Υπεύθυνη χρήση
Σε ποιους πουλάμε είναι απόφαση, και την παίρνουμε οι ίδιοι.
Λογισμικό που πωλείται σε αστυνομικές υπηρεσίες αξίζει μια σελίδα που λέει ποια είναι τα όρια. Αυτή είναι γραμμένη στο πρώτο πρόσωπο πληθυντικού γιατί οι δεσμεύσεις είναι της εταιρείας, και γιατί μια πολιτική στην οποία κανείς δεν έχει δεσμευτεί δεν είναι πολιτική.
Γιατί υπάρχει αυτή η σελίδα
Ο κλάδος κέρδισε την ερώτηση.
Η ψηφιακή εγκληματολογία έχει πρόβλημα φήμης, και το κέρδισε. Προϊόντα που πωλήθηκαν ως ερευνητικά εργαλεία έχουν βρεθεί στα τηλέφωνα δημοσιογράφων, δικηγόρων και πολιτικών της αντιπολίτευσης, και οι εμπλεκόμενες εταιρείες συνήθως ανακάλυπταν μια πολιτική αφού έσπαγε η ιστορία και όχι πριν.
Δεν πρόκειται να προσποιηθούμε ότι το VERA εξαιρείται από αυτή την ιστορία επειδή είναι μικρό ή ευρωπαϊκό. Όποιος αξιολογεί αυτό το λογισμικό πρέπει να μπορεί να διαβάσει τι θα κάνουμε και τι δεν θα κάνουμε, να αποφασίσει αν είναι αξιόπιστο, και να μας κρατήσει σε αυτό. Αυτός είναι όλος ο σκοπός αυτής της σελίδας.
Η διάκριση που έχει σημασία
Αυτό είναι εγκληματολογικό λογισμικό, όχι λογισμικό παρακολούθησης.
Το VERA διαβάζει μια εξαγωγή που υπάρχει ήδη, παρμένη από συσκευή που βρίσκεται ήδη στην κατοχή ενός ερευνητή, κατασχεμένη υπό νόμιμη εξουσία που είχε δοθεί πριν ανοίξει ποτέ το λογισμικό. Δεν εξάγει συσκευή, δεν παρακάμπτει κλείδωμα ή κρυπτογράφηση συσκευής, και δεν έχει καμία δυνατότητα απόκτησης οποιουδήποτε είδους.
Δεν μπορεί να υποκλέψει μια επικοινωνία. Δεν μπορεί να φτάσει μια συσκευή μέσω δικτύου. Δεν μπορεί να στραφεί εναντίον ενός προσώπου. Καθένα από αυτά είναι σκληρή ιδιότητα αυτού που είναι το λογισμικό και όχι μια ρύθμιση που κάποιος θα μπορούσε να αλλάξει, και τοποθετεί το VERA σε ουσιωδώς διαφορετική κατηγορία από τα προϊόντα που γέννησαν τους τίτλους.
Αυτή η διάκριση περιορίζει τους τρόπους με τους οποίους αυτό το λογισμικό μπορεί να γίνει αντικείμενο κατάχρησης. Δεν τους εξαλείφει, γιατί μια νόμιμη κατάσχεση μπορεί η ίδια να είναι όργανο καταστολής, και ένα εργαλείο που κάνει την ανάλυση ταχύτερη κάνει και την κακή ανάλυση ταχύτερη. Η διάκριση είναι λόγος για προσοχή ως προς το ποιος το αγοράζει, και όχι λόγος για να πάψουμε να ανησυχούμε.
Το να γίνεται ταχύτερη η εξέταση τεκμηρίων δεν είναι ουδέτερο. Είναι χρήσιμο σε μια υπηρεσία που κάνει σωστά τη δουλειά της, και είναι χρήσιμο σε μια υπηρεσία που κάνει κάτι άλλο.
Η γραμμή
Σε τι θα πουλήσουμε και σε τι δεν θα πουλήσουμε.
Η πρώτη λίστα είναι το νομικό δάπεδο και δεν είναι δέσμευση, γιατί είναι απλώς ο νόμος. Η δεύτερη λίστα είναι εκεί όπου ζει η πραγματική απόφαση.
Πωλείται σε
- Δημόσιες αρχές που διεξάγουν ποινικές έρευνες υπό δικαστική ή ισοδύναμη ανεξάρτητη εποπτεία.
- Εθνικά και περιφερειακά εγκληματολογικά εργαστήρια που υπηρετούν αυτές τις αρχές.
- Υπηρεσίες εισαγγελίας και δικαστήρια, όπου διατηρούν δική τους δυνατότητα εξέτασης.
- Ακαδημαϊκά και εκπαιδευτικά ιδρύματα που διδάσκουν ψηφιακή εγκληματολογία, σε συνθετικά δεδομένα.
Δεν πωλείται σε
- Οποιαδήποτε δικαιοδοσία ή οντότητα υπό περιοριστικά μέτρα της Ευρωπαϊκής Ένωσης ή της Γαλλίας.
- Ιδιωτικές εταιρείες πληροφοριών, εταιρείες εταιρικών ερευνών και εμπορικούς μεσίτες δεδομένων.
- Μονάδες των οποίων η αρμοδιότητα είναι η παρακολούθηση δημοσιογράφων, δικηγόρων, υπερασπιστών ανθρωπίνων δικαιωμάτων ή πολιτικής αντιπολίτευσης.
- Οποιονδήποτε αγοραστή που δεν θα μας πει σε τι χρησιμεύει το λογισμικό, ή που το θέλει χωρίς επίδειξη και χωρίς ερωτήσεις.
Πώς λαμβάνεται η απόφαση
Τίποτα δεν φτάνει σε αγοραστή χωρίς τη δική μας συμφωνία.
Ιδού το συγκεκριμένο γεγονός που κάνει το υπόλοιπο αυτής της σελίδας ελέγξιμο. Η πρόσβαση στο VERA δεν είναι ποτέ αυτόματη. Κάθε οργανισμός εγκρίνεται από εμάς προτού μπορέσει να κατεβάσει οτιδήποτε, κάθε κλειδί άδειας εκδίδεται από εμάς στο όνομα του κατόχου του, και κάθε κάτοχος αποδέχεται τους VERA Software Licence Terms στον δικό του λογαριασμό. Δεν υπάρχει διαδρομή με την οποία αυτό το λογισμικό φτάνει σε αγοραστή με τον οποίο δεν έχουμε συμφωνήσει.
Αυτό δεν είναι ηθικό επίτευγμα, είναι συνέπεια του τρόπου με τον οποίο είναι δομημένη η πρόσβαση. Είναι όμως πραγματική δομική ιδιότητα, και αξίζει περισσότερο από ένα έγγραφο πολιτικής, γιατί η συνήθης αποτυχία σε αυτόν τον κλάδο δεν είναι μια γραπτή πολιτική που λέει το λάθος πράγμα. Είναι μια γραπτή πολιτική που παρακάμπτεται αθόρυβα τη στιγμή της πώλησης. Εδώ ο έλεγχος γίνεται στο σημείο της πρόσβασης, και μόνο εμείς τον κατέχουμε.
Περιμένουμε επίσης να αρνηθούμε πωλήσεις που είναι απολύτως νόμιμες. Το ότι μια άδεια είναι νόμιμο να χορηγηθεί είναι η αρχή της αξιολόγησης και όχι το τέλος της, και αν το μόνο επιχείρημα για μια πώληση είναι ότι τίποτα δεν την απαγορεύει, αυτό δεν είναι επιχείρημα που σκοπεύουμε να δεχτούμε.
Πού είμαστε επισφαλείς
Τι δεν μπορούμε να δούμε, και δεν θα ισχυριστούμε ότι μπορούμε.
Το VERA δεν έχει τηλεμετρία. Δεν αναφέρει τίποτα για το πώς χρησιμοποιείται: πέρα από τον έλεγχο άδειας (το αναγνωριστικό του κλειδιού, τον κωδικό του σταθμού εργασίας και την έκδοση), όταν ο σταθμός εργασίας έχει δίκτυο, συνδέεται έξω μόνο όταν η σύνδεση Internet του VERA είναι ενεργή, η οποία είναι ανενεργή από προεπιλογή, και τότε μόνο για τις λήψεις μοντέλων που ξεκινά ο αναλυτής και για τον χάρτη βάσης (OpenStreetMap, εκτός αν ο αναλυτής κρατά μόνο το τοπικό πακέτο χάρτη). Η μία εξαίρεση είναι ο κατάλογος της δημόσιας βιβλιοθήκης, μια ανάγνωση που δεν μεταφέρει δεδομένα υπόθεσης. Δεν έχουμε πρόσβαση σε καμία εγκατάσταση. Αυτός είναι ο σωστός σχεδιασμός για έναν πελάτη του οποίου τα τεκμήρια δεν πρέπει ποτέ να φύγουν από το κτίριό του, και δεν θα τον αλλάζαμε.
Σημαίνει επίσης ότι δεν μπορούμε να παρακολουθούμε τι κάνει ένας πελάτης. Μόλις το λογισμικό εγκατασταθεί μέσα σε κλειστό δίκτυο, δεν έχουμε τεχνικό μέσο να γνωρίζουμε σε ποιες υποθέσεις χρησιμοποιείται. Μπορούμε να αποσύρουμε ένα κλειδί άδειας, το οποίο σταματά έναν σταθμό εργασίας που έχει δίκτυο στον επόμενο έλεγχό του, αλλά τίποτα δεν μας λέει σε τι χρησιμοποιείται το λογισμικό. Οποιοσδήποτε προμηθευτής σε αυτή τη θέση σάς λέει ότι μπορεί να εγγυηθεί τη μεταγενέστερη χρήση είτε εκτελεί τηλεμετρία που δεν έχει αναφέρει είτε υπερβάλλει ως προς αυτό που ελέγχει.
Άρα η ειλικρινής θέση είναι αυτή. Ελέγχουμε ποιος αποκτά πρόσβαση, και το ελέγχουμε πλήρως γιατί κάθε οργανισμός εγκρίνεται από εμάς και κάθε κλειδί εκδίδεται από εμάς. Δεν ελέγχουμε τι συμβαίνει μετά, και δεν πρόκειται να περιγράψουμε μια συμβατική ρήτρα σαν να ήταν τεχνικός έλεγχος. Αυτό που μπορούμε να κάνουμε είναι να αρνηθούμε την επόμενη πώληση, και να πούμε δημόσια γιατί.
Το άλλο μισό της ευθύνης
Μέσα στον φάκελο της υπόθεσης ισχύει η ίδια αρχή.
Η υπεύθυνη χρήση δεν αφορά μόνο το ποιος κρατά την άδεια. Αφορά επίσης το τι ενθαρρύνει το λογισμικό έναν εξεταστή να κάνει μόλις την έχει, και εδώ βρίσκεται πράγματι το μεγαλύτερο μέρος του καθημερινού κινδύνου.
Το VERA είναι κατασκευασμένο έτσι ώστε κανένα αποτέλεσμα να μην μπορεί να μπει σε αναφορά χωρίς ένας άνθρωπος να έχει ελέγξει την πηγή. Κάθε δήλωση του Βοηθού φέρει το ακριβές αρχείο, τον πίνακα και τη γραμμή πίσω από αυτή, και η επαλήθευση είναι ένα κλικ. Η δημιουργημένη κάλυψη δεν εφαρμόζεται ποτέ σε μια υπόθεση έως ότου ένας εξεταστής έχει εξετάσει μια προεπισκόπηση πάνω στα πραγματικά δεδομένα και την έχει αποδεχτεί. Οι ανακτημένες εγγραφές σημειώνονται ως ανακτημένες ώστε μια γραμμή από carving να μην εκληφθεί ποτέ ως ενεργή.
Αυτές είναι αποφάσεις σχεδιασμού που ελήφθησαν γιατί ένα εργαλείο που κάνει εύκολο το να παραλειφθεί η επαλήθευση θα χρησιμοποιηθεί τελικά έτσι, όσο προσεκτικά κι αν είναι γραμμένο το εγχειρίδιο.
Αν κάτι είναι λάθος
Πείτε μας, και πείτε το δημόσια αν το προτιμάτε.
Αν πιστεύετε ότι το VERA χρησιμοποιείται με τρόπο που αυτή η σελίδα αποκλείει, γράψτε μας στο alexandre@veraforensics.com. Θα απαντήσουμε, και αν η ανησυχία είναι βάσιμη θα το πούμε εδώ και όχι μόνο σε εσάς.
Αν νομίζετε ότι μια δέσμευση σε αυτή τη σελίδα είναι πολύ αδύναμη, ή πολύ αόριστη για να αξίζει κάτι, και αυτό αξίζει να μας το γράψετε. Αυτή η σελίδα προορίζεται να χρησιμοποιηθεί εναντίον μας. Δεν χρησιμεύει πολύ αν δεν μπορεί.
Alexandre Ansart
VERA Forensics · alexandre@veraforensics.com
Θέστε τις δύσκολες ερωτήσεις στην επίδειξη.
Συνήθως τριάντα λεπτά σε βιντεοκλήση, χωρίς σενάριο. Επιτόπου αν το χρειάζεστε, ή πρώτα μια συζήτηση. Αν οι ερωτήσεις που θέλετε να απαντηθούν είναι αυτές αυτής της σελίδας και όχι αυτές για τις δυνατότητες, αυτή είναι καλύτερη χρήση του χρόνου.
Κάθε αίτημα εξετάζεται πριν χορηγηθεί πρόσβαση.