Reglamento CSAR: la vigilancia de nuestras comunicaciones se lleva a cabo ahora en Bruselas (LQDN)

¿La gente se da cuenta siquiera de lo que está haciendo? ¿Estamos demasiado preocupados por descubrir cómo sobrevivir? Admito que estas maniobras son bastante inteligentes, pero cuando impedimos revoluciones pacíficas, de facto imponemos revoluciones violentas... (C. Sannat)

Tengan en cuenta que el proyecto de ley, pronto examinado por la Asamblea Nacional, #SREN (proteger y regular el espacio digital) con el pretexto de buenas intenciones, amenaza nuestras libertades fundamentales. pic.twitter.com/OHeBS2WlKf

- N. Dupont-Aignan (@dupontaignan) 19 de Septiembre de 2023

Copia de seguridad de vídeo

Hace poco más de un año, la Comisión Europea propuso uno de los peores textos jamás ideados sobre tecnología digital: el Reglamento CSAR, también llamado “control de chat”. Con el objetivo de combatir el abuso sexual infantil, esta propuesta en realidad pretende crear una herramienta única para monitorear las comunicaciones. Desde que se presentó este proyecto de reglamento, en toda Europa, asociaciones y expertos se rebelaron contra esta iniciativa porque equivaldría a poner fin a la encriptación de las comunicaciones. Hoy en día, aunque las críticas son aún más numerosas, los debates avanzan rápidamente en Bruselas, lo que sugiere que el texto se aprobará muy pronto. Para comprender sus problemáticas y contribuir a reforzar la movilización, volvemos al contenido de este reglamento que podría firmar el fin de toda confidencialidad de los intercambios en línea.

La génesis del proyecto.

El 11 de mayo de 2022, la Comisión Europea lanzó una bomba en el mundo digital al publicar su reglamento propuesto « establecer normas para prevenir y combatir el abuso sexual de niños ". Llamado “control de chat” o “CSAR” (por “ Regulación del abuso sexual infantil "), este texto tiene como objetivo obligar a los proveedores de contenidos en línea a detectar contenidos de abuso sexual de menores analizando las conversaciones de sus usuarios.

Esta iniciativa se inspira en herramientas implementadas desde hace varios años por grandes empresas web. Meta, por ejemplo, analiza de forma proactiva todos los mensajes intercambiados en Facebook Messenger, así como los datos no cifrados de Whatsapp (fotos de perfil o de grupo, descripciones, etc.) con el fin de detectar imágenes conocidas de explotación infantil. En 2021, Verde anunció que estaba creando una herramienta para analizar los datos de sus clientes alojados en iCloud con el fin de compararlos con una base de datos de contenidos reportados como vinculados a pornografía infantil, al igual que Microsoft quién desarrolló la herramienta de comparación PhotoDNA.

Ya en 2020, la Comisión había comenzado a indicar su apetito por este tipo de herramienta en su “ estrategia para combatir el abuso sexual infantil » que llevó en 2021 a la adopción de un asentamiento sobre el tema. Se autoriza, temporalmente y durante tres años, a los servicios de comunicación electrónica para analizar contenidos con el fin de detectar contenidos vinculados a este tipo de abuso. Si esta posibilidad era opcional y debía basarse en sus condiciones generales, tal inclusión formal en la ley Sin embargo, legitimó las iniciativas y técnicas de vigilancia de las grandes plataformas., fortaleciendo así su poder hegemónico, sin que se lleve a cabo ninguna evaluación de la pertinencia de estos métodos.

Esta autorización finaliza en 2024 y es por ello que se propuso el CSAR. Pero a diferencia del reglamento temporal que sólo lo autorizaba, este proyecto de reglamento requiere la detección de contenido de pornografía infantil bajo determinadas condiciones, poniendo así fin a cualquier forma de confidencialidad. Desde el inicio de los debates hace un año y medio, la red europea EDRi, de la que forma parte La Quadrature du Net, ha realizado un considerable trabajo analítico sobre este texto, que se puede encontrar en su “ documento de posición » o, de forma más condensada, en su Folleto (en inglés). A continuación resumimos las principales cuestiones que rodean esta regulación.

El contenido del reglamento.

El reglamento CSAR pretende aplicarse a un gran número de actores. Por lo tanto, entran dentro del ámbito de aplicación todos los “ proveedores de servicios de comunicaciones interpersonales ", es decir mensajería online como Signal, Whatsapp o Telegram, proveedores de correo electrónico, aplicaciones de citas, pero también mensajería, que es sólo una función accesoria a otros servicios, como los juegos, por ejemplo. También entran dentro del ámbito de aplicación “ proveedores de servicios de alojamiento » como NextCloud, iCloud, DropBox o hosts asociativos de GATITOS, tiendas de aplicaciones así como redes sociales.

Estos proveedores se verían obligados a implementar una vigilancia considerable de sus usuarios. Por un lado, los artículos 3 y 4 establecen que obedecen a una obligación de evaluar y reducir en la medida de lo posible los riesgos de compartir contenidos de pornografía infantil en los servicios en cuestión. Esto implicaría brindar, a través de un estudio de impacto, elementos sobre el funcionamiento y uso de su herramienta para anticipar teóricamente los riesgos para identificar las medidas de mitigación correspondientes. Por tanto, los proveedores deberían poder proporcionar información sobre qué tipo de usuario (adulto, menor, etc.) utiliza su servicio y qué tipo de contenido (vídeo, texto, etc.) intercambia. Sin embargo, esta obligación es incompatible con uno de los principios básicos del respeto a la vida privada en el que se basa el funcionamiento de muchos servicios: la ausencia de recogida de este tipo de datos personales. Estos proveedores de servicios estarían entonces en una posición insostenible porque, para cumplir con esta nueva regulación, tendrán que cambiar su modelo y comenzar a recopilar información que actualmente no tienen. Para ellos, el reglamento CSAR equivaldría a abandonar su promesa de confidencialidad, garantizada en particular mediante el uso de cifrado y la anonimización de los datos.

Además, el artículo 6 del CSAR recomienda que los proveedores tengan uso de soluciones de verificación de edad para lograr este objetivo de reducción de riesgos. Sin embargo, no sólo no existe hasta la fecha ninguna herramienta viable que respete la privacidad sino que, sobre todo, el uso de este tipo de soluciones plantea serios problemas en cuanto a protegiendo el anonimato en línea, Como nosotros recordatorios recientemente en nuestro análisis de la ley SREN francesa. En definitiva, el texto presiona para favorecer la implementación de medidas coercitivas y cuestiona directamente el derecho a la privacidad.

Por otro lado, estos actores tendrán la obligación de responder ante cualquier “orden de detección” emitida por un juez o una autoridad administrativa.. Así, los artículos 7 a 11 establecen que, si hay “ un riesgo significativo de que el servicio se utilice para abuso sexual infantil en línea ", los proveedores pueden verse obligados a instalar herramientas en el corazón de su aplicación o infraestructura que les permitan escanear los datos que pasan a través de ella, con el fin de detectar posibles contenidos relacionados con el abuso sexual infantil.

Más precisamente, los proveedores deberán identificar tres tipos de datos:

• contenido "conocido" es decir, imágenes o vídeos ya catalogados por las autoridades como vinculados a pornografía infantil o abuso sexual infantil.
• contenido "desconocido" es decir, fotografías o vídeos que puedan constituir pornografía infantil, pero que no hayan sido identificados como tales. Para encontrar este contenido, los servicios deberán utilizar herramientas basadas en inteligencia artificial que identificarán correlaciones entre el contenido compartido y los indicadores predefinidos (por ejemplo, la piel desnuda).
• actividades que implican solicitar niños (llamado " pedotrapaje "). Se trata de detectar comportamientos “típicos” de las personas que entran en contacto con niños, utilizando nuevamente modelos estadísticos y probabilísticos basados ​​en inteligencia artificial.

Concretamente, esto implicará implementar una técnica de “ escaneo del lado del cliente » (literalmente “análisis del lado del cliente”), es decir, analizar datos que pasan a través de ellos directamente en los dispositivos de los usuarios. Cuando un internauta envía un mensaje o publica una publicación vía uno de los servicios afectados por una medida judicial, este contenido será analizado antes de su envío. Más precisamente, son “ hachís ", es decir, las huellas digitales vinculadas a las imágenes, que serán examinadas. Este hachís Luego se comparará con una base de datos ya compuesta de contenidos relacionados con el abuso sexual infantil. Si el hachís coincide con una foto de la base, se activa una alerta. De lo contrario, esto significa que el contenido debe clasificarse como "desconocido" y una herramienta de análisis adicional comprobará si existen correlaciones o similitudes con el contenido de abuso sexual para activar una alerta si es necesario.

El caballo de Troya de la Comisión: hacia el fin del cifrado

Al declarar el objetivo de proteger a los niños, la Unión Europea intenta en realidad introducir una capacidad para control gigantesco de todas las vidas digitales, haciendo realidad el sueño de vigilancia de todo gobierno. Este texto fue objeto de tantas reacciones que EDRi maravillas si el CSAR no fuera la ley europea más criticada de todos los tiempos. Las críticas a este texto provienen de instituciones europeas ellos mismos, pero también de organizaciones de defensa infantil a través de actores tecnológicos, así como de científicos e investigadores, donde 465 de ellos firmaron un carta en contra de esta propuesta. Y con razón.

A nivel técnico, hay que entender que las órdenes de detección exigir a los proveedores que analicen todas las comunicaciones de todos los usuarios de los servicios en cuestión. Y como los mensajes son analizados antes de ser enviados a sus destinatarios, esto no sólo elimina la confidencialidad sino que también inutiliza cualquier técnica de cifrado que se aplique posteriormente, es decir, una vez que el mensaje haya salido del dispositivo del usuario. El objetivo principal del cifrado es evitar que un tercero lea el mensaje. Sin embargo, el CSAR pretende precisamente permitir tal interpretación por parte de terceros. Asimismo, buscar una foto o un vídeo “desconocido” es completamente inaceptable. En la práctica, el riesgo de "falsos positivos" es enorme y esto significa que se pueden publicar contenidos completamente legítimos, como un cuerpo de adulto que parece demasiado juvenil, una foto de un niño enviada en un ambiente familiar o incluso adolescentes intercambiando consentimiento.

Finalmente, aplicado al caso particular de la detección de contenidos de pornografía infantil, considerar la constitución y uso de dicha base de datos. no tiene en cuenta la realidad de que los humanos tienen que manipularlo, alimentarlo y quién se enfrentará a contenidos difíciles a diario. Sin mencionar el hecho de que se conservarán imágenes de niños víctimas para “mejorar” la eficacia de estas herramientas.

El CSAR no sólo crea obligaciones desproporcionadas e implica técnicas extremadamente intrusivas, sino que, sobre todo, estas medidas están lejos de ser relevantes para lograr el objetivo crucial de proteger a los niños y combatir el abuso sexual. De hecho, no se ha proporcionado ningún estudio serio sobre la idoneidad, confiabilidad o relevancia de medidas tan extremadamente intrusivas. Por el contrario, fue revelado por elasociación alemana Gesellschaft für Freiheitsrechte que el La Comisión basó su propuesta únicamente en las acusaciones de la industria, en particular de la fundación espina y meta, para justificar este proyecto de reglamento. La policía y las instituciones judiciales, como en Alemania por ejemplo, también han manifestado sus reservas sobre la utilidad de estos dispositivos para sus encuestas ya que no responden a los problemas con los que se encuentran a diario.

Además, desde el inicio de la campaña contra este texto, muchos Se han producido recursos. demostrar que la protección de los niños contra el abuso pasa principalmente por políticas de prevención o educación y que cualquier posible respuesta criminal debe estar enmarcada por medidas específicas basadas en evidencia tangible. ¿Cómo llegamos entonces a este punto?

La tentación autoritaria de los Estados

Esta propuesta legislativa es una solución diseñada en gran medida por la industria y luego generalizada por las elites políticas que ilustran una vez más su absurda propensión al “solucionismo tecnológico”. y fortalecer la vigilancia digital. Para que estas medidas de vigilancia sean aceptables, deben tener un objetivo unánime. Pero todo el mundo sabe que la estrategia consiste sobre todo en debilitar el nivel de seguridad y confidencialidad de las comunicaciones digitales. Desde el guerras criptográficas En la década de 1990, varios estados afirmaron que las tecnologías de protección de la privacidad, principalmente el cifrado de las comunicaciones, eran un obstáculo para las investigaciones policiales. De hecho, estas tecnologías están diseñadas para ello, ya que con esta condición garantizan a todos la posibilidad de controlar nuestros modos de expresión y comunicación. Una de las consecuencias más importantes de las revelaciones del denunciante de la NSA Edward Snowden hace diez años fue precisamente una democratización de la práctica del cifrado y, en ese momento, el establecimiento de un relativo consenso a favor del derecho al cifrado a nivel institucional. Pero la policía y los gobiernos están avergonzados, y desde hace varios años asistimos al retorno de posiciones autoritarias de líderes que utilizan a su vez la excusa del terrorismo, el crimen organizado y la pornografía infantil para cuestionarlas.

También en Francia Bernard Cazeneuve que emanuel Macron ya han afirmado su deseo de controlar los mensajes cifrados, soñando así con penetrar la privacidad de los millones de personas que los utilizan. Durante una audiencia ante el Senado el 5 de abril, Gérald Darmanin expresó expresamente demande para poder romper el cifrado de los activistas medioambientales y de la “ultraizquierda”, que tendrían un “ cultura clandestina ". También hemos explicado recientemente cómo, en el llamado asunto del “8 de diciembre”, los servicios de inteligencia y policiales han construido una narrativa similar en torno al uso de herramientas que respetan la privacidad por parte de los acusados ​​(Signal, Tor, Tails, etc.), para pintar el retrato de delincuentes que tienen que esconderse o el deseo de huir del policía. A nivel europeo, fugas reveló la intención de varios estados de reducir el nivel de seguridad del cifrado de extremo a extremo, como España, que simplemente quiere ponerle fin.

El Reglamento CSAR se inscribe en esta continuidad y constituye una oportunidad perfecta para que los Estados miembros diseñen y generalicen por fin una herramienta de seguimiento de los intercambios de población y pongan así fin a los obstáculos que plantean los servicios demasiado protectores de la privacidad. Pero para superar este hito, significa eliminar toda confidencialidad de las comunicaciones que pasan a través de infraestructuras digitales. La integridad y seguridad de estos últimos nunca más podrían estar garantizadas ya que existe esta “puerta trasera”.. Esto crea oportunidades para que tanto los Estados como los actores malintencionados se apropien y abusen de esta capacidad para ingresar a los teléfonos y computadoras de las personas. Por último, está abriendo una brecha, un espacio de seguimiento que antes no existía, y que necesariamente se ampliará en el futuro con una nueva legislación para identificar otro tipo de contenidos.

Este riesgo es denunciado por servicios como Signal, Proton ou Matrix, que ofrecen comunicaciones seguras y cifradas de extremo a extremo y, por lo tanto, prometen una confidencialidad casi completa. Esta propuesta rompería su promesa al obligarlos a analizar contenido y crear una vulnerabilidad en sus tecnologías. Este riesgo también fue denunciado recientemente por Apple: por justificar el final análisis de contenido alojado en iCloud, la empresa explicó que la tecnología utilizada es Demasiado peligroso en términos de seguridad y privacidad.¹.

En Gran Bretaña, donde actualmente se está discutiendo un proyecto de ley similar, el Proyecto de ley de seguridad en línea, Signal y Whatsapp amenazaron con eliminar su servicio del país si este texto fuera aprobado. Ante esta revuelta, los británicos anunciaron muy recientemente suspensión la implementación de esta medida en vista de la inviabilidad en esta etapa de proteger el cifrado de extremo a extremo. Sin embargo, la medida todavía está en la ley y, por lo tanto, podría ser aplicable algún día. Tanto en Londres como en Bruselas, la batalla está lejos de terminar.

Rechazar y actuar

Por lo tanto, es urgente actuar para detener esta nueva iniciativa que crearía un precedente grave y daría a los Estados legitimidad para impulsar aún más la intrusión en las comunicaciones. Pero las discusiones avanzan rápidamente en Bruselas. Por un lado, el Consejo, organismo que reúne a los Gobiernos de los Estados miembros, debe publicar su posición sobre este texto a finales de septiembre. Esto promete ser muy malo, impulsado por varios Estados, Francia a la cabeza. Sin embargo, algunos Estados como Alemania o Austria han expresado reservas sobre la incompatibilidad de esta última versión con su propia posición oficial. A carta abierta fue firmado el 13 de septiembre por más de 80 organizaciones, entre ellas La Quadrature, para que los estados miembros no adopten el CSAR en su versión actual.

Por otra parte, el Parlamento Europeo también deberá adoptar su versión del texto, primero en comisión en octubre y luego en noviembre en sesión plenaria. Si muchos eurodiputados oponerse al texto, esto probablemente no sea suficiente para bloquear su adopción. Para tomar acción, te invitamos a unirte a la campaña” Deja de escanearme » liderado por una coalición de organizaciones y compartir la mayor cantidad de información posible sobre la movilización en curso². Usted puede también appeler de parlamentarios europeos invitarles a rechazar este texto.

Y si puedes, no dudes en hacer una donación a Cuadratura o Edri que opera en Bruselas. Gracias !

fuente: Laquadrature.net

Información adicional: