В видео упоминаются устройство GrayKey Preserve и режим Evidence Preservation Mode для уже используемого оборудования GrayKey. По утверждению Magnet Forensics, они позволяют удерживать iPhone в состоянии After First Unlock (AFU) — «после первого разблокирования» — даже в случае перезапуска устройства. После того как владелец хотя бы раз ввёл код-пароль, часть данных и криптографических материалов становится доступнее для системы до следующего перезапуска.
Также Evidence Preservation Mode, как утверждается, способен не допускать автоматического удаления некоторых сведений: сохранённых геоданных, недавно удалённых фотографий и сообщений в iMessage. Это позволяет зафиксировать содержимое смартфона на время, необходимое правоохранительным органам для получения разрешения на дальнейшее извлечение информации.
После первоначального доступа GrayKey Preserve отключает сотовую связь, Bluetooth и Wi‑Fi. Такая изоляция должна предотвратить поступление новых сообщений и команд на устройство, а также не дать изменить или удалить данные дистанционно.
Как именно работает обход, не раскрывается
Технические детали работы режима в видео не приводятся. Исследовательница безопасности iPhone Йиска Классен предположила, что один из возможных механизмов связан с изменением системного времени либо с отключением фоновых процессов, отвечающих за срок хранения данных.
Независимого подтверждения этой версии и сведений о том, насколько широко применяется описанный способ, в публикации нет. Apple также не комментировала предполагаемые возможности GrayKey Preserve.
