Cellebrite pide a la policía mantener “en secreto” su tecnología de hackeo de teléfonos
(techcrunch.com)- Cellebrite ha proporcionado tecnología de hackeo de teléfonos que usan agencias de investigación de todo el mundo para desbloquear celulares y obtener datos, y pidió a sus clientes manejar con discreción tanto la tecnología como el hecho de que la usan
- En un video filtrado de capacitación para fuerzas del orden, un empleado dijo que la empresa quería evitar situaciones en las que sus técnicas de acceso quedaran expuestas mediante procedimientos de divulgación judicial o testimonios
- Expertos legales consideran que este secretismo debilita la transparencia del proceso penal, al volver menos claros la autorización de cateos, la admisión de pruebas y la posibilidad de que los acusados las refuten
- Cellebrite respondió que sus herramientas están diseñadas para el uso legal, la cadena de custodia de la evidencia y el respeto al proceso judicial, pero no respondió si modificó el contenido de la capacitación
- Al igual que el precedente de los acuerdos de confidencialidad de Harris Corporation sobre stingray, las tecnologías de investigación poderosas ponen en choque directo la protección de secretos comerciales con la necesidad de verificación en tribunales
La solicitud de confidencialidad en el video de capacitación de Cellebrite
- La tecnología de Cellebrite ha sido utilizada por policías y agencias gubernamentales para desbloquear celulares y obtener los datos que contienen
- La empresa pidió a sus clientes gubernamentales mantener en secreto su tecnología y el hecho de que la usan
- En un video filtrado de capacitación para clientes de fuerzas del orden, se enfatizan la confidencialidad y la seguridad operativa antes de usar Cellebrite Premium
- Se presenta a Cellebrite Advanced Services como una unidad con 10 laboratorios en 9 países de todo el mundo
- Se explica que las funciones Premium son secretos comerciales de Cellebrite y que deben protegerse para que las fuerzas del orden puedan seguir aprovechándolas
- Se pide a los clientes tratar esas técnicas como “law enforcement sensitive” o clasificarlas con un nivel de protección más alto según los criterios de cada país o agencia
Los puntos en los que busca evitar divulgaciones judiciales y testimonios
- El punto central del video de capacitación es pedir que las técnicas técnicas no queden expuestas en tribunales
- Explica, en esencia, que “al final se extrajeron los datos, y esos datos son los que resuelven el delito”
- Dice que “cómo se entró” debe mantenerse lo más hush hush posible
- Afirma que no quieren que la tecnología se filtre al discutir métodos de acceso a celulares durante procedimientos de divulgación judicial o testimonios
- También indica que la documentación debe limitarse al mínimo
- En los informes judiciales, recomienda incluir solo la información mínima necesaria para que una persona común entienda los conceptos básicos
- Señala que se puede mencionar el uso de Premium y la versión, pero no detallar la manipulación del celular ni los detalles mostrados en la interfaz gráfica de usuario de Premium
- Advierte que los documentos de procedimientos operativos estándar también pueden estar sujetos a auditorías externas o solicitudes de acceso a la información
- Auditorías externas ISO 17025
- Solicitudes bajo la Freedom of Information Act según las leyes de cada agencia o país
Los riesgos procesales según expertos legales
- Expertos legales consideran que tecnologías tan poderosas como Cellebrite y la forma en que las usan las fuerzas del orden deberían poder divulgarse y verificarse
- Riana Pfefferkorn, del Stanford University Internet Observatory, señaló que los resultados de estos productos se usan en juicios penales para probar culpabilidad o inocencia
- La defensa debe poder entender y examinar cómo funciona un dispositivo de Cellebrite mediante abogados o expertos
- Debe poder determinar si el dispositivo funcionó correctamente y si hubo fallas que pudieran afectar los resultados
- Una persona que testifica bajo juramento no debería ocultar información importante que podría favorecer al acusado con el fin de proteger los intereses comerciales de la empresa
- El abogado penalista Hanni Fakhoury considera que debe divulgarse cómo se obtuvo la evidencia para que la defensa pueda determinar si hubo problemas legales y si puede impugnar esa evidencia
- El secretismo puede debilitar la transparencia del proceso por el cual un juez autoriza un cateo o permite el uso de ciertos datos y pruebas en tribunales
Las razones de Cellebrite y su respuesta oficial
- En el video de capacitación, el empleado explica que si las funciones se filtran, podría perjudicar a todas las fuerzas del orden del mundo
- Afirma que, si los delincuentes se enteran de cómo se accede a los dispositivos o de que es posible descifrar ciertas apps de mensajería cifrada, podrían migrar a métodos más difíciles o imposibles de abordar
- Señala que los fabricantes de celulares siguen reforzando la seguridad de sus productos, por lo que la tarea ya es difícil
- Indica que un exploit fallido, al conectarse a una red, puede enviar al fabricante una señal de que el dispositivo está siendo atacado
- Advierte que, si se reúne suficiente información, el fabricante podría descubrir el método de acceso de Cellebrite
- Victor Cooper, vocero de Cellebrite, respondió que la empresa está comprometida con apoyar una aplicación ética de la ley
- Señaló que sus herramientas están diseñadas para el uso legal, la cadena de custodia de la evidencia y el respeto al proceso judicial
- Dijo que no recomiendan a sus clientes violar ninguna ley, requisito legal ni estándar forense
- Afirmó que protegen los secretos comerciales y la información propietaria y confidencial, y que esperan que sus clientes también los respeten
- Dijo que siguen desarrollando materiales de capacitación y materiales públicos para identificar expresiones que podrían interpretarse de forma inapropiada
- No respondió a la pregunta sobre si se modificó el contenido de la capacitación
Precedentes de confidencialidad en otras tecnologías de vigilancia
- Saira Hussain y Cooper Quintin, de Electronic Frontier Foundation, consideran que Cellebrite contribuye a crear un mundo en el que se pueden explotar dispositivos vulnerables
- Estados autoritarios
- Grupos criminales
- Mercenarios cibernéticos
- Les preocupa que estos actores puedan cometer delitos, silenciar disidencias y vulnerar la privacidad de las personas
- Cellebrite no es la primera empresa que pide a sus clientes mantener en secreto su tecnología
- Harris Corporation ha exigido acuerdos de confidencialidad a agencias de fuerzas del orden que quieren usar herramientas de vigilancia de celulares conocidas como stingray
- En algunos casos, esas exigencias incluían la idea de que las autoridades abandonaran un caso antes que revelar la herramienta utilizada
- Estas solicitudes se remontan a mediados de la década de 2010 y siguen vigentes en la actualidad
- Las tecnologías de hackeo y vigilancia para agencias de investigación pueden ocultarse por motivos de secretos comerciales y seguridad operativa, pero en tribunales debe ser posible cuestionar cómo se obtuvo la evidencia y qué tan confiable es
1 comentarios
Opiniones de Hacker News
Si yo fuera abogado defensor, investigaría a fondo si la fiscalía pretende que simplemente se le crea a una “empresa de hacking” como Cellebrite cuando dice que hizo bien el análisis forense.
Yo intentaría socavar la reputación de Cellebrite para que toda la evidencia generada por esa herramienta resultara difícil de confiar.
Cosas cercanas a la pseudociencia, como el peritaje de incendios, el análisis de marcas de mordidas, buena parte de los análisis basados en ADN, la balística de armas de fuego, los polígrafos, las pruebas de sobriedad en campo o incluso certificaciones de “expertos en identificación de drogas”, se han usado en condenas reales.
Si pones en el estrado a alguien con un PhD después del nombre, una bata blanca o una certificación que suene convincente, suele funcionarle bien a la fiscalía.
La fiscalía presenta un informe generado con software propietario, y un empleado de la empresa testifica que los resultados son correctos y que la probabilidad de un falso positivo es de 1 en 10.000 millones.
Cuando la defensa pide acceso al código fuente para verificar esa afirmación, la empresa dice que es secreto comercial, y el juez no permite el acceso, pero tampoco excluye la evidencia.
En un juicio en el que participé como jurado, la defensa destruyó por completo al perito de una empresa de cámaras de semáforo en rojo.
La policía había usado la hora celular/GPS de las cámaras para unir 10 a 12 videos de varias cámaras con horarios desincronizados, y cuando se desacreditó la línea temporal, todo el caso se vino abajo y se desestimó el cargo de homicidio culposo contra el cliente.
En la mayoría de los casos, el contenido de los mensajes de texto y las marcas de tiempo son lo central, y eso puede verificarse externamente con el propio teléfono, con otro software o con los registros de ambos lados de la conversación.
Otros datos, como la ubicación, son menos seguros y necesitan verificación, y ahí surgen disputas sobre qué significa esa evidencia.
El software de Cellebrite está disponible para ambas partes si pagan, y sus videos de capacitación incluso recomiendan a los organismos de investigación verificar los resultados.
La extracción y el parsing de teléfonos es un juego del gato y el ratón que cambia constantemente, así que revisar de nuevo y verificar es clave; el problema es que, por lo general, las agencias de investigación solo hacen extracciones de teléfonos desde el escritorio sin capacidad técnica y no validan los datos, no que la herramienta en sí sea el problema.
En un juicio en el que participé como jurado se usaron ampliamente Cellebrite, GrayKey y triangulación de torres celulares.
Me sorprendió ver lo rutinario que es esto para las fuerzas del orden y cuánta información sacan de un iPhone; básicamente era todo.
El caso ya terminó y se cerró por esa evidencia.
Quizá esta sea la mejor forma de que este tipo de información salga a la luz.
Hasta donde se sabía por última vez, incluso el FBI tenía dificultades para acceder a un iPhone 4S bloqueado, y desde entonces las protecciones se han reforzado mucho.
Después de eso, lo que se sabía era que GrayKey podía saltarse los límites de intentos de contraseña, pero que si usabas una clave alfanumérica podías hacer que el ataque por fuerza bruta tomara más que la vida útil del Sol.
En iPhones antiguos, quizá modelos de hace unas dos generaciones según el estándar actual, podían obtenerlo todo.
No recuerdo el modelo exacto, pero escuché que en los iPhone más recientes no pueden obtener una imagen completa del disco, sino “algunos” datos, quizá metadatos.
GrayKey sigue actualizando su software y buscando nuevos métodos de extracción, y dijeron que no funciona si el teléfono se apagó alguna vez.
Cuando funciona, extrae todo del disco y luego Cellebrite analiza esos datos y se los muestra al usuario.
El dispositivo GrayKey se conecta al teléfono, y el teléfono no debe haberse apagado nunca.
La configuración de USB no confiable también ayuda a impedir que funcione.
Antes, todas las tiendas de Verizon tenían equipos así para pasar contactos y demás a un teléfono nuevo.
Una vez se lo usé a un policía y me dijo: “¿Usan Cellebrite? ¿No es impresionante?”, pero en ese momento no tenía idea de que fuera algo importante.
En realidad me parecía engorroso y lento de usar.
Pasar fotos desde un teléfono plegable viejo tomaba horas, y cuando empezaron a aparecer los smartphones nos negábamos a transferir fotos.
Si el teléfono estaba bloqueado, no podíamos hacer nada, y en Android había que activar la depuración USB, que ahora está escondida en la configuración.
Los productos de gama baja hacen respaldos de datos para tiendas, y los de gama alta se infiltran en iPhones recientes.
Es interesante que a quienes comercializaron la vulnerabilidad Tegra X1 de la Nintendo Switch los castigaron casi como si los hubieran crucificado, mientras que quienes comercializan este tipo de vulnerabilidades reciben luz verde en cada paso del proceso.
En este mundo, parece que el copyright y los secretos corporativos tienen prioridad sobre la privacidad individual y la confidencialidad.
Sigue siendo un artículo interesante: https://signal.org/blog/cellebrite-vulnerabilities/
En especial me dio risa la frase juguetona:
“Por una coincidencia difícil de creer, durante una caminata reciente vi caer un pequeño paquete del camión que iba delante. Al acercarme, una tipografía corporativa borrosa se fue volviendo nítida poco a poco: Cellebrite. Dentro había software reciente de Cellebrite, un dongle de hardware para evitar la piratería ilegal (¡lo que quizá dice algo sobre sus clientes!) y una cantidad extrañamente grande de adaptadores de cables”.
Fue una lectura realmente increíble.
No sé cómo lo aceptaría un tribunal si se rompió la cadena de custodia.
A los usuarios de iPhone les conviene poner un bloqueo de emparejamiento en el dispositivo para que no lo clonen más adelante durante una investigación.
https://arkadiyt.com/2019/10/07/pair-locking-your-iphone-wit...
Según entiendo, Cellebrite, salvo en sus versiones ultrasecretas, es en la práctica más bien un dispositivo avanzado de respaldo de iTunes, y no parece funcionar con menos requisitos que los necesarios para hacer manualmente un respaldo del teléfono en casa.
Al tribunal se llevan hechos, no una historia plausible sobre cómo se obtuvieron esos hechos.
Si la defensa cree que los hechos son incorrectos, puede impugnar el método de recolección, y entonces un perito explicará en el tribunal el procedimiento de recolección.
De todos modos, hoy en día no se puede extraer directamente de teléfonos recientes con Cellebrite.
Se envía el teléfono al laboratorio, se recibe una imagen y se la carga en Physical Analyzer; la explotación real de vulnerabilidades del teléfono la maneja Cellebrite, evitando que haya que preocuparse por filtraciones.
Para ver hasta dónde llega la policía al intentar hacer parecer que obtuvo pruebas mediante un procedimiento plausible, basta mirar la construcción paralela.
[0]https://en.wikipedia.org/wiki/Parallel_construction
El acusado tiene derecho a demostrar que hubo fallas en el proceso de extracción; de lo contrario, eso puede llevar a una condena errónea.
En el procedimiento penal estadounidense, un procedimiento de caja negra secreto y mágico no puede generar pruebas admisibles.
Se necesita cadena de custodia.
Si no, un policía corrupto podría tenderle una trampa a alguien.
La gran mayoría de estos exámenes se realiza bajo la autoridad de una orden de allanamiento válida emitida por un tribunal.
La postura es que la policía tiene derecho a acceder a los datos del dispositivo, y que el método no es demasiado relevante.
Una de las razones por las que empresas como Cellebrite o Greyshift tratan las vulnerabilidades con tanto secreto es que, en cuanto Apple o Google descubren cómo eluden sus mecanismos de seguridad, las bloquean con una actualización.
Es un juego constante del gato y el ratón.
Cosas como los metadatos del sistema de archivos podrían verse afectadas.
Básicamente están pidiendo seguridad por oscuridad y creen que eso va a durar.
El artículo menciona un video de capacitación con demostración del producto, pero, por lo que vi, no estaba incluido.
No entiendo por qué no lo hacen público.
No quiero una transcripción de alguien diciéndole a la policía que proteja la propiedad de la empresa; quiero ver a qué puede acceder esta empresa cuando accede ilegalmente a mi propiedad.
Si accedes a un sistema informático sin autorización, es decir, si lo hackeas, estarías cometiendo un delito federal, pero una empresa vende legalmente esa misma capacidad a gran escala a agencias de seguridad y les dice que la mantengan en secreto.
La última vez que revisé, la ley era la ley y se aplicaba a todos, no solo a la gente común.
También es absurdo lo de “asegúrense de mencionar premium”.
Es como decir: no revelen el funcionamiento interno del hackeo ilegal, pero promocionen el producto premium para que la gente del gobierno y de las fuerzas de seguridad lo vea y se suscriba.
Me pregunto si, al subir al estrado y mencionar premium y el código de referido WHOWATCHESTHEWATCHERS, te dan 60% de descuento el primer mes.
No entiendo cómo se permite que existan empresas así.
La estructura es que no pasa nada si violan la ley porque sus clientes son quienes normalmente tendrían que arrestarlas.
Es gracioso cómo, después del tiroteo de San Bernardino, Apple y el FBI empaquetaron el tema del descifrado del iPhone en los medios como Apple contra el FBI.
En realidad, el FBI podía acceder a todos los datos que quería mediante iCloud, gracias a una puerta trasera de cifrado que Apple había dejado explícitamente.
https://www.reuters.com/article/us-apple-fbi-icloud-exclusiv...
Ahora Apple naturalmente querría hacer ingeniería inversa de este tipo de equipos para encontrar vulnerabilidades y parchearlas, y es probable que muchos policías locales a los que Cellebrite les vende equipos cumplan con estas condiciones, porque la propaganda Apple/FBI los hizo creer que Apple se opone a cooperar con las fuerzas de seguridad.
Aun así, a largo plazo creo que ganará la seguridad de Apple.
Con que haya una sola filtración, Apple podrá parchear la vulnerabilidad, y Apple tiene mucho dinero y también cooperación con el FBI, DHS y otros.
Solo con ver el material de capacitación citado en el artículo, parece que Cellebrite sabe que al final está peleando una batalla perdida.
Con el tiempo, la información no se vuelve más secreta, sino menos secreta.
Las autoridades querían acceso al dispositivo en sí y exigían una puerta trasera de dispositivo “solo para los buenos” para obtener cosas que quizá no estuvieran en el respaldo de iCloud.
Apple se negó, y de ahí surgieron la polémica y las noticias.
Apple declaró públicamente que las fuerzas de seguridad podían acceder a los respaldos de iCloud, y el artículo que compartiste también lo dice.
No había una “puerta trasera preservada explícitamente” para el FBI; simplemente, en ese momento los respaldos de iCloud no tenían cifrado de extremo a extremo.
Eso también era, hasta cierto punto, bastante sabido en esa época, y por eso había tantas recomendaciones de hacer respaldos con iTunes.
Porque iTunes conservaba la opción de cifrar los respaldos.
Les envías el teléfono y ellos lo vulneran por ti.