Parlament Europejski ponownie rozważa propozycję, która wymagałaby od serwisów komunikacyjnych skanowania prywatnej korespondencji w poszukiwaniu materiałów przedstawiających wykorzystywanie seksualne dzieci, a tym razem przepisy mogłyby sięgnąć do aplikacji wykorzystujących szyfrowanie end-to-end. Znany nieformalnie jako Chat Control 2.0 środek ten na nowo rozpalił debatę, w której starają się ze sobą ochronę dzieci i oczekiwania prywatności milionów zwykłych użytkowników. W centrum kontrowersji znajduje się metoda techniczna zwana skanowaniem po stronie klienta, która polegałaby na sprawdzaniu wiadomości bezpośrednio na urządzeniu użytkownika, zanim zostaną one zaszyfrowane i wysłane.

Co właściwie proponuje Chat Control 2.0

Obecna dyskusja w Parlamencie Europejskim opiera się na wcześniejszych przepisach dotyczących skanowania, które dotyczyły głównie usług nieszyfrowanych. Chat Control 2.0 rozszerzyłby ten obowiązek na platformy korzystające z szyfrowania end-to-end, technologii zaprojektowanej specjalnie po to, aby tylko nadawca i odbiorca mogli odczytać treść wiadomości. Zgodnie z propozycją dostawcy potrzebowaliby jakiegoś mechanizmu wykrywania nielegalnych treści, a mianowicie materiałów przedstawiających wykorzystywanie seksualne dzieci, nawet gdy treści te są chronione przez szyfrowanie, do którego sam dostawca normalnie nie ma dostępu.

Zwolennicy przedstawiają to jako niezbędny krok w ochronie dzieci przed wykorzystywaniem odbywającym się za pośrednictwem prywatnych kanałów cyfrowych. Przeciwnicy odpowiadają, że jedynym technicznie wykonalnym sposobem spełnienia tego wymogu bez całkowitego złamania szyfrowania jest skanowanie treści, zanim szyfrowanie w ogóle zostanie zastosowane, co rodzi odrębny zestaw problemów.

Jak skanowanie po stronie klienta podważa ochronę szyfrowania w Chat Control 2.0

W tym miejscu debata o szyfrowaniu w Chat Control 2.0 staje się techniczna, ale podstawowa idea jest prosta. Szyfrowanie end-to-end działa poprzez zamieszanie wiadomości na urządzeniu nadawcy tak, aby mogła ją odszyfrować wyłącznie zamierzona osoba odbierająca. Nikt pośrodku, ani dostawca aplikacji, ani dostawca usług internetowych, ani agencja rządowa, nie może jej odczytać podczas przesyłania.

Skanowanie po stronie klienta zmienia ten układ, sprawdzając treść wiadomości na samym urządzeniu, zanim szyfrowanie ją zamknie. W praktyce oznacza to, że każda wiadomość napisana przez użytkownika mogłaby zostać przejrzana przez zautomatyzowane oprogramowanie działające lokalnie, porównujące ją ze znanymi wzorcami lub bazami danych, zanim zostałaby komukolwiek wysłana. Nawet jeśli zaszyfrowana wiadomość, która ostatecznie podróżuje przez sieć, pozostaje nieczytelna dla osób postronnych, gwarancja prywatności została już naruszona u samego źródła. Samo urządzenie staje się, jak ujęli to niektórzy krytycy, świadkiem wszystkiego, co pisze użytkownik, sprawdzając treść, zanim kiedykolwiek zostanie ona uznana za prywatną.

To rozróżnienie ma znaczenie, ponieważ wartość szyfrowania end-to-end wynika konkretnie z założenia, że żadna strona trzecia nie sprawdza treści w żadnym momencie. Gdy skanowanie odbywa się na urządzeniu przed wysłaniem, to założenie przestaje obowiązywać, niezależnie od tego, jak silne pozostaje szyfrowanie chroniące przesyłaną wiadomość.

Które aplikacje i użytkownicy byliby dotknięci

Zakres Chat Control 2.0 jest szeroki z założenia. Każdy serwis komunikacyjny oferujący szyfrowanie end-to-end użytkownikom w Unii Europejskiej mógłby podlegać nowym obowiązkom skanowania, gdyby regulacja przeszła w obecnym kształcie. Obejmuje to usługi wykorzystywane przez zwykłych konsumentów do rozmów osobistych, a także przez profesjonalistów, dziennikarzy i aktywistów, którzy polegają na poufnej komunikacji w swojej pracy.

Ponieważ wymóg miałby zastosowanie na poziomie platformy, a nie być skierowany przeciwko konkretnym złym aktorom, dotknąłby całej bazy użytkowników każdej objętej usługi, a nie tylko osób podejrzewanych o popełnienie wykroczenia. To jest główne napięcie napędzające debatę: środek mający na celu wychwycenie wąskiej kategorii nielegalnych treści wiązałby się z konieczności z infrastrukturą monitorującą zdolną do przeglądania prywatnych wiadomości wszystkich.

Na jakim etapie są przepisy i co będzie dalej

Na chwilę obecną Chat Control 2.0 pozostaje przedmiotem aktywnej debaty w Parlamencie Europejskim, bez osiągnięcia ostatecznego porozumienia. Propozycja przeszła przez wiele rund negocjacji na przestrzeni lat, co odzwierciedla, jak trudne było dla ustawodawców pogodzenie celów ochrony dzieci z zabezpieczeniami szyfrowania, które eksperci ds. bezpieczeństwa uważają za fundamentalne dla prywatności cyfrowej. Wynik będzie zależał od dalszych negocjacji między państwami członkowskimi UE a Parlamentem, a termin ostatecznego głosowania nie został ustalony.

Co to oznacza dla Ciebie

Jeśli korzystasz z aplikacji do szyfrowanej komunikacji w celach osobistych lub zawodowych, ten proces legislacyjny wart jest obserwowania, mimo że nic nie zostało sfinalizowane. Gdyby obowiązki skanowania ostatecznie weszły w życie, użytkownicy w UE mogliby zobaczyć zmiany w sposobie działania ich ulubionych aplikacji, albo dostawcy mogliby dostosować swoje usługi, ograniczyć funkcje lub całkowicie zmienić sposób działania w regionie. Nic nie wymaga natychmiastowego działania dzisiaj, ale pozostawanie na bieżąco teraz oznacza, że nie zostaniesz zaskoczony później.

Najważniejsze wnioski

Chat Control 2.0 nie jest jeszcze prawem, ale jego postępy przez Parlament Europejski zasługują na dalszą uwagę każdego, kto ceni prywatną komunikację cyfrową. Śledź harmonogram legislacyjny w miarę kontynuowania negocjacji, zwracaj uwagę na to, jak reagują dostawcy komunikatorów, jeśli wymogi skanowania zostaną przyjęte, i rozważ, jak Twój wybór narzędzi komunikacyjnych i narzędzi prywatności może wymagać dostosowania w zależności od ostatecznego wyniku. Debata o przepisach dotyczących szyfrowania w Chat Control 2.0 jest daleka od rozstrzygnięcia, a jej wynik ukształtuje prywatność cyfrową w całej UE na nadchodzące lata.