据404 Media获得的视频，一家制造手机破解设备的公司声称已开发出方案，能让iPhone冻结在特定状态，便于警方更轻易读取机内敏感数据。这是苹果（Apple）与协助警方、有时是威权国家警方破解iPhone的公司之间较量中的最新一轮。2024年11月，404 Media披露，苹果在iOS中悄然加入一项功能：iPhone连续72小时未解锁便自动重启。
正文
一家制造手机破解设备的公司声称，已开发出一种能让 iPhone 冻结在特定状态的方案，便于警察更轻松地获取机内的敏感数据。404 Media 获得的一段视频披露了此事。
这是苹果与那些帮助警察——有时是威权国家——破解 iPhone 的公司之间无休止攻防的最新一轮。
2024 年 11 月，404 Media 曾披露苹果在 iOS 中悄然加入一项新功能：iPhone 若 72 小时未被解锁会自动重启。这一「不活动重启」的思路，是让手机回到一种更难被警方破解、进而用取证技术提取敏感数据的状态。
苹果做出这一改动时，执法部门曾表示担忧，因为他们往往无法立刻尝试破解被扣押的 iPhone，比如还在等待法院授权，或者待解锁设备已经积压。
绕过不活动重启的新技术由 Magnet Forensics 开发，这家公司正是 GrayKey 的出品方。GrayKey 是畅销执法机构的工具，可解锁并读取 iPhone 和 Android 手机中的数据。据视频介绍，Magnet 开发了名为 GrayKey Preserve 的新设备，并为其常规 GrayKey 设备增加了一项名为「证据保存模式」（Evidence Preservation Mode）的功能。
「这对 iOS 取证来说绝对是游戏规则改变者，我真希望几年前就有这功能，」一名 Magnet 员工在泄露视频中说，并特别提到该方案针对的正是 iPhone 的不活动重启功能及其导致不可用的数据。GrayKey Preserve 和证据保存模式还意在对抗 iPhone 的另一项功能：某些数据会在若干天后自动删除，比如缓存位置、最近删除的照片和 iMessage。「我们能够把这些数据无限期保存下来。」
这段专供执法人员的教学视频似乎拍摄于 2025 年初，没有解释新产品和功能背后的技术细节，但给出了工作原理的明显线索。404 Media 对提供视频者匿名处理，因其未获授权与第三方分享。
「GrayKey Preserve 要做的众多事情之一，是在我们初始访问的过程中，启用飞行模式，更准确地说，是关闭蓝牙、Wi-Fi 和蜂窝等无线电传输。这样不仅能让你在实地保存数据，也能隔离数据，」这名员工解释道。「即便设备无法通过 iOS 控制中心打开飞行模式或关闭发射器也一样。一旦取得初始访问、设备进入保存状态，我们还会关闭所有这些无线电，确保数据无法到达该设备。」
GrayKey Preserve 和证据保存模式的思路，是让 iPhone 保持在所谓的「首次解锁后」（AFU）状态。iPhone 处于该状态，基本上就能让警察获取那些在「首次解锁前」（BFU）状态下难得多的数据。若 iPhone 处于 BFU，部分敏感数据会被加密，暴力破解设备密码并解锁会困难得多，有时甚至几乎不可能。404 Media 此前获得过 GrayKey 和竞争对手 Cellebrite 可访问的 iPhone 列表，其中 AFU 与 BFU 状态的机型存在差异。
「AFU 状态被捕获了，」这名员工说。「即使设备因内存维护、断电或其他任何原因重启，AFU 状态也不会丢失。这才是 GrayKey Preserve 和证据保存模式背后真正的魔法。」
据这名员工和视频中 GrayKey 客户界面截图，使用这套新方案时，执法人员只能看到 iPhone 的软件版本和设备型号，看不到机内任何数据。这样他们就能在获得授权之前，先保存自己关心的数据而不实际查看。
苹果和 Magnet 均未回应置评请求。
404 Media 将视频文字记录分享给了 Hasso Plattner 研究所研究 iPhone 安全的研究员 Jiska Classen。Classen 表示，仅凭视频无法确定 Magnet 新功能的运作方式，但她提出了一些推测，并同意这「相当是游戏规则改变者」，或者「至少把事情恢复到不活动重启之前的状态」。
她认为 Magnet 找到了操纵 iPhone 时钟的办法，实际上是在「减慢时间」，甚至「让时钟停止走动，即使重启之后也一样」。在她看来，最可能的情况是 GrayKey 禁用了那些让数据过期的 iPhone 任务。
可以确定的是，现在轮到苹果来弄清楚 Magnet 是如何绕过不活动重启的，并设法阻止这家公司及其技术把 iPhone 和其中存储的敏感数据冻结在时间里。
评论
社区普遍质疑 iPhone 的自动重启机制可通过伪造 NTP 或端口篡改时钟来绕过，并纷纷分享用户侧缓解措施；少数人认为演示视频未标明版本可能早已修补，或强调该功能本意是防御所有攻击者而非仅警方。社区亦夹杂“iPhone 更值得偷”的戏谑情绪。
认为自动重启功能可被伪造时钟绕过
- 猜测攻击通过假 NTP 或端口篡改内部时钟，使计时器不触发重启，维持易破解的 AFU 状态；另有开发者怀疑苹果误用墙钟而非单调时钟导致漏洞（较多人） > 他们很可能通过端口伪造内部时钟，而连接后的手机会用 NTP 不断校时，所以隔离手机是关键（@tamimio）
建议用户立即采取自主防范措施
- 锁屏禁控制中心、用加密卷、自行重启以拖过72小时；另有人建议保持更新，因视频未标版本可能已修补（较多人） > 记得保持系统更新，远程擦除功能已在 iOS 存在，视频可能展示已修复的问题（@thraway3837）
指出自动重启本是防御任何人的通用安全特性
- 反驳媒体称该功能专门对抗警察取证的 framing，强调其同等提高对所有攻击者的门槛（少数人） > 这说法很怪，该功能明明是让任何人都更难破解设备（@ethagnawl）
认为 flawed 的安全功能反而带来虚假安全感
- GrapheneOS 视角指出苹果重启计时器实现有缺陷，操作系统层不可靠须靠安全隔区与硬件 RTC，用户不应依赖缺陷功能（较多人） > 苹果的重启计时器实现有瑕疵，缺陷功能给人错误的安全感，不应照搬（@Cider9986）
质疑苹果生态的安全责任与硬件信任
- 猜测美版 iPhone 保留高通基带或藏后门，质疑苹果不诉讼破解公司，亦有人视安全为苹果与政府军备竞赛（少数人） > 我们付苹果买摩擦，政府付 Graykey 移除，谁赢决定权利价值（@monneyboi）
有价值的补充
- 正确时间处理应使用严格类型区分时刻、时长与不同时钟源，现代 C++ 标准库在这方面已较完善（@amluto 技术补充）
- GrapheneOS 默认自动重启 18 小时且可配 10 分钟至 72 小时，iOS 与 Pixel 库存固定 72 小时不可改，凸显自定义策略优势（冷知识）
- 锁屏默认允许启用飞机模式利于小偷，但取证方需用法拉第袋应对 Find My 网络（补充）