Nieuw voorgesteld eiDAS-amendement geeft de EU een wettelijk mandaat om HTTPS-sites te controleren

In 2018 introduceerde de Europese Unie de elektronische identificatie-, authenticatie- en vertrouwensdiensten (eiDAS) ingevoerd als een reeks voorschriften die een basis vormen voor het vertrouwen in en de beveiliging van cyberspace via elektronische handtekeningen, zegels, tijdstempels, leveringsdiensten en websiteverificatie. Sommige verordeningen moesten worden herzien naar aanleiding van de pandemie, en de herziene eiDAS zou binnenkort een artikel 45 kunnen bevatten dat EU-regeringen in wezen toestaat om EU-burgers en inwoners te controleren door middel van verschillende manieren om versleuteld internetverkeer via het HTTPS-protocol te onderscheppen. Dit specifieke artikel werd zonder toestemming van het publiek gewijzigd en meer dan 300 academici en technische experts proberen nu dergelijke ernstige inbreuken op de mensenrechten aan de kaak te stellen door een open brief te publiceren waarin wordt aangedrongen op het gebruik van gevestigde webstandaarden.

Zoals ComputerWeekly meldt, behoort Steven Murdoch - hoogleraar beveiligingstechniek aan het University College London (UCL) - tot de ondertekenaars van de open brief die verbaasd waren over de vermelding van webbrowsersurveillance in het hervormde eiDAS. Als artikel 45 ongewijzigd wordt aangenomen, kunnen EU-regeringen naar believen nieuwe HTTPS-hoofdcertificaten invoeren onder het voorwendsel dat deze de veiligheid voor websitegebruikers verbeteren. Deze nieuwe certificaten kunnen echter ook worden gebruikt om webverkeer in de hele EU te onderscheppen en vertrouwelijke gegevens te verzamelen. De ondertekenaars dringen er bij de Europese Commissie op aan om "deze tekst dringend te heroverwegen en duidelijk te maken dat artikel 45 zich niet zal bemoeien met vertrouwensbeslissingen rond de cryptografische sleutels en certificaten die gebruikt worden om webverkeer te beveiligen."

Murdoch wijst erop dat artikel 45 "geïnterpreteerd zou kunnen worden als een manier om macht weg te nemen van big tech en deze over te dragen aan overheden," maar "dit is daarvoor het verkeerde mechanisme," aangezien het nog steeds nadelig is voor alle EU-burgers. Daarnaast zijn de clausules die verwijzen naar de European Digital Identity Wallet in het voorgestelde artikel 6a en 7a in wezen overheden en leveranciers van technische diensten machtigen om te controleren hoe digitale referenties op individueel niveau worden gebruikt.

SSL/TLS achter slot en grendel kopen: Een gids voor het begrijpen van SSL/TLS-cryptografie op Amazon