Mi változott: Hogyan tért vissza a Chat Control a „halála” után

Ha úgy gondoltad, hogy az EU vitatott üzenet-ellenőrzési javaslata befejeződött, nem voltál egyedül. Németország nyilvánosan ellenezte. Az Európai Parlament elutasította a kulcsfontosságú rendelkezéseket. A tagállamok közötti tárgyalások állítólag összeomlottak. A legtöbb beszámoló szerint a Chat Control politikailag halottnak tűnt.

Most mégis arról szólnak a hírek, hogy a Chat Control valamilyen változata előrelépett az Európai Parlamentben. Ez nem egyszerűen arról szól, hogy ugyanazt a törvényjavaslatot változatlan formában élesztették újjá. Inkább a jogszabály párhuzamos utakra bomlott szét, mindegyik saját jogalappal, időrenddel és a privát kommunikációhoz való hozzáférési mechanizmussal. Ez a széttöredezettség része annak az oknak, amiért a történet újra és újra felbukkan, még azután is, hogy halottnak tűnik: különböző bizottságok, különböző szavazások és különböző jogi eszközök haladnak eltérő sebességgel, és minden újraindulás olyan címlapokat generál, amelyek azt sugallják, hogy a harc véget ért, pedig nem.

Ez a látszólagos vereséget követő csendes feltámadás mintája nem újszerű. Az év elején az Európai Parlament visszahozta a keretrendszer egy régebbi változatát, miután annak jogalapja technikailag lejárt, visszaállítva olyan szabályokat, amelyekről sokan azt hitték, végleg érvényüket vesztették. Azoknak az olvasóknak, akik teljesebb jogalkotási előzményeket szeretnének ezek mögött az ismételt feltámasztások mögött, a júliusi szavazásról szóló korábbi tudósításunk, amely feltámasztotta a Chat Control 1.0-t, bemutatja, hogyan tért vissza egy lezártnak hitt keretrendszer egy olyan eljárási szavazással, amelyre a legtöbben nem számítottak.

A két változat magyarázata: Önkéntes szkennelés vs. kötelező észlelés

A jelenlegi vita középpontjában a privát kommunikáció illegális tartalmak – leginkább a gyermekek szexuális bántalmazását ábrázoló anyagok (CSAM) – utáni szkennelésének két eltérő megközelítése áll.

Az első változat az önkéntes szkennelésre épül. E modell szerint az üzenetküldő szolgáltatók és platformok számára engedélyezett, de jogilag nem kötelező a felhasználói tartalmak átvizsgálása megjelölt anyagok után. A támogatók ezt kompromisszumként állítják be: megőriz valamekkora választási lehetőséget a cégek számára, miközben továbbra is utat biztosít a bűnüldözésnek az észleléshez.

A második változat a kötelező észlelés felé tolja el a hangsúlyt. Ennek a keretrendszernek az értelmében a szolgáltatók jogilag kötelezettek lennének a kommunikáció – beleértve a végpontok közötti titkosítással védetteket is – átvizsgálására, mielőtt a titkosítást alkalmazzák, vagy közvetlenül annak feloldása után. Ezt gyakran kliensoldali szkennelésnek nevezik, és ez az agresszívebb a két megközelítés közül, mivel semmilyen mérlegelési lehetőséget sem hagy a platformok számára.

Papíron ezek jelentősen eltérő javaslatoknak tűnnek. Az egyik opcionális, a másik kötelező. A felhasználók – különösen azok számára, akik Európában a mindennapi kommunikációjuk során titkosított üzenetküldő alkalmazásokra támaszkodnak – a gyakorlati hatás azonban sokkal hasonlóbb, mint azt a címkék sugallják.

Miért ássa alá mindkét változat a végpontok közötti titkosítást?

A titkosítás vagy megvéd egy üzenetet a külső hozzáféréstől, vagy nem. A „részleges titkosításnak” nincs olyan változata, amely az üzenetet privátként kezeli mindenki elől, kivéve egy, magába az alkalmazásba beépített szkennelési rendszert. Amint egy szkennelési mechanizmust – akár önkéntes, akár kötelező – beágyaznak egy üzenetküldő szolgáltatásba, hogy a titkosítás előtt vagy után ellenőrizzék a tartalmat, a szolgáltatás egy olyan strukturális hozzáférési pontot hoz létre, ami korábban nem létezett. A biztonsági kutatók régóta figyelmeztetnek arra, hogy bármely, bűnüldözési vagy tartalommoderálási célokra épített hátsó kaput elvben mások is felfedezhetik és kihasználhatják, legyenek azok rosszindulatú szereplők, külföldi hírszerző szolgálatok vagy egyszerű mérnöki hibák.

Az önkéntes modell nem szünteti meg ezt a kockázatot; csupán azt változtatja meg, hogy ki dönt a hátsó kapu megépítéséről. Annak a platformnak, amely önként vállalja a szkennelést, hogy jó kapcsolatban maradjon a szabályozókkal, vagy hogy elkerülje a későbbi kötelező előírásokat, ugyanúgy implementálnia kell ugyanazt a tartalomvizsgáló infrastruktúrát. Amint ez az infrastruktúra létezik egy nagy platformon, a „önkéntes” és a „kötelező” közti különbség biztonsági szempontból nagyrészt elméletivé válik. A garancia, hogy csak a küldő és a címzett olvashatja az üzenetet, mindkét esetben megtörik.

Mit jelent ez számodra?

Az EU mindennapi felhasználói számára a gyakorlati tanulság az, hogy egyetlen szavazási eredményt sem szabad véglegesnek tekinteni, és egyetlen javaslatot sem szabad ártalmatlanként kezelni csupán azért, mert „önkéntes” címkével látják el. Az itteni jogalkotási folyamat már megmutatta, hogy képes meglepetésszerű feltámadásokat produkálni a látszólagos vereségek után, és több, egymással versengő irányzatra bomolhat, ami megnehezíti a nyilvánosság számára, hogy nyomon kövesse, miről is döntenek valójában.

Ez a bizonytalanság pontosan az oka annak, hogy az adatvédelem-tudatos felhasználók egyre inkább rétegzett védelmet építenek ki, ahelyett hogy egyetlen kedvező törvényre hagyatkoznának. A VPN titkosítja a forgalmat az eszköz és a tágabb internet között, ami segít elrejteni a böngészési tevékenységet és a metaadatokat a hálózati szintű megfigyelés elől, bár önmagában nem védi meg az alkalmazáson keresztül küldött üzenetek tartalmát, ha az alkalmazásnak szkennelési kötelezettsége van a titkosítás előtt. Ezért a VPN-használatot és a titkosított üzenetküldést nem egymás helyettesítőjeként, hanem kiegészítő eszközökként kell értelmezni. Érdemes most átgondolni, hogyan illeszkednek ezek az eszközök egy tágabb adatvédelmi eszköztárba, még mielőtt a Chat Control bármely végleges változata eldőlne, nem pedig utána.

Gyakorlati teendők

Kövesd figyelemmel, hogy a javaslat melyik változata halad előre, mivel az önkéntes és a kötelező szkennelés eltérő, de egymást átfedő kockázatokat hordoz. Továbbra is használj végpontok közötti titkosítással rendelkező üzenetküldő alkalmazásokat, és figyeld azoknak a szolgáltatóknak a nyilvános nyilatkozatait arról, hogyan terveznek reagálni, ha szkennelési követelményeket vezetnek be. Párosítsd a titkosított üzenetküldést egy megbízható VPN-nel, hogy megvédd a kapcsolat metaadatait, még akkor is, ha a VPN nem helyettesítheti az üzenetszintű titkosítást. Végül, kövesd továbbra is magát a jogalkotási folyamatot. Ahogy a Chat Control 1.0 korábbi feltámadása is megmutatta, egy elutasított javaslat Európában nem feltétlenül halott, és a tájékozottság az első lépés a magánéleted védelme felé, függetlenül attól, hogy végül melyik változat halad előre.