In questo articolo Indice dei contenuti 2 sezioni
Sugli iPhone è attiva da qualche tempo una protezione pensata per complicare la vita a chi tenta di accedere ai dati senza autorizzazione. Si tratta del riavvio automatico dopo 72 ore senza sblocco, una funzione che rimette il telefono in uno stato molto più blindato quando resta inutilizzato troppo a lungo. Adesso però una nuova tecnica forense potrebbe ridurne parecchio l’efficacia, e dietro ci sarebbe Magnet Forensics, società che lavora proprio nel campo dell’estrazione dei dati dagli smartphone.
Il nome dell’azienda dice poco al grande pubblico, ma tra gli addetti ai lavori è piuttosto conosciuto. Magnet è infatti la realtà dietro GrayKey, una piattaforma usata soprattutto dalle forze dell’ordine per l’analisi e lo sblocco dei dispositivi mobili. In un video di formazione destinato agli investigatori un dipendente della società avrebbe descritto la nuova funzione come “un vero punto di svolta per la forensics su iOS”. Parole forti, che lasciano intendere quanto il riavvio introdotto da Apple avesse finora rappresentato un ostacolo concreto per chi si occupa di indagini digitali.
GrayKey Preserve e la modalità per conservare le prove
Le novità sarebbero contenute in GrayKey Preserve e in una nuova Evidence Preservation Mode, cioè una modalità pensata per preservare le prove presenti sul dispositivo. Magnet non avrebbe chiarito nel dettaglio come funziona il sistema. L’ipotesi più accreditata è che riesca a mantenere il telefono nello stato AFU, sigla che sta per After First Unlock, anche dopo un riavvio.
Per capire perché la questione sia così rilevante bisogna fare un piccolo passo indietro. Su un iPhone la differenza tra stato AFU e stato BFU, ovvero Before First Unlock, pesa parecchio. Dopo il primo sblocco che segue l’accensione una porzione più ampia dei dati e delle chiavi crittografiche diventa accessibile al sistema. Prima di quel momento invece molte informazioni restano chiuse dietro livelli di cifratura decisamente più severi. Il riavvio automatico serve esattamente a riportare il telefono in questa seconda condizione, quella più protetta.
Cosa potrebbe cambiare per i dati sugli iPhone bloccati
Nel video un rappresentante di Magnet avrebbe spiegato che lo stato AFU potrebbe essere mantenuto anche dopo un riavvio del dispositivo, qualunque ne sia la causa e perfino in caso di perdita di alimentazione. È proprio questo il passaggio che potrebbe neutralizzare almeno in parte la contromisura voluta da Apple per gli iPhone lasciati inattivi. Se il telefono non torna mai davvero alla condizione precedente al primo sblocco, la barriera aggiuntiva semplicemente non scatta.
Gli strumenti della società non si fermerebbero qui. Avrebbero anche la capacità di bloccare la cancellazione automatica di alcuni dati temporanei o destinati a sparire dopo un certo periodo. Tra gli esempi citati compaiono le posizioni memorizzate nella cache, gli iMessage eliminati di recente e le foto finite nella cartella degli elementi cancellati. Contenuti che in condizioni normali verrebbero rimossi dal sistema e che invece potrebbero restare disponibili per l’analisi forense.
La funzione di Apple era stata introdotta nel 2024 proprio con l’obiettivo di limitare la quantità di informazioni recuperabili da un iPhone rimasto bloccato a lungo. Se quanto mostrato nel materiale di Magnet trovasse conferma anche nell’uso reale, gli strumenti di indagine tornerebbero ad accedere a dati che il riavvio dopo 72 ore avrebbe dovuto rendere molto più difficili da estrarre.
Fonte: TecnoAndroid
