Lorsqu’un iPhone est saisi alors qu’il vient d’être utilisé, son niveau de protection ne serait pas le même que juste après son redémarrage. C’est l’enjeu d’une démonstration de Magnet Forensics consacrée à GrayKey Preserve, un outil destiné aux enquêtes et non une fonction proposée aux propriétaires d’iPhone.
La solution GrayKey est utilisée par les forces de l’ordre pour tenter d’extraire des informations depuis des smartphones verrouillés. Dans sa vidéo de formation diffusée au début de 2025, Magnet Forensics présente deux fonctions qui viseraient à garder l’appareil dans un état plus favorable à une future extraction : GrayKey Preserve et Evidence Preservation Mode.
Deux états très différents après un redémarrage
Après avoir été redémarré, un iPhone entre dans l’état Before First Unlock, ou BFU. Le propriétaire doit alors saisir son code une première fois. Dans cette situation, les clés de chiffrement seraient davantage protégées, ce qui compliquerait les essais de code et les méthodes d’accès spécialisées.
À l’inverse, après ce premier déverrouillage, l’appareil passe en état After First Unlock (AFU). Davantage de données peuvent alors rester accessibles au système. Selon Magnet Forensics, GrayKey Preserve chercherait à maintenir l’iPhone dans cet état AFU, y compris dans le cas d’un redémarrage.
La formation relie ce sujet au redémarrage automatique introduit par Apple avec iOS 18.1 après 72 heures sans déverrouillage. Ce mécanisme replace l’iPhone en BFU et réduit donc la période durant laquelle certaines données pourraient être plus facilement accessibles sur un appareil déjà ouvert.
Isoler le téléphone et conserver des éléments temporaires
Magnet Forensics indique que GrayKey Preserve couperait les liaisons cellulaires, Wi-Fi et Bluetooth. L’objectif serait d’empêcher les communications entrantes pendant la conservation de l’appareil.
Le mode Evidence Preservation pourrait aussi empêcher l’expiration de données en cache, de photos placées récemment dans les éléments supprimés et d’iMessages. La chercheuse en sécurité Jiska Classen avance que ce fonctionnement pourrait passer par une modification de l’horloge ou par la désactivation de tâches iOS chargées d’effacer certains éléments au fil du temps.
Ce que ça change
Pour le grand public, cette démonstration illustre surtout l’importance du premier déverrouillage après un démarrage : il conditionne l’état de protection de plusieurs données chiffrées. Le redémarrage automatique d’Apple tend à raccourcir cette fenêtre après une longue inactivité, tandis que les outils présentés par Magnet Forensics chercheraient, dans un cadre d’investigation, à la prolonger.
L’enjeu ne porterait donc pas uniquement sur les fichiers conservés durablement sur l’iPhone, mais aussi sur des informations temporaires comme des messages ou des éléments récemment supprimés.
À lire aussi
Source : Magnet Forensics — vidéo de formation sur GrayKey Preserve et Evidence Preservation Mode