Cellebrite se présente comme une société de renseignement numérique, mais cette description opaque ne brosse pas un tableau particulièrement clair. En bref, l'intelligence numérique est un code pour pirater des appareils ; Cellebrite aide le gouvernement et les forces de l'ordre à pénétrer dans les smartphones et les ordinateurs portables des personnes faisant l'objet d'une enquête, tant que le client a une raison légale de le faire. La société israélienne a été critiquée ces dernières années par des militants de la confidentialité des données qui affirment que ses pratiques sont contraires à l'éthique. D'autres ont attaqué l'entreprise pour ne pas avoir divulgué les vulnérabilités actives qu'elle exploite pour pénétrer dans les appareils. Cependant, Cellebrite reste fidèle à sa position selon laquelle sa technologie fait plus de bien que de mal. Il pointe également des incohérences dans les arguments de ses détracteurs ; Il y a peu de critiques sur l'exécution physique des mandats de perquisition, explique le directeur du marketing Mark Gambill, alors pourquoi des règles différentes devraient-elles s'appliquer dans le monde numérique ? « Nous sommes regroupés avec des sociétés de surveillance, mais ce n'est pas ce que nous faisons. Et vous ne pouvez pas utiliser notre technologie sans mandat légal, donc si elle est utilisée correctement, il n'y a pas de violation de la vie privée", a-t-il déclaré à TechRadar Pro. "Il existe d'innombrables exemples d'utilisation de notre technologie pour le bien de la société ; pour retrouver des enfants disparus, briser des réseaux de trafic de drogue et plus encore. Mais malheureusement nous sommes dans un environnement où le sensationnalisme fait vendre. Cependant, que ce soit intentionnellement ou non, Cellebrite a courtisé un air de mystère qu'elle cherche maintenant à dissiper avant une cotation au Nasdaq qui devrait valoriser la société à 2.4 milliards d'euros. Selon Gambill, Cellebrite n'a rien à cacher.
Légiférer contre les abus
Cellebrite affirme servir environ 6.700 5.000 clients dans le monde, la grande majorité (environ XNUMX XNUMX) du secteur public. Dans ce cadre, les prestations de l'entreprise se répartissent en trois pôles principaux : la collecte, l'analyse et l'audit des données. Comme l'explique Gambill, les criminels sont devenus extrêmement habiles à utiliser la technologie et, sans surprise, sont souvent réticents à proposer leurs appareils déverrouillés. Avec l'approbation légale, le dispositif universel d'extraction médico-légale (UFED) de Cellebrite peut être utilisé pour extraire les non-stocks des smartphones, ordinateurs, montres intelligentes et plus encore, parfois en exploitant des vulnérabilités actives dans le système d'exploitation.
Cellebrite UFED Touch (Crédit image : Cellebrite) Au niveau logiciel, l'outil Physical Analyzer de Cellebrite aide les clients à explorer les téraoctets de données souvent stockés sur les appareils grand public aujourd'hui. L'entreprise combine le filtrage basé sur les mots-clés avec l'intelligence artificielle (IA) pour générer des informations ciblées. Enfin, pour maintenir l'intégrité des preuves, le matériel Cellebrite est soutenu par une suite de gestion qui maintient un journal d'activité strict et une piste d'audit. "Il est essentiel d'avoir de la transparence sur qui traite les preuves, car il y a des problèmes de confidentialité et de falsification", a déclaré Gambill. « Notre solution est capable de démontrer avec précision qui a accédé à quelles données et quand. "Encore plus que la plupart des entreprises, Cellebrite est responsable du choix des clients avec lesquels elle travaille. En fait, Gambill admet qu'il y a eu des cas où ses technologies ont été utilisées à mauvais escient, tout en notant qu'elles sont extrêmement rares. Pour se prémunir contre cette éventualité, Cellebrite a conçu son matériel de manière à ce qu'il ne puisse être utilisé que par les titulaires de licence actifs.Les mises à jour déployées toutes les deux semaines signifient également que le kit obsolète de Cellebrite est effectivement inutile, "à moins que vous ne vouliez en faire un pot". Gambill a plaisanté. Interrogé sur la possibilité qu'un licencié actuel abuse du matériel à huis clos, il nous a dit que ce serait "très difficile" sans que Cellebrite le sache. "Il s'agit d'avoir la capacité de surveiller ce qui se passe et, dans les rares cas situation où quelqu'un devient un voyou, prenez des mesures décisives."
Cellebrite Reinforced Cable and Enclosure Kit (Image credit: Cellebrite) Gambill note également que Cellebrite a retiré ses produits d'un certain nombre de pays, dont la Chine et la Russie, qui, selon lui, pourraient utiliser sa technologie de manière contraire à l' éthique ou qui se classe mal dans les indices des droits de l'homme. Cependant, plusieurs défenseurs de la vie privée, tels que l'organisation à but non lucratif Access Now, affirment que l'entreprise n'est pas allée assez loin pour légiférer contre les violations potentielles des droits de l'homme que son arsenal est capable de faciliter. En outre, ils disent que Cellebrite a été trop lent à couper les liens avec les clients peu recommandables et n'a agi que sous la pression du public. Dans une récente lettre ouverte, Access Now et ses collègues affirment que Cellebrite est depuis longtemps consciente du potentiel d'abus, mais a continué à vendre ses produits à des régimes répressifs, tels que l'Arabie saoudite et le Myanmar (ce que d'anciens employés de Cellebrite ont corroboré). . Jusqu'à ce qu'elle "prenne les mesures nécessaires pour se conformer aux droits de l'homme", l'entreprise ne devrait pas être autorisée à devenir publique, disent les militants.
zone grise
À la fin de l'année dernière, Cellebrite est devenu un ennemi de la société de messagerie Signal. La société avait récemment annoncé la prise en charge des types de fichiers Signal et avait également publié un rapport suggérant qu'elle avait piraté le célèbre cryptage de la plate-forme, mais cela a ensuite été démystifié et étiqueté "ennuyeux". Quelques mois plus tard, le PDG de Signal, Moxie Marlinspike, a publié son propre rapport, dans lequel il a démontré les vulnérabilités du matériel de Cellebrite. Dans le même article, il précise que le business « existe en gris, là où la marque corporate rejoint le voleur pour s'appeler 'l'intelligence numérique' ». Il a également plaisanté en disant qu'il était "prêt à divulguer de manière responsable les vulnérabilités spécifiques que nous connaissons à Cellebrite s'ils font de même pour les vulnérabilités qu'ils utilisent dans leur extraction physique et d'autres services à leurs fournisseurs respectifs, maintenant et à l'avenir". Interrogé sur l'éthique entourant la préservation des vulnérabilités qui pourraient potentiellement être exploitées dans la nature par des tiers malveillants, Gambill nous a donné une réponse indirecte. Il a décrit la relation de l'entreprise avec des fournisseurs d'appareils tels qu'Apple comme une relation de "coopération", une fusion de coopération et de concurrence. « Apple est un partenaire clé pour nous à bien des égards. Bien sûr, nous respectons tous le droit des personnes à garantir que leurs téléphones disposent des types de sécurité et de cryptage appropriés du point de vue de la confidentialité », a-t-il déclaré. « Dans le même temps, nous avons l'obligation de fournir des technologies et des outils qui facilitent les enquêtes. Les moyens par lesquels nous le faisons font partie de notre sauce secrète.
(Crédit image : Shutterstock / Valery Brozhinsky) Gambill a expliqué qu'il ne reconnaissait pas de contradiction entre l'attitude de l'entreprise à l'égard de la confidentialité et son approche de la divulgation des vulnérabilités, en partie parce qu'elle a des fondements juridiques pour son comportement et en partie parce que la fin justifie les moyens. "Ce que nous faisons, c'est fournir une technologie que vous ne pouvez utiliser qu'avec un mandat légal et pour moi, cela ne suggère pas d'opérer dans des zones grises - c'est assez simple", nous at -el dit. « Il s'agit en grande partie d'informer davantage le marché sur ce que fait exactement notre technologie et les résultats positifs qui en découlent. " Y, sin embargo, antes de su cotización en el Nasdaq, Cellebrite se esfuerza por establecer un comité autónomo diseñado para garantizar que siempre opere dentro de la ley y de la manera más ética posible. Ese panel estará compuesto por personas que nunca han estado asociadas con la empresa, dice Gambill, pero aún se está trabajando en la competencia total de la nueva junta. Dependiendo de la perspectiva, este movimiento podría celebrarse como un esfuerzo loable para cortar los problemas de raíz antes de que surjan, o más bien como una prueba de que la empresa es consciente de que hay problemas éticos inmediatos que deben abordarse. En última instancia, si algo es legal y ético son dos cuestiones separadas, una objetiva y otra subjetiva. Si bien Cellebrite puede funcionar bien dentro de los límites de la ley, el hecho de que opere dentro de los límites de la moralidad seguirá alimentando el debate. Irónicamente, como señaló la investigadora de Stanford, Riana Pfefferkorn, la capacidad de la compañía para ingresar a los dispositivos podría tener un efecto neto positivo en la confidentialité. Elle dit que la société agit comme une sorte de "soupape de sécurité", allégeant la pression sur les fabricants de smartphones pour qu'ils créent des portes dérobées dans leurs appareils, ce que beaucoup considéreraient comme un désastre absolu. La question de savoir si cet "équilibre serré" résistera à l'épreuve du temps dépendra probablement de la capacité de Cellebrite à trouver un moyen de se rendre plus acceptable pour une communauté technologique de plus en plus bruyante et soucieuse de la confidentialité.
- Nous avons créé une liste des meilleurs services VPN disponibles