iPhone重启后第一次解锁之前，是最难被破解的状态。执法取证行业一直想把这个状态"锁住"，让手机停在更容易提取数据的那一边。现在，有厂商声称自己做到了。 据404 Media看到的一段执法培训视频，Magnet Forensics推出了一款叫GrayKey Preserve的设备，同时为已有的GrayKey硬件提供了Evidence Preservation Mode（证据保全模式）。GrayKey本身就是警方用来访问锁屏智能手机的工具。 苹果先出的招：72小时不解锁就重启 iOS 18.1里，苹果加了一项新的隐私功能，可以理解为"闲置重启"。一台iPhone如果连续72小时没有被解锁，就会自动重启，回到BFU状态，也就是"首次解锁前"。 这个状态会限制对加密密钥的访问。结果是，想用暴力破解或其他手段进入iPhone，难度会大得多。苹果的意图很直接：让被扣押的设备随着时间推移变得越来越难啃。 而取证工具要做的，恰恰是反着来——把设备尽量留在AFU状态，也就是"首次解锁后"。这个状态下，数据的可访问性明显更高。 GrayKey Preserve做了什么 在那段标注为2025年初的视频里，Magnet表示GrayKey Preserve能让设备保持在更易访问的AFU状态，即便iPhone发生了重启。 Evidence Preservation Mode的作用则更细：据报道，它可以阻止缓存的位置信息、最近删除的照片和iMessage过期，把这些数据无限期保留下来。 流程上，在完成初次访问之后，GrayKey Preserve会关闭蜂窝网络、蓝牙和Wi-Fi连接，把手机和外界通信隔离开。Evidence Preservation Mode随后让执法人员在等待授权、准备尝试提取的这段时间里，实际上把数据"冻住"。 怎么做到的，视频没说 那段视频没有解释这项功能的工作原理。iPhone安全研究员Jiska Classen认为，可能是时钟操纵——通过干扰设备对时间的判断，让72小时的倒计时失效。另一种可能是，禁用iPhone上那些负责让数据过期的任务。 两种猜测都指向同一个方向：苹果的重启机制依赖时间触发，而时间这件事，在取证工具面前未必可靠。 对执法一方来说，这意味着扣押设备后的时间窗口被拉长了，可以从容等待授权再动手。对苹果来说，这是一场围绕"设备状态能维持多久"的持续拉锯——隐私功能设了一道时间闸门，取证工具试图把闸门卡住。 特别