Legislação canadense pressiona empresas de privacidade
Oh Canada. O Grande Norte Branco é o mais recente país a cogitar legislação que poderia exigir portas traseiras e aumentar a retenção de dados em serviços criptografados. As mudanças propostas levaram a empresa anti censura Psiphon VPN que mantém milhões de iranianos online durante bloqueios de internet repressivos a dizer que deixará o país se o projeto for aprovado. E Psiphon não é a única.
O aplicativo de mensagens criptografado Signal afirmou que sairá do mercado canadense pois a lei exigiria alterações inaceitáveis em seus projetos de código aberto. Apple e Meta também criticaram o projeto enquanto DuckDuckGo e NordVPN disseram que podem retirar seus serviços. Enquanto nações ao redor do mundo analisam leis semelhantes surgem dúvidas maiores sobre quais estados ou regiões podem se tornar refúgios seguros para serviços de privacidade caso a hostilidade global à criptografia continue a subir.
Foi irritante e perturbador ver cada vez mais países democráticos ao redor do mundo propor mudanças em suas leis de vigilância e coleta de dados com o objetivo de dar à polícia e às agências de inteligência maiores poderes para acessar informações das pessoas. Os governos já possuem amplos poderes de vigilância digital e táticas investigativas para resolver crimes que envolvem dados criptografados mas as propostas legislativas quase inevitavelmente incluem disposições para expandir esse acesso ainda mais exigindo registros adicionais e o que equivale a portas traseiras ou falhas intencionais em produtos criptografados algo que criptógrafos e engenheiros de segurança afirmam repetidamente não poder ser construído com segurança. Quem realmente entende o assunto já disse isso por décadas contudo os legisladores voltam repetidamente à ideia esperando uma conclusão diferente ou uma nova descoberta que torne tudo possível.
Como afirma Kate Robertson pesquisadora sênior associada ao Citizen Lab da Universidade de Toronto há sempre alguns oficiais dentro de certas agências que tendem a ver a tecnologia como uma cena de crime por si só e isso se torna um ponto focal miope onde o acesso é desejado. Esse tipo de pensamento isolado esquece que a tecnologia precisa ser a plataforma operacional segura para hospitais para bancos para agências de segurança nacional e para as próprias serviços policiais a fim de proteger vítimas que relatam informações privadas a elas.
Nos últimos anos o Reino Unido e a Austrália introduziram reformas de vigilância abrangentes que podem obrigar empresas a quebrar sua criptografia. Outras propostas que ameaçam a criptografia também surgiram na União Europeia na França na Índia na Irlanda na Espanha na Suíça e em outros lugares. Embora nem todas as medidas tenham virado lei ou sido aplicadas a hostilidade fica clara.
Primeiramente proposta em 2025 e parcialmente revisada devido a fortes críticas de empresas de tecnologia e da sociedade civil o projeto C 22 do Canadá pode impor requisitos amplos a empresas de tecnologia incluindo aquelas fora do Canadá para introduzir capacidades técnicas que permitam o acesso de dados para fins de aplicação da lei. Assim como muitos desses projetos o C 22 diz que as empresas não precisarão introduzir uma vulnerabilidade sistêmica em seus sistemas. Porém os oponentes apontam que qualquer capacidade para acessar dados criptografados de ponta a ponta equivale a uma porta traseira que poderia ser descoberta e abusada por qualquer um. Esse risco aumenta ainda mais pela facilidade com que qualquer pessoa agora pode usar ferramentas de inteligência artificial para engenharia reversa e mapeamento de sistemas.
Além dos possíveis impactos na criptografia o C 22 também inclui disposições que poderiam exigir que empresas retenham metadados sobre a atividade dos usuários algo que muitos serviços focados em privacidade incluindo as VPNs da Psiphon e do DuckDuckGo evitam intencionalmente. Como resultado essas empresas afirmam que seriam forçadas a mudar seus modelos de negócio para coletar dados que não precisam nem querem coletar sobre seus usuários. Pesquisadores dizem que tais mudanças nos produtos diminuiriam a confiança dos usuários enquanto aumentariam o potencial para vigilância em larga escala.
Como afirma Afsaneh Rigot fundadora da De|Center organização de pesquisa que visa reduzir o risco de danos tecnológicos se você está pedindo e exigindo essa mudança de infraestrutura que eles retenham metadados por padrão está criando uma capacidade de vigilância dentro de uma ferramenta que não tinha isso. Há contextos como o Irã e outros contextos globalmente onde todo isso tem um efeito em cascata. Isso não vai ficar restrito ao Canadá porque esse tipo de lei costuma ser copiado e colado em todo o mundo.
À medida que mais nações cogitam leis semelhantes desenvolvedores focados em ferramentas de privacidade e anti censura estão cada vez mais procurando jurisdições seguras para operar. Porém isso ainda não resolve o problema de alcançar usuários em todos os países e por enquanto não há apostas seguras.
Como diz Joseph Lorenzo-Hall líder do portfólio de segurança da Internet Society mudar a sede não é muito um plano B quando a lei segue seus usuários como o C 22 faria. A proteção mais forte é manter o mínimo possível de dados de usuários mas não ter dados não é uma defesa se os governos podem forçar a coleta deles. Um refúgio seguro precisa de mais do que ventos favoráveis para a criptografia forte. Precisa de leis que permitam às empresas manter suas promessas de privacidade e defendê‑las contra ameaças estrangeiras à confidencialidade e integridade.
Com informações de: Wired Security