Huyền thoại ‘ví lạnh chế độ máy bay’ đối mặt với thực tế pháp y
TREE NEWS đưa tin: Một hướng dẫn kỹ thuật được lan truyền rộng rãi từ một nhà duy trì ví phần cứng lập luận rằng việc biến iPhone thành thiết bị lưu trữ lạnh air-gapped là khả thi — nhưng chỉ dưới các yêu cầu tối thiểu nghiêm ngặt về phần cứng và phần mềm: iPhone 17 trở lên chạy iOS 27+, với việc di chuyển sang thiết bị mới hơn mỗi một đến hai năm. Tuyên bố cốt lõi thẳng thắn: cắt kết nối mạng không loại bỏ rủi ro ai đó lấy điện thoại về mặt vật lý.
Khám xét biên giới và ngành pháp y
Hải quan và Bảo vệ Biên giới Hoa Kỳ ghi nhận 55.318 lượt khám xét thiết bị điện tử trong năm tài chính 2025 — 50.922 cơ bản và 4.396 nâng cao. Đây là số lượt khám xét, không phải số lần mở khóa thành công, nhưng chúng cho thấy việc kiểm tra thiết bị là thường quy. Trong khi đó, bản tóm tắt mùa xuân 2026 của Cellebrite nêu tên iPhone 17 và iOS 26.3.1 trong ma trận hỗ trợ mở rộng, tuyên bố truy cập AFU (Sau lần mở khóa đầu tiên) cho iPhone 11 đến 16 trên iOS 26+. Vào tháng 11 năm 2024, các báo cáo về tài liệu nội bộ mô tả việc trích xuất một phần từ các iPhone mới hơn trên iOS 18 và 18.0.1.
BFU so với AFU: Trạng thái quan trọng
Biến số then chốt là liệu thiết bị đã được mở khóa kể từ khi khởi động hay chưa. Trước lần mở khóa đầu tiên (BFU) giữ một số khóa thuộc lớp bảo vệ nhất định không khả dụng; Sau lần mở khóa đầu tiên (AFU) để lại các khóa Class C — mặc định cho ứng dụng bên thứ ba — trong bộ nhớ ngay cả sau khi khóa lại. Apple đã thu hẹp cửa sổ này bằng khởi động lại khi không hoạt động, nhưng các nhà cung cấp pháp y đang tích cực đối phó bằng các tính năng như Safeguard Mode của Cellebrite.
Vì sao các thế hệ phần cứng không thể thay thế cho nhau
iPhone 17 và iPhone Air đã giới thiệu Memory Integrity Enforcement (MIE) với thế hệ A19: bộ cấp phát có kiểu, Enhanced Memory Tagging Extension (EMTE), và tính bảo mật thẻ gây gián đoạn việc dọn heap và các primitive khai thác. Các thiết bị cũ hơn không thể có được EMTE qua cập nhật phần mềm, và chip A5–A11 vẫn phơi nhiễm vĩnh viễn với lỗ hổng BootROM checkm8.
Quản lý khóa ví là ranh giới tiếp theo
Khôi phục mật mã thiết bị không tự động tiết lộ cụm từ khôi phục của ví. Các ví bọc bí mật bằng khóa do Secure Enclave tạo ra, không thể xuất, có thể chỉ cho ra bản mã từ việc trích xuất hệ thống tệp. Nhưng API được ghi tài liệu của Secure Enclave sử dụng khóa P-256, không phải đường cong secp256k1 mà Bitcoin và Ethereum dùng — vì vậy ‘dùng Secure Enclave’ không phải là bằng chứng rằng cụm từ BIP39 nằm hoàn toàn bên trong nó. Các lớp truy cập Keychain cũng quan trọng: AfterFirstUnlock và WhenUnlocked có hồ sơ phơi nhiễm rất khác nhau.
Nhìn về phía trước
Bài học thực tiễn cho người nắm giữ: hãy coi ví lạnh dựa trên điện thoại là một biện pháp phòng ngừa trong nhiều biện pháp. Thế hệ phần cứng, mức bản vá, trạng thái BFU/AFU, entropy mật mã, và thiết kế mật mã của chính ví quyết định biện pháp phòng ngừa đó thực sự mang lại điều gì. Đối với lượng nắm giữ lớn, một thiết bị ký chuyên dụng với kiến trúc bảo mật minh bạch và xác minh giao dịch trên thiết bị vẫn là lựa chọn dễ biện hộ hơn.
