Szyfrujesz? Ujawnij klucz, albo więzienie.

W Wielkiej Brytanii zmiany. Weszła tam w życie część przyjętej przez Parlament w 2000 roku ustawy The Regulation of Investigatory Powers Act (RIPA). Część ta przewiduje, iż osoba stosująca technologie szyfrujące powinna, na żądanie władz, udostępnić sposób deszyfracji. Jeśli tego nie zrobi - grozi jej kara do pięciu lat pozbawienia wolności.

O wejściu w życie rozdziału trzeciego RIPA pisze Out-law, w tekście Law requiring disclosure of decryption keys in force. Ta część ustawy weszła w życie pierwszego października. W niniejszym serwisie o tej regulacji pisałem m.in. w tekstach Opóźnienie podsłuchu, Zbieranie danych to błąd, Znikną dostawcy w UK?, oraz w komentarzu Trybunał tylko zauważył, że nie było podstawy prawnej monit[torowania]. To głównie w kontekście retencji danych telekomunikacyjnych, do której zobligowywała operatorów telekomunikacyjnych ta ustawa.

Oczywiście przepisy, które właśnie weszły w życie, a które dotyczą ujawniania kluczy szyfrujących, są krytykowane. Może się okazać, iż podejrzany będzie zmuszony ujawniać informacje, które będą mogły być wykorzystane przeciwko niemu. Podnosi się również to, że ujawnienie danych potrzebnych do odszyfrowania danych zwykle sprowadza się do ujawnienia hasła - klucza. Takie hasło może być długie. Ktoś może zapomnieć hasło. W efekcie ktoś może być oskarżony w przypadku, gdy nie będzie mógł podać hasła, gdyż nie będzie go pamiętał.

Out-law wymienia kolejne kontrowersje. Zgodnie z artykułem 49 ustawy (Section 49 of Part III of RIPA) osoba, która otrzyma specjalne wezwanie, powinna udostępnić władzom klucz szyfrujący, albo samemu odszyfrować dane ("put into an intelligible form"). Jeśli taka osoba nie będzie chciała odszyfrować danych - grozi jej do pięciu lat pozbawienia wolności, a to w przypadku, gdy przedmiotem śledztwa byłby przestępstwa terrorystyczne, pedofilia albo przestępstwa przeciwko bezpieczeństwu publicznemu, też przestępczość zorganizowana (w innych sprawach - do dwóch lat pozbawienia wolności). Kontrowersja polega na tym, że osoba otrzymująca takie wezwanie, nie może ujawnić tego faktu nikomu, poza swoim prawnikiem. Pojawiły się już wezwania kierowane do władz, by przynajmniej publikowały statystyki wysyłania wezwań wysyłanych na podstawie artykułu 49 (RIPA Part III is now in force - is there a Section 49 Notice being served to grab your Decryption Keys ?). Ale w innych źródłach zwrócono uwagę na to, że pedofile, terroryści czy inni sprawcy poważnych przestępstw będą najpewniej woleli odsiedzieć pięć lat nieujawniając klucza szyfrującego, niż po jego ujawnieniu spotkać się z zarzutami większego kalibru (a więc ustrzec się kary w potencjalnie większym wymiarze).

Najlepiej przywołać przepisy wymieniające przypadki, w których ujawnienie klucza szyfrującego jest wymagane:

51. Cases in which key required.
— (1) A section 49 notice imposing a disclosure requirement in respect of any protected information shall not contain a statement for the purposes of section 50(3)(c) unless—

(a) the person who for the purposes of Schedule 2 granted the permission for the giving of the notice in relation to that information, or

(b) any person whose permission for the giving of a such a notice in relation to that information would constitute the appropriate permission under that Schedule, has given a direction that the requirement can be complied with only by the disclosure of the key itself.

(2) A direction for the purposes of subsection (1) by the police, the customs and excise or a member of Her Majesty’s forces shall not be given—

(a) in the case of a direction by the police or by a member of Her Majesty’s forces who is a member of a police force, except by or with the permission of a chief officer of police;

(b) in the case of a direction by the customs and excise, except by or with the permission of the Commissioners of Customs and Excise; or

(c) in the case of a direction by a member of Her Majesty’s forces who is not a member of a police force, except by or with the permission of a person of or above the rank of brigadier or its equivalent.

(3) A permission given for the purposes of subsection (2) by a chief officer of police, the Commissioners of Customs and Excise or a person of or above any such rank as is mentioned in paragraph (c) of that subsection must be given expressly in relation to the direction in question.

(4) A person shall not give a direction for the purposes of subsection (1) unless he believes—

(a) that there are special circumstances of the case which mean that the purposes for which it was believed necessary to impose the requirement in question would be defeated, in whole or in part, if the direction were not given; and

(b) that the giving of the direction is proportionate to what is sought to be achieved by prohibiting any compliance with the requirement in question otherwise than by the disclosure of the key itself.

(5) The matters to be taken into account in considering whether the requirement of subsection (4)(b) is satisfied in the case of any direction shall include—

(a) (a) the extent and nature of any protected information, in addition to the protected information in respect of which the disclosure requirement is imposed, to which the key is also a key; and

(b) any adverse effect that the giving of the direction might have on a business carried on by the person on whom the disclosure requirement is imposed.

(6) Where a direction for the purposes of subsection (1) is given by a chief officer of police, by the Commissioners of Customs and Excise or by a member of Her Majesty’s forces, the person giving the direction shall give a notification that he has done so —

(a) in a case where the direction is given—

(i) by a member of Her Majesty’s forces who is not a member of a police force, and

(ii) otherwise than in connection with activities of members of Her Majesty’s forces in Northern Ireland,
to the Intelligences Services Commissioner; and

(b) in any other case, to the Chief Surveillance Commissioner.

(7) A notification under subsection (6)—

(a) must be given not more than seven days after the day of the giving of the direction to which it relates; and

(b) may be given either in writing or by being transmitted to the Commissioner in question by electronic means.

Sięgnij również do następujących źródeł:

• Government's encryption key plan could backfire, warns expert
• Consultation on the Draft Code of Practice for the Investigation of Protected Electronic Information
• Consultation on the Revised Statutory Code for Acquisition and Disclosure of Communications Data
• RIP Act gives police power to decrypt data
• UK Data Encryption Disclosure Law Takes Effect
• Encryption law could mean jail time
• UK police can now demand encryption keys
• Law that compels the surrender of encryption keys goes into effect in the United Kingdom
• Contested UK encryption disclosure law takes effect