Cellebrite ने पुलिस से फोन हैकिंग तकनीक को ‘गोपनीय’ रखने को कहा
(techcrunch.com)- Cellebrite दुनिया भर की जांच एजेंसियों को मोबाइल फोन unlock करने और डेटा हासिल करने के लिए इस्तेमाल होने वाली फोन हैकिंग तकनीक उपलब्ध कराती रही है, और उसने ग्राहकों से तकनीक और उसके इस्तेमाल की बात को चुपचाप संभालने का अनुरोध किया
- लीक हुए law enforcement training वीडियो में एक कर्मचारी ने कहा कि वे अदालत में disclosure प्रक्रिया या गवाही के जरिए access techniques के उजागर होने की स्थिति से बचना चाहते हैं
- कानूनी विशेषज्ञों का मानना है कि ऐसी गोपनीयता search approval, evidence admissibility और आरोपी के rebuttal की संभावना को धुंधला कर criminal procedure की transparency को कमजोर करती है
- Cellebrite ने जवाब दिया कि उसके tools वैध इस्तेमाल, chain of custody और judicial process के सम्मान के लिए design किए गए हैं, लेकिन training content बदला गया या नहीं, इस पर जवाब नहीं दिया
- Harris Corporation के stingray non-disclosure agreements की मिसाल की तरह, शक्तिशाली जांच तकनीक में trade secret protection और अदालत में verification की जरूरत आमने-सामने टकराती है
Cellebrite training वीडियो में गोपनीयता रखने का अनुरोध
- Cellebrite की तकनीक का इस्तेमाल पुलिस और सरकारी एजेंसियां मोबाइल फोन unlock करने और उनके अंदर का डेटा हासिल करने के लिए करती रही हैं
- कंपनी ने सरकारी एजेंसी ग्राहकों से अपनी तकनीक और उसके इस्तेमाल के तथ्य को गोपनीय रखने का अनुरोध किया
- law enforcement ग्राहकों के लिए लीक हुए training वीडियो में Cellebrite Premium इस्तेमाल करने से पहले confidentiality और operational security पर जोर दिया गया
- Cellebrite Advanced Services को दुनिया भर के 9 देशों में 10 labs वाला बताया गया
- समझाया गया कि Premium capabilities Cellebrite की trade secrets हैं, और law enforcement agencies इन्हें लगातार इस्तेमाल कर सकें, इसके लिए इन्हें सुरक्षित रखना जरूरी है
- ग्राहकों से कहा गया कि वे इन techniques को “law enforcement sensitive” मानें या अपने देश/agency के standards के अनुसार इससे भी ऊंचे protection grade में classify करें
अदालत में disclosure और गवाही से बचना चाहा गया
- training वीडियो का मुख्य संदेश यह है कि अदालत में technical techniques उजागर न हों
- इसका आशय यह बताया गया कि “आखिरकार डेटा निकाला गया, और अपराध सुलझाने वाला वही डेटा है”
- “अंदर कैसे पहुंचे” इसे जहां तक संभव हो hush hush रखने की बात कही गई
- कहा गया कि वे नहीं चाहते कि अदालत की disclosure प्रक्रिया या गवाही के दौरान मोबाइल फोन access करने के तरीकों पर चर्चा करते हुए तकनीक लीक हो जाए
- documentation को भी न्यूनतम रखने की सलाह दी गई
- court reports में केवल इतनी minimum information डालने को कहा गया जिससे आम लोग basic concept समझ सकें
- Premium के इस्तेमाल और version का उल्लेख किया जा सकता है, लेकिन मोबाइल फोन manipulation की details या Premium graphical user interface पर दिखी detailed information न लिखने को कहा गया
- यह भी चेतावनी दी गई कि standard operating procedure documents बाहरी audits या information disclosure requests के दायरे में आ सकते हैं
- ISO 17025 external audits
- प्रत्येक agency/देश के कानूनों के तहत Freedom of Information Act requests
कानूनी विशेषज्ञों की नजर में procedural risks
- कानूनी विशेषज्ञों का मानना है कि Cellebrite जैसी शक्तिशाली technologies और law enforcement agencies द्वारा उनके इस्तेमाल के तरीके public और verifiable होने चाहिए
- Stanford University Internet Observatory की Riana Pfefferkorn ने बताया कि ऐसे products के outputs criminal trials में दोष सिद्ध करने के लिए इस्तेमाल होते हैं
- आरोपी पक्ष को वकीलों या experts के जरिए समझने और जांचने में सक्षम होना चाहिए कि Cellebrite device कैसे काम करता है
- यह तय किया जा सके कि device ने सही काम किया या नहीं, और क्या ऐसे defects थे जो results को प्रभावित कर सकते थे
- शपथ लेकर गवाही देने वाला व्यक्ति कंपनी के business interests बचाने के लिए ऐसी महत्वपूर्ण जानकारी नहीं छिपा सकता जो आरोपी के पक्ष में हो सकती है
- criminal defense attorney Hanni Fakhoury का मानना है कि evidence किस तरह हासिल किया गया, यह disclosed होना चाहिए ताकि defense यह तय कर सके कि कोई legal issue था या नहीं और क्या उस evidence को challenge किया जा सकता है
- गोपनीयता judge द्वारा search approve करने या अदालत में किसी खास data और evidence के इस्तेमाल की अनुमति देने की प्रक्रिया की transparency को कमजोर कर सकती है
Cellebrite की वजह और आधिकारिक जवाब
- training वीडियो में कर्मचारी ने समझाया कि अगर capabilities लीक हो गईं, तो यह दुनिया भर की law enforcement agencies के लिए नुकसानदेह हो सकता है
- कहा गया कि अगर अपराधियों को device access के तरीके या specific encrypted messaging apps को decrypt करने की क्षमता के बारे में पता चल जाए, तो वे ऐसे तरीकों पर चले जा सकते हैं जिन्हें handle करना और मुश्किल या असंभव हो
- बताया गया कि मोबाइल फोन manufacturers अपने products की security लगातार बढ़ा रहे हैं, इसलिए मौजूदा चुनौती पहले से ही कठिन है
- कहा गया कि network से जुड़ा failed exploit manufacturer को यह संकेत दे सकता है कि device पर attack हो रहा है
- चेतावनी दी गई कि पर्याप्त information इकट्ठी होने पर manufacturer Cellebrite का access method समझ सकता है
- Cellebrite के प्रवक्ता Victor Cooper ने कहा कि कंपनी ethical law enforcement को support करने के लिए प्रतिबद्ध है
- उन्होंने कहा कि tools वैध इस्तेमाल, chain of custody और judicial process के सम्मान के लिए design किए गए हैं
- कहा कि कंपनी ग्राहकों को किसी भी law, legal requirement या forensic standard का उल्लंघन करने के लिए प्रोत्साहित नहीं करती
- बताया कि वे trade secrets और proprietary/confidential information की रक्षा करते हैं और उम्मीद करते हैं कि ग्राहक भी इसका सम्मान करेंगे
- कहा कि training materials और public materials को लगातार विकसित किया जाता है ताकि ऐसे wording की पहचान की जा सके जिसकी गलत व्याख्या हो सकती है
- training content बदला गया या नहीं, इस सवाल का जवाब नहीं दिया गया
दूसरी surveillance technologies में गोपनीयता की मिसाल
- Electronic Frontier Foundation की Saira Hussain और Cooper Quintin का मानना है कि Cellebrite ऐसे संसार के निर्माण में योगदान देता है जहां vulnerable devices का दुरुपयोग किया जा सकता है
- authoritarian states
- criminal groups
- cyber mercenaries
- उन्हें चिंता है कि ये लोग crimes कर सकते हैं, dissent को चुप करा सकते हैं और लोगों की privacy का उल्लंघन कर सकते हैं
- Cellebrite ग्राहकों से तकनीक को secret रखने का अनुरोध करने वाली पहली कंपनी नहीं है
- Harris Corporation law enforcement agencies से stingray नाम से जाने जाने वाले मोबाइल फोन surveillance tools इस्तेमाल करने के लिए non-disclosure agreements मांगती रही है
- कुछ मामलों में इसमें ऐसा अनुरोध शामिल था कि authorities इस्तेमाल किए गए tool का खुलासा करने के बजाय case छोड़ दें
- ऐसे requests 2010 के दशक के मध्य तक पीछे जाते हैं, और अभी भी प्रभावी हैं
- जांच एजेंसियों के लिए hacking/surveillance technologies को trade secrets और operational security के कारण छिपाया जा सकता है, लेकिन अदालत में evidence हासिल करने के तरीके और उसकी reliability को challenge किया जा सकना चाहिए
1 टिप्पणियां
Hacker News की राय
अगर मैं बचाव पक्ष का वकील होता, तो मैं यह खंगालता कि क्या अभियोजन सिर्फ यह मान लेने को कह रहा है कि Cellebrite जैसी “हैकिंग कंपनी” ने फॉरेंसिक ठीक से किया है
मैं शायद Cellebrite की साख पर सवाल उठाकर उस टूल से बने पूरे सबूत को अविश्वसनीय बनाने की कोशिश करता
आग की जांच, काटने के निशान की जांच, DNA-आधारित जांचों का बड़ा हिस्सा, बंदूक की बैलिस्टिक्स जांच, lie detector,现场 sobriety tests या “drug recognition expert” certification तक—लगभग छद्म-विज्ञान जैसी चीजें असली दोषसिद्धियों में इस्तेमाल होती रही हैं
नाम के आगे PhD लगा हो, सफेद कोट पहना हो, या कोई भरोसेमंद लगने वाला certification हो—ऐसे व्यक्ति को गवाही के कटघरे में खड़ा कर दें तो अभियोजन पक्ष के लिए यह अक्सर काम कर जाता है
अभियोजन proprietary software से बनी रिपोर्ट जमा करता है, और कंपनी का कर्मचारी गवाही देता है कि नतीजा सही है और false positive की संभावना 10 अरब में 1 है
जब बचाव पक्ष उस दावे को जांचने के लिए source code access मांगता है, तो कंपनी इसे trade secret कहती है, और जज access की अनुमति नहीं देता लेकिन सबूत को खारिज भी नहीं करता
जिस मुकदमे में मैं jury में था, उसमें बचाव पक्ष ने red-light camera company के expert witness को पूरी तरह ध्वस्त कर दिया था
पुलिस ने कैमरों के cellular/GPS time का इस्तेमाल कर, अलग-अलग समय दिखाने वाले कई कैमरों की 10–12 videos जोड़ दी थीं; जब timing पर impeachment हुआ, तो पूरा case ढह गया और client पर लगी manslaughter की charge खारिज हो गई
ज्यादातर मामलों में text contents और timestamps मुख्य होते हैं, और इन्हें phone itself, दूसरे software, या बातचीत के दोनों पक्षों के records से बाहरी तौर पर verify किया जा सकता है
location जैसे दूसरे data कम निश्चित होते हैं, इसलिए verification चाहिए होता है, और उस evidence का मतलब क्या है—इस पर विवाद होता है
Cellebrite software दोनों पक्ष भुगतान करके इस्तेमाल कर सकते हैं, और training videos भी investigative agencies को वाकई results verify करने की सलाह देते हैं
phone extraction और parsing लगातार बदलता हुआ cat-and-mouse game है, इसलिए re-checking और verification ही मुख्य हैं; समस्या यह है कि investigative agencies आम तौर पर technical capability के बिना desk पर बैठकर phone extraction कर लेती हैं और data verify नहीं करतीं—tool itself समस्या नहीं है
जिस trial में मैं jury में था, उसमें Cellebrite, GrayKey, और cell-tower triangulation का बहुत व्यापक इस्तेमाल हुआ
law enforcement में यह कितना routine है और iPhone से वे कितना कुछ निकाल लेते हैं—यह देखकर मैं हैरान था; practically सब कुछ था
case अब खत्म हो चुका है, और उसी evidence की वजह से close हुआ
इस तरह की जानकारी बाहर आने का यह शायद सबसे अच्छा तरीका हो सकता है
आखिरी जानकारी के मुताबिक FBI तक को locked iPhone 4S access करने में दिक्कत हुई थी, और उसके बाद protections काफी मजबूत हो गए हैं
उसके बाद की स्थिति बस इतनी थी कि GrayKey password-entry limits bypass कर सकता है, लेकिन alphanumeric password इस्तेमाल करने पर brute-force में सूरज की उम्र से भी ज्यादा समय लग सकता है
पुराने iPhone, शायद आज के हिसाब से दो generation पुराने model में, वे सब कुछ निकाल सकते थे
exact model याद नहीं, लेकिन मैंने सुना था कि latest iPhone में वे full disk image नहीं पा सकते, बल्कि “कुछ” data, शायद metadata जैसी चीज, निकाल सकते हैं
GrayKey लगातार software update करता रहता है और नए extraction methods ढूंढता है, और कहा गया था कि अगर phone कभी power off हुआ हो तो यह काम नहीं करता
जब यह काम करता है, तो disk से सब कुछ extract करता है और फिर Cellebrite उस data को analyze करके user को दिखाता है
GrayKey device phone से connect किया जाता है, और phone कभी बंद नहीं हुआ होना चाहिए
untrusted USB setting भी इसे रोकने में मदद करती है
पहले हर Verizon store में contacts आदि नए phone में transfer करने के लिए ऐसा equipment होता था
एक बार मैंने पुलिस के लिए इसका इस्तेमाल किया, तो उन्होंने कहा, “आप Cellebrite इस्तेमाल करते हैं? कमाल है न?”—लेकिन उस समय मुझे बिल्कुल अंदाजा नहीं था कि यह कोई बड़ी बात है
असल में मुझे यह इस्तेमाल में झंझट वाला और धीमा लगा था
पुराने flip phones से photos transfer करने में कई घंटे लग जाते थे, और smartphones आने शुरू होने के बाद मैंने photos transfer करने से मना कर दिया था
अगर phone locked होता तो हम कुछ नहीं कर पाते थे, और Android पर USB debugging चालू करनी पड़ती थी, जो अब settings के अंदर छिपी होती है
lower-tier products store-use data backup करते हैं, और advanced products latest iPhone में घुसपैठ करते हैं
यह दिलचस्प है कि Nintendo Switch की Tegra X1 vulnerability को commercialize करने वालों को सूली पर चढ़ा देने जैसा दंड मिला, जबकि ऐसी vulnerabilities commercialize करने वालों को हर step पर green light मिलती है
लगता है इस दुनिया में copyright और corporate secrets को individual privacy और confidentiality से ऊपर रखा जाता है
यह अब भी interesting post है: https://signal.org/blog/cellebrite-vulnerabilities/
खासकर वह शरारती line मजेदार थी
“एक अविश्वसनीय संयोग से, हाल ही में walk के दौरान मैंने आगे चल रहे truck से एक छोटा packet गिरते देखा। पास गया तो धुंधला corporate typeface धीरे-धीरे साफ हुआ: Cellebrite. अंदर latest Cellebrite software, piracy रोकने के लिए hardware dongle (उनके customers के बारे में कुछ कहता है!), और अजीब तरह से बहुत सारे cable adapters थे”
सचमुच कमाल की reading थी
सबूत की chain of custody टूट गई है, अदालत इसे कैसे स्वीकार करती है, समझ नहीं आता
iPhone यूज़र्स के लिए बेहतर होगा कि वे बाद में जांच के लिए डिवाइस की कॉपी न बनाई जा सके, इसलिए अपने डिवाइस पर pairing lock लगा दें
https://arkadiyt.com/2019/10/07/pair-locking-your-iphone-wit...
मेरी समझ में Cellebrite, अगर कोई top-secret version न हो, तो असल में एक advanced iTunes backup device जैसा ही है, और घर पर manually फोन का backup लेने के लिए जितनी शर्तें चाहिए, उससे कम शर्तों पर यह काम नहीं करता
अदालत में facts ले जाए जाते हैं, यह नहीं कि वे facts कैसे हासिल किए गए इसकी कोई plausible कहानी
अगर defence lawyer को लगे कि facts गलत हैं, तो वह collection method पर आपत्ति कर सकता है, और तब expert witness अदालत में collection procedure समझाएगा
वैसे भी अभी Cellebrite से latest phones से सीधे extraction नहीं हो पाता
फोन को lab भेजते हैं, image मिलती है और उसे Physical Analyzer में डालते हैं; असली phone vulnerability exploitation Cellebrite की तरफ से संभाला जाता है, ताकि leak की चिंता न रहे
पुलिस evidence को ऐसे दिखाने के लिए कि वह किसी plausible procedure से मिला है, किस हद तक जा सकती है, यह देखना हो तो parallel construction देखिए
[0]https://en.wikipedia.org/wiki/Parallel_construction
आरोपी को यह दिखाने का अधिकार है कि extraction process में खामी थी, वरना गलत फैसला हो सकता है
अमेरिकी criminal procedure में कोई secret और जादुई black-box procedure admissible evidence पैदा नहीं कर सकती
chain of custody चाहिए
नहीं तो कोई खराब पुलिसकर्मी किसी को फंसा सकता है
ऐसी ज्यादातर जांचें वैध अदालत द्वारा जारी search warrant के अधिकार के तहत की जाती हैं
पुलिस का रुख है कि उन्हें device data तक पहुंचने का अधिकार है, और तरीका बहुत मायने नहीं रखता
Cellebrite या Greyshift जैसी कंपनियां vulnerabilities को बेहद secretive रखने की एक वजह यह है कि जैसे ही Apple या Google समझ लेते हैं कि वे security mechanisms को कैसे bypass कर रहे हैं, वे update से उसे बंद कर देते हैं
लगातार चलने वाला cat-and-mouse game
file system metadata जैसी चीजें प्रभावित हो सकती हैं
ये लोग security through obscurity की मांग कर रहे हैं और सोच रहे हैं कि यह लंबे समय तक चलेगी
लेख में product demo training video का जिक्र है, लेकिन दिखने में वह शामिल नहीं थी
समझ नहीं आता वे उसे public क्यों नहीं करते
मैं पुलिस को company property बचाने के लिए कहने वाली recording नहीं, बल्कि यह देखना चाहता हूं कि जब यह कंपनी मेरी property में अवैध रूप से access करती है तो वह किन चीजों तक पहुंच सकती है
बिना authorization किसी computer system में access करना, यानी hacking करना, federal crime होना चाहिए, लेकिन एक कंपनी ठीक यही capability बड़े पैमाने पर law enforcement agencies को कानूनी रूप से बेचती है और कहती है कि इसे secret रखें
पिछली बार जब मैंने देखा था, कानून कानून था, और केवल आम लोगों पर नहीं बल्कि सभी पर लागू होता था
“premium का mention जरूर करें” वाला हिस्सा भी बेतुका है
मतलब illegal hacking की internal structure public न करें, लेकिन premium product का प्रचार करें ताकि government और law enforcement के लोग उसे देखें और subscribe करें
सोचता हूं कि अगर witness stand पर जाकर premium और referral code WHOWATCHESTHEWATCHERS का mention करें तो क्या पहले महीने पर 60% discount मिलेगा
समझ नहीं आता ऐसी कंपनियों को कैसे अनुमति मिलती है
structure ऐसा है कि जिन लोगों को असल में उन्हें गिरफ्तार करना चाहिए, वही उनके customers हैं, इसलिए कानून तोड़ना ठीक माना जाता है
San Bernardino shooting के बाद Apple और FBI ने iPhone decryption issue को मीडिया में Apple vs FBI के framing में पेश किया, यह मजेदार है
असल में FBI iCloud के जरिए अपनी चाही सारी data तक पहुंच सकता था, और यह Apple द्वारा स्पष्ट रूप से छोड़े गए encryption backdoor से संभव था
https://www.reuters.com/article/us-apple-fbi-icloud-exclusiv...
अब Apple स्वाभाविक रूप से ऐसे equipment को reverse-engineer करके vulnerabilities ढूंढना और patch करना चाहेगा, और Cellebrite जिन local police departments को equipment बेचता है, उनमें से काफी लोग Apple/FBI प्रचार के कारण यह मान चुके हैं कि Apple law enforcement सहयोग के खिलाफ है, इसलिए वे ऐसी conditions मानने की संभावना रखते हैं
फिर भी लंबी अवधि में लगता है Apple security ही जीतेगी
एक बार leak हो जाए तो Apple vulnerability patch कर सकता है, और Apple के पास बहुत पैसा भी है और FBI/DHS आदि के साथ cooperation भी
लेख में quote की गई training सामग्री भर देखकर भी लगता है कि Cellebrite जानता है कि वह आखिरकार हारने वाली लड़ाई लड़ रहा है
जानकारी समय के साथ अधिक secret नहीं, बल्कि कम secret ही होती जाती है
authorities को device itself तक access चाहिए था, और iCloud backups में जो न हो सकता था उसे हासिल करने के लिए “सिर्फ अच्छे लोग इस्तेमाल करेंगे” वाला device backdoor मांगा गया था
Apple ने इससे इनकार किया, और विवाद व news वहीं से निकले
Apple ने public तौर पर बताया था कि law enforcement iCloud backups तक access पा सकती है, और आपके दिए article में भी यही बात है
FBI के लिए कोई “स्पष्ट रूप से बचाकर रखा गया backdoor” नहीं था, बस उस समय iCloud backups end-to-end encrypted नहीं थे
यह भी उस समय काफी हद तक widely known था, इसलिए iTunes से backup लेने की सलाह बहुत दी जाती थी
क्योंकि iTunes में backups encrypt करने का option मौजूद था
फोन भेजिए, वे आपकी तरफ से उसे crack कर देंगे