La società canadese di tecnologia per la privacy Psiphon si sta preparando a trasferire le sue operazioni fuori dal Canada a causa di una proposta di legge che ritiene possa compromettere la sicurezza di milioni di utenti internet in tutto il mondo.
L’azienda con sede a Toronto, che aiuta le persone a bypassare la censura governativa e ad accedere a siti web bloccati, afferma di non poter accettare requisiti che potrebbero costringerla a introdurre capacità di sorveglianza nel suo software. Il suo avvertimento riguarda il disegno di legge C-22, una legislazione volta ad espandere l’accesso delle forze dell’ordine alle informazioni digitali.
Psiphon è nata nel 2006 come progetto presso il Citizen Lab dell’Università di Toronto prima di diventare un’azienda indipendente. Oggi, la sua tecnologia serve circa 20 milioni di utenti mensili, inclusi persone in paesi come Iran, Cina, Russia e Myanmar, dove l’accesso a internet è fortemente limitato.
La proposta di legge canadese istituirebbe nuovi obblighi per alcuni fornitori di servizi elettronici, richiedendo potenzialmente loro di mantenere capacità tecniche per assistere polizia e agenzie di intelligence nelle indagini legalmente autorizzate.
Psiphon sostiene che questi requisiti potrebbero essere in conflitto con il suo approccio open-source, che permette a ricercatori e utenti di esaminare il software alla ricerca di vulnerabilità di sicurezza.
La vicepresidente dell’azienda Kenzie Elsworthy ha avvertito che l’introduzione di funzionalità di sorveglianza potrebbe esporre gli utenti a rischi aggiuntivi. Poiché il codice di Psiphon è disponibile pubblicamente, qualsiasi meccanismo progettato per fornire un accesso speciale potrebbe essere scoperto e sfruttato dai governi che vogliono monitorare le persone che utilizzano il servizio.
L’azienda avrebbe iniziato a preparare piani di trasferimento invece di rischiare di compromettere le protezioni di cui fanno affidamento i suoi utenti.
Psiphon non è l’unica a opporsi alla legislazione. Aziende focalizzate sulla privacy, tra cui Signal, NordVPN e Windscribe, hanno anche avvertito che potrebbero ridurre o terminare le loro operazioni canadesi se la legge minacciasse i loro impegni di sicurezza.
I funzionari canadesi sostengono che il disegno di legge C-22 sia necessario per modernizzare le indagini che riguardano gravi crimini e minacce alla sicurezza nazionale. Il governo sostiene che la legislazione non consentirebbe la sorveglianza illimitata né l’accesso diretto della polizia ai sistemi aziendali.
I legislatori hanno già modificato la proposta per rafforzare le protezioni per la crittografia end-to-end e ridurre il periodo massimo di conservazione dei metadati da 12 mesi a sei mesi. Tuttavia, i critici sostengono che le restanti disposizioni potrebbero comunque creare rischi per la sicurezza e la privacy.
Il disegno di legge C-22 è passato dalla Camera dei Comuni del Canada ed è ora in fase di esame dal Senato. Non è ancora diventato legge, il che significa che restano possibili ulteriori modifiche.
Per Psiphon, l’esito potrebbe determinare se un servizio di privacy sviluppato in Canada due decenni fa possa continuare a operare dal paese senza modificare la tecnologia utilizzata per proteggere i suoi utenti.