Olá,
Saiu na revista Veja desta semana (ed 1.945, ano 39 - nº 8) um reportagem sobre "as
maravilhas" do E-CPF (certificados da assinatura digital da ICP-Brasil) que esta
cada vez mais se implantando no Brasil.
A reportagem ilude o leitor porque abordou a questão de forma superficial e,
para piorar, repetiu mantras da Seita do Santo Baite como que a assinatura
digital:
- tem inviolabilidade garantida;
- garante a autenticidade;
- não deixa dúvidas sobre quem assinou o documento;
- certificado tipo A1 (gravado em meio de leitura livre) só pode ser usado no
computador onde a senha foi registrada;
- certificado tipo A3 (gravado em chips de segurança contra a leitura da chave
privada) permite segurança em qualquer computador;
etc....
Tudo isto são meias-verdades e a omissão das condições sob as quais estas
afirmações possam valer é a característica que torna o texto enganoso.
Assinatura digital SÓ PODE SER UTILIZADA EM COMPUTADORES DE PERFEITO
CONHECIMENTO E CONTROLE DO USUÁRIO, caso contrário há risco de colocar
assinaturas legítimas em documentos falsos.
Usando certificados em computadores de absotuto controle do usuário, tanto o
certificado A1 quanto o A3 tornam-se seguros. Já se o uso do certificado em
computador que o usuário não tenha absoluto controle poder gerar chaves
privadas já violadas desde sua gênese, ou asinaturas sobre documentos
falsificados ou, ainda, verificações estéreis (talvez falsas) de assinatura,
como é o caso da verificação das assinaturas nas urnas-e.
O certificado tipo A3 resiste a um tipo de ataque que o certificado A1 não
suporta: a cópia da chave privada por programas residentes do tipo Snifers num
computador que o usuário não controle. A chave privada, assim copiada de um
certificado A1, pode ser utilizada posteriormente para falsificação de
documentos com a assinatura da vítima.
Mas o certificado A3 não resiste a um outro tipo de ataque que é a aposição de
assinaturas legítimas sobre documentos falsos por programas tipo
Cavalo-de-Troia (ou troianos) instalados em computadores que o usuário não
controle. Um programa malicioso pode mostrar na tela do computador um coisa e
assinar outra coisa utilizando o certificado A3 da vítima.
Lembro que conseguir manter controle de um computador é tarefa de altíssima
dificuldade e que 99,999% dos usuários de computador não logra obter o controle
nencessário para dar garantias ao uso de certificados de assinatura digital.
A reportagem da Veja não esclarece as diferenças legais relativas as responsabilidades do cidadão que usa assinatura digital. Não se explica que a MP 2202-2, que instituiu a ICP-Brasil, estabele que documentos assinados com o certificado da ICP-Brasil (E-CPF ou outro qualquer) tem fé pública automaticamente diferente de documentos assinados manualmente que só ganham fé publica em condições determinadas, como serem assinados presencialmente em cartórios com testemunhas. Isto significa que agora caberá a ele, usuário-vítima, o ônus da prova no caso de alguma assinatura digital sua vir a ser falsificada em computador que não controlava.
Como alguém vai conseguir provar que o computador (da loja, ou do banco ou da
sala de apoio do tribunal ou mesmo o seu pŕoprio), de onde assinou algum
documento digital, adulterou este documento justamente na hora em que
assinatura era posta? Impossível conseguir fazer tal tipo de prova e,
consequentemente, a legislação obrigará a vitima a cumprir os ditames do
documento sobre o qual foi falsificada a sua assinatura.
A reportagem também apresenta o caso de 3 sorridentes usuários de certificados, que provavelmente não têm a menor noção de como podem ter sua segurança burlada.
Eu gostaria de poder ter apresentado o meu caso em que, para poder colocar as
assinaturas digitais nos programas de computador do sistema eleitoral em nome
de um partido político, fui obrigado pela regulamentação do Tribunal Superior
Eleitoral a abrir a segurança de minha chave privada tornando a assinatura nos
programas inúteis (pois poderiam ser falsificadas depois de quebrada a
segurança de minha chave privada) e ainda correndo o risco de ter outros
documentos pessoais, como débitos em contas, procurações diversas, falsificados
e ficando, pela legislação atual, com ônus da prova da eventual falsificação.
Sobre esta questão ver artigo em:
http://www.cic.unb.br/docentes/pedro/trabs/impedimento.html
Outra omissão grave da reportagem da Veja é que não se explica com clareza ao
leitor que o E-CPF NÃO É DOCUMENTO EMITIDO pela Receita Federal e sim por
empresas privadas (principalmente multi-nacional) que passam a cobrar do
cidadão em torno de R$ 200,00 por ano para que este possa assinar documentos
virtuais, por exemplo, para poder movimentar sua conta bancária.
[ ]s
Amilcar Brunazo Filho
tel: (13) 9783 1480
______________________________________________________________
O texto acima e' de inteira e exclusiva responsabilidade de seu
autor, conforme identificado no campo "remetente", e nao
representa necessariamente o ponto de vista do Forum do Voto-E
O Forum do Voto-E visa debater a confibilidade dos sistemas
eleitorais informatizados, em especial o brasileiro, e dos
sistemas de assinatura digital e infraestrutura de chaves publicas.
__________________________________________________
Pagina, Jornal e Forum do Voto Eletronico
http://www.votoseguro.org
__________________________________________________
