Reino Unido ordena que a Apple monitore contas criptografadas de usuários

• Autoridades de segurança do Reino Unido exigiram que a Apple crie um backdoor capaz de visualizar todos os dados criptografados enviados à nuvem por usuários no mundo todo

  • O governo britânico está exigindo acesso amplo, e não a contas específicas
  • Segundo relatos, não há precedente disso entre as principais democracias
  • Isso levanta preocupações sobre o uso cada vez mais agressivo de empresas pelo governo para acessar dados de usuários

• A Apple está considerando suspender o armazenamento criptografado no Reino Unido para cumprir suas promessas de segurança

  • Mas isso ainda deixaria sem solução o problema de não conseguir atender exigências de backdoor para serviços fora do Reino Unido, como nos EUA

• A Home Secretary do Reino Unido emitiu à Apple um technical capability notice com base no Investigatory Powers Act, introduzido em 2016

  • A base legal é uma cláusula que permite obrigar empresas a cooperar quando for necessário para que autoridades investigativas coletem provas
  • Há uma regra segundo a qual tornar essa exigência pública pode ser considerado crime

• A Apple pode recorrer da exigência perante um tribunal técnico não público

  • Mesmo durante o recurso, a empresa teria o ônus de cooperar imediatamente com a exigência
  • A Apple contestou o fato de o governo britânico exercer o direito de decidir sobre a segurança de usuários no mundo todo

• O governo britânico se recusou a comentar exigências técnicas específicas

  • Declarou que não discute “questões operacionais”

• Autoridades do governo dos EUA também já estavam cientes das movimentações em torno da exigência britânica

  • Integrantes do governo Trump e de agências de inteligência evitaram comentários oficiais
  • O fato de a exigência britânica também se aplicar a usuários não britânicos foi recebido com choque

• O ponto em questão é o armazenamento em nuvem que só o próprio usuário pode descriptografar por meio do Advanced Data Protection

  • A Apple começou a implementá-lo em 2022, e o FBI reagiu fortemente na época
  • Se essa proteção não estiver ativada, ainda existe um caminho para que dados do iCloud sejam obtidos por autoridades mediante mandado

• O armazenamento altamente criptografado da Apple é usado apenas por parte dos usuários de iPhone e Mac, mas ao ativar esse recurso o risco de invasão diminui, enquanto o acesso por autoridades investigativas cai drasticamente

• A notícia provocou forte reação da indústria de tecnologia e de formuladores de políticas públicas

  • O senador Ron Wyden, do Comitê de Inteligência do Senado dos EUA, alertou que o Reino Unido pode acabar conduzindo vigilância secreta contra cidadãos americanos
  • Meredith Whittaker, do Signal, criticou a medida dizendo que o Reino Unido acabaria criando uma vulnerabilidade global na criptografia

• Em todo o mundo, autoridades investigativas reclamam há muito tempo que o fortalecimento da criptografia dificulta investigações de crimes como terrorismo e abuso infantil

  • As empresas resistem a isso em nome da proteção da privacidade
  • Argumenta-se que a criação de um backdoor abriria espaço para abuso por criminosos ou por Estados autoritários

• Meta, Google e outras empresas também oferecem criptografia forte em backups

  • O Google afirma que criptografa backups do Android por padrão desde 2018, de modo que nem mesmo a própria empresa consegue acessá-los
  • A Meta também mantém a posição de não colocar backdoor na criptografia de backups do WhatsApp

• Se o Reino Unido conseguir esse acesso, outros países que até agora permitiram criptografia, como a China, também poderão fazer exigências semelhantes

  • Isso pode levar a Apple a ter de decidir entre retirar o serviço ou fornecer um backdoor

• Esta não é a primeira vez que o Reino Unido critica a adoção de criptografia forte pela Apple

  • Em 2022, já havia exigido a interrupção da criptografia forte sob o argumento de proteger crianças
  • Na época, a Apple alertou que a lei britânica poderia forçar globalmente mecanismos para contornar a criptografia

• A Apple também argumentou que a exigência britânica pode entrar em conflito com decisões da Corte Europeia de Direitos Humanos

  • A empresa apontou que isso enfraqueceria a criptografia de usuários no mundo todo

• Nos EUA, embora autoridades investigativas tenham por muito tempo apontado a criptografia como obstáculo para investigações, recentemente a preocupação tem se voltado mais para ataques cibernéticos chineses

  • O governo americano passou, na verdade, a recomendar à população o uso de comunicações criptografadas em vez de ligações telefônicas comuns
  • FBI, NSA e CISA divulgaram recomendações conjuntas, mas o Reino Unido não participou

[GN⁺]

Comentários do Hacker News

• É mais provável que o governo do Reino Unido imponha multas pesadas à Apple por não cumprir as regras, em vez de tentar expulsá-la do mercado

  • É possível que a Apple suspenda o serviço Advanced Data Protection no Reino Unido
  • A proposta do governo é fraca, e as pessoas que quiserem ocultar dados criptografados vão migrar para outro lugar
  • Isso deixaria os consumidores britânicos sem proteção contra criminosos

• Se a Apple retirar seus serviços de nuvem do Reino Unido, exigir um backdoor para que as autoridades de segurança britânicas acessem dados criptografados de usuários se torna inviável

  • Parece que os serviços de inteligência do Reino Unido estão procurando uma nova forma de fazer a Apple parecer bem na história

• O porta-voz do Google, Ed Fernandez, não respondeu diretamente à pergunta sobre se o governo pediu um backdoor, e mencionou que o Google não consegue acessar dados de backup criptografados de ponta a ponta no Android, mesmo com uma ordem judicial

  • Isso significa apenas que o Google não pode acessar esses dados, e não exclui a possibilidade de ter fornecido as chaves a órgãos do governo

• A lei britânica de divulgação de chaves pode transformar em criminoso alguém que tenha dados aleatórios de alta entropia

  • Trata-se de uma exigência legal de fornecer a chave para descriptografar dados criptografados

• A ação mais perigosa para destruir a segurança de IA é um governo ignorar a matemática da criptografia

  • Isso pode destruir a segurança de IA tanto no nível individual quanto no nível do ecossistema

• Eu achava que estávamos avançando na defesa da privacidade contra a vigilância, mas este caso mostra que não

  • Como cidadão britânico, estou pensando se há algo que eu possa fazer para impedir essa situação

• Os Estados Unidos são o único país em que a liberdade em relação ao governo está explicitamente prevista em lei

  • A Constituição dos EUA desempenha um papel importante na proteção dos direitos dos cidadãos

• Há anos, as autoridades de aplicação da lei afirmam que backdoors em criptografia são necessários para prevenir crimes e terrorismo

  • Nos EUA, após o caso Salt Typhoon, o FBI está recomendando a autoridades do governo o uso de aplicativos com criptografia de ponta a ponta, como Signal e WhatsApp
  • O governo britânico demonstra falta de compreensão sobre criptografia