卡内基国际和平基金会-The-Encryption-Debate-in-Germany-2021-Update_13页_469kb

总结：德国加密辩论2021年更新

核心内容

德国政府长期以来支持广泛且强大的加密技术，同时保留了对执法和情报机构进行政府黑客操作的权限。自1999年起，德国政府就确立了这一政策，并在2014年进一步强化，提出成为全球加密采用的领导者。尽管政府未直接对加密进行监管，而是专注于通过黑客手段获取数字证据，但近年来德国在加密政策上出现了微妙的变化，开始探索欧盟层面的合法访问机制（lawful access mechanisms）。

主要观点

• 加密政策一贯性：德国政府的加密政策始终强调不削弱加密技术，而是支持通过政府黑客操作获取数据。
• 政府黑客操作定义：政府黑客操作被定义为“通过远程干扰软件或硬件，以合法和针对性的方式访问传输中的数据、静态数据和传感器信息，用于刑事调查”。
• 政策转向迹象：虽然德国仍坚持强加密立场，但出现了三个政策发展迹象表明其立场有所动摇：
  • 2019年，内政部曾讨论强制厂商在通讯应用中创建后门。
  • 2020年12月，德国在欧盟理事会主席任内推动了一项支持“加密安全”和“加密之外安全”的决议。
  • 德国外交部联合其他欧盟国家发布了一项非正式文件，呼吁欧盟成员国找到合法访问数字证据的方法，而不削弱加密。

关键信息

机构发展

• ZITiS（中央信息技术安全办公室）：成立于2017年，负责采购和培训政府黑客工具，目前基本运作，未来资源和权限将扩大。
• 德国DARPA（创新网络安全机构）：2020年8月成立，由内政部和国防部联合设立，旨在促进技术主权和安全研究，可能涉及政府黑客、加密和合法访问项目。

FinFisher事件

• 公司背景：FinFisher是一家提供政府级商业间谍软件的公司，总部位于慕尼黑，与德国联邦刑事警察局（BKA）合作。
• 法律问题：该公司因未经许可出口强大间谍软件而被调查，政府自2015年起未发放任何相关出口许可。
• 争议：网络安全专家发现其软件与土耳其反对派监控工具相同，引发非政府组织投诉，导致慕尼黑警方对公司进行搜查。

技术公司立场

• 互联网服务提供商（ISP）：ISP批评政府越来越多地将他们作为黑客行动的工具，呼吁限制政府权力。
• 法律草案：未来可能允许政府要求ISP强制推送安全更新或政府监控软件到用户设备。

加密绕过案例

• WhatsApp案例：2020年7月，联邦刑事警察局通过物理访问设备、启用WhatsApp Web功能，实现对加密通信的监听。
• 技术争议：该方法虽有效，但资源消耗大且易出错，若目标检查其设备上的WhatsApp Web会话，可能暴露监听行为。

政府黑客使用情况

• 联邦司法部数据：2021年首次公布政府黑客使用情况，显示：
  • 21项程序中，有33次使用了在线搜索（Online Durchschnitt）。
  • 12次实际使用在线搜索。
  • 31次要求源通信监控（Quellen-TKU），仅3次实际使用。
• 用途：政府黑客主要用于调查毒品、财产犯罪，而非恐怖主义或谋杀。
• BKA报告：BKA表示，政府黑客工具仅在有限的针对性行动中使用，且依赖漏洞。

州级执法改革

• 法律改革：各州正在改革警察法，扩大监控能力，响应联邦2017年通过的法律。
• 实施情况：截至2020年，7个州已合法化源通信监控，4个州允许使用所有政府黑客方法。
• 争议：部分州如勃兰登堡反对在紧急情况下使用政府黑客，引发宪法诉讼。

加密漏洞管理

• 未达成共识：关于加密漏洞管理的谈判尚未取得突破，政府尚未建立漏洞权益平衡机制（vulnerabilities equities process）。
• 待议法律：《第二项信息系统的安全法》草案中包含漏洞管理条款，但内容模糊，未明确政府黑客操作的法律边界。
• BSI角色：联邦信息安全办公室（BSI）被赋予数字消费者保护职责，可能涉及更多漏洞分析和厂商信息收集。

结论与展望

• 政策趋势：德国虽仍坚持强加密立场，但正逐步将合法访问机制的讨论推向欧盟层面，可能因国内立法阻力较大。
• 未来方向：德国政府可能通过欧盟框架推动合法访问机制，但其是否能成功仍不确定。
• 法律挑战：联邦和州级立法均面临宪法诉讼，特别是联邦法律的裁决将影响州级法律改革。
• 公众反应：尽管政府试图扩展执法权力，但公众和行业组织持续反对，强调隐私和网络安全的重要性。

相关背景

• 作者信息：Sven Herpig和Julia Schuetze均为柏林智库Stiftung Neue Verantwortung的成员，专注于国际网络安全政策。
• 加密工作组：由卡内基和平基金会和普林斯顿大学联合发起，旨在促进加密政策的建设性对话，涵盖政府官员、企业代表、隐私倡导者、执法专家和计算机科学家。