有迹象显示，执法机构使用的iPhone取证工具，可能已具备在设备自动重启后仍保持AFU状态的能力，从而维持更高的数据提取可能性。
据Engadget 10月1日（当地时间）报道，移动取证公司Magnet Forensics在一段面向执法机构的培训视频中介绍了GrayKey Preserve，以及现有GrayKey提供的“证据保全模式”（Evidence Preservation Mode）。这两项功能的核心目标，都是避免iPhone因自动重启而增加取证难度。
Apple自iOS 18.1起引入了一项安全机制：长时间未解锁的iPhone会自动重启。设备重启后，将从“首次解锁后”状态（AFU）退回“首次解锁前”状态（BFU）。在BFU状态下，更多加密密钥处于锁定状态，取证工具可提取的数据也会明显减少。
培训视频中，Magnet Forensics员工称，新功能可将iPhone保持在AFU状态，即使设备断电或重启，也不会丢失该取证状态。不过，视频并未说明其具体实现方式。有安全研究人员推测，相关手段可能包括修改系统时间，或阻止与数据失效相关的进程运行。
报道称，在完成初始访问后，GrayKey Preserve还会切断蜂窝网络、Wi‑Fi和蓝牙连接，以减少外部连接带来的数据变动。Magnet Forensics同时表示，“证据保全模式”可以保留缓存位置信息，以及“最近删除”中的照片、iMessage等可能随时间消失的数据。
需要注意的是，上述视频据称制作于2025年初。相关技术在实际案件中的应用范围，以及在最新iPhone和iOS版本上是否仍然有效，目前均未得到证实。
这也反映出，随着智能手机安全机制不断加强，执法机构与设备厂商之间围绕数字取证能力的博弈仍在持续。
记者信息
Choi Jae-won
ittt_0801@d-today.co.kr