Någon säger att 40-bitarskryptering är olaglig i Indien

Någon i ett forum hävdar att kryptering över ett visst antal bitar är olaglig i Indien, och tråden under den innehåller tre olika tal. Påståendet kommer som en driftsbegränsning långt innan det kommer som en källhänvisning, och att lyda det innebär att försvaga en SSH- eller VPN-profil för att passa en siffra som ingen kan belägga. Vänd på det: dokumentet kommer först, och talet är vad dokumentet visar sig säga. Den här sidan är en läsmethod, inte ett avgörande om din anslutning. Den säger vad du ska hämta, vad du ska skriva ned och när du ska lämna frågan till en advokat.

Be om dokumentet, inte om siffran

Tre slags text kan ge upphov till en begränsning, och de är inte utbytbara: en lag, en författning som utfärdats med stöd av den, och ett licensvillkor knutet till en namngiven tjänst. Var och en har sina egna adressater, sitt eget tillämpningsområde och sin egen version. När någon åberopar en gräns, fråga vilken av de tre som avses och begär filen, för en sammanfattning som tappat den åtskillnaden går inte att kontrollera mot något. India Code-versionen av Information Technology Act, 2000 är en rimlig utgångspunkt snarare än svaret.

En siffra utan dokument bakom sig är ett rykte som lärt sig låta tekniskt. Att be om filen kostar ett meddelande; att nedgradera en fungerande tunnel för att matcha ryktet kostar en säkerhetsändring som ingen i efterhand kan motivera.

Läs det avsnitt du fick

Ta paragraf 84A i den PDF:en. På dess tryckta sida ger den centralregeringen befogenhet att föreskriva sätt eller metoder för kryptering, och den säger ingenting om 40, 128 eller 256 bitar. Så ser en bemyndigandebestämmelse ut: den bemyndigar regler i stället för att fastställa dem. Att läsa sidan avgör vad paragrafen gör och, lika användbart, vad den inte gör.

Att det inte står någon siffra där är inte bevis för att det saknas överallt. En annan paragraf, ett tillkännagivande eller en licens kan säga något annat, och bara den texten kan läsas för att ta reda på det.

En bemyndigandebefogenhet är inte den gällande regeln

Befogenheter och regler står i olika dokument, och den skillnaden avgör om ett påstående alls går att kontrollera. Om gränsen påstås komma från en licens, läs licensen; om från ett tillkännagivande, läs tillkännagivandet och dess datum; om från lagen, läs paragrafen och stycket. Att byta det ena mot det andra är det vanligaste felet i sådana här trådar, och det är osynligt när sammanfattningen väl upprepats några gånger. Notera vilken version du läste och när det exemplaret publicerades.

Filmetadata är en antydan om exemplaret i din hand, inte bevis för att texten inte flyttats sedan dess. Ett nedladdningsdatum från 2018 säger ingenting om 2026.

Skriv ned din egen roll innan du bedömer påståendet

Scenarier, inte slagord: beskriv på tre rader vad du faktiskt skulle göra. En resenär som använder en godkänd företagstunnel, en administratör som kör en egen server för ett litet team och en leverantör som säljer åtkomst till främlingar är tre olika beskrivningar med tre olika rättsliga ytor. En slutsats om en av dem följer inte med till de andra, eftersom definitionerna och adressaterna i författningen kanske inte omfattar samma personer. Skriv beskrivningen först och leta sedan efter regeln som gäller för den.

Samla sedan de två fakta en advokat skulle behöva. Vid ett licenspåstående: vem innehar licensen, och vilken tjänst omfattar den? Vid ett mjukvarupåstående: vilket agerande är begränsat, att inneha den, att tillhandahålla den, att köra den eller en namngiven användning?

Gör frågan tillräckligt precis för att kunna besvaras

Två saker till hör i förfrågan. För det första vad den citerade siffran egentligen mäter, för en SSH-session har värdnycklar, nycklar för användarautentisering, nyckelutbyte och symmetrisk trafik, och ett bart bittal nämner ingen av dem. För det andra vilket dokument och vilken version påståendet vilar på, med den exakta klausulen om det finns en. Lägg till din verksamhet, dina platser, parter och konfiguration, och förfrågan blir något som en jurist kan besvara i stället för en debatt.

Formuleringen avgör utfallet här. Paragraf 69 i samma lag handlar om beslut om avlyssning, övervakning och dekryptering under angivna befogenheter och dokumenterade skäl, vilket inte är samma sak som en instruktion att lämna ut ett lösenord till vem som helst som påstår sig ha officiell status. Att läsa villkoren är hela skillnaden.