Utilizare responsabilă
Cui vindem este o decizie, și o luăm noi înșine.
Software-ul vândut serviciilor de poliție merită o pagină care spune care sunt limitele. Aceasta este scrisă la persoana întâi plural pentru că angajamentele sunt ale companiei, și pentru că o politică pe care nimeni nu și-a asumat-o nu este o politică.
De ce există această pagină
Industria a meritat întrebarea.
Criminalistica digitală are o problemă de reputație, și a meritat-o. Produse vândute ca instrumente de investigație au fost găsite pe telefoanele jurnaliștilor, ale avocaților și ale politicienilor din opoziție, iar companiile implicate au descoperit de obicei o politică după ce povestea a izbucnit, nu înainte.
Nu vom pretinde că VERA este scutit de această istorie pentru că este mic sau european. Oricine evaluează acest software ar trebui să poată citi ce vom face și ce nu vom face, să decidă dacă este credibil și să ne țină de cuvânt. Acesta este întregul scop al acestei pagini.
Distincția care contează
Acesta este software criminalistic, nu software de supraveghere.
VERA citește o extracție care există deja, luată de pe un dispozitiv aflat deja în posesia unui investigator, sechestrat sub o autoritate legală acordată înainte ca software-ul să fi fost deschis vreodată. Nu extrage un dispozitiv, nu ocolește o blocare sau criptarea dispozitivului și nu are nicio capacitate de achiziție de niciun fel.
Nu poate intercepta o comunicație. Nu poate ajunge la un dispozitiv printr-o rețea. Nu poate fi îndreptat către o persoană. Fiecare dintre acestea este o proprietate dură a ceea ce este software-ul, nu o setare pe care cineva ar putea-o schimba, și așază VERA într-o categorie material diferită de produsele care au generat titlurile.
Această distincție limitează felurile în care acest software poate fi folosit abuziv. Nu le elimină, pentru că un sechestru legal poate fi el însuși un instrument de represiune, iar un instrument care face analiza mai rapidă face și analiza rea mai rapidă. Distincția este un motiv să fim atenți la cine îl cumpără, nu un motiv să încetăm să ne preocupăm.
A face revizuirea probelor mai rapidă nu este neutru. Este util unui serviciu care își face treaba cum trebuie, și este util unui serviciu care face altceva.
Linia
Către ce vindem și către ce nu vindem.
Prima listă este pragul legal și nu este un angajament, pentru că este pur și simplu legea. A doua listă este locul unde trăiește decizia propriu-zisă.
Vândut către
- Autorități publice care desfășoară investigații penale sub control judiciar sau un control independent echivalent.
- Laboratoare de criminalistică naționale și regionale care servesc acele autorități.
- Servicii de urmărire penală și instanțe, acolo unde își conduc propria capacitate de examinare.
- Instituții academice și de formare care predau criminalistica digitală, pe date sintetice.
Nu este vândut către
- Orice jurisdicție sau entitate aflată sub măsuri restrictive ale Uniunii Europene sau ale Franței.
- Firme private de informații, companii de investigații corporative și intermediari comerciali de date.
- Unități a căror misiune este supravegherea jurnaliștilor, a avocaților, a apărătorilor drepturilor omului sau a opoziției politice.
- Orice cumpărător care nu ne spune la ce folosește software-ul, sau care îl vrea fără o demonstrație și fără întrebări.
Cum se ia decizia
Nimic nu ajunge la un cumpărător fără acordul nostru.
Iată faptul concret care face restul acestei pagini verificabil. Accesul la VERA nu este niciodată automat. Fiecare organizație este aprobată de noi înainte să poată descărca orice, fiecare cheie de licență este emisă de noi în numele titularului său, iar fiecare titular acceptă VERA Software Licence Terms în propriul cont. Nu există nicio cale prin care acest software să ajungă la un cumpărător cu care nu am fost de acord.
Aceasta nu este o realizare morală, este o consecință a modului în care este construit accesul. Dar este o proprietate structurală reală, și valorează mai mult decât un document de politică, pentru că eșecul obișnuit în această industrie nu este o politică scrisă care spune lucrul greșit. Este o politică scrisă care este ocolită în liniște în momentul vânzării. Aici verificarea se face în momentul accesului, iar numai noi o deținem.
Ne așteptăm și să refuzăm vânzări care sunt perfect legale. Faptul că o licență poate fi acordată în mod legal este începutul evaluării, nu sfârșitul ei, iar dacă singurul argument pentru o vânzare este că nimic nu o interzice, acesta nu este un argument pe care intenționăm să îl acceptăm.
Unde putem greși
Ce nu putem vedea, și nu vom pretinde că vedem.
VERA nu are telemetrie. Nu raportează nimic despre felul în care este folosit: în afara verificării licenței (identificatorul cheii, codul stației de lucru și versiunea), când stația de lucru are o rețea, se conectează în exterior numai când conexiunea sa la internet VERA este pornită, iar aceasta este oprită implicit, și atunci numai pentru descărcările de modele pe care le pornește analistul și pentru harta de fundal (OpenStreetMap, dacă analistul nu păstrează numai pachetul local de hărți). Singura excepție este catalogul bibliotecii publice, o citire care nu poartă date de caz. Nu avem acces la nicio instalare. Aceasta este concepția corectă pentru un client ale cărui probe nu trebuie să părăsească niciodată clădirea, și nu am schimba-o.
Înseamnă și că nu putem urmări ce face un client. Odată ce software-ul este instalat într-o rețea închisă, nu avem niciun mijloc tehnic de a ști pe ce cazuri este folosit. Putem retrage o cheie de licență, ceea ce oprește o stație de lucru care are o rețea la verificarea ei următoare, dar nimic nu ne spune la ce este folosit software-ul. Orice furnizor aflat în această poziție care vă spune că poate garanta utilizarea din aval fie rulează o telemetrie pe care nu a menționat-o, fie exagerează ceea ce controlează.
Așadar poziția onestă este aceasta. Controlăm cui obține acces, și o controlăm complet pentru că fiecare organizație este aprobată de noi și fiecare cheie este emisă de noi. Nu controlăm ce se întâmplă după aceea, și nu vom descrie o clauză contractuală ca și cum ar fi un control tehnic. Ce putem face este să refuzăm vânzarea următoare și să spunem public de ce.
Cealaltă jumătate a responsabilității
În dosarul cazului se aplică același principiu.
Utilizarea responsabilă nu privește numai cine deține licența. Privește și ceea ce software-ul încurajează un analist să facă odată ce o are, și aici se află de fapt cea mai mare parte a riscului de zi cu zi.
VERA este construit astfel încât niciun rezultat să nu poată intra într-un raport fără ca un om să fi verificat sursa. Fiecare afirmație a asistentului poartă fișierul, tabelul și rândul exact din spatele ei, iar verificarea este un clic. Acoperirea generată nu se aplică niciodată unui caz până când un analist nu a revizuit o previzualizare pe datele reale și nu a acceptat-o. Înregistrările recuperate sunt marcate ca recuperate, astfel încât un rând obținut prin carving să nu fie niciodată confundat cu unul activ.
Acestea sunt decizii de concepție luate pentru că un instrument care face ușoară ocolirea verificării va fi folosit până la urmă astfel, oricât de atent ar fi scris manualul.
Dacă ceva este greșit
Spuneți-ne, și spuneți-ne public dacă preferați.
Dacă credeți că VERA este folosit într-un fel pe care această pagină îl exclude, scrieți-ne la alexandre@veraforensics.com. Vom răspunde, iar dacă îngrijorarea este întemeiată o vom spune aici, nu numai dumneavoastră.
Dacă credeți că un angajament de pe această pagină este prea slab, sau prea vag ca să valoreze ceva, și aceasta merită să ne scrieți. Această pagină este menită să fie ținută împotriva noastră. Nu folosește la mare lucru dacă nu poate fi.
Alexandre Ansart
VERA Forensics · alexandre@veraforensics.com
Puneți întrebările dificile în demonstrație.
De obicei treizeci de minute într-un apel video, fără scenariu. La fața locului dacă aveți nevoie, sau mai întâi o conversație. Dacă întrebările la care vreți răspuns sunt cele de pe această pagină, nu cele despre funcții, aceasta este o folosire mai bună a timpului.
Fiecare cerere este citită înainte ca accesul să fie acordat.