Come proteggere i tuoi dati privati ​​alla frontiera americana

Il 27 gennaio, il presidente Donald Trump ha firmato un ordine esecutivo che ha immediatamente cambiato le politiche di immigrazione e di viaggio degli Stati Uniti in relazione ai sette paesi a maggioranza musulmana. Il cambiamento ha scatenato proteste che hanno toccato l'industria della tecnologia, al punto che oltre 100 aziende hanno infine firmato un documento contestando l'ordine.

Una versione rivista dell'ordine, destinata ad avere una posizione legale più solida rispetto alla prima, è stata firmata il 6 marzo ed era prevista per entrare in vigore il 16 marzo, ma anche questa è stata fermata dai tribunali.

Tra le storie di detentori di visti, vettori di carte verdi e persino cittadini degli Stati Uniti detenuti al confine con gli Stati Uniti, sono state anche riportate notizie secondo cui alcuni telefoni di persone sono stati perquisiti da agenti di protezione doganale e di frontiera (CBP). In alcuni casi, sembra che il CBP abbia costretto le persone a sbloccare i loro telefoni come parte di una ricerca.

Prenditi un momento per considerare il tuo smartphone. In esso ci sono tutti i tuoi messaggi di testo e foto. L'elenco dei contatti e il registro delle chiamate mostrano con chi stai comunicando, un'informazione fondamentale nelle indagini antiterrorismo.

Considera anche, tutte le app sul tuo telefono che non richiedono un'autenticazione aggiuntiva. Una volta che il telefono è aperto, chiunque può sfogliare l'intero profilo di Facebook, leggere tutti i messaggi su servizi di messaggistica crittografati come WhatsApp o Signal. L'accesso immediato e fisico a un dispositivo, anche bloccato, rappresenta un grave rischio per la sicurezza.

Nathan Wessler, un avvocato del personale con il progetto sulla privacy e la tecnologia vocale ACLU, ha detto che gli agenti CBP hanno due tattiche quando eseguono ricerche di dispositivi digitali. (Si noti che l'autore è un donatore ACLU.)

"In alcune circostanze, eseguiranno una ricerca superficiale e rimarranno lì e sfoglieranno il mouse o fare clic attraverso il dispositivo per vedere se potrebbero guardare attraverso e-mail, immagini e contatti, solo alla ricerca di qualcosa di sospetto", ha detto. "Poi ci sono le vere ricerche forensi, in cui stanno scaricando i contenuti del dispositivo sul proprio sistema informatico e eseguendo algoritmi di ricerca forense su di esso, che possono rivelare tutti i dati, inclusi i file eliminati che non sono stati ancora sovrascritti e metadati che il proprietario non sapeva nemmeno che ci fosse ".

Considerato ciò che è in gioco, i viaggiatori potrebbero non voler semplicemente consegnare i propri dispositivi agli agenti delle forze dell'ordine da cercare. Ma Wessler mi ha detto che la giurisprudenza per questo particolare problema non è sviluppata e poco chiara.

"Il CBP rivendica l'autorità di cercare il dispositivo elettronico di chiunque alla frontiera ogni volta che lo desidera, per qualsiasi motivo o per nessun motivo, e una persona non ha opzioni reali e pratiche per impedire a un agente di frontiera di impadronirsi del telefono", ha disse.

Non c'è modo, ha spiegato, di impedire a un agente del CBP di togliere la borsa da un nastro trasportatore in aeroporto. L'agenzia ha chiaramente il diritto di cercare bagagli e viaggiatori, dopo tutto. Ecco come funziona l'applicazione della legge. "Allo stesso modo, non esiste un buon modo per impedire loro di estrarre il telefono dalla borsa o dalla mano", secondo Wessler.

Cittadini statunitensi alla frontiera

Naturalmente, avere il dispositivo in mano non significa che può essere facilmente cercato, motivo per cui gli agenti CBP stanno costringendo gli individui a sbloccare tali dispositivi. Wessler ha affermato che per i cittadini statunitensi, ai quali non può essere negato il rientro negli Stati Uniti, il rifiuto di sbloccare i loro telefoni comporta meno rischi. Ma ci saranno quasi sicuramente delle conseguenze.

"Non pensiamo che possa essere legalmente obbligato a consegnare le proprie password, ma ogni persona deve prendere la propria decisione pratica", ha affermato Wessler. "È possibile che gli agenti di frontiera sequestrino il tuo cellulare e non lo riprenderanno per settimane o mesi mentre lo inviano a un'altra struttura affinché un esaminatore possa tentare di introdurlo.

"Abbiamo sentito da persone che hanno cercato di rifiutare di consegnare le loro password e gli agenti del CBP hanno dato loro ciò che è stato presentato come una scelta, anche se è abbastanza coercitivo: o ci dai la password o non vedrai il tuo telefono per un mese mentre proviamo ad accedere a questi dati da soli."

Ho insistito su Wessler su questo punto riguardo al fatto che il CBP o altre agenzie dell'intelligence o delle forze dell'ordine stessero davvero lavorando per irrompere nei telefoni dei cittadini. "Non abbiamo informazioni sulla frequenza o se riescono mai a decifrare le password. Ma quando si impadroniscono di un telefono, è chiaramente ciò che intendono fare", ha detto. Ho contattato CBP per un commento, ma non ho avuto notizie in tempo per la pubblicazione.

Carta verde e vettori Visa, tutti gli altri

Essere un cittadino al confine degli Stati Uniti significa che il CBP e le altre forze dell'ordine non possono semplicemente rimandarti nel paese di provenienza. Nella peggiore delle ipotesi, potresti finire nel CBP o nella custodia della polizia, ma anche in questo caso rimani sul suolo degli Stati Uniti e nell'ambito del sistema legale americano.

Questo non è il caso dei non cittadini, ai quali potrebbe semplicemente essere negato l'ingresso negli Stati Uniti e rimetterli su un aereo. Ciò crea un enorme incentivo per i non cittadini a cooperare pienamente con la CBP e altri agenti di frontiera.

"I titolari di carta verde hanno un diritto molto più forte di rientrare nel paese dopo un breve viaggio all'estero, mentre i titolari di visto possono essere più vulnerabili", ha affermato Wessler. "Le persone in quella situazione dovrebbero prendere in considerazione la possibilità di parlare con un avvocato specializzato in immigrazione prima del loro viaggio, quindi hanno una buona conoscenza di quali siano i loro rischi."

Biometrico o password?

Apple e altri produttori di smartphone ora includono un'opzione biometrica per sbloccare i telefoni. Questo è stato fatto principalmente come mezzo per un'autenticazione più veloce ma anche per incoraggiare le persone a bloccare i loro telefoni. Gli utenti di smartphone hanno resistito per anni a bloccare i loro dispositivi con un passcode, ma l'azione rapida e semplice dell'utilizzo degli autenticatori biometrici è molto allettante.

Detto questo, ci sono numerosi argomenti contro l'utilizzo della sola biometria come mezzo di autenticazione. I ricercatori hanno dimostrato che il Touch ID di Apple può essere ingannato con i pollici fittizi. E gli esperti di sicurezza hanno criticato l'eccessiva dipendenza dalla biometria, perché le caratteristiche fisiche uniche dei nostri corpi non possono essere modificate nel modo in cui cambiamo le password. Se i dati biometrici sono compromessi, non possono essere risolti.

La biometria può anche essere una responsabilità legale alla frontiera. Wessler ha affermato che attualmente non esiste una giurisprudenza relativa all'applicazione della legge che richiede informazioni biometriche ai valichi di frontiera. Ma esiste un precedente più consolidato per convincere le persone a essere impronte digitali in contesti di polizia interna piuttosto che per consegnare le password. Ciò potrebbe significare che il CBP e le forze dell'ordine potrebbero essere su basi legali più solide nel tentativo di costringere i viaggiatori a sbloccare i dispositivi biometricamente piuttosto che nel forzarli a consegnare le password. Sfortunatamente, Wessler ha spiegato che non è chiaro come ciò si tradurrebbe nel contesto di un passaggio di frontiera.

Tenendo presente ciò, Wessler consiglia di disattivare la protezione biometrica alla frontiera e di affidarsi invece esclusivamente a un passcode. Ovviamente puoi riattivare sempre le capacità biometriche del tuo telefono dopo aver superato il controllo doganale.

Il rischio di rifiuto

A parte le questioni legali, c'è anche il problema se i telefoni e altri dispositivi digitali sono abbastanza sicuri da resistere a controlli mirati. Generalmente, la regola è che se un attaccante - o investigatore - può accedere fisicamente al dispositivo, alla fine verrà violato.

Nel caso degli smartphone, molti dei rischi dipendono dal tipo di telefono che possiedi. "Alcuni telefoni sono molto sicuri fin da subito perché hanno funzionalità di sicurezza preimpostate. Il proprietario non deve fare nulla per ottenere una sicurezza affidabile. Altri telefoni richiedono al proprietario di impostare gli standard di sicurezza", ha affermato Leo Taddeo, Chief Security Ufficiale di Cryptzone ed ex agente speciale incaricato di operazioni informatiche e speciali per l'FBI.

Sappiamo dalla recente discarica di documenti della CIA di WikiLeaks che le agenzie di intelligence statunitensi stanno attivamente lavorando per ottenere l'accesso agli smartphone dei consumatori. Le vulnerabilità delineate in questi documenti che riguardano i telefoni Android sembrano tuttavia piuttosto vecchie e Apple afferma che i suoi problemi sono già stati risolti.

"Indipendentemente dalle impostazioni, se il tuo telefono (o tablet o laptop) è aperto e funzionante quando le autorità lo sequestrano, avranno quasi accesso completo a qualsiasi cosa su di esso", ha detto Taddeo. Questo è stato un problema anche in altri casi. Quando le forze dell'ordine si sono trasferite per arrestare la mente di Silk Road Ross Ulbricht, erano sicuri di mettere al sicuro il suo laptop prima che potesse spegnerlo. Recuperare le informazioni da un computer bloccato con password sarebbe molto più difficile che impedirne il blocco in primo luogo.

Dopo aver ascoltato gli avvertimenti di Wessler sugli agenti governativi che sequestrano telefoni cellulari e altri dispositivi con l'intenzione di decifrare la loro protezione e raccogliere i dati degli utenti, ho chiesto a Taddeo quali (se ve ne sono) capacità le forze dell'ordine hanno a disposizione.

"Come abbiamo visto in casi recenti, come l'attacco terroristico del 2015 a San Bernardino, le forze dell'ordine come l'FBI hanno accesso a tecniche molto sofisticate per ottenere l'accesso, esaminare ed estrarre prove dai telefoni sequestrati", ha detto.

In tal caso, l'FBI ha affermato di non poter accedere ai dati su un dispositivo bloccato senza l'assistenza di Apple. Alla fine, l'FBI disse che era in grado di accedere alle informazioni con l'aiuto di un appaltatore esterno.

Un fattore importante per stabilire se le forze dell'ordine saranno in grado di accedere ai dati sul telefono ha meno a che fare con la tecnologia e più a che fare con i soldi: Taddeo ha spiegato che non tutte le agenzie o i distretti di polizia hanno un budget sufficiente per una sofisticata analisi forense dei dati. L'FBI e il dipartimento di polizia di New York sono esempi di organizzazioni che hanno accesso alle competenze e alla tecnologia per aggirare potenzialmente le misure di sicurezza e recuperare le informazioni dai dispositivi bloccati.

"Molti dipartimenti più piccoli, tuttavia, sanno dove trovare le competenze richieste quando l'importanza delle prove lo richiede", ha affermato. "Alla fine, se il caso è abbastanza grave, verrà chiamata un'unità forense della polizia statale o un'agenzia federale".

Privacy per Omissione

Detto questo, Wesler suggerisce che il modo migliore per proteggere le tue informazioni quando viaggi negli Stati Uniti è semplicemente quello di portare il meno possibile. "La prima cosa a cui le persone devono pensare è se devono viaggiare con tutti i loro dispositivi quando fanno un viaggio internazionale".

In alternativa, è possibile cancellare il telefono prima di entrare in dogana o tenere un telefono separato solo per il viaggio. Queste potrebbero essere buone opzioni, poiché i servizi basati su cloud come Google Drive e Google Foto possono essere ricollegati e disconnessi dai dispositivi, se necessario. Si noti, tuttavia, che la scientifica digitale molto avanzata potrebbe essere in grado di recuperare informazioni che sono state eliminate dai dispositivi ma non ancora sovrascritte.

Taddeo ha suggerito di utilizzare misure di sicurezza aggiuntive oltre a quelle disponibili sul telefono o sul computer. "Ciò potrebbe includere un secondo livello di crittografia e richiedere un'autenticazione a più fattori separata per file e applicazioni che è necessario tenere al sicuro", ha affermato.

Mentre le persone possono non essere d'accordo sulle politiche dell'amministrazione Trump, è innegabile che l'atmosfera al confine con gli Stati Uniti sia cambiata. La nuova realtà è strana per chiunque abbia pensato a questo paese come un bastione per la privacy personale. "Purtroppo stiamo arrivando in un posto dove le persone devono fare alcune delle stesse scelte che i viaggiatori in Cina e Russia hanno dovuto fare da alcuni anni ormai", ha detto Wessler.