Apple og Google advarer Canada: Ikke knekk kryptering

Hva skjedde

Ifølge AppleInsider (som viser til Reuters) har Apple og Google bedt om endringer i Canadas online-sikkerhetslovforslag C-22. Selskapene etterlyser domstolskontroll (judicial oversight) og beskyttelse av kryptering. Lovforslaget er ment å gi politiet tilgang til kryptert data.

Bilde: Apple

Hva det betyr

Dette er en klassisk konfliktlinje: myndigheter ønsker mer etterforskningskraft, mens plattformselskapene – og mange sikkerhetseksperter – advarer om at krav om «tilgang» i praksis betyr svekket sikkerhet for alle.

AppleInsider peker også på at Apple tidligere har reagert kraftig på regulatorisk press, blant annet ved å slå av sikkerhetsfunksjoner i Storbritannia i møte med backdoor-krav. (Detaljene og omfanget av dette må vurderes i originalkilden.)

Selv om dette er Canada, er problemstillingen svært relevant for Norge og Europa: Kryptering er grunnmuren i alt fra iMessage/FaceTime-lignende tjenester til bedriftskommunikasjon, helsedata og innlogging. Hvis ett land får gjennomslag for et prinsipp om svekket kryptering, blir det fort en mal andre land kopierer.

Min vurdering

Jeg synes Apple og Google har rett i retningen her: «Domstolskontroll» er ikke et luksuskrav, men en minimumsmekanisme når staten ønsker ekstraordinær tilgang.

Det viktigste å forstå er at kryptering ikke er en menyvalg-funksjon du kan «skru litt ned» for de slemme og «holde oppe» for de snille. I det øyeblikket du bygger en vei rundt ende-til-ende-kryptering, har du også bygget en vei som kan misbrukes – av andre stater, av kriminelle, eller ved lekkasjer.

Det betyr ikke at politiet ikke har reelle problemer. Men teknisk sett er «backdoor i kryptering» en av de få løsningene som gjør alle mindre trygge for å gjøre noen etterforskninger enklere.

Norsk relevans er ganske rett frem:

• Norske virksomheter er avhengige av sikre kanaler for kundedata og intern kommunikasjon.
• Offentlig sektor og helse har et særskilt behov for konfidensialitet.
• Privatpersoner bruker i økende grad sky/kommunikasjonstjenester til svært sensitivt innhold.

Vi mangler foreløpig detaljene i selve C-22-teksten og hvilke konkrete krav som diskuteres. Uten det blir konklusjonen mer prinsipiell enn juridisk presis – men prinsippet er nettopp det som ofte avgjør utfallet.

Bilde: Apple

Hva du bør gjøre

• Hvis du jobber med IT/sikkerhet: følg med på hvordan Apple beskriver konsekvensene for ende-til-ende-kryptering i slike prosesser.
• Vær skeptisk til politiske forslag som lover «tilgang bare for de gode» uten å forklare teknisk hvordan det ikke blir en generell svakhet.
• Prioriter tjenester som tilbyr ende-til-ende-kryptering der det er relevant, spesielt for sensitive samtaler.
• For organisasjoner: kartlegg hvilke arbeidsprosesser som forutsetter kryptert kommunikasjon (juridisk, HR, helse).
• Følg med på EU/EØS-sporet – lignende debatter dukker ofte opp i europeisk kontekst kort tid etterpå.

Kilder

• AppleInsider