De GrapheneOS-zaak Testen van privacyrechten aan de grens

Atlanta, Georgia - In juli transformeerde een confrontatie op Hartsfield-Jackson Atlanta International Airport een obscure smartphone-beveiligingsfunctie in de focus van een zich uitbreidend constitutioneel geschil over privacy, overheidsmacht en de rechten van reizigers die de Verenigde Staten binnenkomen.

Samuel Tunick, een Amerikaanse activist die banden heeft met de protestbeweging ‘Stop Cop City’, werd na aankomst op de luchthaven van Atlanta gearresteerd door douane- en grensbeschermingsfunctionarissen. Toen agenten toegang tot zijn Google Pixel-telefoon eisten, gaf meneer Tunick een toegangscode op.

Maar de code ontgrendelde het apparaat niet.

In plaats daarvan activeerde het een beveiligingsfunctie die bekend staat als een ‘dwangpincode’, waardoor een onmiddellijke fabrieksreset werd geactiveerd waardoor de cryptografische sleutels en gegevens van de telefoon werden gewist. Op het apparaat draaide GrapheneOS, een op privacy gericht besturingssysteem dat is ontworpen om gebruikers te beschermen tegen toezicht, hacking en ongeoorloofde forensische zoekopdrachten.

Federale aanklagers beschuldigden de heer Tunick vervolgens van belemmering van de rechtsgang, met het argument dat het wissen van de telefoon tijdens een overheidsinspectie neerkwam op de vernietiging van eigendommen die bedoeld waren om de inbeslagname ervan te voorkomen. De heer Tunick heeft onschuldig gepleit, en zijn advocaten beweren dat de onderliggende detentie en huiszoeking zonder bevel onwettig waren.

De aanklager lijkt klaar om een ​​vraag te testen die steeds urgenter is geworden nu mobiele apparaten grotere hoeveelheden persoonlijke, professionele en politieke informatie bevatten: kan de overheid het gebruik van een ingebouwde privacyfunctie als een federale misdaad behandelen?

Een gehard alternatief voor standaard Android

GrapheneOS is een open-source mobiel besturingssysteem gebaseerd op het Android Open Source Project. Het is speciaal ontworpen voor Google Pixel-telefoons en maakt gebruik van de hardwarebeveiligingsinfrastructuur van het apparaat, inclusief de Titan M-beveiligingschip en het Verified Boot-proces, om manipulatie te detecteren en gecodeerde informatie te beschermen.

In tegenstelling tot standaard Android-installaties verwijdert GrapheneOS Google Play Services uit de bevoorrechte kern van het besturingssysteem. Gebruikers kunnen Google-services later installeren, maar deze werken als gewone, beperkte applicaties in een sandbox en krijgen geen brede toegang tot het apparaat.

Het besturingssysteem geeft gebruikers ook een ongewoon strikte controle over individuele applicaties. Apps kunnen de toegang tot internet, opslag, sensoren en andere hardware worden ontzegd zonder dat deze noodzakelijkerwijs hun basisfuncties niet kunnen uitvoeren.

Deze functies hebben GrapheneOS aantrekkelijk gemaakt voor onderzoeksjournalisten, activisten, klokkenluiders en veiligheidsonderzoekers die vertrouwelijke communicatie of informatie kunnen vervoeren waar overheden, bedrijven of vijandige actoren naar op zoek zijn.

De verdedigingsmechanismen gaan verder dan conventionele wachtwoordbeveiliging.

Een geharde geheugenallocator is ontworpen om bepaalde software-exploits te stoppen voordat kwaadaardige code kan worden uitgevoerd. Een automatische herstartfunctie kan een apparaat opnieuw opstarten nadat het een bepaalde periode vergrendeld is gebleven, waardoor het terugkeert naar wat beveiligingsspecialisten een ‘Before First Unlock’-status noemen. In die omstandigheden zijn gecodeerde gegevens aanzienlijk moeilijker te bereiken voor forensische extractietools.

De dwang-PIN is drastischer. Wanneer het wordt ingevoerd, wordt er onmiddellijk een veilige fabrieksreset uitgevoerd, waarbij de cryptografische sleutels worden vernietigd die nodig zijn om toegang te krijgen tot de informatie die op het apparaat is opgeslagen.

Die functie is bedoeld voor situaties waarin een gebruiker denkt dat er beslag is gelegd op een telefoon of dat onder dwang om een ​​toegangscode wordt gevraagd.

In het geval van de heer Tunick lijken aanklagers dezelfde bescherming te zien als een instrument van obstructie.

De groeiende kracht van de uitzondering voor grensonderzoek

Het juridische conflict komt voort uit de brede bevoegdheid die wordt verleend aan federale functionarissen in de havens van binnenkomst.

Volgens de uitzondering voor grensonderzoek op het Vierde Amendement hebben douane- en grensbeschermingsfunctionarissen over het algemeen een grotere vrijheid om mensen en eigendommen die het land binnenkomen te inspecteren dan politieagenten die huiszoekingen binnen de Verenigde Staten uitvoeren.

Federale hoven van beroep hebben herhaaldelijk geoordeeld dat agenten handmatige huiszoekingen op elektronische apparaten aan de grens mogen uitvoeren zonder een bevelschrift te verkrijgen, de waarschijnlijke oorzaak vast te stellen of geïndividualiseerde verdenkingen aan te tonen.

Bij dergelijke zoekopdrachten kunnen agenten door foto's, contacten, berichten en andere informatie bladeren die rechtstreeks op een apparaat is opgeslagen.

Meer indringende forensische zoekopdrachten, waarbij gebruik wordt gemaakt van gespecialiseerde software die de inhoud van een telefoon kan kopiëren of diepgaand analyseren, hebben over het algemeen meer aandacht gekregen. Sommige rechtbanken eisen een redelijk vermoeden voordat ambtenaren deze geavanceerde onderzoeken mogen uitvoeren.

Het Negende Circuit heeft ook het toegestane doel van het doorzoeken van grensapparatuur beperkt, door te oordelen dat agenten de grensuitzondering niet kunnen gebruiken als een algemene visexpeditie voor wetshandhaving. Volgens de benadering van die rechtbank moeten huiszoekingen nauwer verbonden zijn met de grensgerelateerde autoriteit van de overheid, inclusief inspanningen om digitale smokkelwaar te identificeren.

Maar de bescherming verschilt per federaal circuit, waardoor reizigers verschillende privacyrechten hebben, afhankelijk van waar ze het land binnenkomen.

Het Hooggerechtshof heeft de uitzonderlijke gevoeligheid van mobiele telefoongegevens buiten de grenscontext erkend. In Riley v. Californië oordeelde de rechtbank unaniem dat de politie doorgaans een bevel nodig heeft voordat zij de digitale inhoud van een telefoon doorzoekt die tijdens een arrestatie in beslag is genomen.

Die uitspraak benadrukte dat smartphones geen gewone fysieke containers zijn. Ze kunnen jarenlange berichten, foto's, bewegingen, relaties, medische gegevens en financiële gegevens onthullen.

De rechtbank heeft Riley’s bevelvereiste niet volledig uitgebreid tot grensonderzoeken, waardoor federale functionarissen onder bredere zoekbevoegdheden kunnen blijven opereren op luchthavens en andere havens van binnenkomst.

Burgers en niet-burgers worden met verschillende risico's geconfronteerd

De gevolgen van het weigeren van een zoektocht naar een apparaat variëren sterk, afhankelijk van de immigratiestatus van een reiziger.

Amerikaanse burgers kunnen niet de toegang tot de Verenigde Staten worden ontzegd alleen maar omdat ze weigeren een telefoon te ontgrendelen. Maar grensbeambten kunnen hen vasthouden voor ondervraging, hun apparaten in beslag nemen en die apparaten opsturen voor forensisch onderzoek.

Niet-burgers lopen grotere risico's.

Visumhouders en toeristen hebben geen absoluut recht om het land binnen te komen. Weigeren om een ​​telefoon te ontgrendelen kan leiden tot toegangsweigering, visumgevolgen en onmiddellijke verwijdering uit de Verenigde Staten.

Wettige permanente inwoners beschikken over het algemeen over een sterkere bescherming tegen terugkeer dan tijdelijke bezoekers, maar zij kunnen nog steeds te maken krijgen met detentie, ondervraging en immigratieprocedures wanneer de overheid crimineel gedrag, fraude of een andere basis voor niet-ontvankelijkheid beweert.

Het onderscheid betekent dat een privacybeslissing die een Amerikaanse burger een telefoon kan kosten, een niet-burger de mogelijkheid kan kosten om de Verenigde Staten binnen te komen of ernaar terug te keren.

Journalisten en vertrouwelijke bronnen

De vervolging van de heer Tunick vindt plaats naast een ander geschil over elektronische apparaten die op een Amerikaanse luchthaven in beslag zijn genomen.

In juli hielden douane- en grensbeschermingsagenten de onafhankelijke journalist Max Blumenthal tegen op de internationale luchthaven Dulles nadat hij terugkeerde van een reportagereis. Agenten hebben twee mobiele telefoons in beslag genomen en deze ongeveer een week bewaard.

Het Amerikaans-Arabische Antidiscriminatiecomité heeft een noodmotie ingediend om de inbeslagname aan te vechten, met het argument dat de regering het Eerste Amendement, het Vierde Amendement en de Privacy Protection Act heeft geschonden.

De zaak benadrukt de inzet voor journalisten wier apparaten ongepubliceerde berichtgeving, vertrouwelijke bronidentiteiten, communicatie met redacteuren en informatie van mensen kunnen bevatten die nooit hebben ingestemd met overheidsinspectie.

GrapheneOS en soortgelijke beveiligingstools zijn gedeeltelijk ontworpen om dat materiaal te beschermen. Toch suggereert de aanklager van Tunick dat het activeren van de sterkste beschikbare bescherming tijdens een grensontmoeting een reiziger zou kunnen blootstellen aan strafrechtelijke aansprakelijkheid.

Dat levert een lastig conflict op voor journalisten, advocaten en mensenrechtenverdedigers.

Een verslaggever kan een ethische plicht hebben om een ​​bron te beschermen. Een advocaat kan een professionele verplichting hebben om de communicatie tussen advocaat en cliënt te beschermen. Een activist kan over informatie beschikken die mensen identificeert die betrokken zijn bij politieke organisaties.

Aan de grens kunnen deze verantwoordelijkheden botsen met de vraag van de overheid naar onmiddellijke toegang.

Privacytool of bewijsvernietiging?

Het centrale geschil in de zaak van de heer Tunick zou kunnen gaan over de manier waarop een rechtbank de dwangpincode karakteriseert.

Federale aanklagers beschouwen het wissen van de telefoon als een opzettelijke handeling die bedoeld is om te voorkomen dat de overheid bewijsmateriaal in beslag neemt. Voorstanders van privacy zullen de functie waarschijnlijk zien als een vooraf geconfigureerde beveiligingsmaatregel die is ontworpen om persoonlijke informatie te beschermen tegen gedwongen toegang.

De timing kan cruciaal blijken.

Het verwijderen van informatie voordat de wetshandhavers in aanraking komen, is iets anders dan het vernietigen ervan nadat agenten een huiszoeking hebben gestart of de controle over het apparaat hebben beweerd. Aanklagers zullen naar verwachting betogen dat zodra de inspectie begon, het wissen van de telefoon een wettige federale functie verstoorde.

De verdediging betwist het uitgangspunt dat de huiszoeking zelf rechtmatig was.

Dat geschil roept bredere constitutionele vragen op. Het Vijfde Amendement beschermt mensen tegen de verplichting zichzelf te beschuldigen, hoewel rechtbanken tot verschillende conclusies zijn gekomen over de vraag of het dwingen van iemand om een ​​toegangscode op te geven een getuigenis is. Het Vierde Amendement beschermt tegen onredelijke huiszoekingen, maar de grensdoctrine beperkt deze bescherming aanzienlijk.

De zaak kan rechtbanken ook dwingen het verschil onder ogen te zien tussen het passief weigeren toegang te verlenen en het actief activeren van het wissen van apparaten.

Een burger kan weigeren een toegangscode vrij te geven en toch worden toegelaten tot de Verenigde Staten, ook al kan de telefoon in beslag worden genomen. De theorie van de regering in het geval van de heer Tunick suggereert dat het activeren van een geautomatiseerde veiligheidsreactie de juridische grens overschrijdt van niet-medewerking naar obstructie.

Waar die lijn begint, is niet duidelijk vastgesteld.

Een test van digitale rechten aan de grens

De aanklacht tegen Tunick komt er nu smartphones steeds meer fungeren als uitgebreide registratie van iemands leven.

Het apparaat van een reiziger kan locatiegeschiedenis, politieke verenigingen, medische informatie, privéfoto's, financiële rekeningen en jarenlange persoonlijke correspondentie bevatten. Voor journalisten en advocaten kan het ook informatie bevatten die toebehoort aan honderden andere mensen.

GrapheneOS is gebouwd rond het idee dat gebruikers de toegang tot die informatie moeten controleren, zelfs als een apparaat wordt gestolen, gehackt of fysiek in beslag wordt genomen.

De zaak van de federale overheid presenteert een concurrerend principe: dat een persoon geen informatie kan vernietigen om een ​​wettige inspectie of inbeslagneming te frustreren.

Een uitspraak tegen de heer Tunick zou aanklagers een nieuw instrument kunnen bieden om mensen te vervolgen die tijdens grensinspecties de beveiliging tegen het wissen van gegevens activeren. Het zou journalisten, activisten en andere risicovolle reizigers er ook van kunnen weerhouden beveiligingsfuncties te gebruiken die bedoeld zijn om vertrouwelijke informatie te beschermen.

Een uitspraak in zijn voordeel zou het vermogen van de regering kunnen beperken om reizigers te vervolgen wegens het inzetten van privacybescherming, terwijl de grondwettelijke uitdagingen voor verdenkingsloze elektronische zoekopdrachten zouden kunnen worden versterkt.

Voorlopig laat de zaak reizigers voor een onzekere en consequente keuze staan.

Ze kunnen hun apparaten beschermen tegen inbraak. Ze kunnen weigeren deze te ontgrendelen en riskeren detentie of inbeslagneming. Maar als ze een systeem activeren dat is ontworpen om de gegevens te laten verdwijnen, kunnen ze tot de conclusie komen dat de overheid de daad zelf als een misdaad beschouwt.