GrayKey Forensics

Définition

GrayKey est un appareil forensique développé par GrayShift (désormais Magnet Forensics) permettant l'extraction physique de données depuis des iPhones verrouillés par passcode. C'est l'un des outils les plus puissants et les plus controversés de la forensique mobile iOS, exclusivement disponible pour les forces de l'ordre et les agences gouvernementales. GrayKey exploite des vulnérabilités non divulguées (0-day exploits) dans iOS et/ou dans la puce Secure Enclave d'Apple pour contourner le mécanisme de délai et d'effacement intégré (qui efface l'iPhone après 10 tentatives de passcode incorrectes). En pratique, GrayKey effectue une attaque par force brute sur le passcode de l'iPhone en testant des milliers de combinaisons jusqu'à trouver le code correct, permettant ensuite l'extraction complète des données déchiffrées. Les capacités de GrayKey varient selon la version iOS et le modèle d'iPhone. Apple maintient une 'course aux armements' avec GrayShift en corrigeant régulièrement les vulnérabilités exploitées. Une version de GrayKey efficace sur iOS 16 peut ne pas fonctionner sur iOS 17 après les patchs Apple. GrayShift met régulièrement à jour GrayKey pour exploiter de nouvelles vulnérabilités, mais il peut y avoir des périodes où certaines versions iOS ne sont pas exploitables. La controverse autour de GrayKey et des outils similaires (Cellebrite Premium) concerne principalement la sécurité des 0-days exploités : si ces vulnérabilités sont découvertes ou volées, elles pourraient être utilisées par des acteurs malveillants. Apple a une politique de patch rapide des vulnérabilités iOS, et il encourage les chercheurs en sécurité à divulguer les failles via son bug bounty program. L'utilisation de ces outils forensiques est légalement encadrée dans la plupart des pays : ils ne peuvent être utilisés que dans le cadre d'enquêtes judiciaires avec les autorisations légales appropriées. Pour les organizations n'ayant pas accès à GrayKey, les alternatives incluent l'attente d'une extraction via coopération légale avec les forces de l'ordre, ou l'utilisation d'autres méthodes forensiques (extraction logique, sauvegarde iTunes) si l'iPhone est déverrouillé ou synchronisé.