Jemand behauptet, 40-Bit-Verschlüsselung sei in Indien illegal

Jemand in einem Forum behauptet, Verschlüsselung oberhalb einer bestimmten Bit-Zahl sei in Indien illegal, und im Thread darunter stehen drei verschiedene Zahlen. Die Behauptung kommt als Betriebsvorgabe an, lange bevor sie als Quellenangabe ankommt, und ihr zu folgen heißt, ein SSH- oder VPN-Profil zu schwächen, damit es zu einer Zahl passt, die niemand belegen kann. Dreh es um: Zuerst kommt das Dokument, und die Zahl ist das, was das Dokument am Ende sagt. Diese Seite ist eine Lesemethode, keine Feststellung über deine Verbindung. Sie sagt, was du besorgen, was du notieren und wann du die Frage einem Anwalt übergeben solltest.

Frag nach dem Dokument, nicht nach der Zahl

Drei Arten von Text können eine Beschränkung erzeugen, und sie sind nicht austauschbar: ein Gesetz, ein darunter erlassener Rechtsakt und eine Lizenzbedingung, die an einen benannten Dienst geknüpft ist. Jede hat ihre eigenen Adressaten, ihren eigenen Geltungsbereich und ihre eigene Fassung. Wenn jemand eine Grenze zitiert, frag, welche der drei gemeint ist, und lass dir die Datei geben, denn eine Zusammenfassung, die diese Unterscheidung verloren hat, lässt sich an nichts prüfen. Die India-Code-Fassung des Information Technology Act, 2000 ist ein sinnvoller Ausgangspunkt und nicht die Antwort.

Eine Zahl ohne Dokument dahinter ist ein Gerücht, das gelernt hat, technisch zu klingen. Nach der Datei zu fragen kostet eine Nachricht; einen funktionierenden Tunnel auf das Gerücht hinunterzustufen kostet eine Sicherheitsänderung, die hinterher niemand rechtfertigen kann.

Lies den Abschnitt, den man dir gegeben hat

Nimm Abschnitt 84A in diesem PDF. Auf seiner gedruckten Seite gibt er der Zentralregierung die Befugnis, Modi oder Methoden für Verschlüsselung vorzuschreiben, und er sagt nichts über 40, 128 oder 256 Bit. So sieht eine Ermächtigungsvorschrift aus: Sie ermächtigt zu Regeln, statt sie zu nennen. Die Seite zu lesen klärt, was der Abschnitt tut, und ebenso nützlich, was er nicht tut.

Das Fehlen einer Zahl dort ist kein Beweis dafür, dass sie überall fehlt. Ein anderer Abschnitt, eine Bekanntmachung oder eine Lizenz kann etwas anderes sagen, und nur dieser Text lässt sich lesen, um es herauszufinden.

Eine Ermächtigung ist nicht die geltende Regel

Befugnisse und Regeln stehen in verschiedenen Dokumenten, und dieser Unterschied entscheidet, ob eine Behauptung überhaupt prüfbar ist. Wenn die Grenze angeblich aus einer Lizenz kommt, lies die Lizenz; wenn aus einer Bekanntmachung, lies die Bekanntmachung und ihr Datum; wenn aus dem Gesetz, lies den Abschnitt und den Unterabschnitt. Das eine gegen das andere zu tauschen ist der häufigste Fehler in solchen Threads, und er wird unsichtbar, sobald die Zusammenfassung ein paar Mal wiederholt wurde. Notiere, welche Fassung du gelesen hast und wann diese Kopie veröffentlicht wurde.

Datei-Metadaten sind ein Hinweis auf die Kopie in deiner Hand, kein Beweis dafür, dass der Text sich seither nicht bewegt hat. Ein Download-Datum von 2018 sagt nichts über 2026.

Schreib deine eigene Rolle auf, bevor du die Behauptung beurteilst

Szenarien statt Parolen: Beschreib in drei Zeilen, was du tatsächlich tun würdest. Ein Reisender, der einen genehmigten Firmentunnel nutzt, ein Administrator, der einen privaten Server für ein kleines Team betreibt, und ein Anbieter, der Fremden Zugang verkauft, sind drei verschiedene Beschreibungen mit drei verschiedenen rechtlichen Oberflächen. Ein Schluss, der über einen von ihnen gezogen wird, wandert nicht zu den anderen, weil die Definitionen und Adressaten im Rechtsakt nicht dieselben Personen erfassen müssen. Schreib zuerst die Beschreibung, dann such die Regel, die darauf passt.

Dann sammle die zwei Tatsachen, die ein Anwalt brauchen würde. Bei einer Lizenzbehauptung: Wer hält die Lizenz, und welchen Dienst deckt sie ab? Bei einer Softwarebehauptung: Welches Verhalten ist beschränkt, das Vorhalten, das Liefern, das Ausführen oder eine benannte Nutzung?

Mach die Frage präzise genug, um beantwortbar zu sein

Zwei weitere Dinge gehören in die Anfrage. Erstens, was die zitierte Zahl eigentlich misst, denn eine SSH-Sitzung hat Host-Schlüssel, Schlüssel zur Nutzerauthentifizierung, Schlüsselaustausch und symmetrischen Verkehr, und eine bloße Bit-Zahl benennt nichts davon. Zweitens, auf welchem Dokument und welcher Fassung die Behauptung beruht, mit der genauen Klausel, falls es eine gibt. Füg deine Tätigkeit, Standorte, Beteiligte und Konfiguration hinzu, und die Anfrage wird etwas, das eine Rechtsberatung beantworten kann, statt einer Debatte.

Die Formulierung entscheidet hier über den Ausgang. Abschnitt 69 desselben Gesetzes behandelt Anordnungen zur Abhörung, Überwachung und Entschlüsselung unter bestimmten Zuständigkeiten und dokumentierten Gründen, was nicht dasselbe ist wie die Anweisung, jedem, der sich als Amtsträger ausgibt, ein Passwort zu geben. Die Bedingungen zu lesen macht den ganzen Unterschied.