Una operación de vigilancia que recopilaba de forma encubierta mensajes de texto de una red telefónica encriptada supuestamente utilizada por delincuentes y traficantes de drogas se basó en una tecnología que fallaba con frecuencia y dejaba de funcionar.
Un alto funcionario técnico de la Agencia Nacional contra el Crimen (NCA) reveló al Old Bailey que los implantes de software de diseño francés utilizados para extraer mensajes de texto supuestamente encriptados de la red criptográfica EncroChat no eran confiables.
La policía francesa accedió a millones de mensajes y fotografías supuestamente encriptados de teléfonos EncroChat en varios países en una operación de piratería entre marzo y junio de 2020.
La agencia de policía europea, Europol, compartió copias de datos extraídos de alrededor de 6000 teléfonos EncroChat del Reino Unido con la Agencia Nacional contra el Crimen del Reino Unido.
Luke Shrimpton, oficial técnico sénior de la NCA, y el experto forense Duncan Campbell revelaron en un informe conjunto que el implante francés tenía problemas técnicos, durante un juicio en el Old Bailey de Londres por una supuesta conspiración para asesinar relacionada con las drogas.
“En términos amplios y generales, estamos de acuerdo en que los registros muestran que el implante y el sistema de procesamiento no eran confiables, en el sentido de que los implantes dejaban de funcionar con frecuencia, a menos que se reiniciaran o hasta que se reiniciaran”, según un extracto del informe leído en el tribunal.
Los expertos dijeron que las leyes francesas de secreto significaban que era imposible decir por qué la tecnología de interceptación no funcionaba de manera confiable.
“Debido a las leyes francesas de secreto, ninguno de nosotros tiene conocimiento de cómo se diseñaron u operaron los implantes o el sistema de procesamiento de implantes, ni por qué fallaron”, dijeron en el informe.
Conspiración de asesinato alegó
Los expertos declararon durante el juicio en el Tribunal Penal Central de Londres de Paul Fontaine, de 36 años, acusado de conspirar con otros para suministrar un arma de fuego utilizada para asesinar a Abdullahi Mahmoud en 2020.
Fontaine, de Pembury Estate en el distrito londinense de Hackney, también está acusado de conspirar con el coacusado en el caso, Frankie Sinclair, de 34 años, de Cardiff, para adquirir un arma de fuego y municiones.
El arma supuestamente estaba destinada al asesinato de un segundo hombre, Keiron Hasson, supuestamente un rival de Sinclair, en un “ataque de venganza”.
Sinclair ha admitido su participación en el suministro de cocaína y heroína, pero niega otros cargos en su contra. Fontaine ha negado todos los cargos.
Fontaine usó el identificador de EncroChat “Usualwolf” y Sinclair usó el identificador “Nudetrain”, escuchó el tribunal.
Prosecución: datos confiables de EncroChat
Luke Shrimpton, un experto técnico sénior de la Agencia Nacional del Crimen, comenzó a trabajar para construir un implante para penetrar la red telefónica encriptada mediante la tecnología de ingeniería inversa EncroChat, escuchó el tribunal.
Pero la Gendarmería francesa desarrolló su propio implante, que rompió la red telefónica encriptada en abril de 2020, antes de que se completara el trabajo en el implante NCA.
Shrimpton fue responsable de administrar la distribución de material de EncroChat de la NCA a otras fuerzas policiales, como parte de una operación con el nombre en código Operación Venetic.
Le dijo al tribunal que aunque el implante francés no era confiable, no había nada poco confiable o inexacto en los datos o imágenes presentados al tribunal, y no había evidencia de atribución errónea de ningún dato de EncroChat.
El abogado de la fiscalía Kevin Dent QC dijo que Shrimpton había realizado una serie de controles en los datos de EncroChat y no había descubierto anomalías ni inconsistencias. “Aunque se le preguntó repetidamente, no tenía preocupaciones sobre los datos”, dijo.
Dent le dijo al jurado que los mensajes extraídos de los teléfonos EncroChat coincidían con eventos que ocurrían en la vida real. “No hay evidencia de inexactitud, sino evidencia de precisión, una y otra vez”, dijo.
Los implantes ‘se cayeron’
El experto forense Duncan Campbell, instruido por el equipo de defensa de Fontaine, dijo a la corte que el implante se armó “en el último minuto” y que aún no estaba funcionando días antes de que se iniciara la operación policial.
“Mirando a través de un gran conjunto de datos, la primera ronda de implantes nunca funcionó. Se cayeron en cuestión de horas o unos días, y todos tuvieron que volver a ejecutarse por ese motivo, como ha dicho la NCA en este caso y en otras pruebas”, dijo Campbell.
Cuestionado por Arlette Piercy, en representación de Fontaine, Campbell dijo: “Los fracasos fueron frecuentes desde el principio. Los datos se perdieron con frecuencia o faltaron durante períodos significativos, incluso en este caso”.
Algunas características del implante nunca funcionaron, y otras parecían no funcionar según lo previsto o estaban mal diseñadas, dijo Campbell a la corte.
Después de cada falla del implante, se agregaron lotes de cientos o incluso mil mensajes a los datos por una fuente desconocida o un método desconocido, dijo.
Extracción en dos etapas
El tribunal escuchó que el implante, cargado por la policía francesa como una actualización de software para los teléfonos EncroChat, funcionó en dos etapas.
Durante la fase uno, el implante extrajo datos, mensajes e imágenes almacenados en los teléfonos EncroChat infectados en una base de datos conocida como Realm.
La fase dos, que comenzó casi inmediatamente después de la fase uno, envió datos en vivo, ubicaciones de mensajes y contraseñas desde el teléfono.
Campbell dijo que la fase uno “parecía mucho más precisa y mucho más consistente” y contenía verificaciones integradas que permitían verificar la confiabilidad de los datos recopilados.
“En la fase dos, ocurre lo contrario”, dijo. “Es muy difícil demostrar que algo es confiable. Y se ve agravado por el hecho de que los implantes se rompen continuamente. Se caen.
Dijo que cuatro componentes del implante no funcionaron, y ni él ni Shrimpton sabían cómo los franceses habían logrado que funcionaran.
Dilema único
El tribunal escuchó que las técnicas utilizadas para adquirir y procesar datos antes de que llegaran a la NCA eran un secreto de seguridad nacional francés.
“La situación con el material de EncroChat ha creado un dilema único para todos los que trabajan en el campo de la evidencia informática forense”, dijo Campbell durante el contrainterrogatorio del abogado de la fiscalía Kevin Dent QC.
“Nunca antes se tuvo que juzgar un conjunto de casos tan graves en los que no hubo acceso ni posibilidad de seguir los principios internamente muy respetados de 25 años de evidencia digital basada en computadora”, agregó.
“Ninguno de nosotros en el campo ha visto un caso en el que no haya posibilidad de verificar los datos originales. Y eso está creando un problema para todos. Tienes los datos del mundo real, pero también tienes datos que han surgido detrás de un muro de total secreto”, dijo. “La situación no tiene precedentes”.
Reglas de evidencia digital.
Campbell dijo que la NCA y todas las fuerzas policiales siguen estrictamente los principios de evidencia digital establecidos por la Asociación de Jefes de Policía hace 25 años durante las operaciones en el Reino Unido.
El principio tres requiere que las fuerzas policiales creen un registro de auditoría de todos los procesos aplicados a la evidencia digital, lo que permitiría que un tercero independiente examine los procesos y logre los mismos resultados.
“Eso es de gran importancia para la evidencia digital porque la evidencia digital se puede cambiar sin posibilidad de detección”, dijo.
Los oficiales de policía toman imágenes digitales de los dispositivos de inmediato y las certifican digitalmente para que no puedan cambiarse accidental o deliberadamente antes de que la evidencia llegue a la corte.
“Tienes un cisma sin precedentes, único, creo, en la experiencia de todos en la Operación Venetic”, dijo Campbell.
La NCA está en el medio, haciendo todo por el libro, pero antes de que los datos lleguen a la NCA “no se sabe nada, no se puede verificar nada. No se sabe que se haya seguido ninguno de los principios. Nos quedamos en la oscuridad”, agregó.
El tribunal escuchó que Shrimpton no había sido entrenado en los principios.
Campbell dijo que “discutió por completo” las declaraciones de Shrimpton, quien aceptó que el implante no era confiable pero dijo que los datos que recopiló eran confiables.
“No podemos formarnos una idea de si podemos confiar en el diseño francés del implante o en los estándares de calidad que tienen”, dijo. “Eso no significa que los franceses no sean dignos de confianza. No quiere decir que los franceses sean dignos de confianza. Significa que simplemente no podemos decirlo”.
fallas habituales de lobo
Un análisis de los mensajes de EncroChat enviados por Usualwolf mostró que el implante había fallado más de 20 veces, escuchó el tribunal.
Campbell dijo que la escala de las fallas implicaba fallas en el diseño o en el procesamiento de datos, o ambas, en la tecnología utilizada por los franceses.
“La inmensa escala y frecuencia de las fallas pone en duda la confiabilidad de los datos del implante si no se pueden confirmar o respaldar de forma independiente”, dijo.
Campbell dijo que discrepaba fundamentalmente con Shrimpton en cuanto a la confiabilidad, donde no se sabe nada acerca de dónde se obtuvo la información.
“Estamos de acuerdo en que puedes comparar cosas que tenemos para obtener información sobre la confiabilidad. Pero no estamos de acuerdo en que pueda basar la confiabilidad en algo en lo que no sabe dónde comenzó, quién estuvo involucrado y cómo se manejó antes de que se lo entregaran a usted”, dijo.
Imágenes encriptadas
Campbell dijo que él y Shrimpton coincidieron en que, en general, había un problema con los datos de Venetic porque a veces aparecían imágenes como fotografías en los datos sin una clave de autenticación, conocida como HMAC o clave hash.
En otros casos, las claves HMAC se encontraron en los datos de la Operación Venetic sin una imagen adjunta. En el caso de Usualwolf, había una docena de “llaves huérfanas” que no pertenecían a ningún cuadro.
Shrimpton le dijo al tribunal que estaba de acuerdo con los hallazgos de Campbell sobre las claves huérfanas pero, en su opinión, no planteaba dudas sobre la confiabilidad.
Campbell dijo que si tienes una imagen sin clave, o una clave sin imagen, “no tienes idea de lo que está pasando”.
“En mi opinión, no se puede hacer una declaración sobre la confiabilidad o la falta de confiabilidad cuando la posición correcta es que no se sabe”, dijo.
Campbell dijo que él y Shrimpton creían que las operaciones de procesamiento francesas añadían imágenes adicionales a los datos, pero que solo podían hacer “suposiciones inteligentes” sobre lo que estaba pasando.
atribución errónea
Campbell dijo que había llamado la atención de Shrimpton sobre un conjunto de datos “completamente imposible” en un caso separado de EncroChat.
Haciendo una analogía, dijo que era como si hubiera intercambiado mensajes con el secretario del tribunal, pero los mensajes no se encontraron en el teléfono de Campbell ni en el teléfono del secretario, sino en un teléfono que pertenecía a uno de los asesores legales sentados en la parte trasera del tribunal. .
Campbell dijo que Shrimpton había sugerido que durante la vida útil de un dispositivo EncroChat era posible cambiar el nombre de usuario del dispositivo.
“[Shrimpton] sugirió que el nombre de usuario original se había movido a otro dispositivo y después de una semana o dos, un usuario diferente se había establecido en el dispositivo en cuestión”, dijo.
Campbell dijo que encontró plausible la explicación, pero que no había pruebas de la causa.
“Descubrir esta clase de error es muy preocupante. Particularmente si se relaciona con el procesamiento de datos operado en Francia, indicaría un nivel excepcionalmente bajo de programación informática”, dijo.
Campbell dijo que si la explicación de Shrimpton era correcta, sería un error menos grave, pero seguiría siendo un error de atribución errónea.
“El problema que tuvimos fue que ninguno de nosotros tenía los datos originales para revisar el registro francés y ver qué decía realmente que era la verdad”, dijo Campbell.
Grupos de mensajes
El tribunal escuchó que un análisis de los datos sugirió que el implante estaba realizando una tercera fase de intercepción no revelada previamente junto con la fase uno y la fase dos, que provocó que aparecieran grupos de mensajes en los datos de EncroChat.
“Mi primera preocupación fue que los franceses estaban ejecutando datos de una manera que no le habían dicho a la NCA”, dijo Campbell.
Shrimpton hizo una “mejor conjetura inteligente” de que era algo que se podía esperar, dijo Campbell.
Pero Campbell dijo que no estaba de acuerdo y que los franceses no habían descrito este tipo de recopilación de datos.
Los grupos “tienen un nivel de confiabilidad más bajo que otros datos”, dijo Campbell. “Provienen de un proceso que cualquiera de nosotros, desde nuestra experiencia diferente, solo puede adivinar”.
Marcas de tiempo
Campbell le dijo al tribunal que los tiempos registrados en los mensajes de EncroChat podrían ser modificados por programas informáticos que alteraran o eliminaran el contenido del almacenamiento.
“El tiempo de secuenciación de los mensajes de EncroChat puede ser incorrecto debido a los retrasos en el sistema que recopila los mensajes, porque los temporizadores en los dispositivos telefónicos no se configuraron con precisión o deliberadamente no se configuraron correctamente”, dijo.
Pero señaló que no fue posible comprobar que los datos se habían procesado correctamente porque no había “datos en bruto” a disposición del tribunal.
Procesamiento: implante reunió datos precisos
Kevin Dent QC para …