Khi iPhone tự khởi động lại và ‘niêm phong’ dữ liệu: bài học từ két bằng chứng Detroit

Một sáng tháng 11/2024, nhân viên phòng lưu trữ bằng chứng của sở cảnh sát Detroit mở két và phát hiện tình huống bất ngờ: nhiều chiếc iPhone vốn được tịch thu để làm chứng cứ đã khởi động lại trong đêm mà không có ai chạm vào chúng. Sự việc tưởng như không thể giải thích lập tức trở thành mối lo cho đội pháp y kỹ thuật số — bởi một lần khởi động không mong muốn có thể khiến toàn bộ dữ liệu trên thiết bị bị khóa vĩnh viễn với công cụ hiện có.

Sự cố trong két: vì sao điều này khiến phòng pháp y phải ‘đứng hình’

Vấn đề không chỉ là các thiết bị bật lên. Khi iPhone khởi động lại mà chưa được mở khóa kể từ lúc bật nguồn, trạng thái của máy chuyển sang Before First Unlock. Ở trạng thái này, các khóa mã hóa chính chưa được nạp vào bộ nhớ; kết quả là dữ liệu người dùng nằm sau lớp bảo vệ mà nhiều thiết bị và phần mềm pháp y hiện nay không thể vượt qua nếu không có mật khẩu của người dùng.

Các cơ quan điều tra thường phải sử dụng những công cụ thương mại đắt tiền như Cellebrite hay GrayKey để truy xuất dữ liệu từ iPhone. Tuy nhiên, những công cụ này chỉ thực sự phát huy tác dụng khi máy đã từng được mở khóa ít nhất một lần kể từ khi bật — tức là không ở trạng thái Before First Unlock. Một khởi động lại ngoài dự kiến có thể lấy đi toàn bộ lợi thế đó và khiến việc khai thác bằng chứng trở nên rất khó khăn, hoặc thậm chí không thể thực hiện được.

Không chỉ mạng: chuyện xảy ra ngay cả trong hộp Faraday và chế độ máy bay

Điều làm các điều tra viên bối rối hơn cả là hiện tượng xảy ra kể cả khi những mẫu iPhone nằm trong điều kiện không thể nhận tín hiệu từ bên ngoài: có chiếc ở chế độ máy bay, có chiếc được cất trong hộp Faraday chuyên dụng — loại hộp chặn toàn bộ tín hiệu điện từ. Như vậy, nguồn kích hoạt không thể là mạng di động, Wi‑Fi hay Bluetooth từ bên ngoài.

Vì tính chất nghiêm trọng, cảnh báo nhanh chóng được lan truyền trong cộng đồng pháp y kỹ thuật số; nhiều phòng lab trên khắp nước Mỹ được khuyên kiểm tra kho thiết bị đang lưu giữ để tránh mất mát bằng chứng do hiện tượng bất ngờ tương tự.

Manh mối: tính năng ẩn trong iOS 18.1

Sau khi điều tra, một manh mối rõ ràng xuất hiện: mã nguồn được một nhà nghiên cứu bảo mật độc lập công bố trên GitHub cho thấy Apple đã tích hợp một cơ chế tự động trong iOS 18.1 có tên được biết đến là Inactivity Reboot. Theo đó, nếu một iPhone không được mở khóa trong khoảng thời gian 72 giờ liên tiếp, thiết bị sẽ tự khởi động lại và quay về trạng thái ‘niêm phong’ — tức dữ liệu được bảo vệ tương tự như trước lần mở khóa đầu tiên.

Đặc điểm quan trọng của cơ chế này là nó không đòi hỏi bất kỳ tín hiệu bên ngoài nào để kích hoạt; đồng hồ đếm ngược nằm bên trong thiết bị. Vì vậy, việc đặt máy vào hộp Faraday hay chuyển sang chế độ máy bay không ngăn được hành vi khởi động lại tự động nếu đủ 72 giờ trôi qua.

Apple không có tuyên bố công khai về tính năng này. Một số chuyên gia bảo mật bên ngoài bày tỏ rằng nếu tính năng tồn tại như trong mã nguồn, đây là một biện pháp bảo vệ thiết thực cho quyền riêng tư người dùng — đặc biệt trong bối cảnh thiết bị bị mất hoặc bị tịch thu mà không có mật khẩu.

Thao tác thủ công đạt mục tiêu tương tự

Người dùng có thể đạt hiệu quả ‘niêm phong’ tương tự ngay lập tức mà không phải chờ 72 giờ. Cách làm được mô tả là giữ đồng thời phím nguồn và một nút âm lượng để tắt máy, sau đó bật lại nhưng không nhập mật khẩu — khi đó iPhone sẽ ở trạng thái chưa được mở khóa kể từ lúc bật và dữ liệu nằm sau lớp mã hóa. Đây là giải pháp nhanh dành cho người muốn bảo vệ dữ liệu khi lo sợ thiết bị bị truy cập trái phép.

Lưu ý là tính năng tự động Inactivity Reboot chỉ có mặt trên iOS 18.1 trở lên; người dùng đang chạy bản iOS cũ hơn sẽ không có cơ chế tự động này và cần dùng biện pháp thủ công nếu muốn đạt trạng thái tương tự.

Hệ lụy với công tác điều tra và quản lý kho thiết bị

Sự kiện tại Detroit chỉ rõ ra mối xung đột giữa quyền riêng tư cá nhân và nhu cầu thu thập bằng chứng trong pháp lý. Khi một thiết bị đã bị ‘niêm phong’ thì mọi công cụ khai thác vật lý hoặc phần mềm chuyên dụng đều cần mật khẩu do chủ máy cung cấp để truy cập nội dung. Điều này làm giảm khả năng thu thập thông tin tình báo từ thiết bị bị tịch thu, ảnh hưởng trực tiếp đến tiến độ điều tra.

Với thực tế đó, các phòng pháp y cần rà soát quy trình lưu trữ: xác minh khoảng thời gian kể từ lần mở khóa cuối, theo dõi trạng thái thiết bị, và cập nhật chính sách để tránh để iPhone trong tình trạng có thể tự niêm phong mà không hay biết. Những biện pháp này đã được khuyến nghị rộng rãi trong cộng đồng pháp y sau khi sự cố được phát hiện.

Những điều còn chưa rõ

• Apple chưa đưa thông báo chính thức về Inactivity Reboot hay cách quản lý tính năng này, nên khả năng bật/tắt hay cấu hình ngưỡng thời gian không được xác nhận công khai.
• Trong một số tài liệu nội bộ bị rò rỉ, có giả thuyết rằng các thiết bị trong két có thể tương tác theo cách nào đó gây khởi động chéo, nhưng bằng chứng do mã nguồn iOS tiết lộ cho thấy lý do đơn giản hơn: cơ chế đếm giờ nội bộ của máy.
• Tác động dài hạn đến quy trình pháp y và chuỗi bảo toàn bằng chứng sẽ phụ thuộc vào cách các cơ quan điều tra thích ứng và (nếu có) thông tin xác nhận từ Apple.

Các câu hỏi bạn có thể thắc mắc

Inactivity Reboot có phải là tính năng bảo mật dành cho tất cả người dùng không?

Theo mã nguồn được đưa lên GitHub, cơ chế chỉ xuất hiện trên iOS 18.1 trở lên. Apple không công bố chi tiết nào khác, nên chưa thể kết luận về phạm vi áp dụng hay lựa chọn cấu hình.

Tôi có thể ngăn máy tự khởi động lại bằng cách để máy luôn ở chế độ máy bay hay bỏ vào hộp Faraday?

Không. Vì cơ chế được kích hoạt dựa vào thời gian không mở khóa nội bộ của thiết bị, việc chặn sóng từ bên ngoài không ảnh hưởng đến đồng hồ đếm ngược bên trong iPhone.

Nếu iPhone đã ở trạng thái Before First Unlock, có cách nào để các phòng pháp y giải mã dữ liệu không cần mật khẩu?

Với thông tin hiện có, mọi công cụ thương mại phổ biến đều cần thiết bị từng được mở khóa ít nhất một lần kể từ khi bật để truy xuất dữ liệu. Khi thiết bị quay về trạng thái chưa mở khóa kể từ lần bật, thì mật khẩu người dùng là yếu tố bắt buộc.

Kết luận: quyền riêng tư và những hệ quả thực tế

Sự kiện hàng loạt iPhone trong két bằng chứng tự khởi động lại đã phơi bày một căng thẳng cơ bản giữa việc bảo vệ dữ liệu cá nhân và nhu cầu pháp lý trong điều tra. Mã nguồn chỉ ra giải pháp kỹ thuật bên trong iOS 18.1 có thể là nguyên nhân trực tiếp: một tính năng thiết kế để bảo vệ dữ liệu khi thiết bị bị bỏ quên hoặc bị tịch thu mà không có mật khẩu. Với tình huống này, các cơ quan pháp y buộc phải điều chỉnh quy trình thu giữ, lưu trữ và xử lý thiết bị — trong khi người dùng có thêm lựa chọn chủ động bảo vệ dữ liệu của mình bằng thao tác thủ công.

Cho dù bạn là nhân viên pháp y, luật sư, hay người dùng quan tâm quyền riêng tư, câu chuyện cho thấy một điều rõ ràng: việc hiểu cách hệ điều hành xử lý khóa và khởi động lại có ý nghĩa thực tiễn lớn. Trong môi trường nơi cả bảo mật và bằng chứng số đều quan trọng, thay đổi kỹ thuật nhỏ trên hệ điều hành đủ sức tạo ra hậu quả rất thực tế.

Để tiếp tục đọc các phân tích sâu hơn về lịch sử dòng sản phẩm Redmi và tầm ảnh hưởng của nó tại Việt Nam, bạn có thể chuyển sang bài viết phân tích chuyên sâu về hành trình series này. Bài viết cung cấp cái nhìn các mốc phát triển và lý do Redmi Note trở thành trụ cột thị trường di động nội địa, rất phù hợp nếu bạn quan tâm đến xu hướng thiết bị và chiến lược thương hiệu: hành trình Redmi Note tại Việt Nam.

Nếu bạn muốn hiểu về mô hình ‘bốn mẫu’ iPhone của Apple và tại sao mẫu thứ tư ngày càng gặp thách thức, bài phân tích chiến lược dưới đây đào sâu lịch sử chính sách sản phẩm và những hạn chế đã xuất hiện qua thời gian: phân tích chiến lược bốn mẫu iPhone.

Còn nếu bạn quan tâm tới một vụ pháp lý lớn liên quan đến Apple và nghĩa vụ bồi thường vì quảng bá tính năng trí tuệ nhân tạo, bài tường thuật về dàn xếp 250 triệu USD nêu chi tiết ai được hưởng quyền lợi và điều kiện nộp yêu cầu bồi thường sẽ hữu ích: chi tiết dàn xếp bồi thường liên quan Siri.