Miks ELi koostalitlusvõime nõue ohustab krüpteerimisturvalisust?

Euroopa Liidu uus seadus nõuaks, et Big Tech ettevõtted kujundaksid oma sõnumirakendused ümber, et need töötaksid sujuvalt koos kõigi teiste turul olevate rakendustega.

Teoreetiliselt muudab seadus sõprade ja perega vestlemise lihtsamaks, olenemata sellest, kas nad kasutavad iMessage'i, WhatsAppi või signaali. Siiski võib see võrgu koostoimimisvõime põhjustada olulisi turvaprobleeme.

Mis on krüpteerimine sõnumivahetuses ja miks see on oluline?

Enamik sõnumeid, mille saadate sõnumirakendusega, on krüptimata. See tähendab, et kolmandad osapooled saavad neid lugeda, kui nad liiguvad teie telefoni ja inimese vahel, kellele kirjutate.

Kui soovite oma sõnumite sisu saladuses hoida, peate kasutama rakendust, mis pakub täielikku (ehk E2E) krüptimist. See loob omamoodi turvaline side, mis tagab ainult teie ja teie vestluspartnerid saate lugeda, mida te üksteisele saadate.

Täielik krüpteerimine tagab, et kõik teie ja teie vestluspartneri saadetavad sõnumid jäävad teie telefonide vahel reisides turvaliseks, kaitstes neid kolmandate osapoolte lugemise või muutmise eest. Nende kolmandate osapoolte hulka kuuluvad Interneti-teenuse pakkujad, telefonifirmad ja isegi sõnumsiderakendus ise.

Seetõttu ei saa rakenduse arendusmeeskond teie sõnumeid reklaamijatele, õiguskaitseorganitele ega kellelegi teisele, kes võiks neid lugeda, üle anda. See krüpteerimine takistab ka kolmandatel osapooltel edastatavate sõnumite muutmist.

Enamik suuremaid sõnumsiderakendusi pakuvad teatud tüüpi krüptimist. Pakutavad konkreetsed krüpteerimisfunktsioonid võivad aga rakenduseti erineda.

Kuidas digitaalturgude seadus võib krüpteerimist ohustada

24. märtsil 2022 teatasid ELi juhtorganid, et nad on jõudnud kokkuleppele uute Big Techi reguleerivate õigusaktide osas Euroopas. Seda nimetatakse Digitaalsete turgude seadus (või DMA). Üks olulisemaid muudatusi uues seaduses on nõue, et kõik suured tehnoloogiaettevõtted loovad tooteid, mis on koostalitlusvõimelised väiksemate platvormidega.

See tähendab, et kõik Big Tech ettevõtete sõnumsiderakendused peavad saama saata sõnumeid, vahetada faile ja teha videokõnesid kõigi teiste sõnumsiderakendustega, mis on mitmel viisil hea. Koostalitlus tähendab, et suured tehnoloogiaettevõtted, nagu Meta, Google ja Apple, peavad uute rakenduste või platvormide loomisel arvestama väiksematega.

2021. aastal Meta koges ülemaailmset katkestust kui selle Border Gateway Protocolil (BGP) ilmnes konfiguratsiooniviga, mis jättis kõik selle varad võrguühenduseta enam kui kuueks tunniks. Kui sellised ettevõtted nagu Meta teevad vigu, võivad miljardid kasutajad tunda mõju.

Nende ettevõtete suurus võib neid aga kaitsta isegi suurte vigade tagajärgede eest. Koostalitlusnõuded võivad hoida Big Techi tarbijate ja tehnoloogiamaailma ees vastutavana.

Lisaks võib digitaalturgude seaduse koostalitlusvõime nõue tekitada probleeme rakenduste jaoks, mis pakuvad E2E-krüptimist.

Miks võib koostalitlusvõime krüpteerimist raskendada?

Sõnumirakendused rakendavad krüptimist erineval viisil või kasutavad erinevaid krüpteerimisstandardeid. Kahjuks on peaaegu võimatu panna kõiki neid strateegiaid koos töötama.

Rakenduste arendajad peavad koostalitlusvõime tagamiseks tegema kompromisse. Võib tekkida "madalaima ühisnimetaja" lähenemisviis, kus rakendused rakendavad võimalikult lihtsat krüpteerimissüsteemi. Kujutage näiteks ette ühte sõnumsiderakendust, mis toetab grupivestluste krüptimist, kuid teist, mis toetab seda ainult üks-ühele vestluste jaoks.

Täielik koostalitlusvõime võib tähendada, et arendajad valivad kõige lihtsama süsteemi, mis töötab koos teiste turul olevate rakendustega. Tõenäoliselt peaks see neil loobuma keerukamatest funktsioonidest, näiteks grupivestluse krüptimisest.

Praktikas võib see muuta kasutajad palju haavatavamaks. Vähem keerukaid krüptimissüsteeme võib olla lihtsam lüüa või need ei paku täielikku kaitset kolmandate isikute nuhkimise eest.

Rakenduste arendajad võivad luua ka uusi standardeid, mis võimaldavad neil seda teha ühtlustada oma krüpteerimistavasid. Näiteks Secure Communications Interoperability Protocol (SCIP) on USA standard turvalise kõne- ja andmeside jaoks. Sarnane E2E sõnumite krüptimise standard võib aidata arendajatel tagada koostalitlusvõime funktsionaalsust ohverdamata.

Mõned populaarsed sõnumsiderakendused –nagu signaal– on piisavalt väikesed, et DMA nõuded neid ei mõjuta. Kuid see ei kehti tippplatvormide kohta, nagu WhatsApp, mis kasutab oma krüptimiseks signaaliprotokolli. DMA võib tähendada, et WhatsAppi krüptimisfunktsioonid nõrgenevad või eemaldatakse täielikult, muutes kasutajatel oma suhtluse privaatsuse hoidmise raskemaks.

Koostalitlusnõuded võivad krüptimist nõrgendada

Koostalitlusnõuetest, nagu ELi uues digitaalturgude seaduses, on eeliseid. Selle nõudmine võib aga julgustada arendajaid rakenduste krüptimisfunktsioone nõrgendama.

Peagi peavad kasutajad lülituma rakendustele, mille on välja töötanud mitte-Big Tech ettevõtted, kui nad soovivad parimat võimalikku krüpteerimistehnoloogiat.

Mida tähendab krüpteeritud ja kas minu andmed on turvalised?

Loe edasi

Autori kohta