В утреннем дайджесте разведки 2 октября мелькнула строчка из 404 Media: полиция научилась обходить автоматическую перезагрузку iPhone по простою — ту самую, которая скрывает ключи шифрования на изъятом телефоне. Год назад об этой перезагрузке писали как о тихой победе Apple: аппарат, постоявший забытым, сам уходит в состояние, где данные недоступны. Теперь выяснилось, что у победы есть срок годности.
Первая мысль была скучной: дыра в iOS, патч выйдет, вопрос закрыт. Цифры показали другое. Американская пограничная служба (CBP) получает телефон в первые сутки поездки, а Apple отвела аппарату на самоперезагрузку ровно трое. Между этими сроками ничего не сломано: расхождение не в коде, а в том, кому принадлежит право считать время.
iPhone узнаёт хозяина не сразу. До первого ввода пароля после включения устройство живёт в состоянии Before First Unlock (BFU): раздел с пользовательскими данными зашифрован, а ключи лежат в Secure Enclave (SEP) — отдельном сопроцессоре, который занимается криптографией и наружу ключи не отдаёт. Пока пароль не введён, не работает Face ID, не подключаются сохранённые сети Wi-Fi, а у входящих сообщений нет превью: показывать нечего, контакты и текст ещё зашифрованы.
Ввод пароля открывает связку ключей, и этот сейф остаётся нараспашку, пока аппарат работает. Состояние называется After First Unlock (AFU), и в нём живёт почти всё, что интересно при обыске: кэш геолокаций, недавно удалённые фотографии, история сообщений. Пока телефон включён и хотя бы раз разблокирован, криминалистический извлекатель получает на порядок больше, чем от только что купленного в коробке.
Перезагрузка возвращает всё в BFU. Поэтому изъятые телефоны годами держат живыми — вдали от сети, в экранированных комнатах, но включёнными. Автоматическая перезагрузка ломает именно эту процедуру: аппарат уходит в BFU без спроса и без человека.
Фишку заметили в ноябре 2024-го. Криминалисты жаловались, что изъятые айфоны «сами по себе» перезагружаются, и винили беспроводные сети. Джиска Классен, руководитель исследовательской группы в Хасо-Платтнер-институте в Потсдаме, нашла имя механизма — «inactivity_reboot» — в keybagd, демоне, который как раз отвечает за связку ключей, и засекла: строка впервые встречается в iOS 18.1.
Дальше шёл разбор по слоям. SEP хранит время последней разблокировки. Если прошло больше трёх суток, он сообщает об этом ядерному модулю AppleSEPKeyStore, тот просит пользовательское пространство начать перезагрузку, а SpringBoard аккуратно закрывает процессы. Если модуль видит, что телефон всё ещё работает после дедлайна, ядро уходит в панику — так задумано.
Прошивка самого SEP зашифрована, но ключи к версии iOS 18.1 утекли в сеть почти одновременно с релизом, и Классен разобрала её: в приложении sks нашлась таблица времён из четырёх значений, среди которых 3 суток, 2 суток, 1 сутки и 2,5 часа. Точку отсчёта держит кремний, до которого не добираются ни интернет-время, ни сигнал оператора. Подсунуть телефону чужую дату и сдвинуть дедлайн не выйдет.
Что до обхода, о котором писали 1 октября. Компания Magnet Forensics, владелец инструмента GrayKey, выпустила аппарат GrayKey Preserve и добавила в существующее железо режим Evidence Preservation Mode. Работает это, судя по служебному видео, так: получив доступ, устройство отключает сотовую связь, Bluetooth и Wi-Fi, а состояние AFU сохраняет у себя. Сотрудник компании в кадре объясняет без стеснения:
«Это состояние AFU фиксируется. Даже если устройство по любой причине перезагрузится — обслуживание памяти, потеря питания, что угодно, — состояние AFU не теряется. Вот в этом настоящая магия GrayKey Preserve и Evidence Preservation Mode».
Технического механизма в видео нет. Классен, которую 404 Media позвали на разбор, предполагает два варианта: манипуляция часами либо отключение задач, которые помечают данные истёкшими. Дополнительно утверждается, что режим не даёт пропасть кэшу геолокаций, недавно удалённым фото и сообщениям iMessage — они хранятся бессрочно.
Между источниками тут начинается заметное расхождение. 9to5Mac и AppleInsider называют это «обходом» перезагрузки, Engadget пишет о новых способах доступа к данным на запертом айфоне, а формулировка самого видео ближе к третьему смыслу: не взлом, а реквизиция — состояние копируют, пока телефон его не спрятал. Если это так, то «магия» не в математике, а в логистике: успеть до того, как аппарат спрячет ключи.
Остаётся и честная неопределённость. Видео датировано началом 2025 года, и никто не объясняет, работает ли метод против свежих версий iOS. Apple и Magnet Forensics на запросы не ответили.
Нынешний таймер — не первый в этой гонке. В iOS 8 (2014) появилась функция Erase Data: после десяти неверных попыток ввода кода ключи уничтожаются. Именно она стала формальным поводом для дела ФБР против Apple: в 2015-м в Сан-Бернардино изъяли служебный iPhone 5C с четырёхзначным кодом, а в феврале 2016-го Минюст потребовал от Apple написать и подписать ПО, которое обойдёт автостирание, примет перебор по порту, Bluetooth и Wi-Fi и не будет искусственно замедлять попытки. Apple отказалась, суд в Бруклине отказался тянуть сюда All Writs Act («абсурдные результаты», по формулировке судьи Оренштейна), а ФБР в итоге заплатила за взломщика больше 1,3 миллиона долларов.
Второй заход — USB Restricted Mode в iOS 11.4.1 (2018). Лайтнинг-порт перестаёт передавать данные, если час прошёл без разблокировки: аппарат превращается в тупую зарядку. Через несколько дней ElcomSoft показала, что дедлайн сбрасывается, если подключить к телефону лайтнинг-аксессуар — даже тот, который с этим телефоном никогда не встречался; хватало адаптера за 39 долларов. Причина в модели доверия: аксессуары опознаются по сертификату MFi, обмен ключами с ними не предусмотрен. Таймер, привязанный к событию, которое противник умеет изобразить, границей не становится.
Третий заход — те самые 72 часа, доставшиеся iOS 18.1. На них реагировали не только криминалисты, но и воры: по логике Классен, за три дня украденный телефон не успевает получить свежий эксплойт, а старые инструменты с барахолок против обновлённой прошивки бесполезны. Асимметрия и есть суть конструкции.
До сих пор речь шла о целевых обысках, где телефон перевозят в лабораторию, а эксплойт ждут неделями. Но у таймера есть второй фронт, и он куда шире.
Пограничная служба США в 2025 финансовом году обработала 419 миллионов путешественников и досмотрела устройства 55 318 из них — меньше сотой доли процента. Из этих досмотров 50 922 (92%) были «базовыми»: офицер листает содержимое руками, без внешнего оборудования. «Продвинутый» досмотр с подключением техники требует уже обоснованного подозрения и визы старшего начальника. Беда в том, что в первых двух строках этой статистики и живёт вся масса — отчётность CBP за три года растёт: 10 937 досмотров в первом квартале 2024-го против 19 732 в третьем квартале 2026-го.
Здесь и сходятся обе цифры. Таймер отсчитывает время с последней разблокировки, а не с момента изъятия, и на границе аппарат не держат сутками в ожидании ордера — его смотрят сразу. Вернуть своё при этом мало кто может: гражданину США въезд не запретят, зато телефон задержат до выяснения; для иностранца отказ в досмотре вообще становится частью решения о допуске в страну.
Масштаб рынка объясняет, почему этот таймер вообще существует. По данным 2020 года, которые приводит New York Times, инструменты для вскрытия запертых телефонов закупили более 2000 американских правоохранительных агентств — в основном у Cellebrite и Grayshift. Цены из протокола закупки полиции Фэрфилда (2023): 550 долларов за сам аппарат GrayKey, около 11 000 за лицензию, 300 — за обучение каждого сотрудника. Рекламный материал обещает режим Turbo Brute Force, ускоряющий перебор кода по iOS на 33–43%.
Отсюда и ответ на исходный вопрос: почему обход вскрывается утечкой видео, а не закрытым патчем. Ещё в 2024-м, когда таймер только заметили, производители криминалистического софта наперебой обещали, что успеют с извлечением за сутки — и Классен в ответ заметила, что это выдаёт их с головой: держат они, судя по срокам, только эксплойты для состояния AFU. У кого есть готовый взлом, тому 72 часа мешают не смертельно; у кого его нет, тому и трёх суток мало.
Пока цена вскрытия — 11 тысяч на агентство и хотя бы сутки на логистику, таймер защищает от медленного пути: перевозки, очереди, ордера. Быстрый путь — офицер, который смотрит телефон на месте, — таймером не закрывается в принципе: он считает время с последней разблокировки, а до первой разблокировки в чужих руках не дотянется.
Телефон теперь считает сам и никого не спрашивает. Считать при этом он умеет только одно: сколько времени его не открывали. Поэтому Apple, судя по всему, светит очередной таймер — а рынок, который приноравливается к каждому из них за несколько месяцев, ответит и на него.