Iemand zegt dat 40-bit-versleuteling in India illegaal is

Iemand op een forum beweert dat versleuteling boven een bepaald aantal bits in India illegaal is, en de thread eronder bevat drie verschillende getallen. De bewering komt binnen als een implementatiebeperking lang voordat ze als een bronvermelding binnenkomt, en eraan gehoorzamen betekent een SSH- of VPN-profiel verzwakken om bij een getal te passen dat niemand kan herleiden. Draai het om: het document komt eerst, en het getal is wat het document blijkt te zeggen. Deze pagina is een leesmethode, geen uitspraak over jouw verbinding. Ze zegt wat je moet ophalen, wat je moet opschrijven, en wanneer je de vraag aan een advocaat moet geven.

Vraag om het document, niet om het getal

Drie soorten tekst kunnen een beperking opleveren, en ze zijn niet uitwisselbaar: een wet, een instrument dat daaronder is vastgesteld, en een licentievoorwaarde die aan een genoemde dienst hangt. Elk heeft zijn eigen adressaten, reikwijdte en versie. Als iemand een grens aanhaalt, vraag dan welke van de drie hij bedoelt en vraag het bestand op, want een samenvatting die dat onderscheid kwijt is, valt nergens tegen te controleren. De India Code-versie van de Information Technology Act, 2000 is een redelijk vertrekpunt in plaats van het antwoord.

Een getal zonder document erachter is een gerucht dat heeft geleerd technisch te klinken. Om het bestand vragen kost een bericht; een werkende tunnel afwaarderen om bij het gerucht te passen kost een beveiligingswijziging die niemand achteraf kan verantwoorden.

Lees het artikel dat je in handen kreeg

Neem artikel 84A in die PDF. Op zijn gedrukte pagina geeft het de centrale overheid de bevoegdheid om wijzen of methoden voor versleuteling voor te schrijven, en het zegt niets over 40, 128 of 256 bits. Zo ziet een machtigingsbepaling eruit: ze machtigt regels in plaats van ze vast te stellen. De pagina lezen beslecht wat het artikel doet en, net zo nuttig, wat het niet doet.

De afwezigheid van een getal daar is geen bewijs van afwezigheid overal. Een ander artikel, een kennisgeving of een licentie kan iets anders zeggen, en alleen die tekst kan worden gelezen om erachter te komen.

Een machtigingsbevoegdheid is niet de geldende regel

Bevoegdheden en regels staan in verschillende documenten, en dat verschil bepaalt of een bewering überhaupt te controleren is. Komt de grens zogenaamd uit een licentie, lees de licentie; komt ze uit een kennisgeving, lees de kennisgeving en haar datum; komt ze uit de wet, lees het artikel en het lid. Het ene voor het andere inwisselen is de meest voorkomende fout in dit soort threads, en ze is onzichtbaar zodra de samenvatting een paar keer is herhaald. Noteer welke versie je hebt gelezen en wanneer die kopie is gepubliceerd.

Bestandsmetadata zijn een hint over de kopie in je hand, geen bewijs dat de tekst sindsdien niet is verschoven. Een downloaddatum uit 2018 zegt niets over 2026.

Schrijf je eigen rol op voordat je de bewering beoordeelt

Scenario's, geen slogans: beschrijf in drie regels wat je werkelijk zou doen. Een reiziger die een goedgekeurde bedrijfstunnel gebruikt, een beheerder die een eigen server voor een klein team draait, en een aanbieder die toegang aan vreemden verkoopt zijn drie verschillende beschrijvingen met drie verschillende juridische oppervlakken. Een conclusie over een van hen reist niet naar de andere, omdat de definities en adressaten in het instrument niet dezelfde mensen hoeven te dekken. Schrijf eerst de beschrijving, ga dan op zoek naar de regel die erop van toepassing is.

Verzamel dan de twee feiten die een advocaat nodig zou hebben. Bij een licentiebewering: wie houdt de licentie, en welke dienst dekt ze? Bij een softwarebewering: welk gedrag is beperkt, het hebben, het leveren, het draaien of een genoemd gebruik?

Maak de vraag precies genoeg om te beantwoorden

Twee dingen horen nog in het verzoek. Ten eerste wat het geciteerde getal eigenlijk meet, want een SSH-sessie heeft hostsleutels, sleutels voor gebruikerauthenticatie, sleuteluitwisseling en symmetrisch verkeer, en een kaal bittal noemt daar niets van. Ten tweede op welk document en welke versie de bewering rust, met de exacte clausule als die er is. Voeg je activiteit, locaties, partijen en configuratie toe, en het verzoek wordt iets wat een jurist kan beantwoorden in plaats van een debat.

De formulering beslist hier de uitkomst. Artikel 69 van dezelfde wet gaat over bevelen tot onderschepping, monitoring en ontsleuteling onder bepaalde bevoegdheid en vastgelegde redenen, wat niet hetzelfde is als een instructie om een wachtwoord te geven aan iedereen die zich als ambtenaar voordoet. De voorwaarden lezen is het hele verschil.