Un controvertido impulso de los legisladores de la Unión Europea para exigir legalmente que las plataformas de mensajería escaneen las comunicaciones privadas de los ciudadanos en busca de material de abuso sexual infantil (CSAM) podría generar millones de falsos positivos por día, advirtieron cientos de expertos en seguridad y privacidad en un carta abierta Jueves.
La preocupación por la propuesta de la UE ha ido en aumento desde que la Comisión propuso el plan de escaneo de CSAM hace dos años, con expertos independientes, legisladores de todo el Parlamento Europeo e incluso el propio Supervisor de Protección de Datos del bloque entre los que hicieron sonar la alarma.
La propuesta de la UE no solo requeriría que las plataformas de mensajería que reciban una orden de detección de CSAM busquen conocido MASI; también tendrían que utilizar tecnologías de escaneo de detección no especificadas para tratar de detectar CSAM desconocido e identificar la actividad de preparación mientras se lleva a cabo, lo que lleva a acusaciones de que los legisladores se entregan a niveles de pensamiento mágico de tecnosolucionismo.
Los críticos argumentan que la propuesta pide lo tecnológicamente imposible y no logrará el objetivo declarado de proteger a los niños del abuso. En cambio, dicen, causará estragos en la seguridad de Internet y la privacidad de los usuarios de la web al obligar a las plataformas a implementar una vigilancia general de todos sus usuarios mediante el uso de tecnologías riesgosas y no probadas, como el escaneo del lado del cliente.
Los expertos dicen que no existe tecnología capaz de lograr lo que exige la ley sin causar mucho más daño que bien. Sin embargo, la UE sigue adelante a pesar de todo.
La última carta abierta aborda las enmiendas al proyecto de reglamento de escaneo CSAM propuesto recientemente por el Consejo Europeo que, según los firmantes, no aborda fallas fundamentales del plan.
Entre los firmantes de la carta (que en el momento de escribir este artículo eran 270) se encuentran cientos de académicos, incluidos conocidos expertos en seguridad como el profesor Bruce Schneier de la Escuela Kennedy de Harvard y el Dr. Matthew D. Green de la Universidad Johns Hopkins, junto con un puñado de investigadores que trabajan para empresas de tecnología como IBM, Intel y Microsoft.
Un anterior carta abierta (en julio pasado), firmada por 465 académicos, advirtió que las tecnologías de detección de las que depende la propuesta de legislación para obligar a las plataformas a adoptar son “profundamente defectuosas y vulnerables a los ataques”, y llevarían a un debilitamiento significativo de las protecciones vitales proporcionadas por los sistemas de extremo a extremo. finalizar las comunicaciones cifradas (E2EE).
Poca tracción para las contrapropuestas
El otoño pasado, los eurodiputados del Parlamento Europeo se unieron para contraatacar con un enfoque sustancialmente revisado, que limitaría el escaneo a individuos y grupos que ya son sospechosos de abuso sexual infantil; limitarlo a CSAM conocido y desconocido, eliminando el requisito de escanear en busca de preparación; y eliminar cualquier riesgo para E2EE limitándolo a plataformas que no estén cifradas de extremo a extremo. Pero el Consejo Europeo, el otro órgano colegislativo involucrado en la elaboración de leyes de la UE, aún tiene que tomar una posición sobre el asunto, y su posición influirá en la forma final de la ley.
La última enmienda sobre la mesa fue presentada por la presidencia belga del Consejo en marzo, que dirige los debates en nombre de los representantes de los gobiernos de los Estados miembros de la UE. Pero en la carta abierta los expertos advierten que esta propuesta aún no aborda los defectos fundamentales del enfoque de la Comisión, argumentando que las revisiones aún crear “capacidades sin precedentes para la vigilancia y el control de los usuarios de Internet” y “socavaría… garantizar un futuro digital para nuestra sociedad y puede tener enormes consecuencias para los procesos democráticos en Europa y más allá”.
Los ajustes que se debatirán en la propuesta modificada del Consejo incluyen una sugerencia de que las órdenes de detección pueden ser más específicas mediante la aplicación de categorización de riesgos y medidas de mitigación de riesgos; y la ciberseguridad y el cifrado pueden protegerse garantizando que las plataformas no estén obligadas a crear acceso a datos descifrados y examinando las tecnologías de detección. Pero los 270 expertos sugieren que esto equivale a juguetear con los límites de un desastre de seguridad y privacidad.
Desde un “punto de vista técnico, para ser eficaz, esta nueva propuesta también socavará completamente la seguridad de las comunicaciones y los sistemas”, advierten. Si bien confiar en una “tecnología de detección defectuosa” para determinar casos de interés a fin de enviar órdenes de detección más específicas no reducirá el riesgo de que la ley marque el comienzo de una era distópica de “vigilancia masiva” de los mensajes de los usuarios de la web, en su análisis.
La carta también aborda una propuesta del Consejo para limitar el riesgo de falsos positivos definiendo una “persona de interés” como un usuario que ya ha compartido CSAM o ha intentado preparar a un niño, lo que se prevé se hará mediante una evaluación automatizada; como esperar 1 acierto por CSAM conocido o 2 por CSAM/grooming desconocido antes de que el usuario sea detectado oficialmente como sospechoso y reportado al Centro de la UE, que se encargaría de los informes de CSAM.
Miles de millones de usuarios, millones de falsos positivos
Los expertos advierten que es probable que este enfoque dé lugar a un gran número de falsas alarmas.
“Es muy poco probable que el número de falsos positivos debido a errores de detección se reduzca significativamente a menos que el número de repeticiones sea tan grande que la detección deje de ser efectiva. Dada la gran cantidad de mensajes enviados en estas plataformas (del orden de miles de millones), se puede esperar una gran cantidad de falsas alarmas (del orden de millones)”, escriben, señalando que las plataformas probablemente terminarán abofeteadas. con una orden de detección puede tener millones o incluso miles de millones de usuarios, como WhatsApp, propiedad de Meta.
“Dado que no ha habido ninguna información pública sobre el rendimiento de los detectores que podrían usarse en la práctica, imaginemos que tendríamos un detector para CSAM y acicalamiento, como se indica en la propuesta, con solo una tasa de falsos positivos del 0,1%. (es decir, una de cada mil veces clasifica incorrectamente los no CSAM como CSAM), que es mucho más bajo que cualquier detector conocido actualmente.
“Teniendo en cuenta que los usuarios de WhatsApp envían 140 mil millones de mensajes por día, incluso si sólo 1 de cada cien fuera un mensaje probado por tales detectores, habría 1,4 millones de falsos positivos cada día. Para reducir los falsos positivos a cientos, estadísticamente habría que identificar al menos 5 repeticiones utilizando imágenes o detectores diferentes y estadísticamente independientes. Y esto es sólo para WhatsApp: si consideramos otras plataformas de mensajería, incluido el correo electrónico, la cantidad de repeticiones necesarias crecería significativamente hasta el punto de no reducir efectivamente las capacidades de intercambio de CSAM”.
Otra propuesta del Consejo para limitar las órdenes de detección a aplicaciones de mensajería consideradas de “alto riesgo” es una revisión inútil, en opinión de los firmantes, ya que argumentan que probablemente seguirá “afectando indiscriminadamente a un número masivo de personas”. Aquí señalan que para el intercambio de CSAM sólo se requieren funciones estándar, como compartir imágenes y chat de texto, funciones que son ampliamente respaldadas por muchos proveedores de servicios, lo que significa que una categorización de alto riesgo “sin duda afectará a muchos servicios”.
También señalan que la adopción de E2EE está aumentando, lo que, según sugieren, aumentará la probabilidad de que los servicios que lo implementen se clasifiquen como de alto riesgo. “Este número puede aumentar aún más con los requisitos de interoperabilidad introducidos por la Ley de Mercados Digitales que darán como resultado que los mensajes fluyan entre servicios de bajo y alto riesgo. Como resultado, casi todos los servicios podrían clasificarse como de alto riesgo”, argumentan. (NB: la interoperabilidad de mensajes es un elemento central de la DMA de la UE).
Una puerta trasera para la puerta trasera
En cuanto a salvaguardar el cifrado, la carta reitera el mensaje que los expertos en seguridad y privacidad han estado gritando repetidamente a los legisladores durante años: “La detección en servicios cifrados de extremo a extremo, por definición, socava la protección del cifrado”.
“La nueva propuesta tiene como uno de sus objetivos ‘proteger la ciberseguridad y los datos cifrados, manteniendo al mismo tiempo los servicios que utilizan cifrado de extremo a extremo dentro del alcance de las órdenes de detección’. Como hemos explicado antes, esto es un oxímoron”, subrayan. “La protección que brinda el cifrado de extremo a extremo implica que nadie más que el destinatario previsto de una comunicación debería poder obtener información sobre el contenido de dicha comunicación. Habilitar capacidades de detección, ya sea para datos cifrados o para datos antes de cifrarlos, viola la definición misma de confidencialidad proporcionada por el cifrado de extremo a extremo.”
En las últimas semanas, los jefes de policía de toda Europa han redactado su propia declaración conjunta, expresando su preocupación por la expansión de E2EE y pidiendo que las plataformas diseñen sus sistemas de seguridad de tal manera que aún puedan identificar actividades ilegales y enviar informes sobre el contenido de los mensajes a las autoridades. .
La intervención es ampliamente vista como un intento de presionar a los legisladores para que aprueben leyes como la regulación de escaneo CSAM.
Los jefes de policía niegan que estén pidiendo que el cifrado tenga una puerta trasera, pero no han explicado exactamente qué soluciones técnicas quieren que adopten las plataformas para permitir el buscado “acceso legal”. La cuadratura de ese círculo devuelve una pelota con forma muy torcida al campo de los legisladores.
Si la UE continúa por el camino actual (suponiendo que el Consejo no cambie de rumbo, como lo han instado los eurodiputados), las consecuencias serán “catastróficas”, advierten los firmantes de la carta. “Sienta un precedente para filtrar Internet e impide que las personas utilicen algunas de las pocas herramientas disponibles para proteger su derecho a una vida privada en el espacio digital; Tendrá un efecto paralizador, en particular para los adolescentes que dependen en gran medida de los servicios en línea para sus interacciones. Cambiará la forma en que se utilizan los servicios digitales en todo el mundo y es probable que afecte negativamente a las democracias en todo el mundo”.
Una fuente de la UE cercana al Consejo no pudo proporcionar información sobre las discusiones actuales entre los Estados miembros, pero señaló que hay una reunión del grupo de trabajo el 8 de mayo donde confirmaron que se discutirá la propuesta de una regulación para combatir el abuso sexual infantil.