Passaporte ao futuro. Qual futuro?

Na última coluna prometi falar do Passport. O contexto: acaba de ser criada a Organization for Internet Security (OIS), congregando Microsoft, Oracle, IBM, HP, Sun, Compaq, Cisco, e as maiores empresas de segurança computacional, por iniciativa da primeira. O propósito? Controlar a circulação de informação sobre falhas e vulnerabilidades nos seus produtos, dentro e fora da organização, quiçá com a ajuda dos dentes da Justiça. A justificativa? Segurança na Internet. Segurança de quem contra o que? Aqui a lógica começa a ficar relativa, subjetiva e nebulosa.

Um pouco de história: o modelo predominante de negócio em torno do software tem sofrido mudanças de paradigma a cada 20 anos, desde os primórdios artesanais da década de 40. O modelo de hoje, prevalente na OIS, teve origem com o downsizing no início dos anos 80, enquanto o primeiro protocolo de roteamento a permitir escalabilidade na internet, o BGP4, começava a se estabilizar. Baseado no controle sobre a lógica do software via direitos de propriedade intelectual, este modelo dá sinais de que sua segurança está em rota de colisão com a segurança do cibercidadão, usuário direto ou não. Analiso-a em vários artigos. A manter-se o padrão, veremos dela nascer um novo modelo.

A OIS pode agir tanto para evitar a colisão, induzindo-lhe o parto, quando para proteger dela o modelo prevalente, sufocando a ambos num aborto tardio. Com a OIS seus associados dão-se o poder para consumar uma coisa ou outra. Qual delas é a questão que escreverá o próximo capítulo da revolução digital; e o Passport se apresenta como teste de litmus para esta escolha.

Trata-se de um protocolo proprietário da Microsoft que permite a usuários autenticarem-se em vários sites da internet, autenticando-se uma vez num servidor da empresa. Ele procura reproduzir, numa rede global e aberta -- a internet -- o modelo "natural" de autenticação para redes fechadas, valendo-se de técnicas criptográficas necessárias em redes abertas, os sistemas de chave pública. Desde a descoberta do primeiro, em 1978, pesquisadores vêm quebrando a cabeça para entender até onde, e como, tais sistemas podem oferecer segurança, inclusive jurídica, a mecanismos de proteção à informação em redes abertas.

No processo de livre experimentação e validação pelo qual evolui a internet, guiado por sua força tarefa de engenharia, o IETF, adaptações similares foram sendo descartadas pelas fragilidades e dificuldades apresentadas, sendo a mais memorável a do protocolo PEM. O Passport pode ser um genial projeto comercial -- uma vez adotado no servidor, pode alijar concorrentes na ponta do cliente -- mas apresenta sinais preocupantes em seu caráter técnico.

Aliás, sua proprietária deve ser reconhecida mais pela genialidade dos contratos que cria, do que pela dos produtos. E não foi este seu primeiro desdém à experiência e recomendações do IETF. Ignorou-o ao estender sua linguagem de controle de processos para conteúdo ativo nos seus aplicativos web, com interpretação automática na configuração de fábrica. Pôde assim reter suavemente a massa de programadores em VBScript, cativos desde o DOS, ao longo da revolução web. Mas ao custo social do Melissa, ILoveYou, Nimda, CodeRed etc, pragas agora usadas para justificar a censura regulada pela OIS, no manifesto "Anarquismo Digital".

E os sinais não falharam. Desde agosto de 2000 há uma escalada de descobertas de falhas e vulnerabilidades no Passport, na qual a gravidade cresce junto com a disseminação do protocolo em aplicações críticas, como as do governo eletrônico Inglês. E a seguir o exemplo de algumas agências, como a Anatel, em breve também o nosso, dada a pressa com que decreta, via MP, a validade jurídica e a presunção de veracidade em documentos eletrônicos. O Passport tem hoje mais de 200 milhões de usuários, alguns forçados a aderi-lo para terem acesso a serviços universais. Enquanto isto a última falha descoberta, que permite o vazamento da senha identificadora do cibercidadão, só poderá ser "corrigida", admite a empresa, no seu novo sistema, o XP. Porém, só "muito provavelmente em meados do segundo semestre " como noticiou INFO Online em 1/3/02. Aguardamos a escolha.