Certificação Digital e ICP-BR
sobre Certificação Digital e a ICP-Brasil.
Publicada no Revista Brasileira de Contabilidade nov/dez 2003
Prof. Pedro Antonio Dourado de Rezende
Departamento de Ciência da Computação
Universidade de Brasília
2 de Novembro de 2003
William Passos: No artigo entitulado "Privacidade de Riscos num mundo de chaves públicas", o senhor faz uma crítica à vulnerabilidade do sistema de certificação digital. Como podem ser corrigidas essas falhas?
Pedro Rezende: As falhas mais graves apontadas no relatório
que apresentei no forum de certificação digital do ITI, citado
acima, são estruturais e só podem ser resolvidas por mudança
de paradigma no modelo predominante de negócio de software. O modelo
hoje predominante só contempla as necessidades de segurança
do usuário na medida em que estas não conflitem com a segurança
do próprio negócio.
Doutra feita, parece-me que a evolução da informática, com sua penetração cada vez maior nas práticas sociais, principalmente nas jurídicas, tende a acirrar esse conflito de interesses. O caminho sinalizado pela indústria monopolista das TICs (Tecnologias de Informação e Comunicação) para tentar resolver esse impasse me parece extremamente perigoso, pois requer uma radicalização do seu controle sobre a produção e distribuição de software que, na prática, reeditaria princípios e técnicas da Igreja medieval para validação e controle da disseminação do conhecimento. Abordo esse impasse em vários dos meus artigos (em www.pedro.jmrezende.com.br/sd.htm), inclusive no artigo que anteeriormente submetido ao mesmo forum, "Responsabilidade e escolhas num mundo de chaves públicas".
Esta opinião, que pode parecer radical tanto ao leigo quanto ao profissional comprometido com certos interesses negociais, não é só minha. Compartilho-a com alguns dos mais ilustres e competentes cientistas da segurança computacional do mundo, que acabam de publicar um relatório produzido sob os auspícios da Computer & Communications Industry Association (CCIA), alertando a sociedade globalizada sobre o crescente risco sistêmico decorrente da atual estratégia de consolidação monopolista da indústria TIC. (Dan Geer, Rebbeca Bace, Peter Guttman, Perry Metzger, Charles Pfleeger, John Quarterman, Bruce Schneier: "CyberInsecurity - The cost of monopoly" http://www.ccianet.org/papers/cyberinsecurity.pdf Sept 2003.) Para se ter uma idéia, basta observar que um dos autores, Bruce Schneier, fundou e dirige a primeira empresa de segurança digital a conseguir, para seus clientes, apólices de seguro contra invasões.
O governo brasileiro está atento a esse novo e crescente risco sistêmico, cuja mais nefasta consequência é a perda da autonomia do Estado no controle de riscos e de domínio tecnológico na esfera digital, inclusive sobre os meios de acesso ao seu próprio acervo informatizado. Este risco sistêmico é uma das motivações para a adoção da política de TI do atual governo, privilegiando e incentivando o uso de software livre como alternativa ao software proprietário, sempre que possível. Mas sua ação está sendo combatida por uma sórdida campanha difamatória, que desavergonhadamente tenta confundir software livre com software pirata para a opinião pública, e com pressões de toda sorte.
Esta campanha desmoralizadora da política governamental de TI
sintoniza-se com a campanha a favor da Alca nos termos impostos pela imperial
agenda "pelo livre comércio", que o negociador brasileiro chamou
de agenda teológica. A agenda norte-americana para a Alca incorpora
a estratégia da indústria monopolista TIC para "solução"
do confito de interesses de que falei antes. Há muitos interesses
e fluxos financeiros em jogo. Portanto, a correção das falhas
estruturais mais graves a que me refiro não parece tão simples.
WP: Qual a posição do Brasil em relação aos demais países do mundo no que diz respeito a implantação de sistemas de certificação digital?
O Brasil adotou um modelo centralista e hierárquico (modelo
de raiz única e certifição de uso geral) que, até
o momento, só foi adotado, e parcialmente, por mais tres países.
O mais importante dos três, europeu, é justamente aquele com
o mais negro passado totalitarista da história recente. Ademais,
esse modelo não foi adotado por mais países por razões
mais práticas que estratégicas. A primeira iniciativa para
implementá-lo deu-se no âmbito do esforço de padronização
que constitui a própria internet, através do padrão
PEM, proposto pela IETF (Internet Engineering Task Force), que fracassou,
no início dos anos 90, devido a diversas dificuldades, a maioria
delas decorrentes de obstáculos para se adequar sua esfera técnica
à esfera jurídica.
Pode ser que o cenário tecnológico atual e o ordenamento
jurídico do Brasil de hoje nos permitam sobrepujar os mesmos obstáculos
enfrentados há quinze anos pelo PEM. Pode ser que não. De
minha parte, vejo graves distorções jurídicas na medida
provisória que instituiu a ICP-Brasil (2200), distorções
que descrevo e analiso em vários dos meus artigos. As mais graves
delas por constituirem-se em potenciais indutoras de estratégias
totalitaristas de domínio tecnológico para fornecedores de
TI, como aquelas que sua indústria monopolista nos apresenta como
"solução" para os crescentes conflitos dos seus interesses
com os da segurança pública.
WP: Quais são as vantagens e desvantagens da certificação digital para os usários?
PR: A vantagem é que ela nos oferece um método
ágil, escalável e integrado ao acervo e aos processos informáticos
das empresas, intituições e pessoas, para a prática
de atos negociais, fiscais e jurídicos. A desvantagem é a
necessidade de, para isso, precisarmos nos valer da intermediação
de inteligência alheia representada em software, sem a capacidade
de avaliação e controle dos riscos decorrentes desta intermediação.
Entre o olho e o domumento em papel existe apenas uma cultura. Entre o olho e o computador, que se revela através de uma tela de monitor, além da cultura, existirão necessariamente várias camadas de software. É muito bom que possamos escolher entre conveniência e controle, mas será muito ruim se a novidade nos for imposta, com a eliminação da alternativa de se transacionar através de documentos em papel, como já ocorre em alguns casos (recolhimento de alguns impostos).
A falta de alternativa de método será ruim pois estará sendo eliminado, junto com o documento em papel, o melhor controle de qualidade possível para um mercado que tende ao monopolismo e com histórico desdém a controles sociais, e que fornecerá as tecnologias de certificação e assinatura digitais: a concorrência de método alternativo com parâmetros de segurança já conhecidos da nossa cultura e sociedade.
Numa infraestrutura de chaves públicas, a capacidade de se controlar os riscos sistêmicos através de regulamentação e auditoria é extremamente limitada, devido à natureza e às características semiológicas do mecanismo de assinatura digital. O mecanismo tem duas pontas, onde os riscos se concentram. A ponta da certificação e a ponta onde usuários finais lavram suas assinaturas. A primeira pode ser razoavelmente controlada por regulamentação e auditoria. Nela hoje se concentram os esforços da ICP-Brasil.
Mas o controle de risco em uma só das pontas é inócuo. Uma porta bem fechada numa sala com janela devassa a torna insegura, não importa quão robusta seja a porta. E a janela devassa, na ponta do usuário final, nos remete aos riscos sistêmicos da primeira pergunta. Num tal cenário, a produção de provas documentais sólidas de fraude e abuso de poder será extremamente difícil.
Esta dificuldade não deve nunca ser confundida com a dificuldade
para se cometer fraudes, neste caso facilmente confundíveis com
erros operacionais. Onde houver tentativa de supressão da alternativa
do documento em papel, precisamos estar atentos a argumentos que buscam
confundir a dificuldade de prova de fraude com a dificuldade para a fraude,
se vierem a ser oferecidos como justificativa para tal supressão.
WP: Qual o nível de exigência dos órgãos públicos brasileiros em relação a certificação digital?
A medida provisória 2200, em vigor, os obriga a, quando se
valerem de assinatura digital na lavra de documentos eletrônicos,
restringirem-se aos mecanismos e normas ditados pelo regime da ICP-Brasil.