GrayKey заобикаля рестарта на iPhone след 72 часа

Канадската Magnet Forensics твърди, че е намерила начин да обезсили една от най-елегантните защити на Apple — автоматичния рестарт, който връща iPhone в заключено състояние след 72 часа без отключване. Твърдението излиза от изтекло обучително видео за правоохранителни органи, което 404 Media публикува на 1 октомври, а новината беше препотвърдена от 9to5Mac и AppleInsider същия ден.

Какво е Inactivity Reboot и защо има значение

Защитата се появи тихомълком в iOS 18.1 в края на октомври 2024 г. и беше открита не от Apple, а от изследователката д-р инж. Jiska Classen, която я разчете чрез обратно инженерство. Механизмът е прост по описание и доста здрав по изпълнение: Secure Enclave броячът следи кога телефонът е бил отключен за последно и ако минат 72 часа, подава сигнал към ядрото през keybagd и разширението AppleSEPKeyStore. Телефонът се рестартира сам.

Разликата между двете състояния след това е огромна:

• AFU (After First Unlock) — телефонът е бил отключен поне веднъж след включване. Ключовете за повечето данни са в паметта и форензичен инструмент може да извади съобщения, снимки, локации, съдържание на приложения.
• BFU (Before First Unlock) — след рестарт и преди първото въвеждане на кода. Почти всичко е криптирано и недостъпно, докато собственикът не въведе паролата си.

Classen отбеляза тогава, че мярката е „много силна“ именно защото нападателят трябва да има изпълнение на код в ядрото, за да я спре — а ако нещо попречи на рестарта, системата нарочно предизвиква kernel panic и телефонът пак се рестартира.

Какво показва видеото

Според 404 Media Magnet е разработила две неща. Първото е отделно устройство, GrayKey Preserve, предназначено за работа на място — още при изземването на телефона, преди той да стигне до лабораторията. Второто е Evidence Preservation Mode — функция за обикновените GrayKey устройства.

Ключовото твърдение в записа е, че AFU състоянието се „захваща“ и се запазва: „Дори ако устройството се рестартира, AFU състоянието не се губи“, казва служител на Magnet. Друг добавя, че това е „абсолютна промяна на правилата за iOS форензиката“.

Evidence Preservation Mode върши и втора работа, която е не по-малко деликатна — спира изтичането на данни, които iOS сам изчиства с времето: кеширани локации, наскоро изтрити снимки и iMessage съобщения остават достъпни за неопределено дълго. GrayKey Preserve пък изключва мобилната връзка, Bluetooth и Wi-Fi, за да изолира телефона от външни команди — например от дистанционно изтриване.

Снимка: Apple

Как е възможно технически

Нито Magnet, нито видеото обясняват механизма. Classen предлага пред AppleInsider две хипотези: манипулация на часовника на устройството, така че 72-та часа никога да не „настъпят“, или изключване на системните задачи, които задават срок на изтичане на данните. И двете са догадки — твърденията от записа не са проверени независимо, а Apple не е коментирала публично.

Хронологията също заслужава внимание: видеото е с дата от началото на 2025 г. Ако е автентично, възможността съществува вече над година и половина, без да е ставала публично известна — което е обичайната практика в този бранш. GrayKey се продава само на държавни агенции в определени страни и изрично не се предлага на частния сектор.

Самата Magnet не крие посоката. На официалната страница на продукта GrayKey Preserve е описан като възможност за запазване на доказателства „на терен“, а компанията признава откровено, че „таймерите за автоматичен рестарт стесниха прозореца“ за извличане на мобилни данни — и че именно заради тях е пуснала новите функции. Там се споменава и поддръжка за устройства с iOS 26.

Какво значи това за вас

Защитата не е безполезна — тя продължава да работи срещу всеки, който не разполага с инструмент за хиляди евро и физически достъп до телефона в точния момент. Но тя не е и гаранция.

Контекст

Историята е още един цикъл от дълго продължаващата надпревара между Apple и индустрията за мобилна форензика. Apple вдига летвата — Inactivity Reboot, Lockdown Mode, по-строга работа с USB аксесоари; доставчиците като Magnet и Cellebrite намират нов ъгъл; Apple пак отговаря. Разумно е да очаквате реакция в следваща версия на iOS, вероятно с още проверки около часовника и срока на валидност на ключовете.

Темпото на тази надпревара се ускорява и от другата страна: Google вече отчита 10 000 разкрити уязвимости на месец, а мобилните платформи затягат правилата на всяко ниво — включително изискването за проверен разработчик в Android.

Засега остава едно изречение, което си заслужава да запомните: твърдението е от изтекло промоционално видео, не от независим тест. Но ако е вярно, 72-та часа вече не са границата, която изглеждаха.