Tribunal Europeu de Direitos Humanos decide proibir o enfraquecimento da criptografia segura de ponta a ponta

Tribunal Europeu de Direitos Humanos (ECHR)

• O Tribunal Europeu de Direitos Humanos proibiu ontem o enfraquecimento generalizado da criptografia segura de ponta a ponta (end-to-end encryption).
• A decisão afirma que a criptografia ajuda cidadãos e empresas a se protegerem contra invasões, roubo de identidade, furto de dados pessoais, fraudes e divulgação não autorizada de informações confidenciais.
• Backdoors podem ser explorados por redes criminosas e podem comprometer gravemente a segurança das comunicações eletrônicas de todos os usuários.
• O tribunal entendeu que existem outras soluções para monitorar comunicações criptografadas sem enfraquecer de forma generalizada a proteção de todos os usuários.

Opinião de um membro do Parlamento Europeu

• Patrick Breyer, membro do Parlamento Europeu e defensor das liberdades digitais (Partido Pirata), afirmou que esta decisão deixa claro que a vigilância por 'client-side scanning' proposta pela Comissão Europeia é claramente ilegal.
• Em vez de investigar suspeitos, isso destruiria a proteção de todos.
• Agora, os governos da UE não têm outra opção a não ser remover a destruição da criptografia segura de sua posição sobre essa proposta.
• A criptografia segura salva vidas. Sem criptografia, não podemos ter certeza de que nossas mensagens ou fotos não estão sendo expostas, sem nosso conhecimento, a pessoas em quem não confiamos.
• O 'client-side scanning' tornaria nossas comunicações fundamentalmente inseguras, ou os cidadãos europeus deixariam de poder usar Whatsapp ou Signal.
• O Parlamento Europeu rejeitou a destruição da criptografia segura e o controle indiscriminado de chats, mas isso é apenas o ponto de partida para negociações com o Parlamento Europeu assim que ele definir sua posição.
• A Meta anunciou que vai criptografar as mensagens diretas no Facebook e no Instagram neste ano e encerrar a atual vigilância voluntária de chats.
• Ainda assim, a UE está em processo de ampliar sua autoridade sobre o controle voluntário de chats.

Contexto

• A Comissão Europeia e a rede industrial das autoridades de vigilância exigem a varredura generalizada de comunicações privadas, incluindo mensageiros com criptografia de ponta a ponta, em busca de sinais de conteúdo ilegal.
• Isso não pode ser implementado sem enfraquecer a criptografia segura de ponta a ponta.
• Embora a maioria dos governos da UE apoie a iniciativa, uma minoria de bloqueio está impedindo a decisão.
• Os ministros do Interior da UE devem voltar a discutir esse projeto de lei no início de março.

Opinião do GN⁺

• O ponto mais importante deste artigo é que o Tribunal Europeu de Direitos Humanos proferiu uma decisão que proíbe o enfraquecimento da criptografia segura de ponta a ponta.
• Essa decisão pode se tornar um marco extremamente importante em uma sociedade moderna que valoriza a privacidade individual e a segurança de dados.
• A importância da tecnologia de criptografia e os esforços legais para protegê-la são interessantes e úteis para as pessoas porque a proteção da privacidade e a cibersegurança estão se tornando cada vez mais importantes.

[GN⁺]

Comentário do Hacker News

• O tribunal considerou que exigir legalmente a descriptografia de comunicações com criptografia de ponta a ponta (E2E) em casos específicos é uma interferência excessiva no direito à privacidade.

  • A lei em questão determina que serviços de mensagens, como o Telegram, forneçam mensagens criptografadas junto com as informações necessárias para a descriptografia.
  • Para chegar a essa conclusão, o tribunal considerou os efeitos amplos de enfraquecer a criptografia E2E e citou vozes que pedem “soluções” alternativas para a descriptografia sem enfraquecer os mecanismos de proteção.
  • Essas soluções incluem atividade policial tradicional, operações encobertas, análise de metadados, cooperação policial internacional, perícia em tempo real em dispositivos apreendidos, adivinhar ou obter chaves privadas mantidas pelas partes da comunicação, explorar vulnerabilidades do software alvo e enviar implantes para dispositivos específicos.

• Embora esta decisão trate de um caso específico, e de uma lei específica, o tribunal demonstra considerável ceticismo em relação a exigências para que provedores de serviço enfraqueçam mecanismos de criptografia para todos os usuários.

  • Se eu fosse o governo do Reino Unido, me preocuparia com a possibilidade de o Online Safety Bill ser derrubado por tribunais nacionais ou europeus com base nesta decisão.

• Apesar de declarar que, em caso de estado de emergência, o governo pode se afastar do direito à privacidade dentro dos limites necessários para uma emergência que “ameace a vida da nação”, a instalação de um backdoor em E2E foi considerada como algo que ultrapassa o escopo do que pode limitar legalmente esse direito.

• Existe uma espécie de cabo de guerra entre governo e indústria em relação à criptografia.

  • O governo não deve injetar vulnerabilidades em algoritmos, mas precisa de uma forma de ler mensagens de criminosos e terroristas.
  • A indústria quer permitir que os clientes usem seus produtos com segurança.
  • Sem pressão regional, isso pode acabar entregando a comercialização da criptografia aos EUA.

• O artigo tem conteúdo político e cita frases promocionais do Partido Pirata, mas não explica que caso foi levado ao juiz nem o que foi especificamente proibido.

  • O caso real no tribunal foi o de um indivíduo contra o governo russo, relacionado à multa aplicada quando o Telegram não forneceu mensagens de chat em texto simples.
  • A palavra Rússia não aparece em nenhum ponto do artigo, e não está claro por que ele é descrito como relacionado ao projeto de lei recente sobre chat control.

• É bom saber que esta decisão também se aplica ao Reino Unido. O Reino Unido continua sendo membro da Corte Europeia de Direitos Humanos (ECHR).

• A Europa tem mostrado bem, ultimamente, como pode implementar regulações tecnológicas razoáveis.

• Em um cenário em que tantas coisas acabam virando “eles vão tentar de novo em dois anos”, é um pouco tranquilizador ver surgir um obstáculo de longo prazo para essas propostas anti-E2EE.

• Fico feliz que o valor da criptografia possa ter futuro na Europa.

• Enfraquecer uma criptografia de ponta a ponta segura torna a criptografia sem valor.

• Dá para imaginar que certos provedores de internet (ISPs) não ficarão satisfeitos com a situação atual. Isso cria grandes obstáculos para alguns modelos de proxy.

• Excelente notícia vinda da Corte Europeia de Direitos Humanos. O governo britânico está tentando criticá-la da mesma forma que criticava a UE.