Magnet Forensics ha presentado GrayKey Preserve y un modo de preservación de evidencias que evita que un iPhone incautado pase al estado BFU tras reiniciarse. La herramienta mantiene el dispositivo en estado AFU para conservar los datos accesibles y desactiva las radios Wi-Fi, Bluetooth y celular. Para el sector forense esto supone adaptar las herramientas de extracción al modelo de seguridad de Apple y ampliar la ventana de acceso a datos cifrados.
Cómo funciona la preservación de estado AFU en dispositivos incautados 🔒
El estado BFU se activa cuando el iPhone se reinicia y las claves de cifrado quedan inaccesibles hasta el primer desbloqueo. GrayKey Preserve intercepta ese proceso y conserva el estado AFU, donde las claves ya derivadas siguen disponibles en memoria. Al desactivar las radios inalámbricas se impide que el dispositivo reciba comandos remotos de borrado o que sincronice cambios con iCloud. La extracción posterior puede realizarse sobre un equipo que mantiene sus datos legibles sin necesidad de credenciales adicionales, algo que antes solo era posible mientras el terminal permanecía encendido y sin reinicios.
Apple diseña cerraduras y Magnet Forensics vende la llave que no gira 🔑
Es reconfortante ver cómo la industria del cifrado y la forense mantienen ese pacto tácito de nunca ponerse de acuerdo del todo. Apple sube el muro un poco más alto, Magnet Forensics trae una escalera un poco más larga y todos publican notas de prensa celebrando su parte. Mientras tanto, el investigador de a pie sigue esperando que el dispositivo no se reinicie por un golpe de suerte, ahora con la tranquilidad de que alguien ha convertido esa esperanza en una función de pago.