Há quatro luzes: a lei EARN IT está de volta e ainda é matematicamente incoerente

A política é feita com base em compromissos e acordos. Uma vida na política ensina a arte da realização parcial. Quando a política esbarra em uma constante universal ou em uma verdade da matemática e da física, muitas vezes os políticos simplesmente não conseguem grocar que há coisas que não podem mudar, contra as quais não podem barganhar, que não podem mudar a base de sua verdade. Uma dessas coisas é a arma e o escudo mais poderosos do mundo na internet: a criptografia. O aparecimento contínuo do projeto de lei zumbi, o EARN IT Act demonstra repetidamente que os tecnólogos estão falhando em explicar e os formuladores de políticas estão falhando em entender que não existe criptografia parcialmente quebrada.

O EARN IT Act, um projeto de lei bipartidário destinado a penalizar as empresas por não espionar seus clientes quebrando sua criptografia de ponta a ponta, foi recentemente reintroduzido pela terceira vez várias semanas atrás. A lei, entre outras coisas, criaria uma exceção na Seção 230 da Lei de Decência nas Comunicações que exporia as empresas a responsabilidade legal adicional por hospedar material de abuso sexual infantil (CSAM). Isso parece uma boa coisa a se fazer, mas os incentivos para não realizar CSAM já existem na lei (e na moral). Segurar CSAM conscientemente já é como segurar um saco de fentanil; torná-lo ilegal extra-especial e duplo contra nossos corações não tem sentido. Já é muito ilegal para as empresas hospedar CSAM conscientemente, e muitas empresas atualmente tentam detectá-lo de forma proativa, respeitando a privacidade de seus usuários.

Mais sobre:

Cíber segurança

Privacidade

Os patrocinadores do projeto, no entanto, acham que os esforços atuais não são suficientes, em parte porque os métodos padrão de detecção de CSAM não funcionam em configurações criptografadas de ponta a ponta. Os autores do EARN IT Act disseram que o objetivo do ato é encorajar as empresas a aumentar consideravelmente a verificação de arquivos e comunicações dos usuários. A EARN IT força as empresas a espionar seus usuários, removendo as proteções da Seção 230 de empresas que, mesmo sem saber, hospedam material ilegal, e a criptografia faz parte dessa falta de conhecimento. Em segurança e tecnologia da informação, essa falta de conhecimento é uma coisa boa; é a privacidade de qualquer pessoa que usa serviços online para fazer qualquer coisa e, sem dúvida, é a razão do sucesso da internet moderna. Para atingir os objetivos da EARN IT (e evitar a exposição à responsabilidade) na prática, as empresas precisariam quebrar a criptografia e expandir consideravelmente a vigilância dos cidadãos americanos, ao mesmo tempo em que entregariam esse material sob demanda às autoridades legais dos EUA.

Se esse projeto de lei fosse direcionado a proprietários e inquilinos, seria o equivalente digital a exigir que os proprietários revistem constantemente as casas dos inquilinos sem saber e sem consentimento em busca de qualquer evidência de crimes sexuais infantis. Já é ilegal para os proprietários permitir crimes conscientemente - mas exigir que eles façam buscas repetidas nas casas de seus inquilinos para entregar provas torna-se angustiantemente distópico e os força a se tornarem agentes relutantes do estado, em vez de cidadãos ou empresas. (O que é inconstitucional, a propósito: se uma lei força um proprietário digital a ser um agente do estado, suas buscas sem mandado na casa online do inquilino violam a Quarta Emenda.) Continuando a metáfora do tijolo e argamassa, os autores de EARN IT querem que os proprietários substituam as fechaduras fortes dos inquilinos por outras que se abram sempre que alguém quiser bisbilhotar em busca de crimes sexuais infantis, haja ou não motivo para isso. E eles juram que a privacidade e a segurança desses inquilinos não serão significativamente afetadas.

Isso, é claro, é um absurdo. Não é matematicamente possível, como os legisladores exigem repetidamente, apenas quebrar um pouco a criptografia para pesquisar CSAM. Uma vez que a criptografia é quebrada, ela está completamente quebrada. Aqui está uma analogia para ilustrar. Lembra de 1984 de George Orwell? Há um momento em que Winston Smith vê O'Brien segurando quatro dedos e é informado de que, se ele disser apenas que há cinco dedos para cima, ele pode ser solto. Para aqueles de vocês que se lembram das incríveis atuações de Sir Patrick Stewart e David Warner em Star Trek: The Next Generation recontando a história de Orwell no brilhante episódio de duas partes Chain Of Command, o capitão Picard está sendo informado por seu captor cardassiano que ele deve digamos que há cinco luzes na sala, embora haja apenas quatro. E se O'Brien ou Gul Madred, nessa situação, estivessem dispostos a transigir, como o governo dos Estados Unidos costuma dizer que eles estão dispostos a fazer? Tudo o que Winston precisava fazer era dizer que havia 4,5 dedos para cima. A única coisa que Picard precisava fazer era dizer que havia 4,5 luzes. Isso é encontrar seus oponentes no meio do caminho, certo? Pode ser um compromisso, mas não é significativo nem verdadeiro. Não é fisicamente possível que haja 4,5 dedos para cima ou 4,5 luzes; existe ou não um dedo a mais ou uma luz a mais, e dizer qualquer outra coisa pode interromper a tortura, mas não a torna verdadeira. Não podemos dizer aos formuladores de políticas que é possível comprometer a criptografia, porque não há compromisso a ser feito. Está quebrado ou não. Existem quatro dedos. HÁ QUATRO LUZES. Dizer que há 5 porque é isso que um formulador de políticas quer ouvir, ou dizer que há 4,5 porque parece um compromisso, nos torna mentirosos sem resolver nenhum dos problemas subjacentes.