Chat Control dyker upp igen i två versioner, ingen av dem skyddar dig

Vad har förändrats: Hur Chat Control kom tillbaka efter att ha "dött"

Om du trodde att EU:s kontroversiella förslag om meddelandeskanning var färdigt, var du inte ensam. Tyskland hade öppet motsatt sig det. Europaparlamentet hade avvisat centrala bestämmelser. Förhandlingarna mellan medlemsstaterna rapporterades ha kollapsat. Enligt de flesta bedömningar verkade Chat Control vara politiskt död.

Ändå rapporterar rubrikerna återigen att någon version av Chat Control har gått framåt i Europaparlamentet. Det är inte fråga om att samma lagförslag har återupplivats oförändrat. Istället har lagstiftningen splittrats i parallella spår, vart och ett med sin egen rättsliga grund, tidslinje och mekanism för att få tillgång till privata kommunikationer. Denna fragmentering är en del av varför historien dyker upp igen även efter att den verkar död: olika utskott, olika omröstningar och olika rättsliga instrument rör sig i olika takt, och varje omstart genererar nya rubriker som antyder att kampen är över när den inte är det.

Detta mönster av synbar förlust följt av tyst återupplivning är inget nytt. Tidigare i år återinförde Europaparlamentet en äldre version av ramverket efter att dess rättsliga grund tekniskt sett hade löpt ut, och återställde regler som många trodde hade löpt ut för gott. För läsare som vill ha en fylligare lagstiftningshistorik bakom dessa upprepade återupplivningar, vår tidigare bevakning av julimröstningen som återupplivade Chat Control 1.0 redogör för hur ett ramverk som ansågs färdigt kom tillbaka genom en proceduromröstning som de flesta aldrig såg komma.

De två versionerna förklarade: Frivillig skanning mot obligatorisk upptäckt

I centrum för den aktuella debatten står två skilda tillvägagångssätt för att skanna privat kommunikation efter olagligt innehåll, framför allt material som visar sexuella övergrepp mot barn (CSAM).

Den första versionen bygger på frivillig skanning. Enligt denna modell skulle meddelandetjänster och plattformar tillåtas, men inte vara juridiskt skyldiga, att skanna användarinnehåll efter flaggat material. Förespråkare framställer detta som en kompromiss: det bevarar ett visst mått av valfrihet för företagen samtidigt som det ger brottsbekämpande myndigheter en väg till upptäckt.

Den andra versionen driver mot obligatorisk upptäckt. Enligt detta ramverk skulle leverantörer vara juridiskt skyldiga att skanna kommunikation, inklusive sådan som skyddas av end-to-end-kryptering, innan krypteringen tillämpas eller omedelbart efter att den tas bort. Detta kallas ofta skanning på klientsidan, och det är den mer aggressiva av de två ansatserna eftersom det tar bort allt handlingsutrymme från plattformarna själva.

På papperet ser de här ut som meningsfullt olika förslag. Det ena är frivilligt, det andra är obligatoriskt. Men den praktiska effekten för användare, särskilt de i Europa som förlitar sig på krypterade meddelandeappar för daglig kommunikation, är mycket mer likartad än vad beteckningarna antyder.

Varför båda versionerna undergräver end-to-end-kryptering

Kryptering skyddar antingen ett meddelande från åtkomst utifrån eller så gör den det inte. Det finns ingen version av "partiell kryptering" som håller ett meddelande privat för alla utom för ett skanningssystem som är inbyggt i själva appen. Så snart en skanningsmekanism, frivillig eller obligatorisk, bäddas in i en meddelandetjänst för att inspektera innehåll före eller efter kryptering, har tjänsten skapat en strukturell åtkomstpunkt som inte fanns tidigare. Säkerhetsforskare har länge varnat för att varje bakdörr som byggs för brottsbekämpning eller innehållsmoderering i princip kan upptäckas och utnyttjas av andra, oavsett om det handlar om illasinnade aktörer, utländska underrättelsetjänster eller enkla tekniska brister.

Den frivilliga modellen eliminerar inte denna risk; den ändrar bara vem som beslutar att bygga bakdörren. En plattform som väljer frivillig skanning för att hålla sig väl med tillsynsmyndigheter, eller för att undvika framtida obligatoriska krav, måste ändå implementera samma typ av infrastruktur för innehållsgranskning. När den infrastrukturen väl finns på en stor plattform blir skillnaden mellan "frivillig" och "obligatorisk" i stort sett akademisk ur ett säkerhetsperspektiv. Oavsett vilket så är garantin om att endast avsändaren och mottagaren kan läsa ett meddelande bruten.

Vad detta betyder för dig

För vanliga användare i EU är den praktiska slutsatsen att inget enskilt omröstningsresultat bör betraktas som slutgiltigt, och att inget enskilt förslag bör betraktas som harmlöst bara för att det är märkt "frivilligt". Lagstiftningsprocessen här har redan visat att den kan ge överraskande återupplivningar efter synbara nederlag, och den kan splittras i flera konkurrerande spår som gör det svårare för allmänheten att följa vad som faktiskt beslutas.

Denna osäkerhet är precis varför integritetsmedvetna användare i allt högre grad bygger upp flerskiktade försvar istället för att förlita sig på att någon enskild lag förblir gynnsam. En VPN krypterar trafiken mellan din enhet och det bredare internet, vilket hjälper till att skydda din surfaktivitet och metadata från observation på nätverksnivå, men den skyddar inte i sig innehållet i meddelanden som skickas via en app som har tvingats att skanna innehållet före kryptering. Det är därför VPN-användning och krypterade meddelanden måste förstås som kompletterande verktyg snarare än som ersättningar för varandra. Att gå igenom hur dessa verktyg passar ihop som en del av en bredare integritetsverktygslåda är värt att göra nu, innan någon slutgiltig version av Chat Control fastställs, snarare än efteråt.

Praktiska tips

Håll dig informerad om vilken version av förslaget som går framåt, eftersom frivillig och obligatorisk skanning medför olika men överlappande risker. Fortsätt att använda end-to-end-krypterade meddelandeappar, och var uppmärksam på offentliga uttalanden från dessa leverantörer om hur de planerar att reagera om skanningskrav införs. Kombinera krypterade meddelanden med en pålitlig VPN för att skydda din anslutningsmetadata, även om en VPN inte kan ersätta kryptering på meddelandenivå. Slutligen, fortsätt att följa själva lagstiftningsprocessen. Som det tidigare återupplivandet av Chat Control 1.0 visade är ett avvisat förslag i Europa inte nödvändigtvis ett dött förslag, och att hålla sig informerad är det första steget mot att skydda din integritet oavsett vilken version som slutligen går framåt.