O Artigo 45 do eIDAS 2.0 reverterá a segurança da web em 12 anos

Artigo original ↗ Discussão no Hacker News ↗

Uma disposição contestada na proposta de regulação eIDAS 2.0 da UE (Artigo 45) exigiria que os navegadores confiassem em autoridades certificadoras designadas pelo governo, potencialmente limitando sua capacidade de impor verificações modernas de segurança, como Certificate Transparency. Comentadores alertam que isso poderia permitir ataques man-in-the-middle indetectáveis por parte de Estados, enfraquecer a segurança da web globalmente e repetir tentativas anteriores de erodir a criptografia de ponta a ponta e a privacidade online. Outros argumentam que os governos já controlam algumas ACs e veem o texto atual como impreciso ou inacabado, e não como uma backdoor explícita, mas reconhecem o sigilo do processo de redação e o risco de danos duradouros caso seja aprovado.

Escopo e Intenção do Artigo 45 / eIDAS 2.0

  • Muitos veem o Artigo 45 como uma imposição para que os navegadores confiem em ACs nomeadas pelo governo, ao mesmo tempo em que os proíbe de aplicar suas próprias políticas de segurança mais rígidas (por exemplo, CT, regras extras de auditoria).
  • Há preocupação de que isso crie um “limite superior” para a segurança: os navegadores não poderiam rejeitar ACs escolhidas pelo Estado por não cumprirem critérios não‑ETSI.
  • O texto vazado do rascunho é mencionado; alguns argumentam que a crítica pública é justificada porque a fase de trílogo implica redação quase final, não um rascunho inicial.

Riscos de Segurança e Preocupações com MITM

  • A preocupação central: governos (ou ACs comprometidas) poderiam emitir certificados para domínios arbitrários e realizar man-in-the-middle TLS indetectável, especialmente se a aplicação de CT for proibida.
  • Comentadores observam que isso essencialmente recria ou legitima ataques semelhantes a abusos anteriores de ACs em nível estatal (por exemplo, Cazaquistão, Turquia).
  • Alguns argumentam que os programas raiz atuais dos navegadores e as regras do CAB Forum reduzem significativamente esses riscos, e transferir poder para uma burocracia da UE enfraquece isso.

Discordância e Alegações de FUD

  • Uma minoria argumenta que a EFF e outros estão exagerando a ameaça:
    • Governos já operam ou controlam ACs; adicionar outro tipo de AC (QWACs) não cria uma capacidade fundamentalmente nova de interceptação.
    • O eIDAS é enquadrado por alguns principalmente como um framework de identidade digital, não como uma medida antiencriptação.
  • Outros respondem que a combinação de confiança obrigatória e limites à aplicação pelos navegadores de fato muda materialmente o risco.

Aplicação, Conformidade e Workarounds

  • Debate sobre até onde a UE pode ir na prática:
    • Alguns acham que a UE poderia compelir grandes fornecedores por meio de multas, apreensão de ativos ou mirando funcionários baseados na UE.
    • Outros argumentam que forks de código aberto, distribuição fora da UE, VPNs e navegadores não conformes continuarão disponíveis e serão difíceis de controlar totalmente.
  • Entre as sugestões estão deslistar ACs da UE, mover projetos de navegadores para fora do alcance da UE ou marcar visualmente certificados em “modo governo”.

Controles de Usuário e Discussão sobre TLS/PKI

  • Vários comentários explicam como TLS e ACs permitem MITM quando uma AC confiável emite certificados fraudulentos ou quando uma raiz corporativa/governamental é instalada.
  • Mitigações propostas:
    • Permitir que os usuários gerenciem seus próprios repositórios de confiança e rotulem claramente ACs “genéricas” poderosas.
    • Avisos fortes de interface quando interceptação corporativa/governamental for detectada.
    • Alternativas descentralizadas ou “trust on first use” semelhantes ao SSH.
  • Outros contrapõem que empurrar decisões de PKI para usuários comuns é irrealista e leva à fadiga de avisos.

Contexto Legal e Político

  • Alguns esperam possíveis contestações nos tribunais da UE (por exemplo, direitos de privacidade, desfechos no estilo Schrems), mas temem que isso possa levar anos.
  • Vários veem o eIDAS 2.0 como mais um passo em um padrão mais amplo de “crypto wars” de avanço incremental sobre criptografia e privacidade.