Gevaarlijk precedent : Nieuwe wet in Frankrijk wil browsers censureren

De Franse regering wil censuurmechanismen op browserniveau invoeren. Mozilla, bekend van zijn Firefox-browser, vreest voor een dystopische technologie die censuur voor autoritaire regimes makkelijker zal maken.

Een geplande wet tegen internetfraude in Frankrijk wil voor het eerst censuurmechanismen op browserniveau introduceren. Volgens de krant Le Monde omschreef de verantwoordelijke Franse minister de voorgestelde wetgeving in mei als “agressief”. Artikel 6 van de zogenaamde “Digital Space Securing and Regminating Act” (SREN) bevat eisen die webbrowsers verplichten door de overheid verstrekte blokkadelijsten te implementeren en websites te blokkeren, meldt Udbhav Tiwari in de blog van Firefox-fabrikant Mozilla .

Daar worden de plannen omschreven als ‘dystopisch’. Een dergelijke stap zou autoritaire regeringen een instrument geven waarmee ze censuur-bypass-instrumenten waardeloos kunnen maken. De eerdere censuur gaat een niveau hoger, bijvoorbeeld op het niveau van internetproviders. Met de nieuwe wet zouden browsers dan censuurinstrumenten worden.

Tot nu toe hebben browsers een waarschuwingsfunctie die gebruikers beschermt tegen malware en phishing. Ze zijn gebaseerd op systemen als Safe Browsing van Google of Smartscreen van Microsoft. Bij gebruik van deze systemen worden de pagina’s echter niet geblokkeerd, maar worden de gebruikers alleen duidelijk gewaarschuwd. U kunt echter zelf beslissen of u zo’n pagina wilt oproepen of, in het geval van Mozilla’s Firefox, zelf beslissen of u het filter volledig wilt uitschakelen.

De voorgestelde Franse wet voorziet niet in een dergelijke mogelijkheid, maar richt zich in plaats daarvan op blokkering, aldus de blogpost van Mozilla. Er zijn ook geen mechanismen in de wet om te voorkomen dat de functie voor andere doeleinden wordt gebruikt dan het blokkeren van malware.

petitie gestart

“Het feit dat een overheid kan bevelen dat een bepaalde website helemaal niet in een browser/systeem wordt geopend, is nieuw terrein, en zelfs de meest repressieve regimes ter wereld hebben er tot nu toe de voorkeur aan gegeven om websites verderop op het web (ISP’s, enz.) te blokkeren. ),’ schrijft Mozilla.

Zelfs als de technologie vandaag de dag in Frankrijk alleen zou worden gebruikt voor malware en phishing, zou dit een precedent scheppen en de technische vereisten voor browsers voor censuur stellen.

“Een wereld waarin browsers gedwongen kunnen worden een lijst op softwareniveau te integreren met verboden websites die in geen enkele regio of wereldwijd geopend kunnen worden, is een verontrustend vooruitzicht dat ernstige zorgen oproept over de vrijheid van meningsuiting”, schrijft Udbhav Tiwari. Mozilla vreest dat de wet het in de toekomst voor browsers moeilijk zal maken om dergelijke verzoeken van andere overheden te weigeren.

De Mozilla Foundation heeft onlangs een petitie tegen het wetsvoorstel gelanceerd . De wet zal naar verwachting dit najaar worden aangenomen.

Ook VK bezig met backdoor-wetsvoorstel

Frankrijk is niet het enige Europese land dat via de wet actief bepaalde internetcontent wil blokkeren. Ook in het VK wordt op dit moment een wet, de ‘Online Safety Bill’, voorbereid die techbedrijven verplicht door de overheid verzochte backdoors in applicaties met end-to-end encryptie in te bouwen.

Het wetsvoorstel richt zich op chatapplicaties. Denk hierbij aan apps als WhatsApp, Telegram of Signal. WhatsApp en Signal zouden al hebben aangegeven hun activiteiten in het VK te stoppen als de wet door het parlement wordt aangenomen. Maar beide wetsvoorstellen hebben wel dezelfde achterliggende gedachten, namelijk illegale content een halt toeroepen.ç

Commentaar Mozilla

In een goedbedoelde maar gevaarlijke poging om onlinefraude te bestrijden, staat Frankrijk op het punt browsers te dwingen dystopische technische mogelijkheden te creëren. Artikel 6 (paragraaf II en III) van het SREN-wetsontwerp zou browseraanbieders dwingen middelen te creëren om websites die op een door de overheid verstrekte lijst staan ​​verplicht te blokkeren. Een dergelijke stap zal tientallen jaren van gevestigde normen voor inhoudsmoderatie omverwerpen en een speelboek bieden voor autoritaire regeringen dat gemakkelijk het bestaan ​​van instrumenten voor het omzeilen van censuur teniet zal doen.

Hoewel gemotiveerd door een legitieme zorg, zou deze stap om websites rechtstreeks in de browser te blokkeren rampzalig zijn voor het open internet en niet in verhouding staan ​​tot de doelstellingen van het wetgevingsvoorstel: het bestrijden van fraude. Het zal ook een zorgwekkend precedent scheppen en technische capaciteiten creëren die andere regimes voor veel snodere doeleinden zullen gebruiken. 

Door gebruik te maken van bestaande beschermingsaanbiedingen tegen malware en phishing in plaats van deze te vervangen door door de overheid verstrekte blokkeerlijsten, zijn blokkeerlijsten op apparaatniveau een veel betere route om de doelstellingen van de wetgeving te bereiken.

De rest van het artikel zal een kort overzicht geven van de huidige stand van zaken op het gebied van phishing-beveiligingssystemen in browsers, het onderscheid tussen industriële praktijken en wat het wetsontwerp voorstelt, en alternatieven voorstellen om de doelstellingen van de wetgeving op een minder extreme manier te bereiken.

Browsers en phishing-beveiligingssystemen

Browsers hebben een cruciale rol gespeeld in de groei van het internet door te dienen als user agents die onze ervaringen met internet bemiddelen. Deze rol, waarin Mozilla via Firefox al meer dan 25 jaar een integrale speler is, is gebaseerd op een aantal fundamentele veronderstellingen die browsers in staat stellen zich te concentreren op het dienen van de belangen van hun gebruikers, terwijl ze beslissingen over inhoudsregulering verderop in de keten bij beide netwerktussenpersonen houden ( zoals ISP’s) of dienstverleners (websites).

De twee meest gebruikte beschermingssystemen tegen malware en phishing in de branche zijn Safe Browsing van Google en Smart Screen van Microsoft , waarbij Mozilla (samen met Apple , Brave en vele anderen) Safe Browsing van Google gebruikt. De Safe Browsing-service bestaat al minstens sinds 2005 en beschermt momenteel bijna de helft van de online bevolking ter wereld op verschillende apparaten en software. 

Het heeft betrekking op malware, ongewenste software en social engineering (phishing en andere misleidende sites). Het heeft ook een breed beleid dat redelijk robuust is en ook beschikbaar is via een gratis API, waardoor het voor organisaties een kosteneffectievere manier is om gebruikers te beschermen.

Firefox maakt al meer dan tien jaar gebruik van het Safe Browsing-aanbod van Google en heeft een unieke, privacybeschermende implementatie die de privacy van gebruikers beschermt en tegelijkertijd voorkomt dat ze het slachtoffer worden van malware en phishing. Deze instelling kan ook op elk gewenst moment door gebruikers worden uitgeschakeld, zodat zij de controle behouden over hun internetervaring.

Het lijkt erop dat de huidige praktijken in de beschermingssector tegen malware en phishing niet zoveel verschillen van het Franse voorstel. Dit is verre van waar, waarbij de belangrijkste onderscheidende factor is dat ze geen websites blokkeren, maar gebruikers alleen waarschuwen voor de risico’s en hen toegang geven tot de websites als ze ervoor kiezen deze te accepteren. Een dergelijke taal is niet aanwezig in het huidige voorstel, dat gericht is op blokkering. 

Er zijn ook geen verwijzingen naar privacybehoudende implementaties of mechanismen om te voorkomen dat deze functie voor andere doeleinden wordt gebruikt. In feite is het feit dat een overheid kan opleggen dat een bepaalde website helemaal niet geopend is in een browser/systeem onbekend terrein en zelfs de meest repressieve regimes ter wereld geven er tot nu toe de voorkeur aan om websites hogerop in het netwerk (ISP’s, enz.) te blokkeren. .

Mondiaal precedent

Het dwingen van browsers om mogelijkheden te creëren die het blokkeren van websites op browserniveau mogelijk maken, is een hellend vlak. Hoewel het vandaag de dag in Frankrijk misschien alleen voor malware en phishing wordt ingezet, zal het een precedent scheppen en de technische mogelijkheden binnen browsers creëren voor alles wat een overheid in een bepaald rechtsgebied voor altijd zou willen beperken of criminaliseren. 

Een wereld waarin browsers gedwongen kunnen worden een lijst van verboden websites op softwareniveau op te nemen die simpelweg niet openen, zowel in een regio als wereldwijd, is een zorgwekkend vooruitzicht dat ernstige zorgen oproept rond de vrijheid van meningsuiting. Als het met succes in de wet wordt omgezet, zou het precedent dat dit schept het voor browsers veel moeilijker maken om dergelijke verzoeken van andere overheden te weigeren.

Er bestaan ​​betere oplossingen

In plaats van browsergebaseerde blokkering verplicht te stellen, denken wij dat de wetgeving zich moet concentreren op het verbeteren van de bestaande mechanismen die al door browsers worden gebruikt – diensten zoals Safe Browsing en Smart Screen. De wet zou zich in plaats daarvan moeten concentreren op het vaststellen van duidelijke maar redelijke termijnen waarbinnen grote phishing-beschermingssystemen legitieme verzoeken om website-opname van geautoriseerde overheidsinstanties moeten afhandelen. 

Al dergelijke verzoeken om opname moeten gebaseerd zijn op een robuuste reeks openbare criteria die beperkt zijn tot phishing-/zwendelwebsites, onderworpen zijn aan onafhankelijke beoordeling door deskundigen, en gerechtelijke beroepsmechanismen bevatten voor het geval een opnameverzoek door een aanbieder wordt afgewezen. Een dergelijk juridisch kader zou een evenwichtig coördinatiemechanisme creëren in plaats van een voorstel voor het blokkeren van websites dat gebruikers niet alleen in Frankrijk maar over de hele wereld zou beschermen.

We blijven betrokken bij gesprekken met relevante belanghebbenden en hopen dat de definitieve wet tot een beter verteerbaar resultaat voor het open internet leidt.