CLOUD Act on Arpokrat

Data Act बनाम CLOUD Act: क्लाउड में आपके डेटा पर वास्तव में किसका नियंत्रण है?

Fri, 19 Jun 2026 00:00:00 +0000

वर्षों तक दुनिया एक सरल धारणा पर चलती रही: डेटा का एक भौतिक निवास स्थान होता है। यदि डेटा डबलिन के किसी सर्वर पर था, तो वह आयरिश और यूरोपीय कानून के अधीन था। यह धारणा 2018 में उस समय ध्वस्त हो गई जब संयुक्त राज्य अमेरिका ने CLOUD Act पारित किया — एक ऐसा कानून जो अमेरिकी अधिकारियों को अमेरिकी कंपनियों द्वारा नियंत्रित डेटा तक पहुँच प्रदान करता है, चाहे वह डेटा दुनिया में कहीं भी भौतिक रूप से संग्रहीत हो। कई साल बाद, ब्रसेल्स ने अपने स्वयं के सुरक्षा उपाय के साथ जवाब दिया: Data Act, जो अब पूरी तरह लागू है और जो यूरोपीय संघ में रखे गए डेटा तक तीसरे देशों के अधिकारियों की बाह्यक्षेत्रीय पहुँच को सीमित करने का प्रयास करता है।

यहाँ बताया गया है कि ये दोनों कानून वास्तव में क्या प्रावधान करते हैं, वे कहाँ टकराते हैं, और इस संघर्ष के विरुद्ध एकमात्र वास्तव में मजबूत सुरक्षा तकनीकी रूप से पहुँच असंभव बनाना क्यों है।

अमेरिकी CLOUD Act: स्थान नहीं, नियंत्रण पर आधारित पहुँच

CLOUD Act (Clarifying Lawful Overseas Use of Data Act), जिसे मार्च 2018 में अपनाया गया, ने अमेरिकी कानून में 18 U.S. Code § 2713 अनुच्छेद जोड़कर उसे संशोधित किया। यह कानून किसी भी इलेक्ट्रॉनिक संचार सेवा या रिमोट कंप्यूटिंग प्रदाता को किसी संचार की सामग्री या उससे संबंधित किसी भी रिकॉर्ड को संरक्षित, सुरक्षित या प्रकट करने के लिए बाध्य करता है, जब वह डेटा उसके कब्जे, हिरासत या नियंत्रण में हो — चाहे वह डेटा संयुक्त राज्य अमेरिका के भीतर हो या बाहर।

यही अंतिम खंड सब कुछ बदल देता है। मानदंड अब सर्वर का भौतिक स्थान नहीं, बल्कि मूल कंपनी द्वारा अपनी सहायक कंपनियों पर प्रयोग किया जाने वाला नियंत्रण है। इस प्रकार, यूरोप में डेटा सेंटर संचालित करने वाली एक अमेरिकी कंपनी अमेरिकी समन के अधीन रहती है, भले ही डेटा पूरी तरह से यूरोपीय धरातल पर संग्रहीत हो।

यूरोपीय Data Act: बाह्यक्षेत्रीय पहुँच के विरुद्ध एक कानूनी बाधा

Regulation (EU) 2023/2854, जिसे Data Act कहा जाता है, 11 जनवरी 2024 को लागू हुआ और 12 सितंबर 2025 से पूरी तरह लागू है, कुछ प्रावधान 2026 और 2027 तक चरणबद्ध हैं। इसका अनुच्छेद 32 सीधे डेटा तक अंतरराष्ट्रीय सरकारी पहुँच के प्रश्न को संबोधित करता है।

यह कानून एक स्पष्ट नियम स्थापित करता है: किसी तीसरे देश की न्यायिक या प्रशासनिक प्राधिकरण का कोई भी निर्णय या आदेश जो किसी डेटा प्रसंस्करण सेवा प्रदाता को यूरोपीय संघ में रखे गए गैर-व्यक्तिगत डेटा को स्थानांतरित करने या उस तक पहुँच देने के लिए बाध्य करता है, केवल तभी मान्यता प्राप्त और प्रवर्तनीय होगा जब वह किसी अंतरराष्ट्रीय समझौते पर आधारित हो, जैसे कि अनुरोधकर्ता देश और यूरोपीय संघ के बीच, या उस देश और संबंधित सदस्य राज्य के बीच लागू पारस्परिक कानूनी सहायता संधि (MLA)।

ऐसे किसी समझौते के अभाव में, अनुच्छेद 32 एक दूसरा मार्ग प्रदान करता है, लेकिन सख्त शर्तों के साथ: विदेशी आदेश केवल तभी लागू किया जा सकता है जब तीसरे देश की कानूनी प्रणाली यह अपेक्षा करे कि अनुरोध प्रेरित, आनुपातिक और पर्याप्त रूप से विशिष्ट हो — उदाहरण के लिए, विशिष्ट व्यक्तियों या अपराधों के साथ स्पष्ट संबंध स्थापित करके — और यदि प्राप्तकर्ता की प्रेरित आपत्ति उस तीसरे देश के सक्षम न्यायालय की समीक्षा के अधीन हो सके।

एक प्रत्यक्ष कानूनी टकराव

समस्या तत्काल है: CLOUD Act मूल कंपनी द्वारा प्रयोग किए गए नियंत्रण के आधार पर प्रकटीकरण की माँग करता है, बिना यूरोपीय कानून द्वारा अपेक्षित आनुपातिकता की तुलनीय शर्त के। इसके विपरीत, Data Act ऐसी किसी भी माँग की मान्यता को किसी अंतरराष्ट्रीय समझौते या विशिष्ट प्रक्रियागत गारंटी के अस्तित्व पर निर्भर करता है। यूरोप में कार्यरत एक अमेरिकी कंपनी, जिसे किसी अमेरिकी प्राधिकरण द्वारा यूरोपीय संघ में होस्ट किया गया डेटा प्रेषित करने का आदेश दिया गया हो, दो विरोधाभासी कानूनी दायित्वों के बीच फँसी पाती है: या तो यूरोपीय संघ के कानून का उल्लंघन करते हुए अमेरिकी आदेश का पालन करे, या Data Act का सम्मान करते हुए संयुक्त राज्य अमेरिका में इनकार के परिणामों का सामना करे।

यह तनाव सैद्धांतिक नहीं है। इसे यूरोपीय संघ के न्यायालय (CJEU) ने दो महत्वपूर्ण निर्णयों — Schrems I (2015) और Schrems II (2020) — में पहले ही दर्ज किया है। Schrems II निर्णय में, CJEU ने माना कि FISA की धारा 702 (Foreign Intelligence Surveillance Act) और कार्यकारी आदेश 12333 के तहत की जाने वाली अमेरिकी निगरानी, आनुपातिकता के सिद्धांत के तहत यूरोपीय संघ के कानून द्वारा अपेक्षित न्यूनतम गारंटी का पालन नहीं करती और इसलिए इसे केवल जो कड़ाई से आवश्यक हो उस तक सीमित नहीं माना जा सकता। न्यायालय ने यूरोपीय संघ के संबंधित व्यक्तियों के लिए प्रभावी न्यायिक उपाय की अनुपस्थिति भी दर्ज की, जो मौलिक अधिकारों के चार्टर के अनुच्छेद 47 का उल्लंघन है। इस निर्णय ने Privacy Shield ढाँचे को अमान्य कर दिया, जो तब तक EU और संयुक्त राज्य अमेरिका के बीच डेटा स्थानांतरण को व्यवस्थित करता था।

संरचनात्मक जोखिम: Harvest Now, Decrypt Later

न्यायक्षेत्र के संघर्ष से परे, अमेरिकी कानून के अधीन बुनियादी ढाँचे में होस्ट किए गए डेटा पर एक और अधिक कपटी खतरा मँडरा रहा है: Harvest Now, Decrypt Later (HNDL) रणनीति। इसका सिद्धांत यह है कि कोई खुफिया सेवा या शत्रुतापूर्ण राज्य अभिनेता आज एन्क्रिप्टेड डेटा को इंटरसेप्ट करके संग्रहीत करता है, और भविष्य में पर्याप्त क्वांटम कंप्यूटिंग क्षमताओं के उपलब्ध होने की प्रतीक्षा करता है ताकि उसे डिक्रिप्ट किया जा सके।

यह रणनीति किसी अमेरिकी क्लाउड बुनियादी ढाँचे पर निरंतर निर्भरता को एक स्थगित सुरक्षा ऋण में बदल देती है: जो आज गोपनीय है वह दस या पंद्रह साल में पठनीय हो सकता है, बिना हमलावर की ओर से किसी अतिरिक्त कार्रवाई के — केवल समय और धैर्य।

तकनीकी असंभवता ही वास्तविक गारंटी क्यों है

कानूनी विश्लेषण एक ऐसे निष्कर्ष पर अभिसरित होता है जो कई अनुपालन विशेषज्ञों द्वारा साझा किया जाता है: Data Act का कानूनी ढाँचा चाहे जितना मजबूत हो, यह अंततः एक ऐसा दस्तावेज है जिसे भू-राजनीतिक शक्ति संतुलन और राजनयिक दबाव दरकिनार कर सकते हैं, विलंबित कर सकते हैं या पुनर्व्याख्यायित कर सकते हैं। एकमात्र सुरक्षा जो किसी भविष्य की बातचीत पर निर्भर नहीं करती, वह है तकनीकी रूप से निष्पादन असंभव होना।

एक zero knowledge आर्किटेक्चर, जहाँ सेवा प्रदाता के पास डिक्रिप्शन कुंजियों का न कब्जा है और न हिरासत, एक समन को भौतिक रूप से निष्प्रभावी बना देता है। जो कभी आपके पास था ही नहीं, उसे सौंपने के लिए आपको बाध्य नहीं किया जा सकता।

यही तर्क Arpokrat जैसे पारिस्थितिकी तंत्रों की संरचना करता है:

न्यायक्षेत्र निराकरण: बुनियादी ढाँचा स्विट्जरलैंड में होस्ट किया गया है, संघीय डेटा संरक्षण अधिनियम (LPD/FADP) के तहत, CLOUD Act की बाह्यक्षेत्रीयता के प्रत्यक्ष दायरे से बाहर
हिरासत का अभाव: zero knowledge आर्किटेक्चर सेवा प्रदाता को वे कुंजियाँ या सामग्री सौंपने की किसी भी क्षमता से वंचित करता है जो उसके पास कभी थी ही नहीं
पहचान फुटप्रिंट में कमी: फोन नंबर या ईमेल पते द्वारा पंजीकरण की बाध्यता को समाप्त करके — ऐसे पहचानकर्ता जिन्हें FISA की धारा 702 पर आधारित निगरानी आसानी से ट्रैक कर सकती है — उपयोगकर्ता एक पहचान योग्य ग्राहक से एक अनाम क्रिप्टोग्राफिक कुंजी बन जाता है

हिरासत की श्रृंखला संदेश एन्क्रिप्शन पर नहीं रुकती

अनुपालन विश्लेषणों में अक्सर कम आँका जाने वाला एक बिंदु: किसी संचार की सामग्री को एन्क्रिप्ट करना पर्याप्त नहीं है यदि अंतर्निहित ऑपरेटिंग सिस्टम — चाहे वह Android हो या iOS — कर्नेल स्तर पर मेटाडेटा या टेलीमेट्री कैप्चर करना जारी रखता है, जो अमेरिकी न्यायक्षेत्र के अधीन सर्वरों पर जाती है। गोपनीयता की सुरक्षा के लिए हिरासत की श्रृंखला की पूर्ण बंदी की आवश्यकता है — सामग्री से लेकर भौतिक बुनियादी ढाँचे तक।

इसीलिए डिजिटल संप्रभुता में उपयोग किए जाने वाले ऑपरेटिंग सिस्टम पर भी विचार शामिल है — न केवल मैसेजिंग एप्लिकेशन पर। डी-गूगलीकृत सिस्टम, जहाँ Bluetooth या GNSS जियोलोकेशन जैसे मॉड्यूल को सीधे कर्नेल स्तर पर अक्षम किया जा सकता है, भौतिक आक्रमण वेक्टरों को समाप्त करते हैं जिसकी भरपाई कोई भी एप्लिकेशन-स्तरीय एन्क्रिप्शन नहीं कर सकता।

पोस्ट-क्वांटम क्रिप्टोग्राफी: एक पहले से तय क्षितिज

HNDL रणनीति द्वारा उत्पन्न खतरे के मद्देनजर, पोस्ट-क्वांटम क्रिप्टोग्राफी (PQC) मानकों को अपनाना उन सभी के लिए आवश्यक हो जाता है जो दीर्घकालिक रूप से संवेदनशील डेटा की गोपनीयता की गारंटी देना चाहते हैं — चाहे वह व्यावसायिक रहस्य हों, व्यावसायिक पत्राचार हो, या स्वास्थ्य डेटा हो। आज के शास्त्रीय मानकों के अनुसार मजबूत समझा जाने वाला एन्क्रिप्शन यह गारंटी नहीं देता कि वह अगले पंद्रह वर्षों में अपेक्षित क्वांटम कंप्यूटिंग क्षमताओं का सामना कर सकेगा।

Data Act और CLOUD Act के बीच का संघर्ष एक व्यापक वास्तविकता को उजागर करता है: डिजिटल संप्रभुता अब केवल कानूनी दस्तावेजों पर निर्मित नहीं हो सकती, चाहे वे कितने भी मजबूत क्यों न हों। इसके लिए हर स्तर पर हिरासत की श्रृंखला को बंद करना आवश्यक है — एन्क्रिप्शन प्रोटोकॉल से लेकर होस्टिंग न्यायक्षेत्र तक, और ऑपरेटिंग सिस्टम तक। यही परत-दर-परत दृष्टिकोण — किसी एकल नियामक ढाँचे पर भरोसे की बजाय — आज एक वास्तविक डिज़ाइन द्वारा डिजिटल संप्रभुता को परिभाषित करता है।

चीखता सन्नाटा: Warrant Canary क्या है और इसके गायब होने से आपको क्यों चिंतित होना चाहिए?

Mon, 01 Jun 2026 00:00:00 +0000

19वीं सदी की कोयला खदानों की गहराई में, खनिक अपने साथ पिंजरे में बंद कैनरी (canary) पक्षी ले जाते थे। कार्बन मोनोऑक्साइड जैसी जहरीली गैसों के प्रति बेहद संवेदनशील ये छोटे पक्षी खनिकों को खतरे का एहसास होने से बहुत पहले ही मर जाते थे। इस प्रकार उन्होंने एक मूक, लेकिन अत्यधिक प्रभावी प्रारंभिक चेतावनी प्रणाली के रूप में कार्य किया।

हमारी आधुनिक डिजिटल दुनिया में, यह पक्षी « Warrant Canary » के रूप में वापस आ गया है।

Warrant Canary क्या है?

यह एक सेवा प्रदाता (मैसेजिंग, वीपीएन, होस्ट) द्वारा नियमित रूप से प्रकाशित और अपडेट किया गया एक सार्वजनिक बयान है, जिसमें कहा गया है कि उस सटीक तारीख तक, उसे कोई गुप्त कानूनी अनुरोध प्राप्त नहीं हुआ है जो उसे अपने उपयोगकर्ताओं के डेटा से समझौता करने के लिए मजबूर करता हो — जैसे कि एक अमेरिकी National Security Letter (NSL) या FISA अदालत द्वारा जारी आदेश।

कैनरी की पूरी सूक्ष्मता — और गंभीरता — इस बात में निहित है कि जब यह गायब हो जाता है तो क्या होता है।

यदि कोई सेवा जो हर महीने “हमें कोई गुप्त आदेश प्राप्त नहीं हुआ है” कथन प्रदर्शित करती है, अचानक इसे अपडेट करना बंद कर देती है, तो एक जागरूक उपयोगकर्ता स्पष्ट निष्कर्ष निकालता है: कैनरी मर चुकी है।

कंपनी को एक निगरानी उपाय का लक्ष्य बनाया गया है जिसके साथ गैग ऑर्डर (gag order) है, जो कानूनी रूप से इस अनुरोध के अस्तित्व को प्रकट करने से रोकता है। यह कहने में असमर्थ होने पर कि उनके साथ समझौता किया गया है, वे बस यह कहना बंद कर देते हैं कि वे सुरक्षित हैं।

अदृश्य निगरानी का युग और मौन को दरकिनार करना

ऐसे समय में जब CLOUD Act और FISA जैसे अतिरिक्त-क्षेत्रीय कानून अमेरिकी सरकार को लक्ष्यों को सूचित किए बिना कंपनियों द्वारा होस्ट किए गए डेटा तक पहुंचने की अनुमति देते हैं, Warrant Canary इस मजबूर चुप्पी को बायपास करने के कुछ तंत्रों में से एक है।

CLOUD Act के साथ, भौगोलिक बाधा अब मौजूद नहीं है: यदि डेटा किसी अमेरिकी कंपनी के “नियंत्रण” में है, तो अमेरिकी सरकार उस तक पहुंचने के अधिकार का दावा करती है, भले ही वे सर्वर भौतिक रूप से यूरोप में स्थित हों। कैनरी तब किसी उपयोगकर्ता की डिजिटल संप्रभुता के चुपचाप बलिदान होने से पहले अंतिम चेतावनी संकेत बन जाती है।

यही कारण है कि Privacy क्षेत्र के प्रमुख खिलाड़ियों ने इस उपकरण को पारदर्शिता के मानक के रूप में अपनाया है:

Proton : स्विस मैसेजिंग और ईमेल सेवा एक पारदर्शिता रिपोर्ट प्रकाशित करती है जिसमें एक सख्त Warrant Canary शामिल है।
Riseup : कार्यकर्ताओं के लिए सुरक्षित संचार समूह वेब पर सबसे प्रसिद्ध कैनरी में से एक को बनाए रखता है।
Arpokrat : हमारा अपना पारिस्थितिकी तंत्र हमारे समुदाय के लिए पूर्ण पारदर्शिता की गारंटी देने के लिए सार्वजनिक Warrant Canary को बनाए रखता है, जिसे क्रिप्टोग्राफ़िक रूप से अपडेट किया जाता है।

कानूनी विश्लेषण: झूठ न बोलने का अधिकार

Warrant Canary का अस्तित्व संवैधानिक कानून के सबसे आकर्षक स्तंभों में से एक पर टिका है: compelled speech (मजबूर भाषण) का सिद्धांत और न्यायिक गोपनीयता के साथ इसका टकराव।

कानूनी आधार एक सरल सिद्धांत पर टिका है: यदि राज्य के पास आप पर मौन थोपने की शक्ति है (गैग ऑर्डर के माध्यम से), तो उसके पास आपको झूठ बोलने के लिए मजबूर करने की संवैधानिक शक्ति नहीं है।

अमेरिकी संविधान के पहले संशोधन (और यूरोप में समान सिद्धांतों) के तहत, सरकार किसी कंपनी को तथ्यात्मक रूप से गलत बयान देने के लिए मजबूर नहीं कर सकती है। इस प्रकार, जब कोई कंपनी अपनी कैनरी हटाती है, तो वह मौन आदेश का उल्लंघन नहीं करती है — क्योंकि वह स्पष्ट रूप से वारंट प्राप्त करने की घोषणा नहीं करती है। यह केवल उस बयान को देना बंद करने के अपने मौलिक अधिकार का प्रयोग करता है जो अब सच नहीं है।

यूरोपीय कानून के साथ संघर्ष

कैनरी की प्रासंगिकता आज Data Act (EU Regulation 2023/2854) के अनुच्छेद 32 द्वारा मजबूत की गई है। यह प्रावधान प्रदाताओं को तीसरे देशों के अधिकारियों द्वारा डेटा पहुंच को रोकने के लिए तकनीकी और कानूनी उपायों को लागू करने की आवश्यकता है जब यह यूरोपीय कानून का खंडन करता है। कैनरी की मृत्यु तुरंत कानूनों के इस टकराव का संकेत देती है: प्रदाता को विदेशी आदेश को संतुष्ट करने के लिए यूरोपीय गारंटियों को बायपास करने के लिए मजबूर किया जा रहा है।

Arpokrat का दृष्टिकोण: डिजाइन द्वारा संप्रभुता

स्विस FADP (डेटा संरक्षण पर संघीय अधिनियम) के अधिकार क्षेत्र के तहत काम करने वाले Arpokrat पारिस्थितिकी तंत्र में, कैनरी एक और भी अधिक शक्तिशाली आयाम लेती है। यह डिजिटल संप्रभुता के लिए एक समग्र दृष्टिकोण का हिस्सा है: Zero-Knowledge।

आर्किटेक्चर को इस तरह से डिजाइन किया गया है कि कंपनी एक आदेश का पालन करने के लिए तकनीकी और गणितीय असंभवता बनाती है। राज्य या कोई खुफिया एजेंसी जितने चाहे उतने आदेश जारी कर सकती है, जवाब वही रहेगा: सौंपने के लिए कोई निजी कुंजी नहीं है, कोई पहचान (Zero-ID) नहीं है, और कोई केंद्रीकृत मेटाडेटा नहीं है।

इस संदर्भ में, कैनरी अब केवल समझौते की चेतावनी नहीं है; यह निरंतर सार्वजनिक प्रमाण है कि बुनियादी ढांचा तकनीकी रूप से अजेय रहा है और अपने सिद्धांतों के प्रति वफादार है।

निष्कर्ष

अंततः, Warrant Canary कानूनी चपलता का वह टुकड़ा है जो आधुनिक खतरों (जैसे पोस्ट-क्वांटम कंप्यूटिंग) के क्षितिज का सामना करने के लिए आवश्यक क्रिप्टोग्राफ़िक चपलता का पूरक है। एक बुनियादी ढांचे में जहां डेटा डिजाइन द्वारा संप्रभु है, कैनरी खदान में सिर्फ एक साधारण पक्षी नहीं है: यह आपके डिजिटल किले का मूक संरक्षक है।

संप्रभुता का भ्रम: Olvid मामला और CLOUD Act का जाल

Thu, 21 May 2026 00:00:00 +0000

यह घोषणा पेरिस के गलियारों में ‘स्वतंत्रता की सच्ची पुकार’ की तरह गूंजी: प्रधानमंत्री ने सरकार को WhatsApp और Signal छोड़ने और Olvid का उपयोग करने का आदेश दिया, जिसे एक ‘स्वदेशी’ मैसेजिंग ऐप के रूप में पेश किया गया। उद्देश्य स्पष्ट था: राज्य के रहस्यों को विदेशी खुफिया एजेंसियों की पहुंच से बचाना।

हालांकि, एक कड़वी विडंबना जल्दी ही सामने आ गई: Olvid का मुख्य हिस्सा — इसका सर्वर इंफ्रास्ट्रक्चर — एक अमेरिकी दिग्गज, Amazon Web Services (AWS) के भीतर धड़कता है।

आम जनता के लिए, यह एक साधारण तकनीकी होस्टिंग समस्या लगती है। लेकिन संप्रभु साइबर सुरक्षा के आर्किटेक्ट्स के लिए, यह एक प्रथम श्रेणी की राजनीतिक भेद्यता है।

बाह्यक्षेत्रीयता और संप्रभुता का टकराव

Amazon के इंफ्रास्ट्रक्चर पर निर्भर होकर, Olvid स्वचालित रूप से अमेरिकी CLOUD Act के दायरे में आ जाता है।

इस मामले का कानूनी विश्लेषण अधिकार क्षेत्र की असुरक्षा के एक ऐसे परिदृश्य को उजागर करता है जिसे केवल एक राष्ट्रीय ‘ऐप’ अपनाने से हल नहीं किया जा सकता। ‘नियंत्रण’ बनाम ‘स्थानीयकरण’ की अवधारणा में ही इसका महत्वपूर्ण बिंदु निहित है।

CLOUD Act ने यह निर्धारित करके कानूनी प्रतिमान को मौलिक रूप से बदल दिया कि सर्वर का भौतिक स्थान मायने नहीं रखता। सेवा प्रदाता (यहां, AWS) का सहयोग करने का दायित्व केवल अमेरिका के साथ उसके अधिकार क्षेत्र के संबंध से उत्पन्न होता है।

कानूनी तौर पर, यह GDPR के साथ सीधा टकराव पैदा करता है। यूरोपीय संघ के न्यायालय ने पहले ही यह स्थापित कर दिया है कि अमेरिकी निगरानी कानून यूरोप के समतुल्य सुरक्षा का स्तर प्रदान नहीं करते हैं।

डिजिटल संप्रभुता सॉफ्टवेयर की विशेषता नहीं है, बल्कि यह डेटा की कस्टडी चेन की अखंडता का गुण है।

FISA का साया और एन्क्रिप्शन का झूठा वादा

इससे भी बुरी बात यह है कि अमेरिकी इंफ्रास्ट्रक्चर पर यह निर्भरता इन डेटा को Foreign Intelligence Surveillance Act (FISA) के साये में रखती है।

इन खतरों के सामने, Olvid का दावा है कि उसका एंड-टू-एंड एन्क्रिप्शन एक पर्याप्त ढाल है। गोपनीयता इंजीनियरिंग के नजरिए से, यह बचाव खतरनाक रूप से आंशिक है।

भले ही किसी संदेश की सामग्री एन्क्रिप्टेड हो, AWS का केंद्रीकृत इंफ्रास्ट्रक्चर मेटाडेटा को उजागर करता है। यह जानना कि कौन किससे, कब, कितनी बार और कहां से बात कर रहा है, विदेशी खुफिया एजेंसियों के लिए अक्सर संदेश की सामग्री से अधिक मूल्यवान होता है।

एन्क्रिप्शन पाठ की रक्षा करता है, लेकिन केंद्रीकृत सर्वर संपर्कों के नेटवर्क को उजागर कर देता है।

असली खतरा अभी आना बाकी है

जब तक यूरोपीय इंफ्रास्ट्रक्चर बाह्यक्षेत्रीय कानूनों के अधीन संस्थाओं पर निर्भर रहेगा, हमारे संचार की कानूनी सुरक्षा विशुद्ध रूप से अस्थायी और भ्रामक बनी रहेगी।

21वीं सदी में राष्ट्रीय सुरक्षा के लिए केवल अच्छे विधायी इरादों से कहीं अधिक की आवश्यकता है: इसके लिए पूर्ण इंफ्रास्ट्रक्चर और हार्डवेयर स्वतंत्रता की आवश्यकता है। क्योंकि जो आज हानिरहित लगता है, वह वास्तव में अगले दशक के सबसे विनाशकारी खतरे को बढ़ावा देता है: “अभी एकत्र करें, बाद में डिक्रिप्ट करें” की रणनीति।

आज इंटरसेप्ट किया गया कोई भी राज्य रहस्य केवल एक गणितीय टाइम बम है।

(हमारे विश्लेषण का बाकी हिस्सा भाग 2 में पढ़ें: टाइम बम और ज़ीरो-नॉलेज की अनिवार्यता )