安全
一家取证厂商告诉警方，它能让被扣押的 iPhone 无限期停留在解锁状态。而说出这话的视频，是一年半前录的
404 Media 看到的一份执法机构内部培训视频显示，Magnet Forensics 正在推销一种让被扣押 iPhone 越过苹果 72 小时"闲置重启"、继续停留在 After First Unlock 状态的手段。这项能力本身只是厂商未经第三方验证的说法；但视频日期与曝光之间相隔一年半，这一点不是。
MAI
在一份面向执法机构、由 404 Media 查阅过的培训视频中，Magnet Forensics 的一名员工告诉警方客户，公司能够阻止一台被扣押的 iPhone 退回它防护最强的状态，并且——用这名员工自己的话说——把它维持在那里"无限长的时间"。视频的日期是 2025 年初。公众知道这件事，是在 2026 年 10 月 1 日。
这里有两件事需要分开看。一件是这项能力本身，它是销售与培训视频中的厂商说法，没有经过独立验证。另一件是视频日期与曝光之间大约一年半的时间差。后者是已被确认的部分，而且影响更大的也是后者。
苹果做了什么，它保护什么
苹果在 2024 年底随 iOS 18.1 推出了闲置重启（Inactivity Reboot）。行为很直白：一台 72 小时未被解锁的 iPhone 会自行重启。重点不是重启本身，而是重启所产生的状态。
| 状态 | 设备何时处于该状态 | 能够触达的内容 |
|---|---|---|
| After First Unlock（AFU） | 开机后至少输入过一次密码 | 大部分用户数据的密钥驻留在内存中；取证工具可以恢复相当多的内容 |
| Before First Unlock（BFU） | 刚刚开机，还未输入密码 | 大部分用户数据仍处于加密状态；可提取的内容相对很少 |
在抓捕现场被扣押的手机通常处于 AFU。在闲置重启出现之前，只要有电，它就一直停在 AFU——在配有充电器的证物室里，这意味着实际上无限期。苹果的这项功能给那个窗口装上了一个 72 小时的时钟，当时被理解为一项针对 GrayKey 所做的那类提取的有意限制。
这项说法的内容
Magnet Forensics 拥有 GrayKey，这是向全球警方销售的数据提取设备。据 404 Media 报道，视频中介绍了两样东西：作为独立设备的 GrayKey Preserve，以及面向已投入使用的 GrayKey 的功能 Evidence Preservation Mode。宣传点是，接入的 iPhone 能够越过闲置重启——以及其他重启——继续保持 AFU 状态。
"即便那台设备因为任何原因重启了，内存维护、断电或者别的什么，AFU 状态也不会丢失。"
同一名员工称其为"iOS 取证领域彻底的游戏规则改变者"。Engadget 报道，视频还声称这套工具能拦住 iPhone 自行执行的清理工作，包括缓存的位置历史、以及最近删除的消息和照片的到期清除。
长期发表 iPhone 内部机制研究的哈索·普拉特纳研究所研究员 Jiska Classen 对 404 Media 表示，这一进展"相当程度上改变了游戏规则"。判断严重性时，她的解读是有用的那一个：被攻击的似乎是围绕这个超时机制的记账逻辑，而不是苹果的加密。已报道的内容中没有任何一处表明 iPhone 加密静态数据的方式存在弱点。它表明的是，那个本应重新加密数据的倒计时可以被阻止走完。技术细节的其余部分属于苹果和研究者，不属于这篇文章。
苹果没有回应 404 Media 的置评请求。
那一年半就是发现本身
即便把这项能力当作尚未证实，这件事的重要性依然成立，因为时间线并无争议。苹果作为取证访问硬性上限推出的一项保护，按厂商自己的说法，到 2025 年初就已经被当作"已解决"在推销了——而这项功能本要保护的那些人，是在 2026 年底才知道的，消息来自一份泄露的视频，而不是研究者、法庭文件或苹果。
这是这个市场的结构性问题，也不是新鲜事。在保密协议之下卖给政府的能力，要等到有人违反保密协议时才会公开。在那之前，一个读着苹果发布说明的用户，对自己设备究竟能抵御什么，持有的是一幅实质上错误的图景。
仍然不清楚的部分
不清楚的地方很多，而这些空白很重要。404 Media 和随后的报道都没有确认这项技术覆盖哪些 iOS 版本、对当前版本是否有效、是否已在真实案件中使用过，以及苹果此后是否已将其封堵。一份 2025 年初的视频描述的是 2025 年初的世界。苹果此后已经发布了两个大版本的 iOS。
该怎么做
防守方的建议没有变化，因为它从来就不依赖这项功能。关机的 iPhone 处于 BFU，而当设备离开你的手时，这是它能处于的最强状态。闲置重启一直只是一张安全网，针对的是你无法自己关机的情形——已经被扣押的手机、已经丢失的手机、已经被放进某个抽屉里的手机。所以，如果你预计一台设备会被扣押或者会不见，关机，而不是锁屏；而在 BFU 状态下，挡在提取工具与数据之间的就是密码本身，这正是应该用一长串字母数字密码、而不是六位数字的理由。
更大的教训在于：当对手手里握着你的硬件时，哪一类保护还能站得住。加密之所以成立，是因为数学成立。而要求设备在别人的工作台上自己管住自己的功能，属于更弱的一类。这一次，展示的正是那种差别被实际检验时的样子。
---
来源： 404 Media — Cops Can Bypass iPhone's Automatic Reboot to Get Into Locked Phones, Leaked Video Claims · Engadget — Police may have new ways to access data on locked iPhones · 9to5Mac — GrayKey maker can reportedly bypass the iPhone's 'Inactivity Reboot' security feature · Apple — security releases