「GrayKey Preserve」到底做了什么
事情的起点是一段取证行业的教学视频。据海外科技媒体转述，这段标注为 2025 年初的视频里，取证厂商 Magnet Forensics 展示了一个名为 GrayKey Preserve 的工具，并同时为现有 GrayKey 硬件提供了「证据保全模式」（Evidence Preservation Mode）。
它宣称能做到的事情很直接：让 iPhone 在被重启之后，依然停留在「用户已经解锁过一次」的状态。按照厂商的说法，手机在初次被访问之后，工具会主动切断蜂窝网络、蓝牙和 Wi-Fi，把设备从外界的通信里隔离出来，让它保持安静；随后再冻结一部分系统任务，避免数据因为超时而被清理。
至于具体怎么实现的，视频里没有解释。iPhone 安全研究者 Jiska Classen 给了一个猜测：可能是「时钟操纵」——让系统认为时间没有流逝，从而不触发超时；也可能是针对性关掉了那些负责让数据过期的系统任务。
需要说明的是，这类工具面向的是已经取得设备控制权的取证场景，普通用户日常碰到的概率极低。把它当作一次安全机制的公开测试来看，会更接近它的实际意义。
BFU 与 AFU：一道状态之差决定取证难度
要理解这件事为什么重要，得先说清楚 iPhone 的两种状态。
手机重启之后、用户还没解锁之前，处于 BFU（Before First Unlock，首次解锁前）。此时设备的加密密钥没有被解密并载入内存，存储里的数据基本是一整块密文，即使拿到机器，逐位穷举也找不到着力点。
一旦用户解锁过一次，设备就进入 AFU（After First Unlock，首次解锁后）。解密密钥已经驻留内存，系统运行所需的数据处于可读状态。对取证工具来说，AFU 才是真正「有得聊」的状态——提取效率会高出几个量级。
苹果在 iOS 18.1 中加入的静置重启（业界常说的 inactivity reboot），正是为了压缩 AFU 的窗口：只要手机连续 72 小时没有被解锁，系统就自动重启，把设备强行拉回 BFU。这个设计对普通用户几乎无感，却实实在在提高了对已扣押设备的取证门槛。
这套机制其实早在 2024 年就已经露出端倪。当时的系统安全文档里提到，长时间未解锁的设备会自动重启，目的就是避免设备长期停留在可读状态；iOS 18.1 把它明确下来，并把时间窗口定在 72 小时。对用户来说只是偶尔发现手机重启过，但对「拿到手机之后需要尽快提取内容」的一方来说，压力是实实在在的。
断网、断电、冻结时钟：绕过思路不止一种
GrayKey Preserve 的核心目标，就是让设备不要掉回 BFU。而要做到这一点，思路并不唯一。
最直接的一条是切断通信。手机在 AFU 状态下依然会收发消息、同步数据、处理推送，这些活动都可能触发系统的安全策略。主动断开蜂窝、蓝牙与 Wi-Fi，相当于把设备从网络里「摘」下来，减少状态被重置的机会。
第二条是拖延时间。既然触发条件是「72 小时未解锁」，那么想办法让系统感知不到时间的流逝，就能把窗口无限拉长。时钟操纵属于这一类，但实现难度和风险都不低——系统里有不少和时间相关的校验。
第三条是关掉过期任务的执行。iOS 会定期清理一些有时效性的数据，把这些任务挂起，能让更多内容在内存里多待一会儿。三条路的目标一致，手法上则可以组合使用。
需要强调的是，这一切都建立在「设备已经被解锁过一次」的前提上。如果手机处于彻底的 BFU 状态，这些手段都无从谈起——这也是苹果当初加入静置重启的原因。
AFU 状态下，哪些数据最危险
一旦设备停在 AFU，能被触及的内容比很多人想象的多。消息记录、照片、定位历史、钱包凭证、云同步的应用数据，只要在解锁后处于可读状态，都有可能被提取。
这也是苹果近些年不断加码端侧保护的原因：把敏感数据的密钥锁在安全隔区里，让它们即使在 AFU 状态下也要额外通过生物识别或密码才能解密。不过这种保护并非全覆盖，第三方应用的数据是否加密、加密到什么程度，取决于开发者自己的实现。
从用户角度看，这件事的意义在于：设备被扣押之后，真正决定数据安全的往往不是「密码有多复杂」，而是「手机处于哪个状态」。这也是为什么各国执法取证流程里，都会尽量在设备还没自动重启之前完成首次访问。
普通用户需要担心吗
坦率地说，对绝大多数人来说不需要。静置重启保护的是那类「手机已经脱离你掌控」的极端场景——设备丢失、被扣押、被动过手脚。日常使用中，它带来的唯一变化是偶尔发现手机自己重启过，仅此而已。
真正值得做的还是那几件老生常谈的事：把锁屏密码设长一点，打开「查找」，保持系统在最新版本上。安全从来不是某一个功能决定的，而是一连串措施叠起来的结果。
从更长的视角看，这是一场标准的攻防拉锯：厂商堵住一个口子，取证行业就想办法绕开，然后厂商再补一层。这一次是 GrayKey Preserve 抢在前面，下一次更新里苹果大概率会有回应。对普通用户来说，保持更新就是最省心的应对方式。
还有一个容易被忽略的角度：这类机制的价值不止于对抗取证。手机丢失之后，如果捡到的人长时间无法解锁，设备自动回到 BFU 状态，本地数据就更难被翻出来。从这个意义上说，它保护的是所有可能失去设备控制权的人。
