Компания Magnet Forensics разработала новую технологию для своих систем GrayKey, которая позволяет правоохранительным органам поддерживать изъятые iPhone в менее защищенном состоянии. Речь идет об инструменте под названием GrayKey Preserve и функции Evidence Preservation Mode, предназначенных для сохранения статуса After First Unlock (AFU), что расширяет возможности доступа к данным на смартфонах Apple.
Механизм защиты и предотвращение перехода в BFU
Современные версии iOS оснащены функцией автоматической перезагрузки, которая срабатывает, если устройство не разблокировали в течение 72 часов. После такой перезагрузки iPhone переходит в состояние Before First Unlock (BFU), при котором значительная часть данных остается зашифрованной до ввода пользователем пароля, что существенно усложняет криминалистический анализ. Инструменты от Magnet Forensics созданы для того, чтобы предотвратить потерю состояния AFU, даже если устройство неожиданно выключается, перезагружается из-за обслуживания памяти или теряет питание.
Представитель Magnet Forensics в учебном видео пояснил, что состояние AFU фактически «захватывается» системой. Это позволяет следователям не опасаться, что данные станут недоступными, если они не успели начать работу с телефоном сразу после изъятия, например, ожидая судебного ордера или работая с другими уликами. При этом система позволяет специалистам видеть модель смартфона и версию iOS без необходимости просмотра содержимого самого устройства до получения официального разрешения.
Изоляция сетей и сохранение временных данных
Помимо поддержания AFU-состояния, GrayKey получил функцию сетевой изоляции. После первичного доступа система принудительно отключает все радиомодули устройства, включая Wi-Fi, Bluetooth и сотовую связь. Как утверждает сотрудник Magnet Forensics, эта возможность работает даже в тех случаях, когда у следователей нет прямого доступа к стандартным элементам управления iOS или когда пользователь не может активировать «Авиарежим».
Целью такого отключения является предотвращение нежелательных коммуникаций с устройством, что помогает изолировать данные в полевых условиях. Кроме того, новые функции нацелены на борьбу с автоматическим удалением информации. Система способна предотвращать исчезновение кэшированных данных о местоположении, недавно удаленных фотографий и сообщений iMessage, которые обычно стираются iOS спустя определенный период времени. Разработчики заявляют, что с помощью GrayKey Preserve такие данные могут сохраняться практически бесконечно.
Мнения экспертов о новой технологии
Хотя Magnet Forensics не раскрывает технические подробности того, как именно происходит подмена системных процессов, эксперты в области безопасности уже обратили внимание на разработку. Йиска Классен, исследователь из Института Хассо Платтнера, назвала этот инструмент «серьезным изменением правил игры». По ее словам, технология может вернуть ситуацию в состояние, предшествовавшее внедрению функции автоматической перезагрузки Apple. Классен предположила, что разработчики могли найти способ манипуляции внутренними часами смартфона или научились блокировать фоновые программные задачи, ответственные за удаление устаревших данных.
Технические аспекты и сценарии использования
Инструментарий Magnet Forensics представляет собой попытку адаптироваться к изменениям в модели безопасности Apple, которая становится всё более агрессивной в вопросах защиты данных при длительном бездействии. Главная задача GrayKey Preserve и Evidence Preservation Mode — нейтрализовать конфликт между следственными действиями и функцией безопасности Apple, известной как «inactivity reboot» (перезагрузка по неактивности). Правоохранительные органы часто сталкиваются с жестким дефицитом времени: изъяв устройство, они могут часами или днями ждать получения судебного ордера или освобождения ресурсов в очереди обработки других улик. В этот период риск того, что iPhone совершит автоматическую перезагрузку, крайне высок.
Важным дополнением является возможность сетевой изоляции. Согласно комментариям сотрудника компании, система обеспечивает отключение радиопередающих модулей (Bluetooth, Wi-Fi и сотовая связь) даже в ситуациях, когда стандартные элементы управления iOS недоступны или заблокированы. Это не только предотвращает дистанционное воздействие на данные, но и гарантирует, что само устройство не сможет связаться с внешними серверами, что критически важно для сохранения целостности улик при проведении криминалистических процедур в полевых условиях.
Борьба с автоматическим «самоочищением» системы
Особое внимание Magnet Forensics уделила проблеме кэшированных данных, которые iOS планово удаляет для оптимизации памяти и защиты конфиденциальности. К таким типам данных относятся:
- Кэшированная история перемещений и геолокации.
- Недавно удаленные фотографии, которые в обычных условиях удаляются системой спустя заданный промежуток времени.
- Сообщения iMessage, помеченные к удалению.
Технология, встроенная в GrayKey, позволяет «заморозить» процесс удаления, сохраняя эти записи на неограниченный срок. Это дает возможность извлечь информацию, которая была бы стерта операционной системой до начала официальной экспертизы. Несмотря на то, что компания не раскрыла техническую реализацию этого метода, экспертное сообщество, в частности Йиска Классен из Института Хассо Платтнера, отмечает, что Magnet Forensics могла найти способ манипулировать внутренними часами устройства или блокировать выполнение фоновых задач по очистке данных, что делает этот инструмент мощным «геймчейнджером» в современной цифровой криминалистике.
