Hoe uw privégegevens aan de Amerikaanse grens te beveiligen

Op 27 januari tekende president Donald Trump een uitvoerend bevel dat het immigratie- en reisbeleid van de VS onmiddellijk veranderde omdat het betrekking had op zeven moslimlanden met een meerderheid van moslims. De verandering leidde tot protesten die de technologie-industrie raakten, zozeer dat meer dan 100 bedrijven uiteindelijk een document ondertekenden dat bezwaar maakte tegen de bestelling.

Een herziene versie van het bevel, bedoeld om een ​​steviger juridische status te krijgen dan de eerste, werd op 6 maart ondertekend en zou op 16 maart in werking treden, maar ook dit werd door de rechtbanken stopgezet.

Te midden van verhalen over visumhouders, houders van groene kaarten en zelfs burgers van de Verenigde Staten die aan de Amerikaanse grens worden vastgehouden, meldden ook berichten dat de telefoons van sommige mensen werden doorzocht door agenten van de douane en de grensbescherming (CBP). In sommige gevallen lijkt het erop dat het CBP individuen heeft gedwongen hun telefoons te ontgrendelen als onderdeel van een zoekopdracht.

Neem een ​​moment om uw smartphone te overwegen. Daarin staan ​​al uw tekstberichten en foto's. Uw contactenlijst en oproeplogboek laten zien met wie u communiceert - een cruciaal onderdeel van informatie bij onderzoeken naar terrorismebestrijding.

Overweeg ook alle apps op uw telefoon die geen extra authenticatie vereisen. Zodra je telefoon is geopend, kan iedereen door je hele Facebook-profiel bladeren en al je berichten lezen op gecodeerde berichtenservices zoals WhatsApp of Signal. Directe fysieke toegang tot een apparaat - zelfs een vergrendeld - is een groot beveiligingsrisico.

Nathan Wessler, een stafadvocaat bij het ACLU-project voor spraakprivacy en technologie, zei dat CBP-agenten twee tactieken hebben bij het uitvoeren van zoekopdrachten naar digitale apparaten. (Merk op dat de auteur een ACLU-donor is.)

"In sommige omstandigheden zullen ze een vluchtige zoekopdracht uitvoeren en daar blijven staan ​​en door het apparaat bladeren of doorklikken om te zien of ze door e-mails en foto's en contacten kunnen kijken, gewoon op zoek naar iets verdachts, " zei hij. "Dan zijn er de echte forensische zoekopdrachten, waarbij ze de inhoud van het apparaat downloaden naar hun eigen computersysteem en forensische zoekalgoritmen gebruiken die alle gegevens kunnen onthullen, inclusief verwijderde bestanden die nog niet zijn overschreven en metadata waarvan de eigenaar niet eens wist dat hij er was."

Gezien wat er op het spel staat, willen reizigers misschien niet eenvoudigweg hun apparaten overdragen aan opsporingsambtenaren. Maar Wessler vertelde me dat de jurisprudentie voor dit specifieke onderwerp onontwikkeld en onduidelijk is.

"CBP claimt de bevoegdheid om iemands elektronische apparaat aan de grens te doorzoeken op elk gewenst moment, om welke reden of helemaal geen reden, en een persoon heeft geen echte, praktische opties om te voorkomen dat een grensagent je telefoon in beslag neemt, " zei.

Er is geen manier, legde hij uit, om te voorkomen dat een CBP-agent je tas van een transportband op de luchthaven haalt. Het bureau heeft immers een duidelijk recht om bagage en reizigers te zoeken. Dat is gewoon hoe wetshandhaving werkt. "Evenzo is er geen goede manier om te voorkomen dat ze je telefoon uit je tas of uit je hand halen", aldus Wessler.

Amerikaanse burgers aan de grens

Het hebben van het apparaat in de hand betekent natuurlijk niet dat het gemakkelijk kan worden doorzocht, wat waarschijnlijk de reden is waarom CBP-agenten individuen dwingen om die apparaten te ontgrendelen. Wessler zei dat voor Amerikaanse burgers, die niet kunnen worden geweigerd om terug te keren naar de Verenigde Staten, het weigeren van het ontgrendelen van hun telefoons minder risico's met zich meebrengt. Maar er zullen vrijwel zeker gevolgen zijn.

"We denken niet dat wettelijk verplicht kan zijn om hun wachtwoorden over te dragen, maar iedereen moet zijn eigen praktische beslissing nemen, " zei Wessler. "Het is mogelijk dat grensagenten uw mobiele telefoon in beslag nemen en u deze weken of maanden niet terugkrijgt, terwijl ze hem naar een andere faciliteit sturen voor een onderzoeker om in te breken.

"We hebben gehoord van mensen die hebben geprobeerd te weigeren hun wachtwoorden over te dragen, en CBP-agenten gaven hun wat werd gepresenteerd als een keuze - hoewel het vrij dwingend is: je geeft ons het wachtwoord of je gaat je telefoon niet zien voor een maand terwijl we proberen zelf toegang te krijgen tot deze gegevens."

Ik drukte Wessler op dit punt over de vraag of CBP of andere instanties binnen de inlichtingen- of wetshandhavingsinstanties daadwerkelijk werkten om in te breken op telefoons van burgers. "We hebben geen informatie over hoe vaak of als ze ooit succesvol zijn in het kraken van de wachtwoorden. Maar wanneer ze een telefoon in beslag nemen, is dat vrij duidelijk wat ze van plan zijn te doen, " zei hij. Ik nam contact op met CBP voor commentaar, maar hoorde niet op tijd terug voor publicatie.

Green Card en Visa Carriers, iedereen anders

Staatsburger zijn aan de Amerikaanse grens betekent dat CBP en andere wetshandhavers je niet zomaar terug kunnen sturen naar het land waar je vandaan kwam. U kunt in het slechtste geval in CBP of politiehechtenis belanden, maar zelfs dan blijft u op Amerikaans grondgebied en binnen het bereik van het Amerikaanse rechtssysteem.

Dat is niet het geval voor niet-burgers, die eenvoudigweg de toegang tot de VS kunnen worden geweigerd en weer in een vliegtuig kunnen worden gestopt. Dit creëert een enorme stimulans voor niet-burgers om volledig samen te werken met CBP en andere grensagenten.

"Houders van groene kaarten hebben een veel sterker recht om het land weer binnen te komen na een korte reis naar het buitenland, terwijl visumhouders mogelijk kwetsbaarder zijn", aldus Wessler. "Mensen in die situatie moeten overwegen vóór hun reis met een immigratieadvocaat te praten, zodat ze goed weten wat hun risico's zijn."

Biometrische of wachtwoorden?

Apple en andere smartphonefabrikanten hebben nu een biometrische optie voor het ontgrendelen van telefoons. Dit werd meestal gedaan als middel voor snellere authenticatie, maar ook om mensen aan te moedigen hun telefoons te vergrendelen. Smartphone-gebruikers verzetten zich al jaren tegen het vergrendelen van hun apparaten met een toegangscode, maar de snelle en eenvoudige actie van het gebruik van biometrische authenticators is erg verleidelijk.

Dat gezegd hebbende, er zijn talloze argumenten tegen het gebruik van alleen biometrie als authenticatiemiddel. Onderzoekers hebben aangetoond dat Apple's Touch ID voor de gek kan worden gehouden met dummy duimen. En beveiligingsexperts hebben kritiek geuit op de afhankelijkheid van biometrische gegevens, omdat de unieke fysieke kenmerken van ons lichaam niet kunnen worden gewijzigd in de manier waarop we wachtwoorden wijzigen. Als biometrische gegevens zijn aangetast, kunnen deze niet worden opgelost.

Biometrie kan ook een wettelijke aansprakelijkheid aan de grens zijn. Wessler zei dat er momenteel geen rechtspraak bestaat over wetshandhaving die biometrische informatie eist bij grensovergangen. Maar er is een meer gevestigd precedent voor dwingende personen om vingerafdrukken te nemen in binnenlandse politionele contexten dan voor alleen het overhandigen van wachtwoorden. Dat zou kunnen betekenen dat CBP en wetshandhaving misschien steviger staan ​​in het proberen reizigers te dwingen apparaten biometrisch te ontgrendelen dan in het dwingen van wachtwoorden. Helaas legde Wessler uit dat het niet duidelijk is hoe dit zich zou vertalen in de context van een grensovergang.

Met dat in gedachten beveelt Wessler aan om biometrische bescherming aan de grens uit te schakelen en in plaats daarvan uitsluitend op een toegangscode te vertrouwen. U kunt natuurlijk altijd de biometrische mogelijkheden van uw telefoon opnieuw activeren nadat u de douanecontrole hebt uitgeschakeld.

Het risico van weigering

Afgezien van juridische kwesties, is er ook het probleem of telefoons en andere digitale apparaten veilig genoeg zijn om gericht onderzoek te kunnen doorstaan. Over het algemeen is de regel dat als een aanvaller - of onderzoeker - fysiek toegang heeft tot het apparaat, het uiteindelijk zal worden gekraakt.

In het geval van smartphones hangen veel van de risico's af van wat voor soort telefoon u bezit. "Sommige telefoons zijn direct uit de doos heel veilig omdat ze vooraf ingestelde beveiligingsfuncties hebben. De eigenaar hoeft niets te doen om robuuste beveiliging te krijgen. Andere telefoons vereisen dat de eigenaar de beveiligingsnormen instelt, " zei Leo Taddeo, Chief Security Officier voor Cryptzone en voormalig speciaal agent belast met Cyber ​​en Special Ops voor de FBI.

We weten uit de recente stortplaats van CIA-documenten van WikiLeaks dat Amerikaanse inlichtingendiensten actief werken aan toegang tot smartphones voor consumenten. De kwetsbaarheden in deze documenten die betrekking hebben op Android-telefoons lijken echter vrij oud te zijn en Apple zegt dat de problemen al zijn opgelost.

"Wat de instellingen ook zijn, als je telefoon (of tablet of laptop) open en actief is wanneer de autoriteiten hem in beslag nemen, hebben ze zo ongeveer volledige toegang tot alles erop, " zei Taddeo. Dit is ook in andere gevallen een probleem geweest. Toen wetshandhavers verhuisden om Silk Road meesterbrein Ross Ulbricht te arresteren, waren ze er zeker van zijn laptop te beveiligen voordat hij hem kon afsluiten. Het ophalen van de informatie van een computer met wachtwoordbeveiliging zou veel moeilijker zijn dan alleen voorkomen dat deze in de eerste plaats wordt vergrendeld.

Nadat ik Wessler's waarschuwingen had gehoord over overheidsagenten die mobiele telefoons en andere apparaten in beslag namen met de bedoeling hun bescherming te kraken en gebruikersgegevens te verzamelen, vroeg ik Taddeo wat (eventueel) mogelijkheden wetshandhaving tot haar beschikking heeft.

"Zoals we in recente gevallen hebben gezien, zoals de terroristische aanslag in 2015 in San Bernardino, hebben wetshandhavingsinstanties zoals de FBI toegang tot zeer geavanceerde technieken om toegang te krijgen tot, onderzoek te doen naar en bewijs te halen uit in beslag genomen telefoons, " zei hij.

In dat geval beweerde de FBI dat het geen toegang had tot gegevens op een vergrendeld apparaat zonder hulp van Apple. Uiteindelijk zei de FBI dat ze toegang kon krijgen tot de informatie met behulp van een externe aannemer.

Een belangrijke factor om te bepalen of wetshandhavers toegang hebben tot gegevens op uw telefoon, heeft minder te maken met technologie en meer met geld: Taddeo legde uit dat niet elk bureau of politiebureau een budget heeft dat groot genoeg is voor geavanceerde gegevensforensics. De FBI en de New York Police Department zijn voorbeelden van organisaties die toegang hebben tot de expertise en technologie om mogelijk beveiligingsmaatregelen te omzeilen en informatie op te halen van vergrendelde apparaten.

"Veel kleinere afdelingen weten echter waar ze de vereiste expertise kunnen vinden als het belang van het bewijs daarom vraagt, " zei hij. "Uiteindelijk, als de zaak ernstig genoeg is, wordt een forensische eenheid van de staatspolitie of een federaal agentschap ingeschakeld."

Privacy door omissie

Gezien dat alles, stelt Wesler voor om de beste manier om uw informatie te beveiligen wanneer u naar de VS reist, is om zo min mogelijk mee te nemen. "Het eerste waar mensen aan moeten denken, is of ze met al hun apparaten moeten reizen wanneer ze een internationale reis maken."

Als alternatief kunt u uw telefoon wissen voordat u de douane binnengaat, of een aparte telefoon houden alleen voor op reis. Dit kunnen goede opties zijn, omdat cloudservices zoals Google Drive en Google Photos zo nodig opnieuw kunnen worden verbonden en losgekoppeld van apparaten. Merk echter op dat zeer geavanceerde digitale forensisch onderzoek mogelijk informatie kan ophalen die is verwijderd van apparaten maar nog niet is overschreven.

Taddeo stelde voor extra beveiligingsmaatregelen te gebruiken bovenop die beschikbaar zijn op uw telefoon of computer. "Dit kan een tweede coderingslaag omvatten en afzonderlijke multifactor-authenticatie vereisen voor bestanden en applicaties die u veilig moet bewaren, " zei hij.

Hoewel mensen het oneens kunnen zijn over het beleid van de Trump-regering, valt niet te ontkennen dat de sfeer aan de Amerikaanse grens is veranderd. De nieuwe realiteit is vreemd voor iedereen die dit land heeft gezien als een bastion voor persoonlijke privacy. "We komen helaas op een plaats waar mensen een aantal van dezelfde keuzes moeten maken die reizigers naar China en Rusland nu al enkele jaren moeten maken, " zei Wessler.