Un video di formazione destinato alle forze dell’ordine mostrerebbe un modo per aggirare il riavvio per inattività degli iPhone. La funzione, introdotta da Apple su molti dispositivi nel 2024, riavvia automaticamente il telefono quando non viene sbloccato per oltre 72 ore. Il riavvio rende più difficile l’accesso ai dati per chi non possiede il codice del dispositivo. Gli strumenti illustrati nel video, realizzati da Magnet Forensics, punterebbero a conservare una condizione più favorevole all’analisi del telefono.
Magnet Forensics produce GrayKey, uno strumento venduto principalmente alla polizia per sbloccare gli smartphone. Nel video, un dipendente dell’azienda descrive la nuova capacità come un cambiamento decisivo per l’analisi forense di iOS e afferma che avrebbe voluto disporne già da anni. Il tono della dichiarazione indica quale problema operativo l’azienda ritiene di aver affrontato: il tempo trascorso dall’ultimo sblocco può cambiare i dati accessibili agli investigatori.
Il video presenta due risorse: il nuovo strumento GrayKey Preserve e una nuova Evidence Preservation Mode per GrayKey. Entrambe vengono descritte come soluzioni per aggirare gli effetti del riavvio automatico. Il filmato non spiega esplicitamente il loro funzionamento tecnico. L’effetto rivendicato riguarda però uno snodo preciso dell’analisi forense: mantenere disponibili informazioni che, dopo il riavvio, sarebbero normalmente più difficili da ottenere.
La distinzione è tra lo stato After First Unlock, o AFU, e quello Before First Unlock, o BFU. Nel primo caso il telefono è già stato sbloccato almeno una volta dopo l’accensione e può rendere accessibile una quantità maggiore di informazioni. Nel secondo, sbloccare il dispositivo senza essere il proprietario è più difficile e una parte più ampia dei dati resta cifrata. Conservare lo stato AFU cambierebbe quindi le condizioni in cui gli strumenti forensi esaminano il telefono.
Un rappresentante di Magnet sostiene nel video che lo stato AFU resterebbe disponibile anche se il dispositivo dovesse riavviarsi per motivi diversi, compresa la manutenzione della memoria o la perdita di alimentazione. La dichiarazione estende la portata della funzione oltre il solo riavvio dopo 72 ore di inattività. Per un’indagine, significherebbe poter proseguire l’analisi partendo dallo stato raggiunto dopo il primo sblocco, anche quando il telefono si spegne o riparte.
I dipendenti di Magnet attribuiscono ai nuovi prodotti anche un’altra capacità: impedire che alcune funzioni automatiche dell’iPhone cancellino dati dopo un certo numero di giorni. Gli esempi citati comprendono le posizioni memorizzate nella cache, gli iMessage eliminati di recente e le foto eliminate di recente. In questo caso l’obiettivo non sarebbe soltanto conservare l’accesso al dispositivo, ma anche trattenere informazioni che il telefono potrebbe rimuovere con il passare del tempo.
Le capacità descritte nel filmato arrivano mentre forze dell’ordine locali e diverse agenzie federali sono state accusate di spingersi oltre i confini della privacy digitale dei cittadini. Per gli utenti, il punto sensibile è la possibile permanenza di dati che il dispositivo avrebbe reso meno accessibili o cancellato automaticamente. Per le organizzazioni che gestiscono informazioni su iPhone, la vicenda mostra quanto lo stato del telefono e i tempi di conservazione possano incidere sull’esposizione dei dati.