Mục lục
TL;DR: Một video bị rò rỉ cho thấy Magnet Forensics tuyên bố GrayKey Preserve có thể duy trì trạng thái dữ liệu dễ tiếp cận hơn trên iPhone, qua đó làm suy yếu tác dụng của cơ chế tự khởi động khóa máy sau 72 giờ không mở khóa.
Apple đã bổ sung cơ chế “inactivity reboot” vào iOS từ năm 2024: một iPhone không được mở khóa trong 72 giờ sẽ tự khởi động lại. Đây không chỉ là thao tác khởi động thông thường, mà thay đổi trạng thái mã hóa của thiết bị theo hướng khiến dữ liệu nhạy cảm khó bị trích xuất hơn.
Tuy nhiên, theo một video nội bộ bị rò rỉ, Magnet Forensics, đơn vị đứng sau công cụ pháp y GrayKey, nói rằng thiết bị GrayKey Preserve cùng tính năng Evidence Preservation Mode có thể xử lý bộ hẹn giờ này. Công ty tuyên bố khả năng mới có thể bảo toàn dữ liệu trên thiết bị iOS “vô thời hạn”, nhưng cơ chế kỹ thuật cụ thể và phạm vi iPhone, iOS bị ảnh hưởng vẫn chưa được công khai.
72 giờ có thể đưa iPhone vào trạng thái bảo vệ chặt hơn
Để hiểu ý nghĩa của tuyên bố này, cần phân biệt hai trạng thái bảo mật thường được nhắc đến trong điều tra pháp y thiết bị. Sau khi iPhone khởi động lại và được người dùng mở khóa lần đầu, máy ở trạng thái After First Unlock, viết tắt là AFU. Khi đó, một số khóa mã hóa trở nên khả dụng để ứng dụng và dịch vụ hoạt động bình thường.
Ngược lại, nếu iPhone vừa khởi động lại nhưng chưa được mở khóa, máy ở trạng thái Before First Unlock, hay BFU. Trong trạng thái này, nhiều loại dữ liệu nhạy cảm vẫn được mã hóa chặt hơn và công cụ pháp y khó tiếp cận hơn.
Vì vậy, bộ hẹn giờ 72 giờ có tác dụng đáng kể khi iPhone bị thu giữ hoặc rơi vào tay người khác. Nếu thiết bị không được mở khóa trong khoảng thời gian đó, nó tự reboot và trở về BFU, thay vì tiếp tục duy trì trạng thái AFU dễ khai thác hơn.
GrayKey Preserve được nói là giữ lại trạng thái AFU
Video bị rò rỉ cho thấy GrayKey Preserve có thể “ghi nhận” trạng thái AFU và duy trì trạng thái này ngay cả khi iPhone sau đó khởi động lại hoặc mất điện. Theo Magnet, Evidence Preservation Mode được phát triển nhằm xử lý chính bộ hẹn giờ reboot của iOS.
Công ty cũng nói công cụ có thể giữ lại những dữ liệu vốn có thể biến mất theo thời gian, gồm dữ liệu vị trí được lưu trong bộ nhớ đệm, ảnh vừa xóa và iMessage vừa xóa. Đây là tuyên bố đáng chú ý với hoạt động pháp y số, bởi giá trị của một thiết bị không chỉ nằm ở dữ liệu còn hiển thị cho người dùng mà còn ở các dấu vết tạm thời.
Dù vậy, chưa có đủ thông tin để kết luận công cụ hoạt động bằng cách nào, có hiệu quả với mọi phiên bản iOS hay chỉ áp dụng cho một số thiết bị và điều kiện cụ thể. Một nhà nghiên cứu bảo mật được dẫn lời cho rằng Magnet có thể thao túng đồng hồ iPhone hoặc can thiệp vào quy trình xóa dữ liệu hết hạn, nhưng đây mới là giả thuyết, không phải xác nhận kỹ thuật.
Đây không phải lỗ hổng của Siri AI hay đám mây riêng tư
Thông tin trên không cho thấy GrayKey đã phá được Siri AI hoặc Private Cloud Compute, hệ thống điện toán đám mây mà Apple nói là không lưu hay cho phép công ty truy cập dữ liệu gửi lên. Điều này cũng khác với quy trình dựng hoạt hình bằng AI, nơi dữ liệu được người dùng chủ động đưa vào để tạo nội dung.
Khác biệt này quan trọng vì Siri AI ngày càng dựa vào “personal context”, tức ngữ cảnh cá nhân lấy từ tin nhắn, email, ảnh, lịch và dữ liệu vị trí. Khả năng tìm một gợi ý trong tin nhắn cũ, ảnh liên quan hoặc thông tin trong lịch chỉ hữu ích khi trợ lý có thể xử lý dữ liệu đó. Đồng thời, dữ liệu nền càng phong phú thì nhu cầu bảo vệ thiết bị vật lý càng cao.
Vì sao đáng chú ý?
Cơ chế bảo mật không chỉ được đánh giá qua việc mã hóa có tồn tại hay không, mà còn qua thời điểm nào khóa mã hóa trở nên khả dụng. Sự khác biệt giữa AFU và BFU cho thấy một lần khởi động lại có thể thay đổi đáng kể lượng dữ liệu mà công cụ pháp y có khả năng tiếp cận.
Nếu tuyên bố của Magnet được xác nhận rộng rãi, nó sẽ cho thấy một biện pháp bảo vệ dựa trên thời gian của iOS có thể không còn tạo ra rào cản như Apple kỳ vọng trong một số tình huống. Hiện vẫn chưa rõ Apple đã vá kỹ thuật liên quan hay chưa, và video rò rỉ được cho là có từ đầu năm 2025. Vì thế, đây là một cảnh báo về rủi ro cần theo dõi, chưa phải bằng chứng rằng mọi iPhone đều có thể bị truy xuất dữ liệu bằng GrayKey Preserve.
Skills Bridge tổng hợp
