1 คะแนน โดย GN⁺ 2024-05-30 | 1 ความคิดเห็น | แชร์ทาง WhatsApp

ปัญหาของร่างกฎหมายความมั่นคงไซเบอร์ของแคนาดา

เนื้อหาสำคัญของร่างกฎหมาย C-26

  • ร่างกฎหมาย C-26 ให้อำนาจรัฐบาลแคนาดาในการสั่งผู้ให้บริการโทรคมนาคมอย่างลับ ๆ ให้ติดตั้งแบ็กดอร์ในเครือข่ายที่เข้ารหัส
  • สิ่งนี้อาจนำไปสู่การเปลี่ยนแปลงมาตรฐานการเข้ารหัส 5G เพื่อให้การสอดส่องของรัฐบาลทำได้ง่ายขึ้น

ช่องโหว่ของเครือข่ายที่มีอยู่เดิม

  • เครือข่ายในปัจจุบันมีช่องโหว่อยู่แล้วเป็นจำนวนมาก
  • ตัวอย่างเช่น Signaling System No.7 ที่พัฒนาขึ้นในปี 1975 เป็นจุดอ่อนสำคัญของความปลอดภัยโทรศัพท์มือถือ
  • ตามรายงานของ Citizen Lab ปี 2023 มีช่องโหว่ในวงกว้างอยู่ที่แกนกลางของเครือข่ายมือถือทั่วโลก

ปัญหาของร่างกฎหมาย

  • แทนที่รัฐบาลจะสร้างช่องโหว่ใหม่ ควรแก้ไขช่องโหว่ที่มีอยู่เดิมมากกว่า
  • ร่างกฎหมาย C-26 ให้อำนาจอย่างกว้างขวางในการบังคับใช้การเปลี่ยนแปลงทางเทคนิคที่อาจทำลาย "ความลับ ความถูกต้องสมบูรณ์ และความพร้อมใช้งาน" ของบริการโทรคมนาคมในแคนาดา
  • ภายใต้กฎหมายนี้ รัฐบาลจะกลายเป็นผู้ชี้ขาดเพียงฝ่ายเดียวว่าการสื่อสารที่เป็นความลับที่สุดของชาวแคนาดาจะปลอดภัยหรือไม่

ความเสี่ยงจากการทำให้การเข้ารหัสอ่อนแอลง

  • การเข้ารหัสในเทคโนโลยี 5G ช่วยปกป้องการสื่อสารเคลื่อนที่และปกป้องข้อมูลผู้ใช้จากการโจมตีแบบ man-in-the-middle
  • ร่างกฎหมายนี้อาจส่งผลกระทบต่ออุปกรณ์อัจฉริยะที่เชื่อมต่อคลาวด์และบริการที่ใช้ดาวเทียมด้วย
  • ในอดีต แบ็กดอร์ของรัฐบาลก่อให้เกิดภัยคุกคามร้ายแรงต่อความมั่นคงไซเบอร์มาแล้ว

ความย้อนแย้งของยุทธศาสตร์ความมั่นคงไซเบอร์ของรัฐบาล

  • แคนาดาได้สั่งห้ามอุปกรณ์โทรคมนาคมของ Huawei และ ZTE ในปี 2022 แต่ร่างกฎหมาย C-26 กลับมอบอำนาจให้แคนาดาสามารถทำให้การเข้ารหัสอ่อนแอลงผ่านคำสั่งลับได้
  • สิ่งนี้ขัดแย้งกับนโยบายที่สนับสนุนการเข้ารหัสของแคนาดาและแนวทางของผู้เชี่ยวชาญ

ไม่มีแบ็กดอร์ที่ปลอดภัย

  • ตามรายงานของ GCHQ ภัยคุกคามจากบริษัทแฮ็กเชิงพาณิชย์จะส่งผลกระทบอย่างมากต่อสภาพแวดล้อมไซเบอร์
  • หากรัฐบาลแคนาดาบังคับให้ผู้ให้บริการโทรคมนาคมลดทอนฟังก์ชันด้านความปลอดภัย ก็จะทำให้บริษัทสปายไซเบอร์และศัตรูรายอื่น ๆ มีช่องทางเข้าถึงการสื่อสารมากขึ้น

ความเห็นของ GN⁺

  • ความสำคัญของการเข้ารหัส: การเข้ารหัสคือหัวใจของความมั่นคงไซเบอร์ และการทำให้อ่อนแอลงย่อมคุกคามความปลอดภัยของทั้งระบบ
  • นโยบายรัฐบาลที่ย้อนแย้ง: นโยบายของรัฐบาลแคนาดาขาดความสอดคล้อง และอาจส่งผลลบในระดับนานาชาติ
  • ช่องโหว่ทางเทคนิค: หากร่างกฎหมายผ่าน มีความเป็นไปได้สูงว่าจะเกิดช่องโหว่ทางเทคนิคใหม่ขึ้น
  • ความจำเป็นของทางเลือกอื่น: แคนาดาควรทบทวนกฎหมายความมั่นคงไซเบอร์โดยมุ่งคุ้มครองและเสริมความแข็งแกร่งให้การเข้ารหัส
  • ผลกระทบระดับนานาชาติ: ร่างกฎหมายของแคนาดาอาจกลายเป็นข้ออ้างให้ประเทศอื่นผลักดันกฎหมายกดขี่ในลักษณะเดียวกันได้

1 ความคิดเห็น

 
GN⁺ 2024-05-30
ความคิดเห็นจาก Hacker News
  • แคนาดามีอำนาจในการใส่ แบ็กดอร์ ไว้ในเครือข่ายโทรคมนาคมเพื่อการสอดส่องอยู่แล้ว ทุกประเทศอธิปไตยต่างทำเช่นนั้นกับโครงสร้างพื้นฐานของตนเองในฐานะส่วนหนึ่งของสถาปัตยกรรม RAN
    https://en.wikipedia.org/wiki/Lawful_interception
    สิ่งที่แคนาดาต้องการจริง ๆ ดูเหมือนจะเป็นวิธีทำสิ่งนี้โดยไม่มีด่านทางกฎหมายแบบดั้งเดิมอย่างหมายศาล หรือไม่มีการกำกับดูแลทางกฎหมาย

    • ในสถานการณ์ที่ความเป็นส่วนตัวส่วนบุคคลกำลังอ่อนแอลงอย่างรวดเร็ว เวลาพูดถึงการขยายอำนาจแบบนี้ ต้องดูให้ชัดว่า หน่วยงานใด ใช้ในบริบทใด
      เช่น ทุกวันนี้เป็นเรื่องสมเหตุสมผลที่จะมองว่าหน่วยข่าวกรองแบบ NSA ได้การสื่อสารอิเล็กทรอนิกส์ที่ต้องการแทบทั้งหมดอยู่แล้วโดยแทบไม่มีแรงเสียดทาน แม้จะบอกว่าสหรัฐฯ มีมาตรการป้องกันการสอดส่องประชาชนของตนเองภายในประเทศ แต่เราก็เห็นแล้วว่ามันถูกเลี่ยงผ่านหน่วยงานพันธมิตร Five Eyes หรือโบรกเกอร์ข้อมูลเชิงพาณิชย์ได้รวดเร็วและง่ายเพียงใด
      ที่น่ากลัวยิ่งกว่าคือกรณีที่หน่วยงานบังคับใช้กฎหมายภายในประเทศได้วิธีใหม่ในการขจัดแรงเสียดทานอย่างเงื่อนไขหมายศาลหรือกระบวนการร้องขอรายกรณีออกไป คำขอแบบนั้นในทางทฤษฎียังติดตามและตรวจสอบเพื่อจับการใช้อำนาจในทางมิชอบได้ แต่ถ้าหน่วยสืบสวนภายในประเทศเข้าถึง ฟีด full take ที่เก็บทุกอย่าง แล้วภายหลังสามารถสร้างและค้นหากราฟความเชื่อมโยงเมตาดาตาขนาดมหึมาได้ นั่นน่าสยดสยองจริง ๆ
    • แคนาดามี notwithstanding clause ในกฎบัตรหลังปี 1982 ซึ่งทำให้รัฐสภาเพิกเฉยต่อเนื้อหาที่เปรียบได้กับบัญญัติสิทธิได้ ดังนั้นอาจมองได้ว่าไม่มีรัฐธรรมนูญที่มีผลจริง
    • โดยทั่วไป ความแตกต่างอยู่ที่ว่า การดักฟังเกิดขึ้นที่ไหน
      ประเทศส่วนใหญ่มีความสามารถในการสกัดกั้นสัญญาณมาตั้งแต่มีสัญญาณแล้ว
      สิ่งที่ต้องการตอนนี้คือการเข้าควบคุมระบบปฏิบัติการหรือแอปพลิเคชัน เพื่อให้ส่งข้อความแบบข้อความล้วนก่อนเข้ารหัสหรือหลังถอดรหัสกลับไปยังประเทศของตน
      แต่ไม่สามารถเดินเข้าไปในบริษัทแล้วสั่งให้ทำแบบนั้นได้เฉย ๆ จึงต้องมีอำนาจบังคับให้บริษัทดำเนินการเปลี่ยนแปลงเช่นนี้ นั่นจึงเป็นเหตุผลที่ร่างกฎหมายพวกนี้มักจบลงอย่างคลุมเครือมาก
    • สงสัยว่ามันเป็นไปได้อย่างไร HTTPS ไม่ได้ป้องกันการดักฟังแบบ end-to-end หรือ?
      ไม่รู้ว่าหมายถึงมีความสามารถในการเจาะมัน หรือแค่สามารถบังคับให้ เจ้าของเอนด์พอยต์ ที่ฉันสื่อสารด้วยส่งต่อข้อมูลให้เท่านั้น
    • เรื่องนี้ไม่ได้เป็นงานของผู้ให้บริการโทรคมนาคมอย่างเดียว ผู้จัดหาอุปกรณ์จะใส่ ฟังก์ชันดักฟังโดยชอบด้วยกฎหมาย ไว้ในอุปกรณ์ และผู้ให้บริการโทรคมนาคมก็แค่ตั้งค่าการเข้าถึงเท่านั้น
      ตอนนี้ตรวจสอบไม่ได้ แต่จำได้ว่ามันเคยเป็นส่วนหนึ่งของมาตรฐานเปิดด้วย
  • จะเรียกว่าหวาดระแวงก็ยอมรับ แต่ผมมองว่า สแกนเนอร์ฝั่งไคลเอนต์ อย่าง Recall มีจุดประสงค์เพื่อเลี่ยงการเข้ารหัสแบบ end-to-end โดยไม่ต้องทำลายคณิตศาสตร์หรือฮาร์ดแวร์
    เมื่อการสแกนฝั่งไคลเอนต์ที่ใช้ NPU รวมกับเทคนิควิเคราะห์คำศัพท์ แม้ผมจะรู้มากพอจนเลิกใช้ Apple/Google/Microsoft อย่างถาวร แต่เพื่อนนิรนามธรรมดา ๆ ของผมอาจกำลังใช้ Copilot+ ที่เปิด Recall อยู่ก็ได้ แบบนั้น Microsoft ก็อ่านบทสนทนาบนอุปกรณ์ของเพื่อนคนนั้นและระบุตัวผมได้

    • อีกไม่นาน Microsoft คงเสนอฟีเจอร์ “สำรองข้อมูล” Recall ไปยัง OneDrive และเมื่อเป็นเช่นนั้น หน่วยงานบังคับใช้กฎหมายก็จะขอข้อมูลนั้นด้วยหมายเรียกได้ง่าย
      ตัวอย่างเช่น WhatsApp ผลักดันให้ใช้การสำรองข้อมูลบน Drive อย่างหนัก ซึ่งในมุมของตำรวจ การได้สำเนาจากตรงนั้นทำได้ง่าย
    • เป็นเพียงเรื่องของเวลาก่อนที่ผู้ดูแลระบบปฏิบัติการหรือ Recall จะตระหนักว่าตนกำลังนั่งอยู่บน กองข้อมูลสำคัญ ที่ถูกเก็บมา “โดยบังเอิญ” แล้วกระโดดเข้าสู่ตลาดโบรกเกอร์ข้อมูล
  • หากมีสิ่งหนึ่งที่ Snowden และ Assange สอนเรา ก็คือไม่ควรตั้งมาตรฐานหลักฐานสำหรับ การสอดส่องที่รัฐเป็นผู้ขับเคลื่อน ไว้สูงเกินไป
    หลักฐานที่หาได้มักล่าช้ากว่าสถานการณ์จริงเสมอ และสิ่งที่เราเคยมองว่าเป็นการพูดเกินจริงหรือความสงสัยแบบสุดโต่ง เช่น “NSA รู้แม้กระทั่งว่าฉันไม่ชอบบรอกโคลี” สุดท้ายก็ไม่ได้ไร้มูลเสียทีเดียว

    • NSA เคยสอดส่องแม้กระทั่งใน World of Warcraft จริง ๆ [1]
      เมื่อเจ้าหน้าที่ข่าวกรองเดินไปมาเป็นเอลฟ์ในเกมเพื่อ “ความมั่นคงของชาติ” นั่นแปลว่าเรากำลังอยู่ในไทม์ไลน์ที่โง่เขลาแต่ก็น่าขบขันไม่รู้จบ
      [1] - https://www.theguardian.com/world/2013/dec/09/nsa-spies-onli...
  • เรื่องแบบนี้วนกลับมาพูดกันในประเทศส่วนใหญ่ทุกไม่กี่ปี ดูเหมือนทุกคนจะลืมไปว่าในแทบทุกประเทศ โทรคมนาคมเป็น อุตสาหกรรมที่ต้องมีใบอนุญาต และการให้บริการดักฟังโดยชอบด้วยกฎหมายเป็นหน้าที่ตามกฎหมายของใบอนุญาตนั้น

    • มีอำนาจใส่แบ็กดอร์สำหรับการสอดส่องในเครือข่ายโทรคมนาคมอยู่แล้ว แต่สิ่งที่ต้องการจริง ๆ คือวิธีทำสิ่งนี้โดยไม่มีด่านทางกฎหมายแบบดั้งเดิมอย่างหมายศาลหรือ การกำกับดูแลทางกฎหมาย
      ดังนั้นอย่ามองข้ามไปเพียงเพราะเหตุผลว่า “ก็ทำได้อยู่แล้วนี่”
    • อ๋อ เพราะกฎหมายเขียนไว้อย่างนั้น ก็เลยเป็นเรื่องที่ยอมรับได้สินะ
  • “ในปี 2017 CBC แสดงให้เห็นว่าแฮ็กเกอร์สามารถสกัดกั้นตำแหน่งการเดินทาง ข้อความ และการโทรของสมาชิกสภาผู้แทนราษฎรแคนาดาได้เพียงรู้หมายเลขโทรศัพท์มือถือของเขา”
    บทความที่ลิงก์ไว้บอกว่าแฮ็กเกอร์สามารถบันทึกการสนทนาระหว่าง Dubé ที่สำนักงาน Parliament Hill กับ Brigitte Bureau เพื่อนร่วมงานจาก Radio-Canada ซึ่งนั่งอยู่ในคาเฟ่ที่เบอร์ลินได้
    มีเรื่องที่สงสัยมากมาย เรื่องนี้ยังทำได้อยู่ไหม? ทำได้กับโทรศัพท์ทุกเครื่องที่ใช้ SS7 หรือเปล่า? รวมทั้งโทรศัพท์บ้านและมือถือไหม? ทำได้จากที่ใดก็ได้ในโลกไปยังที่ใดก็ได้หรือเปล่า? ขีดจำกัดของการโจมตีคืออะไร? ถ้าใคร ๆ ก็ฟังสายคนอื่นได้ ทำไมเรื่องนี้จึงไม่กลายเป็นปัญหาที่ใหญ่กว่านี้มาก?

  • ปัญหาของความพยายามแบบนี้ไม่ได้อยู่ที่การรับมือกับอาชญากรรมจริงหรือปัญหาความปลอดภัย แต่เป็นการ รับประกันอำนาจครอบงำของพรรคการเมือง และควบคุมความเห็นที่คัดค้าน
    หากเทียบความเร็วของการเปลี่ยนแปลงทางเทคโนโลยีกับแนวคิดแบบบริหารจัดการนิยม ความพยายามเชิงนโยบายเช่นนี้ดูเหมือนเป็นสัญญาณว่าแคนาดากำลังก้าวเข้าสู่เส้นทางที่จะอยู่ในสภาพประเทศกำลังพัฒนาไปอีกหลายสิบปีโดยพฤตินัย คล้ายกับที่โปรตุเกส กรีซ อาร์เจนตินา และสเปนเคยถูกมองว่าเป็นประเทศยากจนในช่วงครึ่งหลังของศตวรรษที่ 20 และพรรคการเมืองที่ปกครองในตอนนั้นก็คล้ายกับแคนาดาในปัจจุบัน
    เมื่อรัฐบาลเปลี่ยนทิศจากการเติบโตไปสู่การจัดการความเห็นคัดค้านและการไหลออกของทุน ก็เท่ากับเห็นจุดจบอยู่แล้ว

  • พอรู้อยู่บ้างเกี่ยวกับวงการดักฟังโดยชอบด้วยกฎหมาย (LI) หน่วยงานและบริษัทบางแห่งในสหรัฐฯ/แคนาดาทำเรื่องนี้ด้วยเครื่องมือของ JSI Telecom
    พวกเขาทำ การตรวจสอบแพ็กเก็ตเชิงลึก และบันทึกเสียงการโทร โดยตั้งค่านโยบายการเก็บรักษาตามกฎหมายของประเทศนั้น ๆ แม้จะเป็นสายที่ถูกบันทึกเสียง บทสนทนากับทนายความก็ห้ามบันทึก ดังนั้นต้องมีคนฟังแล้วปิดเสียงเป็นช่วง ๆ บางประเทศไม่อนุญาตให้บันทึก จึงต้องมีคนฟังสายแบบเรียลไทม์
    โดยส่วนตัวคิดว่าประชาธิปไตยกำลังจะหายไป และสาธารณรัฐที่รัฐบาลทำตามใจได้จะขึ้นมามีอำนาจ ยังไงก็ดูเหมือนกำลังไปทางนั้นอยู่แล้ว และกระบวนการที่เหมือนละครนี้ก็น่าเหนื่อยหน่าย

  • สงสัยว่าถึงเวลาแล้วหรือยังที่ประเทศประชาธิปไตยจะรับรอง การเข้ารหัส ไว้ในรัฐธรรมนูญ ภายในกรอบกระบวนการอันชอบธรรมตามกฎหมาย
    อย่างน้อยก็ดูเข้ากันได้ดีกับแนวคิดเรื่องการตรวจสอบและถ่วงดุล

  • แคนาดาเป็นเผด็จการเบ็ดเสร็จงั้นหรือ? น่าประหลาดใจนะ

    • รู้ว่าฝ่ายต่อต้านรัฐบาลชุดปัจจุบันชอบใช้คำแบบนี้กันในช่วงนี้ แต่รัฐบาลแคนาดาอยู่ห่างไกลจาก เผด็จการเบ็ดเสร็จ มากจนดูน่าขำเสียด้วยซ้ำ
      ปัญหาจริง ๆ ไม่ใช่อะไรแบบฟาสซิสม์ แต่เป็นภาวะตลาดผู้ขายน้อยราย
      รัฐบาลทุ่มความพยายามส่วนใหญ่ไปกับการปกป้องบริษัทและอุตสาหกรรมที่เป็นมิตรจากการแข่งขัน และถึงขั้นผันภาษีไปให้ฝ่ายนั้นด้วย
      ในกรณีของ Bell และ Rogers นี่เป็นมูลค่าหลายพันล้านดอลลาร์ต่อปี
    • ไม่ต้องกังวลหรอก EU ก็พยายามทำแบบเดียวกันทุกสองสามสัปดาห์
      https://www.patrick-breyer.de/en/let-yourself-be-monitored-e...
    • พูดให้แม่นคือเป็นอำนาจนิยม เผด็จการเบ็ดเสร็จ ต้องมีการระดมประชากรจำนวนมากภายใต้อุดมการณ์เดียว
      Putin พยายามจะเป็นผู้นำเผด็จการเบ็ดเสร็จ แต่แม้แต่เขาก็ยังไม่สำเร็จ เขาพึ่งพา “เสียงส่วนใหญ่ที่เงียบ” ของรัสเซียที่ถูกทำให้ไร้การเมือง ซึ่งหวาดกลัวหรือไม่ก็ชินชาเกินกว่าจะต่อต้านหน่วยงานความมั่นคงอยู่ไม่น้อย
      ถ้ารัสเซียเป็นรัฐเผด็จการเบ็ดเสร็จจริง เราคงได้เห็นคนส่วนใหญ่นั้นแย่งกันเข้ากองทัพและรัฐบาลแล้ว
    • นี่เป็นความเย้ยหยันที่ไร้ประโยชน์และขาดข้อมูล
      แคนาดาไม่ใช่เผด็จการเบ็ดเสร็จ พูดตรง ๆ ผมคิดว่าคงพูดแบบนั้นได้ยาก เว้นแต่จะมีมุมมองทางการเมืองที่สุดโต่งมากจนเห็นว่าการปิดล้อมใจกลางเมือง Ottawa เป็นเรื่องชอบธรรม
      แคนาดาก็มีความคิดแบบทฤษฎีสมคบคิดสไตล์ MAGA อยู่พอสมควร แต่ตามมาตรฐานแคนาดาแล้วถือว่าเป็นปรากฏการณ์ค่อนข้างใหม่ และไม่ได้รับการยอมรับอย่างกว้างขวางด้วย
    • นี่เป็นการประเมินที่แย่มาก
      ตลอดหลายทศวรรษที่ผ่านมา ไม่มีรัฐบาลแคนาดาชุดใดเข้าใกล้เผด็จการเบ็ดเสร็จ อำนาจนิยม หรืออะไรทำนองนั้นเลย ตัวอย่างล่าสุดที่ยังอยู่ในความทรงจำของผู้คนคงเป็นโรงเรียนประจำสำหรับชนพื้นเมือง ซึ่งดำเนินการโดยคริสตจักรภายใต้นโยบายสนับสนุนของรัฐบาลกลางและรัฐบาลระดับรองลงมา ไม่ได้จะลดทอนความร้ายแรง แต่โรงเรียนประจำแห่งสุดท้ายปิดลงในปี 1997
      แคนาดาเป็นประชาธิปไตยแบบผู้แทนที่จัดอยู่ในกลุ่ม เสรีประชาธิปไตยแบบตะวันตก อย่างไม่ต้องสงสัย เสรีนิยมใหม่ก็มีประเด็นให้วิจารณ์อย่างชอบธรรม เช่นเดียวกับอนุรักษนิยมใหม่ แต่ข้อกล่าวหาว่ามีความทะเยอทะยานแบบเผด็จการเบ็ดเสร็จนั้นจะใช้ได้ก็ต่อเมื่อเป็นกรณีที่พบได้น้อยมาก
      ตรงกันข้าม ภัยคุกคามที่ใหญ่ที่สุดต่อประชาธิปไตยแคนาดาอาจเป็นการรู้เท่าทันทางการเมืองที่ลดลง เราไม่ได้เลือกนายกรัฐมนตรีโดยตรง แต่หลายคนลงคะแนนเหมือนเป็นเช่นนั้น แคนาดาไม่ได้เป็นระบบสองพรรค และในความเป็นจริงเป็นระบบหลายพรรคถึงขั้นมีรัฐบาลเสียงข้างน้อยได้ และตอนนี้ก็เป็นแบบนั้นอยู่ แต่หลายคนลงคะแนนราวกับว่าโดยพื้นฐานแล้วเป็นระบบสองพรรคที่มี “พรรคตลก ๆ ที่ทำให้คะแนนเสียเปล่า” พ่วงอยู่
      เรามีรัฐสภาสองสภา แต่สภาหนึ่งประกอบด้วยสมาชิกที่มาจากการเลือกตั้งล้วน ๆ และจนถึงตอนนี้ก็ยังรักษาความสงบได้ค่อนข้างดีโดยอาศัยพลังของเจตนาดีเป็นหลัก ผมไม่ได้มองว่านั่นเป็นกลไกคุ้มครองที่เพียงพอในระยะยาว แต่นั่นเป็นอีกประเด็นหนึ่ง
      ชาวแคนาดาส่วนใหญ่คงตอบแบบปุบปับไม่ได้ว่าร่างกฎหมายถูกเสนอและผ่านในรัฐสภาอย่างไร นอกเหนือจากรู้ว่ามีการอ่านร่างกฎหมายอยู่หลายวาระ อีกทั้งในทางปฏิบัติ คนส่วนใหญ่ลงคะแนนโดยดูหัวหน้าพรรคและผลงานโดยรวมระหว่างที่พรรคบริหารประเทศ มากกว่าจะติดตามว่าส.ส. เขตหรือสมาชิกสภาจังหวัดของตนทำอะไร
  • https://archive.is/y6d41