El cifrado es una forma de garantizar que los datos enviados desde un dispositivo a otro canal se lean si se interceptan. Pero, ¿qué pasa si los datos se refieren a la actividad criminal? Ana-Maria Cretu del Laboratorio de Ingeniería de Seguridad y Privacidad de EPFLina comparte su experiencia en cuestiones de seguridad versus privacidad.
En la era digital actual, todos estamos generando un rastro digital y mensajes cifrados de extremo a extremo como Signal y WhatsApp es una de las soluciones para garantizar la comunicación privada. Pero los gobiernos y las agencias de seguridad argumentan que los sistemas de encriptación fuertes les impiden detectar actividades delictivas como el intercambio de material de abuso sexual infantil (CSAM), el comportamiento terrorista, el tráfico de drogas y personas. Solicitan el uso de la tecnología de escaneo del lado del cliente que les permitiría detectar CSAM compartido en comunicaciones cifradas de extremo a extremo, alegando que el escaneo no debilita el cifrado. Ana-Maria Cretu, investigadora del Laboratorio de Ingeniería de Seguridad y Privacidad de EPFL, especializada en la intersección entre el aprendizaje automático, la privacidad y la seguridad, explica las preocupaciones relacionadas con el escaneo del lado del cliente, según un informe discusión organizada por el Centro de Confianza Digital de EPFLF.
En términos generales, el cifrado es como poner una carta en un sobre. La letra se puede leer en el camino del remitente al receptor, y romper el cifrado sería como manipular el sobre mientras está en tránsito. En el escaneo del lado del cliente, el cifrado permanece intacto, pero la privacidad se rompe, ya que el escaneo es similar a leer una carta mientras se escribe o después de abrir el sobre.
El cifrado de extremo a extremo garantiza que solo los clientes en cada extremo de la comunicación, el remitente y el receptor, puedan leer un mensaje. “Más de dos mil millones de personas en todo el mundo usan plataformas habilitadas para cifrado de extremo a extremo como Signal y Whatsapp, intercambiando más de 100 mil millones de mensajes diarios solo en Whatsapp,” dice Cretu.
Escaneo del lado del cliente y huellas dactilares de imágenes
El escaneo del lado del cliente se refiere al escaneo de datos en el lado del cliente de la comunicación, como la carta o una fotografía que desea enviar o recibir desde su teléfono inteligente. Para el material de abuso sexual infantil, el escaneo del lado del cliente escanearía sus fotos y las compararía con una base de datos establecida de materiales de abuso sexual infantil. Dado que es ilegal poseer estos materiales, los expertos en ciberseguridad han ideado una forma de caracterizar las fotos en la base de datos a través de un proceso llamado “fingerprinting”. “El algoritmo de huellas dactilares está diseñado de tal manera que conserva las principales características de la imagen para realizar comparaciones eficientes, sin dejar de ser resistente a transformaciones de imagen simples como el cambio de tamaño de la imagen, el recorte o la conversión de la imagen a un formato diferente, ” explica Cretu.La comparación se realiza en las huellas dactilares de las imágenes. Desde 2021, ha habido un impulso para pasar un Reino Unido Ley de Seguridad en Líneay a UE “chat control” legislación proporcionar a las agencias gubernamentales poderes para ordenar a las empresas que detecten contenido ilegal en sus comunicaciones.
La privacidad se viola con el escaneo
Cretu dice que hay demasiados problemas con el escaneo del lado del cliente en su estado actual, tanto técnico como ético, y sería prematuro implementarlo. El escaneo no solo derrotaría el propósito del cifrado, sino que también pondría en juego la confidencialidad e introduciría la amenaza de la vigilancia masiva que podría socavar la democracia moderna.
“Aunque el material de abuso sexual infantil es un problema social importante, luchar eficazmente contra él requiere medidas distintas de la tecnología,” concluye Cretu. “Se podría prever una colaboración más fuerte y estrecha entre investigadores y formuladores de políticas para ayudar a definir soluciones efectivas que sean lo suficientemente sólidas como para implementarse de manera segura y que aún preserven las comunicaciones privadas
El escaneo del lado del cliente puede marcar erróneamente el contenido
Los sistemas de detección tienen tasas de error, lo que significa que el sistema puede marcar erróneamente las imágenes. “Estas son imágenes que son legales de poseer y no instancias del contenido objetivo, pero terminan siendo marcadas incorrectamente por el sistema como maliciosas,” explica Cretu. “Podrían, por ejemplo, incluir imágenes íntimas consensuadas, imágenes de niños en la playa e imágenes de un niño compartido por los padres con un pediatra. Cuando se marca una imagen, se compartiría con autoridades como las agencias de aplicación de la ley o el proveedor de contenido para una revisión manual. Esto podría tener consecuencias para los usuarios, como que su cuenta sea bloqueada o suspendida. En esta situación, las personas no querrían arriesgarse a bloquear su cuenta de correo electrónico o cuenta de mensajería instantánea. Como resultado, probablemente habrá un efecto escalofriante.El punto importante aquí es que la privacidad de millones de personas sería invadida.”
La detección puede evadirse
Cretu señala que otro problema con el escaneo es que puede ser engañado, especialmente en el contexto de materiales de abuso sexual infantil donde los delincuentes intentarán ocultar sus actividades. Ella dice, “[…] toda la evidencia que tenemos sugiere que las soluciones de escaneo del lado del cliente no serían efectivas para detectar materiales de abuso sexual infantil en presencia de adversarios. Mostramos que el adversario puede manipular la imagen aplicándole un filtro, lo que les permitiría evadir detection.”
La libertad de expresión estaría en juego
“El objetivo del escaneo del lado del cliente hoy es detectar copias editadas de materiales de abuso sexual infantil. Mañana, se podrían agregar nuevos tipos de contenido a la lista de contenido específico,” dice Cretu. “Por lo tanto, los gobiernos podrían querer ampliar el alcance, por ejemplo, al contenido terrorista y otros tipos de actividad criminal, al discurso disidente o al contenido LGBTQ+, dependiendo de dónde se implemente. Una forma de expandir el alcance es expandir la base de datos. Pero entonces, ¿quién lo controla? El sistema de escaneo del lado del cliente podría usarse para convertir los teléfonos de personas en herramientas de vigilancia, y esto es un poco aterrador.” EPFL News. S. H. Traducido al español
Contacto