Lorenzo Franceschi-Bicchierai

📱 EXPLOITATION DES IPHONE SAISIS : Les outils des enquêteurs progressent et vite. Ces derniers mois, Cellebrite et GrayKey, deux entreprises spécialisées dans les logiciels d'extractions utilisés par les forces de l'ordre, ont dévoilé de nouvelles capacités. En mars 2026, @Cellebrite annonçait de nouvelles méthodes d'accès aux iPhone 11 à 16 sous iOS 26 ou ultérieur, même verrouillés, lorsqu'ils sont en état AFU. L'entreprise annonçait également la prise en charge de l'iPhone 17, sans garantir les mêmes capacités d'extraction. Début octobre, une enquête de @404mediaco révélait que GrayKey serait capable de préserver les possibilités d'extraction associées à l'état AFU, même après un redémarrage de l'iPhone. 🔐 Petit rappel : AFU et BFU, quelle différence ? Lorsqu'un iPhone vient de démarrer, il est en état BFU (Before First Unlock). Tant que son propriétaire n'a pas saisi son code, une grande partie des clés de chiffrement reste indisponible. Ses données sont donc particulièrement difficiles à extraire. Dès le premier déverrouillage, il passe en AFU (After First Unlock). Et même lorsque l'écran est ensuite verrouillé, certaines clés cryptographiques restent accessibles au système pour permettre aux applications et aux services de fonctionner. C'est ce qui intéresse les enquêteurs. En exploitant certaines vulnérabilités, leurs outils peuvent potentiellement accéder à des données qui resteraient inaccessibles en BFU : messages, historiques, fichiers, bases de données d'applications, etc. Il faut également compter avec les données temporaires : caches, informations de localisation, traces d'activité ou éléments présents en mémoire vive (RAM). Ces informations peuvent présenter un intérêt forensique, mais certaines disparaissent ou deviennent inaccessibles après un redémarrage. ⏱️ @Apple avait justement prévu une parade. Depuis iOS 18.1, un iPhone peut redémarrer automatiquement après environ 72 heures sans déverrouillage. L'objectif est notamment de le ramener en BFU, rendant certaines données beaucoup plus difficiles à extraire. Imaginez un iPhone saisi lors d'une perquisition. Il est verrouillé, les enquêteurs ne connaissent pas son code, mais il est encore en AFU. S'il redémarre, certaines possibilités d'extraction disparaissent. C'est précisément cette limitation que GrayKey et Cellebrite affirment désormais pouvoir contourner. 🔓 GrayKey : préserver l'AFU malgré un redémarrage D'après une vidéo de formation interne révélée par 404 Media, Magnet Forensics a développé deux fonctionnalités : GrayKey Preserve et Evidence Preservation Mode. Le fabricant affirme pouvoir préserver les possibilités d'extraction associées à l'AFU, même après un redémarrage ou une perte d'alimentation. Il revendique également la conservation de certaines données temporaires, notamment des localisations en cache, des photographies récemment supprimées ou des éléments liés à iMessage. 🔓 Cellebrite : même objectif Au printemps 2026, Cellebrite a présenté Safeguard Mode, une fonctionnalité destinée à préserver les possibilités d'exploitation d'un iPhone malgré son redémarrage automatique. Elle revendique parallèlement de nouvelles capacités d'accès aux appareils verrouillés sous iOS 26. ⚖️ Quelles conséquences pour les téléphones saisis ? Elles sont importantes et ces avancées changent la donne. Jusqu'ici, les enquêteurs risquaient de perdre leur fenêtre d'exploitation lorsqu'un iPhone redémarrait et repassait en BFU. Désormais, ils pourraient saisir un téléphone en AFU, préserver les conditions favorables à son extraction et l'exploiter plusieurs jours ou semaines plus tard. Cela faciliterait notamment le transfert des appareils vers des laboratoires spécialisés et la conservation de certains éléments numériques susceptibles de disparaître. Attention néanmoins : les mécanismes techniques utilisés restent secrets et leur efficacité sur l'ensemble des iPhone récents n'est pas publiquement démontrée. Ces annonces ne signifient donc pas que tous les iPhone sont déverrouillables sans code. Mais elles montrent que les fabricants d'outils forensiques ne cherchent plus seulement à accéder aux données : ils cherchent désormais à préserver durablement les conditions qui permettent de les extraire.

Cops are able to break into locked iPhones, including those that have been rebooted by Apple's own reboot security feature Watch more, subscribe here: youtube.com/watch?v=fpzCH0mX…