Os autores do primeiro destes artigos (www.cic.unb.br/docentes/pedro/trabs/apagao.htm) são os advogados Marcos da Costa e Augusto Marcacini, respetivamente presidente e vice-presidente da Comissão de Informática da OAB-SP, a qual teria originado um dos projetos de lei de assinatura digital sendo discutidos na Câmara Federal. Neste artigo é apresentada uma série de críticas jurídicas à MP, apontando conflitos entre suas provisões e a legislação vigente a respeito de contratos e de provas em processos civis. Os autores reservam palavras particularmente duras para a delegação de poderes tipicamente legislativos ao Comitê Gestor criado pela MP, e especialmente sua dependência técnica da CEPESC, o que subordinaria assuntos de segurança comercial e privada a um órgão ligado à segurança nacional. Finalmente levantam objeção à criação de novo monopólio estatal, na sua opinião dispensável, de certificação de assinaturas.

Em sua última coluna (silviomeira.no.com.br), Sílvio Meira tece outras críticas pertinentes da MP 2.200, especialmente a seu propósito de criar por decreto uma infra-estrutura muito grande, sem ter antes experimentado seu uso em escala menor, e sem poder contar com recursos humanos qualificados em quantidade suficiente. Adicionalmente, ele mostra que não seria apropriada na prática a criação de uma única árvore de autoridades certificadoras, com uma única raiz, pois as necessidades de segurança de instituições diferentes dificilmente se enquadrariam num esquema tão simples. Cita o exemplo dos EUA, onde o próprio governo federal resolveu unificar as ICPs dos diferentes departamentos do governo, não através de uma ICP única, mas estabelecendo comunicação entre elas, usando o conceito de uma "ponte". Em vez de uma árvore única, eles têm uma floresta de árvores, cada uma com suas características e administração próprias.

Finalmente, o professor Pedro Rezende da Universidade de Brasília mantém um sítio dedicado a assuntos de criptografia e segurança computacional (www.cic.unb.br/docentes/pedro/segdadtop.htm), incluindo vários artigos da sua própria autoria, e o primeiro artigo citado acima. Neste fim de semana, numa mensagem que circulou numa lista de discussão da Sociedade Brasileira de Computação, ele chamou atenção à inclusão na regulamentação interna provisória da ICP-Brasil da exigência de prover um "esquema de recuperação de cópia da chave privada (de sigilo) do usuário, sendo obrigatória a cópia da chave privada de sigilo do usuário pela AC (autoridade certificadora) ou por sua (própria) organização", o que ele chama de "caução das chaves" (www.cic.unb.br/docentes/pedro/trabs/alertas.htm). Na minha primeira leitura um tanto apressada da documentação da ICP-Brasil, eu não havia percebido a inclusão desta previsão.

Para entender a "recuperação de chaves privadas", é necessário saber que as chaves criptográficas usadas são de dois tipos: para assinatura digital e para garantir sigilo. O primeiro tipo é usado apenas para autenticar a origem de documentos. O segundo é para garantir a confidencialidade (privacidade) da comunicação. O que o regulamento proposto está dizendo é que será obrigatório o depósito de cópia da chave privada de sigilo, ou com a AC ou com a organização do usuário, e que haveria mecanismos de "recuperar" esta chave à revelia do usuário, a serem usados, supostamente, apenas por determinação judicial. Em outras palavras, o mecanismo usado para garantir a privacidade de documentos eletrônicos teria uma "porta dos fundos", que permitiria quebrar o sigilo.

A possessão de cópia da chave privada de sigilo de alguém permite decifrar toda a correspondência sigilosa enviada para ele, desde que tenha sido cifrada com a chave pública correspondente. Representa a mais completa devassa da sua vida, que apenas excetua a correspondência sigilosa enviado por ele, a qual estaria sendo cifrada usando a chave pública do destinatário. Por outro lado, segundo as regras propostas para a ICP-Brasil, não seria facultada a recuperação de chaves privadas de assinatura digital, provavelmente porque estas servem como uma espécie de identidade pessoal, e não faria sentido sua recuperação por pessoa que não seja o dono, a não ser para falsificar a autenticidade de documentos.

A existência desta porta dos fundos tem a ver com o enfraquecimento proposital da proteção dada pelo uso civil da criptografia. Há vários anos e em diversos países os governos vêm lutando para tentar colocar de volta na garrafa o gênio de criptografia, que escapou da esfera militar para o mundo civil nos anos 70. Nas colunas de 28 de agosto e 4 de setembro de 2000 analisamos as relações entre as atividades dos setores de segurança nacional em certos países avançados e o combate ao uso livre da criptografia pela população. Normalmente, a iniciativa de propor limites ao uso de criptografia é assumida pela polícia, que alega sê-lo necessário para facilitar o combate ao crime organizado e ao tráfico de drogas. Nos EUA, por exemplo, houve várias tentativas de obrigar o depósito da chave privada e possibilitar sua recuperação oficial, à revelia do seu dono, porém todas sem sucesso até o momento, por causa da reação forte da sociedade civil. Na Inglaterra, por outro lado, o governo teve mais sucesso ano passado e, a despeito das tradições supostamente liberais do país e da ampla oposição à medida na sociedade civil, forçou com sua maioria parlamentar a aprovação da lei RIPA, que criminaliza a recusa do dono de uma chave privada de sigilo a revelá-la, quando exigido judicialmente.

Há dois questionamentos do depósito e recuperação de chaves privadas de sigilo, um filosófico, o outro prático. O filosófico questiona se o indivíduo deveria ter o direito absoluto a sigilo, e nos parece que negar este direito poderá invalidar outros direitos humanos normalmente considerados invioláveis, como de não ser obrigado a se incriminar, ou de falar o que não quer revelar. O questionamento prático se refere à própria segurança da chave privada, confiada a uma entidade burocrática. Por que devemos supor que, no mundo real, o mecanismo de recuperação da chave vai ser usado apenas com a anuência do dono, ou por determinação judicial? A mera existência deste mecanismo chama a atenção de bisbilhoteiros de várias matizes. A atual profusão no país e na imprensa de grampos de conversas telefônicas revela a escala industrial que assumiu a escuta clandestina. Qual é a garantia que os profissionais que conseguem realizar estes grampos não iriam ter sucesso semelhante em conseguir acesso às chaves privadas armazenadas em lugares bem anunciados? E seria tão difícil uma agência do governo conseguir uma ordem judicial para recuperar uma chave legalmente, quando há tantos juizes que poderiam expedi-las? Para vários observadores, não é claro que este país precisa institucionalizar um mecanismo de recuperação de chaves criptográficas, e certamente não deveria fazê-lo sem o devido debate público no parlamento.