Oxygen Forensics: od amerických úřadů po evropské policejní projekty

Oxygen Forensics prodávala nástroje pro získávání a analýzu dat z digitálních zařízení americkým vládním zákazníkům a její produkty se objevily také v evropských policejních souvislostech. Američtí žalobci nyní tvrdí, že firma zatajila ruské vlastnictví a skutečné místo vývoje softwaru. Zároveň platí, že účast na projektu financovaném Evropskou unií není automaticky důkazem, že společnost dostala peníze z unijního grantu. 178

Co tvrdí američtí žalobci

Podle amerického ministerstva spravedlnosti firma vládním úřadům deklarovala, že nemá zahraniční vlastníky ani zahraniční kontrolu a že její software vzniká ve Spojených státech. Žalobci naopak tvrdí, že Oxygen Forensics vlastnilo a ovládalo pět ruských občanů včetně spoluzakladatele Olega Davydova a že software se vyvíjel v Rusku. Generální ředitel Lee Reiber a Davydov čelí obvinění ze spiknutí za účelem podvodu prostřednictvím elektronické komunikace. Jde o tvrzení žalobců, nikoli o pravomocný závěr soudu o vině. 17

Mezi americkými vládními zákazníky společnosti byla podle zpráv o případu také Tajná služba USA. Údajné nepravdivé informace jsou podstatné mimo jiné proto, že při výběru dodavatele mohou úřady posuzovat, kdo firmu ovládá a kde její technologie vzniká. 1217

Vazba na firmu se sídlem v Moskvě

Podle žalobců byli údajní vlastníci spojeni také s moskevskou společností Oxygen Software LLC, která se později přejmenovala na MKO Systems LLC. Davydov se podle popisu stížnosti věnoval vývoji softwaru této firmy. Veřejné zpravodajství uvádí, že ruská společnost prodávala související software ruským bezpečnostním složkám a orgánům činným v trestním řízení. 11

Tato vazba otevírá otázky vlastnictví, vývoje i transparentnosti dodavatelského řetězce. Sama o sobě však nedokazuje, že by ruské úřady mohly získat přístup k datům zpracovávaným jiným zákazníkem pomocí nástrojů Oxygen Forensics.

Evropské policejní složky a projekty EU

Oxygen se v Evropě objevila dvěma způsoby: její nástroje se nabízely policejním složkám a veřejné dokumenty, které prověřil server Politico, ji spojují nejméně se dvěma iniciativami financovanými Evropskou unií. 81

V projektu EVIDENCE, který v letech 2014 až 2016 získal z prostředků EU více než 1,9 milionu eur, byla Oxygen uvedena mezi společnostmi konzultovanými k nakládání s digitálními důkazy a jejich výměně. Z toho ale nevyplývá, že samotná Oxygen obdržela peníze z unijního rozpočtu. Zprávy firmu spojují také s projektem INSPECTr financovaným z programu Horizont 2020; dostupné popisy však neupřesňují její roli ani případnou platbu společnosti. 81

Italská média také uvádějí, že produkty Oxygen byly k dispozici pro policejní použití v Itálii. Technický dokument citovaný v tamním zpravodajství firmu řadí mezi systémy, které policie mohla využívat. To však není totéž jako tvrzení, že všechny policejní složky nástroje používaly stejně nebo ve stejné míře. 413

Co případ znamená pro digitální důkazy

Případ znovu upozorňuje na to, jak důležité je prověřovat dodavatele forenzních nástrojů. U konkrétního zkoumání může být podstatné, jaký nástroj a verze byly použity, jak bylo zařízení zpracováno, zda někdo nezávisle ověřil výsledky a jaké informace o vlastnictví či vývoji softwaru byly zákazníkovi sděleny.

Samotná obvinění zatajování vlastnictví ale automaticky neznamenají, že získané důkazy jsou nespolehlivé nebo nepřípustné. Podle zpráv o případu žalobci netvrdí, že software Oxygen obsahoval zadní vrátka či škodlivý kód. Případné zpochybnění konkrétního výsledku by záviselo na okolnostech daného zkoumání a příslušném právním postupu. 18

Klíčové je rozlišovat mezi údajným zatajením toho, kdo forenzní nástroj vlastnil a vyvíjel, a důkazem, že nástroj data pozměňoval nebo zpřístupňoval někomu dalšímu. První tvrzení tvoří jádro amerického případu; druhé dostupné zdroje nedokládají.