- El Consejo de la Unión Europea volvió a retirar la propuesta de Chat Control, que buscaba obligar la vigilancia de mensajes cifrados, y esto se considera una victoria para los grupos de derechos digitales
- La propuesta intentaba inspeccionar mensajes antes o después del cifrado mediante client-side scanning, pero fue criticada por debilitar la propia arquitectura del cifrado
- Investigadores de seguridad y organizaciones de la sociedad civil señalaron que “no existe una puerta trasera segura” y advirtieron sobre los riesgos tomando como referencia el caso de Apple en 2021
- Este retiro se considera un ejemplo de cómo la presión ciudadana sostenida y la solidaridad de expertos técnicos pueden influir de forma real en la toma de decisiones políticas
- Sin embargo, la presión política y los malentendidos técnicos siguen presentes, por lo que hacen falta respuestas de largo plazo y alternativas para proteger el cifrado
Fracasos repetidos y controversia de la propuesta Chat Control
- La propuesta de Chat Control de la Unión Europea era un plan para escanear masivamente mensajes cifrados, y la presidencia danesa volvió a retirarla esta vez
- Esto forma parte de un proceso continuo de conflicto entre defensores de la privacidad y legisladores que buscan debilitar el cifrado con el argumento de la seguridad pública
- Desde su introducción en 2022, la propuesta ha resurgido repetidamente y ha sido presentada una y otra vez pese a la oposición de la sociedad civil, expertos técnicos y el público
- La Electronic Frontier Foundation (EFF) y más de 80 organizaciones civiles se opusieron con firmeza a la obligación de aplicar client-side scanning con el argumento de combatir material de abuso sexual infantil
- La propuesta afirma repetidamente que incluye salvaguardas de privacidad, pero los expertos las consideran mecanismos de seguridad ilusorios
- El acceso mediante puerta trasera (backdoor) a mensajes cifrados vuelve vulnerable a todo el sistema, con el riesgo de que también sea aprovechado por actores maliciosos
La imposibilidad técnica de un “escaneo seguro”
- El cifrado de extremo a extremo (E2EE) funciona de modo que solo el emisor y el receptor tienen las claves de descifrado, por lo que ningún tercero puede leer el contenido del mensaje
- Se trata de una estructura de seguridad basada no en una preferencia de diseño, sino en una certeza matemática
- El client-side scanning intenta analizar los mensajes antes o después del cifrado, lo que daña de raíz el modelo de cifrado
- Si el dispositivo del usuario puede escanear mensajes, entonces malware o programas de vigilancia gubernamental también podrían tener el mismo acceso
- Se menciona el plan de Apple de 2021 para escanear imágenes infantiles en iCloud como un caso que fue retirado tras una fuerte reacción de expertos
- En estos sistemas no es posible limitar el escaneo solo a “buenos fines”, y existe inevitablemente el riesgo de explotar vulnerabilidades de seguridad
- La tecnología de vigilancia tiende a expandirse más allá de su propósito original hacia la vigilancia de la disidencia política o de la expresión, y esto podría convertirse en un precedente de abuso por regímenes autoritarios
La presión pública y la influencia de la sociedad civil
- Este retiro se considera un ejemplo de la importancia de la participación pública sostenida y de la vigilancia de las políticas tecnológicas
- A diferencia del pasado, en este debate participaron a gran escala organizaciones civiles, empresas tecnológicas, investigadores de seguridad y ciudadanos comunes
- Organizaciones como EFF y European Digital Rights informaron a millones de personas sobre los riesgos mediante explicaciones técnicas, análisis legales y campañas públicas
- Esta opinión pública contraria ayudó a crear un entorno en el que resultaba difícil para los políticos apoyar la propuesta
- La postura coherente de los expertos técnicos, la coordinación entre sectores y la presión sostenida se presentan como factores clave que hicieron posible frenar la política
Retos y alternativas para mejorar la política pública
- El resurgimiento repetido de Chat Control revela un problema estructural originado en la incomprensión del cifrado por parte de quienes toman decisiones políticas
- Algunos legisladores creen que es posible tener al mismo tiempo cifrado fuerte y acceso gubernamental, pero eso choca con la oposición total de la comunidad criptográfica
- Para una seguridad real en línea se necesitan mayores capacidades de investigación que no dañen el cifrado, junto con cooperación internacional y programas sociales de prevención
- Las empresas tecnológicas deben desarrollar funciones de seguridad compatibles con la privacidad, como análisis de metadatos, reportes de usuarios y restricciones de cuentas, en lugar de escanear contenido
- La protección del cifrado se plantea no como una victoria aislada, sino como una tarea de largo plazo que exige vigilancia continua, educación y desarrollo de tecnologías alternativas
Perspectivas futuras y necesidad de vigilancia constante
- La retirada de Chat Control es solo una victoria temporal, y existe la posibilidad de que reaparezca en una forma modificada bajo la próxima presidencia de la UE
- Como la presión política y el argumento de proteger a la infancia siguen presentes, el riesgo de que propuestas similares se repitan es alto
- La vigilancia constante de la comunidad de privacidad, la educación pública y la presentación de políticas alternativas siguen siendo esenciales
- Los intentos de debilitar el cifrado provocan problemas mayores que los que resuelven en materia de seguridad, y convencer de ello a quienes deciden las políticas es la tarea central
- Chat Control, descrita como una “propuesta zombi”, podría volver a resurgir, por lo que se requiere una respuesta de largo plazo por parte de los defensores de los derechos digitales
1 comentarios
Opiniones en Hacker News
Esta noticia sí da gusto
Ahora hace falta establecer salvaguardas constitucionales y desarrollar sistemas que permitan esquivarlo si algo así vuelve a pasar
Incluso hoy hay lugares donde solo la comunicación por sneakernet garantiza la privacidad, así que hacen falta herramientas de privacidad para no especialistas que funcionen sin estar siempre conectadas
Chat Control podría considerarse un acto de violencia ideológica contra la población alemana, así que sería ilegal
El problema es la indiferencia de la gente y la falta de voluntad para actuar
Si este proyecto vuelve a aparecer, probablemente vendrá con un nombre como “Protecting Children and Countering Terrorism Act”
Cada vez que salga una nueva versión del proyecto, lo primero que hay que revisar es si incluye una cláusula de excepción para el gobierno
Si el gobierno dice que la norma no aplicará para sí mismo, en ese momento el proyecto va directo a la basura
Me pregunto quién quiere esto y quién lo está empujando con tanta fuerza
Hay grupos que saben que la derrota es solo temporal y van a seguir resucitándolo
Esta organización vende una herramienta llamada Safer.io, que permite revisar hashes de CSAM desde su sitio web
También han contratado a exdirectivos de Europol
Para más detalles, ver la investigación de Balkan Insight
Desde alrededor de 2021 se propuso un paquete que incluía Chat Control y desde entonces se sigue discutiendo
Ya está en un punto en que es demasiado tarde para echarse atrás
Los políticos están cansados de que se burlen de ellos de forma anónima, y esta ley es una pieza de ese rompecabezas
Principalmente lo impulsa el centro político europeo para proteger su posición
No entiendo por qué esta discusión sigue repitiéndose
¿No debería existir el incentivo de que impulsar puertas traseras en el cifrado te hunda en la reelección?
La Comisión, el Parlamento y el Consejo adoptan posiciones distintas, y como el proceso es largo y repetitivo, por eso sigue apareciendo en las noticias
Los políticos que reciben lobby no creen que sea una pérdida de tiempo
Además, esta vez incluso está protegida por anonimato la identidad de quién lo impulsó
Usan pretextos como “proteger a los niños” para debilitar indirectamente el cifrado
La gente en general ni siquiera sabe qué significan el cifrado o una puerta trasera, así que no percibe el problema
Esto no pasó solo porque presionó ese 10% de gente interesada en tecnología
Los políticos también usan la misma tecnología y tienen mucho más que perder si hay filtraciones
Hay una cláusula que dice que “los políticos de la UE pueden quedar exentos por normas de confidencialidad profesional”
Ver la entrada del blog de Nextcloud
No existe una cultura de rendición de cuentas ni siquiera cuando hay filtraciones
Si comparas el chat electrónico con la censura postal de antes, ¿la gente se quedaría quieta si el gobierno escaneara todas las cartas en busca de palabras ilegales?
No hay razón para que con los chats sea diferente
No puede restringirse sin una decisión judicial
Enlace al texto constitucional
También se indica explícitamente en una disposición constitucional sueca
El gobierno jamás debería poder leer todo lo que se dice
Incluso la sola recolección de metadatos ya es lo bastante invasiva
La verdadera pregunta es “cuándo y en qué forma volverá a aparecer”
Me surge la idea cínica de que “tal vez en el intento 25 sí funcione”
while True: ProposeChatControl()La próxima vez que este proyecto reaparezca, me pregunto si volverán a surgir nuevos nombres de dominio para la campaña de oposición