النقاش الأوروبي الجديد حول “lawful access to data” ليس مسألة خصوصية فقط. إنه سؤال في بنية الأمن السيبراني: هل يمكن للدولة الوصول إلى أدلة مشفرة من دون إنشاء نقطة ضعف قابلة لإعادة الاستخدام من قبل مجرمين أو insiders أو دول معادية أو إساءات سياسية مستقبلية؟

رسائل مشفرة وخزنة بيانات وأمر قضائي ومسار طلب مفتاح كتفرع مخاطر

الخلفية هي خارطة طريق المفوضية الأوروبية لوصول إنفاذ القانون إلى البيانات ضمن ProtectEU، مع Technology Roadmap on encryption مخطط لها. اللغة الرسمية تتحدث عن أدلة إلكترونية وdata retention وlawful interception وdigital forensics وdecryption وstandardisation وأدوات AI. يخشى المنتقدون أن تتحول مسارات decryption وstandardisation إلى backdoors إلزامية أو إضعاف للتشفير من طرف إلى طرف.

أربعة نماذج مختلفة

قد تعني lawful access أشياء مختلفة. Provider disclosure هو تسليم بيانات يملكها المزود أصلاً بصيغة مقروءة. Metadata retention يحتفظ بمن تواصل مع من ومتى؛ لا يكشف المحتوى لكنه حساس. Device forensics يستهدف جهازاً محدداً تحت رقابة قضائية. النموذج الأخطر هو key escrow أو client-side scanning أو واجهات exceptional access إلزامية أو معايير تلتف على E2EE.

لماذا يصعب جعلها “للشرطة فقط”

قيمة التشفير القوي أن القاعدة بسيطة: من دون المفتاح لا يقرأ المزود المحتوى. إذا كان على التطبيق فك التشفير عند الطلب، فلا بد من مفتاح أو آلية تجاوز. تصبح هدفاً. تتسرب المفاتيح، يخترق insiders، تُخترق الوكالات وتتوسع السلطات القانونية. لذلك ترفض EFF وGlobal Encryption Coalition فكرة وصول عالمي آمن إلى E2EE.

التحقيق من دون backdoor عامة

رفض backdoors لا يعني تجاهل الجريمة. يمكن استخدام أوامر موجهة للبيانات التي يملكها المزود فعلاً، وdevice forensics برقابة قضائية، وأدلة من جهة الضحية، وتتبع مالي، واختراق بنى إجرامية محددة، ومساعدة قانونية أسرع وقدرات تحقيق أفضل. الفرق معماري: أداة موجهة بصعوبة تختلف عن مسار نظامي داخل كل خدمة.

ما معنى ذلك للشركات

إضعاف التشفير لا يمس تطبيقات الرسائل فقط. قد يتأثر cloud backups وبيانات العملاء والكود والملفات القانونية والطبية وincident response والأسرار التجارية. على الفرق أن تسأل: ما البيانات E2EE؟ أي نسخ يستطيع المزود قراءتها؟ كيف تعمل الأجهزة المرتبطة؟ ما metadata المحتفظ بها؟ هل توجد customer-managed keys؟ وكيف تسجل الطلبات القانونية؟

نصيحة للمستخدمين

لا داعي للذعر، بل افهم threat model. للمحادثات الحساسة استخدم E2EE حقيقياً، حدّث الأجهزة، استخدم رموز قفل قوية، وراجع backups والأجهزة المرتبطة. كلمة “encrypted” لا تعني دائماً الشيء نفسه: transport encryption وserver-side encryption وdevice encryption وE2EE تحمي طبقات مختلفة.

النمط الدولي

الاتحاد الأوروبي ليس وحده. تعود بريطانيا والولايات المتحدة وأستراليا وكندا دورياً إلى أفكار باسم going dark أو exceptional access أو client-side scanning أو technical capability notices. إذا أنشأ سوق واحد مسار وصول إلزامياً، ستطلبه حكومات أخرى. لذلك يجب أن يكون النقاش حول البنية الأمنية.

الخلاصة

قد تكون lawful access هدفاً مشروعاً، لكن “safe backdoor” تبقى backdoor إذا غيّرت نموذج الأمان للجميع. السياسة الجيدة تفصل بين بيانات المزود، metadata، forensics موجهة، وإضعاف النظام كله. السياسة السيئة تعد بالوصول للأخيار فقط وتخلق سطح هجوم للجميع.

قراءة الوثائق بلا ذعر

إذا لم تستخدم وثيقة رسمية كلمة “backdoor”، فهذا لا يعني غياب الخطر. انظر إلى الآلية: من يحصل على المفتاح؟ أين تتم المراجعة؟ هل يمكن توسيع الوصول جماعياً؟ كيف يكتشف سوء الاستخدام؟ وماذا ستفعل ولاية قضائية أخرى بالمعيار نفسه؟ إذا غيّرت الآلية clients أو key management أو البروتوكول لكل المستخدمين، يصبح الخطر نظامياً.

السياسة الجيدة لها نطاق ضيق، رقابة مستقلة، تقارير شفافية، مراجعة تقنية معارضة وحدود واضحة. السياسة السيئة تتحدث عن “security by design for law enforcement”، تضغط على المعايير ولا تشرح بصدق لماذا لا يستطيع المهاجمون إعادة استخدام المسار.