Компанія Magnet Forensics представила технологію GrayKey Preserve, яка призначена для правоохоронних органів та забезпечує доступ до даних на смартфонах Apple навіть після їхнього примусового перезавантаження. Нагадаємо, що перезавантаження смартфона мало би бути найкращим захистом, бо всі дані у флеш-пам’яті шифруються. В операційній системі iOS 18.1 розробники Apple впровадили функцію безпеки, яка автоматично перезавантажує пристрій, якщо він залишається заблокованим протягом 72 годин. Цей механізм переводить смартфон у стан до першого розблокування, що обмежує доступ до ключів шифрування та значно ускладнює спроби несанкціонованого зчитування інформації за допомогою перебору паролів.
Технологія GrayKey Preserve та функція Evidence Preservation Mode дозволяють підтримувати пристрій у стані після першого розблокування, який є менш захищеним, оскільки певні дані залишаються доступними для вилучення. За інформацією, викладеною у навчальних матеріалах для правоохоронців, використання цих інструментів дає змогу запобігти видаленню кешованих даних про геопозицію, нещодавно видалених фотографій та повідомлень iMessage, які в іншому випадку могли б бути автоматично стерті системою відповідно до заданих алгоритмів очищення пам’яті на заблокованому смартфоні.
Процес роботи інструменту передбачає ізоляцію пристрою від зовнішніх мереж шляхом відключення бездротових модулів зв’язку, таких як стільниковий зв’язок, Bluetooth та Wi-Fi. Це дозволяє правоохоронним органам унеможливити віддалене стирання даних або отримання нових команд серверами Apple під час очікування дозволу на подальше дослідження контенту. Технічні деталі реалізації обходу захисту в документації не розкриваються, проте дослідники у сфері інформаційної безпеки висувають припущення щодо можливих методів втручання у роботу апаратного годинника пристрою.
Дослідниця безпеки мобільних пристроїв Йиска Классен припускає, що програмне забезпечення Magnet Forensics може здійснювати маніпуляції з системним часом, щоб запобігти активації лічильника 72-годинного таймера бездіяльності. Крім того, не виключено, що інструмент деактивує фонові системні процеси, які відповідають за завершення сесій користувача та автоматичне видалення тимчасових даних. Станом на початок 2025 року ці методи дозволяють правоохоронцям утримувати пристрій у робочому стані для проведення криміналістичної експертизи, мінімізуючи ризики втрати доказів через активні протоколи кібербезпеки Apple.
