Компания Magnet Forensics представила технологию GrayKey Preserve, которая предназначена для правоохранительных органов и обеспечивает доступ к данным на смартфонах Apple даже после их принудительной перезагрузки. В операционной системе iOS 18.1 разработчики Apple внедрили функцию безопасности, которая автоматически перезагружает устройство, если оно остается заблокированным в течение 72 часов. Этот механизм переводит смартфон в состояние до первой разблокировки, что ограничивает доступ к ключам шифрования и значительно усложняет попытки несанкционированного считывания информации с помощью перебора паролей.
Технология GrayKey Preserve и функция Evidence Preservation Mode позволяют поддерживать устройство в состоянии после первой разблокировки, которое является менее защищенным, поскольку определенные данные остаются доступными для извлечения. По информации, изложенной в учебных материалах для правоохранителей, использование этих инструментов позволяет предотвратить удаление кешированных данных о геопозиции, недавно удаленных фотографий и сообщений iMessage, которые в противном случае могли бы быть автоматически стерты системой в соответствии с заданными алгоритмами очистки памяти на заблокированном смартфоне.
Процесс работы инструмента предусматривает изоляцию устройства от внешних сетей путем отключения беспроводных модулей связи, таких как сотовая связь, Bluetooth и Wi-Fi. Это позволяет правоохранительным органам исключить удаленное стирание данных или получение новых команд серверами Apple во время ожидания разрешения на дальнейшее исследование контента. Технические детали реализации обхода защиты в документации не раскрываются, однако исследователи в сфере информационной безопасности выдвигают предположения относительно возможных методов вмешательства в работу аппаратных часов устройства.
Исследователь безопасности мобильных устройств Йиска Классен предполагает, что программное обеспечение Magnet Forensics может осуществлять манипуляции с системным временем, чтобы предотвратить активацию счетчика 72-часового таймера бездействия. Кроме того, не исключено, что инструмент деактивирует фоновые системные процессы, которые отвечают за завершение сессий пользователя и автоматическое удаление временных данных. По состоянию на начало 2025 года эти методы позволяют правоохранителям удерживать устройство в рабочем состоянии для проведения криминалистической экспертизы, минимизируя риски потери доказательств из-за активных протоколов кибербезопасности Apple.
