Novos Ventos Digitais
Publicado na coluna Segurança, Bits & Cia do Jornal do Commercio em 13, 20, 27/02/03 Prof. Dr. Augusto Tavares Rosa Marcacini *
Prof. Marcos da Costa **
Prof. Pedro Antonio Dourado de Rezende
12 de Fevereiro de 2002
Parte I
O terceiro autor tem a honra de compartilhar a coluna "Segurança, Bits & Cia." do Jornal do Commercio do Rio de Janeiro, que hoje completa um ano, com o estimado amigo e colega Renato Martini. Na semana passada esta honra acresceu-se de orgulho, com a notícia do convite por ele recebido para ocupar um cargo de diretor do Instituto de Tecnologia da Informação, órgão responsável pela ICP-BR Infra-Estrutura de Chaves Públicas Brasileira, instituída pela Medida Provisória 2.200, de 26 de junho de 2001 (atualmente 2.200-2, de 24 de agosto de 2001). Acredita que suas qualidades intelectuais e morais, consolidadas na sua estatura humanista, o bem capacitam a enfrentar com sucesso o desafio, sucesso que aqui lhe deseja.Mas que desafio? Antes que lhe fosse formulado o convite, havíamos divulgado nossa visão deste desafio, aqui reiterada. Embora ocupemos encargos na Comissão de informática Jurídica da OAB Federal, Estadual de São Paulo, e no Conselho Consultivo do Instituto Brasileiro de Política e Direito na Informática, respectivamente, trata-se de uma perspectiva pessoal, porém compartilhada.
A ICP-Brasil tem impacto direto no desenvolvimento de soluções para a substituição do papel por bits nos negócios jurídicos e no fluxo de informações, nos âmbitos estatal e privado. Mas há problemas em se adequá-la aos contextos social e jurídico vigentes. Apesar de não estar expresso na MP 2.200-2, o Governo Federal anterior pretendia que os demais Poderes e entes federativos fossem obrigados a usar de sua ICP-Brasil para emissão de documentos digitais. Isto está expresso na justificativa da referida MP.
E ainda, quando da sanção da Lei nº 10.358/2001, a existência da ICP-BR foi a justificativa utilizada para se vetar o acréscimo de parágrafo único ao artigo 154 do Código de Processo Civil, que autorizava o Poder Judiciário a utilizar meios eletrônicos na prática e comunicação de atos processuais.
Sendo apenas uma infra-estrutura tecnológica, a ICP-BR não pode ser imposta a outros entes federativos, ou a outros Poderes da República, sem violar os princípios constitucionais da autonomia dos mesmos. Sua criação por Medida Provisória descartou a participação do Poder Legislativo, e sua gestão é vinculada diretamente ao Gabinete da Presidência da República. Seu órgão regulador (Comitê Gestor) e a Diretoria do ITI, titular de sua chave-raiz, são nomeados pela Presidência da República. Na composição do seu órgão regulador não há um representante sequer de nenhum outro ente federativo ou Poder, além do Executivo Federal.
Além disso, atos praticados no exercício de funções públicas dos demais Poderes e entes federativos têm fé própria, não podendo sua validade e eficácia estar condicionada à adoção de modelos tecnológicos do Poder Executivo Federal. Não se diga, portanto, como vinha ocorrendo com freqüência, que a ICP-BR, em seu status atual, é nacional.
A ICP-BR teve sua origem na ICP-Gov, como bem idealizada para ser o instrumento tecnológico do Governo Federal. Deveria voltar a aspirar seu propósito original, permitindo aos demais Poderes, ou entes federativos, adotarem suas próprias soluções de ICPs. Para melhor entendermos esta necessidade, e as graves consequências da manutenção das expectativas surgidas desta extensão, há que se iluminar alguns ângulos da sua ação no tecido social ainda mal compreendidos.
Não é porque uma empresa privada utiliza os instrumentos tecnológicos obrigatórios para seu credenciamento junto à ICP-BR que deva passar a ser considerada uma autoridade pública, e suas declarações passem a conter fé pública, como se pode querer extrair do parágrafo primeiro do artigo 10 da MP 2200-2.
Curiosamente, ao lado de pretenderem que suas declarações (certificados digitais) passem e ter fé pública, o regime de responsabilidade é de natureza privada. Se verificarmos, pois, na Declaração de Práticas de Certificação das empresas hoje credenciadas na ICP-BR, iremos ver que limitam a responsabilidade financeira pela emissão de seus certificados, o que é compreensível em um regime de direito privado, mas inadmissível em se tratando de "autoridades públicas".
Parte II
Há grande confusão sobre o que seja um certificado digital. Um certificado digital é uma declaração de seu emissor, realizada por meio eletrônico e formato digital padronizados, quanto à titularidade de uma chave pública, nele transportada. Não se pode confundir, pois, entre o que está sendo declarado (a eficácia da declaração), o que está sendo transportado (a chave pública), e o meio eletrônico pelo qual são produzidos tais declarações e transportes (a ICP), do qual a entidade certificadora participa apenas como endossante ou avalista.Há muita confusão, também, quanto ao objeto desta declaração. O certificado digital não declara absolutamente nada acerca dos documentos eletrônicos que são gerados e digitalmente assinados. A suposição de que a titularidade de um certificado identifica o assinante de um documento eletrônico assenta-se em várias premissas, dentre as quais a premissa de que o par da chave nele transportada (a chave privada correspondente), usada para lavrar tal assinatura, é de conhecimento e uso exclusivo do titular.
O certificado antecede a estes documentos, prestando declaração tão somente quanto à titularidade de uma chave pública, que será utilizada na conferência de assinaturas digitais. Esta titularidade não é prova formal daquela autoria, servindo-lhe apenas de subsídio, pois, como já vimos, se ampara em suposições. Além da suposição de acesso exclusivo do titular à chave privada correspondente, a correta identificação do titular do certificado, sua intenção de uso para aquele par de chaves, e o teor mesmo do documento que teria assinado.
As empresas privadas deveriam poder emitir certificados, seja como atividade-meio (não como prestação de serviços, mas para suas próprias relações), seja como atividade-fim (venda de certificados a terceiros). Mas o regime dessas atividades deve ser de direito privado, e não um misto entre público (quanto à vantagem de ter fé pública) e privado (sem o ônus de responsabilidade integral).
O credenciamento das empresas privadas deveria ser facultativo, e deve significar um reconhecimento de que adotam procedimentos de segurança adequados, algo como um selo de qualidade, mas não devem implicar em concessão de fé pública para atividade eminentemente privada.
A ICP-Brasil baseia-se na existência de um certificado-raiz único para o país, a pretexto de que facilita interoperabilidade entre aplicativos.
Na verdade, não há a menor relação entre interoperabilidade e um único certificado-raiz. A interoperabilidade ocorre na medida em que se utilizem padrões internacionais. ICPs baseadas em um modelo de certificado conhecido como X.509 podem alcançar os graus de interoperabilidade desejados ao seus objetivos, pois o X.509 é um padrão internacionalmente estabelecido, aberto, e que funciona em qualquer plataforma, com softwares variados. Não é necessário que se utilize uma raiz única. Aliás, o contrário é recomendável por várias razões.
A existência de certificado-raiz importa em concentrar o risco tecnológico a partir de uma única entidade certificadora. Caso a certificadora-raiz apresente qualquer problema, todos os documentos emitidos a partir de certificadoras a ela subordinadas correriam o risco de questionamento. O principal e inarredável problema de uma certificadora raiz é a distribuição de sua chave pública. O risco social, neste caso, é insuportável e portanto injustificado.
Sugerimos a eliminação da premissa do certificado-raiz único, prática que, por questões de segurança tecnológica e de respeito a valores democráticos, nenhum país adotou. Transformando-se a ICP-BR em ICP-Gov, o certificado raiz passaria a ser o ápice de uma estrutura governamental do Executivo Federal, de modo que outros entes públicos e o setor privado possam criar outras cadeias de certificação.
Parte III
Um outro ponto sempre apresentado como vantajoso mas sempre desconectado dos riscos subjacentes na idéia de certificado-raiz único, é a de que o cidadão poderia ter um único certificado, que valeria para toda e qualquer atividade no mundo digital. A criação do certificado único importa, em verdade, no estabelecimento do número identificador único (nas relações sociais por meio eletrônico), algo repudiado pelo seu impacto na preservação da privacidade, a ponto de alguns países, como Portugal e Estados Unidos, o vedarem em nível constitucional.Estes países estão em vias de implantarem soluções mais racionais no que tange aos custos sociais decorrentes ao problema da escalabilidade do uso de certificados, problema para o qual a escolha de raiz única nos foi oferecida como solução. Mas uma solução simplista, que parece ideal apenas a quem não se der ao trabalho de compreender a natureza do problema e analisar os riscos envolvidos, com a abrangência exigida pelos efeitos dela decorrentes no futuro da cidadania.
A existência de um único certificado, que o cidadão poderá se ver induzido a obter para cumprir suas obrigações civis, tais como votar ou pagar impostos, acabará servindo também para movimentar qualquer de suas contas bancárias, comprar mediante cartão de crédito, assinar documentos, etc, o que eleva o interesse de estelionatários pelo conhecimento da contraparte deste certificado a sua chave privada , já que, a partir da posse de uma cópia da sequência de bits que constitui esta chave, todo e qualquer ato privado e profissional poderá ser praticado em nome do titular da chave. Quem requerer um certificado para tão somente enviar sua declaração de renda, ou algum requerimento a órgão público, corre o risco de, em caso de vazamento indevido dessa sequência de bits, tomar conhecimento de dívidas assumidas em seu nome somente quando estas forem protestadas. A idéia de chave única é, portanto, uma idéia extremamente insegura.
Não se pode desprezar esta insegurança sob o argumento, até aqui oferecido pelos defensores do status quo, de que falar de estelionato digital é fantasia ou paranóia. Ao contrário, é preciso que se estabeleça um novo direito do cidadão, no sentido de que este não possa ser obrigado, direta ou indiretamente, a usar exclusivamente de meios eletrônicos em suas relações, especialmente com o Governo, sob pena de institucionalização da exclusão digital, ou pior, do cerceamento do direito de exercício da cautela nessas relações. Isto é, do direito do cidadão controlar riscos em ações contratuais que lhe sejam imputáveis, em coação à imprudência.
É de se considerar que o uso massificado de certificados digitais por pessoas com pouca ou nenhuma cultura ou recursos para preservar a segurança de sua própria chave privada, ou para julgar a confiabilidade de tecnologias intermediadoras desta guarda, é algo potencialmente inseguro e arriscado, e que, por isso, não foi implementado em lugar algum, risco que se multiplica pela pretensão de se criar certificados únicos para todos os fins.
A obrigatoriedade do uso do meio digital introduz um grave e inédito desequilíbrio em desfavor da cidadania, já sinalizado no modelo de lei proposto pela UNCITRAL: a atração que o cerceamento do subjacente direito à escolha do instrumento contratual passa a exercer sobre os grandes agentes econômicos, para que, através de seu poder de barganha, busquem se livrar do risco inerente a seus negócios impondo o ônus da prova, no caso de fraudes, a suas potenciais vítimas.
É preciso, também, buscar o ajuste das regras processuais sobre prova documental, agora para documentos eletrônicos, omisso na Medida Provisória 2.200. Não obstante, a prova seja documental, seja por outros meios é uma demonstração da verdade que se faz em juízo. Não há nenhuma necessidade de que haja certificação eletrônica, muito menos uma certificação digital por cadeia única como a da ICP-BR, para que o fato representado por um documento eletrônico seja havido como verdadeiro pelo juiz.
* - Augusto Tavares Rosa Marcacini
Advogado, Vice-Presidente da Comissão de Informática Jurídica da OAB-SP, Mestre e Doutor em Direito pela Universidade de São Paulo, Professor de Direito Processual Civil na Universidade São Judas Tadeu.** - Marcos da Costa
Advogado, Conselheiro da OAB-SP, Presidente da Comissão de Informática do Conselho Federal da OAB, Presidente da Comissão de Informática Jurídica da OAB-SP, Professor da Cadeira de Direito da Faculdade SENAC de Ciências Exatas e Tecnologia.Pedro Antonio Dourado de Rezende
Matemático, Professor do Departamento de Ciência da Computação da Universidade de Brasília, coordenador do programa de Extensão em Criptografia e Segurança Computacional da UnB, membro nomeado do Conselho Consultivo do Instituto Brasileiro de Políica e Direito da Informática.