Las leyes de divulgación de claves , también conocidas como divulgación obligatoria de claves , son leyes que exigen a las personas entregar claves criptográficas a las autoridades. El objetivo es permitir el acceso a material para fines de confiscación o de análisis forense digital y utilizarlo como prueba en un tribunal de justicia o para hacer cumplir los intereses de seguridad nacional . De manera similar, las leyes de descifrado obligatorio obligan a los propietarios de datos cifrados a proporcionar datos descifrados a las autoridades. [1]
Los países varían ampliamente en los detalles de cómo implementan las leyes de divulgación de información clave. Algunos, como Australia, otorgan a las fuerzas del orden un amplio poder para obligar a cualquier parte a ayudar a descifrar datos. Algunos, como Bélgica, preocupados por la autoincriminación , solo permiten que las fuerzas del orden obliguen a ayudar a quienes no son sospechosos. Algunos solo requieren que terceros específicos, como operadores de telecomunicaciones, proveedores de certificación o mantenedores de servicios de cifrado, brinden asistencia para el descifrado. En todos los casos, generalmente se requiere una orden judicial.
El descifrado obligatorio es técnicamente un requisito más débil que la divulgación de la clave, ya que es posible en algunos criptosistemas demostrar que un mensaje ha sido descifrado correctamente sin revelar la clave. Por ejemplo, utilizando el cifrado de clave pública RSA , se puede verificar, dado el mensaje (texto simple), el mensaje cifrado (texto cifrado) y la clave pública del destinatario, que el mensaje es correcto simplemente volviéndolo a cifrar y comparando el resultado con el mensaje cifrado. Este esquema se denomina innegable , ya que una vez que el gobierno ha validado el mensaje, no puede negar que es el mensaje descifrado correcto. [2]
Como contramedida a las leyes de divulgación clave, algunos productos de privacidad personal como BestCrypt , FreeOTFE y TrueCrypt han comenzado a incorporar tecnología de cifrado denegable , que permite descifrar una sola pieza de datos cifrados de dos o más formas diferentes, lo que crea una negación plausible . [3] [4] Otra alternativa es la esteganografía , que oculta datos cifrados dentro de datos benignos para que sea más difícil identificarlos en primer lugar.
Un aspecto problemático de la divulgación de claves es que conduce a un compromiso total de todos los datos cifrados utilizando esa clave en el pasado o en el futuro; los esquemas de cifrado con límite de tiempo, como los de Desmedt et al. [2], permiten el descifrado solo por un período de tiempo limitado.
Los críticos de las leyes de divulgación de claves consideran que comprometen la privacidad de la información [1] al revelar información personal que puede no ser pertinente al delito que se investiga, además de violar el derecho a no autoincriminarse y, de manera más general, el derecho a guardar silencio en las naciones que respetan estos derechos. En algunos casos, puede resultar imposible descifrar los datos porque la clave se ha perdido, se ha olvidado o se ha revocado, o porque los datos son en realidad datos aleatorios que no se pueden distinguir de manera efectiva de los datos cifrados.
Una alternativa proactiva a la ley de divulgación de claves es la ley de depósito de claves , en la que el gobierno mantiene en custodia una copia de todas las claves criptográficas en uso, pero solo se le permite usarlas si se emite una orden judicial apropiada. Los sistemas de depósito de claves enfrentan problemas técnicos difíciles y están sujetos a muchas de las mismas críticas que la ley de divulgación de claves; evitan algunos problemas como la pérdida de claves, al tiempo que introducen nuevos problemas como el riesgo de divulgación accidental de grandes cantidades de claves, robo de claves por parte de piratas informáticos o abuso de poder por parte de empleados del gobierno con acceso a las claves. También sería casi imposible evitar que el gobierno use en secreto la base de datos de claves para ayudar a los esfuerzos de vigilancia masiva como los expuestos por Edward Snowden . [1] El término ambiguo recuperación de claves se aplica a ambos tipos de sistemas.
Esta lista muestra sólo naciones donde se conocen leyes o casos sobre este tema.
El artículo 21(5)(c) de la Ley sobre el uso indebido de computadoras de 2006, si se promulga, permitiría a la policía, con una orden judicial, exigir y utilizar claves de descifrado. El incumplimiento puede suponer una "multa de quince mil dólares [del Caribe Oriental]" y/o "dos años de prisión". [5]
La Ley de Delitos Cibernéticos de 2001, Nº 161, artículos 12 y 28, otorga a la policía, mediante una orden judicial, el amplio poder de exigir a "una persona específica que proporcione cualquier información o asistencia que sea razonable y necesaria para permitir al agente "acceder a datos informáticos que sean "material probatorio"; se entiende que esto incluye el descifrado obligatorio. El incumplimiento conlleva una pena de seis meses de prisión. Electronic Frontiers Australia califica la disposición de "alarmante" y "contraria al privilegio del derecho consuetudinario contra la autoincriminación". [6]
Ley de Delitos de 1914, 3LA(5): “Una persona comete un delito si no cumple con la orden. Pena por contravenir esta subsección: prisión por 2 años”. [7]
La Ley del 28 de noviembre de 2000 relativa a la criminalidad informática , en su artículo 9, permite a un juez ordenar a las autoridades que busquen en los sistemas informáticos y en los proveedores de telecomunicaciones para prestar ayuda a las fuerzas de seguridad, incluido el descifrado obligatorio, y que mantengan en secreto su ayuda; pero esta acción no puede ejercerse contra los sospechosos o sus familias. [8] [9] El incumplimiento de esta disposición se castiga con una pena de prisión de entre seis meses y un año y/o una multa de entre 130.000 y 100.000 euros.
El 2 de noviembre de 2019, Camboya promulgó su Ley de Comercio Electrónico, tras su aprobación por la legislatura y la aprobación del monarca, convirtiéndose en el último de los Estados de la ASEAN en adoptar una ley nacional que regule el comercio electrónico. [10] El artículo 43 del estatuto prohíbe cualquier cifrado de pruebas en forma de datos que puedan dar lugar a una acusación, o cualquier prueba en un sistema electrónico que se relacione con un delito. [11] Esta obligación legal puede implicar que las autoridades podrían ordenar el descifrado de cualquier dato implicado en una investigación. [12] Si bien no se ha probado en los tribunales, esta obligación contradice activamente el derecho procesal de una persona acusada a no autoincriminarse, tal como se establece en el artículo 143 del Código de Procedimiento Penal. [13]
En Canadá, la divulgación de información clave está amparada por la sección 11(c) de la Carta Canadiense de Derechos y Libertades , que establece que "toda persona acusada de un delito tiene derecho a no ser obligada a ser testigo en los procedimientos contra ella con respecto al delito" [14]; y protege los derechos de las personas que son tanto ciudadanos como no ciudadanos de Canadá siempre que estén físicamente presentes en Canadá. [15]
En un caso de 2010 ante el Tribunal de Apelaciones de Quebec, el tribunal declaró que una contraseña que la policía le exige a un individuo "es inadmisible y hace que la incautación posterior de los datos sea irrazonable. En resumen, incluso si la incautación hubiera sido precedida por una autorización judicial, la ley no permitirá que se adjunte una orden que obligue al demandado a autoincriminarse". [16]
En un caso judicial de Ontario de 2019 (R v. Shergill), inicialmente se le ordenó al acusado que proporcionara la contraseña para desbloquear su teléfono. Sin embargo, el juez concluyó que proporcionar una contraseña equivaldría a autoincriminarse al testificar contra uno mismo. Como resultado, el acusado no estaba obligado a proporcionar su contraseña. [17]
En la República Checa no existe ninguna ley que especifique la obligación de emitir claves o contraseñas. [18] La ley prevé la protección contra la autoincriminación, incluida la ausencia de sanciones por negarse a responder a cualquier pregunta que permita a los organismos encargados de hacer cumplir la ley obtener acceso a posibles pruebas que podrían utilizarse contra una persona que testifique. [19]
La Ley de Medidas Coercitivas ( Pakkokeinolaki ) 2011/806, artículo 8, párrafo 23 [20], exige que el propietario del sistema, su administrador o una persona específica entreguen las "contraseñas y otra información similar" necesarias para proporcionar acceso a la información almacenada en un sistema de información. El sospechoso y algunas otras personas especificadas en el artículo 7, párrafo 3, que no puedan ser citadas como testigos de otro modo están exentas de este requisito.
La Ley n ° 2001-1062 del 15 de noviembre de 2001 relativa a la seguridad cotidiana , en su artículo 30, permite a un juez o fiscal obligar a cualquier persona cualificada a descifrar o entregar las claves para poner a disposición toda la información que encuentre en el curso de una investigación. El incumplimiento de esta obligación conlleva una pena de tres años de prisión y una multa de 45.000 euros; si el incumplimiento hubiera permitido evitar o atenuar un delito, la pena aumenta a cinco años de prisión y 75.000 euros. [21]
El Código de Procedimiento Penal alemán otorga al sospechoso el derecho a negarse a colaborar en una investigación que pueda dar lugar a que se revele información incriminatoria sobre él mismo. En el caso del uso privado, no existe ninguna base legal que obligue al sospechoso a entregar ningún tipo de clave criptográfica debido a este principio nemo tenetur . [22]
Existen diferentes leyes (fiscales, penales, etc.) que establecen que las empresas deben garantizar que estos datos sean legibles por el gobierno. Esto incluye la necesidad de revelar las claves o el contenido no cifrado cuando sea necesario.
En Islandia no existe ninguna ley que especifique la obligación de emitir claves o contraseñas. [ cita requerida ]
La sección 69 de la Ley de Tecnología de la Información , modificada por la Ley de Tecnología de la Información (Modificación) de 2008, faculta a los gobiernos central y estatales a obligar a cualquier "suscriptor o intermediario o cualquier persona a cargo del recurso informático" a prestar asistencia para descifrar información. [23] [24] El incumplimiento de esta norma se castiga con hasta siete años de prisión y/o una multa.
El artículo 7(4)(b) de la Ley de Justicia Penal (Delitos Relacionados con los Sistemas de Información) de 2017 permite a un miembro de la Garda Síochána u otras personas que se consideren necesarias (a través de una orden de allanamiento emitida por un juez del Tribunal de Distrito (artículo 7(1))) exigir la divulgación de una contraseña para operar una computadora y cualquier clave de descifrado requerida para acceder a la información contenida en ella. [25]
7(4) Un miembro que actúe bajo la autoridad de una orden de registro según esta sección puede:
(a) operar cualquier computadora en el lugar que se está registrando o hacer que dicha computadora sea operada por una persona que acompañe al miembro para ese propósito, y
(b) exigir a cualquier persona en ese lugar que parezca al miembro tener acceso legal a la información contenida en dicha computadora—
(i) proporcionar al miembro cualquier contraseña necesaria para operarlo y cualquier clave o código de cifrado necesario para desencriptar la información accesible por la computadora, destrucción inmediata de los datos
(ii) de otro modo permitir al miembro examinar la información accesible por la computadora en una forma en que la información sea visible y legible, o
(iii) producir la información en una forma en que pueda eliminarse y en que sea, o pueda hacerse, visible y legible.
A partir de 2016, [actualizar]la Aduana de Nueva Zelanda estaba buscando poder para obligar a la divulgación de claves. [26] Aunque Nueva Zelanda puede no tener una ley de divulgación de claves, desde entonces ha aplicado sanciones contra los viajeros que no están dispuestos a desbloquear los dispositivos móviles cuando los funcionarios los obligan a hacerlo. [27]
En relativamente pocos casos conocidos en los que la policía o el fiscal solicitaron claves criptográficas a los acusados formalmente y estas solicitudes no se cumplieron, no se impusieron más consecuencias a los acusados. No existe una ley específica en esta materia, por ejemplo en el Reino Unido. En general, se asume que el Código de Procedimiento Penal polaco (Kodeks Postępowania Karnego Dz.U. 1997 nr 89 poz. 555.) prevé medios de protección contra la autoincriminación, incluida la falta de penalización por negarse a responder a cualquier pregunta que permita a las fuerzas del orden obtener acceso a posibles pruebas, que podrían usarse contra la persona que testifica. [28]
Según la Ley RICA de 2002 , la negativa a revelar una clave criptográfica en posesión de una persona podría dar lugar a una multa de hasta 2 millones de ZAR o hasta 10 años de prisión. Esto requiere que un juez emita una orden de descifrado a una persona que se cree que posee la clave. [ cita requerida ] El tribunal constitucional consideró que la Ley RICA era inconstitucional en 2021
La Ley de Enjuiciamiento Criminal de España otorga a los sospechosos derechos contra la autoincriminación, [29] y esto evitaría que el sospechoso sea obligado a revelar contraseñas. [30] Sin embargo, un juez puede ordenar a terceros que colaboren con cualquier investigación criminal, incluida la revelación de claves de descifrado, cuando sea posible. [31]
Actualmente no existen leyes que obliguen a revelar las claves criptográficas. Sin embargo, se ha propuesto una legislación sobre la base de que el Consejo de Europa ya ha adoptado un convenio sobre delitos cibernéticos relacionado con este tema. La legislación propuesta permitiría a la policía exigir a una persona que revele información, como contraseñas y claves criptográficas, durante los registros. La propuesta se ha presentado para facilitar las cosas a la policía y a los fiscales. La propuesta ha sido criticada por la Autoridad de Protección de Datos de Suecia . [32] [33]
En Suiza no existe ninguna ley que especifique la obligación de emitir claves o contraseñas. [34]
El artículo 125k del Wetboek van Strafvordering permite a los investigadores acceder a los soportes de información y a los sistemas en red mediante una orden judicial. El mismo artículo permite al fiscal y a los funcionarios similares del tribunal ordenar a las personas que saben cómo acceder a esos sistemas que compartan su conocimiento en la investigación, incluido cualquier conocimiento sobre el cifrado de datos en soportes de información. Sin embargo, tal orden no puede darse al sospechoso investigado. [35]
La Ley de Regulación de los Poderes de Investigación de 2000 (RIPA), Parte III, activada por orden ministerial en octubre de 2007, [36] exige que las personas descifren la información y/o proporcionen claves a los representantes del gobierno para descifrar la información sin una orden judicial. El incumplimiento de la obligación de revelar la información conlleva una pena máxima de dos años de cárcel, o cinco años en los casos de seguridad nacional o indecencia infantil. La disposición se utilizó por primera vez contra activistas de los derechos de los animales en noviembre de 2007, [37] y al menos tres personas han sido procesadas y condenadas por negarse a entregar sus claves de cifrado, [38] una de las cuales fue condenada a 13 meses de prisión. [39] Incluso los políticos responsables de la ley han expresado su preocupación por que su amplia aplicación pueda ser problemática. [40]
En 2017, se utilizó el Anexo 7 de la Ley de Terrorismo de 2000 para acusar a Muhammad Rabbani de "obstruir deliberadamente o intentar frustrar un examen de búsqueda" después de supuestamente negarse a revelar contraseñas. [41] Posteriormente fue condenado. [42]
En 2018, Stephen-Alan Nicholson, el principal sospechoso de un caso de asesinato, fue acusado de negarse a proporcionar su contraseña de Facebook a la policía. [43]
La Quinta Enmienda de la Constitución de los Estados Unidos protege a los testigos de ser obligados a incriminarse a sí mismos, y actualmente no existe ninguna ley sobre la divulgación de claves en los Estados Unidos. [44] Sin embargo, el caso federal In re Boucher puede ser influyente como jurisprudencia . En este caso, la computadora portátil de un hombre fue inspeccionada por agentes de aduanas y se descubrió pornografía infantil. El dispositivo fue confiscado y apagado, momento en el que la tecnología de cifrado de disco hizo que la evidencia no estuviera disponible. El juez sostuvo que era una conclusión inevitable que el contenido existía ya que los agentes de aduanas ya lo habían visto, la contraseña de cifrado de Boucher "agrega poco o nada a la suma total de la información del Gobierno sobre la existencia y ubicación de archivos que pueden contener información incriminatoria". [45] [46]
En otro caso , un juez de distrito ordenó a una mujer de Colorado que descifrara su computadora portátil para que los fiscales pudieran usar los archivos en su contra en un caso penal: "Concluyo que la Quinta Enmienda no está implicada al requerir la producción de los contenidos no cifrados de la computadora portátil Toshiba Satellite M305", dictaminó el juez de distrito de Colorado Robert Blackburn el 23 de enero de 2012. [47] En Commonwealth v. Gelfgatt , [48] el tribunal ordenó a un sospechoso que descifrara su computadora, citando una excepción a la Quinta Enmienda que puede invocarse porque " un acto de producción no implica una comunicación testimonial donde los hechos transmitidos ya son conocidos por el gobierno... ". [49]
Sin embargo, en el caso Estados Unidos v. Doe , el Tribunal de Apelaciones de los Estados Unidos para el Undécimo Circuito dictaminó el 24 de febrero de 2012 que forzar el descifrado de una computadora portátil viola la Quinta Enmienda. [50] [51]
La Oficina Federal de Investigaciones también puede emitir cartas de seguridad nacional que requieran la divulgación de claves para fines de investigación. [52] Una empresa, Lavabit , decidió cerrar en lugar de entregar sus claves privadas maestras debido a que el gobierno quería espiar los correos electrónicos de Edward Snowden .
Desde el verano de 2015, se han producido casos entre las principales empresas tecnológicas, como Apple, sobre la regulación del cifrado y las agencias gubernamentales que solicitan acceso a información privada cifrada con fines de aplicación de la ley. El Laboratorio de Ciencias de la Computación e Inteligencia Artificial del MIT redactó y publicó un informe técnico en el que Ronald Rivest , inventor de RSA , y Harold Abelson , profesor de informática del MIT, entre otros, explican las dificultades técnicas, incluidos los problemas de seguridad que surgen de la regulación del cifrado o de poner una clave a disposición de un tercero con el fin de descifrar cualquier posible información cifrada. El informe enumera escenarios y plantea preguntas a los responsables políticos. También pide más detalles técnicos si se va a seguir adelante con la solicitud de regulación del cifrado. [53]
En 2019, la Corte Suprema de Pensilvania , en un fallo que solo controla la ley de ese estado, sostuvo que un sospechoso en un caso de pornografía infantil no podía ser obligado a revelar su contraseña, a pesar de decirle a la policía "Ambos sabemos lo que hay ahí". [54]