Kryphål i Chat Control 2.0 äventyrar informations­säkerheten

Det omstridda massövervaknings­förslaget Chat Control 2.0 plågas av flera teknik- och informations­säkerhets­relaterade problem. Det största problemet är kravet på att även totalsträcks­krypterade (end-to-end-krypterade) kommunikations­tjänster ska omfattas. Detta krav finns trots att det är tekniskt omöjligt för tjänste­leverantörer att skanna innehållet i korrekt totalsträcks­krypterade konversationer. Så har det alltid varit och så kommer det alltid att förbli.

Massövervaknings­förslagets frontfigur, EU-kommissionär Ylva Johansson, trodde inledningsvis att sådan skanning var möjlig (se exempelvis Många felaktigheter kring Chat Control 2.0 i Aktuellt-intervju). Hon liknande det hela vid hur en knarkhund kan sniffa efter droger i stängda väskor. Liknelsen är helt felaktig eftersom korrekt totalsträcks­krypterade konversationer aldrig läcker några sniffbara spår av innehållet. Det spelar ingen roll hur välutvecklad framtidens skannings­teknik blir eftersom det aldrig finns några spår att skanna (”sniffa”) efter.

Förslags­förespråkarna vill därför runda totalsträcks­krypteringens funktion genom att implementera tekniken som kallas klientsides­skanning. Det innebär att tjänste­leverantörerna måste utrusta sina appar med bakdörrar som gör att de kan skanna innehållet innan det skickas (innan det krypteras) och efter att det har tagits emot (efter att det har dekrypterats). Detta är den teknik som FN:s människorätts­kommissionär bokstavligen avråder från, bland annat på grund av farorna som lösningen får för utsatta barn och vuxna i totalitära stater. (Den överhängande risken för dataläckor och den uppenbara risken för självcensur är två andra skäl som FN:s människorätts­kommissionär framhäver.)

Kryphålet i definitionen

Ur ett strikt tekniskt perspektiv skulle klientsides­skanning kunna implementeras utan att varken förbjuda totalsträcks­kryptering eller försvaga krypteringen. Rent tekniskt påverkar inte klientsides­skanningen själva krypteringen. Klientsides­skanningen får bara krypteringen att sluta fylla sin funktion. Med implementerad klientsides­skanning fortsätter konversations­parterna att skicka meddelandena totalsträcks­krypterade till varandra, men parterna har samtidigt varsin spion som tittar över axeln och ser allt de skriver och hör allt de säger.

Detta definitions­mässiga kryphål utnyttjas nu av flera partier. Partierna och deras EU-parlamentariker påstår att de vill tillåta totalsträcks­kryptering men kräver samtidigt att innehållet i totalsträcks­krypterade tjänster ska kunna skannas. På detta vis blir deras tillåtande av totalsträcks­kryptering irrelevant. Det var för övrigt exakt detta kryphåls­argument som jag var rädd för när jag beskrev min skepsis i en intervju med Dagens Nyheter från slutet av april (se kommentar i Möjlig EU-vändning om chat control-lag – får inte försvaga kryptering).

På vår temawebbplats chatcontrol.se har vi en omvärldsbevaknings­databas med över 400 svenska artiklar som har skrivits om förslaget. Jag har gått igenom dessa artiklar samt de ändringsförslag som svenska partiers EU-parlamentariker har lagt fram. Utifrån detta har jag kunnat konstatera vilka förslags­förespråkare som försöker föra folket bakom ljuset genom att tillåta totalsträcks­kryptering och samtidigt kräva att totalsträcks­krypteringen kringgås.

Tidöavtalspartierna och Miljöpartiet

Regeringspartierna har presenterat ett förslag för Sveriges ståndpunkt i ministerrådet. I förslaget står följande text som högst motstridigt vill att krypterade meddelanden ska skyddas samtidigt som de måste kunna skannas.

En spårningsorder måste i sista hand kunna verkställas utan hinder av att en tjänst är krypterad, till exempel genom en maskin­scanning innan meddelandet krypteras och skickas. Samtidigt får inte informations­säkerheten äventyras, krypterade meddelanden ska vara skyddade mot obehörig åtkomst.

(Ur bilaga till dokument från EU-nämnden 2023/24:4F1902, 2023-09-18)

I Europa­parlamentet delar varken Moderaterna eller Kristdemo­kraterna den svenska regeringens ståndpunkt. Både Moderaterna och Kristdemo­kraterna är tydliga med att totalsträcks­krypteringens funktion aldrig får undermineras. Detta framgår tydligt i ändringsförslag 389 som har signerats av samtliga EU-parlamentariker från Moderaterna och Kristdemokraterna (Arba Kokalari, Jessica Polfjärd, Tomas Tobé, Jörgen Warborn, David Lega och Sara Skyttedal).

End-to-end encryption is an essential tool to guarantee the security, privacy and confidentiality of the communications between users, including those of children. Any weakening of the end-to-end encryption’s effect could potentially be abused by malicious third parties. Nothing in this Regulation should therefore be interpreted as prohibiting or compromising the integrity and confidentiality of end-to-end encrypted content and communications. As compromising the integrity of end-to-end encrypted content and communications shall be understood the processing of any data, that would compromise or put at risk the integrity and confidentiality of the aforementioned end-to-end encrypted content. Nothing in this regulation shall thus be interpreted as justifying client-side scanning with side-channel leaks or other measures by which the provider of a hosting service or a provider of interpersonal communication services provide third party actors access to the end-to-end encrypted content and communications.

(Ändringsförslag 389, 2023-07-28)

Sverigedemo­kraterna har inte kritiserat regeringslinjen på hemmaplan. I Europa­parlamentet har Sverigedemo­kraterna däremot förtydligat att de är motståndare till förslaget. SD-parlamentarikern Johan Nissinen har skrivit under samma ändrings­förslag som Moderaterna och Kristdemo­kraterna (ändringsförslag 389).

Miljöpartiet, som tidigare var motståndare till förslaget, har nu valt att stötta regeringslinjen trots att Miljöpartiet inledningsvis sade att de inte ville stödja ”de delar som handlar om obligatorisk scanning av privat kommunikation som det är utformat i kommissionens förslag just nu” (2023-04-18). Ändringen framgår av protokollet från justitie­utskottets sammanträde 2023-09-14 och bekräftas av Rasmus Ling i intervju med Syre (2023-09-22).

Socialdemokraterna

Socialdemokraterna i Sverige stöttar ordförande­landets (Spaniens) kompromiss­förslag. Detta framgår av protokollet från justitie­utskottets sammanträde 2023-09-14.

I Europa­parlamentet försöker därutöver tre av Socialdemo­kraternas EU-parlamentariker att utnyttja samma kryphål för att förespråka skanning av totalsträcks­krypterade tjänster utan att förbjuda totalsträcks­kryptering.

Heléne Fritzon och Carina Ohlsson vill först ha in en ändring om att totalsträcks­kryptering ska vara tillåten. De vill lägga in följande punkt i Artikel 10:s lista om teknik och skyddsåtgärder.

[The technologies shall be] not able to prohibit or make end- to-end encryption impossible.

(Ur ändringsförslag 1161, 2023-07-28)

I de inledande skälen poängterar de dessutom, tillsammans med S-parlamentarikerna Evin Incir, att ingenting i förslaget ska tolkas som att totalsträcks­kryptering förbjuds.

Nothing in this Regulation should therefore be interpreted as prohibiting end-to-end encryption or making it impossible.

(Ur ändringsförslag 385, 2023-07-28)

Heléne Fritzon och Carina Ohlsson vill dock samtidigt ha in följande tillägg i Artikel 7 (Utfärdande av spårningsorder).

For the scope of this Regulation and for the sole purpose to prevent and combat child sexual abuse, providers of interpersonal communications services shall be subjected to obligations to prevent, detect, report and remove online child sexual abuse on all their services, which may include as well those covered by end-to-end encryption, when there is a significant risk that their specific service.

(Ur ändringsförslag 1049, 2023-07-28)

Övriga partier

Vänsterpartiet och Centerpartiet har, till skillnad från övriga riksdags­partier, valt att inte utnyttja det definitions­mässiga kryphålet. Både Vänsterpartiet och Centerpartiet sluter i stället upp på barnens sida och tar avstånd från det Barn­konventions­brytande massövervaknings­förslaget.

Mer information om alla partiers och EU-parlamentarikers ståndpunkter finns på vår temawebbplats chatcontrol.se. Där uppdateras också informationen om ståndpunkterna på veckolig basis.