GrayKey、iPhoneの72時間セキュリティ時計を止められると主張

404 Mediaが入手した動画によると、Magnet ForensicsはGrayKey PreserveとEvidence Preservation Modeを開発した。どちらも、iPhoneが再起動したり電源を失ったりしても、解析ツールが一部のデータへアクセスしやすいAfter First Unlockの状態を維持するという。

GrayKeyは再起動後も端末の状態を維持しようとする

iOS 18.1以降、Appleは72時間ロックを解除していないiPhoneを自動的に再起動する。端末はBefore First Unlockへ戻り、より多くの機密データが暗号化されたままになり、パスコードへの攻撃も一般に難しくなる。押収した端末が捜索許可や解析施設の空きを待つ間、この保護機能は捜査機関の作業を難しくする。

流出した研修動画は、GrayKey Preserveという専用機器と、既存GrayKey向けの新モードを紹介している。Magnetは、後から再起動してもAfter First Unlockの状態を保持できると主張する。初期アクセス後には、携帯回線、Wi-Fi、Bluetoothを無効にし、最近削除した写真やiMessageなど一部のデータが期限切れで消えることも防ぐという。

争点は端末の突破から時間の凍結へ移る

運用面の変化は大きい。説明どおりなら、警察が端末の内容をすぐ読む必要はない。捜索の法的許可を待つ間、利用可能な状態を先に保存し、端末モデルとiOSバージョンだけを確認できる。

端末セキュリティの視点では、Appleとフォレンジック企業の競争が次の段階に入ったことになる。自動再起動は、押収端末が比較的アクセスしやすい状態にとどまる時間を短くした。GrayKeyは今、その期限を押収時点の処理で無力化できると主張している。

仕組みは非公開で、独立した性能検証もない

404 Mediaの記事は検証時に一部しか閲覧できず、流出動画を根拠としている。動画は技術的な仕組みを説明していない。どのiOSバージョンで現在も機能するのか、実際の捜査で使われたのかも不明だ。再起動後も状態を維持できるという中核の主張は、独立研究機関ではなくMagnetによるものだ。

報道によれば、セキュリティ研究者のJiska Classenは、端末の時計を操作するか、データの期限切れを処理するタスクを無効にしている可能性を挙げた。これは専門家の仮説であり、実証済みのexploitの説明ではない。Magnetの公開製品ページは自動再起動タイマーに対抗する機能の存在を示すが、技術詳細は明かしていない。

Appleの対応がexploitか一時的な先行かを分ける

判断材料は3つある。独立した再現、対応する端末とiOSバージョンの正確な範囲、Appleによる修正の有無だ。特定の欠陥に依存するなら、アップデートで経路を閉じられる。別の方法で状態を保存しているなら、AppleはAFUとBFUの移行設計そのものを変える必要があるかもしれない。

利用者が設定のスイッチ1つで対処できる問題ではない。iOSを速やかに更新し、強いパスコードを使い、ロック解除済み端末を物理的に確保されると専門ツール側が大きく有利になると理解することが、現時点の実務的な防御になる。

Lilithの判定

Appleは証拠保管庫に72時間の時計を置いた。GrayKeyは針を止められると言うが、独立した研究機関が仕掛けを分解するまでは、手品師自身が撮った映像を見ているにすぎない。