Un nuovo strumento forense collegato alla piattaforma GrayKey riporta l’attenzione su una delle difese più recenti introdotte da Apple in iOS 18.1. Si chiama GrayKey Preserve e viene descritto come una soluzione capace di aggirare il riavvio automatico per inattività.
Il punto chiave è tecnico: dopo un riavvio, l’iPhone entra normalmente in uno stato di sicurezza più rigido, nel quale le chiavi crittografiche risultano meno accessibili. Il nuovo sistema di Magnet Forensics sostiene invece di mantenere il dispositivo in una condizione successiva al primo sblocco, molto più favorevole alle attività di acquisizione forense.
Come funziona la protezione introdotta da Apple in iOS 18.1
Con iOS 18.1 Apple ha aggiunto una protezione chiamata riavvio automatico per inattività. In pratica, se un iPhone resta senza sblocco per 72 ore consecutive, il sistema esegue un riavvio automatico e riporta il dispositivo nello stato precedente al primo sblocco dopo l’accensione. Questo passaggio alza il livello di protezione perché limita l’accesso alle chiavi necessarie per leggere i dati memorizzati.
Nel gergo della sicurezza mobile si parla di stato AFU, ciòè dopo il primo sblocco, e stato BFU, ciòè prima del primo sblocco. La differenza è sostanziale: nel primo caso una parte dei dati è generalmente più accessibile per strumenti specializzati, mentre nel secondo la barriera crittografica è più severa e rende più complessi anche i tentativi di forza bruta sui codici di accesso.
GrayKey Preserve punta a mantenere l’iPhone nello stato più utile alle analisi
Magnet Forensics afferma che GrayKey Preserve riesce a conservare lo stato AFU anche dopo il riavvio del telefono. Se confermata, si tratterebbe di una capacità molto rilevante per chi opera nel settore forense, perché andrebbe a neutralizzare proprio il meccanismo introdotto da Apple per ridurre la finestra temporale utile all’estrazione dei dati.
L’azienda avrebbe inoltre esteso alle unità GrayKey già esistenti una modalità chiamata Evidence Preservation Mode. Questa funzione, sempre in base a quanto emerso, servirebbe a impedire la scadenza o la pulizia automatica di alcuni contenuti temporanei, tra cui posizione in cache, foto eliminate di recente e messaggi iMessage soggetti a scadenza.
Isolamento delle comunicazioni e dubbi sul metodo tecnico usato
Dopo l’accesso iniziale, GrayKey Preserve disattiverebbe rete cellulare, Bluetooth e Wi-Fi. È una scelta coerente con le pratiche forensi: isolare l’iPhone riduce il rischio che nuovi messaggi, sincronizzazioni o connessioni remote modifichino i dati presenti sul dispositivo mentre è sotto analisi.
Resta però poco chiaro il funzionamento interno del sistema. Il materiale emerso non spiega in che modo venga mantenuto lo stato AFU dopo il riavvio. Tra le ipotesi discusse dagli specialisti ci sono una possibile manipolazione dell’orologio di sistema oppure la disattivazione di alcuni processi responsabili della rimozione dei dati scaduti.
