比赚取IT更糟糕的反加密账单

主页»博客»现在有一项比赚取IT更糟糕的反加密法案。这并不意味着赚取IT账单是可以的。

6月23日(星期二)，参议员格雷厄姆(R-SC)、科顿(R-AR)和布莱克本(R-TN)提出了一项法案，这是对美国加密的全面核攻击。您可以在这里找到账单文本。它已经作为参议院法案4051正式提出，你可以在这里追踪。(到目前为止，对该法案的其他反应是：EFF、Techash。)。

这项法案被称为“2020年加密数据合法访问法案”(首字母缩写：LAED，我的手指每次都不会把它误打成Lead)，它是一项实际的、公开的、不会出错的、明确的禁令，禁止提供商在在线服务中提供端到端加密，禁止提供无法解锁的加密设备供执法人员使用，甚至禁止提供任何不包含用于执法的数据解密手段的加密。

新法案适用于操作系统和应用程序、消息传递、聊天和社交媒体平台以及电子邮件、云存储和视频会议、智能手机、笔记本电脑、台式机和Xbox，可能还有投票机和物联网设备-基本上任何存储容量仅为1 GB的电子设备。它不仅仅针对苹果、谷歌、Facebook、Signal等公司，尽管它肯定适用于它们；它远远超出了范围，包括从Box和Dropbox，到微软的全系列产品，再到OEM手机制造商。

这项法案是我们一直担心即将到来的加密后门命令，但在过去六年的新一轮加密战争中，没有人敢提出这一要求。那么这三位参议员最后还是去了。

我还在努力消化这份长达50多页的法案，所以这是我对它的初步印象。对此持保留态度。

该法案的措辞毫不含糊：跨越各种设备和信息服务的提供商，必须在设计中加入解密数据并以可理解的形式提供数据的能力。这适用于拥有100多万美国用户的提供商。这既适用于存储的数据(无论是本地存储在设备上还是远程存储)，也适用于移动数据(即传输中的通信)。对于前者的提供商来说，如果他们在美国每年、2016年或此后的任何一年拥有100万或更多的用户，或者销售100万或更多的设备，他们就会被纳入保险范围。对于后者的提供商，门槛是2016年1月或之后的任何一个月在美国的100万月度活跃用户(MAU)。供应商将承担主动重新设计的费用，他们不会得到政府的补偿。

强制提供商设计可解密性的要点是，当/如果他们收到某人(即您的)数据或设备的搜查令或其他法院命令，他们将能够解密并以易读的形式交出相关数据。这一过程的运作方式是，对于存储的数据(远程或本地设备)，执法部门将在法官面前申请法院命令，要求提供商提供技术援助(他们可以在申请搜查令的同时，也可以在获得搜查令后)。如果执法部门能够证明“合理理由相信”协助“将有助于执行手令”，那么法官必须发出技术援助令；只要她发现申请人已经提出“合理理由”，她就没有拒绝申请的酌处权。

对于移动中的数据，该法案考虑发布技术援助命令，以执行与搜查令不同类型的法院命令。搜查令适用于存储的数据；对于移动中的数据，我们谈论的是根据联邦窃听法案对窃听通信(如电话、短信或电子邮件交谈)的命令，以及根据联邦笔注册法案对通信元数据进行监控的命令。这两部法规都已经包含了向提供者发布技术援助命令的规定，以帮助执法部门实施窃听或笔登记/陷阱和跟踪设备。(窃听拦截通信内容；PR/TT设备捕获元数据。对于前者，请考虑电子邮件或文本消息的正文；对于后者，请考虑电子邮件标题或您收发文本的电话号码。)。该法案修订了这些法规，明确规定技术援助命令应包括对捕获的数据进行解密。根据现有的法定语言，“笔录”和“窃听法案”下的这些技术援助命令已经“不得发布”(只要出示了必要的证据，法官就没有裁量权)。

对于所有这些技术援助订单(存储的数据和移动的数据)，都有一个限制：接收订单的提供商必须解密，“除非独立实体的独立操作使其在技术上不可能这样做”-也就是说，除非数据是由其他人加密的，而不是由提供商加密的。

那么，如果该法案获得通过，这将意味着什么？Facebook将不再被允许回应他们缺乏解密WhatsApp消息的能力；苹果将不再被允许说他们没有能力解锁iPhone。如果这项法案获得通过，他们将不得不重新设计这些产品，以便能够解密。更重要的是，Mozilla和Cloudflare也要小心：格雷厄姆参议员没有忘记HTTPS和基于HTTPS的DNS。关于加密的争论几乎完全围绕锁定设备和E2EE消息应用程序展开。加密元数据很少被美国执法部门作为一个问题提出。然而，该法案的可解密性要求也适用于元数据，在“笔注册法令”下的技术援助命令的背景下。

如果提供商还没有设计解密功能怎么办？在这种情况下，司法部长可以简单地命令它建造一个，使用所谓的“援助能力指令”。(如果AG已经具备该功能，则AG可以使用该指令命令其进行维护。)。这并不局限于百万以上的俱乐部；任何提供者都可以得到这样的指令。也就是说，“大”提供商必须主动设计可解密性，而美国用户不到100万的“小人物”最好做好准备。(但与主动重新设计不同的是，提供商确实会因响应通知而开发功能的成本得到补偿，所以至少他们已经做到了这一点。)。服务提供方可以在法庭上对指令提出质疑，但如果法院支持指令(全部或部分)并命令服务提供方遵守，那么服务提供方拒绝遵守命令将构成藐视法庭。

为了创建解密能力，允许提供商将工作外包给承包商，但承包商必须是总部设在美国的。(对不起，凯尔布利特人。)。

顺便说一句，所有这些关于搜查令、笔录和窃听的东西都是法案中与国内执法监视有关的部分。根据“外国情报监视法案”，这种强制解密的整个制度也适用于电子监视。这是一项国家安全法案，而不仅仅是一项国内监控借壳法案。不过，我要承认，我对FISA一无所知，所以我要等一个比我更了解FISA的人来解释这项法案对FISA监视的影响。但乍一看，它似乎比国内条款走得更远。更可怕的是。

哦，由于我们必须将包括您的隐私在内的一切都玩弄于股掌之间，该法案还包括一项有奖竞赛，“以激励和鼓励研究和创新解决方案，根据法律程序为执法部门提供加密数据的访问权限。”该奖项可以(但不必)颁发给“根据法律程序向执法部门提供加密数据访问权限的技术解决方案”。为什么？何必费事呢？这个奖项只有在目前的环境下才有意义，在这个环境中，没有后门授权，美国司法部多年来一直抱怨没有足够多的学者通过试图拿出一把安全的金后门钥匙来为司法部做工作。如果您通过一项法律，强制提供商想出一种合法的访问机制，同时禁止政府

该法案读起来就像是CALEA、参议员伯尔和范斯坦2016年的“遵守法院命令法案”(没有取得任何进展)，以及澳大利亚的2018年“援助和准入法案”(确实获得通过)的邪恶组合。“援助能力指令”条款似乎是以澳大利亚法律的“技术能力通知”和“技术援助通知”为蓝本，而后者又是以英国2016年的“调查权法案”为蓝本。正如我担心的那样，澳大利亚和英国是倒下的多米诺骨牌，他们的五只眼睛盟友美国。美国参议院可以举出澳大利亚和英国作为证据，证明民主国家严格限制人们私下交流和保护数据的能力是可以接受的。

与2016年的伯尔/范斯坦法案相比，这项法案在范围上与澳大利亚法律的共同点也更多。CCOA法案仅适用于设备。但那是2016年，一个更无辜的时代；我们现在是2020年。如果这项法案在18个月前出台，它是否会像针对智能手机一样针对即时通讯应用程序，这是值得怀疑的。然而，从去年开始，美国的加密辩论从设备扩展到也包括E2EE消息传递。这两个都是12月参议院司法委员会听证会的主题，在听证会上，新法案的发起人威胁要提出他们现在提出的立法。(尽管如此，我仍然感到好奇的是，至少到目前为止，CCOA的两个发起人都没有发起这项新法案。)。

虽然它们主要让我想起澳大利亚和英国的法律，但这些指令确实与CALEA有一些共同之处，CALEA要求电信公司使其网络可窃听，但不让政府确切地告诉他们如何做到这一点。同样，在这里，使用辅助功能指令，AG可以发布指令，但不能确切地告诉提供者如何构建功能。有趣的是，这意味着这项新法案将不会允许2016年圣贝纳迪诺的“苹果诉联邦调查局”(Apple vs.FBI)命令向苹果公司下达命令，如果该命令没有被法院撤销，该命令将确切地阐明苹果公司应该做些什么，以帮助FBI进入那部手机。根据这项新法案，这一顺序仍然是禁止的，就像根据所有令状法案(All Writs Act)是禁止的一样，新法案显然是为了在强制提供商解密数据和设备的背景下取代该法案。

关于去年12月的那次SJC听证会：我当时评论说，听起来执法部门提出不寻求对E2EE的监管，并将满足于设备加密的后门授权。这种分裂也是卡内基基金会(Carnegie Endowment)去年9月的报告所建议的，也是听证会前几个月的建议。在听证会本身，证人马特·泰特(Matt Tait)建议，在监管设备的同时不传输数据，他尽最大努力警告委员会不要采取后者。我似乎还记得，Facebook的证人(即加密消息)正是在这一点上将苹果的证人(即加密设备)推到了公交车下。(虽然它太快了，很容易错过。也许我是在胡思乱想。)。那是他们和他们的上帝之间的事。

在去年12月那篇关于听证会的帖子中，我当时评论说，我一刻也不相信执法部门或国会会满足于只监管设备的加密，而不是传输中的数据。现在我们来了：正如我所预测的那样，在听证会上盘问证人的参议员们提出了一项法案，要求对设备和信息进行后门操作。他们甚至没有等到像我认为的那样，把授权分成两个单独的法案推出；他们只是一次就把两个借壳授权都放进去了。#Porque no Los dos？

司法部拒绝接受半途而废的做法，这一点也就不足为奇了。律政司对这项新法案感到高兴。不出所料，他们竭尽全力。正如我在12月份的那篇帖子中解释的那样，CALEA也是一种妥协，自那以后，联邦执法机构一直在违背这一妥协。他们永远不会满足于任何东西，除非他们完全可以访问每个人的通信和设备。我做这项工作还不到五年，在这场持续了四分之一个世纪的辩论中，就连我也没有天真和妄想到认为联邦调查局和国会会满足于只会搞砸设备的加密，因为他们也可以搞砸传输中的数据。

然而，“合法访问加密数据”听起来并不那么极端，不是吗？提供商只有在获得根据搜查令发出的法庭命令的情况下才需要解密数据，对吗？他们甚至可以在法庭上对这一命令提出上诉。看起来很合理。在接下来的几天和几周里，我们肯定会听到关于这项法案的口号是“这项法案允许特殊的访问，而且只有在搜查令的情况下”。但别搞错了：这是一项涉及面很广的法案。“E

即使没有搜查令，解密在技术上也是可能的。这会招致滥用。我们会看到伪造的法庭命令和伪造的逮捕令。这将由供应商来验证订单是否合法。这只是在美国境内。如果提供商必须内置解密能力来满足美国法律，那么地球上其他所有政府都会立即要求这种能力。这包括那些不太友善的人，他们甚至不假装遵守法治，美国仍然以某种方式板着脸说出这一点。此外，任何与美国达成云法案协议的国家都将能够利用提供商遵守这项法案的优势。如果澳大利亚或英国还没有让提供商根据我上面提到的法律建立解密能力，现在美国会为他们做这件事。除了那些可能拥有独立司法和法院命令的民主国家，就像我们这样，敲响提供者大门的其他政府将是中国、俄罗斯和巴林，挑起你们的毒药。

如果美国提供商被法律强迫后门加密，这将不仅仅是结束美国人的电子隐私和安全。使用相同产品和服务的其他国家的无辜用户也将受到伤害。WhatsApp在180个国家拥有15亿用户。如果美国迫使Facebook借壳WhatsApp，这将影响到地球上大约20%的总人口。

最后，即使这项法案获得通过，即使它对数十亿人的隐私和安全产生影响，也不会抓住每一个罪犯。密码猫泄露了秘密。加密技术已经问世。

在美国通过一项法律并不能阻止犯罪分子和恐怖分子寻找其他方法来加密他们的数据和通信。基地组织推出了自己的加密信息软件。开发团队不会对美国法院的命令做出回应。更重要的是，大多数提供加密产品的实体都位于美国境外，不在国会的管辖范围内。预计这些公司也会对美国执法部门的法律程序嗤之以鼻。(当然，除非他们的国家与美国达成了云法案协议。那么，动机就是将总部转移到一个没有这样做的国家。)。

最后，开放源码项目呢？在那种情况下，你会给谁下达法庭命令呢？该法案措辞如此宽泛，以至于我认为它可能适用于开源项目的个人贡献者，比如Linux内核，但我不确定，我不想吓到每个人。即使如此，即使法案真的那么广泛，而且FBI确实吓坏了一些个人贡献者，让他们编写后门代码，这些代码又怎么能通过所有的内部审查和制衡，进入实际的部署呢？

像这样的法案似乎完全是疯了，他们完全拒绝承认这样一个现实，即不可能把密码精灵放回瓶子里。但是，尽管所有关于抓捕罪犯和恐怖分子的言论都很激烈，但该法案的发起人和支持该法案的执法机构非常清楚，该法案不会抓住所有人。它只会剥夺加密为iPhone、iMessage、WhatsApp等绝大多数普通普通用户提供的强大隐私和安全保证。如果你借壳大多数普通人使用的加密，这意味着你也借壳加密。

..