Havalimanı aramasında GrapheneOS telefonu sıfırlanınca hakkında dava açılan ABD vatandaşı

 (techspot.com)
1 puan yazan GN⁺ 2 시간 전 | 1 yorum | WhatsApp'ta paylaş
  • ABD Adalet Bakanlığı, Atlanta sakini Sam Tunick’i havalimanı kontrolü sırasında telefonunu sıfırlayarak el konulacak kanıtları kasten yok ettiği gerekçesiyle federal yasayı ihlal etmekle suçladı
  • Google Pixel için açık kaynaklı işletim sistemi GrapheneOS, belirli bir parolayla cihazı sıfırlayabiliyor; bir işletim sistemi özelliği temel alınarak yasanın uygulandığı emsali bulunması zor, sıra dışı bir dava
  • Dominican Republic’ten dönen Tunick, Hartsfield-Jackson Atlanta International Airport’ta sorgulandı; savunma tarafı arama emri ve hak bildirimi olmadığını, avukat talebinin de dört kez reddedildiğini iddia ediyor
  • Tekrarlanan kilit açma taleplerinin ardından parolayı verdiğinde telefon yeniden başlatıldı ve veriler kayboldu; ancak savcılık ve savunma sıfırlamanın kasıtlı olup olmadığı ve aramanın hukuka uygunluğu konusunda karşı karşıya
  • Sınırlar ve uluslararası havalimanlarında hükümete tanınan geniş arama yetkileri ile gizlilik odaklı işletim sistemi kullanımının suç şüphesine dayanak yapılıp yapılamayacağı tartışma konusu; kanıtların hariç tutulmasına ilişkin kararın en erken ekim sonundan sonra bekleniyor

Havalimanı sorgusu ve telefonun sıfırlanması

  • Olay, önceki yıl 24 Ocak’ta Tunick’in Dominican Republic seyahatini tamamlayıp Atlanta uluslararası havalimanı üzerinden ülkeye dönmesiyle başladı
    • Federal ajanlar, Cop City karşıtı hareketle bağlantılı olduğu gerekçesiyle Tunick’i “terör faaliyeti şüphesi” kapsamında soruşturulacak kişi olarak değerlendirip adını ve fotoğrafını kurum içinde dağıtmıştı
    • Tunick ikinci arama odasına götürüldü ve birkaç ajan tarafından sorgulandı
  • Savunma tarafı, çocuklara yönelik cinsel istismar materyali soruşturmasının protesto hareketiyle ilişkisini anlamaya yönelik bir bahane olduğunu savunuyor
    • Tunick, avukatıyla görüşmesine izin verilmesini dört kez istedi ancak tüm talepleri reddedildi
    • Savunmaya göre ajanlar arama emri göstermedi ya da haklarını bildirmedi
  • Hükümet bunu rutin bir havalimanı kontrolü olarak nitelendirdi; Customs and Border Protection’dan Larry Findley, yasaklı maddeler aradıklarını söyledi
  • Ajanlar, telefonun kilidini açmazsa cihaza el koyacakları konusunda tekrar tekrar uyardı
    • Tunick parolayı verdiğinde ekran kapandı, birkaç kez yanıp söndü ve cihaz yeniden başlatılmış gibi göründü; veriler kayboldu
    • Savcılık bunu kanıtları ortadan kaldırmaya yönelik kasıtlı bir eylem olarak değerlendirdi; savunma ise anayasaya aykırı aramayla elde edilen kanıtların hariç tutulması gerektiğini savundu

GrapheneOS ve hukuki tartışma

  • GrapheneOS, Google Pixel telefonlarda gizlilik ve güvenliği artıran açık kaynaklı bir işletim sistemi; belirli bir parola girilerek cihazın sıfırlanmasına izin veriyor
  • Siber güvenlik ve gözetim uzmanı Christophe Boutry ile Electronic Frontier Foundation’dan Bill Buddington, benzer bir suçlamaya daha önce rastlamadıklarını söyledi
    • Boutry, bu hukuki yaklaşımın GrapheneOS’u varsayılan olarak suçla bağlantılı bir araçmış gibi ele aldığı yönünde bir mesaj verebileceğinden endişe ediyor
    • Destekleyenler, bu özelliğin meşru bir güvenlik aracı olduğunu ve suç kastını kanıtlamadığını düşünüyor
  • France ve Spain’de de yetkililer güvenliği sağlanmış cihazlara erişmekte zorlandı; GrapheneOS kullanımının bizzat şüpheli görüldüğü vakalar oldu
    • Spain Catalonia polisi, GrapheneOS yüklü Pixel kullanıcılarını uyuşturucu satıcısı veya çete üyesi varsayarak profilleme yapıyordu
  • Dava, geçen yıl ilkbaharda açılan 109 milyon dolarlık Cop City polis eğitim tesisi karşıtı hareketle bağlantılı
    • Aktivistler polisin askerileşmesi ve çevresel etkiler konusunda endişe duyarken, kolluk kuvvetleri tesisi eğitim ve personel alımı için gerekli diye savundu
    • Eyalet düzeyinde protestocuları yargılama girişimleri zorluklarla karşılaştı; yakın zamanda federal yetkililer devreye girerek önceki ay ayrı bir iddianame daha açıkladı
  • ABD sınırları ve uluslararası havalimanlarında yetkililere daha geniş arama yetkileri tanındığından, uygulanabilir anayasal hakların kapsamı davanın temel tartışma konusu

İlgili okumalar

1 yorum

 
GN⁺ 2 시간 전
Hacker News görüşleri

  • İnternette sıkça “hükümet X'i yasa dışı ilan edemez, bu sadece Y'dir” türü indirgemeci mantıklar görülüyor, ancak ABD hukuku eylemin yüzeyinden çok niyete önem verir
    Telefonu silen dört haneli sayı sıradan bir PIN ile aynı bitler olabilir, ama asıl mesele onu girerek neyi gerçekleştirmeye çalıştığınızdır. Niyetin kanıtlanıp kanıtlanamayacağı ayrı konu, ancak zorlama PIN'i devletin benim tarafımda olduğu ev baskını senaryolarında kullanmak daha güvenli olur

    • “ABD hukuku otistik biçimde işlemez” ifadesi komik, ama ABD yargı sisteminin acımasızlığını da küçümsememek gerekir
      Jüri gerçekten akranlardan değil, jüri görevinden kaçamayan insanlardan oluşur; federal savcıların mahkumiyet oranı %90'ın üzerindedir ve jüri kararlarında uyum baskısı gibi hukuk dışı unsurlar büyük rol oynar. Aaron Swartz'ın başına gelenlerde görüldüğü gibi hukuk gücün maskesidir; bu yüzden haklarınızı kullanın ama bedelini bilin, ayrıca devlet kurumlarının yalan söyleme teşvikini de göz ardı etmeyin
    • Bu mesele “What color are your bits” yazısında iyi özetleniyor: https://ansuz.sooke.bc.ca/entry/23
      Programcı için iki 1234 aynı bitlerdir, ama mahkemeler dijital olarak ifade edilmeyen niyet, kaynak ve izin gibi renkleri ayırt eder
    • Mühendisler sık sık hukukun kod değil, insanların yorumuna açık bir şey olduğunu unutuyor ve indirgemeci mantık gerçek hayatta neredeyse hiç işlemiyor
    • X'i yasa dışı ilan etmek anayasaya aykırı olsa bile, mahkeme öyle karar vermezse ya da konuyu hiç ele almazsa bunun pratikte anlamı yoktur
      Yasa metni açık ve sıradan yorum makul olsa bile, hükümet ve mahkemeler istedikleri sonuca ulaşmak için zorlama mantık üretebilir; yeterli karşı çıkış yoksa bu olduğu gibi kalır. İyi ya da kötü, hukuk birçok açıdan sadece bir kâğıt parçasıdır
    • Bu olayda hükümetin onu hedef almasının nedeni polis eğitim tesisi karşıtı aktivizmdi
      Telefonu silmek büyük olasılıkla diğer aktivistlerin güvenliği için yapılan bir hareketti; uyuşturucu ticareti gibi bir suç yüzünden değildi

  • Cihazı silen bir zorlama PIN'i seçmenin hukuki sonuçları olabileceğini kabul etmek gerekir
    Tehdit modelinize sınırda ABD devlet kurumlarını da dahil ediyorsanız, doğrudan telefonu silip delilleri yok etmiş gibi yorumlanacak bir davranış olmadan da cihaza el konulmasına dayanabilecek güvenlik prosedürlerine ihtiyacınız var. Yalnızca kaybetseniz de sorun olmayacak verileri taşıyın; seyahat için ayrı bir parola yöneticisi ve gerekli hesaplar için ayrı donanım anahtarları hazırlayın; ardından ülkeye döner dönmez parolaları ve anahtarları imha edin. Geçmiş yolcu vakalarını inceleyip dava ya da tacize yol açan davranışlardan kaçının ve prosedürlerin hukuki riskini bir avukata inceletin. ABD pasaportunun sağladığı rahatlığın kadife eldiveni altındaki demir yumruğu unutmamak gerekir

    • Telefona zorlama PIN etiketini ters yapıştırıp sınır görevlisine hiçbir şey söylememe yöntemi de var
      Görevli onu kendi girip telefonu silerse, bunu benim değil onların yaptığını söyleyebilirsiniz
    • İlginç olan, PIN'i kendisi girmeyip görevliye söylemiş olması ve arama emri olmadan yapılan aramanın veri silinmesine yol açması
      Hukuken fark yaratır mı bilmiyorum, ama oldukça ironik
    • Hakim arama ve el koyma emri vermediyse, buna kimin delil dediği sorgulanmalı
      O ana kadar bu kişisel mülktür, dolayısıyla kişinin onunla istediği gibi ilgilenebilmesi gerekir

  • VeraCrypt'te sahte bir işletim sistemi için ayrılmış alan oluşturma özelliği var
    Sahte parolayı girerseniz gerçek alan boş alan gibi görünür ve yalnızca sahte volume açılır; gerçek parola girildiğinde ancak gerçek işletim sistemi ve dosya sistemi çözülür. Zorlama PIN yerine böyle bir gizli işletim sistemi standart haline gelmeli olabilir. Sahadaki görevliler genelde derin adli incelemeden çok telefonun kilidini açma, spyware çalıştırma ve görünürde iş birliği olup olmadığını kontrol etme gibi prosedürlere odaklandığından, iş akışlarını tetiklemeden güvende kalmak daha iyi olabilir
    https://veracrypt.io/en/VeraCrypt%20Hidden%20Operating%20Sys...

    • Modern blok aygıtları basit değildir; firmware durumu gizli volume'ü ortaya çıkarabilir ve karşı tarafın tembelliğine ya da teknik yetersizliğine güvenmek iyi değildir
      Tüm adres yazımlarının firmware'e aynı görünmesini sağlayan özel bir soyutlama, daha basitçe rastgele anahtar-değer eşlemesi, çözüm olabilir
    • Parola vermeye zorlanamayacağınız bölgelerde bile polisi kandırmaya çalışmak, delil karartma kadar kesin biçimde hapse yol açabilir
    • İlgili tartışma: https://news.ycombinator.com/item?id=49057812
      İkna edici biçimde uygulamak düşünüldüğünden daha zor; parola vermediğiniz için sizi hapse atacak bir rejim, gizli volume'ü kesin kanıtlayamasa da sizi serbest bırakmayacaktır
    • ABD vatandaşları için böyle düzenekler yerine uzun parolalı bir güvenli telefonun kilidini açmayı reddetmek ve el konulursa yeni cihaz almak hukuki açıdan çok daha düşük riskli görünüyor
    • Gizli volume, karşı tarafın VeraCrypt özelliğini bilmediği varsayımına dayanır, ama bu özellik resmi web sitesinde açıkça yazıyor
      VeraCrypt kullandığınızı bilirlerse diğer şifreli volume'lerin parolalarını da isteyeceklerdir. İlgili XKCD: https://xkcd.com/538/

  • Tehdit modeliniz sınır güvenlik görevlilerinin cihazı görmemesini gerektiriyorsa, sınırı geçmeden önce cihazı kendiniz sıfırlayın ve vardığınızda şifreli çevrimiçi yedekten geri yükleyin
    Sonradan kurulacak boş bir telefonu taşımış olursunuz ve size yedeği kurduramazlar. Çok şüpheli görünüp ek sorguya uğrayabilirsiniz, ama görevli baştan telefona erişmek istiyorsa zaten durum normal değildir

    • Büyük teknoloji şirketlerinde çalışırken bazı ülkelere gerçek iş cihazlarını götürmeme talimatı çok netti; bunun yerine orada ayrı cihaz veriliyordu
    • Sınır geçişi için zorlama PIN kullanmayı düşünenler muhtemelen bu yöntemi tercih ederdi; cihazın tamamen boş olması gerekmez, sadece hassas veri içermeyen temiz bir durumda olması yeterlidir
    • ABD seyahatinde bir MacBook ve yeni kurulmuş bir ThinkPad götürdüm; sınır görevlileri özellikle ThinkPad'le ilgilenip “galeriyi göster” dedi
      Grafik arayüz yoktu, sadece terminal vardı; klavye düzeni sorunu yüzünden giriş bile yapamayınca yaklaşık 6 kişi tarafından 2 saat sorgulandım, ama MacBook'a hiç bakmadılar

  • Federal görevlilerin Cop City karşıtı hareketle bağlantılı olduğu gerekçesiyle adını ve fotoğraflarını dolaştırıp terör faaliyeti şüphesiyle soruşturduğu kısmı asıl önemli nokta
    ABD'nin bu tür aktivistleri ne kadar ileri giderek takip ettiği ürkütücü

  • En önemli nokta, Cop City karşıtı hareketle bağlantılı olduğu gerekçesiyle terör suçlaması soruşturmasının hedefi haline gelmiş olması, ancak ayrıntıların neredeyse hiç olmaması
    Tam olarak hangi faaliyetlere dahil olduğunu ve aynı şekilde hedef alınan kaç kişi olduğunu bilmek isterdim

  • Zorla girilen PIN'in silme yerine temiz ayrı bir profil açmasının daha iyi olup olmayacağı merak konusu
    İnandırıcı verilerle önceden doldurulmuş zorlamaya yönelik bir profili açarken gerçek profili arka planda da silebilirsiniz, ama ekranı kapatıp birkaç kez yanıp söndükten sonra yeniden başlatarak silindiğini açıkça belli eden bir tasarım, neredeyse korna çalmaktan farksız

  • Silinen cihazda suç kanıtı bulunduğunu nasıl kanıtlayacakları da merak konusu
    Geçmişte şifrelenmiş cihaz davalarında, “bu evden yasa dışı materyal gönderildi” düzeyinde kayda değer ön kanıt gerekiyordu. Yetkilerini genişletmek istiyorlarsa, olguları sağlam bir dava seçmeleri gerekir; böyle zayıf bir dava, hâkimin yetkileri sınırlamasına yol açarken suçlu kararı da alamama ihtimalini büyütür

    • Asıl suç değil de yalnızca delil karartma veya adaleti engelleme kanıtlanabildiği için, birçok kişi asıl suçlama yerine adaleti engellemeden yargılanır
      İçeriden öğrenenlerin ticareti soruşturmasından hemen sonra tüm belgeleri yakıp bilgisayarı mikrodalgaya koyduysanız, yetkililer önceden suçlu olduğunuzu bilmese bile bu sonraki eylem yasa dışı olmalıdır. Burada yasaklanan şey belge yakmanın kendisi değil, devam eden bir soruşturmadan haberdar olduktan sonra imha edilmesidir
    • Suç verisi analizi işinde, şüpheliler önceden işaretlenip izlenir ve sonra kurumun yetkisinin geniş olduğu sınır ya da kontrol noktalarında aranırlar
      Bazı kurumlar, arama emri veya makul gerekçe olmadan bile sıradan polise göre çok daha güçlü arama yetkilerine sahiptir ve cihazın silinmesi başlı başına delil karartma suçlaması olabilir
    • Şu anki ABD Adalet Bakanlığı savcıları birkaç yıl öncesinden farklı ve umarım bu olay da sub sandviç saldırısı vakası gibi sonuçlanır

  • GrapheneOS ile ilgili kişilerden birinin, cüzdanda zorla girilen PIN'in yazılı olduğu bir kâğıdı hafifçe kamufle ederek taşımayı önerdiğini hatırlıyorum
    Bu, polisin bunu gönüllü olarak girmesini sağlayabilir, ancak yöntem bilinir hale gelirse gerçek PIN'in yazılı olduğu başka kâğıtlar da şüphe çekebilir

    • İlginç bir fikir, ama o GrapheneOS temsilcisinin hukuki tavsiye verme yetkisine sahip bir avukat olup olmadığını doğrulamak gerekir

  • Zorla girilen PIN, silme yerine güvenli bir yerde tutulan uzun, önceden ayarlanmış bir anahtarla cihazı yeniden şifrelemeyi tetikleyebilir
    İş birliği olmadan veriler kurtarılamaz ama kanıt yok edilmemiş olur; ayrıca anahtarı gerçekte saklamıyor olsanız bile savcının bir yerde anahtar bulunmadığını kanıtlaması gerekir

    • İnsanların %99'u için yeniden şifreleme ile silme işlevsel olarak aynı şeydir
      “Teknik olarak veri hâlâ duruyor” savunması, havaalanı güvenlik görevlisinin etkilenip sizi salıvermesini sağlamaz; sizi aramayı engellemekten aynı şekilde tutuklayıp uzun süre gözaltında tutarlar. Gözaltına alındıktan sonra polis ve savcının istediği iş birliği, müzakere değil, soru sormadan taleplere derhâl uymanızdır; reddederseniz sizi ibretlik bir örnek haline getirebilirler