Két lezárt kijelző mögött eltérő védelem lehet
A telefon az asztalon marad egy tárgyalás után. A kijelző lezárt, így elsőre megnyugtató a helyzet: aki felveszi, nem tud egyszerűen belenézni a levelekbe. A készüléken közben céges beszélgetések, dokumentumok, személyes fotók és belépések is lehetnek. Amikor az eszköz illetéktelen kézbe kerül, jóval több számít annál, hogy látható-e rajta a lakat.
A 404 Media 2026. október 1-jén egy kiszivárgott Magnet Forensics-bemutatóról számolt be. A lap szerint a GrayKey Preserve és az Evidence Preservation Mode megőrizheti a korábban hozzáférhető adatállapotot akkor is, ha a telefon később újraindul vagy elveszíti az áramellátását. Ez a bemutatóban szereplő állítás; a technikai megoldás részleteit a beszámoló nem teszi ellenőrizhetővé.
A hír megértéséhez érdemes végigkövetni, mit változtat a telefon első feloldása, és miért fontos egy későbbi újraindítás. Így a forenzikus eszköz képességeit is pontosabban lehet értékelni. A digitális forenzika itt egy készüléken található adatok vizsgálatát jelenti, például bizonyítékok keresését. A hétköznapi felhasználónak ebből a saját adatai védelmét érdemes megértenie.
Az AFU állapot az első feloldás után is megmaradhat
A BFU a Before First Unlock rövidítése: a készüléket újraindították, és azóta még nem oldották fel először. Az AFU jelentése After First Unlock: az első feloldás már megtörtént. Ezek az elnevezések az adatvédelmi állapothoz adnak támpontot. A felhasználó mindkét esetben láthat ugyanolyannak tűnő lezárt képernyőt.
Az Apple Data Protection leírásában több adatvédelmi osztály szerepel. A Protected Until First User Authentication osztálynál a feloldott kulcs a kijelző későbbi lezárásakor nem kerül ki a memóriából. Az újraindítás ezért lényeges változás. Más osztályok másként viselkednek: a kijelző lezárása is korlátozhatja a kulcsok hozzáférhetőségét. Az AFU tehát nem jelent minden fájlhoz azonos hozzáférést.
Az inactivity reboot idővel lezárhatja a hozzáférés egy részét
Az inactivity reboot automatikusan újraindítja a hosszú ideje fel nem oldott készüléket. A Magnet 2024. novemberi technikai leírása az iOS 18.1 esetében 72 órát nevez meg; az iOS 18.0-ban eredetileg hét nap szerepelt. A feltétel a lezárt állapot és a feloldás elmaradása. A töltő vagy a hálózati kapcsolat önmagában nem helyettesíti a feloldást.
Ezek történeti verzióadatok. Egy mai készüléknél a konkrét rendszerverzió és annak tényleges működése számít; a régi leírásból nem vezethető le minden későbbi kiadás időzítője. A felhasználónak ebből az a fontos, hogy a telefon védelme időben is változhat. Egy műszaki vizsgálatnál pedig az átvétel ideje és a kiinduló állapot is része a helyzetnek.
Ezért érdekes a megőrzésre épülő eszköz. Ha egy vizsgálat csak később kezdődhet, a várakozás közben megváltozó állapot szűkítheti a lehetőségeket. A történet feszültségét az adja, hogy ugyanaz az időzítés a telefon tulajdonosának védelmet, a vizsgálatot végző szakembernek nehézséget jelenthet. Ezt a két nézőpontot érdemes egyszerre látni.
A GrayKey Preserve a későbbi vizsgálathoz akar időt nyerni
A Magnet 2025. április 21-i bejegyzése már bemutatta a laborban és a laboron kívül használható megőrzési képességeket. A gyártó az újraindítási időzítő mellett az idővel eltűnő adatok megőrzését is célként nevezi meg. A jelenlegi Graykey termékoldal külön szerepelteti a Graykey Preserve és az Evidence Preservation Mode nevét. A termék előzménye és a friss, kiszivárgott bemutatóról szóló tudósítás tehát két külön időpont.
Az adatmegőrzés, az adatok kinyerése és a tartalmuk elemzése külön feladat. Az egyik állapot rögzítésére irányul, a másik a megszerezhető adatokra, a harmadik azok értelmezésére. A képességek összemosása könnyen olyan címet eredményezne, amely egyetlen mozdulattól teljes hozzáférést ígér. A nyilvános állításokat ennél szűkebben érdemes olvasni.
Ezt a munkaszervezési szempontot Kristin Seering nyilvános, a Magnet Forensics által közzétett interjúja is szemlélteti: a beérkező eszközök teljes vizsgálatára nem mindig jut azonnal idő. A videónk rövid, magyarra fordított részlete ehhez a gondolathoz kapcsolódik. Ez az interjú külön felvétel, és önmagában nem ellenőrzi a kiszivárgott bemutató technikai állítását.
A megőrzési állítást a bizonyíték határain belül értelmezzük
A 404 Media által ismertetett bemutató kezdeti hozzáférésről és az eszköz rádióinak kikapcsolásáról is beszél. A beszámoló szerint ezzel az adatokat elkülönítik a további kommunikációtól. A megőrzés újraindítás és áramvesztés utáni hatását a bemutató állítja; a működés módja nincs nyilvánosan részletezve. A hírben szereplő elméleteket ezért nem kezeljük igazolt magyarázatként.
Egy ilyen technológiáról szóló hírnél három kérdés segít helyén kezelni az ígéretet: milyen eszközön működik, milyen kiinduló állapot kell hozzá, és milyen adatokra vonatkozik? Egyetlen sikeres bemutató ezek mindegyikére csak a bemutatott esetben adhat választ. A támogatási kör és a tartós működés megítéléséhez további ellenőrizhető információ szükséges.
A gyártó termékoldala rendvédelmi felhasználást jelöl. Az itt ismertetett képesség egy megszerzett telefon forenzikus kezeléséhez kapcsolódik. A hírből nem következik, hogy egy idegen távolról, egy link elküldésével ugyanezt megteheti a zsebünkben lévő készülékkel. A fizikai eszközhozzáférést és a hálózaton érkező támadásokat a saját kockázataink értékelésénél is külön kell vizsgálni.
A céges telefon kockázatát a rajta lévő adatokkal együtt mérjük fel
Egy vállalkozásnál a hasznos következő lépés az eszköz és a hozzáférések áttekintése. Ki használja a telefont? Milyen céges levelezés, dokumentum vagy ügyféladat kerül rá? Ki tudja megmondani, milyen szabály vonatkozik a feloldókódra és az elvesztés bejelentésére? Ezek a kérdések akkor is segítenek, ha a vállalkozás soha nem találkozik forenzikus adatkinyerő eszközzel.
Az Apple lehetővé teszi egyedi számsor vagy betűket is tartalmazó készülékkód használatát. A kód legyen egyedi, és csak az arra jogosult használó ismerje. A céges szabály legyen könnyen alkalmazható: a munkatárs értse, miért fontos a kód, és hol kap segítséget. Egy papíron szigorú követelmény gyakorlati értékét az adja, hogy a mindennapi használat során is betartják.
Az elvesztésre vonatkozó tervet egyszer érdemes végigpróbálni. Egy ártalmatlan gyakorlatban a kolléga jelezzen az ismert IT-felelősnek, a felelős pedig mondja el, milyen információkra van szüksége. A készülék azonosítása, a hozzá kapcsolódó fiókok és a várható céges hatás legyen gyorsan tisztázható. A gyakorlat után kiderül, hol hiányzik egy elérhetőség vagy egy vállalt felelősség.
A tanulságot érdemes egyszerűen megfogalmazni a csapatnak: a kijelző lezárása fontos, de a telefon adatvédelmi állapotáról nem mond el mindent. A konkrét készülék, a rendszerverzió, a hozzáférések és a tárolt adatok együtt adnak értelmezhető képet. Így a friss technológiai hír egy használható céges döntéshez vezethet.
