La nueva propuesta de enmienda del eiDAS otorga a la UE un mandato legal para vigilar los sitios HTTPS

En 2018, la Unión Europea introdujo los servicios electrónicos de identificación, autenticación y confianza (eiDAS) como un conjunto de normativas que establecen una base para la confianza y la seguridad en el ciberespacio a través de firmas electrónicas, sellos, sellos de tiempo, servicios de entrega y autenticación de sitios web. Algunos de los reglamentos tuvieron que ser revisados con la aparición de la pandemia, y el eiDAS reformado podría incluir pronto un artículo 45 que esencialmente permite a los gobiernos de la UE vigilar a los ciudadanos y residentes de la UE a través de diversos medios de interceptación del tráfico de Internet cifrado en el protocolo HTTPS. Este artículo en concreto se modificó sin el consentimiento público y más de 300 académicos y expertos en tecnología intentan ahora denunciar tan grave violación de los derechos humanos publicando una carta abierta en la que se insta a adoptar los estándares web establecidos.

Según informa ComputerWeekly, Steven Murdoch -profesor de ingeniería de seguridad en el University College de Londres (UCL)- se encuentra entre los firmantes de la carta abierta, a quienes sorprendió encontrar menciones a la vigilancia de los navegadores web en el eiDAS reformado. Si el artículo 45 se aprueba tal cual, los gobiernos de la UE podrán insertar a voluntad nuevos certificados raíz HTTPS con el pretexto de que mejoran la seguridad de los usuarios de los sitios web. Sin embargo, estos certificados recién insertados también podrán ser utilizados para interceptar el tráfico web en toda la UE, recopilando datos confidenciales. Los firmantes instan a la Comisión Europea a "reconsiderar urgentemente este texto y dejar claro que el artículo 45 no interferirá en las decisiones de confianza en torno a las claves criptográficas y los certificados utilizados para asegurar el tráfico web"

Murdoch señala que el artículo 45 "podría interpretarse como una forma de quitar poder a las grandes tecnológicas y dárselo a los gobiernos", pero "este es el mecanismo equivocado para ello", ya que sigue perjudicando a todos los ciudadanos de la UE. Además, las cláusulas que hacen referencia a la Cartera Europea de Identidad Digital https://commission.europa.eu/strategy-and-policy/priorities-2019-2024/europe-fit-digital-age/european-digital-identity_en en los artículos 6a y 7a propuestos facultan esencialmente a los gobiernos y a los proveedores de servicios tecnológicos para supervisar cómo se utilizan las credenciales digitales a nivel individual.

Comprar SSL/TLS bajo llave: Guía para entender la criptografía SSL/TLS en Amazon