No texto do dia 9 de maio, o jornalista escreveu esse artigo, entitulado “Assinatura digital: você ainda vai ter uma”, o qual traz um primeiro approach sobre a tecnologia para usuários de computador sem qualquer background em criptografia, assinatura ou certificação digitais.

O texto é simples e esclaredor, apesar de o autor utilizar como certa a adoção da ICP-Brasil, sua estrutura e custos, quando fala de certificação. O final, sobre banco P2P, é um pouco inocente, já que fluxo de valores é apenas uma das funções principais das instituições financeiras.

Aqui vai a íntegra do texto, com alguns comentários em itálico:

Assinatura digital: você ainda vai ter uma

Antes de mais nada, vamos lembrar que assinatura digital não tem nada ver com passar a sua assinatura feita à mão por um scanner e sair anexando a imagem em documentos ou mensagens de correio eletrônico.

Na prática, a coisa é um pouco mais complicada. Assinatura digital é um método que usa fórmulas matemáticas complicadíssimas para autenticar uma informação de forma a garantir a identidade de quem a enviou e que o seu conteúdo não foi nem será alterado.

Tem mais. Para que seja possível assinar eletronicamente um documento, é necessário que antes você possua uma ‘identidade digital’, que pode ser conseguida através de uma empresa credenciada a ofereçer o serviço. E que tenha o hardware necessário para guardá-la, seja o disco rígido do seu computador, um cartão inteligente ou um token, uma espécie de memory key que entra na porta USB do micro.

Nesse parágrafo o autor considera que a única forma de se utilizar assinatura digital é com certificados X509, não citando ferramentas como PGP/GnuPG. O comentário sobre HDs, smart card e token é correto, mas falta citar a diferença de segurança entre deixar sua chave no PC, sujeito a ataques, torjan, virii etc. e coloca-la no armazenador smart card ou token, que fornecem segurança comparativamente maior.

Garantir a integridade de uma informação digital e a identidade de seu autor não é pouco. Muito da burocracia governamental ainda resiste amparada pela dificuldade em se reproduzir digitalmente o que conseguimos com papéis, carimbos e cópias autenticadas. É certo que boa parte desses procedimentos tem origem cultural, na tradição do direito lusitano, mas algumas garantias serão sempre necessárias.

A popularização da assinatura digital traria benefícios para muita gente. Com a possibilidade de aumentar os serviços eletrônicos, o governo seria capaz de agilizar o atendimento às empresas, ao cidadão e diminuiria sua necessidade de contratação de pessoal. Nada mal. Do lado de cá, ganharíamos em conveniência, diminuição das filas e deslocamentos e, quem sabe, reduziríamos os gastos com fotocópias, autenticações e taxas afins.

O sistema financeiro também seria beneficiado. E muito. Apesar da
cortina de silêncio que cerca o assunto, as fraudes pela internet correm soltas. Os e-mails travestidos de avisos bancários que roubam nossas senhas e instalam vírus em nosso computador continuam a infernizar a vida dos especialistas em segurança na internet.

Uma refência aos ataques conhecidos como phishing que aumentam a cada dia…

A polícia tem feito prisões importantes, desbaratando quadrilhas aqui e ali, mas a prática continua. Assinatura digital dificultaria muito esse tipo de crime.

O problema é que ter uma assinatura digital, incluindo sua identidade digital e um token para armazená-la, não sai por menos de R$ 400. E, a cada ano será preciso pagar mais R$ 200 a título de renovação.

Esses dados são específicos para o âmbito da ICP-Brasil.

Há rumores de que os bancos estariam dispostos a pagar essa conta para aumentar a segurança das transações eletrônicas com seus clientes. Eles forneceriam a assinatura digital gratuitamente mas, em troca, o ônus das futuras fraudes digitais seria repassado aos correntistas.

É bom lembrar que a assinatura digital dificulta o crime virtual, mas não acaba com ele. Trazendo para o mundo real, a lógica da proposta é mais ou menos o seguinte: o banco coloca um vigilante armado e uma porta giratória com detector de metais na agência e, caso ela seja roubada, o prejuízo sai da sua conta. Não dá para engolir.

Se pensarmos um pouco… como em qualquer negócio, o risco de o banco perder dinheiro por fraudes ou roubos, inclusive os virtuais, já está embutido nos preços cobrados por eles. Isso acontece em qualquer negócio, principalmente em ramos altamente profissionais como o bancário. Se as fraudes diminuírem, é possível que a competição entre bancos leve até o preço dos serviços a baixarem proporcionalmente à economia do próprio banco.

Sonho com o dia que irão inventar o banco P2P, como o Kazaa, Messenger ou Skype. Vamos trocar valores sem intermediários e mandar uma banana para o sistema financeiro e seus lucros astronômicos. Mas, como isso ainda pode demorar alguns anos, é melhor se prevenir. Se você começar a ouvir falar em bancos oferecendo assinatura digital de graça, cuidado.

Discordo com o autor nesse ponto. Primeiramente, os bancos possuem outras funções, como crédito, por exemplo, que são essenciais não apenas para as pessoas físicas, mas principalmente para o governo e as empresas. Segundo, não vejo uma saída para implementação de troca de valores sem meio físico nem endosso por terceiros (nesse caso os bancos). Não pensei muito sobre o assunto, mas o que primeiro vêm a mente é a natural multiplicação do dinheiro. Certo que os bancos fazem isso, mas de uma forma controlada e supervisionada.

Pode ser que você esteja diante de um autêntico cavalo de Tróia. Pior que seu original grego, este presente pode torná-lo o único responsável por qualquer prejuízo ou futura fraude que ocorra durante suas transações online, isentando o banco ou o governo de qualquer ônus. Olho vivo.

Discordo parcialmente. Com a assinatura digital, uma transação seria exatamente como antes do mundo virtual: para cada ordem, há uma assinatura. E, no caso de certificados ICP-Brasil, essa assinatura tem validade legal no Brasil. Basta que se possa garantir que uma pessoa nunca irá assinar um documento com sua assinatura digital por engano. Isso sim, pode ser um problema. Vou escrever mais sobre esse aspecto no futuro…

Texto original por Ricardo Kobashi.

Sobre a Comunidade CAcert Brasil