Hacker News Digest

Парламент Канады рассматривает законопроект C-22, также известный как Закон о законном доступе, который уже прошёл Палату общин и теперь находится на рассмотрении Сената. Документ наделяет правительство правом принуждать цифровые сервисы — телекоммуникационные компании, мессенджеры и другие — содействовать государственной слежке. Особую тревогу вызывает положение, позволяющее министру общественной безопасности требовать от компаний создания «бэкдора» в своих сервисах для правоохранительных органов, если это не приведёт к «системной уязвимости». По мнению критиков, это прямая дорога к ослаблению шифрования, на которое полагаются все пользователи.

Кроме того, законопроект обязывает сервисы хранить метаданные до одного года, раскрывая, с кем люди общаются, куда ходят и какими сервисами пользуются, даже если они не подозреваются в преступлении. Канадская ассоциация гражданских свобод (CCLA) и Citizen Lab опубликовали детальный анализ, указав на серьёзные конституционные и кибербезопасностные проблемы, и призвали полностью отозвать Часть 2 законопроекта, устанавливающую режим слежки и хранения данных. C-22 также может расширить передачу личных данных канадцев иностранным правоохранительным органам, включая США: ведутся переговоры о трансграничном соглашении, позволяющем американской полиции получать информацию о канадских интернет-пользователях без надзора канадского суда. Некоторые сенаторы уже выразили обеспокоенность и предположили, что законопроект может не соответствовать конституционным гарантиям приватности. CCLA призывает канадцев подписать петицию против C-22, пока Сенат не превратил эту опасную экспансию слежки в новую реальность.

Попытки гражданского сопротивления Bill C-22 в Канаде малоэффективны: письма депутатам часто игнорируются, Сенат редко отклоняет законопроекты, а правящая партия и медиа поддерживают закон. На фоне политической апатии и отсутствия освещения в госСМИ мобилизация затруднена, из-за чего мнения разделились между призывами к активности (например, @zaptheimpaler) и убежденностью в бессмысленности таких действий (@slopinthebag). Существуют опасения, что закон позволит передавать персональные данные США по аналогии с Cloud Act в Великобритании и Австралии. Для защиты приватности рекомендуют GrapheneOS, Signal, Ente, Nook и надежный VPN; обсуждается использование TOR, хотя возможна его блокировка. Также предполагается, что принятие закона может привести к блокировке канадских пользователей крупными мессенджерами, что усилит давление на правительство.

Исследователи из Citizen Lab при Университете Торонто утверждают, что израильское рекламное агентство Discover-Tech через свою платформу Controlium годами показывало миллионам пользователей объявления, позволяющие устанавливать «zero-click»-шпионское ПО — без единого действия жертвы. Платформа собирает профили и IP-адреса людей, а затем, если человек выбран целью, шпионская фирма отправляет на его устройство вредоносный код. Заражение происходит незаметно и за секунды. По данным Citizen Lab, скомпрометированы десятки устройств сотрудников катарского телеканала Al Jazeera, а реклама Discover-Tech с 2024 года показывалась в Йемене, Бразилии, Мексике и Чехии.

Связанное исследование группы Confiant указывает, что эти объявления видели пользователи сетей госструктур Европы и США, ООН, НАТО, Международного уголовного суда и МАГАТЭ. Шпионское ПО получает доступ ко всему на устройстве: сообщениям, фото, почте, записи звонков и микрофону. «Рекламная экосистема используется в огромных масштабах, чтобы профилировать миллионы пользователей, а затем тихо заражать цели наёмным шпионским ПО», — говорится в отчёте. Исследователь Вулфи Кристл назвал катастрофой, что крупные рекламные площадки годами не замечали и не предотвращали эти операции, и призвал регуляторов США и Европы срочно вмешаться.

Из обсуждения

• @dang: Comments moved to https://news.ycombinator.com/item?id=50101813, which has the original source. We'll put the other links in the toptext there as well.

В июле Канада официально подписала Конвенцию ООН против киберпреступлений, хотя за год до этого правительство отвергало её как угрозу прав человека и суверенитету, опасаясь расширения слежки. Подписание состоялось в Ханое, где её подписали Россия, Китай, Иран, Северная Корея, Беларусь, Саудовская Аравия и ряд западных стран, включая Великобританию, Францию и Германию. В заявлении лишь отмечалось, что права человека в тексте «самые сильные», но не объяснилось, что изменилось за девять месяцев. Изначально её разработал российский проект 2017 года, ставший попыткой заменить Будапештскую конвенцию, которую Россия отвергает.

Критики, включая исследователей из Citizen Lab и ста экспертов по кибербезопасности, предостерегали, что конвенция создаст правовую базу для репрессий против диаспор, легализует шпионское ПО и может превратить добросовестные исследования в преступление. Открытое письмо, подписанное более двадцать канадских организаций и учёных, указывало, что механизмы обмена доказательствами выходят за рамками киберпреступлений и могут использоваться для преследования судебной практики. При этом правительство не провело публичных консультаций, не ответило на опасения по закону о доступе к данным, а решение объявило в тихом летнем сезоне, что усиливает сомнения в его обоснованности.

Участники обсуждения спорят, является ли подписание Конвенции ООН против киберпреступлений эффективным шагом в борьбе с киберпреступностью или угрозой правам человека и суверенитету. Они согласны, что она может привести к расширению слежки, созданию системы идентификации граждан и нарушению цифровых прав. При этом подчёркивается необходимость защиты цифровых прав и прозрачной политики — предлагается разработать новый законопроект о цифровых правах, чтобы предотвратить злоупотребления.