欧州連合は暗号化通信のバックドアの禁止を目指している

欧州議会の委員会は、法執行機関が利用できるような、政府が認可した暗号化プロトコルへのバックドアの可能性を禁止することを含め、国民が暗号化によってデータを保護する能力を保護することを提案する報告書草案を公表した。

市民的自由権・司法・内務委員会による提案草案は、2002年のプライバシー及び電子通信に関する規則におけるプライバシー保護が全般的に十分な保護を提供していないことを踏まえ、過去に導入されたデータ保護規則の近代化を目指しています。本提案では、規則を改正し、全般的に保護を均等化します。

また、2002年の規制は、エンドツーエンドの暗号化を使用するアプリや「モノのインターネット」に使用されるマシンツーマシン通信システムなど、新しいサービスやシステムを対象としていないが、この提案はこれを修正しようとしている。

修正案は、個人の電子通信の機密性と、個人のプライバシーという長年に渡る基本的権利を強調し、欧州連合（EU）加盟国が暗号化関連の保護に介入することをほぼ禁じていることを明記している。いかなる介入も「民主主義社会において厳密に必要かつ相応な範囲に限定されなければならない」とされている。

提案された修正案では、政府が義務付けたバックドアの挿入や、そのようなシステム全体の弱体化の可能性も明確に排除されている。

「電子通信データの暗号化が使用される場合、当該通信の復号、リバースエンジニアリング、または監視は禁止される」と修正案の一つには記されている。「加盟国は、電子通信サービスプロバイダーに対し、そのネットワークおよびサービスのセキュリティと暗号化を弱めるような義務を課してはならない。」

一部の政府や政府機関は、WhatsAppやiMessageなどのメッセージングサービスが犯罪組織やテロリストを保護しているという信念に基づき、バックドアや弱い暗号化の導入を求めている。3月、英国のアンバー・ラッド内務大臣は、テクノロジー企業によるエンドツーエンド暗号化の使用を「全く容認できない状況」と呼び、諜報機関は秘密裏に行われるテロリストの通信を傍受するために暗号化サービスにアクセスできるべきだと主張した。

製品に暗号化技術が使用されているにもかかわらず、テクノロジー企業は大規模イベントにおいて支援を申し出てきました。今月初め、AppleのCEOティム・クック氏は、最近のテロ攻撃に関する法執行機関の捜査を支援するため、英国政府と協力関係にあることを確認しましたが、具体的な支援内容については明らかにしませんでした。

Appleは製品に広範囲に暗号化技術を採用しているため、テロリスト間の会話やその他の明示的なデータを提供することはできないだろうが、クック氏は「全く情報が提供されていないわけではない」と説明した。「メタデータは存在し、それはプロファイル構築において非常に重要だ」

メタデータとは、実質的にはデータを取り巻くすべての情報であり、コアデータ自体が暗号化されているかどうかに関わらず、大部分が閲覧可能です。この情報には、送信者と受信者の詳細、タイムスタンプ、その他のログが含まれる場合があり、これらを組み合わせることで関係者の身元を特定し、場合によっては暗号化されたメッセージ自体の意図も特定できます。

報告書ではメタデータの保護強化も提案されており、提案されている変更により、一般データ保護規則（GDPR）の既存の規則が維持されるか、改善される見込みです。GDPR自体は、1995年に遡る既存のデータ保護指令に代わるものとして2016年にEUによって採択され、2018年5月から施行されます。

「通信データ（コンテンツとメタデータの両方）は、個人の私生活の繊細な側面（性的指向、哲学的または政治的信念、表現と情報の自由、経済状況、健康状態）を明らかにするため、極めて機密性が高く、したがって、高いレベルの保護を受けるに値する」と報告書は述べている。

メタデータの最もよく知られた使用法は、米国国家安全保障局のデータマイニング プロジェクトである PRISM です。PRISM は、文書、メディア、その他の潜在的なログ ソースからデータを抽出し、個人や連絡先をリアルタイムで追跡します。

GDPR に関連する修正には、iBeacon などによる Bluetooth または Wi-Fi 経由の機器の位置追跡や、Web ブラウザー追跡や Cookie の機能を含む Do Not Track メカニズムに関するデバイスのプライバシー設定も含まれます。

委員会の提案は草案であるため、指令の改正に用いられる前に、欧州議会の承認とEU理事会による審査を受ける必要があります。そのため、提案は承認される前に変更または削除される可能性があります。

提案が現状のまま可決されれば、テクノロジー企業は、欧州以外の地域でも、エンドツーエンドの暗号化を全面的に使用することが明確に義務付けられる可能性があります。通信を暗号化する企業は、アプリのセキュリティを維持し、特定の市場で暗号化を弱めないようにするインセンティブが高まります。

英国にとって、このような変更は、英国企業が要求に応じてデータに適用している暗号化をすべて解除することを要求することを含む、通信プロバイダーにデータの標的傍受に協力することを要求する条項など、捜査権限法などの法律の執行を困難にするだろう。

捜査権限法案の以前のバージョンには、法執行機関が利用できるように企業に暗号化の弱体化や製品へのバックドアの設置を義務付ける要素が含まれていました。プライバシー擁護団体やAppleを含むテクノロジー企業がこれに異議を唱え、下院を通過する前にこれらの要素は法案から削除されました。

2019年3月に予定されている英国のEU離脱後、英国はEUの規則の適用を受けなくなるため、このようなバックドアの存在を強制する法律が制定される可能性があります。しかしながら、EUのトラフィックを暗号化する必要があるため、テクノロジー企業が英国市場向けに限定的に機能制限を施したアプリを開発し、他の市場のユーザーとも通信できるようにする可能性は低いでしょう。