Indie chcą kontrolować szyfrowanie i pozbyć się Windowsa
W ciągu ostatnich 20 lat Indie wyrosły na fabrykę oprogramowania, w której zamówienia składają firmy z całego świata. Pozycja tego kraju jest jednak zagrożona. Indyjski rząd opublikował projekt nowego prawa dotyczącego szyfrowania, który nie wygląda atrakcyjnie dla deweloperów i niejedną zachodnią firmę wprawił w zakłopotanie.
Kontrowersyjny projekt zakłada, że każda aplikacja, która wykorzystuje szyfrowanie, powinna przechowywać dane w postaci czystego tekstu przez 90 dni, aby policja mogła łatwo je przejrzeć, jeśli zajdzie taka potrzeba. Tak przechowywane wrażliwe dane są dla cyberprzestępców niczym pieniądze rozsypane na chodniku. Firmy przechowujące je będą miały poważne problemy nie tylko z aktualizacją ogromnych ilości informacji w czasie rzeczywistym, ale też z zabezpieczeniem ich przed żądnymi łatwego łupu złoczyńcami.
Ponadto, każda zagraniczna firma działająca na terenie Indii musiałaby udostępnić rządowi całe oprogramowanie szyfrujące, z którego korzysta, wraz z narzędziami do testowania i dokumentacją. Korzystanie z nich w kraju nie będzie możliwe bez pozwolenia rządowej komisji. Bardzo prawdopodobne jest, że tym sposobem zdelegalizowane zostaną niektóre algorytmy szyfrujące lub ich konkretne implementacje ze „zbyt długim” kluczem.
Wyjątkiem od tej reguły miałyby być „masowo wykorzystywane produkty jak SSL/TLS”. Trudno powiedzieć co autorzy projektu mieli na myśli używając tego sformułowania i przywołując popularne standardy. Oddział Elektroniki i Technik Informacyjnych przy indyjskim Ministerstwie Komunikacji, który zaprojektował zmiany, zapowiedział oczywiście, że kluczowe organy rządowe będą mogły korzystać z silniejszych metod szyfrowania danych.
Publikacja projektu miała miejsce tydzień po tym, jak dowiedzieliśmy się o planach wydania własnego systemu operacyjnego przez indyjski rząd. Organizacja Centre for Development of Advanced Computing (C-DAC), działająca przy Ministerstwie Komunikacji, zapowiedziała wydanie dodatkowo zabezpieczonego systemu Bharat Operating System Solutions, przeznaczonego między innymi dla urzędników i do użytku w państwowych organach. BOSS, bazujący na Debianie, z powodzeniem przeszedł testy prowadzone przez agencję Defence Research and Development Organisation, działającą przy indyjskim Ministerstwie Obrony, a także oparł się atakom indyjskiego wojska. Pierwsza wersja systemu, wydana w 2007 roku, nie była przyjazna użytkownikowi i nie znalazłaby zastosowania w pracy biurowej.
Wdrożenie systemu BOSS jest w pewnym stopniu odpowiedzią na to, co dzieje się w Stanach Zjednoczonych czy Chinach, gdzie cyberataki sieją spustoszenie. Indie starają się także zmniejszyć wykorzystanie systemu Windows w rządowych biurach, a więc uniezależnić się od zagranicznej firmy.
Pomysły indyjskiego rządu wyglądają na szalone nawet jeśli porównamy je do działań amerykańskich służb, które starają się, by w oprogramowaniu szyfrującym znalazły się furtki specjalnie dla nich. Tamtejsze firmy, jak Google i Apple, stawiają im skuteczny opór i nie zanosi się na to, by poszły indyjskiemu rządowi na rękę, jeśli propozycja zmian zostanie przyjęta. Możliwe jednak, że firmy chcące wciąż działać na terenie Indii będą zmuszone do przygotowania specjalnych wersji swoich usług dla tego kraju. Rynek jest ogromny, ale nie każdemu będzie się to opłacało.
Na razie opisane tu propozycje są tylko propozycjami. Do 16 października trwają konsultacje i miejmy nadzieję, że potężny sektor produkujący oprogramowanie wytknie błędy w projekcie i dostatecznie mocno zaprotestuje.