I
Introdução
Em geral, "o sistema" impede a autenticação com certificados vencidos. Mas nem sempre. O assunto esquentou quando dois advogados
denunciaram, numa lista de discussão técnico-jurídica, que um tribunal estaria assinando o Diário Eletrônico da Justiça
do Trabalho "com certificado digital vencido", violando em tese os arts. 6º, § 5º, da Resolução 185 do Conselho Nacional de Justiça.
Em respeito à privacidade daquela lista, algumas opiniões ali postadas foram aqui "fulanizadas" para prover contexto à minha
contribuição ao tema, na forma deste artigo.
Da citada Resolução:
- § 5º O usuário, acessando o PJe com login e senha, poderá enviar arquivos não assinados digitalmente, devendo
assiná-los com certificado digital em até 5 (cinco) dias, nos termos da Lei n. 9.800, de 26 de maio de 1999.
§ 6º O disposto nos §§ 4º e 5º só vigorará a partir da versão do PJe que implemente as soluções neles previstas.
De fato, o liame vem pela Lei 11.419/2006, cujo art. 4º diz:
-
Art. 4º Os tribunais poderão criar Diário da Justiça eletrônico, disponibilizado em sítio da rede mundial de computadores, para
publicação de atos judiciais e administrativos próprios e dos órgãos a eles subordinados, bem como comunicações em geral.
§ 1º O sítio e o conteúdo das publicações de que trata este artigo deverão ser assinados digitalmente com base em certificado emitido por Autoridade Certificadora credenciada na forma da lei específica.
-
"As medidas provisórias editadas em data anterior à da publicação desta emenda continuam em vigor até que medida provisória ulterior
as revogue explicitamente ou até deliberação definitiva do Congresso Nacional."
Uma tréplica lembrou que o carimbo ou selo temporal digital é tecnologia relacionada a data e hora em que o documento recebeu a assinatura, não estando relacionada a datas que delimitam a validade do certificado. É possível assinar digitalmente sem usar selo temporal. Prazo de validade do certificado e selo temporal são conceitos diversos, que em nenhum aspecto devem ser considerados sinônimos, e que podem estar sendo indevidamente confundidos ou misturados nessa discussão.
Prazo é requisito legal?
Somente em seu art. 5º é que a MP 2200-2 menciona certificados 'vencidos' e 'revogados' (também coisas distintas), em um contexto que não permite concluir, de forma absoluta, que tal prazo de validade seja requisito essencial para dita autenticidade e integridade. Admite-se que o prazo do certificado seja requisito mas apenas secundário, pois, posto que o selo temporal não está previsto em lei, não há meios de se assegurar o conhecimento de quando se deu aassinatura. Assim, mesmo que o certificado tenha vencido, a assinatura pode permanecer válida.
Nesse ponto, percebo que tal debate parece girar como um ping-pong entre o que foi sendo chamado de "assinatura com certificado vencido" e "requisitos legais da assinatura digital" (no regime normativo da ICP-BR). A chance de convergência em um tal debate requer a compreensão de alguns detalhes técnicos, começando pela observação de que um certificado digital não é necessário para se gerar assinaturas digitais: apenas para posterior verificação destas, e apenas se a respectiva chave pública estiver sendo transportada ou distribuída em um.
Na prática, um certificado digital efetivamente funciona sempre que um software capaz de processá-lo decide usar algum dado nele registrado e proceder conforme a interpretação que der a este processamento. Daí porque sistemas distintos, com seus softwares capazes de processar certificados digitais, podem decidir usar uma chave privada para gerar assinatura digital em documento eletrônico -- com ou sem selo temporal -- mesmo quando a chave pública correspondente esteja armazenada num certificado cujo campo "valido até" contém data anterior à do relógio da plataforma onde a assinatura será gerada.
A interpretação codificada no software, levando-se em conta os casos distintos citados naquele debate -- em que assinaturas podem ou não ser geradas com um correspondente certificado já vencido --, é a de que os critérios para uso de chave privada na geração de assinaturas devem ser, até certo ponto, independentes dos critérios que serão empregados por terceiros para verificar tais assinaturas em situações comunicativas diversas.
Você sabe o que é?
Do ponto de vista técnico, "certificado digital" nada mais é que um documento eletrônico cujo formato lhe serve para representar uma identificação digital. No caso de certificados de chave pública (existem também os chamados "certificados de atributos"), tal identificação é dada pela associação entre uma chave criptográfica assimétrica pública e um nome que refira ao titular desta chave, isto é, ao ente que deve controlar a chave privada correspondente -- controle este que precisa ser exclusivo para que a técnica criptográfica subjacente seja eficaz.
Uma identidade assim formada pode ser chancelada por assinatura digital do emissor do certificado. No caso do formato X.509, adotado pela
ICP-Brasil, a assinatura de um emissor é obrigatória (enquanto, alternativamente, em outros formatos -- como o PGP por
exemplo -- essa assinatura chanceladora é opcional). Para que uma identidade assim representada possa ser transportada entre softwares
"PKI-aware" (softwares que "sabem" fazer uso de certificados de chave pública), esses dados essenciais -- chave pública e nome do
seu titular (grifados em vermelho na imagem ao lado), mais nome e assinatura do emissor no caso do X.509 -- devem estar preenchidos nos
correspondentes campos do certificado conforme previsto pelo respectivo formato.
O formato X.509 também prevê outros campos obrigatórios, como por exemplo os de datas para validade do certificado (de início e de término), e os que identificam os respectivos algoritmos criptográficos (aquele ao qual se aplica a chave pública transportada, e aquele que gerou a assinatura do emissor). Certamente que o "prazo de validade", ao contrário dos dados sobre algoritmos, não se justifica por razão de eficácia da técnica criptográfica subjacente, haja vista que são também, junto com a assinatura do emissor, opcionais em formatos mais simples (por exemplo, no PGP).
Quando muito o prazo de validade se justificaria tecnicamente apenas por razão remota, devido à "lei de Moore", se ignorarmos que temos hoje, no negócio e uso da certificação digital de chaves públicas, prazos bem menores do que os indicados pela lei de Moore e problemas de segurança muito mais graves do que o da entropia dessas chaves como parâmetro de robustez presumida, como por exemplo, o problema das chaves enfraquecidas por baixa entropia na escolha dos números primos utilizados na geração destas.
Validades
Pelos prazos oferecidos e sua relação com os preços praticados no comércio de certificação X.509, podemos seguramente presumir que esse "prazo de validade" serve antes para acelerar demanda e limitar o custo operacional no negócio do emissor, referente à sua responsabilidade contratual expressa em sua Política de Certificação (PDC), relativa à veracidade dos dados de identificação do titular dos certificados que emite. Isto fica mais evidente quando identificamos outros indícios de que os regimes negociais das entidades certificadoras têm convergido, independente do ordenamento jurídico a que servem, para o modelo atuarial, que surgiu e evoluiu com o negócio das empresas de seguro.
Por "validade jurídica do certificado", frequentemente citada em debates sobre o tema, entendo então uma referência restrita às garantias contratuais oferecidas a terceiros (ou seja, a quem usar tal certificado para verificar assinatura digital do titular desse certificado em algum documento eletrônico), pela entidade que emitiu tal certificado nos termos de sua PDC, relativas à veracidade da vinculação entre chave pública e nome do seu titular, registados no certificado e vinculados pela assinatura do emissor neste. Especificamente, uma referência ao caráter temporal dessa garantia contratual.
Doutra feita, para que a temporalidade dessa "validade jurídica" seja vinculada à de documentos eletrônicos alegadamente assinados pelo titular de um certificado X.509, deve haver alguma jurisprudência ou hermenêutica a respeito, que desconheço. Penso que, em tese, o lacônico e ambíguo § 1º do art. 10º da MP 2200-2 poderia amparar, ancorado nos arts. 1º e 4º da mesma MP, alguma norma infralegal -- insculpida em Resolução do Comitê Gestor da ICP-BR -- que vincule a temporalidade da validade jurídica de certificados à validade jurídica de documentos cuja assinatura digital possa ser verificada com um tal certificado, mas somente em casos onde o conteúdo desse documento inclua também selo temporal, e onde esses três elementos (certificado, assinatura e selo temporal) tenham sido gerados sob o regime normativo da ICP-BR.
Não vejo sentido numa tal vinculação, ainda mais de natureza infralegal, aplicada a documentos eletrônicos em geral, haja vista que nem o formato padrão adotado por esse regime para assinatura digital (PKCS 1), nem seu conceito de documento digitalmente assinado, exigem selo temporal; e também porque os atos de produção de documento eletrônico, geração de assinatura digital neste, e verificação desta assinatura, são de natureza distinta e dependentes apenas quanto à sequência. E como as Resoluções da ICP-BR formam um cipoal normativo tão emaranhado, que, a partir da última tentativa frustrada de tentar desemaranhá-lo para aplicá-lo numa situação comunicativa específica (Impedimento ao uso restrito de assinatura digital na ICP-BR), desisti de acompanhá-lo e não posso opinar se tal vinculação infralegal existe ou não.
Não vejo sentido mesmo que tal vinculação exista, porque esse § 1º do art. 10º -- onde ela poderia apoiar efeitos -- me parece totalmente descabido. Pois um regime de certificação digital de chaves públicas, por mais criterioso ou perfeito que seja, não guarda absolutamente nenhuma relação ou influência possível sobre as condições necessárias para eficácia da técnica criptográfica subjacente à geração de assinaturas finais, ou seja, em documentos que não sejam certificados digitais (apenas à verificação posterior destas). Não guardam porque não dizem respeito ao ambiente empregado na geração de assinatura do titular de um certificado de cliente final, ou à sanidade do correspondente sistema, onde sua chave privada deve ficar sob seu exclusivo controle. Tal § 1º está, e permanece, no art. 10º da MP 2200-2 por insistência da Febraban, que sempre teve assento no Comitê Gestor da ICP-BR;
II
Por que uma confusão evitável?Um certificado digital de chave pública não é, nem pode conter, nenhuma chave privada. Para gerar assinaturas digitais é a chave privada, apenas, que precisa ser usada; Ao passo que, para verificá-las posteriormente, é a correspondente chave púbica, também apenas. Essas duas chaves cujas utilidades se complementam só podem estar juntas no ambiente do titular, signatário, nunca no ambiente de terceiros, destinatários. No ambiente do destinatário, só a chave pública, para verificações, via de regra transportada no certificado digital do signatário, deve estar presente. Por isso é que um certificado digital de chave pública (grifo em amarelo, na imagem acima) não pode nunca conter a chave privada correspondente.
Mas então, por que todo mundo fala em "assinar com certificado digital", inclusive várias das normas citadas acima? Talvez porque estejam refletindo o conhecimento superficial adquirido com a interface para usuários leigos nesses softwares. Alguém já viu algum desses softwares apontar, mostrar ou se referir à sua chave privada? Ganha um doce quem me mostrar. Eles simplesmente se referem a "seus certificados", quando precisam fazer referência à existência de uma chave privada correspondente, em oposição aos certificados de "pessoas", de "servidores", de "autoridades" e de "outros", recebidos de terceiros. Boa pergunta.
Para respondê-la, precisamos antes passar por uma pergunta-chave anterior, que aponta possíveis boas respostas à boa pergunta: Por que será que os desenvolvedores de softwares "PKI-aware", e os fornecedores de serviços de PKI (ICP), se dão ao trabalho de esconder ou camuflar tanto a existência -- e a importância -- das chaves privadas, as quais têm funcionalidade complementar à de "seus certificados"? Tenho uma tese, que responde a essa pergunta chave, à qual cheguei ao longo de quase duas décadas como professor de segurança computacional, e uma passagem como representante da sociedade civil no Comitê Gestor da ICP-BR. Uma tese conspiratória, sim, mas gostaria de conhecer outra melhor.
Talvez porque, para o sucesso de seus negócios, convém a esses desenvolvedores e fornecedores não espantar seus potenciais clientes deixando à mostra onde se concentram, para esses clientes, os riscos associados à titularidade de um par de chaves pública/privada. Responsabilidade esta que no regime da ICP-BR está determinada pelo § único do art. 6º da MP 2.200. Seria contraproducente à propaganda fetichizante que busca vender a certificação digital como panaceia tecnológica.
Efeitos da "renovação"
Outra simplificação enganosa surge com o termo "renovação de certificado". Quando um certificado é "renovado", o prazo de validade pode não ser o único dado automaticamente modificado. Via de regra o par de chaves também muda, pois os sistemas do cliente e da certificadora costumam interpretar "renovação" como pedido para um novo certificado com dados cadastrais já existentes, vinculados ao certificado vencido ou por vencer. Se uma assinatura final foi gerada dentro do prazo de validade do certificado antigo, e precisar ser verificada após esse prazo, neste caso o certificado novo vai indevidamente acusar erro na verificação, ao contrário do antigo se a assinatura estiver correta. Ao revés do que implica a tese da nulidade de "assinatura com certificado vencido", o que não faz sentido em situações -- legítimas enquanto cobertos pela lei -- onde a data da geração desta assinatura não puder ser confirmada no ato da verificação (sem selo temporal verificável).
Mas o pior é quando essas simplificações extrapolam: se a certificadora lhe pedir para criar ou anotar uma senha que protege "seu certificado", cuidado! Na verdade ela estará, neste caso, descartando a chave pública que seu software enviou, depois deste ter gerado um novo par de chaves para atender seu pedido de "renovação", para ela mesma gerar no sistema dela um novo par em seu nome (violando assim, a risco seu, o § único do art. 6º da MP 2.200-2), entregando-lhe um arquivo em formato PKCS-12 (que contém o certificado emitido em seu nome com a chave pública gerada por ela, e um repositório cifrado por senha com a chave privada correspondente, gerada também por ela), ao invés de um arquivo em formato PKCS-7 (que conteria apenas o certificado emitido em seu nome com a chave pública enviada por você). Quem compra certificado digital assim está tendo que confiar cegamente que sua chave privada nunca vazaria do cache do sistema da certificadora onde seu novo par de chaves foi gerado.
Se o repositório for em mídia dedicada, padrão FIPS-140 por exemplo, a situação ainda é nebulosa. Quanto ao caso denunciado, trata-se de mera e-Norma: Prerrogativa do software. Do software usado pelo tribunal, em interpretar ao seu alvitre os dados contidos no certificado da chave pública titulada em nome do tribunal, como pertinentes ou não à utilidade da chave privada correspondente. Se existe ou não, no âmbito da ICP-BR, vinculação normativa entre a temporalidade da garantia contratual de validade de certificados digitais, e a da natureza jurídica de documentos eletrônicos cuja assinatura digital pode ser verificada por tais certificados, o que ninguém até aqui me mostrou como existe, duvido que os desenvolvedores desses softwares iriam considerar, na codificação de suas funcionalidades, a presunção de que exista. O eventual bloqueio à chave privada por expiração do certificado, seja no dia ou mês seguinte, pode ser mero estímulo -- ou garantia -- ao negócio da renovação.
Ao fim e ao cabo, vejo ao menos uma utilidade nessa discussão. Ela serve para desmistificar a natureza angelical dos desenvolvedores de soluções ou fornecedores de serviço em PKIs. Eles podem, sim, ter interesses conflitantes com os de quem se vê obrigado a usar tais PKIs. Doutro lado, não creio ser possível fazer reflexões jurídicas que evitem entrar em questões técnicas, como pretendem alguns operadores do Direito nessa discussão, se quisermos entender a realidade fática pertinente ao objeto e escopo da MP 2.200. Aos que, para isso, estiverem dispostos a considerar a possível relevância de reflexões produzidas por quem não é bacharel em Direito, apresento quatro candidatas de primeira hora (publicadas antes de 2006); e aos que não estiverem dispostos, pelo menos uma (a publicada por Marcos da Costa em outubro de 2003), disponíveis sobre o tema em meu portal.
Reflexões tecno-jurídicas, ou apenas jurídicas?
Nas reflexões sobre o tema, o principal entrave em se tentar isolar as questões jurídicas das técnicas surge logo no entendimento do objetivo da MP 2.200-2. É comum, nessas tentativas, ao se ler com olhos puramente jurídicos esse diploma legal, supor que seu artigo 1º esteja "dando" validade jurídica a documentos eletrônicos assinados digitalmente, garantindo-se "assim" a autenticidade, a integridade e a validade dos mesmos. Pelo olhar técnico, não entendo que esse artigo 1º seja capaz de produzir qualquer efeito real de garantir a integridade e a autenticidade de documentos assinados digitalmente. Da mesma forma como não produziria qualquer efeito real um dispositivo semelhante que garantisse a mesma coisa em documentos de papel assinados à mão com caneta bic azul ou preta. Pois há mais condições absolutamente necessárias.
Em um Estado supostamente democrático de Direito o legislador pode se meter a legislar até no domínio das leis físicas ou das leis semiológicas (caso da MP 2.200-2), mas isso não mudaria em nada a realidade do respectivo mundo físico ou dos possíveis mundos simbólicos. Uma lei que decretasse um novo valor para a constante gravitacional em um território do nosso planeta só a alcançaria como suposta meta, mas nunca com efeito real. Uma lei que decretasse um novo valor jurídico para algum fenômeno comunicativo apenas alcançaria qualificar certas relações entre possíveis mundos simbólicos. Entendo que, por isso, o emprego linguístico da preposição "para" seguindo a primeira vírgula no citado artigo 1º insculpe tal garantia não como efeito, mas sim como meta do abrangido diploma legal.
Especificamente, entendo que tal emprego da palavra "para..." nesse artigo 1º remete aos sentidos dicionarizados nas acepções de 'fim' (nº 1 no link anterior), de 'relação' (nº 4) ou de 'intenção' (nº 5) da preposição, mas não na acepção de 'causa' ou 'motivo' (nº 3) como sugerido em algumas leituras puramente jurídicas deste dispositivo. Entendo, também, que a tendência de se atribuir esse sentido prepositivo nº 3 em situações hermenêuticas como esta, reflete nosso contexto cultural em seu aspecto redutor-fetichizante da tecnologia-enquanto-panaceia. Em linguagem mais dramática, eu diria que essa tendência é um dos efeitos alucinogênicos do chá do santo byte. Um exemplo de reflexão jurídica pioneira que evita essa tendência delirante pode ser encontrado, entre os apontados acima, de autoria de um ex-presidente da Comissão de Informática da OAB.
Entendo que, ao se fazer uso de certificados emitidos e de softwares homologados sob o regime da ICP-BR, os princípios da autenticidade e integridade (de documentos digitalmente assinados e verificáveis sob tal regime) são respeitados, mas como meta. E concordo que continuam assim respeitados mesmo em situações onde é possível confirmar a data de geração de assinatura, e essa data seja posterior ao prazo de validade do certificado que transporta a chave pública necessária para verificá-la corretamente. Entendo assim porque as circunstâncias que possam envolver erro ou fraude na geração ou na verificação da assinatura e que são capazes de destruir, seja de forma percebível ou não, a eficácia probante do resultado de verificações desta assinatura, não guardam qualquer relação causal com a posição relativa entre essas duas datas.
Um pouco de semiologia
Quanto a tais princípios serem respeitados como efeito do uso de tais certificados ou softwares, isso não pode decorrer de nenhum diploma legal ou norma infralegal que constitui o regime jurídico da ICP-BR, seja o art. 1º da MP 2.200 ou qualquer outro. Pois tal efeito decorre, de fato, desse uso acontecer sob condições semiológicas necessárias à eficácia probante da técnica criptográfica subjacente. E a presença dessas condições tampouco pode decorrer do correspondente regime homologatório, que apenas padroniza até certo ponto situações de uso, mas sim da sanidade dos ambientes computacionais empregados nesse uso, a saber, na geração e na verificação da assinatura, no armazenamento e no transporte do material criptográfico necessário e do documento digitalmente assinado, em situações comunicativas específicas.
Isto porque as situações comunicativas na homologação são as ideais, enquanto no uso, são as reais disponíveis. O regime homologatório da ICP-BR garante a eficácia probante da técnica criptográfica subjacente apenas sob aquelas condições ideais, e não a presença dessas condições em situações reais de uso. Assim como a engenharia automobilística garante a eficácia funcional de automóveis apenas sob condições que incluem haver combustível adequado no tanque, e não a presença deste, ali, em situações reais de uso. Ou a engenharia eletrônica, sob condições de corrente elétrica adequada na bateria ou na tomada, e não a presença desta nesses dispositivos em situações reais de uso.
Mas com uma importante distinção: a ausência de condições necessárias à eficácia de automóveis e eletrônicos é imediatamente percebível por usuários comuns, enquanto para a assinatura digital como método de autenticação oponível judicialmente a signatários e terceiros, via de regra, não. Particularmente em casos de má fé. Então,... aceita um chá? Em decorrência disso, ingerido o chá, disposições normativas no regime da ICP-BR que se imiscuem no CPC com o intento de ali produzir efeitos na percepção (jurídica) da eficácia probante desse método, como o famigerado § 1º do art. 10º da MP 2.200-2 -- que alguns interpretam como inversor do ônus da prova para refutaço de resultados de verificações oponíveis a signatários --, o efeito real acaba sendo, digamos, fantasioso, ocorrendo em geral na própria eficácia porém ao contrário, na direção oposta à da percepção artificiosamente induzida por essas intromissões (lembre-se do que diz Deleuze sobre o virtual).
Acompanhem esse raciocínio:
Se você atuasse no mercado de fornecimento de artefatos e serviços voltados à prática de crimes cibernéticos (hoje altamente especializado, em expansão e inflacionado por demanda originada em agências de três letras), e se sua especialidade fosse fraudes envolvendo assinaturas digitais (aprimorando técnicas de subversão das condições semiológicas necessárias ao uso pretendido por potenciais vítimas ou intermediários), contra que tipo de alvo, no varejo, você esperaria ter mais demanda e receber mais pelo mesmo efeito ou nível de complexidade (para apagar rastros, por exemplo): softwares e serviços homologados por regimes jurídicos que invertem o ônus da prova, ônus imposto, portanto, também contra potenciais vítimas desse tipo de fraude, ou softwares e serviços cuja jurisdição mantém esse ônus, no caso geral, fora do escopo da fé pública, portanto também contra os potenciais interessados em fraudar tais assinaturas?
Se sua resposta seguir a lógica da relação custo/benefício para criminosos, você há de concluir que softwares, dispositivos e serviços homologados por regimes jurídicos como o da ICP-BR (com seu § 1º do art. 10º na MP 2.200-2) serão comparativamente mais visados. Mais ainda em ordenamentos nos quais certas atividades valiosas para o cibercrime vêm se tornando, como no Brasil, praticáveis apenas sob tal regime. Assim, além desta reversão virtual no efeito quando a visão puramente jurídica o confunde com meta, outras distorções podem também decorrer da mesma confusão. Em seguida analisaremos algumas, levantadas no decorrer daquele debate como fatores que obstariam a validade jurídica de documentos "assinados com certificado vencido".
III
a). Natureza do contrato na aquisição de certificado digitalEntendo que o objeto do contrato referente à emissão de certificado digital não seja exatamente a "validade (temporal) do seu manuseio", como dizem alguns, mas sim a garantia (temporal) que a correspondente Política de Certificação (PDC) da entidade contratada explicita, garantia que diz respeito apenas à função identificadora do certificado: a saber, referente ao contratante, que no certificado é nomeado titular dos dados identificatórios ali registrados. No caso do formato X.509, certas confusões tendem a surgir do fato da titularidade nomeada no certificado ser sobre um par de chaves criptográficas assimétricas, uma pública e outra privada, de utilidades complementares, das quais apenas a chave pública está ali registrada, mas sobre cuja função autenticatória conjunta recaem condições semiológicas necessárias à eficácia desta função que extrapolam os ambientes computacionais onde foi emitido e onde pode ser manuseado o certificado.
A confusão mais comum aqui, e mais perigosa a longo prazo, é entre a função identificadora do certificado, que se restringe à titularidade de um par de chaves assimétricas (cujo componente público está nele registrado), e a função autenticatória -- ou cifratória -- desse par de chaves (cujas condições mínimas de eficácia extrapolam os ambientes computacionais de geração e de manuseio desse certificado). Me parece então que, aos potenciais contratantes que confundirem essas duas funções, uma compra de garantia para a primeira como se fosse para ambas pode parecer mais aceitável, e até justa e progressista. Consequentemente, não me surpreende que o trololó do marketing da indústria da certificação digital, e as interfaces de usuário nos produtos e serviços que ela agrega, naveguem céleres por águas turvas do triunfalismo tecnológico, espalhando e consolidando tal confusão. Rumo à dependência de usuários ao "inevitável progresso", enquanto a letra fria em contratos de adesão, que muitos se orgulham de nunca ter lido, e que separam marotamente essas duas funções, vão aprofundando uma certa forma de cativeiro virtual coletivo.
Entendo que o objeto de um tal contrato se restringe à função identificadora do certificado, descrita acima, por pelo menos quatro razões:
- Primeira: Minha impressão (leiga), corroborada por minha experiência com a ICP-BR, de que a única documentação apta a se passar por registro formal de um tal contrato é a PDC da entidade que emite o certificado. E nas PDCs que conheço, incluindo as ditas "práticas de certificação", sou incapaz de detectar qualquer linguagem que possa sustentar a tese de que as garantias contratuais oferecidas pela entidade certificadora se estendem à eficácia da função autenticatória conjunta do par de chaves titulado no certificado, em situações reais de uso. Gostaria, outrossim, de conhecer alguma PDCs que pudesse sustentar tal tese.
- Segunda: Se uma tal interpretação extensiva, presumida quando o contrato for levantado como óbice à validade jurídica de documento assinado "com certificado vencido", ou como prova desta validade em caso oposto, for de alguma forma admitida em face de uma entidade certificadora credenciada, esta terá, para afastar sua responsabilidade pela correspondente função autenticatória, o fato dela não ter qualquer controle ou previsão sobre quem fará uso dos certificados que emite, onde, quando, e sob quais condições "de segurança", idem sobre a respectiva chave privada. E se essa tese de defesa falhar, resta-lhe ainda, em casos de refutação do suposto signatário, a doutrina sobre inversão do ônus da prova no § 1º do art. 10º da MP 2200-2; E em demais casos, a tática de envolver o reclamante em jogo de empurra com o Comitê Gestor (GC) ou certificadora (AC) Raiz, responsáveis pela homologação das DCPs, dispositivos, softwares e serviços "válidos" na ICP-Brasil (como no exemplo, citado anteriormente, de demanda por declaração de uso restrito);
- Terceira: Entendo que o § 2º do mesmo artigo (10º) acolhe, na especificidade do regime jurídico da ICP-BR, a liberdade e autonomia
contratuais garantidas pelo artigo 421º do novo Código Civil. O que preclui a entidade certificadora de cercear o direito do cliente
que tenha, em conformidade com o § único do art. 6º da mesma MP, gerado para si um par de chaves assimétricas, de acertar com terceiros
sobre critérios de validade autenticatória desse par, cuja chave pública e titulação são manuseáveis através do certificado emitido
em seu nome (salvo em casos de disputa envolvendo plausível refutação do suposto signatário, aqui por força do excludente no
§ 2º e do § 1º no mesmo artigo).
Exemplo de autonomia pelo art. 421º, CC: Como co-signatário de um contrato em forma eletrônica, datado dentro do prazo mas com tempo de execução superior ao de validade dos respectivos certificados, na ICP-BR eu posso, de comum acordo com a parte, incluir cláusula de anuência para revalidações das assinaturas subscritas com os tais certificados já vencidos, em caso de eventual disputa futura. Ou, devido ao fato de que a "renovação" de certificados X.509 via de regra troca o par de chaves, esta anuência pode ser considerada, pela mesma preclusão, tácita em casos onde haja necessidade de revalidação de assinatura posteriormente ao vencimento do respectivo certificado. Senão, por que motivo o artigo 5º da mesma MP atribui à AC Raiz da ICP-BR a competência de "gerenciar a lista de certificados emitidos, revogados e vencidos"? - Quarta: Na prática, os critérios de validade autenticatória são via de regra determinados pela lógica da função semiológica precípua, conforme codificada no software que manuseia certificados digitais para processar seus dados. E esses critérios muitas vezes falham inobstante a correta validade do certificado em sua função identificadora (de mera titulação de um par de chaves), algumas vezes porque em certas situações esses critérios delegam ao usuário do software e certificado uma decisão final sobre tal validade, mormente quando o resultado da verificação autenticatória tiver que produzir efeitos on-line (tudo isso à revelia do que a entidade emissora do certificado possa controlar)... Quantas vezes você já teve uma autenticação https inicialmente negativada devido à ausência de certificado raiz no repositório do software que pudesse fechar uma cadeia confiável de certificação com o certificado X.509 válido recebido? E quantas vezes já clicou em "Adicionar exceção" para positivar uma verificação autenticatória que falhou devido ao certificado recebido estar vencido? Então, ... mais chá?
Lamento desapontar quem acredita que a entidade certificadora seja responsável, durante o prazo de validade do certificado, por garantir que o cerificado é válido e que identifique "o titular da assinatura sem nenhuma dúvida". Farei-o apontando várias imprecisões e incorreções perigosas nessa crença:
- Conforme todos os PDCs que conheço, durante esse prazo a certificadora pode, sim, eximir-se dessa responsabilidade se encontrar motivos para revogar o certificado, seja por solicitação do titular ou não -- veja exemplo onde o "ou não" ocorre por interesse próprio da certificadora no artigo "Certificação digital, privacidade e poder" --, se registrar essa revogação nos termos de sua PDC;
- A conjunção "e" no enunciado dessa crença (em itálico acima) mistura ou confunde as funções identificadora do certificado e
autenticatória do par de chaves nele titulado, com um qualificador ("sem nenhuma dúvida") que remete à eficácia probante da técnica
criptográfica subjacente, mas sem levar em conta que:
- A eficácia probante da identificação do titular da assinatura, por meio de verificação com a chave pública titulada no certificado, depende também de elementos que, se o certificado for final (o titular não for AC credenciada), no regime jurídico da ICP-BR estão vedados à entidade que emite o certificado, a saber, a emissão e distribuição de certificado-raiz capaz de completar uma cadeia confiável de certificação com os certificados que ela emite. Vedadas pelo § único do art. 5º da MP 2200-2.
- Tal eficácia probante depende também do exercício de devida cautela por parte de terceiros que verificam a assinatura, a saber, na forma de recepção e de gerência do referido certificado-raiz. Se deficiente, essa eficácia pode ser destruída por ataques de espelhamento, conhecidos também como "man-in-the-middle".
- Tal eficácia ainda depende, de forma totalmente impercebivel para verificadores e para o emissor do certificado, da sanidade do ambiente onde o titular deste certificado opera sua correspondente chave privada. Certos tipos de ataque nesse ambiente, através de "porta-de-fundo" adequada no software por exemplo, poderiam ser explorados para gerar assinaturas positivamente verificáveis em documentos desconhecidos do titular, independentemente do tipo de certificado. Se o "seu certificado" custa caro e "fica" em um token ou pendrive, uma porta de fundo adequada deve permitir o monitoramento e interceptação de acesso ao correspondente tipo de dispositivo periférico.
- Após esse período contratual, correspondente ao prazo de validade do certiicado, a AC se exime desta responsabilidade que lhe cabia, pela função identificadora do certificado emitido. O que não preclui software e usuário do certificado de, nesta ordem, considerarem seus próprios critérios para assumir a segunda responsabilidade, a saber, pela função autenticatória do par de chaves titulado neste certificado.
c). Validade e direito de uso do certificado digital
Existem entendimentos jurídicos de que, com o vencimento do prazo contratual estabelecido, expira o direito de "uso válido" do certificado. E que assim, para outras partes e terceiros, assinatura "com o certificado vencido" retira a confiabilidade da mesma. Consequentemente, alega-se, tal retirada deve causar repúdio ao documento assinado, por ofender o principio da sua validade jurídica (que estaria "garantido" pelo art. 1º da MP 2200-2). Tal reducionismo juridificante, que desconsidera a variedade de situações comunicativas cabíveis, também apresenta várias imprecisões e inconsistências com a realidade técnica por trás de tudo isso. Confiabilidade para quem, em que tipo de situação? Entendo que as situações comunicativas que poderiam, em tese, ensejar causa jurídica para repúdio são apenas as seguintes, devidamente circunstanciadas:
- No caso de verificação positiva de assinatura, em que tal assinatura tenha sido comprovadamente gerada em data posterior à validade do certificado que titula o par de chaves envolvido, haveria causa para repúdio por parte de quem é reclamado, com base em documento eletrônico assim assinado, mediante admissão da tese de responsabilidade da emissora do certificado estendida à função autenticatória do par de chaves titulado no referido certificado. No entanto, desconheço por enquanto jurisprudência que refute as duas primeiras razões elencadas em desfavor desta tese, na análise do fator a) acima.
- No caso de verificação positiva de assinatura, em que tal verificação tenha sido executada em data posterior à validade do certificado que titula o par de chaves envolvido, haveria causa para repúdio por parte de quem é reclamado, com base em documento eletrônico assim verificado, mediante admissão não apenas da tese de responsabilidade da emissora do certificado estendida à função autenticatória do respectivo par de chaves, mas também da tese de exclusão do princípio da boa fé no objeto do § 1º do art. 10º da MP 2200-2. No entanto, adicionalmente quanto à segunda tese, desconheço por enquanto jurisprudência que refute as duas últimas razões elencadas em desfavor da primeira tese, na análise do fator a) acima.
Conclusão
O que atinge a confiabilidade desses serviços e tecnologias é a profundidade do enredo no teatro da seita do santo byte, diante das dificuldades naturais de se penetrá-lo. Investimentos pesados em salas-cofre, sejam de certificadoras comerciais ou de tribunais, são como elos construídos com liga de ouro e titânio numa das pontas da corrente da segurança computacional das ICPs, cuja outra ponta está amarrada com arame cozido. Essa corrente, no mundo dos fatos reais, não se sustenta com juridificação solipsista. Para informatização do Judiciário, uma arquitetura de identificação e credenciamento alternativa a ICP, mais autônoma e propensa a movimentos de auto-adaptação, seria a de "rede federada", para as quais existem protocolos simples, com padronização aberta, suficientes para implementar serviços colaborativos de identificação e autenticação.
Mas como o regime técnico-jurídico da ICP-BR é essencialmente anti-federalista, hierárquico e centralizante, não comportaria bem uma tal iniciativa. Já ouvi, em várias ocasiões, o mantra de que seu regime jurídico (que é fulcrado na MP 2.200-2) obriga as entidades da Administração Pública que quiserem ou precisarem garantir "validade jurídica" a seus atos e processos eletrônicos, a aderirem a ICP-BR para serviços interoperáveis de identificação e autenticação de agentes legalmente capazes. Enquanto acompanhei a ICP-BR como representante da Sociedade Civil em seu Comitê Gestor (CG), não conseguia encontrar em seu regime normativo, mesmo como leigo, fundamento legal para tal obrigatoriedade.
O que de fato encontrei, no início de 2006, em minha última participação como membro do CG da ICP-BR, foi um debate assaz truculento, pródigo em casuísmos, deflagrado para tentar emplacar esse mantra em instância decisória de uma comissão do Conselho Nacional de Justiça (CNJ), contra a opção por autonomia defendida até então por representantes da OAB. Uma discussão eminentemente política, dogmatizada e nada técnica (seja em sentido jurídico ou informático-computacional). Como tentei, em três reuniões dessa comissão, defender a razoabilidade da posição da OAB do ponto de vista técnico (no sentido informático-computacional) sob o prisma do equilíbrio entre riscos e responsabilidades, acabei, duas semanas depois, substituído no CG da ICP-BR por decreto presidencial.
Daí, passei a refletir sobre a tripartição dos poderes republicanos, nesta dança coreografada por esse diploma místico (MP 2.200-2). Diploma que escorregou pela greta da Emenda Constitucional Nº 32/2001, a qual separa dois desses poderes. Então, nove anos depois, naquele debate, alguém citou a lei que complementa esse diploma para definir critérios de autenticidade e integridade digitais no âmbito da Administração Pública: a Lei 11.419/06. Foi aí que percebi um detalhe interessante, que corrobora a natureza política do que estou aqui tentando elucidar. Eis que aquele mantra só foi abrigado em lei (a de Nº 11.419) dez meses depois daquela lavagem de roupa suja numa comissão do CNJ.