מישהו אומר שהצפנה של 40 סיביות אינה חוקית בהודו

מישהו בפורום טוען שהצפנה מעל מספר סיביות מסוים אינה חוקית בהודו, ובשרשור שמתחת יש שלושה מספרים שונים. הטענה מגיעה כאילוץ פריסה הרבה לפני שהיא מגיעה כציטוט, ולציית לה פירושו להחליש פרופיל SSH או VPN כדי להתאים למספר שאיש אינו יכול לתעד. הפכו את הסדר: המסמך בא קודם, והמספר הוא מה שהמסמך מתברר כמי שאומר. העמוד הזה הוא שיטת קריאה, לא קביעה לגבי החיבור שלכם. הוא אומר מה להשיג, מה לרשום ומתי להעביר את השאלה לעורך דין.

בקשו את המסמך, לא את המספר

שלושה סוגי טקסט יכולים ליצור הגבלה, והם אינם מחליפים זה את זה: חוק, מסמך שנחקק מכוחו ותנאי רישיון הקשור לשירות נקוב בשם. לכל אחד יש נמענים, היקף וגרסה משלו. כשמישהו מצטט גבול, שאלו איזה מן השלושה הוא מתכוון, והשיגו את הקובץ, כי תקציר שאיבד את ההבחנה הזו אינו ניתן לבדיקה מול דבר. עותק India Code של Information Technology Act, 2000 הוא נקודת מוצא סבירה ולא התשובה.

מספר בלי מסמך מאחוריו הוא שמועה שלמדה להישמע טכנית. לבקש את הקובץ עולה הודעה אחת; להוריד מנהרה עובדת כדי להתאים לשמועה עולה שינוי אבטחה שאיש לא יוכל להצדיק אחר כך.

קראו את הסעיף שקיבלתם

קחו את סעיף 84A באותו PDF. בעמוד המודפס שלו הוא מעניק לממשלה המרכזית סמכות לקבוע דרכים או שיטות להצפנה, ואינו אומר דבר על 40, 128 או 256 סיביות. כך נראית הוראת הסמכה: היא מסמיכה כללים במקום לקבוע אותם. קריאת העמוד מכריעה מה עושה הסעיף, ובאופן שימושי לא פחות, מה הוא אינו עושה.

היעדר מספר שם אינו הוכחה להיעדרו בכל מקום. סעיף אחר, הודעה או רישיון עשויים לומר משהו אחר, ורק אותו טקסט ניתן לקרוא כדי לגלות.

הסמכה אינה הכלל הנוהג

סמכויות וכללים חיים במסמכים שונים, וההבדל הזה מכריע אם אפשר לבדוק את הטענה בכלל. אם הגבול לכאורה מגיע מרישיון, קראו את הרישיון; אם מהודעה, קראו את ההודעה ואת תאריכה; אם מהחוק, קראו את הסעיף ואת סעיף המשנה. החלפת האחד בשני היא הטעות הנפוצה ביותר בשרשורים כאלה, והיא נעשית בלתי נראית לאחר שהתקציר חזר כמה פעמים. רשמו איזו גרסה קראתם ומתי פורסם אותו עותק.

המטא-נתונים של הקובץ הם רמז על העותק שבידכם, לא הוכחה שהטקסט לא זז מאז. תאריך הורדה מ-2018 אינו אומר דבר על 2026.

רשמו את תפקידכם לפני שאתם שופטים את הטענה

תרחישים, לא סיסמאות: תארו בשלוש שורות מה באמת הייתם עושים. מטייל שמשתמש במנהרה ארגונית מאושרת, מנהל שמפעיל שרת פרטי לצוות קטן וספק שמוכר גישה לזרים הם שלושה תיאורים שונים עם שלושה משטחים משפטיים שונים. מסקנה על אחד מהם אינה עוברת לאחרים, משום שההגדרות והנמענים במסמך אולי אינם מכסים את אותם אנשים. כתבו קודם את התיאור, ואז חפשו את הכלל שחל עליו.

אחר כך אספו את שתי העובדות שעורך דין היה צריך. בטענה על רישיון: מי מחזיק ברישיון, ואיזה שירות הוא מכסה? בטענה על תוכנה: איזו התנהגות מוגבלת, החזקה, אספקה, הרצה או שימוש אחד נקוב?

הפכו את השאלה למדויקת מספיק כדי לענות עליה

שני דברים נוספים שייכים לבקשה. ראשית, מה המספר המצוטט באמת מודד, כי הפעלת SSH כוללת מפתחות מארח, מפתחות לאימות משתמש, החלפת מפתחות ותעבורה סימטרית, ומספר סיביות חשוף אינו נוקב באף אחד מהם. שנית, על איזה מסמך ואיזו גרסה נשענת הטענה, עם הסעיף המדויק אם יש כזה. הוסיפו את הפעילות, המיקומים, הצדדים והתצורה שלכם, והבקשה הופכת למשהו שיועץ משפטי יכול לענות עליו במקום לוויכוח.

כאן הניסוח מכריע את התוצאה. סעיף 69 של אותו חוק עוסק בצווי יירוט, מעקב ופענוח בגדרי סמכות מוגדרת ונימוקים מתועדים, וזה אינו אותו דבר כמו הוראה למסור סיסמה לכל מי שמציג את עצמו כבעל מעמד רשמי. קריאת התנאים היא כל ההבדל.