Proposta de Chat Control falha novamente em meio à oposição pública

• O Conselho da União Europeia retirou novamente a proposta de Chat Control, que pretendia tornar obrigatória a vigilância de mensagens criptografadas, em um movimento visto como uma vitória dos grupos de direitos digitais
• A proposta buscava inspecionar mensagens por meio de varredura no lado do cliente (client-side scanning) antes ou depois da criptografia, mas foi criticada por enfraquecer a própria arquitetura de criptografia
• Pesquisadores de segurança e organizações da sociedade civil apontaram que “não existe backdoor seguro” e alertaram para os riscos com base no caso da Apple em 2021
• Esta retirada é vista como um exemplo de como a pressão contínua da sociedade e a articulação de especialistas técnicos podem influenciar de forma concreta as decisões de política pública
• No entanto, pressões políticas e equívocos técnicos ainda persistem, tornando necessárias respostas de longo prazo e alternativas para proteger a criptografia

---

As repetidas falhas e controvérsias da proposta de Chat Control

• A proposta de Chat Control da União Europeia era um plano para escanear em massa mensagens criptografadas, e a presidência dinamarquesa voltou a retirá-la desta vez
  • Isso faz parte de um processo contínuo de conflito entre defensores da privacidade e legisladores que querem enfraquecer a criptografia em nome da segurança pública
• Desde sua introdução em 2022, a proposta continua ressurgindo e sendo reapresentada repetidamente, apesar da oposição da sociedade civil, de especialistas técnicos e do público
• A Electronic Frontier Foundation (EFF) e mais de 80 organizações civis se opuseram fortemente à obrigatoriedade da varredura no lado do cliente sob o pretexto de combater material de abuso sexual infantil
• A proposta afirma repetidamente incluir “salvaguardas de privacidade”, mas especialistas as consideram mecanismos de segurança ilusórios
• O acesso por backdoor a mensagens criptografadas torna todo o sistema vulnerável, com risco de também ser explorado por agentes maliciosos

A impossibilidade técnica de uma “varredura segura”

• A criptografia de ponta a ponta (E2EE) é uma estrutura em que apenas o remetente e o destinatário possuem as chaves de descriptografia, e terceiros não podem ler o conteúdo das mensagens
  • Trata-se de uma estrutura de segurança baseada não em escolha de design, mas em certeza matemática
• A varredura no lado do cliente tenta analisar mensagens antes ou depois da criptografia, comprometendo de forma fundamental o modelo de criptografia
  • Se o dispositivo do usuário puder escanear mensagens, então malware ou programas governamentais de vigilância também poderão ter o mesmo acesso
• O plano da Apple de 2021 para escanear imagens infantis no iCloud é citado como um caso que foi retirado após forte reação de especialistas
• Esses sistemas não tornam possível uma varredura apenas para “bons propósitos”, e o risco de exploração de vulnerabilidades de segurança inevitavelmente existe
• Tecnologias de vigilância têm alta probabilidade de extrapolar seu objetivo original e se expandir para monitoramento de oposição política ou da expressão, o que pode se tornar um precedente de abuso por regimes autoritários

Pressão pública e influência da sociedade civil

• Esta retirada é vista como um exemplo que mostra a importância da participação pública contínua e da vigilância sobre políticas tecnológicas
• Diferentemente do passado, neste debate houve participação em larga escala de organizações civis, empresas de tecnologia, pesquisadores de segurança e cidadãos comuns
• Grupos como a EFF e a European Digital Rights alertaram milhões de pessoas sobre os riscos por meio de explicações técnicas, análises jurídicas e campanhas públicas
• Essa opinião pública contrária criou um ambiente em que ficou difícil para políticos apoiarem a proposta
• A posição consistente dos especialistas técnicos, a articulação entre setores e a pressão contínua são apresentados como fatores centrais que tornaram possível barrar a política

Desafios e alternativas para melhorar a política pública

• O ressurgimento repetido do Chat Control revela um problema estrutural decorrente da má compreensão da tecnologia de criptografia por parte dos formuladores de políticas
• Alguns legisladores acreditam que é possível ter criptografia forte e, ao mesmo tempo, acesso governamental, mas isso entra em choque com a oposição total da comunidade criptográfica
• Para uma segurança online efetiva, é necessário fortalecer capacidades investigativas sem enfraquecer a criptografia, além de cooperação internacional e programas sociais de prevenção
• As empresas de tecnologia devem desenvolver recursos de segurança compatíveis com a privacidade, como análise de metadados, denúncias de usuários e restrição de contas, em vez de escanear conteúdo
• A proteção da criptografia é apresentada não como uma vitória pontual, mas como uma tarefa de longo prazo que exige vigilância contínua, educação e desenvolvimento de tecnologias alternativas

Perspectivas futuras e necessidade de vigilância contínua

• A retirada do Chat Control é apenas uma vitória temporária, e há possibilidade de reaparecer em forma revisada sob a próxima presidência da UE
• Como a pressão política e a justificativa de proteção infantil ainda existem, o risco de propostas semelhantes se repetirem continua alto
• A vigilância contínua da comunidade de privacidade, a educação pública e a apresentação de políticas alternativas são essenciais
• Tentativas de enfraquecer a criptografia causam problemas maiores do que os que pretendem resolver em nome da segurança, e convencer disso os formuladores de políticas é a tarefa central
• O Chat Control, chamado de “proposta zumbi”, pode ressurgir novamente, exigindo uma resposta de longo prazo dos defensores dos direitos digitais

[GN⁺]

Opiniões no Hacker News

• Essa notícia é realmente muito bem-vinda
  Agora precisamos criar salvaguardas constitucionais e desenvolver sistemas que permitam contornar isso caso volte a acontecer
  Ainda hoje, há lugares em que apenas a comunicação via sneakernet garante privacidade, então são necessárias ferramentas de privacidade para não especialistas que funcionem mesmo sem conexão constante

  • Há países que já têm esse tipo de proteção, como a Alemanha
    O Chat Control pode ser considerado um ato de violência ideológica contra a população alemã, portanto é ilegal
    O problema é a indiferença das pessoas e a falta de disposição para agir

• Se esse projeto de lei reaparecer, provavelmente virá com um nome como "Protecting Children and Countering Terrorism Act"

  • Se os políticos usarem nomes ao estilo americano, provavelmente será embalado como algo tipo "PROTECT Act" (Preventing Risks Online; Thwarting Exploitation of Children and Terrorism)
  • É irritante como essa previsão parece precisa demais

• Sempre que surgir uma nova versão do projeto, a primeira coisa a verificar é se ele inclui uma cláusula de exceção para o governo
  Se o governo disser que a regra não vale para ele mesmo, então, naquele instante, o projeto deve ir direto para o lixo

• Fico me perguntando quem quer isso e quem está forçando tanto essa pauta
  Há forças que sabem que a derrota é apenas temporária e vão continuar ressuscitando isso

  • A ONG Thorn.org, criada por Ashton Kutcher, Demi Moore e outros, tem ligação com isso
    A organização vende uma ferramenta chamada Safer.io, que permite verificar hashes de CSAM em sites
    Eles também já contrataram ex-dirigentes da Europol
    Para mais detalhes, veja a reportagem investigativa do Balkan Insight
  • Na prática, isso se parece mais com ruído gerado pelo longo processo legislativo da UE
    Desde por volta de 2021, pacotes contendo o Chat Control vêm sendo propostos e discutidos até hoje
    Agora a situação parece avançada demais para simplesmente voltar atrás
  • O objetivo final é tornar a fala anônima algo suspeito
    Os políticos estão cansados de ser ridicularizados anonimamente, e essa lei é uma peça desse quebra-cabeça
    Principalmente as forças políticas de centro na Europa estão promovendo isso para proteger sua posição

• Não entendo por que esse debate continua se repetindo
  Não deveria haver um incentivo de ser destruído na reeleição para quem tenta impor backdoors na criptografia?

  • Na verdade, o problema é o processo legislativo complexo da UE
    Comissão, Parlamento e Conselho têm posições diferentes, e como o processo é longo e repetitivo, isso continua voltando ao noticiário
  • Os eleitores precisam prestar mais atenção para que essas tentativas sejam barradas
  • Eles só precisam vencer uma vez, enquanto nós precisamos impedir todas as vezes
    Políticos financiados por lobby não veem isso como perda de tempo
    Além disso, desta vez até quem impulsionou a proposta está sendo protegido pelo anonimato
  • É por isso que eles sempre agem de forma sorrateira
    Fazem isso sob pretextos como “proteger as crianças”, enfraquecendo a criptografia de maneira indireta
    O público em geral nem sequer entende o que significam criptografia ou backdoors, então não percebe o problema

• Isso não aconteceu só porque 10% do público mais interessado em tecnologia fez pressão
  Os próprios políticos usam a mesma tecnologia e têm muito mais a perder em caso de vazamento de informações

  • Mas eles deram a si mesmos uma exceção de escaneamento
    Há uma cláusula dizendo que “políticos da UE podem ser isentos por obrigações de confidencialidade profissional”
    Veja o post do blog da Nextcloud
  • Também houve o caso em que o celular de Von der Leyen foi convenientemente apagado antes de ser usado como prova em tribunal
    Não existe uma cultura de responsabilização mesmo quando há vazamentos

• Se compararmos chats eletrônicos com a antiga censura postal, as pessoas ficariam caladas se o governo escaneasse todas as cartas em busca de palavras ilegais?
  Não há motivo para que chats sejam diferentes

  • O artigo 15 da Constituição italiana garante a liberdade e o sigilo de todas as formas de comunicação
    Isso não pode ser restringido sem decisão judicial
    Link para o texto da Constituição
  • As constituições de vários países europeus e o artigo 8 da ECHR também proíbem escuta arbitrária
    Isso também está explicitado na disposição constitucional da Suécia
  • Criptografia não pode ser parcialmente quebrada
  • Conversas digitais são uma forma de comunicação direta mais próxima de um sussurro do que de uma carta
    O governo jamais deveria ler tudo o que é dito
  • Não é diferente de ler todas as cartas sem ordem judicial
    Só a coleta de metadados já é invasiva o bastante

• A verdadeira pergunta é: "quando e em que formato isso vai voltar"

  • Eles só precisam ganhar uma vez, e nós precisamos ganhar sempre
  • Provavelmente vão enfiar isso em um projeto de lei não relacionado ou tentar aprovar em silêncio
  • Ou talvez isso já esteja avançando em sigilo

• Fico com o pensamento cínico de que “na 25ª tentativa talvez funcione”

  • Parece um loop infinito como while True: ProposeChatControl()

• Da próxima vez que esse projeto reaparecer, fico curioso para ver se vão surgir novos nomes de domínio para campanhas de oposição outra vez