A França está prestes a alterar um projeto de lei contra o tráfico de droga, a lei “Nacrotráfico”, que obrigará as aplicações de mensagens encriptadas, como o Signal e o WhatsApp, a introduzir uma porta traseira na encriptação para poderem entregar as mensagens de conversação desencriptadas de suspeitos de crimes no prazo de 72 horas após o pedido. Para fazer cumprir a lei, o texto prevê uma “coima de 1,5 milhões de euros para as pessoas singulares e uma coima até 2% do volume de negócios anual a nível mundial para as pessoas colectivas”. A alteração já foi aprovada pelo Senado e está agora a avançar rapidamente para a Assembleia Nacional.

Nos últimos anos, a França, juntamente com outras nações, tem tido algum sucesso na invasão de aplicações de conversação encriptadas utilizadas por criminosos, como o Encrochat e o AN0M. Estas grandes quantidades de dados desencriptados dos criminosos ajudaram as autoridades policiais de muitos países a processar os criminosos e a compreender o funcionamento do crime organizado. Parece que esta nova lei espera conseguir o mesmo, uma vez que permitirá às autoridades policiais processar mais facilmente os criminosos.

No entanto, quebrar a encriptação de uma aplicação criada por criminosos para criminosos é algo completamente diferente de quebrar a encriptação de aplicações de conversação utilizadas por milhares de milhões de pessoas, como o WhatsApp, o Signal e o Tuta Mail. Os danos colaterais desta última seriam terríveis.

Um ataque à segurança e à privacidade

A encriptação é a base da comunicação digital segura. É o que mantém os nossos dados e nós próprios protegidos na Internet atual. Infelizmente, a Internet não é um lugar seguro, mas sim um lugar onde atacantes maliciosos e espiões estrangeiros espreitam para se apoderarem dos seus dados para cometerem fraude, extorsão ou espionagem industrial.

Ao impor backdoors, o governo francês não só compromete a segurança de todos os utilizadores - cidadãos e empresas - como esta lei “Nacrotráfica” alterada está provavelmente em contradição com as leis europeias de proteção de dados, como o RGPD, a lei alemã de segurança informática e a TKG. O RGPD devolve o controlo sobre os dados pessoais às pessoas , obrigando as empresas a proteger os dados pessoais, possivelmente também com encriptação de ponta a ponta. Além disso, a Lei de Segurança Informática alemã (IT-Sicherheitsgesetz) determina que as infra-estruturas críticas (incluindo os sistemas informáticos) devem ser protegidas contra as ciberameaças e o acesso não autorizado, e a Lei das Telecomunicações alemã (TKG) regula a segurança dos serviços e dados de comunicação. Uma lei como a lei francesa “Narcotrafic”, que obriga as empresas a implementar medidas técnicas para permitir o acesso às autoridades policiais (como as backdoors), pode entrar em conflito com as obrigações de proteção de dados impostas às empresas de TI alemãs. Isto levanta a questão de saber se e como as empresas europeias, e em particular as alemãs, poderão cumprir a lei “Narcotrafic” francesa.

A Autoridade Europeia para a Proteção de Dados, por exemplo, esclarece que:

“A cifragem, ou seja, a codificação das mensagens de forma a que só os destinatários as possam compreender, é um dos principais instrumentos para garantir a segurança das nossas informações. É reconhecida como necessária para a economia digital e para a proteção dos direitos fundamentais, como a privacidade e a liberdade de expressão."

"Embora a aplicação da lei necessite de meios para combater o crime na Internet, qualquer nova medida teria de passar primeiro o teste da necessidade e da proporcionalidade, com base em provas fundamentadas. Embora a cifragem dificulte a recolha de dados em massa e a vigilância em massa, não é um fator limitativo de medidas mais direcionadas e específicas. As restrições à encriptação representam riscos significativos para a economia e a sociedade em geral.”

Abolição da segurança para todos

O enfraquecimento da encriptação não afecta apenas os criminosos; afecta todos os indivíduos, empresas, jornalistas, activistas e entidades governamentais que dependem de comunicações seguras. As backdoors criadas para a aplicação da lei tornam-se inevitavelmente potenciais pontos de entrada para agentes maliciosos, incluindo cibercriminosos e agências de informação estrangeiras de países como a Rússia e a China. Quando a encriptação é comprometida, não pode proteger seletivamente apenas aqueles que são considerados “legítimos” pelo Estado - torna-se fundamentalmente mais fraca para todos. Dadas as ameaças que enfrentamos atualmente, em particular na Europa, comprometer a encriptação seria uma medida perigosa que nos colocaria a todos em risco.

Isto também foi bem demonstrado por uma banda desenhada, nos tempos em que o FBI queria que a Apple pusesse em causa a encriptação de ponta a ponta utilizada nos iPhones.

Banda desenhada que mostra o diretor executivo da Apple, Tim Cook, a desbloquear o iPhone enquanto o FBI, os piratas informáticos, os regimes repressivos e outros fazem fila para ter acesso aos dados desencriptados.

A favor da encriptação está a ganhar força

Notícias mais recentes mostram um apoio crescente à encriptação de ponta a ponta, também por parte de agências governamentais. Nomeadamente, a Agência de Segurança Cibernética e de Infra-estruturas dos EUA (CISA) emitiu uma recomendação para a utilização da cifragem de extremo-a-extremo na sequência do hack do Salt Typhoon, um ataque dos chineses que lhes permitiu (e ainda lhes permite) escutar as chamadas telefónicas efectuadas através de fornecedores de telecomunicações americanos. Em fevereiro deste ano, as Forças Nacionais Suecas fizeram o mesmo, recomendando a utilização de aplicações encriptadas para chamadas e mensagens em vez das tradicionais chamadas telefónicas. Ambas mencionam a aplicação de conversação encriptada de segurança quântica Signal como forma de proteger todas as comunicações, e não apenas as mensagens altamente sensíveis. Mas agora a própria encriptação que aplicações como o Signal e fornecedores de correio eletrónico como o Tuta oferecem está ameaçada pela lei francesa “Narcotrafic”.

O que é a lei “Narcotrafic”?

A organização La Quadrature du Net elaborou uma extensa explicação sobre o que inclui a alteração da lei “Narcotrafic”. A organização mostra que os riscos para a segurança e a privacidade de toda a gente ultrapassam em muito os benefícios que traria para a aplicação da lei.

• A chamada lei “Narcotráfico” ataca a proteção dos correios encriptados (como o Signal ou o WhatsApp), impondo a instalação de backdoors para a polícia e os serviços secretos.

• Ao alterar o regime jurídico da criminalidade organizada, que é aplicável noutros casos, esta lei não se aplica apenas ao tráfico de droga. Pode mesmo ser utilizada para vigiar activistas.

• Os autos do processo, uma disposição da lei, tornam secretos os documentos de um processo que detalha as modalidades de utilização de técnicas de vigilância durante uma investigação. Este facto compromete o direito à autodefesa e impede a população de conhecer a extensão da capacidade de controlo da polícia judiciária.

• O texto prevê a possibilidade de a polícia ativar à distância os microfones e as câmaras de aparelhos fixos e móveis conectados (computadores, telefones, etc.) para espiar as pessoas.

• Alarga a autorização de utilização de “caixas negras”, uma técnica de análise dos dados de todas as nossas comunicações e trocas na Internet com o objetivo de “combater a criminalidade e o crime organizado”.

• A polícia poderá reforçar a sua política de censura de conteúdos na Internet, alargando-a às publicações relacionadas com o consumo e a venda de drogas. Os riscos de abuso da liberdade de expressão são, por conseguinte, mais amplos.

Lutemos pela encriptação

Com a introdução do RGPD em 2018, a União Europeia colocou-se na vanguarda da defesa do direito dos cidadãos à privacidade e à segurança. Permitir que a França implemente medidas de vigilância tão extremas como as propostas na lei “Narcotrafic” abriria um precedente perigoso que minaria os valores que a UE defende. Não podemos permitir que políticas movidas pelo medo corroam a segurança e a liberdade de todos os cidadãos europeus.

Nós, na Tuta, apelamos veementemente à Assembleia Nacional Francesa para que rejeite esta alteração e defenda os direitos fundamentais da privacidade, segurança e liberdade de expressão. Por favor, lembrem-se: Não é possível uma porta dos fundos só para os bons.

Espalhe a palavra e envolva-se! Eis como.

La Quadrature du Net reuniu excelentes recursos que pode utilizar para contactar o seu representante.

Ligue já ao seu representante e diga-lhe para votar “Não” à alteração da lei “Narcotrafic”!