公开信：爱尔兰《通信（截听与合法访问）法案》

爱尔兰司法部长表示，他们希望推动国内立法，使爱尔兰警察（An Garda Síochána）能够访问加密通信服务。由于该部长已表明对爱尔兰现行通信截取立法——即《1993 年邮包与电信消息截取（管制）法》（Interception of Postal Packets and Telecommunications Messages (Regulation) Act 1993）——的审查正在进行，新法案的起草工作将于未来数月启动。这份由民间社会组织、企业和网络安全专家（其中包括全球加密联盟成员）联署的公开信，呼吁爱尔兰政府重新考虑其削弱端到端加密的计划，并呼吁爱尔兰政府改变其在欧盟层面就此问题所持的立场。
我们，下列署名的民间社会组织、企业和网络安全专家，其中包括全球加密联盟（Global Encryption Coalition）的成员，谨此致信，就爱尔兰司法部长公开表示的立法意图表达我们的严重关切：该意图是要推动国内立法，使爱尔兰警察（An Garda Síochána）能够访问加密通信服务。1
拟议的《通信（截取与合法访问）法案》（Communications (Interception and Lawful Access) Bill）文本尚未公布，因为起草工作尚未开始。该部长已表示，对爱尔兰现行截取立法即《1993 年邮包与电信消息截取（管制）法》的审查正在进行，新法案的起草将于未来数月启动。2
此前 1 月爱尔兰发布了《政府方案》，此次宣布即在方案公布之后。该方案概述了出台新的数据留存与截取法律的计划，其中包括针对 OTT（Over-the-Top）应用服务和加密服务的条款。3 尽管该方案以「保障爱尔兰的未来」为题，这些提案却有可能适得其反。4
削弱加密会让个人和企业都面临更大风险，更易遭受诈骗、欺诈、身份盗用及其他网络犯罪的侵害。它还会使敏感数据更容易受到外国网络攻击，并损害国家安全。在网络安全已成为创新与竞争力核心的今天，任何对加密的侵蚀都可能对爱尔兰的数字未来和国际地位造成持久影响。
认为可以只为「好人」削弱加密服务、而不同时为罪犯、黑客和敌对国家行为者等恶意行为体开辟访问通道，这是一种错误的信念。加密是一项关键的安全特性；任何蓄意削弱或绕过加密的做法都会制造系统性漏洞，使所有人处于危险之中，并让爱尔兰的国家安全面临风险。
如果爱尔兰通过一项法律，授权其强制要求加密通信服务商构建后门，以便爱尔兰警察（An Garda Síochána）获取加密消息的明文，那么提供端到端加密的平台将陷入两难：要么遵从而削弱自身服务的安全性，要么退出爱尔兰市场。
两种情形下的结果都是一样的：爱尔兰公民、企业和机构——它们依赖加密来维系对数字世界的信任，其中包括爱尔兰政府部长乃至警察本身——的安全将更弱、隐私将更少。
爱尔兰强行获取加密服务访问权的努力很难在法庭上站得住脚，因为它对人权的影响不成比例，其中包括对言论自由的影响。在波德恰索夫诉俄罗斯案（Podchasov v Russia）中，欧洲人权法院去年的裁定指出：
「……［］要求对端到端加密通信进行解密的法定义务 […] 因此与所追求的合法目的并不相称，也超出了必要限度 […］通过制造后门来削弱加密，显然会使针对个人电子通信的例行、普遍且不加区分的大规模监控在技术上成为可能。此类后门同样可能被犯罪网络加以利用，并将严重损害所有用户电子通信的安全与保密。」5
联合国人权事务高级专员同样立场明确：强制要求为加密通信设置所谓后门访问，所引发的风险远远超过其在针对被认定为犯罪嫌疑人的特定用户方面的用处。此类访问会危及所有用户的隐私与安全，使他们遭受非法干预。6
此外，这项国内提议也必须置于爱尔兰持续支持欧盟《儿童性虐待条例》这一背景下来看待，该条例又称「聊天管制」，极具争议并受到广泛批评 7；它将强制要求对私人通信——包括加密对话——进行大规模扫描，以查找儿童性虐待材料（CSAM）。
同样必须放在背景下看待的是，爱尔兰方面始终坚称，这类扫描与企业为查杀垃圾邮件或恶意软件而开展的扫描是相当的 8，尽管二者根本不具备可比性、完全不属于同一性质。9
正如全球加密联盟此前多份声明（包括最近一份指导委员会声明 10）所强调的，在加密环境中实施强制扫描会给儿童和家长带来一种危险的虚假安全感。对加密通信的强制扫描会削弱所有人——包括儿童——的安全与隐私，却又极易被犯罪分子规避：他们会改在其他环境之中继续分享和传播非法材料。
爱尔兰前网络安全特别顾问布赖恩·霍南（Brian Honan）近来也表达了上述关切，他曾就网络安全事务向欧洲刑警组织（Europol）提供咨询。他警告称，「聊天管制」不仅会威胁个人隐私、瓦解公众对数字生活的信任，还会在每一台欧洲设备上蓄意打开一个巨大的攻击面，供敌对国家、威权政府和网络犯罪分子为其不可告人的目的加以利用。11
在支持「聊天管制」的 15 个国家之中，爱尔兰是其中之一；而奥地利、芬兰、荷兰、波兰、捷克共和国和比利时则以隐私与安全方面的担忧为由表示反对。据报道，比利时曾称这项法案是「一头侵入你的隐私、无法被驯服的怪兽」。12
如果到 2026 年下半年这一僵局 13 仍未打破——届时爱尔兰将接任欧盟理事会轮值主席国——而爱尔兰当局在持续低估削弱加密的严重后果（当前的国内提案即为明证）的情况下主导「聊天管制」，那么所有欧洲公民乃至更广泛人群的隐私与安全都将面临风险。
有必要重申的是，爱尔兰的官方机构与民间社会早已指出这项提案本身存在的缺陷以及它在现实中蕴含的危险。
2023 年 3 月，爱尔兰议会司法委员会发布一份函件，反对这项欧盟提案，理由是对大规模监控的担忧，以及它会破坏所有人通信的安全 14；但这一立场并未在布鲁塞尔得到体现。15
早在六个月前，爱尔兰的民间社会团体就公布了罕见的数字 16，表明这项欧盟提案所依赖的、极易出错的核心扫描技术已经导致无辜的人被错误地标记为儿童性虐待材料的传播者。
自 2010 年以来，美国国家失踪与被剥削儿童中心（NCMEC）一直向爱尔兰警察（An Garda Síochána）转递有关涉嫌儿童性虐待材料（CSAM）以及涉嫌传播此类材料人员的信息。2022 年，爱尔兰公民自由理事会（ICCL）与爱尔兰数字权利组织（DRI）获取了 NCMEC 2020 年度向爱尔兰转介的数据。数据显示，爱尔兰警察在 2020 年收到 4192 份转介，其中 409 份被认定为「可采取行动」；而由爱尔兰警察自行判定不属于儿童性虐待材料的数量更高——471 份，占 11%。相关人员是无辜的，相关材料也是无害的图片或视频，例如儿童在海滩上玩耍。17
然而，即便已经排除了这些被错误标记的人，爱尔兰警察也未删除他们的数据，而是继续留存这些人的个人数据，用作「针对未来调查的参考与情报材料」。18 目前尚不清楚有多少已被排除传播儿童性虐待材料嫌疑的人仍留在爱尔兰警察的档案之中。19 但如果「聊天管制」按现行草案获得通过，这些档案中的无辜者将多出许多。
任何削弱加密的国家都可能危及远超其国界之外的人们的隐私与安全。但爱尔兰是苹果（Apple）和 Meta 等大型科技公司欧盟总部的东道国，因而负有特殊责任。我们提出以下建议：
我们仍然愿意贡献我们的集体专业知识，并邀请奥卡拉汉部长（Minister O'Callaghan）与我们会面，以便开展建设性对话，确保任何立法——无论是国内立法还是欧盟立法——都能保护而非削弱爱尔兰境内以及世界各地人们的隐私、安全和基本权利。
约尔迪·多明戈-帕斯夸尔教授（Jordi Domingo-Pascual），加泰罗尼亚理工大学（Universitat Politècnica de Catalunya，UPC BarcelonaTECH）
伊丽莎白·法里斯博士（Elizabeth Farries），都柏林大学学院数字政策中心（UCD Centre for Digital Policy）
亚普-亨克·霍普曼教授（prof. dr. Jaap-Henk Hoepman）（拉德堡德大学，荷兰，以及
巴里·莱巴（Barry Leiba），ICANN 安全与稳定咨询委员会
达拉·奥布赖恩（Daragh O Brien），城堡桥（Castlebridge）创始人兼董事总经理
巴里·奥多诺万（Barry O'Donovan），开源解决方案有限公司（Open Source Solutions Ltd）互联网基础设施专家
米歇尔·奈伦（Michele Neylon），布莱克奈特（Blacknight）首席执行官，爱尔兰互联网企业家
保罗·沃尔特斯（Paul Wouters），互联网工程任务组（IETF）安全领域主任
＊所列所属单位仅供身份识别之用