eIDAS改正の最後の機会: インターネットの安全を脅かす欧州連合(EU)の秘密法

• eIDAS規則のほぼ最終版のテキストがEUの主要機関によって合意され、年末までに承認のため提出される予定です。
• 新しい法条項は、欧州のすべてのウェブブラウザに対し、EU各国政府が選んだ認証機関と暗号鍵を信頼するよう求めます。
• この変更は、EU各国政府がEU全域の暗号化されたウェブトラフィックを傍受し、市民を監視する能力を拡大します。
• どのEU加盟国でもウェブブラウザに暗号鍵を配布でき、ブラウザは政府の許可なしにそれらの鍵への信頼を撤回できません。
• これにより、どのEU加盟国でも、発行加盟国との居住関係やつながりの有無にかかわらず、すべてのEU市民の監視と傍受のためのウェブサイト証明書を発行できるようになります。
• 加盟国が認証し使用する鍵に関する決定について、独立した監査や抑制と均衡がありません。
• このテキストは、EUのIT標準化機関であるETSIが事前承認したものを除き、ブラウザがこれらのEUの鍵と証明書に対してセキュリティ検査を適用することを禁じています。
• ETSIには、妥協された暗号標準を作成し、傍受技術の開発に向けた作業部会を運営してきたという懸念すべき実績があります。
• 300人以上のサイバーセキュリティ専門家と研究者が公開書簡に署名し、EUに対してこれらの計画を撤回し、ウェブを保護するよう求めました。
• Linux Foundation、Mullvad、DNS0.EU、Mozillaを含む市民社会団体や、インターネットを構築し保護する企業もこの書簡を支持しました。
• このテキストは、11月8日にブリュッセルで開かれる最終の非公開トライアローグ会合で承認された後、公布され、欧州議会で正式な批准を受けるため提出される予定です。
• 欧州市民は、eIDAS案件を担当する欧州議会議員 Romana JERKOVIĆ に書簡を送り、懸念を表明できます。
• サイバーセキュリティ専門家、研究者、またはNGOは、https://eidas-open-letter.org で公開書簡に署名できます。

[GN⁺]

Hacker Newsの意見

• EUのeIDAS法によって生じうる潜在的なセキュリティ脅威に関する記事
• この法律により、監視目的に利用されうるあらゆる証明書の発行が許可される可能性があるという懸念
• 一部のコメント投稿者は、すべてのEU法はその公用語でウェブサイトに掲載され、有効になる前に欧州議会で公開の場で批准されなければならないため、この法律は「秘密法」ではないと主張
• この法律は、デジタル行政を容易にするために、民間機関からEU政府へ権限を移す可能性があるという見方
• オープンソースブラウザへの影響、それを実装するよう強制するのか、また政府証明書を削除したバージョンを誰が公開しているかを確認するために政府がコードを監査するのかについての疑問
• 一部のコメント投稿者は、現在のブラウザのCAシステムには本質的な欠陥があり、国家主体がIPトラフィックを捕捉して悪意ある証明書を生成できるなら、MITM攻撃を実行できると主張
• eIDASには信頼を強制しようとする試みがあり、これがインターネット全体の信頼モデルを破壊すると考える人もいる
• この法律は、「ウェブサイト認証のための適格証明書」がウェブブラウザによって認識され、ユーザーフレンドリーな方法で表示されなければならないと要求
• インドのような他国でも、自国のOSやブラウザが独自のCAを持つようにする類似の法律を準備中
• 一部のコメント投稿者は、そのCAによって発行された証明書が独立した証明書透明性（CT）サービスおよび特定の国別トップレベルドメインに結び付けられているなら、この法律に満足だとしている