{"id":391,"date":"2021-05-03T18:55:36","date_gmt":"2021-05-03T18:55:36","guid":{"rendered":"https:\/\/blog.digitalsign.pt\/?p=391"},"modified":"2022-01-26T15:02:58","modified_gmt":"2022-01-26T15:02:58","slug":"identidade-digital-perigos-e-oportunidades","status":"publish","type":"post","link":"https:\/\/blog.digitalsign.pt\/index.php\/2021\/05\/03\/identidade-digital-perigos-e-oportunidades\/","title":{"rendered":"Identidade Digital \u2013 Perigos e Oportunidades!"},"content":{"rendered":"\n
\"\"<\/figure>\n\n\n\n

A Identidade digital \u2013 eID \u00e9 um tema que tem estado na ordem do dia, n\u00e3o s\u00f3 no Brasil, mas em todo o mundo, e a sua necessidade foi acelerada pela pandemia, pois a rela\u00e7\u00e3o entre Estados, Cidad\u00e3os e Empresas passou a ser cada vez mais digital e para isso \u00e9 essencial uma identidade eletr\u00f4nica confi\u00e1vel.<\/p>\n\n\n\n\n\n\n\n

Por Fernando Moreira<\/strong><\/p>\n\n\n\n

\"\"<\/figure>
\n

A identifica\u00e7\u00e3o dos cidad\u00e3os \u00e9 uma compet\u00eancia dos Estados soberanos \u2013 na sua forma tradicional atrav\u00e9s de documentos f\u00edsicos em papel\/pl\u00e1stico ou, normalmente de forma complementar, em formato eletr\u00f4nico.<\/p>\n<\/div><\/div>\n\n\n\n

Na Europa a generalidade dos Estados membros oferece aos seus cidad\u00e3os documentos de identifica\u00e7\u00e3o que muitas das vezes incluem um chip eletr\u00f4nico que guarda entre outros dados, uma credencial eletr\u00f4nica, designada de Certificado Digital Qualificado<\/strong> e que permite ao cidad\u00e3o identificar-se on-line e assinar documentos eletr\u00f4nicos<\/p>\n\n\n

Em alguns Estados, essa credencial eletr\u00f4nica (Certificado Digital Qualificado) pode ser gerida de forma centralizada, tamb\u00e9m designada por assinatura remota, por exemplo, em Portugal \u00e9 disponibilizado ao cidad\u00e3o a CMD (Chave M\u00f3vel Digital)<\/p>\n\n\n

Os certificados avan\u00e7ados (n\u00e3o Qualificados) na Europa tem um uso expandido, mas unicamente para opera\u00e7\u00f5es entre partes privadas<\/strong><\/h2>\n\n\n\n

Os Estados exigem que a rela\u00e7\u00e3o com o cidad\u00e3o se fa\u00e7a atrav\u00e9s de um Certificado Digital Qualificado, porque apenas estes possuem valor legal pleno \u2013<\/strong> o Regulamento Europeu (n.\u00ba 910\/2014 , de 23 de julho) apenas confere a presun\u00e7\u00e3o de autenticidade \u00e0s Assinaturas Eletr\u00f4nicas Qualificadas (produzidas com recurso a um Certificado Digital Qualificado).<\/p>\n\n\n\n

O Estado Brasileiro tem vindo, com sucesso e de forma acelerada, a desmaterializar (ou a complementar com uma forma eletr\u00f3nica) muitos dos seus documentos com destaque para a CNH, e a lan\u00e7ar um ambicioso programa de digitaliza\u00e7\u00e3o da sua Administra\u00e7\u00e3o P\u00fablica em que, atrav\u00e9s do Gov.Br, o cidad\u00e3o j\u00e1 pode aceder on-line a mais de 4.000 servi\u00e7os p\u00fablicos.<\/p>\n\n\n\n

Uma das formas de autentica\u00e7\u00e3o e assinatura que o Estado Brasileiro pretende colocar \u00e0 disposi\u00e7\u00e3o dos seus cidad\u00e3os baseia-se num designado Certificado Avan\u00e7ado, capaz de produzir Assinaturas Eletr\u00f4nicas Avan\u00e7adas (n\u00e3o Qualificadas), sem custo para o cidad\u00e3o, e que podem ser obtidos mediante o batimento biom\u00e9trico da imagem de face do titular (recolhida de forma completamente eletr\u00f4nica e sem acompanhamento\/verifica\u00e7\u00e3o humano, usando uma simples App em smartphone) contra as bases de dados biom\u00e9tricas do governo.<\/p>\n\n\n\n

Esta iniciativa faz sentido para democratizar, de forma massiva e r\u00e1pida, o acesso de milh\u00f5es de cidad\u00e3os aos servi\u00e7os eletr\u00f4nicos do Estado, reduzindo custos para o Estado e para o cidad\u00e3o. Contudo, algo que \u00e9 autom\u00e1tico, sem verifica\u00e7\u00e3o humana e disponibilizado de forma massiva, deve ser usado com as limita\u00e7\u00f5es previstas na lei, para garantir a seguran\u00e7a jur\u00eddica na rela\u00e7\u00e3o entre cidad\u00e3o e Estado.<\/p>\n\n\n\n

O Brasil, de forma correta, modernizou<\/em>, atrav\u00e9s da Lei 14.063<\/a>, os seus conceitos de assinatura eletr\u00f4nica, inspirando-se no Regulamento Europeu eIDAS<\/strong><\/a>, para criar 3 classifica\u00e7\u00f5es de assinatura eletr\u00f4nica: Simples, Avan\u00e7ada e Qualificada.<\/p>\n\n\n\n

A Assinatura Eletr\u00f4nica Qualificada, baseado num Certificado Qualificado, \u00e9 a \u00fanica que na Europa e no Brasil goza de presun\u00e7\u00e3o de autenticidade.<\/p>\n\n\n\n

A presun\u00e7\u00e3o da veracidade da assinatura eletr\u00f4nica qualificada \u00e9 dada pelo artigo 10 da  MEDIDA PROVIS\u00d3RIA No<\/sup> 2.200-2, DE 24 DE AGOSTO DE 2001<\/strong><\/small><\/a>.<\/p>\n\n\n\n

\u201c1o<\/sup>  As declara\u00e7\u00f5es constantes dos documentos em forma eletr\u00f4nica produzidos com a utiliza\u00e7\u00e3o de processo de certifica\u00e7\u00e3o disponibilizado pela ICP-Brasil presumem-se verdadeiros em rela\u00e7\u00e3o aos signat\u00e1rios,<\/strong> na forma do art. 131 da Lei no<\/sup> 3.071, de 1o<\/sup> de janeiro de 1916 \u2013 C\u00f3digo Civil<\/strong>.<\/a>\u201d<\/em><\/p><\/blockquote>\n\n\n\n

2.O disposto nesta Medida Provis\u00f3ria n\u00e3o obsta a utiliza\u00e7\u00e3o de outro meio de comprova\u00e7\u00e3o da autoria e integridade de documentos em forma eletr\u00f4nica, inclusive os que utilizem certificados n\u00e3o emitidos pela ICP-Brasil, desde que admitido pelas partes como v\u00e1lido ou aceito pela pessoa a quem for oposto o documento.\u201d<\/em><\/p><\/blockquote>\n\n\n\n

Esta presun\u00e7\u00e3o de autenticidade assenta em v\u00e1rios pressupostos, sendo que uma das mais relevantes \u00e9 que para gerar este tipo de certificado se exige uma verifica\u00e7\u00e3o da identidade de forma presencial ou equivalente<\/strong>, e limitada a entidades certificadas\/credenciadas que seguem regras e pol\u00edticas bem definidas e auditadas, o que no Brasil j\u00e1 s\u00e3o dezenas de entidades credenciadas que podem emitir certificados ICP-Brasil num ambiente fortemente concorrencial.<\/p>\n\n\n\n

A emiss\u00e3o de certificados avan\u00e7ados na Europa e no resto do Mundo n\u00e3o \u00e9 regulada<\/strong>, nem do ponto de vista das pr\u00e1ticas e pol\u00edticas adotadas na valida\u00e7\u00e3o de identidade, nem do ponto de vista das normas de seguran\u00e7a implementadas pelas entidades emitentes \u2013 desta forma torna-se imposs\u00edvel responsabilizar tais entidades por eventuais fraudes.<\/p>\n\n\n\n

N\u00e3o havendo esta regula\u00e7\u00e3o tamb\u00e9m no Brasil, mas admitindo-se que possa ser criada como exce\u00e7\u00e3o \u00e0s pr\u00e1ticas internacionais, e que a Gov.Br  usa bases de dados governamentais (Denatran e TSE), e considerando que estas est\u00e3o sanitizadas (sem falsas identidades), mesmo assim, temos de ter a consci\u00eancia que o batimento biom\u00e9trico de uma imagem da face do cidad\u00e3o vai ter sempre um n\u00famero consider\u00e1vel de falsos positivos e de falsos negativos, e acima de tudo, a maior fragilidade est\u00e1 na recolha da imagem de face do cidad\u00e3o, que sem acompanhamento\/verifica\u00e7\u00e3o humana \u00e9  suscet\u00edvel \u00e0 fraude computacional, num grau cada vez mais elevado.<\/p>\n\n\n\n

A t\u00edtulo de exemplo, o Governo Chin\u00eas e suas empresas tecnol\u00f3gicas, que se orgulhavam de ter um sistema de identifica\u00e7\u00e3o biom\u00e9trico facial que at\u00e9 com mascaras da Covid garantia uma acuidade elevada, usavam estes sistemas nos mais diversos organismos do Estado. Estes sistemas sofreram um rude golpe na sua credibilidade quando foi not\u00edcia recente uma fraude com o tratamento de imagem a partir de fotos bidimensionais, transformadas em v\u00eddeos tridimensionais que cumpriam as instru\u00e7\u00f5es liveness standard (virar cara para um lado, piscar olho, sorrir, etc.), enganando assim o sistema \u2013 a fraude ascende a mais de 76 milh\u00f5es de USD com a emiss\u00e3o de Notas Fiscais falsas a partir de um sistema do Estado Chin\u00eas.<\/p>\n\n\n\n

Pair accused of turning photos into vids to crack tax dept facial recognition system in China<\/strong><\/a><\/h2>\n\n\n\n

Grandes empresas tecnol\u00f3gicas como a IBM, Microsoft etc. anunciaram a descontinuidade da sua oferta de sistemas avan\u00e7ados de biometria facial<\/strong><\/h2>\n\n\n\n

O motivo \u00e9 que v\u00e1rios estudos conclu\u00edram pela sua falta de fiabilidade e por ter desvios com base em diferentes ra\u00e7as (tipicamente detectavam com menor precis\u00e3o pessoas de origem asi\u00e1ticas e de cor) o que levantou problemas de racismo e a pr\u00f3pria Comiss\u00e3o Europeia e o Congresso Americano est\u00e3o a estudar uma proibi\u00e7\u00e3o do uso desta tecnologia por um prazo de 5 anos, at\u00e9 uma melhor avalia\u00e7\u00e3o dos riscos de fraude e de quebra de privacidade:  <\/p>\n\n\n\n

IBM will no longer offer, develop, or research facial recognition technolog<\/strong><\/a>y<\/strong><\/a><\/p>\n\n\n\n

IBM Will No Longer Offer Or Develop Facial Recognition Software In Pursuit Of Racial Justice Reform<\/strong><\/a><\/p>\n\n\n\n

Uni\u00e3o Europeia avalia proibi\u00e7\u00e3o por 5 anos do uso da tecnologia de reconhecimento facial por ind\u00edcios de discrimina\u00e7\u00e3o de ra\u00e7as e Congresso tamb\u00e9m discute o mesmo tema<\/p>\n\n\n\n

Facial recognition: EU considers ban of up to five years<\/strong><\/a><\/p>\n\n\n\n

US lawmakers concerned by accuracy of facial recognitio<\/a>n<\/strong><\/p>\n\n\n\n

Paralelamente, a tremenda velocidade a que estas tecnologias de tratamento de imagem\/v\u00eddeo est\u00e3o a evoluir, com a maior capacidade computacional a crescer exponencialmente, aumenta tamb\u00e9m em muito o risco de fraude, acrescido aos riscos de discrimina\u00e7\u00e3o racial e quebra de privacidade, o que tamb\u00e9m explica o abandono desta tecnologia pelas empresas citadas.  <\/p>\n\n\n\n

N\u00e3o se advoga com estes exemplos, que o Estado Brasileiro deixe de utilizar as suas bases de dados biom\u00e9tricas, pois s\u00e3o sem d\u00favida um instrumento muito \u00fatil na identifica\u00e7\u00e3o do cidad\u00e3o, mas n\u00e3o devem ser utilizadas de forma n\u00e3o assistida ou no caso de autosservi\u00e7o, limitar os efeitos das credenciais emitidas com base nestas consultas de bases de dados biom\u00e9tricas, como \u00e9 boa pr\u00e1tica na Europa.<\/strong><\/p>\n\n\n\n

Tamb\u00e9m n\u00e3o se defende que os Estados n\u00e3o devam emitir certificados avan\u00e7ados, como  pretende fazer o Estado Brasileiro, visando massificar uma identidade digital sem custos para o cidad\u00e3o e com custos muito reduzidos para o Estado, mas recomenda-se prud\u00eancia na  utiliza\u00e7\u00e3o e aplicabilidade dos certificados avan\u00e7ados, i.e. que os Estados tenham o cuidado de limitar o seu uso a consultas ou transa\u00e7\u00f5es n\u00e3o cr\u00edticas, que n\u00e3o atribuam na pr\u00e1tica a presun\u00e7\u00e3o de autenticidade \u00e0s assinaturas \/ autentica\u00e7\u00f5es de identidade produzidas por certificados avan\u00e7ados, contrariando a lei e as boas pr\u00e1ticas<\/strong><\/p>\n\n\n\n

Por esta raz\u00e3o legal e pelos fundamentos t\u00e9cnicos expostos, documentos assinados por Advogados, M\u00e9dicos, Contadores, Empres\u00e1rios, entre outros, devem continuar a necessitar de Certificados Qualificados (ICP-Brasil) para, de entre outros, aceder ao sistema judicial eletr\u00f3nico,  assinarem uma prescri\u00e7\u00e3o m\u00e9dica eletr\u00f3nica, acederem \u00e0 RFB quando envolve sigilo,  assinarem um contrato numa junta comercial, emitirem NF, etc.,  porque s\u00f3 o Certificado\/Assinatura Qualificada tem valor legal pleno dado pela lei e pela maior seguran\u00e7a intr\u00ednseca ao processo de valida\u00e7\u00e3o da identidade.<\/p>\n\n\n\n

O Certificado avan\u00e7ado que est\u00e1 previsto ser fornecido pelo Estado Brasileiro atrav\u00e9s da Secretaria de Gest\u00e3o Digital, de forma gratuita e autom\u00e1tica para aceder a servi\u00e7os do Gov.Br, deve ser limitado para o cidad\u00e3o poder consultar processos, autenticar-se em sistemas inclu\u00eddos no Gov.Br, mas nunca para aceder a sistemas que envolvam sigilo fiscal, banc\u00e1rio ou outro, nem para assinar documentos relevantes que possam trazer inseguran\u00e7a jur\u00eddica para o cidad\u00e3o e fraudes eletr\u00f4nicas.<\/p>\n\n\n\n

A arquitetura de n\u00edveis de autentica\u00e7\u00e3o digital, que o Governo Brasileiro criou (classificados como Bronze, Prata e Ouro) est\u00e1 correto, mas o n\u00edvel Ouro s\u00f3 deve ser atingido quando usado o Certificado Digital ICP-Brasil, pois como vimos noutros pa\u00edses e no Brasil, a valida\u00e7\u00e3o  facial biom\u00e9trica \u00e9 fal\u00edvel, sendo que o problema n\u00e3o est\u00e1 na qualidade da base do Tribunal de Justi\u00e7a eleitoral, mas sim na limita\u00e7\u00e3o dos algoritmos atuais e na possibilidade de com aplica\u00e7\u00f5es dispon\u00edveis on-line, se poder falsificar de forma sistem\u00e1tica  a imagem da face apresentada, cometendo fraudes de identidades sucessivas pelo mesmo m\u00e9todo e assim se ganhar acesso a sistemas\/informa\u00e7\u00f5es cr\u00edticas de in\u00fameros cidad\u00e3os.<\/p>\n\n\n\n

O Certificado Digital avan\u00e7ado a ser emitido pelo Governo Brasileiro, deve corresponder ao n\u00edvel prata e pode ser gerado a partir dos meios de autentica\u00e7\u00e3o j\u00e1 considerados para obter o selo prata.<\/strong><\/p>\n\n\n\n

O paralelo entre os n\u00edveis Bronze, Prata e Ouro com as <\/strong>assinaturas Simples, Avan\u00e7adas e Qualificadas \u00e9 \u00f3bvio e natural, n\u00e3o devendo ser distorcido.<\/p>\n\n\n\n

A tenta\u00e7\u00e3o dos governos de desburocratiza\u00e7\u00e3o e acelerar processos \u00e9 grande, mas se tal for feito sem os instrumentos de seguran\u00e7a adequados, tal acaba por reverter numa perda de credibilidade de todo o sistema de Certifica\u00e7\u00e3o Digital e em preju\u00edzos para o Estado, cidad\u00e3os e empresas, pela fraude de identidade acrescida.<\/p>\n\n\n\n

O desafio na gest\u00e3o destes diferentes tipos de identidades eletr\u00f4nicas, reside em equilibrar seguran\u00e7a com usabilidade e baixo custo e esse equil\u00edbrio para ser alcan\u00e7ado, carece da defini\u00e7\u00e3o de linhas vermelhas, a partir das quais o Estado deve exigir um Certificado Qualificado, por ser o mais seguro para um determinado ato.<\/p>\n\n\n\n

A resposta para tra\u00e7ar estas linhas vermelhas, achamos que por um princ\u00edpio de prud\u00eancia e de seguran\u00e7a jur\u00eddica que os Estados Soberanos devem sempre defender, reside em todos os atos cr\u00edticos na rela\u00e7\u00e3o entre o cidad\u00e3o e o Estado exigirem o recurso a um certificado\/assinatura Qualificada<\/u>.<\/p>\n\n\n\n

\"\"<\/figure>
\n

Na Europa, como se refere ao longo deste documento, os Estados nem sequer aceitam o Certificado avan\u00e7ado e por isso criaram uma Trusted List somente de Certificados Qualificados<\/a>.<\/strong><\/p>\n\n\n\n

<\/p>\n<\/div><\/div>\n\n\n\n

Na esfera privada compete \u00e0s partes decidirem em fun\u00e7\u00e3o da an\u00e1lise do risco qual o mecanismo de autentica\u00e7\u00e3o\/assinatura que entendem como adequado, Assinaturas Qualificadas, Avan\u00e7adas ou Simples, e n\u00e3o existe em nenhum Pa\u00eds conhecido uma Trusted List de certificados Avan\u00e7ados, pois isso criaria confus\u00e3o no cidad\u00e3o de ter 2 Listas de certificados confi\u00e1veis e qual o sentido dessa duplica\u00e7\u00e3o?<\/p>\n\n\n\n

A ICP-Brasil deve ser um motivo de orgulho para o Governo Brasileiro, por ser referida como um bom exemplo na Europa e nos USA e porque nos \u00faltimos anos se modernizou e se adequou a novas tecnologias, com a introdu\u00e7\u00e3o da videoconfer\u00eancia, com o acesso a base de dados do Denatran para a primeira emiss\u00e3o do Certificado Qualificado, etc. e com custos cada vez mais reduzidos (Certificados Qualificados ICP-Brasil dispon\u00edveis por menos de R$ 50), fruto de uma forte concorr\u00eancia entre mais de 100 Autoridades Certificadoras P\u00fablicas e Privadas de primeiro e segundo n\u00edvel credenciadas.<\/p>\n\n\n\n

\"\"<\/figure>
\n

A ICP Brasil tem ainda um elevado potencial para melhorar os seus processos e reduzir custos e pre\u00e7os, num trabalho conjunto com o Governo e seu supervisor.<\/p>\n\n\n\n

A ICP-Brasil n\u00e3o deve pretender ser uma solu\u00e7\u00e3o \u00fanica de emiss\u00e3o de credenciais eletr\u00f3nicas para o cidad\u00e3o, mas deve continuar a ser a mais segura e essencial para os atos mais cr\u00edticos, e cada vez mais relevante numa sociedade em acelerada transforma\u00e7\u00e3o digital, coexistindo com outros tipos de assinaturas (simples e avan\u00e7adas), preservando-se a seguran\u00e7a jur\u00eddica e a identidade do cidad\u00e3o em equil\u00edbrio com a acessibilidade a servi\u00e7os do Estado de forma eletr\u00f3nica e massificada.<\/p>\n<\/div><\/div>\n\n\n\n

O Estado Brasileiro deve construir um sistema que promova estes equil\u00edbrios, que evite uma excessiva depend\u00eancia (n\u00e3o a eliminando pela sua utilidade), da tecnologia de reconhecimento facial pelas raz\u00f5es expostas e que permita a n\u00edvel internacional preservar a ICP -Brasil com os certificados Qualificados, pois s\u00f3 estes tipos de certificados ir\u00e3o permitir acordos de m\u00fatuo reconhecimento entre Estados, cr\u00edticos no curto prazo para a nova Economia e o setor exportador Brasileiro.<\/p>\n\n\n\n

A Uni\u00e3o Europeia vai assinar muito em breve v\u00e1rios acordos de m\u00fatuo reconhecimento, unicamente com sistemas de Certifica\u00e7\u00e3o Digital Qualificados<\/u> com outros Estados, para desmaterializa\u00e7\u00e3o de processos de com\u00e9rcio internacional entre outros e deseja-se que o Brasil fa\u00e7a parte desses acordos o mais r\u00e1pido poss\u00edvel, com uma ICP -Brasil forte e modernizada e que Governo e iniciativa privada unam esfor\u00e7os para este objetivo.<\/p>\n\n\n\n

Fernando Moreira \u00e9 Presidente da DigitalSign Portugal e DigitalSign Brasil (Autoridades certificadoras credenciadas na Europa e no Brasil), pelo que \u00e9 importante o leitor ver esta opini\u00e3o como de uma parte interessada que procurou ser objetiva e factual e escrita em Portugu\u00eas de Portugal.<\/p><\/blockquote>\n\n\n\n

Artigo publicado original em www.cryptoid.com.br<\/a><\/em><\/p>\n\n\n\n

\n
Identidade Digital do Cidad\u00e3o Brasileiro \u2013 Perigos e Oportunidades!<\/a><\/blockquote>