Depois do Reino Unido, agora os legisladores americanos também começam a buscar meios para reprimir o uso da criptografia ponto a ponto. Nos dois lados do Atlântico, a mentira, a ignorância e a mistificação desinformam esse debate de importância vital.

Em um artigo perturbador publicado ontem (3/2), a Eletronic Frontier Foundation [uma das principais instituições civis dedicadas à privacidade e segurança digitais em todo o mundo] dá conta de que um grupo de legisladores liderados pelo senador Richard Blumenthal (D-CT) e pelo senador Lindsey Graham (R-SC) reintroduziu o EARN IT Act, um projeto incrivelmente impopular de 2020 que havia sido descartado diante de uma oposição esmagadora.

Escreve a EFF: sejamos claros, o EARN IT Act abriria o caminho para um novo e massivo sistema de vigilância, administrado por empresas privadas, que reverteria, em todo o mundo, alguns dos recursos de privacidade e segurança mais importantes da tecnologia. É uma estrutura montada para atores privados revistarem todas as mensagens enviadas online e relatarem supostas infrações às autoridades. E isso não é tudo. O EARN IT Act pode vir a garantir que qualquer coisa hospedada online — backups, sites, fotos na nuvem e muito mais — seja verificada por terceiros a serviço do estado.

Novas regras da Internet, do Alasca à Florida

O projeto de lei autoriza todos os estados ou territórios dos EUA a criar novas e abrangentes regulamentações da Internet, eliminando as proteções legais críticas para sites e aplicativos que atualmente impedem a farra da bisbilhotagem – especificamente a Seção 230 da Lei de Decência nas Comunicações – Communications Decency Act]. Os estados poderão aprovar qualquer tipo de lei que lhes aprouver para responsabilizar empresas privadas, que de alguma forma [real ou imaginária] estejam envolvidas no abuso infantil online.

O objetivo é fazer com que os estados aprovem leis que punam as empresas por implantarem criptografia de ponta a ponta ou oferecerem qualquer tipo de serviços criptografados. Isso inclui serviços de mensagens como WhatsApp, Signal e iMessage, bem como provedores de hospedagem na web como Amazon Web Services.

Sabemos que a EARN IT visa difundir o uso de ferramentas de varredura indiscriminada em bancos de dados da Internet apenas porque os patrocinadores do projeto de lei anunciaram. Em um documento chamado de “Mitos e Fatos”, os proponentes chegam ao detalhe de até nomear um software específico que deveria ser aprovado pelo governo para essa missão: o PhotoDNA, um programa da Microsoft [portanto de código proprietário] com uma API que se reporta diretamente às instituições policiais.

O documento também ataca a Amazon por não escanear o seu conteúdo adequadamente. Como a Amazon é o lar da Amazon Web Services, que hospeda um grande número de sites, isso implica que o objetivo do projeto é garantir que qualquer coisa hospedada online seja digitalizada.

Separadamente, o projeto de lei cria uma comissão federal [dominada por instituições policiais] de 19 pessoas, que estabelecerá as “melhores práticas voluntárias” para atacar o problema do abuso infantil online. Independentemente de as legislaturas estaduais seguirem a liderança dessa comissão, sabemos onde o caminho terminará. Os provedores de serviços online, mesmo os menores, serão obrigados a escanear o conteúdo do usuário, com software aprovado pelo governo, como o PhotoDNA.

Se os apoiadores da EARN IT conseguirem fazer a varredura de grandes plataformas como Cloudflare e Amazon Web Services, talvez nem precisem obrigar sites menores – o governo já terá acesso aos dados do usuário dessas plataformas, usando ferramentas fornecidas pelas próprias plataformas.

Uma disposição do projeto, que tenta pateticamente proteger os serviços que usam criptografia [em sua Seção 5, página 16] fica muito aquém do que seria necessário. Promotores estaduais ou advogados particulares ainda teriam o poder de arrastar um provedor de serviços ao tribunal sob a acusação de que seus usuários cometeram crimes, e então usar o fato de que o serviço disponibilizou a criptografia como agravante – uma estratégia especificamente permitida pela EARN IT.

É difícil imaginar um provedor de serviços online se atrevendo a usar essa brecha no dispositivo. Tudo indica que, em vez disso, eles simplesmente farão o que os patrocinadores do projeto estão exigindo – violar a criptografia de ponta a ponta e usar o software de digitalização aprovado pelo governo. Igualmente ruim, os provedores de serviços como backup e armazenamento em nuvem – que normalmente não oferecem criptografia, ficarão ainda menos propensos a introduzir novos recursos de segurança para proteger seus usuários, porque correm o risco de serem responsabilizados criminalmente pela EARN IT.

Muita digitalização, pouca proteção

Os senadores que apoiam o EARN IT Act dizem que precisam de novas ferramentas para processar casos referentes a material de abuso sexual infantil [ou CSAM – Child Sexual Abuse Material]. Mas os métodos propostos pela EARN IT na verdade ameaçam a segurança e privacidade de tudo o que está hospedado na Internet.

Possuir, visualizar ou distribuir CSAM já está inscrito na lei como um crime extremamente grave, com um amplo quadro de leis existentes que buscam erradicá-lo. Os provedores de serviços online que tenham conhecimento real de uma violação aparente ou iminente das leis atuais em torno do CSAM são obrigados a fazer um relatório ao Centro Nacional para Crianças Desaparecidas e Exploradas (NCMEC), uma entidade governamental que encaminha relatórios para agências de repressão ao crime.

A referida Seção 230 já não protege os provedores de serviços online de processos por CSAM – na verdade, ela não protege os serviços online de processos sob nenhuma lei criminal federal.

As empresas de Internet atualmente já estão obrigadas a denunciar as suspeitas de CSAM que elas encontrarem em suas redes – e têm denunciado em grande escala. E os erros também têm se manifestado em igualmente larga escala. Em particular, as novas técnicas de varredura usadas pelo Facebook produziram milhões de relatórios para as autoridades, a maioria deles imprecisos.

A aplicação da lei federal fez uso do grande número de relatórios produzidos por essa varredura de baixa qualidade para sugerir que houve um grande aumento nas imagens CSAM. Então, armados com estatísticas enganosas, os mesmos grupos fazem novas demandas para quebrar a criptografia ou, como no EARN IT, responsabilizar as empresas que não verificarem o conteúdo dos usuários.

Os especialistas independentes em proteção infantil não estão a pedir que os sistemas leiam as mensagens privadas dos usuários. Em vez disso, eles reconhecem que as crianças – principalmente crianças em vulnerabilidade – precisam de mensagens criptografadas e privadas tanto quanto, se não mais, do que o resto de nós. Ninguém, incluindo os mais vulneráveis ​​entre nós, pode ter privacidade ou segurança online sem criptografia forte.

Os senadores que apoiam o projeto de lei disseram que seus planos de vigilância em massa são de alguma forma magicamente compatíveis com a criptografia de ponta a ponta. Essa informação é completamente falsa, não importando se é chamada de “varredura do lado do cliente” ou alguma outra nova frase enganosa.

O EARN IT Act não visa a Big Tech. Ele tem como alvo todos nós, os usuários individuais da Internet, tratando-nos a todos como criminosos em potencial que merecem ter cada mensagem, fotografia e documento digitalizados e comparados com um banco de dados do governo.

Como a vigilância direta do governo seria flagrantemente inconstitucional e certamente provocaria indignação pública, a EARN IT usa empresas de tecnologia – das maiores às menores – como suas ferramentas. A estratégia é fazer com que as empresas privadas façam o trabalho sujo da vigilância em massa. Essa é a mesma tática que o governo dos EUA usou no ano passado, quando as agências de aplicação da lei tentaram convencer a Apple a subverter sua própria criptografia e digitalizar as fotos dos usuários – esse plano estagnou após uma oposição esmagadora.

É a mesma estratégia que a polícia do Reino Unido está usando para convencer o público britânico a desistir de sua privacidade [como comentamos aqui no blog na semana passada], tendo gasto dinheiro público em uma campanha publicitária risível na tentativa de demonizar as empresas que usam criptografia.

Não vacilaremos em nosso apoio à privacidade e segurança para todos, bem como às ferramentas de criptografia que suportam esses valores. Esse projeto de lei pode ser votado pelo Comitê Judiciário do Senado em apenas alguns dias. Dissemos ao Senado dos EUA que não vamos recuar em nossa oposição à EARN IT.

Precisamos que você fale também.

Por Joe Mullin [adaptado] | Eletronic Frontier Foundation – Licença Creative Commons (CC BY 4.0)