- 米司法省は、Atlanta在住の Sam Tunick が空港検査中にスマートフォンを初期化し、押収対象の証拠を故意に破棄したとして、連邦法違反で起訴した
- Google Pixel向けのオープンソースOS GrapheneOS は、特定のパスワードで端末を初期化できる機能を備えており、OSの機能を根拠に法律を適用した前例は見つけにくい異例の事件
- Dominican Republicから帰国したTunickはHartsfield-Jackson Atlanta International Airportで取り調べを受け、弁護側は 令状も権利告知もなく、弁護士への相談要請も4回拒否されたと主張
- 繰り返しロック解除を求められた末にパスワードを提供すると、スマートフォンが再起動してデータが消えたが、検察と弁護側は 故意の初期化だったか、捜索が適法だったか をめぐって対立している
- 国境や国際空港で認められる政府の広範な捜索権限と、プライバシー保護OSの使用を犯罪容疑の根拠にできるのかが争点で、証拠排除の判断は早くても10月末以降になる見込み
空港での取り調べとスマートフォンの初期化
- 事件は前年1月24日、TunickがDominican Republicへの旅行を終えて Atlanta国際空港 に帰国したことから始まった
- 連邦捜査官らは、Cop City反対運動に関係しているという理由でTunickを「テロ活動容疑」の調査対象とみなし、氏名と写真を内部で共有していた
- Tunickは二次検査室に移され、複数の捜査官から質問を受けた
- 弁護側は、児童性的搾取物の捜査は抗議運動との関係を把握するための 口実 だったと主張
- Tunickは弁護士と話させてほしいと4回求めたが、いずれも拒否された
- 捜査官が令状を示したり権利を告知したりしなかった、というのが弁護側の立場
- 政府はこれを通常の空港検査と位置づけ、Customs and Border Protection所属のLarry Findleyは禁制品を探していたと述べた
- 捜査官らは、スマートフォンのロックを解除しなければ押収すると繰り返し警告した
- Tunickがパスワードを提供すると画面が消え、何度か点滅した後、端末が再起動したように見え、データが消失した
- 検察は証拠を消すための 故意の行為 と判断したが、弁護側は違憲な捜索で得られた証拠は排除すべきだと反論している
GrapheneOSと法的争点
- GrapheneOS は、Google Pixelスマートフォンのプライバシー保護とセキュリティを強化するオープンソースOSで、特定のパスワードを入力して端末を初期化できる
- サイバーセキュリティおよび監視の専門家Christophe Boutryと、Electronic Frontier FoundationのBill Buddingtonは、同様の起訴を見たことがないと述べた
- Boutryは、今回の法的アプローチが GrapheneOSを基本的に犯罪に関連するツールのように扱う メッセージを送る可能性があると懸念している
- 支持者らは、この機能は合法的なセキュリティ手段であり、犯罪意図を証明するものではないと見ている
- FranceとSpainでも、当局がセキュリティ保護された端末へのアクセスに苦慮し、GrapheneOSの使用自体を不審なものとして扱った事例がある
- SpainのCatalonia警察は、GrapheneOSをインストールしたPixelユーザーを麻薬密売人やギャング構成員と仮定してプロファイリングしてきた
- 事件は、昨年春に開設された 1億900万ドル規模のCop City 警察訓練施設への反対運動と結びついている
- 活動家らは警察の軍事化と環境への影響を懸念し、法執行機関側は訓練と人材採用に必要な施設だと擁護した
- 州レベルでのデモ参加者起訴の試みは難航しており、最近では連邦当局が介入し、前月に別件の起訴も発表した
- 米国の国境と国際空港では当局により広い捜索権限が認められるため、適用される 憲法上の権利の範囲 が裁判の核心的な争点となる
1件のコメント
Hacker Newsのコメント
ネット上では「政府はXを違法化できない、単にYでしかない」という還元主義的な論理をよく見かけるが、米国法は行為の表面よりも意図を重視する
携帯電話を消去する4桁の数字は普通のPINと同じビット列かもしれないが、それを入力して何を起こそうとしたのかが核心である。意図を立証できるかは別問題だが、強要PINは政府が自分の味方である強盗侵入の状況で使うほうが安全だ
陪審員は本当の同輩ではなく、陪審義務を避けられなかった人たちであり、連邦検察官の有罪判決成功率は90%を超え、陪審判断には同調圧力のような法外的要素が大きく作用する。Aaron Swartzに起きたことのように、法は権力の仮面なのだから、権利は行使すべきだがそのコストも知っておくべきであり、国家機関が嘘をつく誘因も無視してはならない
プログラマにとって2つの
1234は同じビットだが、裁判所はデジタルに表現されない意図・出所・許可という色を区別する条文が明白で一般人の解釈が妥当でも、政府と裁判所は望む結論のために無理な論理を作り出せるし、十分な反対がなければそのまま固定化される。良くも悪くも、法は多くの面で紙切れにすぎない
携帯電話の消去は仲間の活動家たちの安全のための行動だった可能性が高く、麻薬取引のような犯罪が理由ではなかった
端末を消去する強要PINを選ぶと法的結果が伴う可能性があることは認めるべきだ
国境から米国政府機関までを脅威モデルに含めるなら、自分で携帯電話を消して証拠をなくしたと解釈される行動をしなくても、端末の押収に耐えられるセキュリティ手順が必要になる。失ってもよいデータだけを持ち歩き、旅行用のパスワードマネージャーと必須アカウント用のハードウェアキーを別途用意したうえで、帰国後ただちにパスワードとキーを廃棄すべきだ。過去の旅行者の事例を検討して、起訴や嫌がらせを招く行動を避け、弁護士に手順の法的リスクを確認してもらうべきである。米国パスポートの利便性というベルベットの手袋の下にある鉄拳を忘れてはならない
職員が自分で入力して携帯電話を消去したなら、自分がやったのではなく、彼らが自分でやったと言えるかもしれない
法的に違いがあるのかは分からないが、かなり皮肉ではある
それまでは私有財産なのだから、望むように扱えて当然のはずだ
VeraCryptにはおとりOSのための予約領域を作る機能がある
おとり用パスワードを入力すると実際の領域は空き領域のように見え、おとりボリュームだけが開かれ、本物のパスワードを入力して初めて実際のOSとファイルシステムが復号される。強要PINよりも、こうした隠しOSのほうが標準になるべきなのかもしれない。現場の職員はたいてい精密なフォレンジックより、携帯電話のロック解除、スパイウェアの実行、見かけ上の協力姿勢の確認といった手順に集中するので、業務フローを刺激せずに安全を守るほうがよい
https://veracrypt.io/en/VeraCrypt%20Hidden%20Operating%20Sys...
すべてのアドレスへの書き込みがファームウェアから同じように見える専用の抽象化、単純にはランダムなキー・バリューマップのようなもので解決できる余地はある
説得力のある実装は思った以上に難しく、パスワードを出さないという理由で拘束する政権なら、隠しボリュームを確実に立証できなかったからといって解放してくれるとも思えない
VeraCryptを使っていると分かれば、別の暗号化ボリュームのパスワードも要求されるだろう。関連XKCD: https://xkcd.com/538/
国境警備職員に端末を見られてはならないという脅威モデルなら、国境を越える前に自分で初期化し、到着後に暗号化されたオンラインバックアップから復元すればよい
あとは後で設定する空の携帯電話を運ぶだけで、バックアップのインストールまで強制はできない。かなり怪しく見えて追加調査を受けるかもしれないが、そもそも職員が携帯電話へのアクセスを求めるなら、その時点ですでに異常な状況だ
グラフィカルインターフェースはなくターミナルしかなく、キーボード配列の問題でログインすらできず、6人から約2時間尋問されたが、MacBookは確認すらされなかった
連邦職員がCop City反対運動に関係しているという理由で名前と写真を回し、テロ活動容疑で捜査したという点が核心だ
米国がこうした活動家をどこまで追跡するのか、恐ろしいほどだ
Cop City反対運動に関連していたことを理由に、テロ容疑の捜査対象になっていたという点が最も重要だが、詳細がほとんどない
具体的にどのような活動に関与していたのか、同じ標的にされた人が何人いるのか知りたい
強要PINで削除ではなく、クリーンな別プロファイルを開くようにすればよいのではないかという疑問がある
もっともらしいデータをあらかじめ入れた強要プロファイルを開く際に、実際のプロファイルをバックグラウンドで消すこともできるのに、画面を消して何度も点滅させたあと再起動し、削除された事実を露骨に知らせる設計は、クラクションまで鳴らすのと大差ない
削除された機器に犯罪の証拠があったことをどう立証するのか疑問だ
過去の暗号化機器の事件では、「違法な資料がこの家から送信された」という程度の相当な事前証拠が必要だった。権限拡大を狙うなら事実関係が確かな事件を選ぶべきで、こんな弱い事件では裁判官に権限を制限させるうえ、有罪判決も得られない可能性が高い
インサイダー取引の捜査直後にすべての文書を燃やし、コンピューターを電子レンジに入れたなら、当局が事前に有罪を知っていなかったとしても、その後の行動は違法であるべきだ。これは文書焼却そのものを禁じるのではなく、進行中の捜査を知ったうえで破棄する行為を禁じるということだ
一部の機関は令状や相当な理由がなくても一般警察よりはるかに強い捜索権限を持ち、機器の削除それ自体が証拠隠滅容疑になり得る
GrapheneOS関係者の一人が、財布に強要PINを書いた紙を少し偽装して入れておくよう提案していたのを覚えている
警察に自発的に入力させることはできるが、その手口が知られれば、実際のPINが書かれた別の紙まで疑われかねない
強要PINで削除ではなく、安全な場所に保管した長い事前設定キーで機器を再暗号化するようにできる
協力なしではデータを復元できないが、証拠を破壊したわけではなく、実際にキーを保管していなかったとしても、検察はどこかにキーが存在しないことを立証しなければならない
「技術的にはデータは残っている」という反論で空港保安職員が感心して通してくれることはなく、捜索妨害として同じように逮捕し、長期間拘束するだろう。拘束後に警察と検察が求める協力は交渉ではなく、質問なしで即座に要求に従うことであり、拒否すれば見せしめにされる可能性が高い