قد تكون أدوات التحليل الجنائي الرقمي قادرة على الاحتفاظ بوصول أكبر إلى بيانات الآيفون المقفل حتى بعد إعادة تشغيل الجهاز تلقائيًا بسبب عدم الاستخدام، وفق تحديثات أعلنتها شركة Magnet Forensics في أدوات Graykey الموجهة لجهات إنفاذ القانون. التطور مهم لأن إعادة التشغيل كانت تعيد iPhone إلى حالة أمنية أكثر تشددًا، بينما تقول الشركة إن أدوات الحفظ الجديدة صُممت لحماية البيانات المتاحة من مؤقتات إعادة التشغيل ومن البيانات التي قد تنتهي صلاحيتها مع الوقت.
الإجابة السريعة
تقول Magnet Forensics إن Graykey Preserve وEvidence Preservation Mode يستطيعان حماية عمليات الاستخراج من مؤقتات إعادة التشغيل التلقائي والحفاظ على بيانات قد تختفي بمرور الوقت. هذا قد يمنح المحققين فرصًا إضافية للوصول إلى بيانات الآيفون المقفل في سيناريوهات كانت تصبح أصعب بعد إعادة تشغيل الهاتف. لكن Apple تؤكد أنها لا تملك رمز مرور المستخدم ولا تستطيع استخراج بيانات الأجهزة الحديثة المقفلة التي تعمل بنظام iOS 8 أو أحدث.
لماذا كانت إعادة التشغيل التلقائي مشكلة في التحقيقات الرقمية؟
أضافت Apple في iOS 18 آلية لإعادة تشغيل iPhone بعد فترة طويلة من بقائه مقفلًا دون فتحه. وتوضح Magnet Forensics في موادها الفنية أن المدة تبلغ 72 ساعة، وبعدها يعود الجهاز إلى حالة Before First Unlock أو BFU.
هذه الحالة أكثر تقييدًا من حالة After First Unlock أو AFU التي يكون فيها الهاتف قد فُتح مرة واحدة منذ آخر تشغيل. في BFU تبقى فئات أكبر من بيانات الآيفون المقفل محمية بمفاتيح تشفير لم تصبح متاحة بعد، ولذلك تصبح عملية التحليل الجنائي أصعب بكثير.
ما الجديد في أدوات Graykey؟
الصفحة الرسمية لمنتج Magnet Graykey تذكر الآن بوضوح أن أدوات الحفظ تستطيع حماية عمليات الاستخراج من مؤقتات إعادة التشغيل التلقائي، كما تستطيع الحفاظ على البيانات المتاحة التي قد تنتهي صلاحيتها بمرور الوقت.
وتسمي الشركة منتجين في هذا السياق: Graykey Preserve وGraykey Evidence Preservation Mode. الهدف المعلن هو حفظ أكبر قدر ممكن من بيانات الآيفون المقفل منذ اللحظة الأولى التي يصبح فيها الجهاز في حوزة المحقق، قبل أن تتغير حالته الأمنية أو تختفي بعض البيانات المؤقتة.
ما الفرق بين BFU وAFU؟
لفهم أهمية التطور، يجب معرفة الفرق بين الحالتين. عندما يُعاد تشغيل iPhone ولا يتم إدخال رمز المرور بعد، يكون في حالة BFU. في هذه اللحظة تكون طبقات التشفير أكثر صرامة، ولا تكون مفاتيح حماية بعض البيانات قد أُتيحت للنظام بعد.
بعد إدخال رمز المرور مرة واحدة ينتقل الجهاز إلى AFU. يظل الهاتف مقفلًا، لكن النظام أصبح قد حمّل مفاتيح إضافية يحتاجها للوصول الطبيعي إلى تطبيقات وبيانات معينة. لهذا السبب تعتبر حالة AFU أكثر قيمة في التحليل الجنائي من BFU.
هل يعني ذلك أن الشرطة تستطيع فتح أي iPhone؟
لا. المعلومات الرسمية المتاحة لا تقول إن Graykey يستطيع فتح أي جهاز أو تجاوز أي رمز مرور في كل الحالات. Magnet Forensics نفسها تسوق Graykey كمنصة وصول وحفظ واستخراج للأجهزة المدعومة، وتوضح أن الدعم يتغير باستمرار مع إصدارات iOS والأجهزة المختلفة.
كما أن نجاح استخراج بيانات الآيفون المقفل يعتمد على طراز الهاتف وإصدار iOS وحالة الجهاز وطريقة الحماية الموجودة عليه. لذلك لا يصح تحويل الإعلان إلى ادعاء بأن كل أجهزة iPhone أصبحت قابلة للفتح تلقائيًا.
Apple تقول إنها لا تملك رمز المرور أو مفتاح فك التشفير
من جانبها، تؤكد Apple في إرشاداتها الرسمية لجهات إنفاذ القانون أنها لا تستطيع توفير رمز المرور الخاص بجهاز iOS مقفل، وأنها لا تملك مفتاح التشفير اللازم لاستخراج بيانات المستخدم من الأجهزة التي تعمل بنظام iOS 8 أو أحدث.
وتوضح الشركة أيضًا أنها لا تنشئ بابًا خلفيًا أو مفتاحًا رئيسيًا لمنتجاتها. لذلك فإن أدوات التحليل الجنائي من شركات خارجية لا تعتمد على أن Apple تسلمها مفتاحًا عامًا، بل على تقنيات وأبحاث واستغلالات متخصصة في الأجهزة والأنظمة المدعومة.
لماذا تهتم أدوات التحليل بالحفاظ على الحالة الحالية للهاتف؟
في التحقيقات الرقمية، الوقت قد يغير كمية بيانات الآيفون المقفل المتاحة حتى لو لم يلمس أحد الهاتف. بعض البيانات قد تُحذف تلقائيًا بعد مدة، وبعض المفاتيح قد تختفي من الذاكرة، وإعادة التشغيل قد تعيد الجهاز إلى حالة أكثر تشددًا.
لهذا تصف Magnet Forensics الحفظ بأنه سباق مع الوقت. وتقول إن Graykey Preserve صُمم لاستخدامه في الميدان قبل وصول الهاتف إلى مختبر التحليل، بحيث تبدأ حماية بيانات الآيفون المقفل المتاحة في وقت مبكر بدل انتظار عملية الفحص الكاملة.
ما نوع البيانات التي قد تكون حساسة للوقت؟
تشير مواد Magnet الرسمية إلى أن أدوات الحفظ تهدف إلى حماية البيانات التي يمكن أن تنتهي صلاحيتها أو تتغير مع الوقت. ولا تنشر الشركة على صفحات المنتج العامة قائمة تفصيلية بكل نوع أو بكل نسخة من iOS، لأن القدرات تختلف حسب النظام والدعم الحالي.
ولهذا فإن الأصح هو وصف الميزة بأنها أداة للحفاظ على الحالة والبيانات المتاحة بدل الجزم بأن نوعًا محددًا من الصور أو الرسائل يمكن دائمًا الاحتفاظ به أو استخراجه في كل جهاز.
هل هذا تجاوز مباشر لميزة إعادة التشغيل بسبب عدم الاستخدام؟
Magnet Forensics تؤكد على صفحتها الرسمية أن Graykey Preserve وEvidence Preservation Mode يحميان عمليات الاستخراج من مؤقتات إعادة التشغيل التلقائي. لكنها لا تنشر للعامة التفاصيل التقنية الدقيقة التي تشرح كيف يتم ذلك على كل إصدار من iOS.
لذلك يمكن القول إن الأدوات صُممت للتعامل مع أثر مؤقت إعادة التشغيل على التحليل الجنائي، لكن لا توجد تفاصيل عامة كافية تسمح بوصف الآلية التقنية الدقيقة أو تعميمها على جميع أجهزة iPhone.
ماذا يعني ذلك للمستخدم العادي؟
التطور لا يغير طريقة استخدام iPhone يوميًا، ولا يعني أن هناك إعدادًا جديدًا يجب تشغيله فورًا. لكنه يوضح أن حماية بيانات الآيفون المقفل ليست مسألة ثنائية بين «مقفل» و«مفتوح»؛ فحالة الجهاز بعد إعادة التشغيل تختلف أمنيًا عن حالته بعد فتحه مرة واحدة.
بالنسبة للمستخدم، يظل أهم خط دفاع هو رمز مرور قوي وتثبيت تحديثات iOS فور صدورها. كلما كان الرمز أطول وأكثر تعقيدًا زادت صعوبة محاولات التخمين، وهو ما تؤكده Apple في دليل أمان المنصة.
الحماية تبدأ من رمز مرور قوي
Apple توضح أن رمز المرور لا يقتصر دوره على فتح الشاشة، بل يساهم في حماية مفاتيح التشفير المستخدمة في Data Protection. وكلما كان الرمز أطول زادت مقاومته لمحاولات التخمين المكثفة.
وقد تناولنا في سوالف سابقًا أهم إعدادات الأمان التي يجب تفعيلها فور شراء هاتف جديد، ومنها استخدام رمز قوي وتحديث النظام وتفعيل ميزات الحماية من السرقة.
أين يقف هذا التطور من خصوصية iPhone؟
وجود أدوات تحليل جنائي متقدمة لا يلغي بنية التشفير التي تحمي بيانات الآيفون المقفل، لكنه يوضح أن هناك سباقًا دائمًا بين الشركات التي تطور الحماية والجهات التي تطور أدوات الوصول الجنائي. كل تحديث أمني قد يغلق مسارًا، بينما تحاول أدوات التحليل العثور على طرق جديدة للعمل ضمن الأجهزة المدعومة.
ومن المهم أيضًا الفصل بين ما تستطيع Apple تقديمه استجابة لطلب قانوني وما تستطيع أداة جنائية فعله على هاتف موجود فعليًا لدى جهة تحقيق. Apple يمكنها تسليم بعض بيانات الحساب أو الخدمات إذا كان الطلب القانوني صالحًا، لكنها تقول إنها لا تستطيع استخراج بيانات الآيفون المقفل من الأجهزة الحديثة بسبب التشفير وعدم امتلاكها مفتاح فك التشفير.
الخلاصة
الخبر الأهم بشأن بيانات الآيفون المقفل ليس أن «iPhone أصبح سهل الفتح»، بل أن أدوات Graykey الجديدة تركز على الحفاظ على الحالة الأكثر فائدة للتحليل ومنع مؤقتات إعادة التشغيل من تقليل ما يمكن استخراجه لاحقًا. هذا يمنح جهات إنفاذ القانون أداة إضافية للتعامل مع بيانات الآيفون المقفل، لكنه لا يعني نجاحًا مضمونًا على كل جهاز أو كل إصدار من iOS.
يمكن مراجعة صفحة Magnet Graykey الرسمية لمعرفة قدرات الحفظ والاستخراج المعلنة، كما توضح صفحة Apple الرسمية لطلبات الجهات الحكومية حدود البيانات التي تستطيع الشركة نفسها توفيرها والضوابط القانونية المرتبطة بذلك.
لا يسمح بنقل هذا المحتوى من سوالف دون الاشارة برابط مباشر
