Noen sier at 40-bits kryptering er ulovlig i India

Noen i et forum hevder at kryptering over et visst antall bits er ulovlig i India, og tråden under inneholder tre forskjellige tall. Påstanden kommer som en driftsbegrensning lenge før den kommer som en kildehenvisning, og å etterleve den betyr å svekke en SSH- eller VPN-profil for å passe et tall ingen kan belegge. Snu det: dokumentet kommer først, og tallet er det dokumentet viser seg å si. Denne siden er en lesemetode, ikke en avgjørelse om forbindelsen din. Den sier hva du skal hente, hva du skal skrive ned, og når du skal overlate spørsmålet til en advokat.

Be om dokumentet, ikke om tallet

Tre slags tekst kan skape en begrensning, og de kan ikke byttes om: en lov, en forskrift gitt i medhold av den, og et lisensvilkår knyttet til en navngitt tjeneste. Hver har sine egne adressater, sitt eget omfang og sin egen versjon. Når noen viser til en grense, spør hvilken av de tre som menes og skaff filen, for et sammendrag som har mistet den forskjellen, kan ikke kontrolleres mot noe. India Code-versjonen av Information Technology Act, 2000 er et rimelig utgangspunkt snarere enn svaret.

Et tall uten et dokument bak seg er et rykte som har lært å høres teknisk ut. Å be om filen koster én melding; å nedgradere en fungerende tunnel for å matche ryktet koster en sikkerhetsendring ingen kan forsvare i ettertid.

Les paragrafen du fikk utlevert

Ta paragraf 84A i den PDF-en. På den trykte siden gir den sentralregjeringen myndighet til å foreskrive måter eller metoder for kryptering, og den sier ingenting om 40, 128 eller 256 bits. Slik ser en fullmaktsbestemmelse ut: den gir hjemmel for regler i stedet for å fastsette dem. Å lese siden avgjør hva paragrafen gjør, og like nyttig, hva den ikke gjør.

At det ikke står et tall der, er ikke bevis for at det mangler overalt. En annen paragraf, et kunngjøringsdokument eller en lisens kan si noe annet, og bare den teksten kan leses for å finne ut av det.

En fullmakt er ikke den gjeldende regelen

Myndighet og regler bor i forskjellige dokumenter, og den forskjellen avgjør om en påstand i det hele tatt kan kontrolleres. Hvis grensen angivelig kommer fra en lisens, les lisensen; hvis fra et kunngjøringsdokument, les det og datoen; hvis fra loven, les paragrafen og leddet. Å bytte det ene mot det andre er den vanligste feilen i slike tråder, og den er usynlig når sammendraget først er gjentatt noen ganger. Noter hvilken versjon du leste og når det eksemplaret ble publisert.

Filmetadata er et hint om eksemplaret i hånden din, ikke bevis for at teksten ikke har flyttet seg siden. En nedlastingsdato fra 2018 sier ingenting om 2026.

Skriv ned din egen rolle før du vurderer påstanden

Scenarier, ikke slagord: beskriv på tre linjer hva du faktisk ville gjort. En reisende som bruker en godkjent bedriftstunnel, en administrator som driver en privat server for et lite team, og en tilbyder som selger tilgang til fremmede, er tre forskjellige beskrivelser med tre forskjellige rettslige flater. En konklusjon om én av dem flytter ikke over til de andre, fordi definisjonene og adressatene i forskriften kanskje ikke dekker de samme personene. Skriv beskrivelsen først, og gå så på leting etter regelen som gjelder for den.

Samle så de to fakta en advokat ville trengt. Ved en lisenspåstand: hvem har lisensen, og hvilken tjeneste dekker den? Ved en programvarepåstand: hvilken atferd er begrenset, å ha den, å levere den, å kjøre den eller én navngitt bruk?

Gjør spørsmålet presist nok til å besvares

To ting til hører med i forespørselen. For det første hva det siterte tallet egentlig måler, for en SSH-økt har vertsnøkler, nøkler for brukerautentisering, nøkkelutveksling og symmetrisk trafikk, og et bart bittall nevner ingen av dem. For det andre hvilket dokument og hvilken versjon påstanden hviler på, med den nøyaktige klausulen hvis det finnes en. Legg til aktiviteten din, stedene, partene og konfigurasjonen, og forespørselen blir noe en jurist kan svare på i stedet for en debatt.

Ordvalget avgjør utfallet her. Paragraf 69 i samme lov handler om pålegg om avlytting, overvåking og dekryptering under nærmere angitt myndighet og nedskrevne grunner, noe som ikke er det samme som en instruks om å gi fra seg et passord til hvem som helst som påstår å ha offisiell status. Å lese vilkårene er hele forskjellen.