La crittografia è messa alle strette da tutte le parti
Il Controverso Disegno di Legge C-22 del Canada Solleva Allarme per Crittografia e Privacy Globale
Proposto inizialmente nel 2025 e parzialmente rivisto a seguito di aspre critiche da parte delle aziende tecnologiche e della società civile, il disegno di legge canadese C-22 può imporre requisiti alle aziende tecnologiche, anche al di fuori del Canada, affinché introducano "capacità tecniche" che consentano l’accesso ai dati per scopi di applicazione della legge. Come molti disegni di legge simili, il C-22 afferma che le aziende non dovranno introdurre una "vulnerabilità sistemica" nei loro sistemi. Tuttavia, gli oppositori hanno sottolineato che qualsiasi capacità di accedere a dati crittografati end-to-end equivale a una porta di servizio che potrebbe essere scoperta e abusata da chiunque. Questo rischio è ulteriormente accentuato dalla facilità con cui è ora possibile utilizzare strumenti di intelligenza artificiale per l’ingegneria inversa e la mappatura dei sistemi.
"Potrebbe essere chiesto alle aziende di introdurre vulnerabilità, costruire backdoor, aggirare, indebolire o altrimenti sconfiggere la crittografia", hanno dichiarato i membri delle commissioni Giustizia e Affari Esteri della Camera dei Rappresentanti degli Stati Uniti in una lettera di maggio ai funzionari canadesi. Oltre ai potenziali impatti sulla crittografia, il C-22 include anche disposizioni che potrebbero richiedere alle aziende di conservare metadati sull’attività degli utenti, qualcosa che molti servizi focalizzati sulla privacy (inclusi i servizi VPN di Psiphon e DuckDuckGo) evitano intenzionalmente. Di conseguenza, queste aziende affermano che sarebbero costrette a modificare i loro modelli di business per raccogliere dati che non intendono o non necessitano di raccogliere sui propri utenti. I ricercatori avvertono che tali modifiche ai prodotti diminuirebbero la fiducia degli utenti aumentando al contempo il potenziale di sorveglianza diffusa.
"Se si chiede e si richiede questo cambiamento infrastrutturale – che i metadati siano conservati di default – si sta creando una capacità di sorveglianza all’interno di uno strumento che prima non la possedeva", afferma Afsaneh Rigot, fondatrice del De|Center, un’organizzazione di ricerca che mira a ridurre il rischio di danni tecnologici. "Ci sono contesti come l’Iran e altri a livello globale, su cui tutto questo ha un effetto a cascata. Non rimarrà in Canada perché questo tipo di leggi vengono sempre copiate e incollate in giro per il mondo."
Mentre più paesi contemplano tali leggi, gli sviluppatori focalizzati sulla privacy e sugli strumenti anti-censura si stanno sempre più guardando intorno alla ricerca di giurisdizioni sicure in cui operare. Ma questo non risolve il problema di raggiungere gli utenti in tutti i paesi del mondo e, per ora, non ci sono certezze. "Cambiare la sede centrale non è un gran piano B quando la legge segue i tuoi utenti, come farebbe la C-22", afferma Joseph Lorenzo-Hall, responsabile del portafoglio sicurezza presso l’Internet Society. "La protezione più forte è detenere il minor numero possibile di dati utente, ma ‘non li abbiamo’ non è una difesa se i governi possono costringerti a iniziare a raccoglierli. Un porto sicuro ha bisogno di più che venti favorevoli nella crittografia forte. Ha bisogno di leggi che permettano alle aziende di mantenere le loro promesse di privacy e di difenderle dalle minacce straniere alla riservatezza e all’integrità."