Un iPhone devient beaucoup plus difficile à examiner après un redémarrage : tant que son propriétaire ne l’a pas déverrouillé une première fois, les clés de chiffrement restent davantage protégées. Dans une vidéo de formation datée du début de 2025, Magnet Forensics décrit GrayKey Preserve et un mode « Evidence Preservation » conçus pour conserver les données d’un appareil saisi dans un état plus accessible aux enquêteurs.
Ces outils concernent GrayKey, une solution employée par les forces de l’ordre pour tenter d’accéder à des smartphones verrouillés. Il ne s’agit donc pas d’une fonction disponible pour les utilisateurs d’iPhone, mais d’une technologie d’investigation visant à préserver les informations déjà accessibles sur un appareil.
Le redémarrage automatique d’Apple dans le viseur
Avec iOS 18.1, Apple a mis en place un redémarrage après 72 heures sans déverrouillage. L’iPhone revient alors dans l’état « Before First Unlock » (BFU), c’est-à-dire avant le premier déverrouillage suivant son démarrage. Cet état limite l’accès aux clés de chiffrement et complique nettement les tentatives d’accès par force brute ou d’autres méthodes.
D’après Magnet Forensics, GrayKey Preserve maintient au contraire l’appareil dans l’état « After First Unlock » (AFU), y compris si l’iPhone redémarre. C’est un point crucial : après un premier déverrouillage par son propriétaire, davantage de données peuvent rester disponibles au système et, potentiellement, aux outils d’extraction spécialisés.
Isoler l’iPhone et figer certaines données
Une fois l’accès initial obtenu, GrayKey Preserve coupe les connexions cellulaires, Wi-Fi et Bluetooth afin d’isoler le téléphone des communications entrantes. Magnet Forensics indique que son mode Evidence Preservation peut aussi empêcher l’expiration de certaines données mises en cache, des photos récemment supprimées et des iMessages, afin de les conserver pendant l’attente d’une autorisation d’extraction.
La vidéo ne décrit pas le mécanisme technique employé. La chercheuse en sécurité iPhone Jiska Classen estime qu’il pourrait reposer sur une manipulation de l’horloge ou sur la désactivation de tâches iOS chargées d’expirer certaines données.
Ce que ça change
Pour les utilisateurs, cette démonstration rappelle qu’un iPhone déjà déverrouillé n’offre pas le même niveau de protection qu’un appareil venant d’être redémarré. Le redémarrage automatique d’Apple réduit cette fenêtre d’accès après une longue période d’inactivité ; les outils décrits par Magnet Forensics chercheraient précisément à prolonger cette fenêtre dans le cadre d’une saisie.
L’enjeu dépasse la seule extraction de fichiers : il touche aussi aux données temporaires, comme les messages et éléments récemment supprimés, dont la conservation peut modifier la quantité d’informations récupérables sur un téléphone.
À lire aussi
Source : Magnet Forensics — vidéo de formation sur GrayKey Preserve et Evidence Preservation Mode
Rédigé avec l'assistance d'outils d'IA, vérifié et validé par la rédaction.