El Tribunal Europeo de Derechos Humanos prohíbe debilitar el cifrado seguro de extremo a extremo

Tribunal Europeo de Derechos Humanos (TEDH)

• El Tribunal Europeo de Derechos Humanos prohibió ayer el debilitamiento general del cifrado seguro de extremo a extremo (end-to-end encryption).
• El fallo sostiene que el cifrado ayuda a ciudadanos y empresas a protegerse del hacking, el robo de identidad, el robo de datos personales, el fraude y la divulgación no autorizada de información confidencial.
• Las puertas traseras pueden ser explotadas por redes criminales y pueden poner en grave peligro la seguridad de las comunicaciones electrónicas de todos los usuarios.
• El tribunal considera que existen otras soluciones para monitorear comunicaciones cifradas sin debilitar de forma general la protección de todos los usuarios.

Opinión de un eurodiputado

• El eurodiputado y activista por las libertades digitales Patrick Breyer (Partido Pirata) afirmó que este fallo deja claro que la vigilancia de "client-side scanning" propuesta por la Comisión Europea es claramente ilegal.
• En lugar de investigar a los sospechosos, esto destruiría la protección de todos.
• Los gobiernos de la UE ahora no tienen otra opción que eliminar la destrucción del cifrado seguro de su postura sobre esta propuesta.
• El cifrado seguro salva vidas. Sin cifrado, no podemos estar seguros de que nuestros mensajes o fotos no estén siendo expuestos a personas que no conocemos y en quienes no podemos confiar.
• El "client-side scanning" volvería nuestras comunicaciones fundamentalmente inseguras, o los ciudadanos europeos ya no podrían usar WhatsApp o Signal.
• El Parlamento de la UE rechazó la destrucción del cifrado seguro y el control indiscriminado de chats, pero esto es solo el punto de partida para las negociaciones con el Consejo de la UE una vez que este defina su posición.
• Meta anunció que este año cifrará los mensajes directos en Facebook e Instagram y pondrá fin a la vigilancia voluntaria actual de control de chats.
• Aun así, la UE está en proceso de ampliar la autorización para el control voluntario de chats.

Contexto

• La Comisión Europea y la red industrial de las autoridades de vigilancia exigen revisar de forma general las comunicaciones privadas, incluidos los mensajeros cifrados de extremo a extremo, para buscar indicios de contenido ilegal.
• Esto no puede implementarse sin debilitar el cifrado seguro de extremo a extremo.
• Aunque la mayoría de los gobiernos de la UE apoyan la iniciativa, una minoría de bloqueo está impidiendo la decisión.
• Está previsto que los ministros del Interior de la UE vuelvan a debatir este proyecto de ley a inicios de marzo.

Opinión de GN⁺

• Lo más importante de este artículo es que el Tribunal Europeo de Derechos Humanos emitió un fallo que prohíbe debilitar el cifrado seguro de extremo a extremo.
• Este fallo puede convertirse en un hito muy importante en la sociedad moderna, donde se valora la privacidad individual y la seguridad de los datos.
• La razón por la que la importancia de la tecnología de cifrado y los esfuerzos legales para protegerla resultan interesantes y útiles para las personas es que la protección de la privacidad y la ciberseguridad son cada vez más importantes.

[GN⁺]

Opiniones de Hacker News

• El tribunal determinó que exigir legalmente el descifrado de comunicaciones con cifrado de extremo a extremo (E2E) en casos específicos constituye una intromisión excesiva en el derecho a la privacidad.

  • La ley en cuestión especifica que los servicios de mensajería, como Telegram, deben proporcionar los mensajes cifrados junto con la información necesaria para descifrarlos.
  • Para llegar a esta conclusión, el tribunal consideró el amplio impacto que tendría debilitar el cifrado E2E y citó voces que piden “soluciones” alternativas para el descifrado sin debilitar los mecanismos de protección.
  • Estas soluciones incluyen trabajo policial tradicional, operaciones encubiertas, análisis de metadatos, cooperación policial internacional, peritaje forense en tiempo real sobre dispositivos incautados, adivinar u obtener las claves privadas que poseen las partes de la comunicación, explotar vulnerabilidades del software objetivo y desplegar implantes en dispositivos específicos.

• Aunque este fallo se refiere a un caso específico —y a una ley específica—, el tribunal se muestra bastante escéptico frente a exigencias de que los proveedores de servicios debiliten los mecanismos de cifrado para todos los usuarios.

  • Si yo fuera el gobierno británico, me preocuparía que, con base en este fallo, la Online Safety Bill del Reino Unido pudiera ser revocada por tribunales nacionales —o europeos—.

• Incluso aunque se establece que, al declararse un estado de emergencia, el gobierno puede apartarse del derecho a la privacidad dentro de los límites necesarios ante una emergencia que “amenace la vida de la nación”, la instalación de una puerta trasera en E2E se considera algo que va más allá de lo que puede restringir legítimamente ese derecho.

• En torno al cifrado existe una especie de tira y afloja entre gobiernos e industria.

  • Los gobiernos no deberían inyectar debilidades en los algoritmos, pero necesitan alguna forma de poder leer los mensajes de criminales y terroristas.
  • La industria quiere que los clientes puedan usar sus productos de forma segura.
  • Si no hubiera presión regional, esto podría dejar la comercialización del cifrado en manos de Estados Unidos.

• El artículo tiene contenido político y cita mensajes promocionales del Partido Pirata, pero no explica qué caso llegó ante los jueces ni qué fue exactamente lo que se prohibió.

  • El caso judicial real trata de la demanda de una persona contra el gobierno ruso, relacionada con una multa impuesta cuando Telegram no entregó mensajes de chat en texto plano.
  • En todo el artículo no aparece la palabra Rusia, y no queda claro por qué se describe como algo relacionado con la reciente legislación de chatcontrol.

• Da gusto enterarse de que este fallo también aplica al Reino Unido. El Reino Unido sigue siendo miembro del Tribunal Europeo de Derechos Humanos (ECHR).

• Últimamente, Europa ha mostrado buenos ejemplos de cómo implementar una regulación tecnológica razonable.

• En una situación donde muchas cosas terminan siendo “lo volverán a intentar dentro de dos años”, resulta algo tranquilizador ver que se establecen obstáculos de largo plazo contra estas propuestas anti-E2EE.

• Me alegra que el valor del cifrado pueda tener futuro en Europa.

• Debilitar el cifrado seguro de extremo a extremo vuelve inútil al cifrado.

• Es fácil imaginar que cierto proveedor de servicios de internet (ISP) no estará contento con la situación actual. Esto crea grandes obstáculos para algunos modelos de proxy.

• Excelente noticia del Tribunal Europeo de Derechos Humanos. El gobierno británico está tratando de criticar a este tribunal de la misma forma en que criticó a la UE.