US-Bürger angeklagt, nachdem sein GrapheneOS-Handy bei einer Flughafenkontrolle zurückgesetzt wurde

 (techspot.com)
1 Punkte von GN⁺ 2 시간 전 | 1 Kommentare | Auf WhatsApp teilen
  • Das US-Justizministerium hat den Einwohner Atlantas Sam Tunick nach Bundesrecht angeklagt, weil er während einer Flughafenkontrolle sein Handy zurückgesetzt und damit beschlagnahmefähige Beweise vorsätzlich vernichtet haben soll
  • GrapheneOS, ein Open-Source-Betriebssystem für Google Pixel, kann ein Gerät mit einem bestimmten Passwort zurücksetzen; der Fall ist ungewöhnlich, weil sich kaum Präzedenzfälle finden lassen, in denen ein Gesetz auf Grundlage einer Betriebssystemfunktion angewendet wurde
  • Tunick, der aus der Dominican Republic zurückkehrte, wurde am Hartsfield-Jackson Atlanta International Airport befragt; die Verteidigung behauptet, es habe weder einen Durchsuchungsbeschluss noch eine Belehrung über seine Rechte gegeben, und auch seine Bitte um einen Anwalt sei viermal abgelehnt worden
  • Nachdem er nach wiederholten Aufforderungen den Entsperrcode angegeben hatte, startete das Handy neu und die Daten verschwanden, doch Staatsanwaltschaft und Verteidigung streiten darüber, ob die Zurücksetzung vorsätzlich war und ob die Durchsuchung rechtmäßig war
  • Streitpunkte sind die weitreichenden Durchsuchungsbefugnisse des Staates an Grenzen und internationalen Flughäfen sowie die Frage, ob die Nutzung eines datenschutzorientierten Betriebssystems als Grundlage für einen Strafverdacht dienen kann; eine Entscheidung über den Ausschluss von Beweisen wird frühestens Ende Oktober erwartet

Flughafenkontrolle und Zurücksetzung des Handys

  • Der Fall begann am 24. Januar des Vorjahres, als Tunick nach einer Reise in die Dominican Republic zum internationalen Flughafen Atlanta zurückkehrte
    • Bundesbeamte hatten Tunick wegen einer mutmaßlichen Verbindung zur Protestbewegung gegen Cop City als Untersuchungsziel wegen „Terrorverdachts“ eingestuft und seinen Namen sowie sein Foto intern verbreitet
    • Tunick wurde in einen Raum für die Sekundärkontrolle gebracht und von mehreren Beamten befragt
  • Die Verteidigung behauptet, die Untersuchung wegen Darstellungen sexuellen Kindesmissbrauchs sei ein Vorwand gewesen, um seine Verbindung zur Protestbewegung zu prüfen
    • Tunick bat viermal darum, mit einem Anwalt sprechen zu dürfen, doch jedes Mal wurde dies abgelehnt
    • Nach Darstellung der Verteidigung legten die Beamten keinen Durchsuchungsbeschluss vor und belehrten ihn nicht über seine Rechte
  • Die Regierung stufte den Vorgang als routinemäßige Flughafenkontrolle ein; Larry Findley von Customs and Border Protection erklärte, man habe nach verbotenen Gegenständen gesucht
  • Die Beamten warnten wiederholt, dass sie das Handy beschlagnahmen würden, falls er es nicht entsperre
    • Als Tunick den Code angab, ging der Bildschirm aus, flackerte mehrfach und das Gerät wirkte, als würde es neu starten; anschließend waren die Daten verschwunden
    • Die Staatsanwaltschaft wertete dies als vorsätzliche Handlung zur Vernichtung von Beweisen, während die Verteidigung entgegnet, Beweise aus einer verfassungswidrigen Durchsuchung müssten ausgeschlossen werden

GrapheneOS und die rechtlichen Streitfragen

  • GrapheneOS ist ein Open-Source-Betriebssystem, das Datenschutz und Sicherheit auf Google-Pixel-Handys stärkt und ein Gerät durch Eingabe eines bestimmten Passworts zurücksetzen kann
  • Der Cybersecurity- und Überwachungsexperte Christophe Boutry sowie Bill Buddington von der Electronic Frontier Foundation erklärten, sie hätten noch keine ähnliche Anklage gesehen
    • Boutry warnt, dieser rechtliche Ansatz könne die Botschaft senden, GrapheneOS werde grundsätzlich wie ein mit Kriminalität verbundenes Werkzeug behandelt
    • Unterstützer sehen die Funktion als legitime Sicherheitsmaßnahme, die keine kriminelle Absicht belegt
  • Auch in France und Spain hatten Behörden Schwierigkeiten, auf abgesicherte Geräte zuzugreifen, und es gab Fälle, in denen die Nutzung von GrapheneOS selbst als verdächtig behandelt wurde
    • Die Polizei in Catalonia, Spain, hat Nutzer von Pixel-Geräten mit installiertem GrapheneOS per Profiling als Drogendealer oder Gangmitglieder eingestuft
  • Der Fall ist mit der Protestbewegung gegen die im vergangenen Frühjahr eröffnete 109 Millionen Dollar teure Cop City-Polizeiausbildungsanlage verknüpft
    • Aktivisten äußerten Sorge über die Militarisierung der Polizei und die Umweltauswirkungen, während Strafverfolgungsbehörden die Anlage als notwendig für Ausbildung und Personalgewinnung verteidigten
    • Versuche auf Ebene des Bundesstaats, Demonstranten anzuklagen, verliefen schleppend; zuletzt griffen Bundesbehörden ein und erhoben im Vormonat zusätzliche Anklagen
  • Da US-Behörden an den Grenzen und auf internationalen Flughäfen weitergehende Durchsuchungsbefugnisse haben, ist der Umfang der anwendbaren verfassungsrechtlichen Rechte ein zentraler Streitpunkt im Verfahren

Verwandte Beiträge

1 Kommentare

 
GN⁺ 2 시간 전
Meinungen auf Hacker News

  • Im Internet sieht man oft die reduktionistische Argumentation „Die Regierung kann X nicht illegal machen, es ist doch nur Y“, aber US-Recht stellt eher auf die Absicht ab als auf die äußere Form der Handlung.
    Die vier Ziffern, die ein Telefon löschen, mögen dieselben Bits sein wie eine gewöhnliche PIN, entscheidend ist aber, was man durch ihre Eingabe auslösen wollte. Ob sich diese Absicht beweisen lässt, ist eine andere Frage; eine Duress-PIN ist eher in einem Einbruchsszenario sicher, in dem die Regierung auf meiner Seite steht.

    • Die Formulierung, „US-Recht funktioniert nicht autistisch“, ist zwar witzig, aber man sollte auch die Brutalität des US-Justizsystems nicht unterschätzen.
      Geschworene sind nicht wirklich Gleichrangige, sondern Leute, die der Geschworenenpflicht nicht entkommen konnten; die Erfolgsquote von Bundesstaatsanwälten bei Verurteilungen liegt bei über 90 %, und außerrechtliche Faktoren wie Konformitätsdruck spielen bei Jury-Entscheidungen eine große Rolle. Wie im Fall Aaron Swartz: Das Recht ist eine Maske der Macht, also sollte man seine Rechte ausüben, aber die Kosten kennen; auch den Anreiz staatlicher Stellen zu lügen sollte man nicht ignorieren.
    • Dieses Problem ist in „What color are your bits“ gut zusammengefasst: https://ansuz.sooke.bc.ca/entry/23
      Für Programmierer sind zwei 1234 dieselben Bits, aber Gerichte unterscheiden Farben wie Absicht, Herkunft und Erlaubnis, die nicht digital repräsentiert sind.
    • Ingenieure vergessen oft, dass Recht kein Code ist, sondern von Menschen ausgelegt wird, und reduktionistische Argumente funktionieren in der Realität kaum.
    • Selbst wenn es verfassungswidrig wäre, X zu verbieten, hat das praktisch keine Bedeutung, wenn ein Gericht entscheidet, dass es nicht so ist, oder den Fall gar nicht erst anhört.
      Selbst wenn der Gesetzestext eindeutig ist und die Auslegung durch normale Menschen plausibel wäre, können Regierung und Gerichte für das gewünschte Ergebnis abwegige Argumentationsketten konstruieren; wenn es nicht genügend Widerspruch gibt, verfestigt sich das. Ob gut oder schlecht: Recht ist in vieler Hinsicht nur ein Stück Papier.
    • Der Grund, warum die Regierung ihn in diesem Fall ins Visier nahm, war sein Aktivismus gegen das Polizeitrainingsgelände.
      Das Löschen des Telefons war wahrscheinlich eine Maßnahme zum Schutz anderer Aktivisten und hatte nicht etwa mit Straftaten wie Drogenhandel zu tun.

  • Man muss anerkennen, dass die Wahl einer Duress-PIN, die das Gerät löscht, rechtliche Folgen haben kann.
    Wenn im Bedrohungsmodell an der Grenze sogar US-Regierungsbehörden enthalten sind, braucht man Sicherheitsprozesse, die eine Beschlagnahmung des Geräts überstehen, ohne dass man selbst das Telefon löscht und damit etwas tut, was als Vernichtung von Beweismitteln ausgelegt werden kann. Man sollte nur Daten mitführen, deren Verlust akzeptabel ist, einen Passwortmanager für Reisen und separate Hardware-Keys für notwendige Konten einrichten und nach der Rückkehr Passwörter und Keys sofort verwerfen. Man sollte frühere Fälle mit Reisenden prüfen, Handlungen vermeiden, die Anklage oder Schikane nach sich ziehen, und die rechtlichen Risiken des Vorgehens von einem Anwalt prüfen lassen. Die eiserne Faust unter dem Samthandschuh der Bequemlichkeit, die ein US-Pass bietet, darf man nicht vergessen.

    • Man könnte auch einen Aufkleber mit der Duress-PIN verkehrt herum aufs Telefon kleben und dem Grenzbeamten nichts sagen.
      Wenn der Beamte sie selbst eingibt und das Telefon löscht, kann man sagen, dass nicht ich es getan habe, sondern sie selbst.
    • Interessanterweise hat er die PIN nicht selbst eingegeben, sondern sie den Beamten mitgeteilt, und die Durchsuchung ohne Durchsuchungsbeschluss hat die Löschung der Daten ausgelöst.
      Ob das rechtlich einen Unterschied macht, weiß ich nicht, aber es ist ziemlich ironisch.
    • Wenn kein Richter einen Durchsuchungs- und Beschlagnahmebeschluss erlassen hatte, stellt sich die Frage, wer entschieden hat, dass es sich um Beweismittel handelt.
      Bis dahin ist es Privateigentum, also sollte man damit tun dürfen, was man will.

  • VeraCrypt hat eine Funktion, die reservierten Speicherplatz für ein Köder-Betriebssystem anlegt.
    Gibt man das Köder-Passwort ein, erscheint der eigentliche Bereich wie freier Speicherplatz und nur das Köder-Volume wird geöffnet; erst mit dem echten Passwort werden das tatsächliche Betriebssystem und das Dateisystem entschlüsselt. Vielleicht sollten solche versteckten Betriebssysteme statt Duress-PINs zum Standard werden. Einsatzkräfte vor Ort konzentrieren sich meist eher auf Verfahrenschecks wie das Entsperren des Telefons, das Ausführen von Spyware und den Anschein von Kooperation als auf tiefgehende Forensik, daher ist es besser, die eigene Sicherheit zu wahren, ohne den Arbeitsablauf zu reizen.
    https://veracrypt.io/en/VeraCrypt%20Hidden%20Operating%20Sys...

    • Moderne Blockgeräte sind nicht simpel; Firmware-Zustände können versteckte Volumes verraten, und es ist keine gute Idee, auf Faulheit oder mangelnde technische Fähigkeiten der Gegenseite zu setzen.
      Es gäbe Spielraum für spezielle Abstraktionen, die Schreibvorgänge auf alle Adressen für die Firmware gleich aussehen lassen, oder einfacher für eine zufällige Key-Value-Map.
    • Selbst in Regionen, in denen man nicht zur Herausgabe eines Passworts gezwungen werden kann, kann ein Versuch, die Polizei zu täuschen, genauso sicher ins Gefängnis führen wie die Vernichtung von Beweismitteln.
    • Zugehörige Diskussion: https://news.ycombinator.com/item?id=49057812
      Eine überzeugende Umsetzung ist schwieriger, als man denkt; und ein Regime, das einen einsperrt, weil man kein Passwort herausgibt, wird einen auch nicht freilassen, nur weil es ein verstecktes Volume nicht zweifelsfrei nachweisen kann.
    • Für US-Bürger scheint es rechtlich deutlich weniger riskant zu sein, bei einem sicheren Telefon mit langem Passwort die Entsperrung zu verweigern und, falls es beschlagnahmt wird, ein neues Gerät zu kaufen, statt solche Mechanismen zu nutzen.
    • Versteckte Volumes setzen darauf, dass die Gegenseite die VeraCrypt-Funktion nicht kennt, aber diese Funktion ist auf der offiziellen Website öffentlich dokumentiert.
      Wenn bekannt ist, dass VeraCrypt verwendet wurde, wird man auch die Passwörter für andere verschlüsselte Volumes verlangen. Passender XKCD: https://xkcd.com/538/

  • Wenn das Bedrohungsmodell vorsieht, dass Grenzschutzbeamte das Gerät nicht sehen dürfen, sollte man es vor dem Grenzübertritt selbst zurücksetzen und nach der Ankunft aus einem verschlüsselten Online-Backup wiederherstellen.
    Man transportiert nur ein leeres Telefon, das später eingerichtet wird; zur Installation eines Backups kann man nicht gezwungen werden. Das kann sehr verdächtig wirken und zu zusätzlicher Prüfung führen, aber wenn ein Beamter überhaupt Zugriff auf das Telefon will, ist die Situation ohnehin schon ungewöhnlich.

    • Als ich bei einem großen Tech-Konzern arbeitete, gab es für bestimmte Länder klare Vorgaben, keine echten Arbeitsgeräte mitzunehmen; vor Ort wurden separate Geräte ausgegeben.
    • Wer für den Grenzübertritt eine Duress-PIN nutzen wollte, wird wahrscheinlich diese Methode wählen; das Gerät muss nicht völlig leer sein, sondern nur in einem sauberen Zustand ohne sensible Daten.
    • Bei einer Reise in die USA hatte ich ein MacBook und ein frisch installiertes ThinkPad dabei; die Grenzbeamten interessierten sich auffällig für das ThinkPad und baten darum, „die Galerie zu zeigen“.
      Es gab keine grafische Oberfläche, nur ein Terminal, und wegen eines Problems mit dem Tastaturlayout konnte ich mich nicht einmal einloggen. Ich wurde von sechs Personen etwa zwei Stunden lang befragt, aber das MacBook wurde nicht einmal geprüft.

  • Der entscheidende Punkt ist, dass Bundesbeamte Namen und Fotos herumgereicht und wegen Terrorismusverdachts ermittelt haben, weil die Personen mit der Bewegung gegen Cop City in Verbindung standen.
    Es ist beängstigend, wie weit die USA bei der Verfolgung solcher Aktivisten gehen.

  • Am wichtigsten ist, dass er wegen eines angeblichen Bezugs zur Bewegung gegen Cop City Ziel einer Terrorismus-Ermittlung wurde, doch dazu gibt es kaum Details.
    Ich würde gern wissen, an welchen Aktivitäten er konkret beteiligt war und wie viele Personen ebenfalls ins Visier genommen wurden.

  • Ich frage mich, ob man die Duress-PIN nicht so gestalten könnte, dass sie statt einer Löschung ein sauberes separates Profil öffnet.
    Beim Öffnen eines Duress-Profils, das vorab mit plausiblen Daten gefüllt wurde, könnte das echte Profil im Hintergrund gelöscht werden. Ein Design, das den Bildschirm ausschaltet, mehrfach blinken lässt und nach einem Neustart die Löschung offen signalisiert, ist dagegen kaum anders, als dabei noch eine Hupe ertönen zu lassen.

  • Ich frage mich, wie man beweisen will, dass sich auf dem gelöschten Gerät Beweise für eine Straftat befanden.
    In früheren Fällen mit verschlüsselten Geräten brauchte es erhebliche vorherige Beweise etwa auf dem Niveau von „illegales Material wurde aus diesem Haus übertragen“. Wenn man auf eine Ausweitung von Befugnissen abzielt, sollte man sich einen Fall mit klarer Faktenlage aussuchen; ein so schwacher Fall dürfte eher dazu führen, dass ein Richter die Befugnisse begrenzt, ohne dass es zu einer Verurteilung kommt.

    • Da nicht die eigentliche Straftat, sondern nur Beweisvernichtung oder Behinderung der Justiz nachgewiesen werden muss, werden viele Menschen statt wegen der ursprünglichen Vorwürfe wegen Behinderung der Justiz angeklagt.
      Wenn jemand unmittelbar nach einer Insiderhandels-Ermittlung alle Dokumente verbrennt und den Computer in die Mikrowelle steckt, sollte dieses anschließende Verhalten illegal sein, auch wenn die Behörden vorher nicht von seiner Schuld wussten. Dabei geht es nicht darum, das Verbrennen von Dokumenten an sich zu verbieten, sondern deren Vernichtung, nachdem man von einer laufenden Ermittlung erfahren hat.
    • In der kriminaltechnischen Datenanalyse kommt es häufig vor, dass Verdächtige vorab markiert und überwacht werden und dann an Orten durchsucht werden, an denen Behörden besonders weitreichende Befugnisse haben, etwa an Grenzen oder Kontrollpunkten.
      Manche Behörden haben auch ohne Durchsuchungsbefehl oder hinreichenden Verdacht deutlich stärkere Durchsuchungsbefugnisse als die normale Polizei, und das Löschen eines Geräts selbst kann als Beweisvernichtung gewertet werden.
    • Die heutigen Berufsstrafverfolger im US-Justizministerium sind andere als noch vor einigen Jahren, und ich hoffe, dass dieser Fall ähnlich endet wie der Sub-Sandwich-Angriffsfall.

  • Ich erinnere mich, dass jemand aus dem GrapheneOS-Umfeld vorgeschlagen hatte, einen Zettel mit der Duress-PIN leicht getarnt in der Brieftasche aufzubewahren.
    So könnte man die Polizei dazu bringen, sie freiwillig einzugeben; wenn die Methode aber bekannt wird, könnten auch andere Zettel mit der echten PIN verdächtig wirken.

    • Eine interessante Idee, aber man sollte prüfen, ob diese GrapheneOS-Person ein Anwalt mit Zulassung zur Rechtsberatung war.

  • Man könnte die Duress-PIN so gestalten, dass sie das Gerät neu verschlüsselt, statt es zu löschen, und zwar mit einem langen, vorab festgelegten Schlüssel, der an einem sicheren Ort aufbewahrt wird.
    Ohne Mitwirkung ließen sich die Daten dann wiederherstellen, aber man hätte die Beweise nicht zerstört; selbst wenn man den Schlüssel tatsächlich nicht aufbewahrt hat, müsste die Staatsanwaltschaft beweisen, dass es irgendwo keinen Schlüssel gibt.

    • Für 99 % der Menschen sind Neuverschlüsselung und Löschung funktional dasselbe.
      Mit dem Einwand „technisch gesehen sind die Daten noch da“ wird man Flughafen-Sicherheitsbeamte nicht beeindruckt ziehen lassen; sie werden einen wegen Behinderung der Durchsuchung genauso festnehmen und lange festhalten. Nach der Inhaftierung ist die von Polizei und Staatsanwaltschaft gewünschte Kooperation keine Verhandlung, sondern die sofortige Befolgung von Forderungen ohne Nachfragen; bei Verweigerung ist es gut möglich, dass man zum Exempel gemacht wird.