Η ισραηλινή εταιρεία digital intelligence “Cellebrite” ανέφερε την προηγούμενη εβδομάδα σε ένα blog post, ότι μπορεί να χακάρει την εφαρμογή ανταλλαγής end-to-end κρυπτογραφημένων μηνυμάτων “Signal” που είναι εγκατεστημένη σε κινητά, και να αποκτήσει πρόσβαση στα δεδομένα χρηστών, με το προϊόν Universal Forensic Extract Device (UFED).
Η ανάρτηση διαγράφηκε και οι ειδικοί της τεχνολογίας απέκλεισαν γρήγορα τους ισχυρισμούς της εταιρείας.Συγκεκριμένα, αναφέρουν ότι τα κινητά τηλέφωνα δημοσιογράφων και ακτιβιστών των ανθρωπίνων δικαιωμάτων δεν κινδυνεύουν να παραβιαστούν κατά τη χρήση του Signal.
Το Signal κυκλοφόρησε το 2010 από τον Moxie Marlinspike, έναν Αμερικανό επιχειρηματία και κρυπτογράφο που εργάστηκε για τους τεχνολογικούς κολοσσούς Google, Facebook και WhatsApp, στο διάστημα μεταξύ 2012 και 2016.
Η εφαρμογή έχει εξελιχθεί σε βασικό εργαλείο για δημοσιογράφους και ακτιβιστές ανθρωπίνων δικαιωμάτων, οι οποίοι συνήθως την χρησιμοποιούν για να επικοινωνήσουν με πηγές, θεωρώντας ότι η υπηρεσία ανταλλαγής μηνυμάτων είναι ασφαλής.
Σε όλη τη Μέση Ανατολή καθώς και σε άλλες χώρες, οι κυβερνήσεις έχουν χρησιμοποιήσει τεχνολογία – που συχνά αναπτύσσεται στο Ισραήλ – για να παραβιάσουν τηλέφωνα μέσω εφαρμογών ανταλλαγής μηνυμάτων.
Ενώ το Facebook, το WhatsApp και το Skype χρησιμοποιούν τον κώδικα του Signal για την κρυπτογράφηση των μηνυμάτων των χρηστών τους, η εφαρμογή του Signal είναι γνωστή για την ισχυρή κρυπτογράφηση, η οποία προσθέτει ένα επιπλέον επίπεδο ασφαλείας, κρυπτογραφώντας τα αρχεία και τα συνημμένα που αποστέλλουν οι χρήστες. Με αυτόν τον τρόπο διασφαλίζει στους χρήστες την ασφάλεια από third party software.
Ο Etienne Maynier, ερευνητής ασφαλείας της Διεθνούς Αμνηστίας, δήλωσε στο MEE ότι η τεχνολογία της Cellebrite δεν είναι “πρωτοποριακή”. Προκειμένου η ισραηλινή εταιρεία να έχει πρόσβαση σε δεδομένα και να εκτελεί ιατροδικαστική ανάλυση, χρειάζεται πλήρη πρόσβαση σε ένα κινητό τηλέφωνο, μέσω κωδικού πρόσβασης, αναγνωριστικού αφής ή αναγνώρισης προσώπου. Κάτι τέτοιο θα μπορούσε να επιτευχθεί με δύο τρόπους: νομικά, από την επιβολή του νόμου που ζητά από το χρήστη να παρέχει τον κωδικό πρόσβασης ή από μια τεχνική προσέγγιση, η οποία εκμεταλλεύεται ελαττώματα ασφαλείας στο σύστημα μιας συσκευής.
Επιπλέον, ο Maynier επεσήμανε πως μόλις το προϊόν της Cellebrite αποκτήσει πλήρη πρόσβαση στα δεδομένα ενός τηλεφώνου, δεν υπάρχει τίποτα που να το εμποδίζει τεχνικά να έχει πρόσβαση στα δεδομένα του Signal. Ο Maynier πρόσθεσε ακόμη ότι όποιος έχει πρόσβαση σε μία “ξεκλείδωτη” τηλεφωνική συσκευή, θα έχει στη συνέχεια πρόσβαση στα δεδομένα του Signal και ενδεχομένως και σε άλλες εφαρμογές που είναι εγκατεστημένες στη συσκευή.
Ο Maynier τόνισε ότι το Signal εγγυάται την ασφάλεια κατά την επικοινωνία μέσω end-to-end κρυπτογράφησης, εξηγώντας ωστόσο ότι η ασφάλεια των δεδομένων σε ένα τηλέφωνο εξαρτάται από την ασφάλεια του ίδιου του συστήματος.
Η τεχνολογία της Cellebrite, που ιδρύθηκε το 1999, χρησιμοποιείται σε 154 χώρες, με την εταιρεία να επισημαίνει πως «έχει καταστήσει δυνατή την καταδίκη σε περισσότερα από πέντε εκατομμύρια περιπτώσεις σοβαρών εγκλημάτων, όπως δολοφονία, βιασμός, εμπορία ανθρώπων και παιδεραστία».
Το UFED της Cellebrite είναι μια συσκευή, σε σχήμα tablet, που συνδέεται σε ένα τηλέφωνο για να αποκτήσει πρόσβαση στα δεδομένα του. Χρησιμοποιείται ήδη από το FBI και άλλες αμερικανικές αστυνομικές υπηρεσίες.
Επίσης, οκτώ αμερικανικά δημόσια σχολεία αγόρασαν την προηγούμενη εβδομάδα «κινητά ιατροδικαστικά εργαλεία» από την Cellebrite για πρόσβαση στα δεδομένα των τηλεφώνων των μαθητών τους, σύμφωνα με το Apple Insider.
Το UEFD μπορεί να «τραβήξει» μηνύματα SMS, αρχεία καταγραφής κλήσεων, ιστορικά περιήγησης στο Διαδίκτυο και διαγραμμένα δεδομένα από τηλέφωνα.
Όπως αναφέρει το Middle East Eye, τον Ιανουάριο του 2017, τα δεδομένα που είχαν κλαπεί από την ισραηλινή εταιρεία πουλήθηκαν στην Τουρκία, τη Σαουδική Αραβία και τα Ηνωμένα Αραβικά Εμιράτα, χώρες που είναι γνωστές, μεταξύ άλλων, για τη φυλάκιση δημοσιογράφων και ακτιβιστών. Πούλησε επίσης τα προϊόντα της σε καταπιεστικές χώρες όπως η Βενεζουέλα, η Λευκορωσία και η Ινδονησία. Τον Οκτώβριο σταμάτησε να πωλεί τεχνολογίες πληροφοριών στην Κίνα και τη διοίκηση του Χονγκ Κονγκ, μετά από διεθνή κριτική.
Ο Maynier τόνισε ότι η Cellebrite πρέπει να λάβει τη δέουσα επιμέλεια για τα ανθρώπινα δικαιώματα, ώστε να βεβαιωθεί ότι τα προϊόντα τους δεν χρησιμοποιούνται για παραβίασή τους.
Ο ερευνητής Richi Jennings πραγματοποίησε μια εις βάθος ανάλυση, που αναφέρει ότι η Cellebrite στην πραγματικότητα δεν κατάφερε να «σπάσει» το Signal, αλλά να αντλήσει τα μηνύματα από κινητά τηλέφωνα, στα οποία υπήρχε φυσική πρόσβαση και ήξερε το unlock password.
Αξίζει να σημειωθεί ότι πολλές ισραηλινές εταιρείες, των οποίων οι ιδρυτές και οι εργαζόμενοι προέρχονται από τις βιομηχανίες πληροφοριών και άμυνας, έχουν αναπτύξει τεχνολογίες για να παραβιάσουν και να κατασκοπεύσουν κινητά τηλέφωνα. Ενδεικτικά, η μεγαλύτερη εταιρεία παρακολούθησης του Ισραήλ, NSO Group, πούλησε το software κατασκοπείας Pegasus σε αρκετές καταπιεστικές αραβικές κυβερνήσεις, όπως η Σαουδική Αραβία, τα Ηνωμένα Αραβικά Εμιράτα και το Μαρόκο, που το χρησιμοποίησαν για να κατασκοπεύσουν δημοσιογράφους και ακτιβιστές.
