警方可绕过iPhone自动重启机制 解锁取证引关注

事件概述

据404 Media的报道，执法部门能够绕过iPhone的自动重启（inactivity reboot）安全机制，从而在锁定的设备上实施取证解锁。这一消息在Hacker News上引发热议，获得216个点赞和174条评论，成为安全与隐私领域的焦点话题。

iPhone的自动重启功能原本是苹果为提升设备安全性而设计的防护措施。当一部iPhone长时间处于锁定且未使用状态时，系统会自动触发重启。重启后设备进入所谓的"首次解锁前"（Before First Unlock, BFU）状态，此时数据加密强度最高，取证工具极难提取内容。

报道指出，借助Grayshift公司的GrayKey等专业取证设备，执法机构有办法规避这一自动重启机制，使设备维持在更易于访问的状态，为后续的数据提取创造条件。

自动重启机制为何重要

要理解这则新闻的意义，需要先了解iPhone的两种加密状态。设备开机后首次输入密码解锁之前，处于BFU状态，大量用户数据仍被牢牢加密，连系统本身也无法访问；一旦用户首次解锁（After First Unlock, AFU），许多加密密钥被加载进内存，设备在后续锁定时数据仍相对"可及"。

取证工具通常更青睐处于AFU状态的设备，因为此时提取数据的成功率显著更高。苹果引入的自动重启功能，正是为了在设备被长时间闲置（例如被执法部门扣押等待破解）后，强制将其拉回安全性更高的BFU状态。

换言之，自动重启是一道"时间防线"——即便设备落入他人之手，只要放置足够长时间，它就会自我重启并重新上锁到最强加密状态。而本次报道所揭示的，正是这道防线可能被绕过的风险。

BFU与AFU的技术差异值得进一步说明。在BFU状态下，iOS使用的是"完全保护"（Complete Protection）级别的数据加密：加密密钥从未被加载到内存，即便使用专业取证硬件对芯片进行物理攻击，也极难绕过。而在AFU状态下，用户的大部分数据切换至"首次解锁后受保护"（Protected Until First User Authentication）级别——密钥已在内存中就位，设备虽然屏幕锁定，但数据在技术上仍处于"解密就绪"的状态。这也是为什么取证界有一句行话："拿到一部开过机的iPhone，比拿到一部刚关机的iPhone，价值大得多。"苹果在iOS 18.1中正式引入的自动重启（Inactivity Reboot）功能，据报道设定的闲置阈值为72小时，目的就是缩短设备停留在AFU状态的时间窗口，让长时间扣押等待破解的策略失效。

技术与隐私的博弈

这则新闻折射出执法取证与用户隐私之间长期存在的紧张关系。一方面，执法部门主张在刑事调查中访问嫌疑人设备的正当需求；另一方面，安全研究者和隐私倡导者担忧，任何能绕过设备防护的手段，理论上也可能被恶意行为者利用或滥用。

从Hacker News社区的高热度讨论可以看出，技术人群对此类取证能力的演进高度敏感。GrayKey这类设备的存在本身并不新鲜，但每当其能力边界被重新界定——例如绕过苹果最新引入的安全机制——都会引发关于"攻防不对称"的新一轮辩论。

这种博弈往往呈现出猫鼠游戏的态势：苹果推出新的防护机制，取证厂商寻找绕过方法，苹果再在后续系统更新中修补漏洞。自动重启机制的被绕过，很可能只是这一循环中的又一回合。

Grayshift公司与其产品GrayKey在移动取证领域具有代表性地位。GrayKey是一款专为执法机构设计的硬件盒子，通过Lightning或USB-C接口连接iPhone，利用已知或未公开的系统漏洞尝试暴力破解锁屏密码。由于苹果对暴力破解有延迟惩罚机制（尝试次数过多会触发更长等待时间乃至数据擦除），GrayKey的核心竞争力在于能够绕过这些限制，在设备内部低层环境中直接尝试密码组合。该设备并非面向公众销售，仅向通过资质审核的执法机构提供，售价据报道高达数万美元。类似的竞品还包括以色列公司Cellebrite的UFED系列，两者共同构成了当前移动取证市场的主要格局。

对普通用户意味着什么

对绝大多数用户而言，这类针对性的取证技术通常需要物理接触设备，并非远程攻击，因此日常使用的实际风险有限。但它提醒我们，设备安全从来不是绝对的，所谓的"坚不可摧"往往只是在特定条件和时间窗口内成立。

对于格外注重隐私的用户，可以采取一些基础的防护习惯：使用更长更复杂的密码而非简单的六位数字、在预感设备可能被扣押时主动关机使其进入BFU状态、及时更新到最新系统版本以获取苹果修补的安全补丁。

值得关注的是，苹果是否会在后续系统更新中针对这一绕过手段进行回应。鉴于自动重启本就是苹果近期加强的安全特性，厂商层面的对抗仍将持续。

结语

警方绕过iPhone自动重启机制的报道，再次将移动设备取证与用户隐私的边界问题推向台前。它既不是耸人听闻的全面崩塌，也绝非无关紧要的小事，而是安全攻防持续演进中的一个典型切片。对关注数字隐私的用户和从业者来说，持续跟踪苹果与取证厂商之间的技术拉锯，依然具有现实意义。