Monday, October 13, 2003

Understanding Legal Issues of Network Monitoring

While reading cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 recently published second edition of Incident Response and Computer Forensics, I noticed cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 legal material hadn't been updated. I visited cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Electronic Privacy Information Center (EPIC) to get cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir take on legal restrictions on monitoring. Their USA PATRIOT Act page is extremely useful. To actually read cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 PATRIOT ACT, I suggest going to a .gov source like cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Government Printing Office. Search for "public law 107-56" (PATRIOT was passed by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "107th Congress") and you'll find cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 law (text or .pdf).

From cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 EPIC PATRIOT report, I found cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se extracts applicable to network security monitoring. First, EPIC discusses watching "headers":

"Section 216 of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Act significantly expanded law enforcement authority to use trap and trace and pen register devices. Prior law relating to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 use of such devices was written to apply to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 telephone industry, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365refore cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 language of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 statute referred only to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 collection of "numbers dialed" on a "telephone line" and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "originating number" of a telephone call. The new legislation redefined a pen register as "a device or process which records or decodes dialing, routing, addressing, or signaling information transmitted by an instrument or facility from which a wire or electronic communication is transmitted." A trap and trace device is now "a device or process which captures cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 incoming electronic or ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r impulses which identify cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 originating number or ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r dialing, routing, addressing, and signaling information reasonably likely to identify cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 source or a wire or electronic communication."

By expanding cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 nature of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 information that can be captured, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 new law clearly expanded pen register capacities to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Internet, covering electronic mail, Web surfing, and all ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r forms of electronic communications.

...The USA PATRIOT does contain a provision requiring law enforcement to file under seal with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 court a record of installations of pen register/trap and trace devices. This amendment may provide some measure of judicial oversight of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 use of this enhanced surveillance authority."

You may remember stories on wiretaps from 2002. You can read cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 original evidence here. Next, EPIC discusses full content monitoring:

"Prior law prohibited anyone from intentionally intercepting or disclosing cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 contents of any intercepted communications without complying with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 requirements of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 wiretap statute, unless such interception and disclosure fell within one of several statutory exceptions. The USA PATRIOT Act, Section 217, creates a new exception, permitting government interception of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "communications of a computer trespasser" if cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 owner or operator of a "protected computer" authorizes cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 interception. The new exception has broad implications, given that a "protected computer" includes any "which is used in interstate or foreign commerce or communication" (which, with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Internet, includes effectively any computer). The "authorization" assistance permits wiretapping of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 intruder's communications without any judicial oversight, in contrast to most federal communication-intercept laws that require objective oversight from someone outside cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 investigative chain.

The new law places cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 determination solely in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 hands of law enforcement and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system owner or operator. In those likely instances in which cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 interception does not result in prosecution, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 target of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 interception will never have an opportunity to challenge cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 activity (through a suppression proceeding). Indeed, such targets would never even have notice of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 fact that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir communications were subject to warrantless interception. However, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 USA PATRIOT Act does include an exception prohibiting surveillance of someone who is known by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 owner of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 protected computer "to have an existing contractual relationship with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 owner or operator of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 protected computer for access to all or part of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 protected computer."

At this point you may want to know more about PATRIOT by reading applicable laws. Remember that PATRIOT amended existing laws. To see cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 amended laws, you need to know cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 title and sections affected. For example, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 EPIC article links directly to Cornell's US Code archive, e.g., Pen Register and Trap and Trace Statute or Interception and disclosure of wire, oral, or electronic communications prohibited, aka "The Wiretap Act." Alternatively, visit cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Office of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Law Revision Counsel of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 House of Representatives and search to find 18USC3121 or 18USC2511. Notice cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se laws don't just apply to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 government -- cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y affect everyone.

Anocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r resouce is part 3 of Slate's 4 part story on PATRIOT. The Electronic Frontier Foundation offers its views too.

Remember that state laws restrict monitoring. The Reporters Committee for Freedom of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Press offers an excellent guide to taping phone calls, with state-by-state summaries and an article on surreptitious recording. Use cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 state guide as a pointer to specific laws in each state, since cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 RCFP's focus is recording voice conversations and not electronic monitoring.

To validate cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 RCFP results I checked out cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Code of Virginia and searched for "pen register" to get my bearings. I found Title 19.2, Criminal Procedure contains Chapter 6, Interception of Wire, Electronic or Oral Communications. 19.2-62, Interception, disclosure, etc., of wire, electronic or oral communications unlawful; penalties; exceptions is very similar to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Federal statute. The section below seems to give cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 only cover to perform monitoring:

"It shall not be a criminal offense under this chapter for any person... (f) Who is a provider of electronic communication service to record cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 fact that a wire or electronic communication was initiated or completed in order to protect such provider, anocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r provider furnishing service toward cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 completion of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 wire or electronic communication, or a user of that service, from fraudulent, unlawful or abusive use of such service. "

Finding California's laws was a little more difficult. I visited cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 state's search page, and after not getting useful hits on "pen register" I tried "interception." That yielded Section 629.50-629.98, INTERCEPTION OF WIRE, ELECTRONIC DIGITAL PAGER, OR ELECTRONIC CELLULAR TELEPHONE COMMUNICATIONS of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Penal Code. Since this pertains to law enforcement actions, I used cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 information from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 RCFP site to check Section 630-637.9, INVASION OF PRIVACY. Here I found that interception and recording is illegal, unless:

"(b) This section shall not apply (1) to any public utility engaged in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 business of providing communications services and facilities, or to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 officers, employees or agents cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365reof, where cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 acts ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365rwise prohibited herein are for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 purpose of construction, maintenance, conduct or operation of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 services and facilities of
cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 public utility..."

Let's conclude this research with a check on Texas' laws. The Texas Penal Code offers CHAPTER 16. CRIMINAL INSTRUMENTS, INTERCEPTION OF WIRE OR ORAL COMMUNICATION, AND INSTALLATION OF TRACKING DEVICE. Looking at Section 16.02 we read:

"A person commits an offense if cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 person:

(1) intentionally intercepts, endeavors to intercept, or procures anocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r person to intercept or endeavor to intercept a wire, oral, or electronic communication...

c) It is an affirmative defense to prosecution under Subsection (b) that:

(1) an operator of a switchboard or an officer, employee, or agent of a communication common carrier whose facilities are used in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 transmission of a wire or electronic communication intercepts a communication or discloses or uses an intercepted communication in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 normal course of employment while engaged in an activity that is a necessary incident to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 rendition of service or to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 protection of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 rights or property of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 carrier of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 communication, unless cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 interception results from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 communication common carrier's use of service observing or random monitoring for purposes ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r than mechanical or service quality control checks..."

Again we see language that mirrors cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Federal statutes. Note I have avoided citing statutes which offer consent as a defense for doing monitoring. Consent can be obtained when intruders use "bannerable" services like telnet or FTP to access a victim. If an intruder doesn't access an interactive service, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re's no way to obtain cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 intruder's consent and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365reby use consent exceptions to justify monitoring.

For more information, read Dorothy Denning's latest. The Constitution Project released a survey of state wiretap laws last month.