Az Európai Unió ismét meghosszabbította az ePrivacy-szabályokra vonatkozó ideiglenes felmentést, azt a jogi mechanizmust, amely lehetővé teszi az üzenetküldő platformok számára, hogy a gyermekek szexuális bántalmazását ábrázoló anyagok (CSAM) után kutassanak a privát kommunikációban anélkül, hogy ütköznének a titoktartási védelemmel. Papíron ez rutinszerű ügyintézésnek tűnik. A gyakorlatban életben tartja az ügyféloldali szkennelés jogi alapját, egy olyan technikáét, amely – a magánélet védelmének szószólói szerint – csendben szétszedheti a Signalhoz és a WhatsApphoz hasonló alkalmazásokat védő végpontok közötti titkosítást. Az, hogy mi változott és mi nem, fontos mindenkinek, aki Európában vagy bárhol máshol titkosított üzenetküldésre támaszkodik.

Mit változtat valójában az ePrivacy-hosszabbítás

Az ePrivacy-irányelv általában megköveteli, hogy a kommunikáció bizalmas maradjon, vagyis a platformok nem vizsgálhatják meg a privát üzenetek tartalmát külön jogi kivétel nélkül. 2021 óta az EU többször is felmentést, egy ideiglenes kivételt adott, amely lehetővé teszi a vállalatok számára, hogy önkéntesen átvizsgálják az üzeneteket és képeket CSAM után kutatva. Ez a felmentés soha nem volt állandó, de folyamatosan megújítják ahelyett, hogy egy végleges jogszabályi keret váltaná fel.

Ez a minta nem új. Az Európai Parlament az év elején meghosszabbította a Chat Control 1.0-t az áprilisi lejárat után, és amikor az ismét lejárt, a jogalkotók sietősen visszahozták egy meglepetésszerű júliusi szavazással, amely feltámasztotta a Chat Control 1.0-t. A legutóbbi megújítás, amely július 9-én ment át, gyakorlatilag folytatta a szkennelési rendszert, de nem egy egyértelmű támogató szavazat révén, hanem azért, mert az ellenzők nem tudtak elég támogatást összegyűjteni a blokkoláshoz. Ezt az esetet részletesen ismerteti a beszámolónk arról, hogyan újította meg az EU Parlament a Chat Control szkennelési törvényt július 9-én.

A legújabb ePrivacy-hosszabbítás ugyanezt a forgatókönyvet követi: egy átmeneti intézkedés, amelyet procedurális viták közepette fogadtak el, és amely elkerüli a végleges döntést, miközben nyitva hagyja a szkennelés lehetőségét. A kritikusok szerint ez a megközelítés lehetővé teszi az EU számára, hogy kikerülje a teljes körű nyilvános vitát arról, hogy a tömeges üzenetszkennelés összeegyeztethető-e az alapvető magánélethez való jogokkal.

Hogyan töri meg az ügyféloldali szkennelés a végpontok közötti titkosítást

Az a technikai részlet, amely elvész a politikai vitákban, az, hogy pontosan hogyan működik az ügyféloldali szkennelés, és miért gyengíti a titkosítást annak ellenére, hogy maga a titkosítás technikailag érintetlen marad.

A végpontok közötti titkosítás, amelyet a Signal és a WhatsApp használ, biztosítja, hogy csak a feladó és a címzett olvashassa az üzenetet. Még az alkalmazásszolgáltató sem látja a tartalmat az átvitel közben. Az ügyféloldali szkennelés ezt úgy változtatja meg, hogy egy elemzési lépést iktat be a titkosítás előtt, közvetlenül a felhasználó eszközén. Minden fotót, fájlt vagy üzenetet ellenőriznek egy adatbázis vagy algoritmus alapján, mielőtt titkosítással lezárnák és elküldenék.

Maga a titkosítás kriptográfiai értelemben nem törik meg. De az a magánéletre vonatkozó garancia, amelyet nyújtania kellene – hogy egyetlen harmadik fél sem vizsgálhatja meg a kommunikációdat –, megsemmisül. Ha egy eszköz átvizsgálja a tartalmat a küldés előtt, akkor egy harmadik fél (a szkennelési rendszer, és ezáltal aki irányítja) gyakorlatilag rálát a privát kommunikációdra, függetlenül attól, hogy mi történik az adatokkal később. Ez a fő kifogás, amelyet biztonsági kutatók, üzenetküldő szolgáltatók és digitális jogi szervezetek fogalmaznak meg: az ügyféloldali szkennelés nem él békésen együtt a végpontok közötti titkosítással, hanem belülről üresíti ki.

A Chat Control 2.0-ról és az EU CSAM-szkennelési tervéről szóló magyarázónk bemutatja, hogyan fejlődött ez a javaslat, és miért ellenkeztek olyan erősen az üzenetküldő szolgáltatók a kötelező szkennelési követelmények ellen.

Miért nem véd meg a VPN az eszközön történő szkenneléstől

Ez az a pont, amely gyakran összekeveredik a nyilvános vitában, ezért érdemes világosan kimondani: a VPN semmit sem tesz az ügyféloldali szkennelés megakadályozására. A VPN titkosítja az internetes forgalmat az eszközöd és egy távoli szerver között, megvédve a kapcsolatodat a hálózati szintű megfigyeléstől, az internetszolgáltatótól vagy attól, aki nyilvános Wi-Fi-n kémkedik. Nem lát rá, és nincs befolyása arra, hogy mi történik az eszközödön, mielőtt a forgalom elküldésre kerül.

Az ügyféloldali szkennelés helyben, magán a telefonon vagy számítógépen történik, mielőtt egy üzenetet titkosítanának és továbbítanának. A VPN teljesen azon a folyamaton túl működik. Ha egy alkalmazásnak át kell vizsgálnia egy fotót a küldés előtt, egyetlen VPN sem avatkozhat be ebbe a szkennelésbe, bármilyen erős is a titkosítása vagy bármilyen szigorú a naplómentességi politikája. Ez egy alapvető architekturális különbség, amelyet minden tudatos felhasználónak meg kell értenie: a VPN-ek az átvitelben lévő adatokat védik, nem pedig a keletkezés pontján lévő adatokat.

Merre tart a Chat Control 2.0 vita következő lépése

A tágabb Chat Control 2.0 javaslat, a formális jogalkotási erőfeszítés arra, hogy a szkennelést ne csak megengedjék, hanem kötelezővé tegyék, továbbra is megoldatlan. Minden ePrivacy-hosszabbítás időt nyer anélkül, hogy eldöntené az alapkérdést: vajon az EU törvényben írná-e elő a platformoknak a titkosított üzenetek szkennelését. Az üzenetküldő szolgáltatók, biztonsági kutatók és civil szervezetek továbbra is figyelmeztetnek, hogy bármilyen kötelező szkennelési követelmény precedenst teremtene, amely az Európa határain túl is érintené a titkosított kommunikációt, mivel a globális alkalmazások gyakran mindenhol ugyanazt az architektúrát alkalmazzák.

A jogalkotási idővonal teljesebb képéért a beszámolónk arról, mit tehetnek a felhasználók most a július 9-i Chat Control-megújítás után, bemutatja azokat a gyakorlati lépéseket, amelyeket az érintettek megtehetnek.

Mit jelent ez Önnek

Ha Ön a Signalt, a WhatsAppot vagy bármely más titkosított üzenetküldő alkalmazást használ az EU-ban, a mindennapi élményében még semmi sem változott. Az ügyféloldali szkennelés jelenleg nem kötelező. De a jogi alapját folyamatosan hosszabbítják, nem pedig rendezik, ami azt jelenti, hogy a lehetőség továbbra is él. A felhasználóknak meg kell érteniük, hogy a titkosítás erőssége önmagában nem garantálja a magánélet védelmét, ha a szkennelést a titkosítás elé iktatják, és hogy egyetlen VPN, tűzfal vagy hálózati eszköz sem pótolhatja ezt a garanciát, ha az egyszer sérül.

Gyakorlati tanulságok

Kövesse nyomon a jogalkotási idővonalat, ahelyett hogy feltételezné, hogy a kérdés lezárult, mivel ezek a hosszabbítások csendesen és ismétlődően történnek. Értse meg a különbséget a hálózati szintű magánélet-védelmi eszközök, mint a VPN, és az eszközön lévő védelmek, mint a végpontok közötti titkosítás között – ezek különböző problémákat oldanak meg. Kövesse az Ön által használt üzenetküldő szolgáltatók nyilatkozatait közvetlenül, mivel a nagyobb cégek, mint a Signal, történelmileg hangosak voltak a titkosítási modelljüket fenyegető veszélyekkel kapcsolatban. És ha véleményt szeretne mondani, az EU polgárai felvehetik a kapcsolatot az Európai Parlament képviselőivel, mivel a nyilvános nyomás korábban is befolyásolta, milyen gyorsan és milyen messzire haladnak ezek a javaslatok.