La protection anti-police de l’iPhone contournée, la parade d’Apple serait tombée

Un iPhone verrouillé trop longtemps redémarre tout seul, et cette simple pirouette ruine le travail des logiciels d’extraction. Une vidéo destinée aux enquêteurs laisse entendre que la parade d’Apple aurait déjà trouvé son maître.

Depuis iOS 18.1, déployé fin octobre 2024, un iPhone resté verrouillé pendant 72 heures redémarre de lui-même. La manœuvre replace l’appareil dans un état où l’essentiel des données demeure chiffré, hors de portée des outils d’analyse qu’utilisent les polices du monde entier. Magnet Forensics, l’éditeur du fameux GrayKey, assurerait pourtant à ses clients savoir neutraliser ce mécanisme.

Figer l’iPhone quand il est le plus bavard

La vidéo, réservée aux forces de l’ordre, daterait de début 2025 et a refait surface le 1ᵉʳ octobre. On y découvre un boîtier baptisé GrayKey Preserve ainsi qu’un mode de préservation des preuves pour les GrayKey déjà en service. Les deux outils font la même promesse : « l’état AFU est capturé… même si l’appareil redémarre, l’état AFU n’est pas perdu ».

Après un premier déverrouillage, l’état que les spécialistes appellent AFU, une partie des clés de chiffrement reste chargée en mémoire vive. Un téléphone saisi à ce moment-là se laisse fouiller, messages et photos compris. Un redémarrage purge cette mémoire et fait retomber l’iPhone dans l’état BFU, où presque tout est verrouillé. Le redémarrage forcé après 72 heures d’inactivité sert précisément à provoquer ce retour à la case départ.

Le mécanisme exact de cette capture d’état reste flou, et rien ne démontre qu’elle fonctionne sur les versions actuelles d’iOS. Ni Apple ni Magnet Forensics n’ont répondu aux sollicitations depuis la divulgation.

Deux ans de chat et de souris autour d’un redémarrage

Le redémarrage d’inactivité avait été mis au jour en novembre 2024, avant d’être rattaché à iOS 18.1. La fonction n’avait fait l’objet d’aucune communication d’Apple. Dans la foulée, des documents fuités montraient un GrayKey incapable d’extraire complètement les iPhone sous iOS 18, signe que la protection mordait. Quelques mois plus tard à peine, la riposte circulerait déjà chez les enquêteurs, boîtier et mode d’emploi à l’appui.

L’outil de Magnet Forensics s’écoule aussi en Europe, par l’intermédiaire de revendeurs installés aux Pays-Bas ou en Suisse. Aucun élément public ne confirme en revanche son usage par une force française, et les autorités concernées ne communiquent pas sur leurs équipements d’extraction.

Côté utilisateur, le maillon faible demeure le téléphone saisi déverrouillé, ou peu après l’avoir été : c’est cette fenêtre que les boîtiers d’extraction cherchent désormais à figer. Passé 72 heures sans déverrouillage, l’appareil redevient un coffre-fort, à condition qu’aucun outil n’ait eu le temps de capturer son état entre-temps. Chaque mise à jour d’iOS peut rebattre les cartes, et Apple l’a fait méthodiquement depuis deux ans : garder son système à jour reste la meilleure défense à portée de main.