警察が押収したiPhoneの自動再起動を回避してデータを抽出しやすくするツールが登場している

iPhoneには、ロック状態のまま一定時間が経過すると自動的に再起動する「非アクティブ時再起動」という機能が搭載されています。そんな非アクティブ時再起動を無効化して、警察が押収したiPhoneからのデータ抽出を容易するためのツールが開発されたと、海外メディアの404 Mediaが報じました。

Cops Can Bypass iPhone’s Automatic Reboot to Get Into Locked Phones, Leaked Video Claims
https://www.404media.co/cops-can-bypass-iphone-automatic-inactivity-reboot-graykey/

非アクティブ時再起動とは、ロック状態にあるスマートフォンがロック解除されないまま一定時間経過すると、自動的に再起動するという機能です。スマートフォンのセキュリティ状態は「再起動後の初回ロックの前」と「初回ロックの後」で大きく異なり、初回ロック解除前はFace IDやTouch IDが機能せず、ロック解除にはパスコードの入力が必要となります。また、Wi-Fiのパスワードも暗号化されているためWi-Fi接続ができず、脆弱(ぜいじゃく)性を使ってロック画面をバイパスしたり、物理的なアクセスでデータ抽出を試みたりすることが困難になります。

動画の中でMagnetの従業員は、「これはiOSフォレンジックにとってまさにゲームチェンジャーであり、何年も前に欲しかった機能です」と語っています。Magnetは「GrayKey Preserve」という新たなデバイスと、既存のGrayKeyデバイス向けの新機能モード「Evidence Preservation Mode(証拠保全モード)」を開発したとのこと。

GrayKey PreserveとEvidence Preservation Modeは、キャッシュされた位置情報、最近削除された写真、iMessageなど特定のデータを一定日数後に自動削除するiPhoneの機能にも対応しているそうです。従業員は動画の中で、「私たちはそのデータを無期限に保存できるようになります」と説明しています。

非アクティブ時再起動を回避する具体的な仕組みは不明ですが、初期アクセス時に機内モードを有効にしてBluetoothやWi-Fiなどの無線通信をオフにし、データを隔離状態にするそうです。従業員は、「メモリメンテナンスや電源喪失など、何らかの理由でデバイスが再起動しても、初回ロック解除後状態は失われません。これこそがGrayKey PreserveとEvidence Preservation Modeの神髄です」と述べました。

iPhoneセキュリティを研究しているジスカ・クラッセン氏は、動画だけではMagnetの新機能がどのように動作しているのかはわからないと回答。その上で、MagnetはiPhoneの時間を操作する方法を発見し、内部時間を遅くしたり停止したりできるようになったのではないかと推測しました。