Hvorfor EUs interoperabilitetskrav truer krypteringssikkerheten

En ny lov i EU vil kreve at Big Tech-selskaper redesigner meldingsappene sine for å fungere sømløst med alle andre på markedet.

I teorien vil loven gjøre det lettere å chatte med venner og familie, enten de bruker iMessage, WhatsApp eller Signal. Imidlertid kan denne tvungne interoperabiliteten i nettverk forårsake betydelige sikkerhetsproblemer.

Hva er kryptering i meldinger og hvorfor er det viktig?

De fleste meldingene du sender ved hjelp av en meldingsapp vil være ukrypterte. Dette betyr at tredjeparter kan lese dem mens de reiser mellom telefonen din og personen du skriver til.

Hvis du vil holde innholdet i meldingene hemmelig, må du bruke en app som tilbyr ende-til-ende (eller E2E) kryptering. Dette skaper en slags sikker kommunikasjon som sikrer bare du og samtalepartnerne dine kan lese det dere sender hverandre.

End-to-end-kryptering sikrer at alle meldingene du og samtalepartneren din sender forblir sikre mens du reiser mellom telefonene dine, og beskytter dem mot å bli lest eller modifisert av tredjeparter. Disse tredjepartene inkluderer internettleverandører, telefonselskaper og til og med selve meldingsappen.

Som et resultat kan ikke appens utviklingsteam overlevere meldingene dine til annonsører, rettshåndhevelse eller noen andre som måtte ønske å lese dem. Denne krypteringen forhindrer også tredjeparter i å endre meldinger under overføring.

De fleste store meldingsappene tilbyr en slags kryptering. De spesifikke krypteringsfunksjonene som tilbys kan imidlertid variere fra app til app.

Hvordan Digital Markets Act kan true kryptering

24. mars 2022 kunngjorde EUs styrende organer at de hadde oppnådd en avtale om ny lovgivning for å styre Big Tech i Europa. Det kalles Lov om digitale markeder (eller DMA). En av de viktigste endringene i den nye loven er kravet om at alle store teknologiselskaper skal lage produkter som er interoperable med mindre plattformer.

Dette betyr at alle meldingsapper fra Big Tech-selskaper må kunne sende meldinger, utveksle filer og foreta videosamtaler med alle andre meldingsapper, noe som er bra på mange måter. Interoperabilitet betyr at store teknologiselskaper som Meta, Google og Apple må vurdere mindre når de lager nye apper eller plattformer.

I 2021, Meta opplevde et globalt avbrudd da Border Gateway Protocol (BGP) hadde en konfigurasjonsfeil, og forlot alle eiendelene offline i over 6 timer. Når selskaper som Meta gjør feil, kan milliarder av brukere føle virkningen.

Størrelsen på disse virksomhetene kan imidlertid isolere dem fra konsekvensene av selv store feiltrinn. Krav til interoperabilitet kan holde Big Tech ansvarlig overfor forbrukere og teknologiverdenen for øvrig.

I tillegg kan Digital Markets Acts interoperabilitetskrav skape problemer for apper som tilbyr E2E-kryptering.

Hvorfor interoperabilitet kan gjøre kryptering vanskeligere å implementere

Meldingsapper implementerer kryptering på forskjellige måter eller bruker forskjellige krypteringsstandarder. Dessverre er det nesten umulig å få alle disse strategiene til å fungere sammen.

Apputviklere må inngå kompromisser for å sikre interoperabilitet. En "laveste fellesnevner"-tilnærming kan dukke opp, der apper implementerer det enkleste krypteringssystemet som mulig. Tenk deg for eksempel en meldingsapp som støtter kryptering for gruppechatter, men en annen som bare gjør det for en-til-en-samtaler.

Full interoperabilitet kan bety at utviklere velger å implementere det enkleste systemet som vil fungere med andre apper på markedet. Dette vil sannsynligvis kreve at de dropper mer komplekse funksjoner, som kryptering av gruppechat.

I praksis kan dette gjøre brukerne mye mer sårbare. Mindre sofistikerte krypteringssystemer kan være lettere å beseire eller ikke gi fullstendig beskyttelse mot snoking av tredjeparter.

Apputviklere kan også lage nye standarder som lar dem gjøre det harmonisere deres krypteringspraksis. For eksempel er Secure Communications Interoperability Protocol (SCIP) en amerikansk standard for sikker tale- og datakommunikasjon. En lignende standard for E2E meldingskryptering kan hjelpe utviklere med å sikre interoperabilitet uten å ofre funksjonalitet.

Noen populære meldingsapper—som Signal– er små nok til at DMA-kravene ikke vil påvirke dem. Dette er imidlertid ikke sant for toppplattformer som WhatsApp, som bruker signalprotokollen for kryptering. DMA kan bety at WhatsApps krypteringsfunksjoner vil bli svekket eller fjernet helt, noe som gjør det vanskeligere for brukere å holde kommunikasjonen privat.

Interoperabilitetskrav kan svekke kryptering

Det er fordeler med interoperabilitetskrav, som de i den nye EU-loven om digitale markeder. Men å kreve det kan også oppmuntre utviklere til å svekke appkrypteringsfunksjonene.

Om kort tid kan det hende at brukere må bytte til apper utviklet av ikke-Big Tech-selskaper hvis de vil ha best mulig krypteringsteknologi.

Hva betyr kryptert og er dataene mine sikre?

Les Neste

Om forfatteren