Depuis iOS 18.1, un iPhone resté verrouillé pendant 72 heures redémarre automatiquement pour mieux protéger les données de son utilisateur. L'éditeur canadien Magnet Forensics affirme désormais pouvoir préserver l’état qui facilite leur analyse par les forces de l’ordre, même après ce redémarrage.
Trois jours peuvent suffire à compliquer sérieusement une enquête. Depuis iOS 18.1, un iPhone qui n’a pas été déverrouillé pendant 72 heures redémarre de lui-même, ce qui rend une partie de ses données beaucoup plus difficile d’accès. Pour les forces de l’ordre, le délai peut s’écouler pendant le transport d’un appareil saisi ou l’attente d’une autorisation judiciaire. Magnet Forensics assure avoir trouvé un moyen de neutraliser cette contrainte.
Après 72 heures, l’iPhone renforce le verrouillage de ses données
Ce mécanisme non documenté, généralement appelé « redémarrage d’inactivité », ramène l’iPhone à l’état Before First Unlock (BFU) après 72 heures sans déverrouillage. À ce stade, certaines clés de chiffrement ne redeviennent disponibles qu’après la première saisie du code. Une fois celle-ci effectuée, l’appareil passe en After First Unlock (AFU), un état dans lequel davantage de données peuvent rester accessibles aux outils d’analyse, même lorsque l’écran se verrouille à nouveau.
Le redémarrage automatique raccourcit donc la période pendant laquelle un téléphone saisi reste dans cette configuration plus favorable aux investigations. Ce renforcement profite évidemment aussi au propriétaire d’un appareil perdu ou volé.
Une solution pour maintenir la fenêtre d’analyse ouverte
L'entreprise canadienne affirme que ses outils peuvent préserver, avant l’expiration des 72 heures, les conditions les plus favorables à une analyse ultérieure. Une fois l’opération effectuée, cet avantage serait conservé même après un redémarrage ou une coupure d’alimentation. Rien n’indique, en revanche, que l’outil puisse rouvrir cette fenêtre sur un smartphone ayant déjà redémarré.
La nuance est importante : préserver ces conditions d’analyse ne revient pas à déverrouiller instantanément l’appareil ni à garantir l’accès à toutes ses données. Magnet avance également que ses outils pourraient empêcher l’expiration de certains éléments temporaires comme des informations de localisation conservées en cache ou des données récemment supprimées. À ce stade, ces capacités reposent toutefois sur les affirmations du fabricant.
Une parade encore largement mystérieuse
Magnet Forensics n’explique pas comment son outil parvient à préserver cet état après un redémarrage. Consultée par 404 Media, la chercheuse Jiska Classen évoque soit une manipulation de l’horloge du téléphone, soit la neutralisation des mécanismes chargés de faire expirer certaines données. Cette hypothèse reste impossible à confirmer avec les seuls éléments fournis par la vidéo.
Le document semble en outre remonter au début de l'année 2025. Impossible donc de savoir depuis quand ces fonctions sont utilisées, dans quelles enquêtes elles ont éventuellement servi et, surtout, si elles restent efficaces sur les versions les plus récentes d’iOS. Sollicités par 404 Media, Apple et Magnet Forensics n’ont, sans surprise, pas répondu au site américain.
