Riassunto:
Negli ultimi anni Apple ha costantemente rafforzato il meccanismo di sicurezza dei dati dell'iPhone. Una delle sue misure importanti è il riavvio automatico del dispositivo che non è stato sbloccato per molto tempo, in modo che dopo che il telefono venga sequestrato dalla polizia o da altro personale, possa aumentare la difficoltà di estrazione dei dati modificando lo stato di crittografia del dispositivo. Tuttavia, le informazioni recentemente divulgate mostrano che Magnet Forensics, lo sviluppatore del noto strumento forense per telefoni cellulari GrayKey, sembra aver trovato un modo per aggirare questo meccanismo, consentendo all'iPhone sequestrato di rimanere in uno stato che rende più facile condurre l'analisi forense dei dati per lungo tempo.
Questa notizia proviene da un video di formazione per le forze dell'ordine ottenuto da 404 Media. Il video sembra essere stato realizzato all'inizio del 2025, in cui Magnet Forensics mostra un nuovo dispositivo chiamato GrayKey Preserve, nonché la funzionalità Evidence Preservation Mode nei dispositivi GrayKey esistenti. Nel video, lo staff di Magnet ha salutato la funzionalità come un importante cambiamento nel campo dell'analisi forense dell'iPhone e ha affermato che potrebbe risolvere i problemi che il meccanismo di "riavvio inattivo" di Apple ha causato alle forze dell'ordine.
Apple aggiungerà la funzione "Riavvio inattività" a iOS 18.1 rilasciato nel 2024. Se l'iPhone non viene sbloccato dall'utente per 72 ore consecutive, il sistema riavvierà automaticamente il dispositivo. Non si tratta di un riavvio programmato nel senso comune del termine, ma modificherà lo stato di sicurezza del telefono, migliorando così la protezione dei dati nel dispositivo.
Per comprendere questo meccanismo, devi prima comprendere i due importanti stati di sicurezza dell'iPhone. Dopo il riavvio, il dispositivo si trova nello stato "Before First Unlock" (BFU) prima che l'utente immetta la password per la prima volta. In questa fase, alcune chiavi di crittografia non sono ancora disponibili, rendendo più difficile per le forze dell’ordine accedere ai dati sensibili sul telefono, anche se dispongono di strumenti forensi specializzati.
Quando l'utente inserisce la password per completare il primo sblocco, il dispositivo entra nello stato "Dopo il primo sblocco" (AFU). In questo stato, nel sistema sono stati caricati più dati e chiavi, quindi alcune operazioni forensi diventano molto più semplici. Finché il dispositivo rimane in esecuzione e non entra nuovamente nello stato BFU, alcuni strumenti forensi hanno più spazio per funzionare.
Una delle implicazioni pratiche dell'aggiunta da parte di Apple di un meccanismo di riavvio automatico di 72 ore è che, anche se l'iPhone sequestrato è appena stato nello stato AFU, non rimarrà in questo stato indefinitamente. Supponiamo che la polizia sequestri un iPhone ma debba attendere un mandato di perquisizione, trasportare l'attrezzatura o fare la fila per la raccolta di prove digitali. Dopo 72 ore, il telefono si riavvia automaticamente e potrebbe rientrare nello stato BFU, rendendolo più difficile da violare.
GrayKey Preserve sembra essere progettato per questo meccanismo.
Secondo il video di esposizione, Magnet Forensics afferma che GrayKey Preserve può "catturare" l'attuale stato AFU dell'iPhone dopo aver ottenuto le autorizzazioni di accesso preliminari. Anche se il telefono viene riavviato in un secondo momento a causa della normale manutenzione, del riavvio o dell'esaurimento della batteria, lo stato AFU originale non andrà perso.
I dipendenti di Magnet hanno affermato nel video che ciò significa che anche se il dispositivo si riavvia, lo stato AFU salvato può ancora essere ripristinato. In altre parole, il meccanismo originale di Apple di riavviare automaticamente il dispositivo in 72 ore per rientrare in uno stato BFU più sicuro potrebbe perdere parte del suo effetto.
Tuttavia, il mondo esterno attualmente non sa quale tecnologia utilizza GrayKey Preserve per raggiungere questo obiettivo. Il video di esposizione non rivela vulnerabilità specifiche, metodi di attacco o codici, quindi non è possibile determinare se sfrutta le vulnerabilità di sicurezza di iOS, il meccanismo dell'ora del sistema, il meccanismo di gestione del ciclo di vita dei dati o altre tecnologie non divulgate.
Jiska Classen, ricercatrice dell'Hasso Plattner Institute, che studia la sicurezza degli iPhone, ha sollevato alcune possibilità dopo aver visto materiali pertinenti. Crede che Magnet possa aver trovato un modo per manipolare l'ora del dispositivo, ad esempio facendo credere al sistema che l'ora non stia avanzando normalmente, impedendo così l'esecuzione delle attività di sistema responsabili dell'attivazione del riavvio automatico o della scadenza dei dati. Un'altra possibilità è bloccare direttamente alcune attività in background responsabili della gestione del ciclo di vita dei dati.
Tuttavia, queste sono solo speculazioni fatte dai ricercatori di sicurezza sulla base del contenuto del video e non sono state confermate da Magnet Forensics. Pertanto al momento non è possibile determinare quale vulnerabilità sia stata sfruttata da GrayKey Preserve.
Oltre al riavvio automatico ogni 72 ore, Magnet afferma inoltre che la modalità di conservazione delle prove può impedire che alcuni dati vengano eliminati automaticamente in base al normale ciclo di vita di iOS.
Ciò include i dati sulla posizione memorizzati nella cache, le foto eliminate di recente, gli iMessage eliminati di recente, ecc. Secondo il video di esposizione, in circostanze normali, questi dati potrebbero essere cancellati dal sistema dopo un certo periodo di tempo, ma la modalità di conservazione delle prove può mantenerli in uno stato forense per un lungo periodo di tempo.
Ciò significa che l'obiettivo di GrayKey Preserve non è solo quello di "impedire il riavvio del telefono", ma provare a mettere l'iPhone sequestrato in uno stato forense congelato a lungo termine. Le forze dell'ordine possono proteggere lo stato attuale dei dati del dispositivo e attendere il completamento di un mandato di perquisizione o di un altro procedimento legale prima di decidere se procedere con l'effettiva estrazione dei dati.
Per impedire al telefono di continuare a comunicare con reti esterne, GrayKey Preserve disattiva anche le reti cellulari, Wi-Fi e Bluetooth dopo aver ottenuto l'accesso iniziale. Magnet ha affermato che anche se normalmente il telefono non può attivare la modalità aereo o disattivare le comunicazioni wireless tramite il centro di controllo iOS, GrayKey può disattivare attivamente queste connessioni wireless dopo aver ottenuto l'accesso iniziale.
Questa funzionalità ha anche un'importante implicazione sulla privacy: una volta che il dispositivo viene ottenuto dalla polizia ed entra in questo "stato protetto", la capacità del telefono di comunicare con il mondo esterno potrebbe essere interrotta. Ciò impedisce la modifica dei dati da remoto e riduce la possibilità che il dispositivo venga cancellato da remoto o che altre operazioni remote incidano sul processo forense.
Va sottolineato che GrayKey non è un software di sblocco per telefoni cellulari che i normali consumatori possono acquistare, ma uno strumento forense digitale professionale per le forze dell'ordine. Magnet Forensics ha precedentemente affermato che GrayKey è stato utilizzato da più di 1.200 forze dell'ordine e 40 paesi e regioni in tutto il mondo.
La stessa GrayKey è da tempo coinvolta in un "gioco del gatto e del topo" tra Apple e le forze dell'ordine. Apple continua a correggere le falle di sicurezza di iOS, mentre le società forensi continuano a trovare nuove vulnerabilità o modi per ottenere dati da dispositivi bloccati. GrayKey è stata in grado di accedere completamente ad alcuni iPhone in passato, ma poiché Apple continua ad aggiornare iOS, la portata dei dati che può ottenere cambierà.
I dati esposti nel 2024 hanno mostrato che GrayKey poteva ottenere solo un accesso "parziale" alla maggior parte dei dispositivi con iOS 18 e iOS 18.0.1 in quel momento, e c'erano evidenti differenze nelle capacità forensi tra i diversi modelli di iPhone e le versioni di iOS. Dopo che Apple avrà successivamente lanciato nuovi meccanismi di sicurezza, anche gli strumenti forensi dovranno trovare nuove scoperte.
La cosa più speciale di GrayKey Preserve questa volta è che non sembra semplicemente trovare un nuovo modo per craccare direttamente la password dell'iPhone, ma tenta di "salvare" questo stato quando il dispositivo è già nello stato AFU. In questo modo la polizia non è costretta a completare tutto il lavoro di raccolta delle prove subito dopo il sequestro del cellulare, ma può prima accertare lo stato del dispositivo e attendere le successive procedure legali.
Tuttavia, al momento non esistono prove pubbliche che questa funzionalità possa essere efficace su tutti gli iPhone e tutte le versioni di iOS. Anche il video esposto sembra essere stato prodotto all'inizio del 2025, quindi non è chiaro se questa tecnologia sia stata ufficialmente resa ampiamente disponibile alle forze dell'ordine o se Apple abbia risolto i problemi correlati nei successivi aggiornamenti iOS.
Non è inoltre chiaro quali siano le condizioni necessarie per GrayKey Preserve per funzionare correttamente. Se deve funzionare quando il dispositivo si trova in uno stato specifico, su una versione specifica di iOS o ha già un certo livello di accesso iniziale, c'è comunque una grande differenza tra esso e "può hackerare direttamente qualsiasi iPhone bloccato".
Né Apple né Magnet Forensics hanno commentato pubblicamente il video dell'esposizione. Pertanto, è più accurato dire in questa fase che Magnet sembra aver sviluppato una soluzione di conservazione forense per il meccanismo di "riavvio inattivo" dell'iPhone, piuttosto che aver confermato di poter crackare tutti gli iPhone moderni senza restrizioni.
Dal punto di vista della progettazione del meccanismo di sicurezza, questo incidente riflette ancora una volta il continuo aumento del confronto tecnico tra Apple e il settore forense della telefonia mobile. Apple si riavvia automaticamente entro 72 ore per entrare attivamente in uno stato BFU più sicuro per gli iPhone rimasti inattivi per molto tempo; mentre Magnet tenta di salvare lo stato AFU originale del dispositivo prima che avvenga il riavvio.
Se la tecnologia correlata a Magnet può davvero funzionare stabilmente, indebolirà almeno l'effetto reale del "riavvio automatico 72 ore" come misura di protezione forense. Apple potrebbe dover analizzare ulteriormente l'implementazione di GrayKey Preserve e impedirgli di mantenere o ripristinare lo stato AFU tramite gli aggiornamenti iOS.
Tuttavia, anche se GrayKey riesce a bypassare questo meccanismo di sicurezza, ciò non significa che l'intero sistema di crittografia dell'iPhone abbia fallito. BFU e AFU sono semplicemente stati diversi nel sistema di protezione dei dati dell'iPhone. I dati specifici che possono essere estratti dipendono ancora dal modello del dispositivo, dalla versione iOS, dalla presenza di vulnerabilità sfruttabili, dalla complessità della password e dalle capacità forensi attualmente supportate da GrayKey.
Pertanto, ciò che è veramente degno di nota in questa denuncia non è il fatto che "la polizia è riuscita a crackare tutti gli iPhone", ma che il meccanismo di riavvio automatico di 72 ore di Apple è appositamente progettato per ritardare e limitare l'analisi forense digitale. Sembra che sia nuovamente entrato in un ciclo di attacco e difesa tecnica con produttori di strumenti forensi professionali.
Commenti