Waarom de interoperabiliteitsvereiste van de EU de coderingsbeveiliging bedreigt

Een nieuwe wet in de Europese Unie zou Big Tech-bedrijven verplichten om hun berichten-apps opnieuw te ontwerpen om naadloos samen te werken met alle andere op de markt.

In theorie maakt de wet het gemakkelijker om met je vrienden en familie te chatten, of ze nu iMessage, WhatsApp of Signal gebruiken. Deze gedwongen interoperabiliteit in netwerken kan echter aanzienlijke beveiligingsproblemen veroorzaken.

Wat is versleuteling in berichten en waarom is het belangrijk?

De meeste berichten die u verzendt met een berichten-app, zijn niet-versleuteld. Dit betekent dat derden ze kunnen lezen terwijl ze reizen tussen uw telefoon en de persoon naar wie u schrijft.

Als u de inhoud van uw berichten geheim wilt houden, moet u een app gebruiken die end-to-end (of E2E) encryptie biedt. Dit creëert een soort van veilige communicatie die ervoor zorgt: alleen jij en je gesprekspartners kunnen lezen wat je elkaar stuurt.

End-to-end-codering zorgt ervoor dat alle berichten die u en uw gesprekspartner verzenden, veilig blijven tijdens het reizen tussen uw telefoons, zodat ze niet kunnen worden gelezen of gewijzigd door derden. Deze derde partijen omvatten internetproviders, telefoonmaatschappijen en zelfs de berichten-app zelf.

Als gevolg hiervan kan het ontwikkelingsteam van de app uw berichten niet overhandigen aan adverteerders, wetshandhavers of iemand anders die ze zou willen lezen. Deze versleuteling voorkomt ook dat derden berichten die onderweg zijn wijzigen.

De meeste grote berichten-apps bieden een soort codering. De specifieke coderingsfuncties die worden aangeboden, kunnen echter van app tot app verschillen.

Hoe de wet op de digitale markten een bedreiging kan vormen voor versleuteling?

Op 24 maart 2022 kondigden EU-bestuursorganen aan dat ze een deal hadden bereikt over nieuwe wetgeving om Big Tech in Europa te besturen. Het heet de Wet digitale markten (of DMA). Een van de belangrijkste wijzigingen in de nieuwe wet is de eis dat alle grote technologiebedrijven producten maken die interoperabel zijn met kleinere platforms.

Dit betekent dat alle berichten-apps van Big Tech-bedrijven berichten moeten kunnen verzenden, bestanden moeten kunnen uitwisselen en videogesprekken moeten kunnen voeren met alle andere berichten-apps, wat in veel opzichten goed is. Interoperabiliteit betekent dat Big Tech-bedrijven zoals Meta, Google en Apple kleinere moeten overwegen bij het maken van nieuwe apps of platforms.

in 2021, Meta ondervond een wereldwijde storing toen zijn Border Gateway Protocol (BGP) een configuratiefout vertoonde, waardoor al zijn activa meer dan 6 uur offline waren. Wanneer bedrijven zoals Meta fouten maken, kunnen miljarden gebruikers de impact voelen.

De omvang van deze bedrijven kan hen echter beschermen tegen de gevolgen van zelfs grote misstappen. Interoperabiliteitsvereisten kunnen Big Tech verantwoordelijk houden voor consumenten en de technische wereld in het algemeen.

Bovendien kan de interoperabiliteitsvereiste van de Digital Markets Act problemen opleveren voor apps die E2E-codering bieden.

Waarom interoperabiliteit versleuteling moeilijker kan maken om te implementeren

Berichten-apps implementeren encryptie op verschillende manieren of gebruiken verschillende encryptiestandaarden. Helaas is het bijna onmogelijk om al deze strategieën samen te laten werken.

App-ontwikkelaars zullen compromissen moeten sluiten om interoperabiliteit te garanderen. Er zou een benadering met de laagste gemene deler kunnen ontstaan, waarbij apps het eenvoudigst mogelijke versleutelingssysteem implementeren. Stel je bijvoorbeeld een berichten-app voor die codering ondersteunt voor groepschats, maar een andere die dit alleen doet voor één-op-één-gesprekken.

Volledige interoperabiliteit kan betekenen dat ontwikkelaars ervoor kiezen om het eenvoudigste systeem te implementeren dat met andere apps op de markt zal werken. Dit zou waarschijnlijk vereisen dat ze meer complexe functies, zoals codering van groepschats, weggooien.

In de praktijk zou dit gebruikers een stuk kwetsbaarder kunnen maken. Minder geavanceerde coderingssystemen zijn mogelijk gemakkelijker te verslaan of bieden geen volledige bescherming tegen snuffelende derden.

App-ontwikkelaars kunnen ook nieuwe standaarden creëren waarmee ze: hun encryptiepraktijken harmoniseren. Het Secure Communications Interoperability Protocol (SCIP) is bijvoorbeeld een Amerikaanse standaard voor veilige spraak- en datacommunicatie. Een vergelijkbare standaard voor E2E-berichtenversleuteling zou ontwikkelaars kunnen helpen om interoperabiliteit te garanderen zonder functionaliteit op te offeren.

Enkele populaire berichten-apps:zoals Signaal- zijn klein genoeg zodat DMA-vereisten er geen invloed op hebben. Dit geldt echter niet voor topplatforms zoals WhatsApp, die het Signal-protocol gebruikt voor zijn codering. De DMA kan betekenen dat de coderingsfuncties van WhatsApp worden verzwakt of helemaal worden verwijderd, waardoor het voor gebruikers moeilijker wordt om hun communicatie privé te houden.

Interoperabiliteitsvereisten kunnen versleuteling verzwakken

Er zijn voordelen verbonden aan interoperabiliteitsvereisten, zoals die in de nieuwe EU Digital Markets Act. Het vereisen ervan kan ontwikkelaars echter ook aanmoedigen om app-coderingsfuncties te verzwakken.

Binnenkort moeten gebruikers mogelijk overschakelen naar apps die zijn ontwikkeld door niet-Big Tech-bedrijven als ze de best mogelijke coderingstechnologie willen.

Wat betekent versleuteld en zijn mijn gegevens veilig?

Lees volgende

Over de auteur