加密技术正遭受多方挤压：立法压力引发全球安全港危机
欢迎来到《内核恐慌》（Kernel Panic），这是由 Lily Hay Newman 和 Matt Burgess 撰写的一周通讯，深入探索隐私与数字安全的新世界。若想每周在收件箱接收本通讯，请在此注册。
加拿大啊。这块“北方白国”成为最新酝酿立法以强制实施加密后门并提高数据保留要求的国家。 这项拟议的变更已经促使加拿大反审查 VPN 服务商 Psiphon——该公司在伊朗进行压制性断网期间让数百万伊朗用户得以在线（参见伊朗互联网的未来比以往更加不确定）——表示，若法案通过，将撤出加拿大市场。 而 Psiphon 并非唯一的抗议者。
加密消息应用 Signal 已表明，由于该立法要求其开源项目做出不可接受的变更，将退出加拿大市场。 Apple 和 Meta 也批评了该法案，DuckDuckGo 和 NordVPN 也表示，可能会考虑撤回其服务。 然而，随着全球各地国家都在考虑类似立法，若全球对加密技术的敌意持续升温，哪些国家或地区能够成为隐私服务的安全港，这一问题也引发了更深层的疑问。
看到全球越来越多的民主国家着手修订监控与数据采集法规，意图赋予执法和情报机构更大的权限以获取民众信息，令人感到愤怒且不安。政府已拥有广泛的数字监控手段，并掌握了多种用于侦破涉及加密数据案件的调查方法和战术。然而，立法提案几乎不可避免地包含进一步扩张这些权限的条款，强制要求增加日志记录，或在加密产品中植入相当于后门或故意缺陷的功能。密码学家和安全工程师已反复强调，这些机制无法被安全地构建。事实上，几十年来，所有真正理解该问题的人都在大声疾呼这一点。尽管如此，决策者们仍在一次次回到这一老生常谈的想法上，似乎总是期待不同的结论，或期盼某个能让这一切成为现实的新突破。
多伦多大学公民实验室的高级研究助理 Kate Robertson 指出：“某些机构的个别官员历来倾向于将技术本身视为犯罪现场，从而使‘获取访问权限’成为一种短视的执念。但这种孤立的想法忽略了，技术必须是医院、银行、国家安全机构甚至警务机构自身赖以运行的安全平台，以便保护那些向警方报告私密信息的受害者。”
近年来，英国和澳大利亚相继推出大规模监控改革，可以强制企业破解自家加密。类似威胁加密的提案也在欧盟、法国、印度、爱尔兰、西班牙、瑞典、瑞士等地接连出现。虽然并非所有措施都已立法生效，但敌意已经昭然若揭。
加拿大的 C-22 法案于 2025 年首次提出，因遭科技公司和公民社会的猛烈批评而部分修改。该法案可广泛要求科技企业（包括加拿大境外企业）引入“技术能力”，让执法部门能够获取数据。与许多同类法案一样，C-22 声称企业无需在系统中制造“系统性漏洞”。但反对者指出，任何访问端到端加密数据的能力，本质上都是后门，任何人都可能发现并滥用。而且如今任何人都能轻松用 AI 工具做逆向工程和系统测绘，这种风险只会进一步放大。
美国众议院司法委员会和外交委员会成员在一封致加拿大官员的五月信函中警告：“企业可能会被要求引入漏洞、构建后门、绕过、削弱或以其他手段破坏加密。”
除了对加密的潜在影响，C-22法案还包含其他条款，可能强制企业留存用户活动的元数据。许多注重隐私的服务（包括 Psiphon 和 DuckDuckGo 的 VPN 服务）刻意避免收集此类数据。因此，这些公司表示，这将迫使其改变商业模式，去收集那些它们既不需要也不想收集的用户数据。研究人员指出，这类产品变更会降低用户信任度，同时增加大规模监控的风险。
“如果你要求并强制进行这种基础设施层面的变更——即默认留存元数据——就等于在一个原本不具备此功能的工具中植入了监控能力，”De|Center 创始人 Afsaneh Rigot 说道。De|Center 是一家致力于降低技术危害风险的研究机构。“伊朗等地区都存在这种影响，这些法律会产生连锁反应。它们不会只停留在加拿大，因为此类法律总会在全球范围内被复制粘贴。”
随着越来越多的国家酝酿此类法律，专注于隐私和反审查工具的开发者正日益寻找安全的司法管辖区以维持运营。但这仍无法解决触达全球各国用户的问题，目前尚无确定性方案。
“当法律跟随用户（如 C-22 那样）时，仅仅改变总部所在地并非什么高明的 B 计划，”Internet Society 安全项目负责人 Joseph Lorenzo-Hall 表示。“最强的保护措施是尽可能少地持有用户数据，但如果政府能强迫你开始收集数据，‘我们手里没有数据’便不再是有效的抗辩。一个安全避风港不仅仅需要加密这一强劲顺风，更需要法律允许企业坚守其隐私承诺，并抵御外界对机密性和完整性的威胁。”