O segundo decreto (www.planalto.gov.br/CCIVIL/decreto/D3587.htm) é de conteúdo muito técnico. Seu objetivo principal é estabelecer normas para a infra-estrutura de chaves públicas do poder executivo federal - a ICP-Gov. Leitores atentos recordarão a coluna de 26 de junho, que tratou da segurança de informações do próprio governo e o uso de criptografia. Base para a segurança seria a utilização de criptografia assimétrica, onde cada participante possui um para de chaves, uma, pública, usada para proteger correspondência enviada a ele, e outra, privada, usada para apenas o destinatário certo poder decifrar o conteúdo desta correspondência. Também poderia ser usada a chave privada para criar uma assinatura digital, a qual não poderia ser forjada por outro correspondente.

Fundamental para o uso de chaves públicas é o conceito de certificado, que é usado para identificar a quem pertence uma determinada chave pública. Um certificado é emitida por uma autoridade certificadora (AC), e inclui uma assinatura digital desta AC. Diferentes esquemas de criptografia assimétrica utilizam diferentes configurações de ACs. No caso do software de correio seguro Pretty Good Privacy (PGP) (www.pgpinternational.com), cada usuário atua como uma AC por seus conhecidos, certificando-os e suas chaves públicas a seus correspondentes. A princípio, a "teia de confiança" usada para certificar mutuamente um par de correspondentes funcionará, desde que exista um cadeia de usuários entre eles, onde cada usuário desta cadeia certifique que conhece a chave pública do próximo na cadeia.

Quando não existem laços de conhecimento mútuo entre dois correspondentes em potencial, a solução é apelar para uma entidade neutra e confiável, onde os diferentes usuários registram suas chaves públicas e obtêm seus certificados. O funcionamento deste esquema é parecido com os cartórios de notas, onde são registradas e reconhecidas firmas, e portanto adotamos o nome de "cartórios eletrônicos". Por causa do número de usuários e sua distribuição geográfica, será necessário criar múltiplos cartórios eletrônicos, que juntos comporiam uma "infra-estrutura de chaves públicas" (ICP, abreviada como PKI em inglês).

Diversas ICPs são possíveis. Os browsers da WWW permitem acesso seguro a sítios (usando o prefixo https). Para estabelecer este acesso, o sítio deverá fornecer o certificado da sua chave pública, emitida por uma AC que pertence a uma lista incluída no browser. Este certificado relaciona o nome de domínio do servidor a uma chave pública. É verificada experimentalmente que a chave pública corresponde à chave privada do sítio, e a sessão é iniciada. Neste caso, nosso browser nos fornece a lista de ACs aceitáveis, e podemos assim nos comunicar com qualquer sítio cadastrado com uma delas. (O usuário curioso poderá até inspecionar manualmente o certificado enviado pelo servidor WWW - cada browser possui uma maneira própria de fazer isto.) Para populações maiores de usuários, pode ser necessário introduzir uma hierarquia de ACs, cada uma das quais tem sua assinatura digital garantida pela AC hierarquicamente superior. Isto seria apropriado para atender a uma grande hierarquia, como existe dentro de uma empresa ou dentro de um governo.

Pois bem, o decreto 3.587 começa a detalhar como deverá ser montada uma ICP para o governo federal, com a definição de uma rede de ACs, que emitiriam e validariam certificados de chave pública dos usuários, possibilitando o uso em larga escala das assinaturas digitais. O decreto é pouco convencional, pois possui dois apêndices, um contendo uma figura ilustrando como seria esta rede de ACs, e o outro um glossário de termos técnicos em português e inglês. Pelo menos em parte este decreto se baseia nas teses de mestrado de Maira Três Medina e Alexandre Reis e Silva do Departamento de Informática da universidade católica do Rio de Janeiro (www.inf.puc-rio.br), que examinaram mecanismos de encontrar as cadeias de certificados entre pares de correspondentes.

Deve ser evidente que a adoção de um determinado padrão de ICP pelo governo federal acabará induzindo a adoção deste padrão por outras áreas da nossa sociedade. Primeiro, porque é o primeiro a ser definido. Segundo, porque será necessário que os outros adiram ao padrão federal para se comunicar com os órgãos federais. O resultado será a criação de uma espécie de identidade eletrônica de aceitação geral. Voltaremos a discutir a conveniência desta inovação em outra coluna.

Uma última observação: têm sido raras as ocasiões anteriores quando houve uma interação tão forte entre a comunidade nacional de tecnologia de informação e o arcabouço legal do país, mas é evidente dos exemplos citados que o envolvimento de especialistas deste setor está se tornando mais importante para a formulação de legislação apropriada para os dias de hoje.

Urnas eletrônicas