Magnet Forensics, het bedrijf achter de GrayKey-tool, heeft nieuwe technologie ontwikkeld om de beveiligingsmaatregelen van Apple te omzeilen. Apple had onlangs een 'inactiviteitsherstart' geïntroduceerd die iPhones na 72 uur automatisch herstart om data-extractie door opsporingsdiensten te bemoeilijken.
Met de nieuwe tools GrayKey Preserve en de Evidence Preservation Mode kan de politie een iPhone in de 'After First Unlock' (AFU) staat bevriezen. Hierdoor worden gevoelige gegevens toegankelijk gehouden en wordt voorkomen dat tijdelijke data, zoals gecachte locaties en verwijderde berichten, worden gewist. De tools schakelen bovendien radioverbindingen uit om het apparaat te isoleren. Volgens expert Jiska Classen zou Magnet dit kunnen bereiken door de systeemklok van de iPhone te manipuleren of specifieke systeemtaken uit te schakelen.
Politie kan automatische herstart van iPhone omzeilen om toegang te krijgen tot vergrendelde telefoons, aldus gelekt fragment
Volgens een video die in handen is gekomen van 404 Media, claimt het bedrijf dat het een oplossing heeft ontwikkeld die iPhones in een staat 'bevriest', waardoor opsporingsdiensten gemakkelijker toegang krijgen tot gevoelige data. Dit is de nieuwste stap in de voortdurende strijd tussen Apple en bedrijven die politieagenten — waaronder die in autoritaire landen — helpen om iPhones te kraken.
De strijd tegen de 'inactiviteitsherstart'
In november 2024 onthulde 404 Media dat Apple stilletjes een nieuwe functie in iOS had geïntroduceerd die een iPhone automatisch herstart als deze gedurende 72 uur niet is ontgrendeld. Het idee achter deze zogenaamde "inactiviteitsherstart" is om de telefoon terug te brengen naar een staat waarin het voor de politie moeilijker is om het apparaat te kraken en gevoelige gegevens te extraheren met forensische technologie.
Ten tijde van de invoering van deze wijziging uitten opsporingsinstanties hun zorgen. In veel gevallen kunnen agenten namelijk niet onmiddellijk proberen in te breken in in beslag genomen iPhones, bijvoorbeeld omdat zij nog wachten op een gerechtelijke machtiging of omdat er simpelweg een achterstand is in het ontgrendelen van apparaten.
GrayKey Preserve en Evidence Preservation Mode
De nieuwe technologie om de inactiviteitsherstart te omzeilen is ontwikkeld door Magnet Forensics, het bedrijf achter GrayKey. GrayKey is een populaire tool die aan wetshandhavingsinstanties wordt verkocht om toegang te krijgen tot data op iPhones en Android-smartphones. Volgens de video heeft Magnet een nieuw apparaat ontwikkeld, genaamd GrayKey Preserve, en een functie voor de reguliere GrayKey-apparaten, genaamd Evidence Preservation Mode.
Een medewerker van Magnet zegt in de gelekte video: "Dit is een absolute gamechanger voor iOS-forensisch onderzoek en een functie die ik graag jaren geleden al hadden gehad." Hij benadrukt specifiek dat de oplossing gericht is op de inactiviteitsherstart van de iPhone en de gegevens die daardoor onbereikbaar worden.
Daarnaast zijn GrayKey Preserve en de Evidence Preservation Mode ontworpen om een andere iPhone-functie tegen te gaan die bepaalde gegevens automatisch verwijdert na een aantal dagen, zoals:
- Gecachte locaties;
- Recent verwijderde foto's;
- Recent verwijderde iMessages.
"We zullen in staat zijn om die gegevens voor onbepaalde tijd te bewaren," aldus de medewerker.
Technische werking en isolatie
De instructievideo, die uitsluitend is gemaakt voor wetshandhavingsagenten en dateert uit begin 2025, legt de exacte technische details niet uit, maar geeft wel sterke aanwijzingen over de werking.
De medewerker legt uit dat GrayKey Preserve als onderdeel van de initiële toegang de vluchtmodus inschakelt, of specifieker: de radioverbindingen zoals Bluetooth, wifi en mobiele data uitschakelt. Dit dient twee doelen:
- Het bewaren van de data in het veld.
- Het isoleren van de data in het veld.
Dit gebeurt zelfs als het apparaat geen mogelijkheid heeft om de vluchtmodus of de zenders via het Control Center van iOS uit te schakelen. Zodra de initiële toegang is verkregen en het apparaat zich in een 'bewaarde staat' bevindt, worden alle radio's uitgeschakeld om te voorkomen dat externe signalen het apparaat bereiken.
AFU versus BFU
Het kerndoel van GrayKey Preserve en de Evidence Preservation Mode is om de iPhone in een staat te houden die bekend staat als After First Unlock (AFU).
- AFU (After First Unlock): In deze staat kunnen agenten veel gemakkelijker toegang krijgen tot data.
- BFU (Before First Unlock): Als een iPhone in deze staat is (bijvoorbeeld direct na een herstart), zijn bepaalde gevoelige gegevens versleuteld. Het is dan aanzienlijk moeilijker, en soms vrijwel onmogelijk, om via brute-force de toegangscode van het apparaat te kraken.
Volgens de medewerker wordt de AFU-status 'vastgelegd' door de nieuwe tools. "Zelfs als het apparaat om wat voor reden dan ook herstart — door geheugenonderhoud, stroomverlies of iets anders — gaat de AFU-status niet verloren. Dit is de echte magie achter GrayKey Preserve en de Evidence Preservation Mode."
Om privacywetgeving te respecteren, zien agenten bij het gebruik van deze oplossing in eerste instantie alleen de softwareversie en het model van de iPhone, en niet de inhoudelijke data. Hierdoor kunnen ze de relevante gegevens veiligstellen zonder deze daadwerkelijk in te zien voordat ze daarvoor gemachtigd zijn.
Expertvisie
Apple en Magnet reageerden niet op verzoeken om commentaar. Jiska Classen, een onderzoeker aan het Hasso Plattner Institute die iPhone-beveiliging bestudeert, stelt dat het onmogelijk is om op basis van de video met zekerheid te zeggen hoe de functie werkt, maar ze is het ermee eens dat het een "gamechanger" is die de situatie terugbrengt naar hoe deze was vóór de invoering van de inactiviteitsherstart.
Classen speculeert dat Magnet een manier heeft gevonden om de klok van de iPhone te manipuleren, waardoor de tijd effectief wordt vertraagd of zelfs stilgezet, zelfs na een herstart. De meest waarschijnlijke theorie is dat GrayKey de iPhone-taken uitschakelt die bepalen wanneer gegevens verlopen.
Het is nu aan Apple om uit te zoeken hoe Magnet de inactiviteitsherstart heeft omzeild en te zoeken naar een manier om te voorkomen dat iPhones en de daarop opgeslagen gevoelige data in de tijd kunnen worden 'bevroren'.
Politie kan automatische herstart van iPhone omzeilen om toegang te krijgen tot vergrendelde telefoons, aldus gelekt fragment
Volgens een video die in handen is gekomen van 404 Media, claimt het bedrijf dat het een oplossing heeft ontwikkeld die iPhones in een staat 'bevriest', waardoor opsporingsdiensten gemakkelijker toegang krijgen tot gevoelige data. Dit is de nieuwste stap in de voortdurende strijd tussen Apple en bedrijven die politieagenten — waaronder die in autoritaire landen — helpen om iPhones te kraken.
De strijd tegen de 'inactiviteitsherstart'
In november 2024 onthulde 404 Media dat Apple stilletjes een nieuwe functie in iOS had geïntroduceerd die een iPhone automatisch herstart als deze gedurende 72 uur niet is ontgrendeld. Het idee achter deze zogenaamde "inactiviteitsherstart" is om de telefoon terug te brengen naar een staat waarin het voor de politie moeilijker is om het apparaat te kraken en gevoelige gegevens te extraheren met forensische technologie.
Ten tijde van de invoering van deze wijziging uitten opsporingsinstanties hun zorgen. In veel gevallen kunnen agenten namelijk niet onmiddellijk proberen in te breken in in beslag genomen iPhones, bijvoorbeeld omdat zij nog wachten op een gerechtelijke machtiging of omdat er simpelweg een achterstand is in het ontgrendelen van apparaten.
GrayKey Preserve en Evidence Preservation Mode
De nieuwe technologie om de inactiviteitsherstart te omzeilen is ontwikkeld door Magnet Forensics, het bedrijf achter GrayKey. GrayKey is een populaire tool die aan wetshandhavingsinstanties wordt verkocht om toegang te krijgen tot data op iPhones en Android-smartphones. Volgens de video heeft Magnet een nieuw apparaat ontwikkeld, genaamd GrayKey Preserve, en een functie voor de reguliere GrayKey-apparaten, genaamd Evidence Preservation Mode.
Een medewerker van Magnet zegt in de gelekte video: "Dit is een absolute gamechanger voor iOS-forensisch onderzoek en een functie die ik graag jaren geleden al hadden gehad." Hij benadrukt specifiek dat de oplossing gericht is op de inactiviteitsherstart van de iPhone en de gegevens die daardoor onbereikbaar worden.
Daarnaast zijn GrayKey Preserve en de Evidence Preservation Mode ontworpen om een andere iPhone-functie tegen te gaan die bepaalde gegevens automatisch verwijdert na een aantal dagen, zoals:
- Gecachte locaties;
- Recent verwijderde foto's;
- Recent verwijderde iMessages.
"We zullen in staat zijn om die gegevens voor onbepaalde tijd te bewaren," aldus de medewerker.
Technische werking en isolatie
De instructievideo, die uitsluitend is gemaakt voor wetshandhavingsagenten en dateert uit begin 2025, legt de exacte technische details niet uit, maar geeft wel sterke aanwijzingen over de werking.
De medewerker legt uit dat GrayKey Preserve als onderdeel van de initiële toegang de vluchtmodus inschakelt, of specifieker: de radioverbindingen zoals Bluetooth, wifi en mobiele data uitschakelt. Dit dient twee doelen:
- Het bewaren van de data in het veld.
- Het isoleren van de data in het veld.
Dit gebeurt zelfs als het apparaat geen mogelijkheid heeft om de vluchtmodus of de zenders via het Control Center van iOS uit te schakelen. Zodra de initiële toegang is verkregen en het apparaat zich in een 'bewaarde staat' bevindt, worden alle radio's uitgeschakeld om te voorkomen dat externe signalen het apparaat bereiken.
AFU versus BFU
Het kerndoel van GrayKey Preserve en de Evidence Preservation Mode is om de iPhone in een staat te houden die bekend staat als After First Unlock (AFU).
- AFU (After First Unlock): In deze staat kunnen agenten veel gemakkelijker toegang krijgen tot data.
- BFU (Before First Unlock): Als een iPhone in deze staat is (bijvoorbeeld direct na een herstart), zijn bepaalde gevoelige gegevens versleuteld. Het is dan aanzienlijk moeilijker, en soms vrijwel onmogelijk, om via brute-force de toegangscode van het apparaat te kraken.
Volgens de medewerker wordt de AFU-status 'vastgelegd' door de nieuwe tools. "Zelfs als het apparaat om wat voor reden dan ook herstart — door geheugenonderhoud, stroomverlies of iets anders — gaat de AFU-status niet verloren. Dit is de echte magie achter GrayKey Preserve en de Evidence Preservation Mode."
Om privacywetgeving te respecteren, zien agenten bij het gebruik van deze oplossing in eerste instantie alleen de softwareversie en het model van de iPhone, en niet de inhoudelijke data. Hierdoor kunnen ze de relevante gegevens veiligstellen zonder deze daadwerkelijk in te zien voordat ze daarvoor gemachtigd zijn.
Expertvisie
Apple en Magnet reageerden niet op verzoeken om commentaar. Jiska Classen, een onderzoeker aan het Hasso Plattner Institute die iPhone-beveiliging bestudeert, stelt dat het onmogelijk is om op basis van de video met zekerheid te zeggen hoe de functie werkt, maar ze is het ermee eens dat het een "gamechanger" is die de situatie terugbrengt naar hoe deze was vóór de invoering van de inactiviteitsherstart.
Classen speculeert dat Magnet een manier heeft gevonden om de klok van de iPhone te manipuleren, waardoor de tijd effectief wordt vertraagd of zelfs stilgezet, zelfs na een herstart. De meest waarschijnlijke theorie is dat GrayKey de iPhone-taken uitschakelt die bepalen wanneer gegevens verlopen.
Het is nu aan Apple om uit te zoeken hoe Magnet de inactiviteitsherstart heeft omzeild en te zoeken naar een manier om te voorkomen dat iPhones en de daarop opgeslagen gevoelige data in de tijd kunnen worden 'bevroren'.
Groetjes,