Politiets hackerverktøy feiltolket filer – sjekker om det kan ha påvirket dommer

Cellebrite er et israelsk selskap som lager programvaren Kripos og en rekke andre politietater rundt om i verden bruker for å hente ut data fra beslaglagte telefoner de ikke har passordene til. Hackerverktøyene Cellebrite Premium og Cellebrite Physical Analyzer er ofte politiets beste mulighet til å få sikret bevismateriale fra disse telefonene.

I vår ble det imidlertid oppdaget at disse verktøyene i noen tilfeller kan ha feiltolket tidsstemplene på filene politiet har hentet ut, slik at tidspunkt for når filene er opprettet vises feil for etterforskerne, skriver NRK Beta, som omtalte saken 3. november.

Det kan i verste fall gjøre filene ugyldige som bevis, og Riksadvokaten har derfor bedt politiet skaffe en oversikt over sakene der disse verktøyene er blitt brukt, og om feilen kan ha ført til feilaktige tiltaler og domsavsigelser.

Cellebrite varslet selv politiet om feilen 18. mars i år, og ettersom det i hovedsak er telefoner som bruker filsystemet APFS (APple File System) som rammes av feilen, er det Iphoner som kjører IOS 10.3 eller nyere, som er berørt. APFS erstattet HFS (Hierarchical File System) som standard filsystem i IOS i 2017.

Tidsstempler knyttet opp mot anrop, SMS, MMS, loggfiler og fra apper skal ikke være berørt av feilen.

Feiltolkede og manglende tidsstempler

Når politiet bruker Cellebrite-verktøyene foregår det ved at de henter ut data med Cellebrite Premium og så analyserer dataene ved hjelp av Cellebrite Physical Analyzer.

Feilen som ble avdekket var todelt, forklarer assisterende Kripos-sjef Ketil Haukaas i et brev Kripos sendte til Riksadvokaten 22. september, som NRK Beta har lagt ut på sine hjemmesider.

For det første hentet Cellebrite Premium bare ut tre av fire tidsstempler fra filene. Stemplene for Siste endring av filinnhold (Modification), siste åpning av fil (Access) og siste endring av filens metadata (Change of metadata) ble hentet ut, mens tidsstempelet for når filen ble opprettet (Creation) ikke ble hentet ut.

Del to av feilen gikk ut på at Cellbrite Physical Analyzer feiltolket de tre tidsstemplene som Cellbrite Premium hadde hentet ut, slik at de fikk feil benevnelse. Dermed kunne for eksempel tidsstempelet for Change of Metadata bli stående som Modification. I tillegg ser Cellebrite ut til å ha forvekslet Change med Creation, slik at tidsstempelet for endringer i metadata ble stående som tidsstempelet for opprettelsen av filen, også når stempelet for opprettelsen manglet.

Feilen gjorde det vanskeligere for etterforskere å avgjøre når filene var opprettet og endret. Disse tidsangivelsene kan være avgjørende for hvordan filene kan brukes som bevis.

Haukaas skriver at Kripos fikk tilgang til Cellebrite Premium og Physical Analyzer 17. mai 2018, og at feilen allerede var i programvaren da. Feilen ble rettet i Cellebrite Premium versjon 7.12 og Cellebrite Physical Analyzer versjon 7.32, som begge ble installert på Kripos i månedsskiftet

mars/april 2020. I versjonene som er kommet etter feilrettingen, hentes alle fire tidsstemplene ut, og de får riktig benevnelse når de tolkes.

Cellebrite med feil i minst 56 saker

Politiet vil ofte selv kunne avdekke tidsstempel-feil i løpet av etterforskningen. Haukaas skriver til Riksadvokaten at det i mange tilfeller skjer når det jobbes med tidsstemplene, fordi de framstår som ulogiske. For eksempel når tidspunktet som er angitt for opprettelsen av filene er etter tidspunktet for siste endring av metadata eller siste åpning av filen. Filtidsstempler er også en kjent feilkilde.

Han medgir imidlertid at hvis feiltolkede filstempler er blitt benyttet i den videre analysen av dataene – og filene i seg selv har vært bevis – så kan de ha hatt betydning i straffesaker.

Det kan for eksempel være bilder i overgrepssaker hvor tidsstemplene får betydning; ved dokumentforfalskning hvor feil i

«modified»-datoen kan ha en betydning, eller hvis etterforskerne har laget en tidslinje basert på hendelser på en telefon, og hendelsene får feil rekkefølge på grunn av feil på tidsstemplene.

Kripos har laget en foreløpig oversikt som viser at de har brukt Cellebrite-verktøyene til å sikre bevis i 56 straffesaker ved landets ulike politidistrikter, hos Økokrim og hos Kripos selv.

Haukaas skriver til Riksadvokaten at Kripos ikke vet hvor mange straffesaker feilen kan ha hatt en betydning i, men at det er trolig få. Han påpeker at tidsstemplene sjelden står på egne ben som beviser.

Riksadvokaten vil ha full gjennomgang

Riksadvokaten bad i et brev som ble sendt ut 15. oktober, alle landets politidistrikter, PST, Økokrim, spesialenheten for politisaker og statsadvokatene om å umiddelbart gå sammen om å identifisere og gjennomgå saker som kan være berørt av feilen. Riksadvokaten ber om å få en foreløpig oversikt over berørte saker før 1. januar 2021.

Også politiet i Danmark har vært rammet av Cellebrite-feilen. 11. juni i år var politiet der ferdig med sin gjennomgang av de 315 straffesakene der Cellebrite er blitt brukt med den avdekkede feilen. I en redegjørelse til Folketinget sa justisminister Nick Hækkerup da at man ikke hadde funnet at feilen hadde fått betydning for utfallet i noen av sakene.

Dersom det blir avdekket at Cellebrite-feil har ført til tiltale eller domfellelse i Norge, kan det ifølge det Riksadvokaten skriver til Politiet og Statsadvokatene, føre til at forelegg blir opphevet, at påtalemyndigheten vil be om gjenåpning av saker, eller, i pågående straffesaker, at personer blir løslatt fra varetekt.

Leder i Advokatforeningen, Jon Wessel-Aas, sier til NRK Beta at det som er avdekket, er alvorlig med tanke på rettssikkerheten, og at det viser at man må være kritisk til digitale bevis i straffesaker.