GrapheneOS Case Testing Privacy Rights at the Border

Atlanta, Georgia - I juli förvandlade en konfrontation på Hartsfield-Jackson Atlanta International Airport en obskyr smarttelefonsäkerhetsfunktion till fokus för en växande konstitutionell tvist om integritet, regeringsmakt och rättigheterna för resenärer som reser in i USA.

Samuel Tunick, en amerikansk aktivist med anknytning till proteströrelsen "Stop Cop City", greps av tull- och gränsskyddstjänstemän efter att ha anlänt till Atlantas flygplats. När agenter krävde tillgång till hans Google Pixel-telefon angav herr Tunick ett lösenord.

Men koden låste inte upp enheten.

Istället aktiverade den en säkerhetsfunktion känd som en "tvångs-PIN", som utlöste en omedelbar fabriksåterställning som raderade telefonens kryptografiska nycklar och data. Enheten körde GrapheneOS, ett integritetsfokuserat operativsystem utformat för att skydda användare från övervakning, hacking och otillåtna kriminaltekniska sökningar.

Federala åklagare anklagade därefter Tunick för att hindra rättvisa och hävdade att att torka telefonen under en statlig inspektion motsvarade förstörelse av egendom som var avsedd att förhindra att den beslagtogs. Herr Tunick har erkänt sig oskyldig, och hans advokater hävdar att den underliggande frihetsberövandet och husrannsakan var olaglig.

Åklagaren verkar redo att testa en fråga som har blivit allt mer angelägen eftersom mobila enheter innehåller större mängder personlig, professionell och politisk information: Kan regeringen behandla användningen av en inbyggd integritetsfunktion som ett federalt brott?

Ett härdat alternativ till standard Android

GrapheneOS är ett mobiloperativsystem med öppen källkod baserat på Android Open Source Project. Den är designad specifikt för Google Pixel-telefoner och använder enhetens hårdvarusäkerhetsinfrastruktur, inklusive Titan M-säkerhetschipet och Verified Boot-processen, för att upptäcka manipulation och skydda krypterad information.

Till skillnad från vanliga Android-installationer tar GrapheneOS bort Google Play Services från operativsystemets privilegierade kärna. Användare kan installera Googles tjänster senare, men de fungerar som vanliga, begränsade applikationer i en sandlåda istället för att få bred åtkomst till enheten.

Operativsystemet ger också användarna ovanligt strikt kontroll över enskilda applikationer. Appar kan nekas åtkomst till internet, lagring, sensorer och annan hårdvara utan att nödvändigtvis hindra dem från att utföra sina grundläggande funktioner.

Dessa funktioner har gjort GrapheneOS attraktivt för undersökande journalister, aktivister, whistleblowers och säkerhetsforskare som kan bära konfidentiell kommunikation eller information som eftersöks av regeringar, företag eller fientliga aktörer.

Dess försvar sträcker sig utöver konventionellt lösenordsskydd.

En förstärkt minnesallokator är utformad för att stoppa vissa programvaruexploater innan skadlig kod kan köras. En funktion för automatisk omstart kan starta om en enhet efter att den har förblivit låst under en viss period, vilket återställer den till vad säkerhetsspecialister kallar tillståndet "Före första upplåsning". I det tillståndet är krypterad data betydligt svårare för kriminaltekniska extraheringsverktyg att nå.

Tvångs-PIN-koden är mer drastisk. När den skrivs in, initierar den omedelbart en säker fabriksåterställning, vilket förstör de kryptografiska nycklar som behövs för att komma åt information som är lagrad på enheten.

Den funktionen är avsedd för situationer där en användare tror att en telefon har beslagtagits eller att ett lösenord begärs under tvång.

I Tunicks fall verkar åklagare se samma skydd som ett obstruktionsinstrument.

Gränssökningens expanderande kraft

Den rättsliga konflikten uppstår från den breda befogenhet som ges till federala tjänstemän vid infartshamnar.

Enligt undantaget för gränssökning till det fjärde tillägget har tull- och gränsskyddstjänstemän i allmänhet större frihet att inspektera människor och egendom som kommer in i landet än poliser som gör husrannsakan i USA.

Federala appellationsdomstolar har upprepade gånger slagit fast att tjänstemän kan utföra manuella sökningar av elektroniska enheter vid gränsen utan att erhålla ett beslut, fastställa sannolika skäl eller visa individuell misstanke.

Vid sådana sökningar kan tjänstemän bläddra igenom fotografier, kontakter, meddelanden och annan information som lagras direkt på en enhet.

Mer påträngande kriminaltekniska sökningar, som involverar specialiserad programvara som kan kopiera eller djupgående analysera en telefons innehåll, har i allmänhet fått större granskning. Vissa domstolar kräver skälig misstanke innan tjänstemän kan genomföra dessa avancerade undersökningar.

Den nionde kretsen har också begränsat det tillåtna syftet med sökningar av gränsanordningar, och bedömt att poliser inte kan använda gränsundantaget som en allmän brottsbekämpande fiskeexpedition. Enligt den domstolens tillvägagångssätt måste sökningar kopplas närmare till regeringens gränsrelaterade myndighet, inklusive insatser för att identifiera digitalt smuggelgods.

Men skydden varierar beroende på federala kretsar, vilket ger resenärerna olika integritetsrättigheter beroende på var de kommer in i landet.

Högsta domstolen har erkänt den exceptionella känsligheten hos mobiltelefondata utanför gränssammanhang. I Riley v. Kalifornien fastslog domstolen enhälligt att polisen i allmänhet behöver en arresteringsorder innan den genomsöker det digitala innehållet i en telefon som beslagtagits under en arrestering.

Den domen betonade att smartphones inte är vanliga fysiska behållare. De kan avslöja år av meddelanden, fotografier, rörelser, relationer, medicinska detaljer och ekonomiska register.

Rätten har inte utvidgat Rileys krav på godkännande helt till gränssökningar, vilket gör det möjligt för federala tjänstemän att fortsätta verka under bredare sökbefogenheter på flygplatser och andra infartshamnar.

Medborgare och icke-medborgare möter olika risker

Konsekvenserna av att vägra en enhetssökning skiljer sig kraftigt åt beroende på en resenärs immigrationsstatus.

Amerikanska medborgare kan inte nekas inresa till USA bara för att de vägrar att låsa upp en telefon. Men gränstjänstemän kan kvarhålla dem för förhör, beslagta deras enheter och skicka dessa enheter för rättsmedicinsk undersökning.

Icke-medborgare står inför större risker.

Visuminnehavare och turister har inte en absolut rätt att komma in i landet. Att vägra att låsa upp en telefon kan leda till nekad inresa, visumkonsekvenser och omedelbar bortvisning från USA.

Lagliga permanentboende har i allmänhet starkare skydd för återinträde än tillfälliga besökare, men de kan fortfarande ställas inför frihetsberövande, förhör och immigrationsförfaranden när regeringen hävdar brottsligt beteende, bedrägeri eller annan grund för otillåtlighet.

Skillnaden innebär att ett integritetsbeslut som kan kosta en amerikansk medborgare en telefon kan kosta en icke-medborgare möjligheten att komma in i eller återvända till USA.

Journalister och konfidentiella källor

Åtalet mot herr Tunick utspelar sig tillsammans med en annan tvist som involverar elektroniska apparater som beslagtagits på en amerikansk flygplats.

I juli stoppade tull- och gränsskyddstjänstemän den oberoende journalisten Max Blumenthal på Dulles internationella flygplats efter att han återvänt från en reportageresa. Polisen beslagtog två mobiltelefoner och behöll dem i ungefär en vecka.

Den amerikansk-arabiska antidiskrimineringskommittén lämnade in en brådskande motion som utmanade beslaget och hävdade att regeringen bröt mot det första tillägget, det fjärde tillägget och lagen om integritetsskydd.

Fallet belyser insatserna för journalister vars enheter kan innehålla opublicerad rapportering, konfidentiella källidentiteter, kommunikation med redaktörer och information som tillhör personer som aldrig samtyckt till statlig inspektion.

GrapheneOS och liknande säkerhetsverktyg är delvis utformade för att skydda det materialet. Ändå föreslår åklagarmyndigheten i Tunick att aktivering av de starkaste tillgängliga skydden under ett gränsmöte skulle kunna utsätta en resenär för straffansvar.

Det skapar en svår konflikt för journalister, advokater och människorättsförsvarare.

En reporter kan ha en etisk skyldighet att skydda en källa. En advokat kan ha en professionell skyldighet att skydda kommunikation mellan advokat och klient. En aktivist kan ha information som identifierar personer som är involverade i politisk organisering.

Vid gränsen kan dessa skyldigheter kollidera med regeringens krav på omedelbar tillgång.

Sekretessverktyg eller förstörelse av bevis?

Den centrala tvisten i herr Tunicks fall kan handla om hur en domstol karakteriserar tvångs-PIN.

Federala åklagare framställer telefontorkningen som en avsiktlig handling avsedd att förhindra regeringen från att beslagta bevis. Sekretessförespråkare kommer sannolikt att se funktionen som en förkonfigurerad säkerhetsåtgärd utformad för att skydda personlig information från tvångsåtkomst.

Tidpunkten kan visa sig vara kritisk.

Att radera information innan man stöter på brottsbekämpning skiljer sig från att förstöra den efter att tjänstemän har inlett en sökning eller hävdat kontroll över enheten. Åklagare förväntas hävda att när inspektionen väl började, störde en laglig federal funktion att torka telefonen.

Försvaret ifrågasätter premissen att själva husrannsakan var laglig.

Den tvisten väcker bredare konstitutionella frågor. Det femte tillägget skyddar människor från att tvingas att inkriminera sig själva, även om domstolar har kommit fram till olika slutsatser om huruvida det är ett vittnesmål att tvinga någon att ange ett lösenord. Det fjärde tillägget skyddar mot orimliga sökningar, men gränsdoktrinen minskar dessa skydd avsevärt.

Målet kan också tvinga domstolar att konfrontera skillnaden mellan att passivt vägra ge tillgång och att aktivt utlösa en enhetsrensning.

En medborgare kan vägra att avslöja ett lösenord och fortfarande släppas in i USA, även om telefonen kan beslagtas. Regeringens teori i Tunicks fall tyder på att aktivering av ett automatiskt säkerhetssvar korsar en juridisk gräns från icke-samarbete till hinder.

Var den linjen börjar har inte klarlagts.

Ett test av digitala rättigheter vid gränsen

Tunick-åklagaren kommer när smartphones i allt högre grad fungerar som omfattande register över en persons liv.

En resenärs enhet kan innehålla platshistorik, politiska associationer, medicinsk information, privata fotografier, finansiella konton och år av personlig korrespondens. För journalister och jurister kan den också innehålla information som tillhör hundratals andra personer.

GrapheneOS byggdes kring idén att användare ska kontrollera åtkomsten till den informationen även när en enhet blir stulen, hackad eller fysiskt beslagtagen.

Den federala regeringens fall presenterar en konkurrerande princip: att en person inte kan förstöra information för att hindra en laglig inspektion eller beslag.

En dom mot herr Tunick kan ge åklagare ett nytt verktyg för att förfölja personer som aktiverar datatorkningsskydd under gränsinspektioner. Det kan också avskräcka journalister, aktivister och andra högriskresenärer från att använda säkerhetsfunktioner som är avsedda att skydda konfidentiell information.

En dom till hans fördel kan begränsa regeringens möjlighet att åtala resenärer för att ha tillämpat integritetsskydd samtidigt som de konstitutionella utmaningarna för misstänkta elektroniska sökningar stärks.

För närvarande lämnar fallet resenärerna inför ett oklart och följdriktigt val.

De kan skydda sina enheter mot intrång. De kan vägra att låsa upp dem och riskera frihetsberövande eller beslag. Men om de aktiverar ett system som är utformat för att få uppgifterna att försvinna kan de upptäcka att regeringen betraktar själva gärningen som ett brott.