США судят американца за duress-пароль: телефон стёрся во время досмотра на границе

Гражданина США судят за то, что он ввёл duress-пароль на собственном телефоне во время досмотра на границе. Юристы и исследователи приватности считают этот случай первым в своём роде. Сэмюэл Туник назвал пограничникам код в аэропорту Хартсфилд-Джексон в Атланте, экран погас, и устройство стёрло себя само. Теперь федеральное обвинение предъявлено по статье, написанной для тех, кто уничтожает имущество, чтобы его не изъяли. Вину он не признал.

Что произошло в Хартсфилд-Джексон

24 января 2025 года Туник прилетел в Атланту из зарубежной поездки, и его отвели на дополнительный досмотр. Сотрудники Таможенно-пограничной службы (CBP) потребовали доступ к телефону, сославшись на поиск материалов с сексуальной эксплуатацией детей. По версии защиты, никаких оснований для таких подозрений предъявлено не было.

Туник продиктовал код. Согласно материалам, поданным в суд, экран потемнел, несколько раз мигнул, и телефон будто бы начал перезагружаться. Он не перезагружался. Введённый код был duress-паролем, и устройство в этот момент стирало само себя. Аппарат всё равно изъяли, а Туника впустили в страну. Через полтора года дело превратилось в федеральное обвинение.

Как устроен duress-пароль

На телефоне Туника стояла GrapheneOS - ориентированная на приватность альтернатива Android, которая ставится на устройства Google Pixel. Среди её функций есть второй код доступа: выглядит он ровно как обычный, но вместо разблокировки запускает немедленное стирание. Ни предупреждающего окна, ни запроса подтверждения, ни какого-либо визуального отличия на экране блокировки.

Это не медленное удаление файлов, которое форензика способна частично восстановить. Система уничтожает ключи шифрования, делающие данные читаемыми, и выключает устройство. Без этих ключей оставшиеся байты - шум. Такая конструкция сделана намеренно: функция существует для журналистов, активистов и людей, переживших домашнее насилие, то есть для тех, кого могут физически принудить разблокировать устройство. Стирание, которое можно прервать на половине, им бесполезно.

Обвинение: статья про имущество, наведённая на ключи шифрования

Прокуратура взяла 18 U.S.C. § 2232(a). Норма охватывает любого, кто до, во время или после обыска либо изъятия, проводимого уполномоченным должностным лицом, сознательно уничтожает, повреждает, растрачивает, избавляется от имущества или передаёт его, чтобы помешать изъятию. Максимальный срок - пять лет.

Статью писали в расчёте на физические улики: смыть наркотики, сжечь документы, выбросить оружие с моста. Чтобы применить её здесь, приходится считать уничтоженным имуществом данные на личном устройстве или защищающие их ключи шифрования. Самому телефону вреда не причинили вообще. Его унесли в рабочем состоянии.

• Что вменяют: ввод кода в устройство, которым обвиняемый владеет, в ответ на требование сотрудника назвать код.
• Что якобы уничтожено: данные, а не железо. Аппарат уцелел и был изъят целым.
• Что на кону: станет ли задокументированная и штатно поставляемая функция операционной системы преступлением в тот момент, когда ею воспользовались при должностном лице.

Билл Баддингтон из Electronic Frontier Foundation и исследовательница безопасности Руна Сандвик заявили, что раньше не видели, чтобы эту норму применяли подобным образом.

Что говорит защита

Туника представляет помощник федерального государственного защитника Мэтью Додж. Защита ведёт две линии одновременно. Первая процессуальная: остановка была надуманной, Тунику неоднократно отказывали в доступе к адвокату, о правах его не уведомили. Вторая бьёт по самому составу: ввод собственного пароля в собственный телефон не является уничтожением имущества, и в момент ввода никакого законного изъятия ещё не происходило.

Именно второй довод имеет последствия за пределами этого дела. Если ввод пароля считается уничтожением всякий раз, когда рядом стоит сотрудник, то юридически опасной становится любая защитная функция, которая при отказе закрывается, а не открывается. Федеральный суд Атланты должен рассмотреть ходатайство об исключении доказательств позднее в этом году.

Граница как зона пониженных прав

Это дело возможно только потому, что в пункте пропуска конституционная защита предельно тонкая. CBP заявляет полномочия проводить базовый досмотр электронных устройств без ордера и без каких-либо конкретных подозрений, и суды в основном оставляют пограничное исключение в силе, хотя округа продолжают спорить о продвинутой форензике.

Объёмы растут. В 2025 финансовом году CBP досмотрела 55 318 электронных устройств - на 17,6 процента больше, чем годом ранее, и против 41 767 в 2023 году. Из них 50 922 пришлись на базовый досмотр и 4 396 на продвинутый, с анализом или копированием содержимого. В 13 590 случаях речь шла о гражданах США. На фоне примерно 419 миллионов путешественников вероятность для конкретного человека остаётся ниже 0,01 процента, но тренд третий год смотрит в одну сторону.

Это ровно та категория рисков, которую VPN не закрывает, и здесь стоит быть точным насчёт причины. Шифрование трафика защищает данные, пока они идут по сети; досмотр на границе забирает саму конечную точку, где данные лежат расшифрованными за экраном блокировки. То же разграничение, которое мы разбирали на примере идентификаторов уровня устройства, переживающих любой туннель, здесь проявляется в физической форме. Сетевая приватность и приватность устройства - разные задачи, и путешественники, которые их смешивают, обычно защищают не ту. Для тех, кто следит, куда движется въездной скрининг в США, у нас есть разбор проекта с требованием десятилетней истории соцсетей, почты и телефонов для въезда.

Вывод