Psiphon sier at Bill C-22 kan presse deres VPN med 20 millioner brukere ut av Canada

Toronto-baserte Psiphon, et antisorsurverktøy brukt av omtrent 20 millioner mennesker i sensurerte og høyrisikoområder, sier at Canadas Bill C-22 kan tvinge dem til å svekke personvernbeskyttelsen eller forlate landet. Psiphon Bill C-22 Canada VPN-advarselen er bemerkelsesverdig fordi den kommer fra et menneskerettighetsverktøy, ikke en kommersiell tjeneste som konkurrerer om abonnenter. Den viser også hvordan pålegg om lovlig tilgang kan rekke langt utover selskapene de er rettet mot.

Hva Bill C-22 vil kreve av VPN- og omgåelsestjenester

Bill C-22 er Canadas lov om lovlig tilgang (Lawful Access Act). I grove trekk har lover om lovlig tilgang som mål å gjøre det enklere for myndigheter å hente inn data fra kommunikasjons- og nettjenester. Bekymringen Psiphon reiser, er at lovforslaget slik det er formulert kan svekke personvernbeskyttelsen som omgåelsesverktøy er avhengige av.

Detaljene i hvordan loven vil gjelde for spesifikke tjenester er viktige, og lesere bør behandle den endelige teksten som autoritativ når den er fastsatt. Forskere ved Citizen Lab, tilknyttet University of Toronto, har allerede undersøkt lovforslaget. Deres innspill, med tittelen "(Un)forced Errors," er omtalt i vår rapport om hvordan Citizen Lab flagget krypteringsrisiko i Canadas Bill C-22. Kjernebudskapet er at krav bygget for å muliggjøre tilgang kan skape svakheter i systemene som skal beskytte mennesker.

Hvorfor Psiphon sier de kan måtte forlate Canada

Psiphon hjelper mennesker som lever under undertrykkende regimer med å omgå nettsensur. Brukerne deres er ofte på steder hvor det å bli identifisert kan få alvorlige konsekvenser. Ifølge selskapet kan de, dersom Bill C-22 vedtas i sin nåværende form, bli presset til enten å svekke denne beskyttelsen eller forlate Canada.

Det er et vanskelig valg for et verktøy bygget i Toronto. En tjeneste designet for å skjerme brukere fra overvåking kan ikke enkelt legge til mekanismer som gjør overvåking mulig uten å undergrave formålet sitt. Å flytte virksomheten ut av Canada ville være en måte å holde beskyttelsen intakt på, men det ville også bety at et menneskerettighetsverktøy bygget i Canada forlater sitt hjemland.

Psiphon er ikke alene om å reise bekymring. Dekningen av saken bemerker at også andre personvernfokuserte tjenester har uttrykt motstand mot lovforslaget.

Hva en leverandørs utmelding signaliserer for VPN-brukere overalt

Det er fristende å lese dette som en rent kanadisk sak. Det er det ikke. Flere punkter skiller seg ut for VPN- og krypterte tjenestebrukere verden over:

• Jurisdiksjon betyr noe. Hvor en leverandør er juridisk basert avgjør hvilke krav den kan møte. En lovendring kan tvinge en leverandør til å flytte eller endre utformingen.
• Svekket beskyttelse rammer alle. Et verktøy bygget for aktivister i sensurerte land tjener samme tekniske funksjon som ett brukt for hverdagslig personvern. Hvis utformingen kompromitteres for én gruppe, er den kompromittert for alle.
• Utmeldinger er et signal, ikke en garanti. At et selskap sier det kan komme til å forlate, er en advarsel om loven slik den er utformet. Lovforslag kan endres før de vedtas, og utfallet er ikke avgjort.

For folk som er avhengige av omgåelsesverktøy for å nå informasjon eller kommunisere trygt, er det mindre viktig at en leverandør forlater et land enn at en leverandør ikke klarer å holde beskyttelsen sterk noe sted.

Hva dette betyr for deg

Hvis du bor i Canada og bruker VPN eller kryptert meldingstjeneste, endres ingenting i dag. Bill C-22 er et forslag, og debatten om teksten pågår. Men advarselen er en nyttig påminnelse om å tenke over hvordan verktøyene dine er bygget og hvor operatørene deres er basert.

Hvis du ikke bor i Canada, er saken fortsatt relevant. Forslag om lovlig tilgang blir ofte debattert i mange land samtidig, og argumenter fremmet på ett sted blir ofte gjenbrukt et annet sted. Det tekniske poenget at tilgangsmekanismer kan bli svake punkter, gjelder bredt.

Ingen enkelt verktøy er et fullstendig svar. Velg tjenester som er åpne om sin juridiske jurisdiksjon og hvordan de håndterer brukerdata, og hold appene dine oppdatert.

Hvordan kanadiere kan følge og respondere på debatten om lovlig tilgang

• Følg lovforslagets fremdrift. Se etter endringsforslag, siden den endelige ordlyden vil avgjøre hvordan tjenester påvirkes.
• Les primæranalyse. Tekniske innspill er mer informative enn overskrifter.
• Kontakt din representant. Kanadiere kan dele synspunkter med sin parlamentsmedlem om politikk for lovlig tilgang og kryptering.
• Gjennomgå ditt eget oppsett. Vit hvilke personvernverktøy du er avhengig av og hvor de er basert.

Konklusjonen

Psiphon Bill C-22 Canada VPN-saken er en påminnelse om at personvernpolitikk og personvernverktøy er tett knyttet sammen. En lov skrevet for ett formål kan endre hva utviklere er i stand til å bygge. For å forstå hva som står på spill, fortsett å følge Bill C-22-debatten og les Citizen Labs tekniske analyse av krypteringsrisikoene i loven om lovlig tilgang i vårt sammendrag av Citizen Lab-innspillet.