Indyjski rząd zwolnił z krajowych zasad zamówień publicznych zakup zagranicznego sprzętu do analizy telefonów, w tym narzędzi izraelskiej firmy Cellebrite. Ustaliła to organizacja Internet Freedom Foundation (IFF). Eksperci ostrzegają, że wydobywanie danych z urządzeń odbywa się w prawnej szarej strefie, bez realnej kontroli.
Wyjątek od zasady „make in India”
Zgodnie z zasadą „make in India” przy rządowych zamówieniach pierwszeństwo mają indyjscy producenci. Przepisy dopuszczają jednak wyjątki za zgodą ministra odpowiedzialnego za dany resort. Z dokumentów, które widziała IFF, wynika, że minister spraw wewnętrznych Amit Shah podpisał 7 stycznia roczne zwolnienie dla co najmniej 422 pozycji sprzętu i oprogramowania forensycznego.
Z kolei pismo z 20 stycznia pozwalało Narodowej Agencji Śledczej (NIA) kupić narzędzie Cellebrite Premium Tool na trzyletniej licencji za około 50 milionów rupii, czyli ok. 530 tys. dolarów. Na liście IFF wskazała 118 pozycji z kategorii informatyki śledczej, m.in. produkty Cellebrite oraz firm Magnet, MSAB, Oxygen Forensics i Belkasoft. Są też programy do analizy otwartych źródeł, monitorowania darknetu i śledzenia kryptowalut. Samo zwolnienie nie dowodzi, że dany produkt kupiono, ale pokazuje, po co mogły sięgnąć służby. Podobne narzędzia nabyły także stany rządzone przez opozycyjny Kongres, m.in. Himachal Pradesh, Keralam i Karnataka.
Nie tylko telefon, także konta w chmurze
Zakres możliwości wychodzi daleko poza klonowanie telefonu. Przetarg Policji Delhi opisywał oprogramowanie, które omija hasła w systemach macOS, Windows i Linux, przełamuje blokadę ekranu, odtwarza usunięte pliki i historię przeglądarki, rozszyfrowuje kopie zapasowe oraz wyciąga dane z komunikatorów.
Policja chciała też systemu „wszystko w jednym”, który po odzyskaniu z urządzenia danych logowania lub tokenów (cyfrowych kluczy utrzymujących zalogowanie) otwiera ponad 100 usług chmurowych. Wśród nich są Google, Apple, WhatsApp, Instagram, Telegram, Discord oraz aplikacje randkowe, takie jak Tinder i Grindr. Wymagania obejmowały również dane z dronów, urządzeń noszonych oraz asystentów Alexa i Google Home.
Luka w prawie i pytania bez odpowiedzi
IFF zwraca uwagę, że w Indiach nie ma ustawy ani procedury, która regulowałaby wymuszone odblokowanie i pełne skopiowanie danych z zajętego telefonu. Przepisy nie mówią też, jak długo służby mogą przechowywać pozyskane dane. Tymczasem Sąd Najwyższy w wyroku z 2017 roku uznał prywatność za prawo podstawowe, a ingerencja państwa musi mieć podstawę prawną i być proporcjonalna.
Prawniczka Vrinda Bhandari, zajmująca się prawami cyfrowymi, oceniła, że inwigilacja staje się szersza i głębsza. Jej zdaniem w Indiach działa tylko wewnętrzna kontrola w ramach władzy wykonawczej, inaczej niż np. w Wielkiej Brytanii czy Niemczech. Jak powiedziała: „Cały sens nadzoru polega na tym, by stworzyć tarcie dla inwigilacji”.
Niektórzy mają podejrzenia dotyczące własnych urządzeń. Youtuber Dhruv Rathee, krytyk rządu, twierdzi, że po zatrzymaniu przed protestem policja próbowała sklonować jego iPhone’a, ale próba mogła się nie udać z powodu nowszej wersji iOS. Reporter Mohammad Aslam Hussain mówi, że po zatrzymaniu dostał telefon z selektywnie skasowanymi nagraniami. Al Jazeera nie mogła zweryfikować tych relacji, a urzędy nie odpowiedziały na pytania. Rząd zaprzecza zarzutom o nielegalny nadzór, w tym związanym ze spyware’em Pegasus.
Co to oznacza w Polsce
Sprawa dotyczy Indii, ale pokazuje problem, który zna także Europa: narzędzia forensyczne, tworzone z myślą o walce z przestępczością, mogą w razie słabej kontroli posłużyć do szerokiej inwigilacji. W Polsce o granicach takich działań dyskutuje się od lat, głównie w kontekście Pegasusa. W UE dostęp służb do danych wymaga podstawy prawnej i proporcjonalności, choć szczegóły kontroli różnią się między państwami.
Dla zwykłego użytkownika wniosek jest praktyczny. Warto na bieżąco aktualizować system telefonu, bo luki wykorzystywane przez takie narzędzia są stopniowo łatane. Dobrze też stosować długi kod blokady zamiast prostego wzoru oraz pamiętać, że zalogowane konta w chmurze mogą być równie wrażliwe jak sam telefon.
Źródło: Al Jazeera – „India bypasses own rules to buy Israeli phone-hacking tech”