Oxygen Forensics: Slik havnet verktøyene hos politi i USA og Europa

Oxygen Forensics’ base i Virginia og salget rettet mot amerikanske myndigheter bidro til at selskapet leverte verktøy for digital etterforskning til offentlige kunder. Produktene nådde også europeiske politimyndigheter. Amerikanske påtalemyndigheter hevder nå at selskapets russiske eierskap og forbindelser til programvareutvikling i Russland ble holdt skjult for amerikanske myndigheter. Separat omtaler offentlige kilder Oxygen i EU-støttede prosjekter – men deltakelse i et prosjekt betyr ikke i seg selv at selskapet mottok EU-støtte. 178

Dette hevder amerikanske påtalemyndigheter

Det amerikanske justisdepartementet sier at Oxygen overfor offentlige etater framstilte seg som et selskap uten utenlandsk eierskap eller kontroll, og hevdet at programvaren var utviklet i USA. Ifølge påtalemyndighetene var det i stedet fem russiske statsborgere, blant dem medgründeren Oleg Davydov, som eide og kontrollerte selskapet, mens programvaren ble utviklet i Russland. Selskapets toppsjef Lee Reiber og Davydov er siktet for sammensvergelse om bedrageri ved bruk av elektronisk kommunikasjon. Dette er anklager, ikke en domfellelse. 17

Ifølge omtale av saken var USAs Secret Service blant selskapets offentlige kunder. De påståtte uriktige opplysningene er relevante fordi offentlige kunder kan legge vekt på hvem som kontrollerer en leverandør, og hvor teknologien utvikles. 1217

Forbindelsen til et russisk søsterselskap

Påtalemyndighetenes framstilling knytter de angivelige eierne også til det Moskva-baserte Oxygen Software LLC, senere omdøpt til MKO Systems LLC. Ifølge klagen, slik den er gjengitt av Organized Crime and Corruption Reporting Project, hadde Davydov en rolle i programvareutviklingen. Omtalen sier at det russiske selskapet solgte beslektet programvare til russiske sikkerhets- og politimyndigheter. 11

Forbindelsen reiser spørsmål om eierskap, utvikling og åpenhet i leverandørkjeden. Den beviser ikke i seg selv at russiske myndigheter kunne få tilgang til informasjon som en annen kunde undersøkte med Oxygen-verktøy.

Slik dukket Oxygen opp i europeisk politiarbeid og EU-prosjekter

Oxygen fikk fotfeste i Europa på mer enn én måte: Verktøyene ble solgt til politimyndigheter, og offentlige dokumenter gjennomgått av Politico plasserte selskapet i minst to EU-støttede initiativer for digitalt bevismateriale. 81

I EVIDENCE-prosjektet, som mottok over 1,9 millioner euro i EU-støtte fra 2014 til 2016, var Oxygen oppført blant selskapene som ble konsultert om håndtering og utveksling av digitale bevis. Denne rollen som konsulent dokumenterer ikke at Oxygen selv mottok EU-midler. Omtale knytter også selskapet til INSPECTr, et prosjekt under Horizon 2020. Kildene som er tilgjengelige, beskriver imidlertid ikke Oxygen-rollen der like detaljert eller oppgir at selskapet fikk utbetalt penger. 81

Oxygen-produkter ble også omtalt som tilgjengelige for bruk i italiensk politiarbeid. Et teknisk dokument som er vist til i italiensk medieomtale, oppførte Oxygen blant systemene politiet kunne bruke. Det er ikke det samme som at alle politistyrker brukte verktøyene på samme måte. 413

Hva anklagene kan bety for digitale bevis

Saken gjør åpenhet om leverandører og kontroll av verktøyene til viktige spørsmål for myndigheter og forsvarere. I en konkret undersøkelse kan det blant annet være relevant å vite hvilket verktøy og hvilken versjon som ble brukt, hvordan enheten ble undersøkt, om resultatene ble kontrollert uavhengig, og hvilke opplysninger om eierskap og utvikling som ble gitt.

Men anklagene om eierskap gjør ikke automatisk bevismateriale upålitelig eller ubrukelig i retten. Ifølge omtalen av saken har påtalemyndighetene ikke hevdet at Oxygen-programvaren inneholdt en bakdør eller skadevare. Om resultatene fra en bestemt undersøkelse blir bestridt, vil avhenge av omstendighetene og den aktuelle rettsprosessen. 18

Det sentrale skillet går mellom påstått manglende informasjon om hvem som eide og utviklet et etterforskningsverktøy, og dokumentasjon på at selve verktøyet manipulerte eller eksponerte data. Det første står sentralt i anklagene i USA; det andre er ikke fastslått i kildene som omtales her.