Több száz biztonsági és adatvédelmi szakértő figyelmeztetett nyílt levélben, hogy az Európai Unió jogalkotóinak javaslata, amely előírná az üzenetküldő platformoknak, hogy átkutassák a polgárok magánjellegű kommunikációját gyermekekkel kapcsolatos szexuális visszaélésekkel kapcsolatos anyagok után, naponta több millió téves pozitív eredményhez vezethet.

Az uniós javaslattal kapcsolatos aggodalmak azóta erősödtek, hogy a Bizottság két évvel ezelőtt javaslatot tett egy CSAM (Child Sexual Abuse Material) ellenőrzési tervre - a riadót többek között független szakértők, az Európai Parlament törvényhozói és még a szervezet saját adatvédelmi biztosa is megkongatta. Az uniós javaslat nem csupán azt írná elő, hogy az üzenetküldő platformoknak gyerekekkel kapcsolatos szexuális tartalmak után kell vizsgálódniuk, hanem azt is, hogy nem részletezett felderítési technológiákat kell alkalmazniuk, hogy megpróbálják kiszűrni az összes ilyen anyagot és azonosítani az un. grooming tevékenységet. A grooming során az elkövető módszeresen, érzelmi és bizalmi kapcsolatot kialakítva behálóz egy gyereket vagy fiatalt szexuális kizsákmányolás és visszaélés céljából.

Kritikusok szerint a javaslat technológiailag lehetetlent kér, és nem fogja elérni a gyermekek visszaélésektől való védelmének kitűzött célját. Ehelyett szerintük rombolni fogja az internet biztonságát és a webes felhasználók magánéletét, mivel arra kényszeríti a platformokat, hogy kockázatos, nem bizonyított technológiák - például kliensoldali szkennelés - alkalmazásával valamennyi felhasználójukat átfogóan megfigyeljék. Szakértők szerint nincs olyan technológia, amely képes lenne elérni a törvény által előírtakat anélkül, hogy ne okozna sokkal több kárt, mint hasznot. Az EU ennek ellenére folytatja a munkát.

A legutóbbi nyílt levél az Európai Tanács által nemrégiben javasolt CSAM-ellenőrzési rendelettervezet módosításait célozza, amely az aláírók szerint nem foglalkozik a terv alapvető hibáival. A levél aláírói között több száz akadémikus van, köztük olyan ismert biztonsági szakértők, mint Bruce Schneier, a Harvard Kennedy School professzora és Dr. Matthew D. Green, a Johns Hopkins Egyetem professzora, valamint néhány kutató, akik olyan technológiai vállalatoknál dolgoznak, mint az IBM, az Intel és a Microsoft. Egy korábbi nyílt levél (tavaly júliusban), amelyet 465 akadémikus írt alá, arra figyelmeztetett, hogy a jogszabályjavaslat által a platformok bevezetésére kényszerített észlelési technológiák „alapvetően hibásak és támadhatóak”, és a végponttól végpontig titkosított (E2EE) kommunikáció által nyújtott létfontosságú védelem jelentős gyengüléséhez vezetnének.

Tavaly ősszel az Európai Parlament képviselői összefogtak, és egy jelentősen módosított megközelítéssel léptek elő, amely a gyermekek szexuális zaklatásával már gyanúsított személyekre és csoportokra korlátozná a vizsgálatot, továbbá a kutatást csak a CSAM-okra korlátozná, megszüntetve a groomingra vonatkozó vizsgálat követelményét. Az E2EE-t fenyegető kockázatokat azáltal szüntetné meg, hogy a nem végponttól végpontig titkosított platformokra korlátozná. Az Európai Tanács, az uniós jogalkotásban részt vevő másik társjogalkotó testület azonban még nem foglalt állást a kérdésben, és az, hogy hogy foglal állást befolyásolni fogja a jogszabály végső formáját.


A legutóbbi módosító indítványt a Tanács belga elnöksége terjesztette elő márciusban, amely az uniós tagállamok kormányainak képviselői nevében vezeti a megbeszéléseket. A nyílt levélben a szakértők azonban arra figyelmeztetnek, hogy ez a javaslat még mindig nem kezeli a bizottsági megközelítésbe beépített alapvető hibákat, és arra hivatkoznak, hogy a módosítások továbbra is „példátlan lehetőségeket teremtenek az internetfelhasználók felügyeletére és ellenőrzésére”, és „aláásnák társadalmunk biztonságos digitális jövőjét, és óriási következményekkel járhatnak a demokratikus folyamatokra Európában és azon túl”.

A módosított tanácsi javaslatban megvitatásra kerülő módosítások között szerepel az a javaslat, hogy a felderítési utasítások célzottabbak lehetnek a kockázati kategorizálás és kockázatcsökkentő intézkedések alkalmazásával; a kiberbiztonság és a titkosítás pedig védhető azáltal, hogy a platformok nem kötelesek hozzáférést biztosítani a dekódolt adatokhoz, és hogy a felderítési technológiákat átvilágítják. A szakértők szerint azonban mindez a biztonsági és adatvédelmi katasztrófa szélén való babrálást jelenti. Figyelmeztetnek, hogy „technikai szempontból ez az új javaslat, hogy hatékony legyen, teljesen aláássa a kommunikáció és a rendszerek biztonságát”. Elemzésük szerint az, hogy "hibás felderítési technológiára” támaszkodva határozzák meg az érdeklődésre számot tartó eseteket annak érdekében, hogy célzottabb felderítési parancsokat lehessen küldeni, nem csökkenti annak kockázatát, hogy a törvény a webfelhasználók üzeneteinek „tömeges megfigyelésének” disztópikus korszakát indítja el.

A levél kitér a Tanács azon javaslatára is, amely a hamis pozitív eredmények kockázatának csökkentésére irányul, és a „gyanús személy” fogalmát olyan felhasználóként határozza meg, akik már megosztottak CSAM-okat vagy megkíséreltek gyermekekkel kapcsolatot létesíteni. A tervek szerint ez egy automatizált értékeléssel történne, például az ismert CSAM-ok esetében 1 találatot, ismeretlen CSAM-ok esetében pedig 2 találatot kellene várni, mielőtt a felhasználót hivatalosan gyanúsítottként azonosítják és jelentik az EU Központnak, amely a CSAM-jelentéseket kezelné. A szakértők arra figyelmeztetnek, hogy ez a megközelítés még mindig nagy valószínűséggel rengeteg téves riasztást eredményez.

„Az észlelési hibákból adódó téves riasztások száma nagy valószínűséggel nem csökkenthető jelentősen, hacsak az ismétlések száma nem lesz olyan nagy, hogy az észlelés már nem lesz hatékony. Tekintettel az ezeken a platformokon küldött üzenetek nagy mennyiségére (milliárdos nagyságrendben), nagyon nagy mennyiségű hamis riasztásra lehet számítani (milliós nagyságrendben)” - írják, rámutatva, hogy a valószínűleg felderítési végzéssel sújtott platformok akár több milliárd felhasználóval rendelkezhetnek, mint például a Meta tulajdonában lévő WhatsApp.

"Tekintettel arra, hogy a gyakorlatban használható detektorok teljesítményéről nincs nyilvános információ, képzeljük el, hogy a javaslatban szereplő CSAM és grooming detektorunk mindössze 0,1%-os hamis pozitív arányt mutat - azaz ezerből egy alkalommal tévesen CSAM-nak minősíti a nem CSAM-ot -, ami sokkal alacsonyabb, mint bármely jelenleg ismert detektoré. Mivel a WhatsApp-felhasználók naponta 140 milliárd üzenetet küldenek, még ha százból csak 1 lenne az ilyen detektorok által vizsgált üzenet, akkor is 1,4 millió téves pozitív eredmény lenne minden egyes nap. Ahhoz, hogy a hamis pozitívumok száma százas nagyságrendűre csökkenjen, statisztikailag legalább 5 ismétlést kellene azonosítani különböző, statisztikailag független képekkel vagy detektorokkal. És ez csak a WhatsAppra vonatkozik; ha más üzenetküldő platformokat, köztük az e-mailt is figyelembe vesszük, a szükséges ismétlések száma jelentősen megnőne, olyannyira, hogy a CSAM megosztási képességeit nem lehet hatékonyan csökkenteni.”


Egy másik tanácsi javaslat, amely az észlelési utasításokat a „magas kockázatúnak” minősített üzenetküldő alkalmazásokra korlátozná, az aláírók szerint haszontalan módosítás, mivel szerintük ez valószínűleg továbbra is „válogatás nélkül, hatalmas számú embert fog érinteni”. Itt rámutatnak, hogy a CSAM cseréjéhez csak olyan szabványos funkciók, mint a képmegosztás és a szöveges csevegés szükségesek - olyan funkciók, amelyeket számos szolgáltató széles körben támogat, vagyis a magas kockázati besorolás „kétségtelenül sok szolgáltatást érint”. Arra is rámutatnak, hogy az E2EE elfogadása egyre növekszik, ami szerintük növeli annak valószínűségét, hogy az azt bevezető szolgáltatások magas kockázatú kategóriába kerülnek. „Ez a szám tovább növekedhet a digitális piacokról szóló törvény által bevezetett átjárhatósági követelményekkel, amelyek azt eredményezik, hogy az üzenetek az alacsony és a magas kockázatú szolgáltatások között áramlanak majd. Ennek eredményeként szinte minden szolgáltatás magas kockázatúnak minősülhet” - állítják.

Ami a titkosítás védelmét illeti, a levél megismétli azt az üzenetet, amelyet a biztonsági és adatvédelmi szakértők már évek óta hangoztatnak a törvényhozók felé: „A végponttól végpontig titkosított szolgáltatások észlelése definíció szerint aláássa a titkosítás védelmét. Az új javaslat egyik célja, hogy 'megvédje a kiberbiztonságot és a titkosított adatokat, miközben a végponttól végpontig titkosítást alkalmazó szolgáltatásokat az észlelési rendeletek hatálya alatt tartja'. Mint már korábban kifejtettük, ez oximoron” - hangsúlyozzák. „A végponttól végpontig terjedő titkosítás által nyújtott védelem azt jelenti, hogy a kommunikáció címzettjén kívül senki más nem szerezhet tudomást a kommunikáció tartalmáról. A felderítési képességek lehetővé tétele, akár a titkosított adatokra, akár a titkosítás előtti adatokra vonatkozóan, sérti a végponttól-végpontig titkosítás által biztosított titoktartás definícióját.”

Az elmúlt hetekben Európa rendőri vezetői saját közös nyilatkozatot írtak, amelyben aggodalmukat fejezték ki az E2EE kiterjesztésével kapcsolatban, és felszólították a platformokat, hogy biztonsági rendszereiket úgy tervezzék meg, hogy azok továbbra is képesek legyenek az illegális tevékenységek azonosítására és az üzenetek tartalmáról szóló jelentések küldésére a bűnüldöző szervek számára. A beavatkozást széles körben úgy tekintik, mint egy kísérletet arra, hogy nyomást gyakoroljanak a törvényhozókra, hogy olyan törvényeket fogadjanak el, mint a CSAM-ellenőrzési rendelet. A rendőrfőnökök tagadják, hogy a titkosítás visszafejlesztését követelik, de nem fejtették ki, hogy pontosan milyen technikai megoldásokat szeretnének a platformoktól, hogy lehetővé tegyék a „törvényes hozzáférést”. Ennek a körnek a kiegyenlítése nehéz feladat lesz a törvényhozóknak.

Ha az EU folytatja a jelenlegi utat - feltéve, hogy a Tanács nem változtat irányt, ahogyan azt az európai parlamenti képviselők sürgetik -, a következmények „katasztrofálisak” lesznek - figyelmeztetnek a levél aláírói. „Ez precedenst teremt az internet szűrésére, és megakadályozza az embereket abban, hogy a digitális térben a magánélethez való joguk védelmére rendelkezésre álló kevés eszköz közül néhányat igénybe vegyenek. Visszatartó erővel fog hatni, különösen a tizenévesekre, akik nagymértékben támaszkodnak az online szolgáltatásokra az interakcióik során. Meg fogja változtatni a digitális szolgáltatások használatának módját világszerte, és valószínűleg negatívan fogja befolyásolni a demokráciákat világszerte.”