Wat doe je als iemand toegang tot je telefoon opeist om deze te doorzoeken? Dit is voor mij gelukkig nog altijd een fictieve situatie. Maar wél een waar ik me al jaren geleden op heb voorbereid. Ik wil namelijk als journalist mijn bronnen kunnen beschermen.
Door over te stappen op een GrapheneOS-telefoon heb ik de mogelijkheid om, in uiterste nood, het toestel totaal onklaar te maken voor welke ongenode gast dan ook. Of het nou een kwaadwillende of een overijverige overheidsagent is. Als men onder dwang zou eisen dat ik toegang verschaf tot mijn telefoon door middel van mijn toegangscode, dan is er de ‘nucleaire optie’. Het is met GrapheneOS namelijk mogelijk om een andere cijfercode in te voeren dan je werkelijke wachtwoord – een zogenaamd ‘DURESS-password’ – waarna je hele telefoon wordt ‘gewist’.
P.s. We hebben dit onderwerp ook besproken bij de laatste Pro Privacy Podcast. Je kunt de podcast hier bekijken op YouTube.
Ik heb tot nu toe nooit gebruik hoeven maken van een laatste redmiddel, in tegenstelling tot de Amerikaanse activist Sam Tunick. Hij haalde recentelijk wereldnieuws door het duress-password te gebruiken in plaats van het wachtwoord van zijn GrapheneOS-telefoon, wat zijn hele telefoon onklaar maakte en nader onderzoek zinloos maakte. Tunick werd uiteindelijk aangeklaagd voor het vernietigen van eigendom om inbeslagname te voorkomen.
Wat is er precies gebeurd en waarom is dit wereldnieuws?
In Atlanta (VS) werd een Amerikaanse activist bij terugkeer van zijn vakantie in de Dominicaanse Republiek uit de rij gepikt en onderworpen aan een grenscontrole. Sam Tunick werd, hoogstwaarschijnlijk vanwege zijn activisme, op de korrel genomen door een Customs and Border Protection-eenheid (CBP).
Zijn terugkeer bleek vooraf al voorbereid: Homeland Security had zijn naam en foto rondgestuurd naar de grensdienst CBP en een FBI-terrorismeofficier, wegens “suspected terrorism activities”. De aanleiding was zijn vermeende betrokkenheid bij het protest tegen “Cop City”, een politietrainingscomplex bij Atlanta. Maar over activisme ging het verhoor niet. De agenten beweerden te zoeken naar pedofielen en eisten de codes van zijn telefoon én e-reader.
Zonder bevel en zonder hem te wijzen op zijn rechten. Tot vier keer toe vroeg hij om een advocaat, vier keer zonder resultaat. Toen hij zei te willen zwijgen, kreeg hij te horen dat het bij “immigration and customs” nu eenmaal een “different ballgame” is. Voordat je de Amerikaanse grens over bent, schijnt het daadwerkelijk een grijs gebied te zijn qua rechten… Onder deze druk gaf hij de code van zijn Google Pixel met GrapheneOS. De code werd ingevoerd en de telefoon ging op zwart, herstartte en leek totaal te zijn gewist: in plaats van zijn toegangscode had hij het duress-password gedeeld, waardoor alle informatie op zijn telefoon ontoegankelijk werd.
Tien maanden later werd hij aangeklaagd onder een federale wet tegen ‘het vernietigen van eigendom om inbeslagname te voorkomen’. Maximaal vijf jaar cel. Voor zover bekend is dit de eerste strafzaak ter wereld over een duress-password.
De informatie is NIET gewist – wel ontoegankelijk gemaakt
Alles op een moderne telefoon is tegenwoordig vrijwel standaard versleuteld. Je toegangscode “opent” geen bestanden, maar geeft de encryptiesleutel vrij die veilig is opgeslagen in een aparte beveiligingschip (op een Pixel de Titan M2). Zonder die sleutel is de inhoud van je telefoon wiskundige abracadabra. Onleesbaar voor iedereen — ook voor jou. Een duress-code vernietigt die sleutel. Niet je data. Daarom gaat het in een seconde: er wordt geen 256 GB overschreven, er wordt een sleutel weggegooid.
In dit specifieke geval is de opgeslagen data dus NIET verloren gegaan. De telefoon is in beslag genomen met de data versleuteld, maar aanwezig. De grensdienst vroeg Tunick om de code om zijn telefoon te ontgrendelen. En hier wordt het nog interessanter. Sam Tunick blijkt zelf niets te hebben ingevoerd. Hij noemde een reeks cijfers; een overheidsagent voerde die vervolgens in, waarna de sleutels tot de versleutelde informatie werden vernietigd doordat die agent – zonder het te weten – het duress-password invoerde.
GrapheneOS zelf geeft aan niets illegaals te doen. Ze hebben geen enkele verplichting de beveiliging van het besturingssysteem te verzwakken, van welk onderdeel dan ook. GrapheneOS wijst bovendien op de Amerikaanse Grondwet, die het besturingssysteem juist beschermt en het project in zijn recht doet staan: “Wetten die de beveiliging (van het besturingssysteem) verbieden of verzwakken zouden tegen de Grondwet ingaan.”
Conclusie
Uiteraard wordt nu privacy wederom gecriminaliseerd, maar laat je niets wijsmaken. Als journalist voel ik me verplicht mijn bronnen te beschermen. We zitten middenin een informatieoorlog en bron- en informatiebeveiliging is belangrijker dan ooit. Daarbij kan IK het me niet veroorloven dat ongenode gasten (goedbedoeld én kwaadwillend) door de informatie gaan die in goed vertrouwen met mij is gedeeld.
Stel je eens voor dat je in WOII in het verzet zat en je het onderduikadres van geallieerde piloten op je telefoon had staan… I rest my case.
Dan is super gerust stellend, alleen ik zelf wil bij mijn data kunnen. Voor anderen moet dat zo moeiluck mogeluck zijn
Top geregeld, nu nog effe wachten tot 31- augustus.
https://privacytools.io/guides/phone-and-laptop-seizures-at-airports-and-borders
Waar ik dan benieuwd naar ben is, hoe zorg je na zo’n ‘wipe’ actie dat je weer bij je gegevens kan. Moet je dan terugvallen op een evt. backup die je hebt gemaakt of zijn er slimmere manieren? Speaking of which: weet iemand goede backup software (moet ik denken aan syncthing of cryptomater of zijn er betere opties?
Helaas niet. Moderne besturingssystemen, zoals iOS en Android, hebben ‘File Based Encryption’ (FBE). Alle bestanden op een device zijn per bestand versleuteld, waarbij de sleutels (de keys) alleen toegankelijk zijn via een master key. Als deze master key, of de key van een bestand, wordt verwijderd is er geen toegang meer mogelijk tot de bestanden of dat enkele bestand.
Hoe stel je dat in, een Duress password?