WhatsApp em risco? Projeto de lei na Austrália pode afetar segurança do app

O Parlamento da Austrália aprovou nesta quinta-feira (6) uma lei para forçar empresas de tecnologia como Google, da Alphabet, Facebook (dona do Whatsapp) e Apple a darem acesso à polícia a dados criptografados, as exigências mais abrangentes impostas por um país ocidental.

O projeto de lei, chamado de Lei de Telecomunicações (Assistência e Acesso), é fortemente contestado pelos gigantes de tecnologia, que temem que a Austrália possa ser um exemplo à medida que outras nações exploram regras semelhantes. Mas deve se tornar lei antes do final do ano.

A proposta, aprovada pela câmara baixa do Parlamento nesta quinta-feira, deve passar também no Senado. Os trabalhistas disseram que, apesar de suas ressalvas, o projeto seria aprovado no Senado, sob a condição de que a coalizão concordasse com suas emendas no próximo ano.

O projeto prevê multas de até 10 milhões de dólares australianos (7,3 milhões de dólares) para instituições e termos de prisão para indivíduos que não entregarem dados vinculados a atividades ilegais suspeitas.

Quando o projeto se tornar lei, a Austrália será um dos primeiros países a impor amplos requisitos de acesso a empresas de tecnologia, depois de muitos anos de lobby de agências de inteligência e de aplicação da lei em muitos países, particularmente nas chamadas nações Five Eyes.

A rede de inteligência Five Eyes —composta por Estados Unidos, Canadá, Reino Unido, Austrália e Nova Zelândia— tem alertado que a segurança nacional está em risco porque as autoridades não podem monitorar as comunicações de suspeitos.

O impacto disso

Empresas de tecnologia têm se oposto aos esforços para criar o que consideram uma brecha de segurança para os dados dos usuários, um impasse que foi impelido para a arena pública pela recusa da Apple em desbloquear um iPhone usado por um agressor em um tiroteio em 2015 na Califórnia.

"Esta legislação está em desacordo com a legislação de vigilância e privacidade na Europa e em outros países que têm fortes preocupações com a segurança nacional", disse em comunicado o Digital Industry Group (Digi), do qual Facebook, Apple, Google, Amazon e Twitter, são membros.

Mas segundo o jornal "The New York Times", opositores da lei argumentam que ela não apenas compromete a privacidade dos australianos, mas era vagamente escrita de uma forma que poderia levar a abusos. Eles também disseram que estava sendo levado às pressas pelo Parlamento sem a devida consulta ao público.

Rodger Shanahan, pesquisador do Instituto Lowy para Política Internacional, disse que o projeto atende a uma necessidade legítima de dar às autoridades acesso a dados criptografados.

"Eu sei que é uma questão muito delicada, mas as pessoas que discutem a privacidade simplesmente não sabem como é difundido o uso das pessoas más", disse ele. "É muito universal".

Shanahan disse que esteve a par de muitos casos de segurança nacional nos quais suspeitos usavam serviços de mensagens criptografadas para se comunicar com pessoas no exterior. "Eles estão no WhatsApp e Telegram e Kik, é assim que eles fazem", disse ele.

Entenda

A Austrália já tem leis que exigem que os provedores de internet entreguem a comunicação de um suspeito à polícia. Uma dessas leis —a Lei de Espionagem e Interferência Externa, de 2018— torna ilegal para um provedor público atual ou anterior comunicar informações que "possam causar danos aos interesses da Austrália", incluindo suas relações econômicas ou estrangeiras. A ofensa pode ser punida por sete anos de prisão.

Isso pode já ser possível se um provedor de serviços usar uma forma de criptografia que permita a exibição da mensagem de um usuário. Mas, nos últimos anos, serviços como WhatsApp, Signal e outros adicionaram uma camada adicional de segurança conhecida como criptografia ponta a ponta, onde só os envolvidos da mensagem podem desembaralhar e ter acesso ao conteúdo da mensagem.

No começo do texto do projeto de lei, chamado de Lei de Telecomunicações (Assistência e Acesso), há uma regra básica sobre o que as agências de segurança não podem fazer: elas não podem exigir que as empresas de tecnologia construam em seus produtos uma "fraqueza sistêmica", ou uma porta dos fundos (backdoor), que no jargão de tecnologia significa uma brecha interna passível de invadir um sistema sem autorização do usuário.

Mas pelo projeto, as agências ganhariam novos poderes para emitir avisos para as empresas prestarem assistência, ou construir uma nova capacidade, para ajudá-las a espionar suspeitos de crimes.

A lista de atos ou coisas é longa e incluiria, por exemplo, remoção de uma ou mais formas de proteção eletrônica; fornecimento de informações técnicas; facilitação de acesso a serviços e equipamentos; instalação de software; modificação de tecnologia; e a ocultação da informação de que a empresa tenha feito alguma dessas situações citadas.

Com esses ações obrigatórias, a polícia australiana poderia, por exemplo, enviar uma notificação ao suspeito para atualizar um software como o Facebook Messenger, que já permite o acesso da polícia às suas mensagens.

As agências de segurança australianas podem não conseguir descriptografar mensagens diretamente, especialmente se estiverem localizadas no exterior, como o aplicativo russo Telegram. Mas usando essas táticas, elas poderiam instalar um software de registro de chaves para permitir que eles vissem, pressionadas por tecla, o que os usuários digitam em uma mensagem.

Da mesma forma, o software poderia gerar constantes capturas de tela no celular que não quebram a criptografia, mas fotografariam tudo que entra e sai do aplicativo de comunicação.

Outros exemplos incluem: modificar um dispositivo como o Apple Home ou o Amazon Alexa para gravar áudio continuamente; exigir que um provedor de serviços gere um site falso que parece estar protegido, mas não é semelhante a um e-mail de phishing; ou exigir que as empresas entreguem dados de geolocalização mais precisos.

O comissário de direitos humanos australiano, Edward Santow, disse que se a lei for aprovada, os usuários, sabendo que as agências de segurança pública poderiam enviar uma atualização do WhatsApp, por exemplo, para um usuário-alvo, "isso poderia desencorajar as pessoas de baixar atualizações de segurança [para o app]".

* Com Reuters, The New York Times e The Guardian

Seu contato vale R$ 0,24: como funcionam as "máquinas de spam" no WhatsApp que teriam sido usadas na eleição

Entenda