Apple разрешила подписать джейлбрейк cryptsn0w на своих серверах Предыстория: В iOS есть механизм Cryptex — это подписанные Apple контейнеры с кодом, которые можно примонтировать прямо в систему iPhone. Apple использует их для Security Research Device программы и обновлений. Ключевое — криптекс монтируется в /System/Developer с полными привилегиями, потому что Apple его подписал = система ему доверяет. Как это работает: 1. Сбор данных с устройства. Через USB-туннель читается ECID — уникальный аппаратный ID чипа, и ApNonce — одноразовый криптографический nonce. Это как паспорт твоего конкретного iPhone. 2. Сборка криптекса. Создаётся DMG-образ с payload внутри: — ElleKit — фреймворк для хуков и инъекции в процессы — SBInject — загрузчик твиков, который внедряется в SpringBoard и другие процессы — Sileo — менеджер пакетов (аналог Cydia) — bootstrap — базовая UNIX-структура (/usr/bin, /usr/lib, etc.) — Собственный trust cache — список хешей всех бинарников в пакете 3. Подпись через Apple. Вот где баг. Собранный криптекс отправляется на TSS (Tatsu Signing Server) — это сервер Apple, который подписывает системные компоненты. Сервер должен был проверить что trust cache содержит только Apple-бинарники. Но он не проверял — подписывал любое содержимое. Ты получаешь обратно SHSH-блоб с подписью Apple для ТВОЕГО образа на ТВОЁМ устройстве. 4. Установка. Через cryptexctl по USB-туннелю подписанный образ пушится на iPhone. Система видит валидную подпись Apple → принимает. Криптекс монтируется в /System/Developer. Все бинарники из trust cache получают полное доверие от AMFI (Apple Mobile File Integrity) — как если бы их написал сам Apple. 5. Что происходит после монтирования: — Trust cache загружается в ядро → твои бинарники теперь "доверенные" — SBInject хукает dyld и внедряется в запускаемые процессы — ElleKit перехватывает функции SpringBoard, Preferences и т.д. — Sileo работает как полноценный пакетный менеджер — Ты имеешь root-доступ через подписанные Apple бинарники Почему это root: Криптекс монтируется системой с привилегиями ядра. Бинарники внутри имеют валидную подпись → AMFI пропускает. Trust cache в ядре → sandbox не блокирует. По сути Apple сам открыл тебе дверь, потому что доверяет своей же подписи. Главное — джейл работал на любом устройстве и любой версии iOS. Бага была не в прошивке, а на серверах Apple. Не важно какой у тебя iPhone или iPad, какая версия iOS — сервер подписывал криптекс для любого ECID. A15, A16, A17 Pro, M1, M2 — без разницы. Это делало cryptsn0w универсальным джейлбрейком. Почему умер: 9 октября 2026 Apple запатчил TSS-сервер. Теперь сервер валидирует содержимое trust cache перед подписью. Патч ретроактивный — новый блоб получить нельзя, сервер отказывает. Старые блобы бесполезны — nonce меняется при перезагрузке. Итого: это не классический эксплойт ядра. Это атака на инфраструктуру подписи Apple — сервер слепо доверял клиенту, и через это доверие получался полный контроль над любым устройством на любой iOS. #ios #jailbreak #apple #hacking #exploit @neglota222 - @gerdacod