Uso responsable
A quién vendemos es una decisión, y la tomamos nosotros mismos.
El software que se vende a cuerpos policiales merece una página que diga cuáles son sus límites. Esta está escrita en primera persona del plural porque los compromisos son de la empresa, y porque una política a la que nadie se ha comprometido no es una política.
Por qué existe esta página
La industria se ganó la pregunta.
El análisis forense digital tiene un problema de reputación, y se lo ha ganado. Productos vendidos como herramientas de investigación han aparecido en los teléfonos de periodistas, abogados y políticos de la oposición, y las empresas implicadas solían descubrir una política después de que estallara la noticia, y no antes.
No vamos a fingir que VERA queda fuera de esa historia por ser pequeña o europea. Quien evalúe este software debe poder leer lo que haremos y lo que no haremos, decidir si es creíble y exigirnos que lo cumplamos. Ese es todo el propósito de esta página.
La distinción que importa
Esto es software forense, no software de vigilancia.
VERA lee una extracción que ya existe, tomada de un dispositivo que ya está en poder de un investigador, incautado con una autorización legal concedida antes de que se abriera nunca el software. No extrae un dispositivo, no salta un bloqueo ni el cifrado del dispositivo, y no tiene ninguna capacidad de adquisición.
No puede interceptar una comunicación. No puede llegar a un dispositivo a través de una red. No puede dirigirse contra una persona. Cada una de esas limitaciones es una propiedad fija de lo que es el software, y no un ajuste que alguien pudiera cambiar, y eso sitúa a VERA en una categoría materialmente distinta de los productos que protagonizaron los titulares.
Esa distinción limita las formas en que este software puede usarse mal. No las elimina, porque una incautación legal puede ser en sí misma un instrumento de represión, y una herramienta que acelera el análisis también acelera el mal análisis. La distinción es una razón para tener cuidado con quién lo compra, y no una razón para dejar de preocuparse.
Acelerar la revisión de las pruebas no es neutral. Es útil para un servicio que hace bien su trabajo, y también es útil para un servicio que hace otra cosa.
La línea
A quién vendemos y a quién no.
La primera lista es el mínimo legal y no es un compromiso, porque no es más que la ley. La segunda lista es donde está la decisión real.
Vendemos a
- Autoridades públicas que llevan a cabo investigaciones penales bajo control judicial o un control independiente equivalente.
- Laboratorios forenses nacionales y regionales que prestan servicio a esas autoridades.
- Fiscalías y tribunales, cuando dispongan de capacidad propia de análisis.
- Centros académicos y de formación que enseñan análisis forense digital, con datos sintéticos.
No vendemos a
- Ninguna jurisdicción ni entidad sujeta a medidas restrictivas de la Unión Europea o de Francia.
- Empresas privadas de inteligencia, empresas de investigación corporativa y corredores de datos comerciales.
- Unidades cuya función sea la vigilancia de periodistas, abogados, defensores de derechos humanos u oposición política.
- Cualquier comprador que no nos diga para qué es el software, o que lo quiera sin demostración y sin preguntas.
Cómo se toma la decisión
Nada llega a un comprador sin nuestro acuerdo.
Este es el dato concreto que hace comprobable el resto de esta página. El acceso a VERA nunca es automático. Cada organización es aprobada por nosotros antes de poder descargar nada, cada clave de licencia es emitida por nosotros a nombre de su titular, y cada titular acepta los VERA Software Licence Terms en su propia cuenta. No existe ninguna vía por la que este software llegue a un comprador con el que no hayamos acordado.
Eso no es un mérito moral: es una consecuencia de la forma en que se construye el acceso. Pero es una propiedad estructural real, y vale más que un documento de política, porque el fallo habitual en este sector no es una política escrita que diga algo incorrecto. Es una política escrita que se evita en silencio en el momento de la venta. Aquí el control está en el punto de acceso, y solo nosotros lo tenemos.
También esperamos rechazar ventas que son perfectamente legales. Que una licencia sea legal de conceder es el comienzo de la evaluación y no su final, y si el único argumento para una venta es que nada lo prohíbe, no es un argumento que pensemos aceptar.
Dónde podemos equivocarnos
Lo que no podemos ver y no vamos a pretender que vemos.
VERA no tiene telemetría. No informa de cómo se usa: aparte de la comprobación de licencia (el identificador de la clave, el código del puesto y la versión), cuando el puesto tiene red, solo se conecta al exterior cuando su conexión a Internet de VERA está activada, lo que no ocurre por defecto, y entonces solo para las descargas de modelos que inicia el analista y para el mapa base (OpenStreetMap, salvo que el analista conserve únicamente el paquete de mapas local). La única excepción es el catálogo público de la biblioteca, una lectura que no lleva datos de casos. No tenemos acceso a ningún despliegue. Ese es el diseño correcto para un cliente cuyas pruebas no deben salir nunca de su edificio, y no lo cambiaríamos.
Esto también significa que no podemos vigilar lo que hace un cliente. Una vez instalado el software dentro de una red cerrada, no tenemos ningún medio técnico para saber en qué casos se usa. Podemos retirar una clave de licencia, lo que detiene un puesto con red en su siguiente comprobación, pero nada nos dice para qué se usa el software. Cualquier proveedor en esta posición que le diga que puede garantizar el uso posterior, o bien tiene una telemetría que no ha mencionado, o bien exagera lo que controla.
Así que la posición honesta es esta. Controlamos quién obtiene acceso, y lo controlamos por completo porque cada organización es aprobada por nosotros y cada clave es emitida por nosotros. No controlamos lo que pasa después, y no vamos a describir una cláusula contractual como si fuera un control técnico. Lo que sí podemos hacer es rechazar la siguiente venta y explicar públicamente por qué.
La otra mitad de la responsabilidad
Dentro del expediente, se aplica el mismo principio.
El uso responsable no solo trata de quién tiene la licencia. También trata de lo que el software anima al analista a hacer una vez la tiene, y ahí está en realidad la mayor parte del riesgo del día a día.
VERA está diseñado para que ningún resultado entre en un informe sin que una persona haya comprobado la fuente. Cada afirmación del asistente lleva el archivo, la tabla y la fila exactos que la respaldan, y la verificación es un solo clic. La cobertura generada no se aplica nunca a un caso hasta que un analista ha revisado una vista previa sobre los datos reales y la ha aceptado. Los registros recuperados se marcan como recuperados, para que una fila recuperada por carving nunca se confunda con una activa.
Son decisiones de diseño tomadas porque una herramienta que facilita saltarse la verificación acabará usándose así, por muy cuidadosamente que esté escrito el manual.
Si algo no va bien
Díganoslo, y si lo prefiere, hágalo público.
Si cree que VERA se está usando de una forma que esta página descarta, escríbanos a alexandre@veraforensics.com. Responderemos, y si la preocupación está fundada lo diremos aquí y no solo a usted.
Si cree que un compromiso de esta página es demasiado débil, o demasiado vago para valer algo, también merece que nos lo escriba. Esta página está pensada para que se nos pida cuentas por ella. Sirve de poco si no puede hacerse.
Alexandre Ansart
VERA Forensics · alexandre@veraforensics.com
Haga las preguntas difíciles en la demostración.
Normalmente treinta minutos en una videollamada, sin guion. Presencial si lo necesita, o una conversación previa. Si las preguntas que quiere ver respondidas son las de esta página y no las de funciones, es mejor uso del tiempo.
Cada solicitud se revisa antes de conceder el acceso.