Jak narzędzia Oxygen Forensics trafiły do służb w USA i Europie

Narzędzia Oxygen Forensics, firmy mającej siedzibę w Wirginii, trafiały do instytucji rządowych w USA i służb w Europie. Prokuratura federalna USA zarzuca teraz, że firma ukrywała przed amerykańskimi agencjami rosyjską własność oraz to, że jej oprogramowanie powstawało w Rosji. Osobnym wątkiem są unijne projekty dotyczące dowodów cyfrowych: udział firmy w takich przedsięwzięciach nie dowodzi, że otrzymała pieniądze z unijnego grantu. 178

Co zarzuca prokuratura USA

Według Departamentu Sprawiedliwości Oxygen przedstawiała amerykańskim instytucjom rządowym firmę jako niezależną od zagranicznych właścicieli, a swoje oprogramowanie — jako opracowane w Stanach Zjednoczonych. Prokuratorzy twierdzą natomiast, że firmę kontrolowało pięciu obywateli Rosji, w tym współzałożyciel Oleg Davydov, a oprogramowanie rozwijano w Rosji. Prezes Lee Reiber i Davydov zostali oskarżeni o udział w spisku w celu popełnienia oszustwa z użyciem środków komunikacji elektronicznej. To zarzuty, nie wyrok ani stwierdzenie winy. 17

Jak wynika z doniesień o sprawie, wśród amerykańskich klientów rządowych Oxygen była Służba Secret Service. Zarzuty są istotne, bo przy wyborze dostawcy instytucje mogą brać pod uwagę nie tylko działanie narzędzia, lecz także to, kto kontroluje firmę i gdzie powstaje jej oprogramowanie. 1217

Powiązana firma w Moskwie

W relacji prokuratorów pojawia się też moskiewska spółka Oxygen Software LLC, później przemianowana na MKO Systems LLC. Zgodnie ze skargą opisaną przez Organized Crime and Corruption Reporting Project Davydov był związany z rozwojem jej oprogramowania. Według publikacji rosyjska spółka sprzedawała powiązane narzędzia rosyjskim służbom bezpieczeństwa i organom ścigania. 11

Te powiązania rodzą pytania o własność, miejsce tworzenia oprogramowania i przejrzystość łańcucha dostaw. Same w sobie nie dowodzą jednak, że rosyjskie władze miały dostęp do danych analizowanych przez innego klienta za pomocą narzędzi Oxygen.

Obecność w europejskich służbach i projektach UE

Oxygen zaznaczyła swoją obecność w Europie na kilka sposobów: jej narzędzia trafiały do służb, a publiczne dokumenty przeanalizowane przez Politico wymieniały firmę w co najmniej dwóch unijnych projektach dotyczących dowodów cyfrowych. 81

W projekcie EVIDENCE, który w latach 2014–2016 otrzymał ponad 1,9 mln euro unijnego finansowania, Oxygen znalazła się wśród firm konsultowanych w sprawie przechowywania i wymiany dowodów cyfrowych. Taka rola konsultacyjna nie oznacza, że sama firma dostała pieniądze z budżetu projektu. Publikacje łączą ją również z projektem INSPECTr finansowanym w ramach programu Horyzont 2020, ale dostępne opisy nie precyzują roli Oxygen w takim samym stopniu ani nie wskazują, czy otrzymała za udział wynagrodzenie. 81

Doniesienia wskazują też, że produkty Oxygen były dostępne do użytku przez policję we Włoszech. Włoskie publikacje przywołały dokument techniczny, w którym wymieniono systemy możliwe do wykorzystania przez policję. Nie przesądza to, że wszystkie jednostki korzystały z tych narzędzi ani że robiły to w ten sam sposób. 413

Co zarzuty mogą oznaczać dla dowodów cyfrowych

Sprawa zwraca uwagę na to, jakie informacje o dostawcy i jego oprogramowaniu powinny otrzymywać służby oraz obrońcy. W konkretnej analizie mogą pytać między innymi o użyte narzędzie i jego wersję, sposób przetworzenia urządzenia, niezależną weryfikację wyników oraz ujawnione informacje o własności i miejscu rozwoju programu.

Zarzuty dotyczące własności firmy nie oznaczają automatycznie, że dowody są niewiarygodne lub niedopuszczalne. Według doniesień prokuratorzy nie twierdzą, że oprogramowanie Oxygen zawierało tylne wejście ani złośliwy kod. Ewentualne zakwestionowanie konkretnego wyniku zależałoby od okoliczności badania i właściwych procedur prawnych. 18

Kluczowe jest rozróżnienie między zarzutem zatajenia tego, kto był właścicielem firmy i rozwijał jej narzędzia, a dowodem, że samo oprogramowanie manipulowało danymi lub je ujawniało. Pierwszy wątek stanowi sedno zarzutów w USA; drugi nie został potwierdzony przez przywołane tu źródła.