Abbiamo chiesto agli esperti cosa accadrebbe se tutto fosse crittografato

Mentre le crescenti ansie americane sul terrorismo si scontrano con la sua radicata sfiducia nell'autorità, il risultato è stato un dibattito sorprendentemente solido sulla crittografia e sui diritti digitali.

Varie forze dell'ordine hanno denunciato la forte crittografia che rende il Web "oscuro", vale a dire che ostacola la loro capacità di sfogliare Matrix senza ostacoli alla ricerca di cattivi e delle loro nefaste intenzioni. (In questo caso, "diventare oscuro" può sovrapporsi a - ma non dovrebbe essere considerato sinonimo di - "The Dark Web", che si riferisce al ventre occasionalmente squallido che vive all'interno della rete Tor).

Allo stesso tempo, le autorità stanno cercando di rafforzare i propri poteri di sorveglianza digitale, i sostenitori della privacy stanno spingendo per una maggiore crittografia predefinita al fine di proteggere le libertà civili degli utenti che sono spesso più che disposti a scambiare privacy per comodità.

A tal fine, i legislatori di tutti i livelli hanno proposto progetti di legge che limiteranno (o, in alcuni casi, il divieto assoluto) l'accesso del pubblico a cose come gli iPhone crittografati, mentre altri hanno proposto una legislazione che lo aumenterebbe. (E dovremmo notare che il conflitto politico sulla crittografia è stato piacevolmente illimitato dalle divisioni partigiane trincerate di oggi. Ci sono repubblicani e democratici su entrambi i lati della questione - probabilmente non durerà, ma questo dibattito politico non tribale è un bel dibattito cambio di passo.)

In molti modi, il dibattito sulla crittografia è molto particolare per questo preciso momento della storia tecnologica. Se le cose dovessero davvero "oscurarsi" su vasta scala, essenzialmente le autorità tornerebbero a un periodo precedente a Internet quando era più difficile curiosare a distanza. Nel frattempo, la protezione offerta dai telefoni crittografati sta rapidamente diventando tecnologicamente singolare mentre le agenzie di intelligence spostano la loro attenzione dal toccare gli smartphone a toccare le case intelligenti. Sì, la tua smart TV potrebbe starti prendendo in giro (che è tutt'altro che una fantasia paranoica).

Abbiamo parlato con diversi esperti di privacy digitale per un esperimento mentale su come dovrebbe apparire Internet se la crittografia forte e onnipresente fosse la regola anziché l'eccezione (e se ciò fosse possibile).

Se tutti i dispositivi e le comunicazioni fossero crittografati per impostazione predefinita, gli utenti riconoscerebbero una differenza nell'esperienza finale?

Amie Stepanovich, Responsabile delle politiche degli Stati Uniti, Accedi ora : Esistono diversi tipi di crittografia. C'è crittografia di transito e crittografia in archivio. Quando parli di crittografia di transito, ecco cosa ottieni quando vedi HTTPS: all'inizio di un URL. Molte aziende sono state lente nel passare a questo perché c'era una discussione sul fatto che fosse più lento o che avesse rotto le cose. Almeno l'argomentazione sul fatto che sia più lenta è caduta sul ciglio della strada.

Nel 2011, c'è stato un grande hacking di Gmail da parte della Cina. Al momento, Gmail non utilizzava la crittografia di transito. Dissero che era perché avrebbe rallentato le cose. E poi dopo l'hack della Cina, sono stati come "Oh, forse dovremmo metterlo a posto". E non ha davvero avuto alcun impatto sull'esperienza dell'utente. Le persone essenzialmente non avevano idea che il cambiamento fosse avvenuto, tranne per il fatto che erano molto più sicuri dall'altra parte.

Quando si tratta di forme più affidabili di crittografia, ci sono alcuni vantaggi in più da considerare. Ad esempio, la crittografia end-to-end non è sempre ricercabile e non è disponibile sui dispositivi in ​​cui non è installata una chiave. Quindi, ad esempio, non puoi controllare la posta elettronica su tutti i dispositivi. Dipende dall'implementazione e dal livello di sicurezza che stai cercando. Il più delle volte non li riconoscerai nemmeno.

La crittografia garantisce che tutti i tuoi dati rimangano privati?

AS: non è necessariamente la fine della storia… se memorizzi qualcosa nel cloud di Apple, Apple avrà accesso ad esso. Anche se tutti avevano un iPhone crittografato predefinito, non protegge i tuoi dati una volta sincronizzate le tue informazioni sul cloud.

La regola empirica è se si dispone di informazioni su un dispositivo e si rilascia quel dispositivo in una pozzanghera e muore, ma è ancora possibile accedere ai dati, i dati non sono completamente sicuri.

Molte persone attivano la sincronizzazione per comodità perché desiderano poter accedere ai propri dati su più dispositivi. L'idea che stiamo andando verso la crittografia onnipresente e tutti diventeranno oscuri è piuttosto disgustosa perché le persone hanno un motivo per non usare la sicurezza più forte: gli utenti potrebbero desiderare che Apple memorizzi le proprie informazioni sul proprio cloud perché vogliono eseguirne il backup e accedervi da molti luoghi, ma dovrebbero solo sapere che Apple avrà accesso a tali informazioni.

La crittografia nega le capacità di raccolta di informazioni rivelate da Edward Snowden come PRISM, che consente all'NSA di cercare le e-mail di chiunque semplicemente cercando il loro nome?

Peter Eckersley, capo informatico, Electronic Frontier Foundation : Purtroppo non siamo vicini ad avere alcun tipo di crittografia che protegga il contenuto della tua e-mail da un attacco simile al PRISM. Dobbiamo costruire queste cose, ma la forte crittografia che si sta discutendo in questo momento non lo fa. Forse ci stiamo arrivando con i messaggi di testo, ma non abbiamo ancora un modo per eseguire la crittografia e-mail end-to-end. Non pratico.

Servizi come Silent Circle o Whisper offrono la crittografia end-to-end, ma non sono ancora un sostituto pratico dell'e-mail. C'è una tecnologia chiamata PGP che esiste da un po ', ma non è ancora pratica per la posta elettronica per la maggior parte delle persone.

Ci sono alcune grandi differenze tecniche tra e-mail e messaggi di testo che rendono molto più difficile l'e-mail: le persone si aspettano di avere tutte le loro vecchie e-mail; si aspettano di essere in grado di cercare tutte le loro vecchie e-mail molto velocemente da un telefono anche se hanno 10 GB di messaggi che non possono archiviare localmente sul loro dispositivo. Le piattaforme di posta elettronica odierne dispongono di funzioni di filtro e priorità di spam molto sofisticate integrate in queste piattaforme di posta elettronica. Replicare tutte queste funzionalità in un sistema crittografato end-to-end è un problema irrisolto.

Nell'era dei supercomputer esiste persino la crittografia indistruttibile?

AS: Esistono attacchi di forza bruta che richiederebbero anni, fino a centinaia di milioni di anni, per accedere alle informazioni crittografate. Questo è il modo più difficile per ottenere l'accesso. In molti casi sarà impossibile. Ecco perché quando le persone vogliono avere accesso alle informazioni, siano esse hacker o governi, lo fanno in modo diverso.

Potrebbero incoraggiare l'uso di una vulnerabilità che possono rompere. Oppure potrebbero installare un malware che consente loro di accedere al tuo dispositivo, indipendentemente dal fatto che tu stia utilizzando o meno la crittografia predefinita, poiché sono sul tuo dispositivo e possono vedere le informazioni non crittografate.

Questo è quello che è successo in Kazakistan. Lì il governo ha richiesto ai cittadini di installare una vulnerabilità su mandato dei propri dispositivi. Quindi non importa quanta crittografia stai usando o come la stai usando: hanno posseduto i dispositivi. Tutti i computer e i telefoni dispongono di questo programma che presumibilmente consente di decrittografare le informazioni crittografate.

Le vulnerabilità e le backdoor sono sempre create con la conoscenza dei produttori?

AS: Possono essere inseriti con o senza le conoscenze del produttore… In un esempio, sappiamo che NSA e GCHQ hanno avuto accesso alle chiavi della carta SIM. In tal caso non abbiamo motivo di credere che il produttore sapesse che i tasti della scheda SIM erano stati compromessi, ma erano comunque compromessi. Quindi, ci sono molti modi diversi.

La creazione di una backdoor è in realtà molto più difficile con il software open source, motivo per cui molti tecnologi lo sostengono.

Un governo potrebbe addirittura vietare completamente la crittografia se lo desiderasse davvero? Sembra che qualcuno possa semplicemente progettarlo.

PE: Se l'FBI desidera creare nuove backdoor nei sistemi, ciò non influirà sui programmatori che creano il proprio software. Le autorità, tuttavia, potrebbero essere in grado di limitare i tipi di servizi che le grandi società possono fornire al pubblico americano.

Puoi installare tu stesso un potente software di crittografia, ma il governo potrebbe essere in grado di limitare la capacità di Apple o Google di fornirti questo in un prodotto conveniente che protegge te o la tua azienda.

La crittografia predefinita ostacolerebbe davvero le capacità dei governi di controllare le cose?

PE: la crittografia avanzata per impostazione predefinita sarebbe una grande vittoria. Un esempio di ciò che accade quando si dispone, ad esempio, di una versione crittografata avanzata di Wikipedia è che i governi non possono censurare particolari articoli di Wikipedia. Abbiamo visto molti governi in tutto il mondo che vogliono autorizzare Wikipedia, ma vogliono bloccare particolari articoli che in realtà non gli piacciono. Avere una crittografia forte significa che una connessione a Wikipedia non può essere facilmente distinta da qualsiasi altra connessione, quindi il governo deve consentire alle persone di leggere liberamente.

Abbiamo combattuto per aumentare l'uso della crittografia di transito per decenni. E abbiamo fatto enormi progressi. Ma sappiamo che sfortunatamente una volta che hai implementato questa crittografia, ci sono ancora molte cose che possono andare storte se vieni attaccato da un hacker o da un'agenzia di intelligence. Questi includono malware che si verificano sul tuo computer o violazioni dei dati sul lato server delle cose. Quindi hai una connessione crittografata sicura a un sito Web, ma poi il database che il sito Web ha violato separatamente quindi tutti i dati che hai inserito sono vulnerabili.

Esiste una tecnica chiamata "analisi del traffico" in cui invece di leggere il contenuto delle comunicazioni che il tuo computer sta inviando, le persone sorvegliano il modello all'interno di quelle comunicazioni. E sfortunatamente c'è una quantità enorme che può essere appresa da quel tipo di analisi dei dati e metadati. Quindi siamo solo all'inizio di una lunga lotta per proteggere gli utenti di Internet e Internet da questi problemi. Puoi essere certo che fino a quando non avremo successo, cattivi, che siano hacker o governi, useranno queste tecniche contro di noi.

Qual è esattamente il problema con i governi che hanno la possibilità di passare attraverso una backdoor per sfogliare le informazioni crittografate su un dispositivo dato che affrontano le giuste sfide legali?

AS: Quando le persone dicono backdoor e vulnerabilità, è una scorciatoia per diversi approcci che il governo potrebbe adottare e aver adottato per mantenere il proprio accesso ai dati.

Un metodo è quando il governo consente a un'azienda di implementare un qualche tipo di crittografia, ma insiste sul fatto che ha una sorta di vulnerabilità o difetto che consente loro di entrare.

Il problema è che non puoi avere un difetto che non può essere sfruttato da tutti. Una volta che c'è un buco lì, chiunque può curiosare e cercare quel buco… queste cose alla fine sono state capite. Forse non subito, ma alla fine lo saranno. Verranno fatti irrompere e verranno maltrattati dai cattivi.

Le interviste sono state condotte separatamente per telefono e Skype e le risposte sono state modificate per brevità e chiarezza .