رمزگذاری از همه طرف فشرده می شود

به Kernel Panic، یک خبرنامه هفتگی توسط لیلی هی نیومن و مت برگس از دنیای جدید حریم خصوصی و امنیت دیجیتال خوش آمدید. برای دریافت این خبرنامه هر هفته در صندوق پستی خود، اینجا ثبت نام کنید. اوه، کانادا شمال سفید بزرگ آخرین کشوری است که قوانینی را در نظر گرفته است که اساسا می تواند درهای پشتی را اجباری کند و حفظ داده ها را در سرویس های رمزگذاری شده افزایش دهد. تغییرات پیشنهادی باعث شده است که شرکت کانادایی ضد سانسور Psiphon VPN - که میلیون‌ها ایرانی را در زمان قطع اینترنت سرکوبگرانه آنلاین نگه می‌دارد - اعلام کند در صورت تصویب این لایحه، کشور را ترک خواهد کرد.

و سایفون تنها نیست. برنامه پیام‌رسانی رمزگذاری‌شده سیگنال گفته است که از بازار کانادا خارج می‌شود، زیرا این قانون نیازمند تغییرات غیرقابل قبولی در پروژه‌های منبع باز آن است. اپل و متا از این لایحه انتقاد کرده‌اند و DuckDuckGo و NordVPN می‌گویند که در نظر دارند خدمات خود را نیز متوقف کنند.

اما از آنجایی که کشورهای سراسر جهان به قوانین مشابهی فکر می کنند، سؤالات بزرگ تری در مورد اینکه در صورت افزایش خصومت جهانی نسبت به رمزگذاری، کدام کشورها یا مناطق می توانند خود را به عنوان پناهگاه امن برای خدمات حفظ حریم خصوصی متمایز کنند، شروع می شود. دیوانه کننده و ناراحت کننده است که می بینیم کشورهای دموکراتیک بیشتر و بیشتری در سراسر جهان تغییراتی را در قوانین نظارت و جمع آوری داده های خود پیشنهاد می کنند، با هدف اعطای اختیارات بیشتر به پلیس و آژانس های اطلاعاتی برای دسترسی به اطلاعات مردم.

دولت‌ها در حال حاضر دارای اختیارات نظارت دیجیتال گسترده و تاکتیک‌های تحقیقی برای حل جرایمی هستند که شامل داده‌های رمزگذاری‌شده است، اما پیشنهادهای قانونی تقریبا ناگزیر شامل مقرراتی برای گسترش بیشتر این دسترسی می‌شود - اجباری کردن گزارش‌های اضافی و مواردی که معادل درهای پشتی یا نقص‌های عمدی در محصولات رمزگذاری‌شده است، که رمزنگاران و مهندسان امنیتی به طور مداوم نمی‌گویند که نمی‌توان آن را ایجاد کرد. واقعا هرکسی که این موضوع را درک می کند، چندین دهه است که آن را گفته است.

با این حال، سیاست‌گذاران بارها و بارها به این ایده بازمی‌گردند و به نوعی انتظار یک نتیجه‌گیری متفاوت یا یک پیشرفت جدید را دارند که همه آن را ممکن می‌سازد. کیت رابرتسون، محقق ارشد در آزمایشگاه شهروندی دانشگاه تورنتو، می‌گوید: «همیشه برخی از مقامات در سازمان‌های خاصی بوده‌اند که تمایل دارند فناوری را به خودی خود به عنوان یک صحنه جرم ببینند، و در جایی که دسترسی مورد نظر است، به یک نقطه تثبیت نزدیک‌بین تبدیل می‌شود».

"اما این نوع تفکر محرمانه فراموش می کند که فناوری باید بستر عملیاتی ایمن برای بیمارستان ها، بانک ها، آژانس های امنیت ملی و خود خدمات پلیس باشد تا از قربانیانی که اطلاعات خصوصی را به آنها گزارش می دهند محافظت کنند." در سال‌های اخیر، بریتانیا و استرالیا اصلاحات نظارتی گسترده‌ای را ارائه کرده‌اند که می‌تواند شرکت‌ها را مجبور به شکستن رمزگذاری خود کند. سایر پیشنهادات تهدید کننده رمزگذاری نیز در اتحادیه اروپا، فرانسه، هند، ایرلند، اسپانیا، سوئد، سوئیس و دیگران ظاهر شده است.

در حالی که همه اقدامات به قانون تبدیل یا تصویب نشده است، خصومت واضح است. لایحه C-22 کانادا برای اولین بار در سال 2025 پیشنهاد شد و تا حدی به دلیل انتقاد شدید از سوی شرکت های فناوری و جامعه مدنی مورد بازنگری قرار گرفت، لایحه C-22 کانادا می تواند به طور کلی الزاماتی را برای شرکت های فناوری، از جمله شرکت های خارج از کانادا، برای معرفی "قابلیت های فنی" که امکان دسترسی به داده ها برای اهداف اجرای قانون را فراهم می کند، قرار دهد. مانند بسیاری از این گونه لوایح، C-22 می گوید که شرکت ها مجبور نخواهند بود "آسیب پذیری سیستمی" را در سیستم های خود وارد کنند.

اما مخالفان اشاره کرده اند که هر گونه قابلیت دسترسی به داده های رمزگذاری شده سرتاسر به منزله یک درب پشتی است که می تواند توسط هر کسی کشف و سوء استفاده شود. و این خطر تنها با سهولت استفاده از ابزارهای هوش مصنوعی برای مهندسی معکوس و نقشه‌برداری سیستم بیشتر می‌شود. اعضای کمیته قضایی و امور خارجه مجلس نمایندگان آمریکا در نامه ای به مقامات کانادایی در ماه می گفتند: «از شرکت ها خواسته می شود آسیب پذیری ها را معرفی کنند، درهای پشتی بسازند، رمزگذاری را دور بزنند، تضعیف کنند یا به شکل دیگری شکست دهند. علاوه بر اثرات بالقوه بر رمزگذاری، C-22 همچنین شامل مقرراتی است

که می‌تواند از شرکت‌ها بخواهد که ابرداده‌های مربوط به فعالیت کاربر را حفظ کنند، چیزی که بسیاری از سرویس‌های متمرکز بر حریم خصوصی (از جمله سرویس‌های VPN از Psiphon و DuckDuckGo) عمدا از آن اجتناب می‌کنند. در نتیجه، این شرکت‌ها می‌گویند که مجبور خواهند شد مدل‌های کسب‌وکار خود را برای جمع‌آوری داده‌هایی که نیازی ندارند یا می‌خواهند درباره کاربرانشان جمع‌آوری کنند، تغییر دهند.

و محققان می گویند که چنین تغییراتی در محصول اعتماد کاربران را کاهش می دهد و در عین حال پتانسیل نظارت گسترده را افزایش می دهد. افسانه ریگوت، بنیانگذار De|Center، یک سازمان تحقیقاتی که هدف آن کاهش خطر آسیب‌های تکنولوژیکی است، می‌گوید: «اگر شما این تغییر زیرساختی را درخواست می‌کنید و می‌خواهید که ابرداده‌ها را به‌طور پیش‌فرض حفظ کنند، این یک قابلیت نظارتی در ابزاری است که آن را نداشت. «زمینه‌هایی مانند ایران و سایر زمینه‌ها در سطح جهانی وجود دارد که همه این‌ها بر روی آنها تأثیر می‌گذارد.

قرار نیست در کانادا بماند زیرا این نوع قوانین همیشه در سراسر جهان کپی پیست می‌شوند.» از آنجایی که کشورهای بیشتری به چنین قوانینی فکر می کنند، توسعه دهندگانی که بر حریم خصوصی و ابزارهای ضد سانسور متمرکز شده اند، به طور فزاینده ای به دنبال حوزه های قضایی امن برای فعالیت هستند. اما این هنوز مشکل دسترسی به کاربران را در همه کشورهای جهان حل نمی کند و در حال حاضر، هیچ شرط بندی مطمئنی وجود ندارد. جوزف لورنزو هال، سرپرست پورتفولیوی امنیتی در انجمن اینترنت، می‌گوید: «تغییر دفتر مرکزی شما زمانی که قانون از کاربران شما پیروی می‌کند، مانند C-22 یک برنامه B نیست.

قوی‌ترین محافظت، نگهداری کمترین داده‌های کاربر است، اما اگر دولت‌ها بتوانند شما را مجبور به جمع‌آوری آن‌ها کنند، «ما آن‌ها را نداریم» دفاعی نیست. یک پناهگاه امن به بیش از بادهای مساعد در رمزگذاری قوی نیاز دارد. به قوانینی نیاز دارد که به شرکت‌ها اجازه دهد به وعده‌های حریم خصوصی خود عمل کنند و از آن‌ها در برابر تهدیدهای خارجی برای حفظ محرمانه بودن و یکپارچگی دفاع کنند.»

چیزی را دیدید که باید هفته آینده اضافه کنیم؟ به ما در kernelpanic@wired.com اطلاع دهید. و در آنجا امن بمانید