Fundador de Signal: pirateé la herramienta de la policía para descifrar teléfonos Cellebrite


Moxie Marlinspike acusa a la empresa de vigilancia de estar ‘vinculada a la persecución’ en todo el mundo

El director ejecutivo de la aplicación de mensajería Signal afirma haber pirateado las herramientas de descifrado de teléfonos utilizadas por la policía en Gran Bretaña y en todo el mundo para extraer información de los dispositivos incautados.

En una publicación en línea, Moxie Marlinspike, la investigadora de seguridad que fundó Signal en 2013, detalló una serie de vulnerabilidades en los dispositivos de vigilancia, fabricados por la empresa israelí Cellebrite.

Marlinspike dice que esas debilidades facilitan que cualquiera pueda plantar código en un teléfono que se haría cargo del hardware de Cellebrite si se usara para escanear el dispositivo. No solo podría afectar silenciosamente todas las investigaciones futuras, sino también reescribir los datos que las herramientas habían guardado de análisis anteriores.

Marlinspike ha sido un crítico abierto de Cellebrite desde que la compañía afirmó ser capaz de “romper el cifrado de la señal”, una afirmación que el pirata informático ha rechazado. “Cellebrite crea software para automatizar la extracción física y la indexación de datos desde dispositivos móviles”, dice. “Su lista de clientes ha incluido regímenes autoritarios en Bielorrusia, Rusia, Venezuela y China; escuadrones de la muerte en Bangladesh; juntas militares en Myanmar; y aquellos que buscan abusar y oprimir en Turquía, Emiratos Árabes Unidos y otros lugares.

“Sus productos a menudo se han relacionado con la persecución de periodistas y activistas encarcelados en todo el mundo, pero se ha escrito menos sobre lo que realmente hace o cómo funciona su software”.

Las fuerzas policiales de todo el mundo utilizan la tecnología de Cellebrite para ayudar en las investigaciones digitales, especialmente cuando han logrado hacerse con un dispositivo físico propiedad de un sospechoso o persona de interés. Si bien Cellebrite se ha relacionado con intentos de eludir dispositivos cifrados, la mayoría de sus herramientas están diseñadas para permitir que los equipos forenses digitales extraigan información de dispositivos desbloqueados y encendidos, y automaticen el tipo de búsquedas que teóricamente podrían hacer a mano en el teléfono. sí mismo.

Pero a través de la ingeniería inversa de un dispositivo Cellebrite (Marlinspike afirma que adquirió el dispositivo “cuando vi caer un paquete pequeño de un camión delante de mí”), el fundador de Signal dice que encontró más de 100 vulnerabilidades de seguridad, de las cuales solo una podría modificarse ” no solo el informe de Cellebrite que se está creando en ese análisis, sino también todos los informes de Cellebrite generados anteriormente y en el futuro de todos los dispositivos escaneados previamente y todos los dispositivos escaneados en el futuro “.

“Cualquier aplicación podría contener un archivo de este tipo, y hasta que Cellebrite sea capaz de reparar con precisión todas las vulnerabilidades en su software con una confianza extremadamente alta, el único remedio que tiene un usuario de Cellebrite es no escanear los dispositivos”, dice Marlinspike. En una sugerencia de guiño de que su compañía ha colocado una trampa explosiva dentro de su propia aplicación, Marlinspike agrega que “en noticias completamente ajenas, las próximas versiones de Signal buscarán periódicamente archivos para colocarlos en el almacenamiento de la aplicación. Estos archivos nunca se utilizan para nada dentro de Signal y nunca interactúan con el software o los datos de Signal, pero se ven bien y la estética es importante en el software “.

En un comunicado, Cellebrite dijo: “Cellebrite permite a los clientes proteger y salvar vidas, acelerar la justicia y preservar la privacidad en investigaciones sancionadas legalmente. Tenemos políticas estrictas de licencias que rigen cómo se permite a los clientes utilizar nuestra tecnología y no vendemos a países que estén sancionados por EE. UU., Israel o la comunidad internacional en general. Cellebrite se compromete a proteger la integridad de los datos de nuestros clientes, y auditamos y actualizamos continuamente nuestro software para equipar a nuestros clientes con las mejores soluciones de inteligencia digital disponibles ”.

.



Source link