Что изменит канадский Bill C-22#
Канадский Bill C-22, представленный как Lawful Access Act, снова разжёг спор, который, как считали правозащитные группы, уже серьёзно подорвал предыдущую инициативу правительства.
Electronic Frontier Foundation утверждает, что C-22 — это переработанная версия Bill C-2, прежнего законопроекта о «безопасности границ», который вызвал резкую критику со стороны privacy community и так и не дошёл до рассмотрения в комитете. По данным EFF, новый законопроект содержит некоторые изменения, но сохраняет ту же базовую структуру: более широкую data retention, расширенный information sharing и новые полномочия заставлять компании предоставлять technical access к digital services.
Главная проблема не в одной отдельной статье. Она в совокупном эффекте. Если законопроект будет принят в том виде, как его описывает EFF, он может обязать digital services — потенциально включая telecom providers, messaging apps и другие platforms — записывать и хранить определённую информацию в течение целого года. Он также расширит обмен информацией с иностранными правительствами, включая United States.
Предупреждение EFF во многом сосредоточено на metadata. Metadata часто описывают как «data about data», но эта формулировка скрывает их ценность. Они могут показать, с кем человек общается, когда он общается, куда он ходит и как его поведенческие patterns меняются со временем. Сохранённое сообщение может быть чувствительным. Год communications metadata может стать картой.
Эта карта становится ценнее, когда больше компаний обязаны хранить больше таких данных. И она становится более крупной целью. Retention mandates не просто помогают следователям постфактум. Они создают databases, до которых могут захотеть добраться attackers, insiders и другие governments.
Проблема backdoor скрыта в определениях#
Самая серьёзная часть критики EFF касается access mandates. Организация говорит, что Bill C-22 позволит Minister of Public Safety Канады требовать от компаний создания механизмов для предоставления law enforcement доступа к данным, если такие требования не создают «systemic vulnerability».
Эта фраза звучит как гарантия безопасности. Вопрос в том, может ли она работать на практике.
EFF утверждает, что определения «systemic vulnerability» и «encryption» в законопроекте недостаточно ясны. Эта двусмысленность важна. Если закон говорит, что компании нельзя обязать создать systemic vulnerability, но оставляет достаточно пространства, чтобы определить targeted access как что-то другое, защита на практике может оказаться слабой.
Особенно остро риск стоит для encrypted services. End-to-end encryption устроено так, что читать content могут только пользователи, которые общаются между собой. Provider не может тихо передать contents сообщений, потому что у provider нет keys в пригодной для использования форме. Чтобы создать exceptional access, систему придётся изменить.
По данным EFF, канадские officials предполагали, что surveillance можно добавить без создания systemic vulnerabilities. EFF отвергает эту предпосылку. Позиция организации прямая: surveillance access к encrypted communications сам по себе является systemic vulnerability.
Это не просто философский спор. Система, созданная для того, чтобы одна authorised party могла обходить обычные encryption protections, со временем может стать системой, которую попытаются использовать другие. Предполагаемым пользователем может быть law enforcement. Реальным пользователем со временем может оказаться кто-то ещё.
Сообщается также, что законопроект запрещает компаниям публично раскрывать существование таких orders. Секретность может быть нормальной в некоторых расследованиях. Но постоянная секретность вокруг требований о technical access создаёт отдельную проблему accountability. Пользователи не могут оценить security posture сервиса, если самые важные изменения скрыты. Security researchers и civil society groups не могут проверять публичные заявления, если само существование orders нельзя признать.
Почему это важно за пределами Канады#
Это канадский законопроект, но сама схема давления знакома.
EFF сравнивает ситуацию с прошлогодним, как сообщалось, требованием United Kingdom к Apple создать доступ, затрагивающий её опциональную функцию Advanced Data Protection. Apple не выполнила требование так, как хотело правительство. Вместо этого компания убрала эту функцию для пользователей в UK. В результате, как отмечает EFF, пользователи в UK по-прежнему не имеют доступа к более сильной защите iCloud, доступной в других странах.
Этот пример важен, потому что показывает один из вероятных результатов lawful-access mandates. Правительства могут говорить, что хотят targeted access. Компании могут отвечать удалением privacy features, ограничением доступности продуктов или изменением architecture так, что это затронет обычных пользователей, которых не подозревают ни в каком преступлении.
EFF также отмечает, что Meta и Apple выразили обеспокоенность Bill C-22 и выступили против законопроекта. Исходный материал также упоминает обеспокоенность со стороны комитетов U.S. House Judiciary и Foreign Affairs, направленную Minister of Public Safety Канады, в связи с backdoors в encrypted systems. Доступный исходный текст не содержит полного письма, юридических деталей или точного процедурного статуса сверх описания EFF, поэтому эти пункты следует рассматривать как заявленные опасения.
Практический вывод#
Для пользователей это не абстрактный спор о policy. Стоит прямо проверить, какие сервисы хранят ваши сообщения, backups, contacts и metadata, и перенести самые чувствительные коммуникации туда, где end-to-end encryption включено по умолчанию, ключи контролируются пользователем, а provider не может расшифровать content по запросу. Отдельно проверьте облачные backups: у многих мессенджеров переписка защищена в чате, но резервная копия в cloud может быть доступнее для раскрытия. Если сервис убирает сильное шифрование в отдельных странах, меняет privacy features без ясного объяснения или избегает transparency reports, это практический сигнал снизить зависимость от него.
Минимальный чек-лист для частного пользователя: включить E2EE там, где оно не включено по умолчанию; отключить незашифрованные cloud backups для чувствительных чатов; использовать disappearing messages там, где это уместно; регулярно удалять ненужные архивы переписок и файлов; не хранить единственную копию важных данных в сервисе, который может изменить доступность privacy features по требованию государства.
Для компаний вывод ещё жёстче: готовиться нужно до появления обязательного order. Провайдерам стоит провести data inventory и понять, какие content data и metadata они собирают, зачем они нужны и сколько хранятся. Всё, что не требуется для работы продукта, billing, fraud prevention или законных обязательств, нужно рассматривать как liability. Практическая мера — сократить retention, разделить доступы, усилить audit logs, заранее описать процесс обработки government requests и проверить, не обещает ли marketing больше privacy, чем architecture реально способна выдержать.
Если продукт заявляет end-to-end encryption, компании нужно заранее определить красные линии: может ли она технически выполнить access order без изменения протокола, как будет реагировать на gag order, какие функции придётся отключить в конкретной юрисдикции и как уведомлять пользователей в рамках закона. Чем меньше лишних данных хранится и чем яснее архитектура исключает скрытый доступ provider к content, тем меньше риск, что lawful access mandate превратится в forced redesign, потерю доверия или публичный security incident.