有人说 40 位加密在印度属于违法

论坛里有人说，超过某个位数上限的加密在印度是违法的，而下面那条讨论串里出现了三个不同的数字。这个说法是以部署限制的形式出现的，远早于它作为引证出现，而遵从它就意味着为了迁就一个没人能拿出文件佐证的数字，去削弱某个 SSH 或 VPN 配置。把顺序倒过来：文件在先，数字只是文件最终说出的内容。本页讲的是阅读方法，不是对你这条连接的裁定。它会说明该索取什么、该记录什么，以及什么时候该把问题交给律师。

要文件，不要数字

三类文本都可能产生限制，而它们不能互换：一部法律、依据该法律制定的文书，以及附着于某一指名服务的许可条件。三者各有自己的受众、范围与版本。当有人引用某个上限时，问清指的是三者中的哪一类，并把文件要过来，因为丢掉了这一区分的摘要无法与任何东西对照。《2000 年信息技术法》的 India Code 版本 是合理的起点，而不是答案。

一个没有文件支撑的数字，是学会了用技术腔调说话的传闻。索取文件只花一条消息；为了迎合传闻而降低一条正在使用的隧道的强度，却要花上事后没人能解释清楚的安全变更。

读你手上被交付的那一条

把这个 PDF 里的第 84A 条拿出来。在它的印刷页面上，该条授权中央政府规定加密的方式或方法，而对 40、128 或 256 位一字未提。授权性条款就是这个样子：它为规则提供授权，而不是直接陈述规则。读完这一页，就能确定该条做了什么，也同样能确定它没有做什么。

那里没有出现数字，并不能证明别处也没有。别的条文、通告或许可证可能另有说法，而要弄清这一点，只能去读那份文本。

授权不等于生效的规则

权力与规则住在不同的文件里，而这个差别决定了某项主张究竟能不能被核对。如果限制据说来自许可证，就去读许可证；如果来自通告，就去读通告及其日期；如果来自法律，就去读条文与款。把其中一个换成一个，是这类讨论串里最常见的错误，而摘要被重复几次之后，这个错误就看不见了。记下你读的是哪个版本，以及那份副本何时发布。

文件的元数据只是关于你手上这份副本的线索，并不能证明文本此后没有变动。2018 年的下载日期说明不了 2026 年的任何事。

在评判这个说法之前，先写下你自己的角色

讲情形，不要喊口号：用三行写出你实际会怎么做。使用经批准的企业隧道的出行者、为小团队维护私有服务器的管理员，以及把访问权限卖给陌生人的服务商，是三种不同的描述，对应三种不同的法律界面。关于其中一种的结论不会自动搬到另外两种，因为文书里的定义与受众未必覆盖同一批人。先写下描述，再去寻找适用于它的规则。

然后收集律师会需要的两个事实。就许可证的主张而言：谁持有许可证，它覆盖哪项服务？就软件的主张而言：被限制的是哪种行为，是持有、提供、运行，还是某一项指名用途？

把问题问到足够精确、可以回答的程度

请求里还应当包含两件事。第一，被引用的那个数字究竟衡量的是什么，因为一次 SSH 会话涉及主机密钥、用户认证密钥、密钥交换与对称流量，而一个光秃秃的位数对其中任何一项都没有指明。第二，这项主张依据的是哪份文件、哪个版本，如果有具体条款就一并写明。再加上你的活动、所在地、相关方与配置，请求就变成了律师可以回答的东西，而不是一场争论。

在这里，措辞决定结果。同一部法律的第 69 条处理的是在特定授权下、有记录理由的拦截、监控与解密指令，这与“把口令交给任何自称官员的人”的指示并不是一回事。读清条件，差别就在这里。