El de para el escaneo de imágenes enviadas en iMessage da un paso atrás en a la privacidad y seguridad de los mensajes cifrados. El programa, inicialmente limitado a Estados Unidos, debilita el para permitir el escaneo del lado del cliente. Aunque Apple tiene como objetivo la lacra de la explotación y el abuso de menores, la empresa ha creado una infraestructura que es demasiado fácil de redirigir hacia una mayor vigilancia y censura. El programa socavará el argumento de defensa de Apple de que no puede cumplir con las demandas más amplias.
Durante años, han pedido acceso y control sobre los mensajes cifrados, pidiendo a las empresas tecnológicas que se " pongan más las pilas" frente a la negativa de que el acceso a los mensajes de forma clara era incompatible con un cifrado fuerte. El de Apple se está implantando actualmente sólo en Estados Unidos.
Estados Unidos no ha sido tímido a la hora de a las comunicaciones cifradas, presionando a las empresas para que faciliten la obtención de datos con órdenes judiciales y para que entreguen voluntariamente los datos. Sin embargo, Estados Unidos se enfrenta a serios problemas constitucionales si quisiera aprobar una ley que exigiera el registro y la notificación de contenidos sin orden judicial. Aunque lo realice un particular, un registro ordenado por el gobierno está sujeto a las protecciones de la Cuarta Enmienda. Cualquier "orden" emitida para la vigilancia masiva sin sospecha sería una orden general inconstitucional. Como ha el Tribunal de Apelación del Noveno Circuito, "las órdenes de registro... son fundamentalmente ofensivas para los principios subyacentes de la Cuarta Enmienda cuando son tan abundantes y expansivas en su lenguaje que constituyen una red de arrastre virtual que lo abarca todo[.]" Con este nuevo programa, Apple no ha conseguido mantener una línea política firme contra las leyes estadounidenses que socavan el cifrado, pero sigue existiendo un respaldo constitucional para algunos de los peores excesos. Pero la protección constitucional estadounidense no tiene por qué reproducirse en todos los países.
Apple es una empresa global, con teléfonos y ordenadores en uso en todo el mundo, y con la presión de muchos gobiernos que eso conlleva. Apple ha rechazará las "demandas de los gobiernos para construir y desplegar cambios exigidos por los gobiernos que degraden la privacidad de los usuarios". Está bien que Apple diga que no lo hará, pero esto no es una protección tan fuerte como decir que no puede, lo cual no podría decirse honestamente de ningún sistema de este tipo. Además, si implementa este cambio, Apple tendrá que no sólo luchar por la privacidad, sino ganar en las legislaturas y tribunales de todo el mundo. Para mantener su promesa, Apple tendrá que resistir la presión para ampliar el programa de escaneo de iMessage a nuevos países, para escanear nuevos tipos de contenido y para informar de las relaciones entre padres e hijos fuera de la red.
No es de extrañar que los países autoritarios exijan a las empresas que proporcionen acceso y control a los mensajes cifrados, que suelen ser la última esperanza de los disidentes para organizarse y comunicarse. Por ejemplo, muestra que -ahora mismo- el servicio WeChat sin cifrar de China ya vigila las imágenes y los archivos que comparten los usuarios, y los utiliza para entrenar los algoritmos de censura. "Cuando se envía un mensaje de un usuario de WeChat a otro, pasa por un servidor gestionado por Tencent (la empresa matriz de WeChat) que detecta si el mensaje incluye palabras clave de la lista negra antes de enviarlo al destinatario". Como del Observatorio de Internet de Stanford, este tipo de tecnología es una hoja de ruta que muestra "cómo un sistema de escaneo del lado del cliente, originalmente construido sólo para CSAM [Material de Abuso Sexual Infantil], podría y sería subutilizado para la censura y la persecución política". Como , China, con el mayor mercado del mundo, puede ser difícil de rechazar. Otros países no tienen reparo en ejercer una presión extrema sobre las empresas, incluso de las compañías tecnológicas.
Pero muchas veces la potente presión para acceder a los datos encriptados también procede de países democráticos que se esfuerzan por mantener el Estado de Derecho, al menos al principio. Si las empresas no mantienen la línea en estos países, los cambios realizados para socavar la encriptación pueden ser fácilmente replicados por países con instituciones democráticas más débiles y un pobre historial de derechos humanos, a menudo utilizando un lenguaje legal similar, pero con diferentes ideas sobre el orden público y la seguridad del Estado, así como sobre lo que constituye un contenido no admisible, desde la obscenidad hasta la indecencia y el discurso político. Esto es muy peligroso. Estos países, con un pobre historial de derechos humanos, sostendrán sin embargo que no son diferentes. Son naciones soberanas y consideran que sus necesidades de orden público son igualmente urgentes. Sostendrán que si Apple está proporcionando acceso a cualquier estado-nación bajo las leyes locales de ese estado, Apple también debe proporcionar acceso a otros países, al menos, bajo los mismos términos.
Los países de los "Cinco Ojos" tratarán de escanear los mensajes
desde el terrorismo a la prevención del CSAM como justificación, pero la demanda de acceso no cifrado sigue siendo la misma, y es poco probable que los Cinco Ojos se sientan satisfechos sin cambios que ayuden también a las investigaciones de terrorismo y criminales.
La Ley de Poderes de Investigación del Reino Unido, siguiendo la amenaza de los Cinco Ojos, permite a su Secretario de Estado emitir "", que obligan a los operadores de telecomunicaciones a hacer la capacidad técnica de "prestar asistencia para hacer efectiva una orden de interceptación, una orden de interferencia de equipos o una orden o autorización para obtener datos de comunicaciones". Mientras el Parlamento británico examinaba la IPA, que una "empresa podría verse obligada a distribuir una actualización para facilitar la ejecución de una orden de interferencia de equipos, y se le ordenaría abstenerse de notificar a sus clientes".
Según la IPA, el Secretario de Estado debe considerar "la viabilidad técnica del cumplimiento de la notificación". Pero la infraestructura necesaria para desplegar los cambios propuestos por Apple hace más difícil decir que la vigilancia adicional no es técnicamente viable. Con el reciente programa de Apple, nos preocupa que el Reino Unido intente obligar a una actualización que amplíe la funcionalidad actual del programa de escaneo de iMessage, con diferentes objetivos algorítmicos y una notificación más amplia. Como la función de "seguridad de las comunicaciones" de iMessage es una invención propia de Apple, ésta puede cambiar fácilmente sus propios criterios sobre lo que se marcará para informar. Apple puede recibir una orden para adoptar su programa de coincidencia de hash para iPhoto en la preselección de mensajes. Del mismo modo, los criterios para las cuentas que aplicarán este escaneo, y dónde se reportan las coincidencias positivas, están totalmente bajo el control de Apple.
Australia hizo lo propio con su Ley de Asistencia y Acceso, que también permite exigir asistencia técnica y capacidades, con el inquietante potencial de socavar el cifrado. Aunque la ley contiene algunas salvaguardias, una coalición de organizaciones de la sociedad civil, empresas tecnológicas y asociaciones comerciales, entre ellas la EFF y - valga la ironía- Apple, que eran insuficientes.
De hecho, en Apple ante el gobierno australiano, Apple advirtió que "el gobierno puede intentar obligar a los proveedores a instalar o probar software o equipos, facilitar el acceso a los equipos de los clientes, entregar el código fuente, eliminar formas de protección electrónica, modificar las características de un servicio o sustituirlo, entre otras cosas". Si Apple recordara que estas mismas técnicas podrían utilizarse también para intentar obligar o cambiar el alcance del programa de escaneo de Apple.
Aunque Canadá un requisito explícito de acceso a texto sin formato, el gobierno canadiense está buscando activamente obligaciones de filtrado para lo que hace pensar en un conjunto más agresivo de obligaciones dirigidas a las aplicaciones de mensajería privada.
Los regímenes de censura están en marcha y listos para funcionar
En el caso de los Cinco Ojos, la petición se refiere sobre todo a la capacidad de vigilancia, pero India e Indonesia ya están en el camino de la censura de contenidos. Las nuevas Directrices de los Intermediarios y el Código Ético de los Medios Digitales ("") del gobierno indio, que entraron en vigor a principios de este año, directamente para que las plataformas realicen un filtrado previo de los contenidos. La norma 4(4) obliga a filtrar los contenidos, exigiendo a los proveedores que "se esfuercen por desplegar medidas basadas en la tecnología", incluyendo herramientas automatizadas u otros mecanismos, para "identificar proactivamente la información" que ha sido prohibida en virtud de las Normas.
La la India , redactada en respuesta a las críticas de , consiste en destacar los peligros muy reales para los niños, y pasa por alto el mandato mucho más amplio de las normas de escaneo y censura. Las normas de 2021 imponen la aplicación proactiva y automática de sus disposiciones de retirada de contenidos, exigiendo el bloqueo proactivo de material previamente considerado prohibido por la legislación india. Estas leyes incluyen ampliamente las que protegen "la soberanía e integridad de la India; la seguridad del Estado; las relaciones amistosas con Estados extranjeros; el orden público; la decencia o la moralidad". No se trata de una hipotética pendiente resbaladiza: no es difícil ver cómo este lenguaje podría ser peligroso para la libertad de expresión y la disidencia política. De hecho, el historial de India en su , que para detener a académicos, escritores y poetas por liderar concentraciones y publicar mensajes políticos en las redes sociales, pone de manifiesto este peligro.
No sería de extrañar que la India afirmara que el programa de escaneo de Apple es un gran comienzo hacia el cumplimiento, con algunos ajustes más necesarios para abordar el mandato más amplio de las Reglas 2021. Apple ha prometido protestar contra cualquier ampliación, y podría argumentar en los tribunales, como han hecho y otros, que las Normas 2021 deberían ser anuladas, o que Apple no se ajusta a la definición de intermediario de medios sociales regulada por estas Normas 2021. Pero las normas indias ilustran tanto el deseo gubernamental como el respaldo legal de la preselección de los contenidos cifrados, y los cambios de Apple facilitan aún más la entrada en esta distopía.
Se trata, por desgracia, de una tendencia cada vez mayor. También Indonesia ha adoptado para exigir a los proveedores de servicios (incluidos los de "mensajería instantánea") que "garanticen" que su "no contiene ninguna [información] prohibida; y [...] no facilita la difusión de [información] prohibida". El MR5 define la información prohibida como cualquier cosa que viole cualquier disposición de las leyes y reglamentos de Indonesia, o que cree "ansiedad en la comunidad" o "alteración del orden público". El MR5 también impone sanciones desproporcionadas, incluido el bloqueo general de los sistemas para quienes no se aseguren de que no hay contenidos e información prohibidos en sus sistemas. Es posible que Indonesia vea la función de escaneo de iMessage como una herramienta para cumplir con el Reglamento MR5, y presione a Apple para que adopte una versión más amplia e invasiva en su país.
La presión crecerá
La presión para ampliar el programa de Apple a más países y más tipos de contenido no hará más que continuar. En otoño de 2020, en la Unión Europea, una serie de documentos filtrados de la Comisión Europea una ley contra el cifrado al Parlamento Europeo, quizás este año. Afortunadamente, existe un respaldo en la UE. En virtud de la directiva sobre comercio electrónico, los Estados miembros de la UE no pueden imponer una obligación general de vigilar la información que los usuarios transmiten o almacenan, tal como establece el artículo 15 de la Directiva sobre comercio electrónico (2000/31/CE). De hecho, el Tribunal de Justicia de la Unión Europea (TJUE) que los intermediarios no pueden estar obligados a supervisar sus servicios de forma general para detectar y prevenir la actividad ilegal de sus usuarios. Tal obligación sería incompatible con la equidad y la proporcionalidad. A pesar de ello, en un y publicado por Político, la Comisión Europea se comprometió a elaborar un plan de acción para la detección obligatoria del CSAM por parte de los proveedores de servicios en línea pertinentes (prevista para diciembre de 2021) que apuntaba al escaneo del lado del cliente como solución, que puede aplicarse potencialmente a las aplicaciones de mensajería privada segura, y aprovechando la noción de que preserva la protección del cifrado de extremo a extremo.
Para los responsables políticos del gobierno que han estado instando a las empresas a que se pongan las pilas, es igual de bueno que lo hagan con palabras más duras. El objetivo es el acceso a las comunicaciones sin cifrar, y si eso se puede conseguir de forma que se consiga un cifrado de extremo a extremo más limitado, mejor para ellos.
Todo lo que se necesitaría para ampliar la estrecha puerta trasera que Apple está construyendo es una expansión de los parámetros de aprendizaje automático para buscar tipos adicionales de contenido, la adopción de la coincidencia de hash de iPhoto a iMessage, o un ajuste de las banderas de configuración para escanear, no sólo las cuentas de los niños, sino las de cualquier persona. Apple tiene un sistema totalmente construido sólo a la espera de la presión externa para hacer los cambios necesarios. China, y sin duda otros países, ya disponen de hashtags y clasificadores de contenido para identificar los mensajes no permitidos por sus leyes, aunque estén protegidos por el derecho internacional de los derechos humanos. Los casos de abuso son fáciles de imaginar: los gobiernos que prohíben la homosexualidad podrían exigir un clasificador entrenado para restringir el contenido aparentemente LGBTQ+, o un régimen autoritario podría exigir un clasificador capaz de detectar imágenes satíricas populares o folletos de protesta.
Ahora que Apple lo ha construido, ellos vendrán. Con buenas intenciones, Apple ha allanado el camino hacia la debilidad de seguridad obligatoria en todo el mundo, permitiendo y reforzando los argumentos de que, si las intenciones son lo suficientemente buenas, escanear tu vida personal y tus comunicaciones privadas es aceptable. Instamos a Apple a reconsiderar y volver al mantra que Apple tan memorablemente en la conferencia CES de 2019 en Las Vegas: Lo que pasa en tu iPhone, se queda en tu iPhone.
