一段由 Magnet Forensics 制作、并由 404 Media 获取的宣传视频披露，该公司已针对 Apple 的"非活动重启"功能构建了一种绕过方案——该机制会在 iPhone 连续 72 小时未被用户解锁后自动重启，迫使设备回到首次解锁前（BFU）状态，此时大部分用户数据仍处于加密状态，极难提取。
### Magnet 所针对的功能
2024 年 11 月，Apple 在 iOS 中悄然推送了非活动重启功能。如果 iPhone 连续 72 小时未被解锁，它会自行重启。此次重启将设备从首次解锁后（AFU）状态——此时用户数据的解密密钥仍驻留在内存中，GrayKey 和 Cellebrite 等取证工具通常能获取大量数据——转为首次解锁前（BFU）状态，此时这些密钥已被清除，在现代硬件上暴力破解密码已变得不切实际。该功能源自 GrapheneOS，其默认定时器为 18 小时，允许用户设置 10 分钟至 72 小时之间的任意时长；而 Apple 与 Google 的 stock Pixel 实现则将窗口固定为 72 小时，且不提供用户配置选项。
执法机构曾抱怨，72 小时的窗口有时会在他们获得搜查令或处理完积压的扣押设备之前就已过期。
### Magnet 的新工具所发挥的作用
据这段泄露的视频——日期为 2025 年初，且专为执法部门制作——Magnet 推出了两项相关能力：
* **GrayKey Preserve**，一款专用硬件设备。 * **证据保全模式**，面向现有 GrayKey 单元的一项功能。
两者旨在"捕获"AFU 状态并使其保持持久。视频描述了如下流程：
1. 在首次接触时，该工具会启用飞行模式（或直接关闭蓝牙、Wi-Fi 和蜂窝无线电），使设备与可能触发擦除或重启的网络指令隔离。 2. 该工具随后将 AFU 状态"无限期维持"，即使手机因内存维护、断电或非活动定时器本身而重启也是如此。 3. 它还会阻止临时数据的自动删除——即 iOS 通常会在若干天后清除的缓存位置、最近删除的照片和最近删除的 iMessage。
视频强调，使用该工具的警员只能看到 iPhone 的软件版本和型号，而无法看到实际数据，从而在获得授权完整提取的搜查令之前保持证据链的完整性。
### 其可能的工作原理
404 Media 与 Hasso Plattner 研究所的 iPhone 安全研究员 Jiska Classen 分享了一份笔录。Classen 指出，该视频并未透露技术细节，但她提出了两种合理的推测：
* **时钟操控**：GrayKey 可能会干扰 iPhone 的时间同步——"减缓时间"或"即使在重启后也阻止时钟走动"——从而使 72 小时的非活动计数器永远达不到阈值。 * **任务抑制**：该工具可能禁用负责使缓存数据过期以及触发非活动重启的特定 iOS 后台任务。
Classen 将这一进展称为"相当大的游戏规则改变者"，或至少是一种回归到非活动重启前现状的态势。
### 背景：一场持续的军备竞赛
非活动重启是 Apple 对移动取证工具持续改进所作出的回应。据 404 Media 此前报道，2024 年 4 月泄露的 Cellebrite 文件显示，即便 Cellebrite——GrayKey 的主要竞争对手——当时也无法解锁很大一部分现代 iPhone。这两家公司主要向执法机构销售产品，但其工具也被记录在专制政府的使用中。
Magnet 所声称的绕过方案印证了这一熟悉的模式：平台厂商部署缓解措施，取证厂商找到绕过方法，然后循环往复。Apple 与 Magnet 均未回应置评请求。
### 仍不确定之处
* 确切的技术机制并未公开记录；Classen 的理论属于有依据的推测。 * 目前尚不清楚该绕过方案是否适用于所有 iPhone 型号和 iOS 版本，还是仅适用于其中一部分。 * Apple 的回应——无论是通过软件更新、硬件改动还是法律行动——均未公布。 * 视频中展示的是原型或早期功能；实际部署规模和可靠性尚未得到验证。