Apples Inactivity Reboot soll verhindern, dass ein länger gesperrtes iPhone für forensische Werkzeuge in einem leichter zugänglichen Zustand bleibt. Magnet Forensics hat dafür offenbar eine Gegenmaßnahme entwickelt. Wie 404 Media anhand eines Schulungsvideos für Strafverfolgungsbehörden berichtet, können GrayKey Preserve und ein neuer Evidence Preservation Mode den sogenannten AFU-Zustand eines iPhones sichern. Inactivity Reboot gehört seit iOS 18.1 zum Sicherheitssystem des iPhones. Wird das Gerät 72 Stunden lang nicht entsperrt, startet es automatisch neu. Anschließend befindet es sich wieder im stärker geschützten Before-First-Unlock-Zustand.
Warum der Neustart für GrayKey zum Problem wird
Nach einem regulären Neustart wartet das iPhone zunächst auf die erste Eingabe des Gerätecodes. In diesem Before-First-Unlock-Zustand, kurz BFU, stehen bestimmte Schlüssel für verschlüsselte Daten noch nicht zur Verfügung. Erst nach der ersten erfolgreichen Entsperrung wechselt das Gerät in den After-First-Unlock-Zustand (AFU). Für eine forensische Untersuchung ist dieser Unterschied entscheidend. Im AFU-Zustand bleiben mehr Daten zugänglich. Ein Neustart bringt das iPhone dagegen zurück zu BFU und erschwert damit auch den Einsatz entsprechender Forensik-Werkzeuge.
Genau dafür führte Apple den Inactivity Reboot ein. Selbst wenn ein bereits entsperrtes iPhone anschließend längere Zeit beschlagnahmt oder anderweitig nicht genutzt wird, bleibt der AFU-Zustand nicht unbegrenzt erhalten. Nach 72 Stunden greift der automatische Neustart.
GrayKey Preserve soll den AFU-Zustand sichern
Magnet Forensics scheint inzwischen einen Weg gefunden zu haben, diesen Zeitdruck zu umgehen. 404 Media beruft sich auf ein Schulungs- und Tutorialvideo, das ausschließlich für Strafverfolgungsbehörden erstellt worden sein soll und offenbar von Anfang 2025 stammt. Darin werden GrayKey Preserve und ein Evidence Preservation Mode für bestehende GrayKey-Hardware gezeigt. Beide sollen zunächst den forensischen Zustand eines iPhones erhalten, ohne unmittelbar die darauf gespeicherten Daten auszulesen. Der AFU-Zustand wird demnach von GrayKey erfasst und bleibt für die spätere Untersuchung erhalten. Laut dem Schulungsmaterial soll das selbst dann funktionieren, wenn das iPhone anschließend neu startet oder die Stromversorgung verliert.
Der durch Inactivity Reboot ausgelöste Wechsel zurück zu BFU würde die zuvor gesicherte Ausgangslage damit nicht mehr zunichtemachen.
Wie Magnet Forensics das technisch erreicht, verrät das Video nicht. Die von 404 Media befragte Sicherheitsforscherin Jiska Classen hält unter anderem eine Manipulation der Uhrzeit für denkbar. Eine andere Möglichkeit wäre, Prozesse zu beeinflussen, die für das Ablaufen bestimmter Daten verantwortlich sind. Beides ist bislang lediglich eine mögliche Erklärung.
Funktion unter aktuellem iOS bleibt offen
Aus dem Bericht lässt sich nicht ableiten, dass GrayKey den Inactivity Reboot auch unter aktuellen iOS-Versionen umgehen kann. Das ausgewertete Schulungsmaterial stammt offenbar bereits von Anfang 2025. Wann die Technik Strafverfolgungsbehörden tatsächlich zur Verfügung gestellt wurde und ob sie bereits bei Ermittlungen eingesetzt worden ist, bleibt ebenfalls offen. Apple und Magnet Forensics reagierten laut 404 Media nicht auf Anfragen zu dem Thema. Damit ist auch nicht bekannt, ob Apple die von GrayKey verwendete Methode inzwischen geschlossen hat. Fest steht nach dem vorliegenden Material lediglich, dass Magnet Forensics eine Möglichkeit entwickelt haben soll, den AFU-Zustand für eine spätere Untersuchung zu konservieren.
