Een gelekte instructievideo beschrijft een nieuwe functie van GrayKey, een forensische tool die aan opsporingsdiensten wordt verkocht. Volgens de video kunnen GrayKey Preserve en de functie Evidence Preservation Mode ervoor zorgen dat een iPhone ook na een eventuele herstart in een toestand blijft waarin bepaalde gegevens gemakkelijker toegankelijk zijn.
Apple introduceerde in november 2024 een functie die een iPhone automatisch herstart wanneer het toestel 72 uur niet is ontgrendeld. Na die herstart komt de iPhone in de zogenoemde Before First Unlock-toestand, kortweg BFU. In die toestand zijn bepaalde gevoelige gegevens sterker versleuteld. Daardoor kan het volgens beveiligingsonderzoekers aanzienlijk moeilijker, en soms vrijwel onmogelijk, zijn om de toegangscode met forensische apparatuur te achterhalen.
GrayKey Preserve is een nieuw apparaat van Magnet Forensics, het bedrijf achter GrayKey. Voor bestaande GrayKey-apparaten ontwikkelde Magnet volgens de video Evidence Preservation Mode. De functies zijn bedoeld om de iPhone in de After First Unlock-toestand, AFU, te houden of die toestand na een herstart te behouden. In AFU is meer informatie beschikbaar voor forensisch onderzoek.
Een medewerker van Magnet zegt in de video dat de AFU-toestand wordt vastgelegd. Die toestand zou daardoor niet verloren gaan als de telefoon opnieuw opstart, bijvoorbeeld door stroomverlies of onderhoud aan het geheugen. De bron maakt daarmee niet duidelijk dat de automatische herstart zelf wordt tegengehouden.
De video legt niet uit hoe de technologie technisch werkt. Wel schakelt de oplossing volgens de uitleg draadloze verbindingen uit, waaronder Bluetooth, wifi en mobiele communicatie. Zo moeten gegevens worden geïsoleerd en behouden voordat rechercheurs toestemming hebben om de inhoud te bekijken. Gebruikers zouden aanvankelijk alleen het softwareversienummer en model van de iPhone zien.
De functies zijn daarnaast bedoeld om gegevens te bewaren die iPhones na een bepaalde tijd automatisch verwijderen, zoals locatiegegevens uit de cache, onlangs verwijderde foto's en iMessages.
Beveiligingsonderzoeker Jiska Classen zegt dat op basis van de video niet met zekerheid is vast te stellen hoe de technologie werkt. Ze vermoedt dat Magnet de klok van de iPhone beïnvloedt of taken uitschakelt die gegevens laten verlopen. Volgens haar brengt de functie de situatie mogelijk deels terug naar de periode vóór de automatische herstart.
Apple en Magnet Forensics hebben niet gereageerd op vragen. Daardoor is niet bekend welke iPhone-modellen en softwareversies worden ondersteund.
