iPhoneの72時間自動再起動をGrayKey Preserveが回避しデータを永続保存
30秒でわかる内容解説
Magnet Forensicsは法執行機関向け解析ツールGrayKeyの一新機能「GrayKey Preserve」を開発した。専用ハードウェアと既存デバイスのソフトウェア機能Evidence Preservation Modeで構成され2025年初頭の教育動画で公開された。初期アクセス取得後無線通信を停止しAFU状態を固定することで72時間自動再起動を回避する。期限付きで消えるデータも無限に保存可能になり警察の解析に追われる時間的余裕が生まれる。一般ユーザーのデータ保護期間にも影響が及ぶ見込みだ。
GrayKey Preserveの機能概要とデータ保存メカニズム
Magnet Forensicsは法執行機関向け解析ツールGrayKeyの一新機能「GrayKey Preserve」を開発した。専用ハードウェアと既存デバイスのソフトウェア機能Evidence Preservation Modeで構成される。2025年初頭に作成された教育動画で公開された機能であり404 Mediaが入手した未確定のリーク情報だ。
初期アクセス取得後BluetoothやWi-Fiセルラー通信を無効化する。コントロールセンターから飛行機モードを切れない端末でも無線通信を停止できデータを完全に隔離する。
最大の目的はiPhoneをAFU（初回Unlock後の状態）に固定することである。AFU状態ではストレージの大半のデータが復号され解析が容易になる。再起動やメモリメンテナンスが発生してもこの状態を保持し続ける。期限付きで自動削除されるキャッシュ位置情報や最近削除した写真も無限に保存可能になる。
解析インターフェースではユーザーは具体的なデータではなくソフトウェアバージョンと端末モデルのみを確認できる。これにより権限付与前にデータを保護できる。Magnetの担当者はiOSフォレンジックにおける絶対的な変化をもたらす機能であると評価している。法執行機関向けに作られた動画ではデータ保護のためにフィールドで隔離できる点が強調されている。下の画像はGrayKey Preserveの専用ハードウェアを示している。
72時間自動再起動の経緯とAFU状態の解析優位
iOSは2024年11月に72時間ロック状態が続くと自動再起動する機能を導入した。この不活性再起動は端末が長期間操作されないとBFU（初回Unlock前の状態）に戻す設計だ。BFU状態では重要な情報がほぼ完全に暗号化されており警察がフォレンジック技術でデータを抽出しにくくなる。
法執行機関は裁判所の令状待ちや機器の積圧により押収したiPhoneをすぐに解析できない場合が多い。自動再起動の実施により解析可能なデータが大幅に減少する懸念が示された。GrapheneOSでは10分から72時間の間で設定可能でありiOSと標準版Pixelは72時間で固定されている。
GrayKey Preserveはこの再起動を回避しAFU状態を維持することで従来通りのデータアクセスを可能にする。BFU状態ではパスコードの総当たり解析が非常に困難になるがAFU状態では特定のデータ構造がメモリやストレージに残るため解析成功率が向上する。競合するCellebriteも同様の状態差に対応しており両社の解析リストには明確な差異が見られる。
404 Mediaが入手したGrayKeyとCellebriteの対応リストではAFUとBFUの両状態でアクセス可能なデータに大きな開きがあることが示されている。
技術コミュニティの推測と時計操作による回避説
Hasso Plattner研究所の研究者は動画のみで詳細は不明ながら時計を操作して時間を遅くしたり再起動後も止めている可能性を指摘する。GrayKeyがiPhoneの期限切れタスクを無効化していると推測される。
Hacker Newsのユーザーからは偽のNTPサーバーを提供している説や壁時計タイマーの仕様実装ミスによる回避が疑われている。正解は厳密な型付けで時刻と期間を区別し単一整数やGo言語の標準ライブラリのようなごまかしを使わないことだという指摘もある。iOSのセキュリティ設計に瑕疵があるとの声が多く対策としてロック時のコントロールセンターアクセス無効化やCryptomatorによる暗号化ボリュームの併用を提案するユーザーもいる。
リーク動画はバージョンやモデルを特定していないためすでにパッチ済みか今後のアップデートで対応が変わる可能性も示唆されている。技術的な実装ミスとセキュリティのarms raceを巡る議論が展開され機能の真偽はAppleの次回アップデートで確定する見込みだ。
Appleの修正パッチ開発と次期アップデートの展開
AppleとMagnetはコメント要請に対して返答を保留している。今後はApple側がGrayKeyの回避方法を解析しiPhoneの時間を凍結する仕組みを封じるパッチを開発する。Hacker Newsのユーザーからはリソースを持つAppleが解析ツールの開発元に対し法的手段を取るべきではないかとの疑問が提起されている。
一般ユーザーはFace IDとパスコード設定のロック時にアクセス可能なコントロールセンターをオフにするだけで解析時間を72時間以内に収められる。
セキュリティのarms raceはこの四半期のアップデート次第で勝敗が決まり実践的なデータの権利価値が変動する。Appleが提供する修正パッチの公開を待って実際の解析成功率が再測定される。
用語の注釈
- BFU
- ストレージがほぼ完全に暗号化されており、重要な情報が確認可能な前のiPhoneの状態を指す。（参考：匿名ライフ - iPhoneは警察でも突破できないは本当か？）