Outro ataque terrorista, outra proposta de lei de vigilância. Será que os políticos alguma vez aprenderão que quebrar a encriptação traria mais mal do que bem?

A proposta de porta traseira

Um documento interno da Presidência Alemã do Conselho às delegações dos Estados-Membros, datado de 6 de Novembro, está a fazer as rondas nos círculos da UE, tal como relatado pelo emissor de televisão austríaco ORF. O objectivo é forçar serviços como o WhatsApp, o Signal e muitos outros que implementaram a encriptação de ponta a ponta para os seus utilizadores a permitir às autoridades o acesso a mensagens de chat encriptadas com a ajuda de uma chave geral. É evidente que o ataque terrorista em Viena está a ser utilizado pelo Conselho de Ministros da UE para fazer aprovar uma lei contra a encriptação segura para os cidadãos da UE.

Em Bruxelas, os ataques terroristas são regularmente utilizados para promover medidas de vigilância há muito planeadas. Por exemplo, o regulamento de retenção de dados foi aprovado na UE após os atentados terroristas em Madrid (2004) e em Londres (2005). A retenção geral de dados foi posteriormente declarada ilegal na UE pelo Tribunal de Justiça Europeu, “sinalizando que as preocupações com a segurança não justificam violações excessivas da privacidade”, tais como a retenção geral de dados para todos os cidadãos.

No entanto, agora o Conselho da UE quer mais uma vez pressionar para uma lei de vigilância severa. Desta vez, querem “acesso excepcional” à comunicação codificada com a ajuda de uma chave geral fornecida pelos serviços em questão. Os detalhes deste método foram publicados pelo Politico em Agosto.

Proposta da UE escrutinada

O “Projecto de Resolução do Conselho sobre Encriptação - Segurança através da encriptação e segurança apesar da encriptação” sublinha o facto de que “A União Europeia apoia plenamente o desenvolvimento, implementação e utilização de uma encriptação forte. A encriptação é um meio necessário para proteger os direitos fundamentais e a segurança digital dos governos, indústria e sociedade”.

No entanto, isto é um serviço labial, quando continuado:

“A proteção da privacidade e segurança das comunicações através da criptografia e, ao mesmo tempo, a manutenção da possibilidade de autoridades competentes na área de segurança e justiça criminal acessarem legalmente dados relevantes para fins legítimos e claramente definidos no combate a crimes graves e/ou organizados e ao terrorismo, inclusive no mundo digital, são extremamente importantes. Quaisquer acções tomadas têm de equilibrar cuidadosamente estes interesses”.

Enquanto o Conselho da UE intitula esta secção com “Criar um melhor equilíbrio”, na verdade eles significam: Ter uma chave geral para quebrar a encriptação, caso as autoridades precisem.

No entanto, como defensores da privacidade, entendemos os riscos aqui, mas mais adiante falaremos mais sobre isso. A principal razão pelas quais as autoridades afirmam que querem uma chave tão geral é que ela as teria ajudado a evitar ataques terroristas. Então vamos olhar para o último ataque terrorista em Viena. Se as autoridades austríacas tivessem tido acesso ao bate-papo criptografado do terrorista, elas teriam sido capazes de evitar o ataque?

Ataque terrorista em Viena

No início deste ano, as autoridades alemãs tinham pedido aos colegas austríacos que monitorizassem um encontro entre dois suspeitos de serem islamistas e o futuro atacante em Viena, em Julho. Na seguinte avaliação de risco do futuro atacante, que estava em liberdade condicional após uma condenação anterior relacionada com o terrorismo, foram cometidos erros.

Apesar de também as autoridades eslovacas terem informado as autoridades austríacas de que o terrorista tinha tentado comprar munições na Eslováquia, esta informação não levou a uma vigilância constante do futuro atacante. As autoridades austríacas poderiam até ter emitido um mandado de captura por causa disso, devido ao seu registo criminal.

Está a tornar-se cada vez mais claro que, aparentemente, erros de investigação tinham tornado o ataque possível em primeiro lugar e não a falta de poderes de monitorização digital.

O próprio Ministro do Interior austríaco admitiu: “Erros aparentes e intoleráveis de investigação foram cometidos”. No entanto, os políticos apelam novamente à vigilância de todos os cidadãos - em vez de melhorarem e educarem os seus agentes para melhor avaliarem potenciais ameaças com os dados de que já dispõem.

A ORF comenta ironicamente: “Estas são as “autoridades competentes”: GCHQ, DGSE, BND, etc., cujos métodos de limpeza a vácuo sobre as fibras ópticas produzem cada vez menos dados processáveis devido ao aumento da criptografia do transporte. A fim de evitar esta pobreza iminente de dados, foram agora solicitadas chaves gerais e parece que esta será aprovada pelo Conselho. Isto significa que o BVT (Escritório Federal Austríaco para a Proteção da Constituição e Contra o Terrorismo), que é incapaz de eliminar um terrorista que é servido duas vezes numa bandeja de prata por outros dois serviços, poderá no futuro investigar durante semanas em sessões de bate-papo sem sucesso”.

Se não fosse tão triste, far-nos-ia sorrir.

O resultado final é: As autoridades e os serviços de inteligência já têm muitos dados sobre ameaças potenciais. Avaliar os dados em profundidade leva tempo e pessoas qualificadas para reduzir as ameaças potenciais mais perigosas. Não há provas de que adicionar mais dados às bases de dados ajudará de alguma forma a encontrar os potenciais atacantes.

Perigo de vigilância

Infelizmente, os perigos de uma vigilância tão geral superam em muito os benefícios. Portanto, trazer a encriptação para um “melhor” equilíbrio com as exigências das autoridades, como diz o Conselho da UE, está longe de ser verdade.

O problema é - como sempre com a criptografia - quem controla a chave? Assim que houver uma chave de desencriptação geral para mensagens de chat encriptadas, as autoridades vão querer usá-la. Os atacantes maliciosos vão querer obtê-la. As agências estatais vão querer ter acesso a ela para usá-la não só contra criminosos, mas também para espionagem industrial, para monitorar a oposição em países autocráticos, etc.

As principais questões são:

• Quem decide quando a chave pode ser usada? (= Quem tem acesso às chaves? Serão apenas os ‘bons’?)
• Para quem o histórico do chat? (= Quem será o alvo de tal vigilância? Serão apenas potenciais criminosos ou serão também cidadãos inocentes, activistas, políticos opositores?)
• Em caso de que crimes? (= Quem define para que crimes a chave pode ser usada? Quem faz as leis para definir os crimes, também em países não democráticos?)

Dado que já temos governos na UE que têm tendências autocráticas como a Polónia e a Hungria, países que tornam o aborto ilegal, que discriminam os LGBT e outras minorias, devemos estar bem cientes dos danos que poderiam ser causados dando uma chave de desencriptação geral às autoridades desses estados membros europeus.

Uma chave geral para todas as mensagens WhatsApp e Signal seria um alvo de grande visibilidade para os criminosos e agências (criminosas) estatais. Seria apenas uma questão de tempo até que uma tal chave vazasse para mãos maliciosas. Ironicamente, a própria UE recomendou recentemente aos seus funcionários que utilizassem o Signal para conversarem em segurança com pessoas de fora da instituição.

Aumento da vigilância

O ataque terrorista de Viena é apenas um, numa longa fila de ataques na Europa, que mostra que não é o aumento da vigilância que é necessário para combater o terrorismo. Pelo contrário, uma análise feita por jornalistas chegou à conclusão de que todos os terroristas islâmicos desde 2014 são conhecidos das autoridades antes da ocorrência dos ataques.

Da mesma forma, o programa de vigilância telefônica da NSA nos EUA não só foi declarado ilegal recentemente, como também provou ser caro e ineficaz. Ele não impediu um único ataque terrorista.

Quando os políticos pedem para quebrar a criptografia - mesmo que seja apenas para os “bons” - eles não nos oferecem para escolher entre mais segurança ou menos. Eles nos obrigam a escolher sem segurança.

Apelo aos políticos da UE para que recusem a vigilância

Esta proposta do Conselho da UE nunca deve tornar-se lei, uma vez que

• Viola gravemente os direitos à privacidade e à liberdade de expressão de todos os cidadãos da UE.
• É uma ameaça para a segurança e integridade dos dados de cada cidadão da UE.
• Ela contraria o GDPR - que foi feito para manter os dados dos cidadãos da UE seguros.

Pedimos aos políticos da UE que leiam sobre a segurança online, que aprendam sobre a importância da encriptação e as ameaças que a encriptação representa para os indivíduos, proibindo a encriptação, bem como as ameaças que representam para uma sociedade aberta e democrática.

Como uma sociedade livre e aberta, partilhamos os valores da liberdade de expressão e da privacidade na Europa. Agora, temos de permanecer fortes para proteger estes valores.

Se estas liberdades nos forem tiradas, os terroristas já ganharam.