Het Canadese privacytechnologiebedrijf Psiphon bereidt zich voor om zijn activiteiten uit Canada te verplaatsen vanwege voorgestelde wetgeving waarvan het denkt dat die de veiligheid van miljoenen internetgebruikers wereldwijd kan ondermijnen.
Het in Toronto gevestigde bedrijf, dat mensen helpt overheidscensuur te omzeilen en toegang te krijgen tot geblokkeerde websites, zegt dat het geen eisen kan accepteren die het kunnen dwingen surveillancemogelijkheden in zijn software toe te passen. De waarschuwing betreft wetsvoorstel C-22, wetgeving die bedoeld is om de toegang van wetshandhaving tot digitale informatie uit te breiden.
Psiphon begon in 2006 als een project bij het Citizen Lab van de Universiteit van Toronto, voordat het een onafhankelijk bedrijf werd. Tegenwoordig bedient de technologie ongeveer 20 miljoen maandelijkse gebruikers, waaronder mensen in landen als Iran, China, Rusland en Myanmar, waar internettoegang sterk beperkt is.
De voorgestelde Canadese wet zou nieuwe verplichtingen instellen voor bepaalde elektronische dienstverleners, waarbij zij mogelijk technische capaciteiten moeten behouden om politie en inlichtingendiensten te ondersteunen bij wettelijk geautoriseerde onderzoeken.
Psiphon stelt dat deze eisen in conflict kunnen zijn met zijn open-source benadering, die onderzoekers en gebruikers in staat stelt zijn software te onderzoeken op beveiligingszwaktes.
Vice-president van het bedrijf, Kenzie Elsworthy, waarschuwde dat het introduceren van surveillancefunctionaliteit gebruikers aan extra risico’s kan blootstellen. Omdat de code van Psiphon openbaar beschikbaar is, kan elk mechanisme dat speciaal toegang biedt potentieel worden ontdekt en misbruikt door overheden die mensen die de dienst willen monitoren.
Het bedrijf is naar verluidt begonnen met het voorbereiden van verhuisplannen om het risico te lopen de bescherming waarop zijn gebruikers afhankelijk zijn te compromitteren.
Psiphon is niet de enige die zich tegen de wetgeving verzet. Privacygerichte bedrijven, waaronder Signal, NordVPN en Windscribe, hebben ook gewaarschuwd dat zij hun Canadese activiteiten kunnen verminderen of beëindigen als de wet hun beveiligingsverplichtingen bedreigt.
Canadese functionarissen stellen dat wetsvoorstel C-22 noodzakelijk is om onderzoeken met ernstige criminaliteit en nationale veiligheidsdreigingen te moderniseren. De regering stelt dat de wetgeving geen onbeperkte surveillance of directe politietoegang tot bedrijfssystemen zou toestaan.
Wetgevers hebben het voorstel al aangepast om de bescherming van end-to-end encryptie te versterken en de maximale bewaringsperiode van metadata te verkorten van 12 maanden naar zes maanden. Critici stellen echter dat de resterende bepalingen nog steeds beveiligings- en privacyrisico’s kunnen opleveren.
Wetsvoorstel C-22 is aangenomen door het Canadese Lagerhuis en wordt nu door de Senaat behandeld. Het is nog geen wet geworden, wat betekent dat verdere wijzigingen mogelijk blijven.
Voor Psiphon kan de uitkomst bepalen of een privacydienst die twee decennia geleden in Canada is ontwikkeld, vanuit het land kan blijven opereren zonder de technologie die gebruikt wordt om haar gebruikers te beschermen te veranderen.