El proyecto de ley C-22 y el derecho de WebCull a crear software que no puede espiar
El proyecto de ley C-22 de Canadá ha generado advertencias de algunos de los mayores proveedores de tecnología cifrada. Signal ha advertido que podría retirarse de Canadá si se le pide comprometer la privacidad de sus usuarios en virtud del proyecto de ley. Apple ha dicho que el proyecto podría permitir al gobierno obligar a las empresas a romper el cifrado mediante la inserción de puertas traseras en sus productos. Meta ha advertido que la Parte 2 del proyecto podría exigir a las empresas crear o mantener capacidades que rompan, debiliten o eludan el cifrado u otras arquitecturas de seguridad de conocimiento cero. El gobierno canadiense ha respondido que el proyecto de ley no exigiría a las empresas tecnológicas introducir vulnerabilidades sistémicas en el cifrado. (The Globe and Mail) (Reuters) (Meta)
Para WebCull, el problema central es sencillo: las empresas de software deberían poder crear productos que no puedan espiar a sus usuarios. Un servicio que no posee claves de cifrado no está ocultando datos a la ley. Está eligiendo una arquitectura en la que los datos propiedad del usuario permanecen bajo el control del usuario. Esa distinción importa porque hay una gran diferencia entre entregar datos que una empresa realmente tiene y obligar a una empresa a rediseñar su producto para que pueda acceder a datos que nunca estuvo destinada a controlar.
El proyecto de ley C-22 no es ley definitiva al momento de escribir esto. Actualmente está siendo estudiado en comisión en la Cámara de los Comunes después de la segunda lectura, lo que significa que la forma final del proyecto aún puede cambiar. Eso importa porque el debate no trata solo sobre lo que el gobierno dice que el proyecto pretende hacer. También trata sobre lo que el texto podría permitir una vez que la ley esté en vigor y comiencen a utilizarse reglamentos u órdenes ministeriales. (Parlamento de Canadá)
El gobierno canadiense dice que el proyecto de ley C-22 tiene como objetivo modernizar el acceso legal y ayudar a las fuerzas del orden y al CSIS a acceder a información cuando ya tienen autoridad legal para hacerlo. El planteamiento del gobierno es que el proyecto no crea nuevos poderes para interceptar comunicaciones u obtener información, sino que crea un marco para que los proveedores de servicios electrónicos puedan cumplir con las autoridades legales existentes. Eso suena más limitado que parte del debate público en torno al proyecto. Pero la preocupación práctica es qué significa "poder cumplir" cuando se aplica al cifrado, los sistemas de conocimiento cero y el software diseñado para que el proveedor no pueda ver los datos del usuario. (Canadá)
La postura de WebCull es que los datos de marcadores cifrados propiedad del usuario deben seguir siendo ilegibles para nosotros. Cuando un usuario de WebCull cifra sus datos de marcadores guardados, WebCull almacena datos cifrados propiedad del usuario, no datos de marcadores legibles. No tenemos las claves de esos usuarios con cifrado de extremo a extremo (E2EE) habilitado. No tenemos una vía de recuperación oculta que nos permita convertir una bóveda de marcadores cifrada de nuevo en texto sin formato. Eso no es una política de servicio al cliente superpuesta al sistema. Esa es la forma del sistema.
Esto es importante porque el cifrado suele tratarse como si las empresas simplemente se negaran a cooperar. Ese es el marco equivocado para los sistemas de conocimiento cero. Un producto de conocimiento cero está diseñado para que el proveedor no tenga aquello que se le solicita. Si WebCull no posee la clave de los datos de marcadores cifrados de un usuario, entonces WebCull no puede proporcionar el contenido en texto sin formato de esos datos. Solo podemos proporcionar lo que realmente tenemos. Para el almacenamiento cifrado de marcadores, eso significa bloques cifrados y registros operativos limitados. No significa URL guardadas legibles, estructuras de carpetas, iconos, notas, etiquetas, descripciones u otros datos de marcadores almacenados dentro de la carga cifrada.
Ese es precisamente el objetivo. La privacidad no debería depender únicamente de si una empresa dice que no. La privacidad debería construirse de modo que la empresa no pueda decir que sí a algo a lo que nunca tuvo acceso en primer lugar.
Signal ha advertido que podría retirarse de Canadá por el proyecto de ley C-22, lo cual nos importa porque Signal tiene un principio similar al de WebCull en la capa de contenido. Normalmente, Signal no puede entregar mensajes en texto sin formato porque no posee el contenido de los mensajes en forma legible. Signal también ha creado sistemas para minimizar los metadatos que almacena. Signal dice que su servicio está diseñado para no conservar registros como contactos, gráfico social, lista de conversaciones, ubicación, nombre de perfil, pertenencias a grupos, títulos de grupos o avatares de grupos. (Signal Messenger) Signal también ha publicado ejemplos de solicitudes legales en las que los datos que podían entregarse se limitaban a la hora de creación de la cuenta y la hora de la última conexión. (Signal Messenger)
Eso explica por qué este debate no trata solo sobre el texto de los mensajes. Una aplicación de mensajería puede proteger el contenido de los mensajes y aun así volverse peligrosa si se la obliga a conservar metadatos fiables sobre quién contactó a quién, cuándo se comunicaron, qué cuentas estaban en grupos, qué dispositivos estuvieron involucrados o qué información de red estaba vinculada a esas interacciones. Para periodistas, abogados, activistas, denunciantes, organizadores políticos, víctimas de abuso y personas comunes, la existencia de una comunicación puede ser sensible incluso cuando las palabras nunca se leen.
WebCull no es una aplicación de mensajería, y el almacenamiento de marcadores no es lo mismo que una red de comunicaciones en vivo. No hay un gráfico social de persona a persona dentro de WebCull como lo hay dentro de un mensajero privado. Pero la lección arquitectónica es la misma. Un producto centrado en la privacidad debería evitar crear registros sensibles que no necesita. Cuantos más datos recopile, indexe, registre y conserve un servicio, más datos podrán exigirse, filtrarse, vulnerarse o usarse indebidamente después. Los datos más seguros son los datos que el servicio nunca tuvo.
El lenguaje amplio del proyecto de ley C-22 es la razón por la que este debate importa más allá de Signal. El proyecto crea un marco que involucra a proveedores de servicios electrónicos, y el resumen del proyecto dice que la Parte 2 tiene como objetivo garantizar que los proveedores puedan facilitar el acceso a información bajo las autoridades previstas en el Código Penal y la Ley del Servicio Canadiense de Inteligencia de Seguridad. (Parlamento de Canadá) El proyecto también define los servicios electrónicos de manera suficientemente amplia como para que muchos servicios de software modernos deban prestar atención, no solo las empresas de telecomunicaciones o las aplicaciones de mensajería.
La preocupación no es que el proyecto de ley C-22 prohíba claramente el software cifrado. No parece decir que Canadá esté prohibiendo los productos de conocimiento cero, prohibiendo el cifrado de extremo a extremo o exigiendo que toda empresa de software conserve las claves de los usuarios. Si ese fuera el texto del proyecto, el problema sería mucho peor. La preocupación es que el proyecto podría generar presión sobre los sistemas que preservan la privacidad mediante futuros reglamentos, obligaciones de retención de metadatos, requisitos de capacidad de acceso u órdenes específicas para proveedores, lo cual sigue siendo muy preocupante y potencialmente un paso hacia un internet menos seguro.
Por eso empresas como Apple y Meta han presentado objeciones. Su preocupación es que el proyecto pueda usarse para exigir a las empresas romper, debilitar o eludir el cifrado u otras arquitecturas de seguridad de conocimiento cero. Seguridad Pública de Canadá ha respondido que el proyecto no exigiría a las empresas introducir vulnerabilidades sistémicas en protecciones electrónicas como el cifrado. El desacuerdo no es sobre si el cifrado importa. El desacuerdo es si las salvaguardias del proyecto son lo suficientemente claras y fuertes como para evitar que el acceso legal se convierta en rediseño forzado. (Reuters)
El proyecto de ley C-22 incluye lenguaje sobre la “vulnerabilidad sistémica". El proyecto trata el cifrado como una forma de protección electrónica y dice que los proveedores no están obligados a cumplir con ciertos reglamentos u órdenes si el cumplimiento requeriría introducir una vulnerabilidad sistémica o les impediría corregir una. Esa salvaguardia importa. Un sistema que exigiera a WebCull empezar a conservar claves de descifrado, interceptar texto sin formato antes del cifrado o rediseñar silenciosamente el producto para que los datos de marcadores cifrados se vuelvan legibles no sería una pequeña función de cumplimiento. Cambiaría el modelo de seguridad del producto. (Parlamento de Canadá)
La parte difícil es que esta distinción puede convertirse en un argumento legal en lugar de un hecho técnico. Un gobierno puede decir que una capacidad de acceso solicitada es limitada, legal, dirigida o no sistémica. Una empresa de privacidad puede decir que esa misma capacidad de acceso rompe la arquitectura que protege a todos. Por eso la arquitectura técnica debe defenderse con claridad. Si un producto está diseñado para que el proveedor no pueda leer datos cifrados propiedad del usuario, obligar al proveedor a crear una forma de leer esos datos no es cumplimiento ordinario. Es rediseño de producto impuesto.
La postura de WebCull no es que las empresas deban estar por encima de la ley. La postura es que la ley debería respetar la diferencia entre los datos que un proveedor realmente controla y los datos cifrados propiedad del usuario que un proveedor simplemente almacena. Si un proveedor tiene registros de cuenta, registros de facturación, registros operativos o bloques cifrados, eso es distinto del contenido en texto sin formato de los datos cifrados del usuario. Una exigencia legal de registros que existen es una cosa. Una exigencia de cambiar el producto para que la empresa pueda acceder a datos que nunca estuvo destinada a controlar es otra.
Debilitar el cifrado no afecta solo al objetivo de una investigación. Una puerta trasera o un mecanismo de acceso forzado cambia el perfil de riesgo para todos los usuarios. Crea algo nuevo que puede ser robado, abusado, mal configurado, filtrado o ampliado en secreto. Los sistemas de seguridad no saben si una vulnerabilidad está siendo utilizada por un actor bueno o malo. Una vez que un producto se rediseña para que alguien que no sea el usuario pueda acceder a datos protegidos, el sistema ha creado una vía que antes no existía.
Esto importa para los datos de marcadores porque los marcadores pueden revelar más de lo que la gente cree. Una colección de marcadores puede mostrar qué está investigando alguien, sobre qué problemas médicos está leyendo, qué problema legal intenta comprender, qué negocio está construyendo, qué material político sigue, con qué situación personal está lidiando y qué intereses privados no quiere exponer. Un administrador de marcadores no es una aplicación de chat, pero los enlaces guardados aun así pueden ser profundamente personales.
La dirección correcta para el software de privacidad no es recopilar primero y proteger después. La dirección correcta es evitar recopilar datos legibles cuando los datos legibles no son necesarios. Para WebCull, eso significa que los datos de marcadores cifrados deben permanecer cifrados. Significa que el usuario debe ser dueño del contenido sensible de su colección de marcadores. Significa que WebCull no debería crear índices en texto sin formato, vías de recuperación o canales laterales innecesarios alrededor de datos cifrados solo porque hacerlo podría ser conveniente.
Por eso también la frase "no podemos descifrarlo" es más fuerte que "prometemos no leerlo". Una promesa puede cambiar. Una empresa puede venderse. Una política puede reescribirse. Una herramienta interna puede ser objeto de abuso. Un servidor puede ser vulnerado. Pero si el proveedor nunca recibe la clave, nunca almacena la clave y nunca crea una vía de recuperación alrededor de la clave, el poder del proveedor queda limitado por diseño. Eso es lo que se supone que debe lograr el cifrado propiedad del usuario.
El debate sobre el proyecto de ley C-22 plantea una pregunta más grande que si una empresa o una aplicación puede operar en Canadá. Pregunta si la arquitectura que preserva la privacidad será tratada como legítima, o si finalmente se esperará que todo servicio digital conserve suficiente acceso para alguien más. Esa pregunta afecta a más que Signal. Afecta a todo producto que intenta reducir la cantidad de datos privados que puede ver.
La respuesta de WebCull es que el cifrado debe seguir siendo legal, normal y esperado. Las empresas deberían poder crear sistemas donde los datos propiedad del usuario permanezcan bajo el control del usuario. Los gobiernos pueden usar procesos legales para los datos que las empresas realmente poseen, pero no deberían exigir a las empresas rediseñar sistemas que preservan la privacidad para que los datos cifrados propiedad del usuario se vuelvan accesibles para la empresa.
La postura de WebCull es que debe protegerse el derecho a crear software que no puede espiar. Un sistema seguro que no puede leer los datos del usuario no es un vacío legal. Es el objetivo.