iPhone, la protezione delle 72 ore ha un nuovo punto debole

La barriera pensata da Apple per proteggere gli iPhone lasciati bloccati per più di 72 ore potrebbe non essere così difficile da superare per gli strumenti di analisi forense. Magnet Forensics avrebbe infatti sviluppato funzioni capaci di mantenere una condizione di accesso ai dati anche dopo il riavvio del dispositivo, compreso quello provocato dalla batteria scarica.

La novità è stata illustrata in un video formativo destinato agli investigatori e visionato da 404 Media. Nel filmato, un dipendente della società avrebbe definito la funzione «un vero punto di svolta per l’analisi forense su iOS».

La protezione Apple torna sotto esame

La funzione introdotta da Apple nel 2024 riavvia automaticamente l’iPhone quando resta inutilizzato e bloccato per oltre 72 ore. L’obiettivo è riportare il dispositivo in una condizione in cui l’accesso ai contenuti risulta più complesso, riducendo le informazioni disponibili a chi tenta di esaminarlo senza il codice.

Il riavvio porta normalmente l’iPhone dallo stato AFU, cioè “dopo il primo sblocco”, allo stato BFU, “prima del primo sblocco”. Nel primo caso il sistema può utilizzare una quantità maggiore di dati e chiavi crittografiche; nel secondo, invece, molte informazioni rimangono protette da livelli di cifratura più severi.

Cosa promettono i nuovi strumenti

Le funzioni sarebbero incluse in GrayKey Preserve e in una nuova modalità chiamata Evidence Preservation Mode. Magnet Forensics non avrebbe però divulgato il metodo preciso utilizzato per ottenere questo risultato, limitandosi a presentare le capacità del sistema nel materiale rivolto agli investigatori.

Secondo quanto riferito nel video da un rappresentante dell’azienda, l’iPhone potrebbe conservare lo stato AFU anche dopo un riavvio, senza che conti la causa dell’interruzione. In questo modo, la protezione basata sull’inattività perderebbe almeno una parte della sua efficacia, perché il dispositivo non tornerebbe completamente nella condizione più restrittiva.

Anche i dati temporanei nel mirino

Gli strumenti avrebbero inoltre la possibilità di bloccare la rimozione automatica di alcuni contenuti temporanei. Tra gli esempi indicati figurano le posizioni conservate nella memoria temporanea, gli iMessage eliminati di recente e le immagini ancora presenti nella cartella degli elementi cancellati.

Per ora si tratta di funzioni mostrate da Magnet Forensics e non di risultati verificati pubblicamente in ogni scenario. Se le capacità presentate venissero confermate nell’uso operativo, gli investigatori potrebbero recuperare informazioni che il riavvio automatico di Apple era stato progettato proprio per rendere più difficili da acquisire.