Esclusivo Nel Regno Unito e in Europa sono state proposte leggi che darebbero alle autorità il potere di minare una forte crittografia end-to-end nel perseguimento, nella loro mente, della giustizia.
Se adottate, queste regole – secondo un esperto di sicurezza informatica britannico – autorizzerebbero la lettura e l’analisi di comunicazioni precedentemente private delle persone al fine di prevenire potenzialmente la diffusione di materiale pedopornografico e comunicazioni terroristiche.
Ross Anderson, professore di ingegneria della sicurezza presso il Dipartimento di Informatica e Tecnologia dell’Università di Cambridge nel Regno Unito, sostiene che queste normative proposte, che, francamente, si basano su soluzioni tecniche come la scansione dei messaggi lato dispositivo e l’apprendimento automatico per la caccia al crimine algoritmi al posto di polizia, assistenti sociali e insegnanti – portano a pensieri magici e politiche sbagliate.
In un articolo intitolato Controllo della chat o protezione dei minori?che sarà distribuito tramite ArXiv, Anderson offre una confutazione alle argomentazioni avanzate a luglio dagli esperti di cyber e intelligence del governo britannico Ian Levy, direttore tecnico del National Cyber Security Centre del Regno Unito, e Crispin Robinson, direttore tecnico della crittoanalisi presso il quartier generale delle comunicazioni del governo (GCHQ ), l’equivalente britannico della NSA.
Quel giornale pro-ficcanaso, scritto da Levy e Robinson e intitolato Considerazioni sulla sicurezza dei bambini sulle piattaforme di merciè stata citata lunedì dalla Commissaria europea per gli affari interni, Ylva Johansson, davanti alla commissione Libertà civili (LIBE) del Parlamento europeo in aiuto del regolamento UE sugli abusi sessuali sui minori (2022/0155), secondo Anderson.
L’occasione del dibattito è l’imminente scadenza del 3 agosto 2024 di una legge dell’UE che autorizza i fornitori di servizi online a rilevare e segnalare volontariamente la presenza di materiale pedopornografico nelle comunicazioni e nei file degli utenti. Senza regole sostitutive, i sostenitori del proposto regime di sicurezza dei bambini sostengono che i contenuti dannosi verranno ignorati.
Ma i gruppi per i diritti online sostengono che la legislazione contemplata causerebbe il proprio danno.
“La proposta di regolamento UE sugli abusi sessuali su minori è un disegno di legge che dovrebbe aiutare ad affrontare la diffusione di materiale pedopornografico”, ha affermato l’Iniziativa europea per i diritti digitali (EDRi), in risposta alla proposta di Johansson.
“Invece, costringerà i fornitori di tutte le nostre chat digitali, messaggi ed e-mail a sapere cosa stiamo digitando e condividere in ogni momento. Eliminerà la possibilità di anonimato da molti spazi online legittimi. E potrebbe anche richiedere software pericoloso per essere scaricato su ogni dispositivo digitale.”
Nel frattempo, il Regno Unito sta valutando la propria legge sulla sicurezza online, che immagina anche di aggirare la crittografia tramite la scansione lato dispositivo. Proposte simili, come la fattura EARN IT, continuano ad emergere negli Stati Uniti.
L’articolo di Levy e Robinson – esso stesso una risposta a un documento che si oppone alla scansione lato dispositivo di cui Anderson è stato coautore con altri 13 esperti di sicurezza nel 2021 – delinea i vari tipi di danni che i bambini possono incontrare online: immagine indecente peer-to-peer consensuale condivisione; condivisione di immagini virali; da trasgressore a trasgressore indecente condivisione di immagini/video; aggressore alla toelettatura della vittima; comunicazione da trasgressore a trasgressore; comunicazione di gruppo da trasgressore a trasgressore; e streaming di abusi di contatto su richiesta.
Anderson sostiene che questa tassonomia dei danni riflette gli interessi degli investigatori criminali piuttosto che il benessere dei bambini. “Dal punto di vista della protezione dell’infanzia e dei diritti dei bambini, dobbiamo considerare i danni effettivi e quindi le priorità pratiche per gli interventi di polizia e di assistenza sociale che possono ridurli al minimo”, afferma.
Anderson mette in discussione i dati utilizzati per alimentare l’indignazione dei media e la preoccupazione politica per i danni ai bambini. Citando i 102.842 rapporti del National Center for Missing and Exploited Children (NCMEC), l’organizzazione no-profit con sede negli Stati Uniti che coordina i rapporti sugli abusi sui minori da parte di aziende tecnologiche, alla National Crime Agency (NCA) del Regno Unito, stima che ciò abbia portato a 750 procedimenti giudiziari per le immagini indecenti, “ben meno del 3 per cento del totale del 2019 di 27.233 procedimenti per reati di immagine indecente, di cui 26.124 riguardavano immagini di bambini”. E il numero di tali procedimenti giudiziari ha raggiunto il picco nel 2016 e da allora è diminuito, dice.
“In breve, i dati non supportano le affermazioni di danni crescenti su larga scala avviati online e prevenibili mediante la scansione delle immagini”, afferma Anderson.
Il pericolo di fare affidamento su prove ambigue
Tuttavia, il vero danno è causato dai falsi positivi, osserva, indicando l’operazione Ore, una repressione degli abusi sui minori su Internet iniziata due decenni fa e che ha portato a false accuse.
Levy e Robinson propongono di “avere modelli linguistici in esecuzione interamente localmente sul cliente per rilevare la lingua associata alla toelettatura”. A loro piace questo approccio alla scansione CSAM sul dispositivo proposto da Apple (e successivamente accantonato, almeno per il momento) negli Stati Uniti. Sebbene riconoscano i problemi sollevati all’epoca – falsi positivi, missione creep, vulnerabilità alla manomissione – affermano: “Attraverso la nostra ricerca, non abbiamo trovato alcun motivo per cui le tecniche di scansione lato client non possano essere implementate in modo sicuro in molte delle situazioni che si incontrare.”
Anderson afferma che le forze dell’ordine molto tempo fa hanno smesso di scansionare le e-mail alla ricerca di parole chiave come “bomba” perché non funziona e perché l’analisi del traffico, per la quale non è richiesto l’accesso ai contenuti, è più efficace. E non si aspetta che i modelli di elaborazione del linguaggio naturale (NLP) funzionino meglio.
“L’uso dei moderni modelli di NLP per rilevare i discorsi illegali, che si tratti di adescamento sessuale, reclutamento di terroristi o incitamento all’odio, è altamente soggetto a errori”, afferma. “Il nostro gruppo di ricerca ha una lunga esperienza nella ricerca di estremismo politico online violento, nonché di frode e spam. Basandosi sul solo contenuto di testo, può essere difficile ottenere tassi di errore significativamente inferiori al 5-10%, a seconda della natura del materiale essere cercato”.
Con il 5% di falsi positivi, Anderson suggerisce che ciascuno degli 1,6 milioni di agenti di polizia europei avrebbe 625 allarmi su potenziali danni da affrontare quotidianamente, non esattamente uno scenario pratico. Questo non vuol dire che non ci siano opzioni, solo che le soluzioni tecniche che rompono la crittografia non sono adatte allo scopo.
In una e-mail a Il registroAnderson ha indicato che il settore privato ha mostrato interesse ad aiutare i governi a entrare nella scansione dei contenuti.
“C’è una società chiamata Thorn che sta facendo pressioni per il contratto di scansione e vorrebbe ottenere un mandato dal governo per l’installazione del suo software nei client di chat”, ha affermato.
“Gli operatori dei servizi di chat lo odirebbero, il che potrebbe essere un motivo per cui Apple ha prodotto il proprio software di scansione lato client che ha causato una tempesta l’anno scorso prima che parte di esso fosse ritirato. Ci sono anche alcune startup britanniche finanziate da GCHQ e Home Office per produrre prototipi.Forse questo sarebbe solo usato come mezzo per costringere Big Tech a fare il lavoro da soli.
“Tuttavia, il grande punto debole è il modo in cui Big Tech gestisce le segnalazioni degli utenti, che vanno da cattive (Facebook) a quasi per niente (Twitter). C’è un vero motivo per i governi di imporre prestazioni migliori qui, come stabilisce il documento e come Discuto anche nel mio articolo sul disegno di legge sulla sicurezza online del Regno Unito, uscito la scorsa settimana”.
Anderson nel suo documento sul controllo della chat suggerisce che gli attivisti per la sicurezza dei bambini e la privacy potrebbero essere una causa comune per far avanzare regole che obbligano i fornitori di servizi online a rimuovere i contenuti illegali quando vengono segnalati.
“Al momento, le aziende tecnologiche prestano attenzione alle richieste di rimozione della polizia e degli avvocati del copyright, poiché ignorarle può essere costoso, ma ignorano gli utenti ordinari, inclusi donne e bambini”, afferma. “Questo deve essere risolto, sia con sanzioni penali che con sanzioni pecuniarie significative”.
Le raccomandazioni di Anderson per affrontare gli abusi sui minori si concentrano su approcci tradizionali e complicati: polizia di qualità basata sulla comunità piuttosto che soluzioni rapide; impegno sociale; responsabilizzare i giovani; e il rispetto dei diritti umani.
“L’idea che problemi sociali complessi siano suscettibili di soluzioni tecniche a basso costo è il canto della sirena del venditore di software e ha attirato molti dipartimenti governativi creduloni sulle rocce”, dice Anderson. “Laddove i ministri acquistano l’idea di una ‘soluzione’ software magica, come l’industria ama chiamare i suoi prodotti, i risultati sono spesso deludenti e talvolta disastrosi”.
Oltre a ciò, Anderson afferma che la sorveglianza pervasiva, senza motivo, viola la legge sui diritti umani. “Lo stato di diritto deve avere la precedenza sulla ‘sicurezza nazionale'”, conclude. “Dobbiamo mantenere un vantaggio morale rispetto agli stati autoritari in competizione, non solo un vantaggio militare e tecnologico. La crittografia end-to-end deve quindi rimanere disponibile per ragioni morali”.
E, dice, la crittografia deve rimanere per validi motivi di sicurezza informatica, come precedentemente riconosciuto da Levy e Robinson, e lui e i suoi colleghi tecnici hanno sostenuto nel loro precedente articolo. ®