A discussão em torno do Regulamento da UE sobre Abuso Sexual de Crianças (CSA) trouxe à tona preocupações significativas sobre a privacidade e a segurança online
Por Susana Taboas
O texto atual do Conselho, que ainda exige a detecção de conteúdo para serviços de mensagens criptografadas por meio da “moderação de upload” (verificação do lado do cliente), ignora as questões levantadas pelo Serviço Jurídico do Conselho e as recomendações da Autoridade Europeia para a Proteção de Dados para proteger a criptografia forte.
Com a votação do Conselho marcada para 2 de outubro de 2024, é crucial que os ministros de países-chave, como França, Itália, República Tcheca e Holanda, sejam contatados para defender um bloqueio no texto atual.
A “moderação de upload” não é compatível com a criptografia de ponta a ponta (E2EE), e a verificação obrigatória expõe os usuários a novos riscos de segurança.
Incompatibilidade da “Moderação de Upload” com E2EE
Apesar das afirmações da Comissão Europeia e da Presidência húngara de que a proposta CSA é compatível com E2EE, atualmente não existem soluções técnicas viáveis que permitam aos provedores de serviços manter serviços criptografados de ponta a ponta para os usuários e, ao mesmo tempo, cumprir as responsabilidades de detecção da proposta.
A “moderação de upload” exige que os provedores de serviços verifiquem o conteúdo das mensagens antes que elas sejam criptografadas e enviadas, o que viola fundamentalmente o princípio da E2EE, que garante que apenas o remetente e o destinatário possam ler as mensagens.
Novos Riscos de Segurança com a Verificação Obrigatória
A proposta CSA, embora importante e bem-intencionada, ameaça desencadear involuntariamente uma avalanche de novos danos online. Ao pressionar os provedores a escolher entre eliminar a criptografia ou oferecer uma alternativa de criptografia comprometida a seus usuários, a proposta coloca em risco a segurança e a privacidade dos usuários europeus da Internet, incluindo as crianças.
O comprometimento de ferramentas de comunicação seguras, como o E2EE, introduz novas vulnerabilidades que podem ser exploradas por hackers e governos hostis. Essas vulnerabilidades não só põem em risco a segurança e a privacidade dos usuários, mas também lançam uma sombra sobre a integridade da própria Internet.
O Bloqueio do texto atual da proposta CSA
É essencial que o Conselho bloqueie o texto atual da proposta CSA e proteja a criptografia forte. A “moderação de upload” não é compatível com E2EE e a verificação obrigatória expõe os usuários a novos riscos de segurança. Em vez de enfraquecer a criptografia, os reguladores devem incentivar medidas que abordem o conteúdo de abuso sexual infantil e protejam a segurança das comunicações.
O monitoramento preventivo em sistemas E2EE é problemático e apresenta sérios riscos à privacidade, segurança e eficácia da aplicação da lei. Em vez de enfraquecer a criptografia, os legisladores devem buscar abordagens alternativas que protejam tanto as crianças quanto os direitos dos usuários.
Resumo do Monitoramento Preventivo em Serviços Criptografados de Ponta a Ponta: Avaliação de Viabilidade Técnica da Internet Society
O monitoramento preventivo de conteúdo em sistemas E2EE introduz riscos sistêmicos para provedores e usuários.
- Interfere na privacidade e segurança: Frustra a intenção dos usuários de se comunicarem privadamente e compromete a integridade de dispositivos e sistemas.
- Aumenta o risco de ataques: Abre portas para ataques em todo o sistema, acesso não autorizado a dados e exploração por criminosos.
- Impacto na aplicação da lei: Dificulta o alcance das metas do Online Safety Act (OSA) do Reino Unido.
Vulnerabilidades e riscos sistêmicos
- Ataques a dados pessoais: Maior exposição a ataques que visam dados sensíveis.
- Ataques DDoS: Potencial para ataques de negação de serviço distribuído, sobrecarregando servidores e redes.
- Manipulação de bancos de dados CSEA: Risco de comprometimento dos bancos de dados de material de abuso sexual infantil.
- Engenharia reversa: Possibilidade de criminosos entenderem e burlarem os mecanismos de detecção.
- Ataques a alertas: Interceptação e manipulação de alertas enviados para processamento.
Fatores que afetam a viabilidade técnica
- Taxas de erro: Falsos positivos e negativos podem sobrecarregar os recursos de aplicação da lei e levar a acusações falsas.
- Conteúdo “vinculado ao Reino Unido”: A definição vaga e subjetiva aumenta a complexidade e o risco de falsos positivos.
- Processamento de dados: Tanto no dispositivo quanto fora do dispositivo apresentam desafios e vulnerabilidades.
- Hashing perceptual: A natureza da tecnologia pode levar a falsos positivos e negativos.
- Proliferação de bancos de dados: Dificuldade em gerenciar a consistência e integridade de múltiplos bancos de dados.
Recomendações
- Cautela nas declarações políticas: Evitar expectativas irrealistas sobre a eficácia do monitoramento preventivo.
- Uso dos critérios REPHRAIN: Avaliar tecnologias candidatas com base em critérios abrangentes de privacidade, segurança e eficácia.
- Rejeição do CSS: Não credenciar tecnologias de varredura do lado do cliente devido às suas vulnerabilidades inerentes.
Sobre Susana Taboas
Susana Taboas | COO – Chief Operating Officer – CryptoID. Economista com MBA em Finanças pelo IBMEC-RJ e diversos cursos de extensão na FGV, INSEAD e Harvard University. Durante mais 25 anos atuou em posições no C-Level de empresas nacionais e internacionais acumulando ampla experiência na definição e implementação de projetos de médio e longo prazo nas áreas de Planejamento Estratégico, Structured Finance, Governança Corporativa e RH. Atualmente é Sócia fundadora do Portal Crypto ID e da Insania Publicidade.
Leia outros artigos escritos por Susana.
Acesse o LinkeIdin da Susana!
Mais informações sobre os riscos de segurança dessas propostas podem ser encontradas neste relatório de viabilidade técnica da Internet Society.
Criptografia forte é o padrão que mantém bilhões de pessoas seguras todos os dias
O Dia Mundial da Criptografia ocorre anualmente em 21 de outubro e nessa data a Global Encryption Coalition – Coalizão Global de Criptografia e seus associados promovem artigos para proteger e defender o uso da criptografia forte. A campanha é direcionada a organizações da sociedade civil, governos, empresas, tecnólogos e bilhões de usuários da Internet em todo o mundo. Este ano, o Crypto ID, representante do Brasil na coalizão, inicia sua campanha em setembro uma vez que criptografia é um dos principais temas com os quais trabalhamos. Quer participar dessa campanha com a gente? Escreva um artigo sobre criptografia e envie para nossa redação até dia 18 de outubro, mas quanto antes melhor! – redacao@cryptoid.com.br
#DiaGlobaldaCriptografia #Criptografia #SegurancaDigital #Privacidade #GlobalEncryptionCoalition #CryptoID #GlobalCryptoDay
Encryption safeguards the personal security of billions of people and the national security of countries around the world.
However, some governments and organization’s are pushing to weaken encryption, which would create a dangerous precedent that compromises the security of billions of people around the world. Actions in one country that undermine encryption threaten all of us.
With over 400 members distributed across every region of the world, the Global Encryption Coalition promotes and defends encryption in key countries and multilateral fora where it is under threat. It also supports efforts by companies to offer encrypted services to their users.
Crypto ID is a member of the Global Encryption Coalition and keep a column with their key articles. Please access here!
A criptografia protege a segurança pessoal de bilhões de pessoas e a segurança nacional de países ao redor do mundo.
No entanto, alguns governos e organizações estão pressionando para enfraquecer a criptografia, o que criaria um precedente perigoso que comprometeria a segurança de bilhões de pessoas em todo o mundo. Ações em um país que minam a criptografia ameaçam a todos nós.
Com mais de 400 membros distribuídos em todas as regiões do mundo, a Global Encryption Coalition promove e defende a criptografia em países-chaves e fóruns multilaterais onde ela está ameaçada. Ele também apoia os esforços das empresas que ofertam serviços criptografados a seus usuários.
Crypto ID é um dos membros do Global Encryption Coalition e mantém uma coluna com os principais artigos. Acesse aqui!
