Las empresas podrían vigilar los servicios de mensajería encriptada por posible abuso infantil y al mismo tiempo preservar la privacidad y la seguridad de las personas que los usan, dijeron expertos en seguridad e inteligencia del gobierno en un documento de discusión publicado ayer.
Ian Levy, director técnico del Centro Nacional de Seguridad Cibernética (NCSC) del Reino Unido, y Crispin Robinson, director técnico de criptoanálisis en GCHQ, argumentaron que “no es necesario ni inevitable” que la sociedad elija entre hacer que las comunicaciones sean “inseguras por defecto” o crear “espacios seguros para los abusadores de niños”.
Los directores técnicos propusieron en un documento de discusión, Reflexiones sobre la seguridad infantil en las plataformas de productos básicos, que el software de escaneo del lado del cliente colocado en teléfonos móviles y otros dispositivos electrónicos podría implementarse para vigilar el abuso infantil sin interrumpir la privacidad y seguridad de las personas.
Las propuestas fueron criticadas ayer por empresas tecnológicas, grupos de campaña y académicos.
Meta, propietaria de Facebook y WhatsApp, dijo que las tecnologías propuestas en el documento socavarían Internet, amenazarían la seguridad y dañarían la privacidad y los derechos humanos de las personas.
El Open Rights Group, un grupo de campaña en Internet, describió las propuestas de Levy y Robinson como un paso hacia un estado de vigilancia.
Los directores técnicos argumentaron que los avances tecnológicos significan que no hay una opción binaria entre la privacidad y la seguridad que ofrece el cifrado de extremo a extremo y el riesgo de que los abusadores sexuales de niños no sean identificados.
Argumentaron en el documento que el cambio hacia el cifrado de extremo a extremo “rompe fundamentalmente” la mayoría de los sistemas de seguridad que protegen a las personas del material de abuso infantil y en los que confían las fuerzas del orden público para encontrar y enjuiciar a los delincuentes.
“El abuso sexual infantil es un problema social que no fue creado por Internet, y combatirlo requiere una respuesta de toda la sociedad”, escribieron.
“Sin embargo, la actividad en línea permite de manera única a los delincuentes escalar sus actividades, pero también permite daños completamente nuevos solo en línea, cuyos efectos son igual de catastróficos para las víctimas”.
Hash neural en espera
Apple intentó introducir la tecnología de escaneo del lado del cliente, conocida como Neural Hash, para detectar imágenes conocidas de abuso sexual infantil en iPhones el año pasado, pero suspendió los planes indefinidamente luego de las protestas de los principales expertos y expertos en criptografía.
Un informe de 15 científicos informáticos líderes, Errores en nuestros bolsillos: los riesgos del escaneo del lado del cliente, publicado por la Universidad de Columbia, identificó múltiples formas en que los estados, los actores maliciosos y los abusadores podrían cambiar la tecnología para causar daño a otros o a la sociedad.
“El escaneo del lado del cliente, por su naturaleza, crea serios riesgos de seguridad y privacidad para toda la sociedad, mientras que la asistencia que puede brindar a las fuerzas del orden es, en el mejor de los casos, problemática”, dijeron. “Hay varias formas en las que el escaneo del lado del cliente puede fallar, puede evadirse y abusarse”.
Levy y Robinson dijeron que había una “tendencia inútil” a considerar los servicios cifrados de extremo a extremo como “ecosistemas académicos” en lugar del conjunto de compromisos del mundo real que en realidad son.
“No hemos encontrado ninguna razón por la que las técnicas de escaneo del lado del cliente no se puedan implementar de manera segura en muchas de las situaciones que enfrentará la sociedad”, dijeron.
“Eso no quiere decir que no se necesite más trabajo, pero hay caminos claros para la implementación que parecerían tener las propiedades requeridas de efectividad, privacidad y seguridad”.
La posibilidad de que las personas sean acusadas injustamente después de que se les envíen imágenes que causen alertas de “falsos positivos” en el software de escaneo se mitigaría en la práctica mediante múltiples controles independientes antes de cualquier remisión a la policía, dijeron.
El riesgo de “desplazamiento de la misión”, en el que algunos gobiernos podrían utilizar potencialmente el escaneo del lado del cliente para detectar otras formas de contenido no relacionado con el abuso infantil, también podría prevenirse, argumentaron los jefes técnicos.
Según sus propuestas, las organizaciones de protección infantil de todo el mundo utilizarían una “lista coherente” de bases de datos de imágenes ilegales conocidas.
Las bases de datos usarían técnicas criptográficas para verificar que solo contenían imágenes de abuso infantil y sus contenidos serían verificados por auditorías privadas.
Los directores técnicos reconocieron que los abusadores podrían evadir o desactivar el escaneo del lado del cliente en sus dispositivos para compartir imágenes entre ellos sin ser detectados.
Sin embargo, la presencia de la tecnología en los teléfonos móviles de las víctimas las protegería de recibir imágenes de posibles abusadores, argumentaron.
Detección de acicalamiento
Levy y Robinson también propusieron ejecutar “modelos de lenguaje” en teléfonos y otros dispositivos para detectar el lenguaje asociado con el acicalamiento. El software advertiría y alentaría a las posibles víctimas a informar conversaciones riesgosas a un moderador humano.
“Dado que los modelos se pueden probar y el usuario está involucrado en el acceso del proveedor al contenido, no creemos que este tipo de enfoque atraiga las mismas vulnerabilidades que otros”, dijeron.
En 2018, Levy y Robinson propusieron permitir al gobierno y a las fuerzas del orden un “acceso excepcional” a las comunicaciones cifradas, similar a escuchar servicios de comunicaciones cifradas.
Pero argumentaron que contrarrestar el abuso sexual infantil es complejo, que el detalle es importante y que los gobiernos nunca han expuesto claramente la “totalidad del problema”.
“Al publicar este documento, esperamos corregir esa asimetría de información y generar un debate más informado”, dijeron.
Análisis de metadatos ineficaz
El documento argumentó que el uso de inteligencia artificial (IA) para analizar los metadatos, en lugar del contenido de las comunicaciones, es una forma ineficaz de detectar el uso de servicios cifrados de extremo a extremo para imágenes de abuso infantil.
Muchas soluciones propuestas basadas en IA no dan acceso a las fuerzas del orden público a los mensajes sospechosos, pero calculan la probabilidad de que haya ocurrido un delito, dijo.
Cualquier paso que las fuerzas del orden público puedan tomar, como la vigilancia o el arresto, actualmente no alcanzaría el alto umbral de evidencia necesario para que las fuerzas del orden público intervengan, dijo el periódico.
“En este camino se encuentra el futuro distópico representado en la película. Informe de minorías”, agregó.
Factura de seguridad en línea
Andy Burrows, jefe de política de seguridad infantil en línea de la organización benéfica infantil NSPCC, dijo que el documento mostraba que es incorrecto sugerir que el derecho de los niños a la seguridad en línea solo se puede lograr a expensas de la privacidad.
“El informe demuestra que será técnicamente factible identificar material de abuso infantil y manipulación en productos cifrados de extremo a extremo”, dijo. “Está claro que las barreras para la protección infantil no son técnicas, sino impulsadas por empresas tecnológicas que no quieren desarrollar un acuerdo equilibrado para sus usuarios”.
Burrows dijo que el proyecto de ley de seguridad en línea propuesto es una oportunidad para abordar el abuso infantil al incentivar a las empresas a desarrollar soluciones técnicas.
“El proyecto de ley de seguridad en línea es una oportunidad para abordar el abuso infantil que tiene lugar a escala industrial. A pesar de las inquietantes sugerencias de que el proyecto de ley podría ‘romper’ el cifrado, está claro que la legislación puede incentivar a las empresas a desarrollar soluciones técnicas y ofrecer servicios en línea más seguros y privados”, dijo.
Las propuestas ‘socavarían la seguridad’
Meta, propietaria de Facebook y WhatsApp, dijo que las tecnologías propuestas en el documento por Levy y Robinson socavarían la seguridad del cifrado de extremo a extremo.
“Los expertos tienen claro que tecnologías como las propuestas en este documento socavarían el cifrado de extremo a extremo y amenazarían la privacidad, la seguridad y los derechos humanos de las personas”, dijo un portavoz de Meta.
“No toleramos la explotación infantil en nuestras plataformas y estamos enfocados en soluciones que no requieren el escaneo intrusivo de las conversaciones privadas de las personas. Queremos evitar que ocurra un daño en primer lugar, no solo detectarlo después del hecho”.
Meta dijo que protegía a los niños al prohibir perfiles sospechosos, restringiendo que los adultos enviaran mensajes a niños con los que no están conectados en Facebook y limitando las capacidades de las cuentas de personas menores de 18 años.
“También estamos alentando a las personas a que nos informen sobre mensajes dañinos, para que podamos ver los contenidos informados, responder rápidamente y hacer referencias a las autoridades”, dijo el portavoz.
Empuje del Reino Unido ‘irresponsable’
Michael Veale, profesor asociado de derechos y regulaciones digitales en la UCL, escribió en un análisis en Twitter que fue irresponsable por parte del Reino Unido impulsar el escaneo del lado del cliente.
“Otros países aprovecharán la misma tecnología (defectuosa, poco confiable) para exigir el escaneo de enlaces a clínicas de aborto o material político”, escribió.
Veale dijo que las personas que comparten material de abuso sexual infantil podrían evadir el escaneo moviéndose a otros servicios de comunicaciones o encriptando sus archivos antes de enviarlos.
“Quienes son perseguidos por ejercer los derechos humanos normales y cotidianos no pueden”, agregó.
Vulnerabilidades de seguridad
Jim Killock, director ejecutivo de Open Rights Group, dijo que el escaneo del lado del cliente tendría el efecto de romper el cifrado de extremo a extremo y crear vulnerabilidades que podrían ser explotadas por delincuentes y actores estatales en batallas de guerra cibernética.
“Los jefes de seguridad cibernética del Reino Unido planean invadir nuestra privacidad, romper el cifrado y comenzar a escanear automáticamente nuestros teléfonos móviles en busca de imágenes que los convertirán en ‘espías en su bolsillo’”, dijo..
“Este sería un gran paso hacia un estado de vigilancia al estilo chino. Ya hemos visto que China quiere explotar una tecnología similar para tomar medidas enérgicas contra los disidentes políticos”.
