Meer dan tweehonderdvijftig wetenschappers en onderzoekers zijn, opnieuw, zeer kritisch voor de Europese plannen om encryptie te omzeilen in de strijd tegen beelden van seksueel kindermisbruik. Technisch onhaalbaar, gevaarlijk voor de maatschappij en nutteloos als oplossing.
Even terugspoelen: het Europees Parlement keurde het bewuste voorstel vorig jaar al af, maar eind 2023 dook er een nieuwe poging op. Dat voorstel schept een kader om service providers, in praktijk populaire berichtenapps zoals Whatsapp of Signal, te verplichten om CSAM (child sexual abuse material) te detecteren. Dat zou de facto neerkomen op het nutteloos maken van end-to-end-encryptie (E2EE) ook al wordt die niet letterlijk ondermijnd.
Vandaag ligt, onder het Belgisch voorzitterschap van de EU, een nieuwe tekst op tafel die twee wijzigingen doorvoert: er wordt gerichter onderzocht en encryptie wordt niet geschrapt. Maar de wetenschappers bekend met de technische materie vegen dat van tafel, net zoals dat vorig jaar gebeurde bij een eerdere versie.
‘Ze maken het ingewikkelder, maar in weze verandert er niets,’ vertelt professor cryptografie Bart Preneel (KU Leuven) aan Data News. In een uitgebreide open brief, momenteel ondertekend door 254 wetenschappers en onderzoekers, waarschuwen ze voor de risico’s en de nutteloosheid van de opzet.
Surveillance blijft
In het nieuwe voorstel mag er enkel gericht worden onderzocht. Dat wil zeggen dat enkel ‘users of interest’ worden gemarkeerd voor verder onderzoek naar beelden van kindermisbruik. In praktijk wil dat zeggen dat elk beeld of bericht dat je verstuurt door je toestel of de applicatie automatisch wordt gescand. Detecteert dat een gekend beeld van seksueel kindermisbruik twee keer, ben je gemarkeerd voor verder onderzoek. Gaat het om nieuw/onbekend materiaal dan is dat vanaf drie keer.
Maar dat neemt het risico op fouten niet weg, waarschuwt de brief. Ze halen het voorbeeld aan van een ouder die gevoelige foto’s naar een arts stuurt, of in de whatsapp-groep van de familie vakantiefoto’s deelt die door zo’n systeem foutief kunnen worden geïnterpreteerd. ‘Een vader die onschuldige foto’s van zijn kinderen verstuurt naar zijn partner gaat in dit systeem opduiken.’
‘Stel dat een dienst als Whatsapp 140 miljard berichten per dag verwerkt, en daarvan worden er 1 op 100 onderzocht door zo’n systeem, en 0,1 procent wordt als vals positief gemarkeerd, dan spreken we nog steeds over 1,4 miljoen fout gemarkeerde berichten per dag!’ merkt Preneel op. ‘Dit komt van mensen die statistiek niet begrijpen.’
Het voorstel wil dat enkel toepassen op zogenaamde hoogrisico-omgevingen. Ook dat is relatief. Zodra het gaat om geëncrypteerde private berichten van een populaire app, voldoet dat aan de omschrijving om een hoog risico te vormen. Diensten als Whatsapp, (privéberichten op) Instagram, Messenger of Telegram zouden daar sowieso onder vallen.
Tegelijk merken de wetenschappers op dat verspreiders van CSAM waarschijnlijk als eersten naar andere apps zullen overstappen die er (nog) niet onder vallen. Ook valt zo’n detectiesysteem niet te beperken tot bijvoorbeeld mensen gekend voor zedenfeiten. Mochten die een andere versie van een populaire app krijgen, dan is dat technisch te merken en zullen ze net sneller naar alternatieve apps gaan om hun activiteiten uit te voeren.
Encryptie enkel theoretisch overeind
Een ander punt is dat het voorstel end-to-end-encryptie niet schrapt en dat internetspelers niet verplicht zijn te decrypteren of die beveiliging te verzwakken, maar door client side scanning (CSS) wordt een boodschap wel gescand net voor het verzenden of vlak na het toekomen.
‘Dat is spelen met woorden,’ zegt Preneel daarover. ‘Iets encrypteren betekent dat niemand behalve verzender en ontvanger, dus zeker niet de overheid, de inhoud kan zien. Als de overheid kan meekijken vanop je toestel dan wordt encryptie nutteloos, voor de gebruiker is dat hetzelfde als het schrappen ervan.’
Veiligheid weg
Dat zo’n systemen vanuit Europa worden geïmplementeerd heeft nog een bijkomstig gevolg: dat ook minder democratische landen ze zullen willen. ‘Dictators zullen er grote fan van zijn. ‘We creëren functionaliteiten die bijzonder van pas komen in landen die dissidenten willen opsporen.’
Het zet volgens de experts een precedent voor internetfiltering en beperkt burgers in het beschermen van hun privacy. De brief merkt op dat vooral jongeren dat zullen ondervinden, gezien zij het meest op online diensten steunen voor hun sociale interacties. Tegelijk riskeert het ook de democratie te ondermijnen in landen waar die al fragiel is.
Tot slot is er volgens hen ook geen garantie dat client site scanning zelf geen veiligheidsproblemen veroorzaakt waardoor bijvoorbeeld criminelen vlot kunnen nagaan wat op populaire apps wordt verstuurd door individuen.
Technologie is onbetrouwbaar
Een ander punt van kritiek is dat het wetsvoorstel ook leeftijdsverificatie invoert, om onder meer grooming, waarbij misbruikers contact zoeken met minderjarigen, tegen te gaan. Ook daar zijn de ondertekenaars van oordeel dat er nog geen grondig bewezen technologische oplossing is om dat met zekerheid te doen, zonder de privacy van de persoon in kwestie te beschermen. Ook dat veilig integreren is een uitdaging, benadrukken ze.
Daarnaast hekelen ze dat de personen achter het voorstel sinds de vorige afkeuring een jaar geleden niet in gesprek zijn gegaan met experts om de veiligheids- en privacygevaren te begrijpen en te beseffen wat technisch wel haalbaar is.
Strijd tegen CSAM kan anders
In de brief benadrukken de wetenschappers expliciet dat ze de strijd tegen beelden van seksueel kindermisbruik steunen en vinden dat overheden, service providers en de maatschappij die problematiek moeten aanpakken.
Maar technologische oplossingen die enerzijds de privacy en veiligheid van de hele maatschappij in gevaar brengen, en anderzijds omzeilbaar zijn voor wie het echt wil, zijn niet de oplossing. Zo is het niet ondenkbaar dat iemand zijn telefoon van een licht aangepaste versie van Android voorziet, met een aangepaste versie van Whatsapp waar die detectie niet in verwerkt zit.
In plaats daarvan wijzen ze onder meer naar aanbevelingen van de VN, zoals meer voorlichting rond toestemming, normen en waarden, digitale geletterdheid, online veiligheid, seksuele voorlichting en hulplijnen voor traumagevoelige materie.
Ook technologiespelers kunnen daarin een rol spelen, door bijvoorbeeld bij bepaalde zoektermen specifieke info tonen om hen te helpen, of voor zo’n onderwerpen te focussen op kwalitatieve resultaten.
‘De politie mag hun werk doen, mag die mensen opsporen. Met de open brief zeggen we gewoon dat wat dit voorstel probeert, niet kan in een democratie, maar ook niet werkt. Daders gaan andere apps gebruiken, gaan technologie hacken, mogelijk worden anderen valselijk beschuldigd. Zo’n systeem moet je niet creëren, ingrijpen doe je op het terrein, niet door encryptie aan te vallen of client side scanning in te voeren.’
‘Sterker dan de NSA’
‘Dit is vergelijkbaar met de Belgische dataretentiewet (die al tien jaar wordt gestemd en later weer teruggeroepen en zo intussen aan haar derde versie zit, nvdr). Ook die was ongrondwettig. We begrijpen niet wat België hier aan het proberen is.’
Van de wet worden op dit moment regelmatig nieuwe versies gemaakt. De open brief is gebaseerd op de versie van 13 maart, maar volgens Preneel veranderen recente wijzigingen niets aan de opzet van het wetsvoorstel.
De professor cryptografie vreest dat de regels er uiteindelijk toch zullen komen en dat de strijd tegen kindermisbruik vooral dient om de deur te forceren, want politici zullen zich niet snel verzetten tegen de bestrijding hiervan. ‘Ik weet niet of de strijd tegen CSAM het eindpunt is, want nadien kan het ook worden gebruikt tegen terreur, tegen georganiseerde misdaad en zo kan het steeds verder gaan.’
De professor cryptografie maakt daarbij expliciet de vergelijking met de Amerikaanse NSA, waarvan in 2013 bekend werd dat ze vrijwel iedereen afluisterde via de grote internetbedrijven. ‘Overheden en politiediensten willen met dit soort wetgeving een controle over alle systemen, waarbij ze in real time in de cloud kunnen meekijken. Het is wat de NSA doet, maar nog straffer.’
Fout opgemerkt of meer nieuws? Meld het hier