Treta da semana: neutra, mas pouco.

No dia 9, a Google e a Verizon emitiram um comunicado conjunto acerca da neutralidade da Internet (1). Este é um velho problema que se tem arrastado, de decidir se os provedores de acesso podem discriminar o tráfego que retransmitem. Por exemplo, um provedor poderia cobrar extra para deixar consultar a Wikipedia ou, como a Verizon já fez nas ligações móveis, proibir streaming e P2P (2). Para as ligações fixas o comunicado é claro. Não deve haver qualquer discriminação na Internet e os provedores devem permitir por igual todo o tráfego legal.

E tem mais uma coisa que acho excelente. Exigem transparência para que os clientes saibam o que estão a comprar. O que faz muita falta por cá, com a treta do tráfego ilimitado. É impossível um ISP vender tráfego sem limites a todos os clientes com taxas de contenção de 1:20 ou 1:50. Se vendem dezenas de vezes mais largura de banda do que têm disponível não pode estar toda a gente a usar a ligação ao máximo. O que é razoável. Não faz sentido explorar a infraestrutura assumindo que está tudo sempre a maximizar o tráfego. Teríamos de pagar dezenas de vezes mais pelo acesso à Internet se fosse assim.

Por isso têm de limitar o tráfego que dizem ilimitado, e a Netcabo até aproveitou para chamar idiotas aos clientes. A Política de Utilização Aceitável (PUA) dizia que «A disponibilização de Produtos Netcabo sem limites de tráfego associados está sujeita a níveis de utilização razoáveis»(3). Mas a Netcabo recusava-se sempre a dizer qual era o limite da utilização razoável para o tráfego ilimitado (4), talvez julgando que assim podia insistir que o tráfego era ilimitado. Por queixa de clientes, foi obrigada a retirar essa cláusula da PUA (5). Mas continua a fazer precisamente o mesmo, só que agora pela calada (6).

Esta aldrabice devia acabar. Acabar a treta do tráfego ilimitado e obrigar os ISP a dizer o que vendem. Alguns já já têm um asterisco para a nota de rodapé com o limite para o tráfego ilimitado, o que já não é tão mau mas mesmo assim engana alguns. Mas se bem que este limite da Netcabo nunca me tenha feito diferença – por relatos de alguns afectados parece que ronda os 250GB por mês, muito mais do que eu uso – o tráfego que usamos está constantemente a aumentar, e não saber até onde se pode ir é um problema. É bom ver que companhias de peso como a Google e a Verizon concordam que isto não pode ser assim.

No entanto, este post é sobre as coisas más do tal comunicado. Começa pela neutralidade na rede fixa ser só para os “conteúdos legais”. Isto cheira a esturro porque dá ideia que é o ISP quem decide o que é legal. Além de abrir um grande buraco no princípio da neutralidade – basta decidirem que o tráfego P2P é maioritariamente ilegal para o proibir – dá ao fornecedor deste serviço um poder que só devia ser exercido pelo sistema judicial. Como se os CTT abrissem as encomendas a ver se estamos a enviar fotocópias de livros ou a PT escutasse os telefonemas para saber se estamos a tocar música pelo telefone, distribuindo conteúdos protegidos sem autorização.

Mencionam também que o princípio da neutralidade se aplicaria apenas na Internet, a rede pública, mas não a eventuais redes privadas que os ISP quisessem criar usando a mesma infraestrutura. Por exemplo, distribuição de filmes, serviços de educação, jogos online ou assim. O que abre outro buraco na neutralidade, se um ISP puder dizer que jogos ou streaming passam pela rede privada.

Mas o ponto pior, e mais hipócrita, é o princípio da neutralidade não se aplicar ao acesso por redes móveis. É hipócrita porque a Google e a Verizon começam por defender a neutralidade da Internet dizendo que esse princípio foi responsável pelo seu sucesso e crescimento espantoso, mas depois dizem que não deve haver neutralidade no acesso móvel porque é um mercado nascente e em crescimento. Uma treta óbvia, mas como a Verizon vende telemóveis com o Android da Google, ambas querem manter o controle sobre o tráfego nas redes móveis. Que cada vez vai ser maior. Daqui a uns anos, quando qualquer telemóvel estiver permanentemente ligado à Internet, ninguém vai querer pagar chamadas telefónicas se pode usar o Skype ou assim. Nessa altura os operadores de redes móveis vão dizer lamento, mas Skype por aqui não passa.

Isto é muito mau porque o princípio da neutralidade da rede não é uma mera questão de mercado, de preços e muito menos para descartar quando dá jeito à Google e a Verizon. A neutralidade destes serviços é uma salvaguarda importante da nossa privacidade e liberdade de expressão. Quem transporta as cartas não as deve ler. Quem fornece redes telefónicas não deve escutar as conversas. E quem providencia ligações à Internet não deve controlar o que estamos a enviar. É indispensável que a lei especifique que o provedor aluga o canal de comunicação. Que permita cobrar pelo volume de tráfego e distinguir tráfego com custos diferentes, por exemplo nacional e internacional. Mas que o proíba de bisbilhotar a informação que partilhamos.

E é preciso começar já a pressionar os legisladores. Cada vez mais é pela Internet que vamos comunicar. E é óbvio que não podemos contar que empresas como a Google e a Verizon zelem pelos nossos direitos.

1- Policy Blogs, Google e Verizon (os dois têm a mesma coisa).
2- TorrentFreak (2007), Verizon Bans P2P, Streaming Services and Online Gaming.
3- Aberto até de Madrugada, 27-10-2008, ZON - A Aventura Continua, com a PUA
4- Fórum ZON, Tráfego Ilimitado – Não
5- Aberto até de Madrugada, 28-8-2009, Netcabo acaba com a PUA.
5- Aberto até de Madrugada, 7-1-2010, PUA Regressa à ZON Netcabo.

Patentes e software.

Uma patente é um monopólio sobre a utilização de uma inovação, concedido em troca da publicação detalhada daquilo que se inventou. O nome vem da mesma raiz do adjectivo, “patente”, que qualifica algo visível a todos, porque é precisamente esse o seu propósito. A concessão de patentes visa incentivar a divulgação das invenções cobertas.

Um exemplo histórico é a “Carta de Patente” concedida por Henrique VI a João de Utynam, em 1449. O rei britânico concedeu ao artífice, por um período de vinte anos, o direito exclusivo de usar a técnica de fabrico de vidro colorido que este trouxera da Flandres. Em troca, o vidreiro teria de ensinar a técnica aos artesãos locais. Teria de tornar patente, aberto a todos, aquilo que de outra forma ficaria em segredo. Esse foi o propósito original das patentes e é ainda o mais importante.

Outro efeito do sistema de patentes é incentivar o investimento em inovações que sejam muito dispendiosas de desenvolver. Mas este incentivo é relevante apenas em áreas muito restritas. Como na indústria farmacêutica, por exemplo, onde se exige testes clínicos dispendiosos antes de autorizar a venda de um fármaco, sendo preciso compensar esse investimento privado cedendo algo em troca. Mas à parte de casos extremos como este, a vantagem de inovar é incentivo suficiente para investir em investigação e desenvolvimento e não é necessário conceder monopólios.

Além disso, conceder um monopólio incentiva essa inovação à custa de impor restrições a outras inovações possíveis. E quanto mais patentes se concede maior é esse desincentivo. Por isso a concessão de patentes devia ser muito limitada excepto se necessária para que o invento seja revelado. Quando o segredo é a alma do negócio é que vale a pena comprar a alma do negociante pagando a patente.

Na prática foi assim durante muito tempo. Tradicionalmente, as patentes cobriram processos de fabrico ou transformação de bens materiais que seriam fáceis de manter secretos e cujo âmbito era restrito e bem definido. A patente cobria aquele produtos químico, o fabrico daquela máquina e assim por diante. Leis naturais, descobertas e conceitos abstractos estavam fora do sistema não só pela sua amplitude mas também por não ser preciso comprar o segredo a ninguém. Mas isto mudou radicalmente nos últimos anos com as patentes sobre software (1), tão prejudiciais quanto absurdas.

A patente só cumpre o seu propósito se houver uma diferença clara entre a invenção e a descrição da invenção. Henrique VI concedeu um monopólio sobre o fabrico do vidro e, em troca, recebeu uma descrição detalhada de como o vidro se fabrica. Mas um programa informático é a descrição formal de funções algébricas, escrita numa linguagem que o computador pode interpretar. Por isso uma patente de software concede um monopólio sobre a mesma descrição que a patente devia tornar acessível. É um negócio absurdo. Não só por ser desnecessário pagar a quem vende software para que divulgue os algoritmos, pois estes estão descritos em detalhe em cada ficheiro vendido, como porque se paga essa descrição cedendo todos os direitos sobre ela. É como dar dinheiro ao padeiro, deixar lá o pão e ainda prometer não comer pão durante vinte anos.

O problema fundamental de aplicar estes mecanismos à informática, tanto patentes como copyright, é que todo o conteúdo digital é álgebra. São números e operações sobre esses números num formalismo em que dados e processos não se distinguem (2). Uma função algébrica é redutível a um número, um número é redutível a uma função algébrica, e a correspondência entre ambos é arbitrária. Por isso é impossível fixar que número corresponde a que processo ou à descrição de que obra, quais os números que são dados e quais são algoritmos e que números hão de pertencer a que inventor ou empresa.

E há duas razões para verem nisto mais do que a divagação ociosa de um blogger à procura de tema. Estas leis e decisões judiciais impõem restrições às contas que é legal fazermos com os nossos computadores, aos números que neles guardamos e à informação que trocamos entre nós. Não são leis só para quem tem fábricas ou empresas. São leis que nos afectam a todos. E, pior ainda, esta situação tem sido criada, e continua a ser agravada, à margem da democracia. É tudo decidido por lobbies, dos clubes de vídeo à Microsfot, e por advogados cujos honorários dependem muito mais dos litígios que da inovação tecnológica. Convém lembrar-lhes que a álgebra é de todos.

1- Não só pela sua natureza como pelo número. Se tiverem uns minutos, este documentário vale bem a pena.
2- Por estranho que pareça, matematicamente números inteiros ou operações sobre números inteiros são o mesmo. Sobre isto, recomendo este artigo no GrokLaw. É extenso e algo técnico mas excelente para perceber o que é a informática e porque isso importa para estas coisas.

Como usar o Facebook.

Sou um novato no Facebook. Não tenho dicas para plantar couves mais depressa ou esconder carros blindados. Mas tenho uma ideia do que está por trás da interface e para onde vai cada click, foto e tecla que lhe mandamos.

A primeira impressão que temos quando criamos uma página no Facebook é que nos tornámos clientes de uma grande empresa que nos presta esse serviço. Gratuitamente. Maravilha. É uma impressão errada. O Facebook, tal como o Blogger, o YouTube, o Google e tantos outros, são empresas e têm clientes, é certo, mas os clientes não somos nós. São quem lhes paga os anúncios. Nós somos o produto. O Facebook é uma frota de pesca, as empresas que lá anunciam compram o peixe e nós somos sardinhas. Pensem nisso sempre que lá forem. “Sou uma sardinha; isto é a rede”. É meio caminho andado para evitar dissabores.

Outra falsa impressão é a do Facebook ser um sítio onde conversamos com amigos e lhes mostramos coisas giras. Daquelas que se mostra a amigos, em sussurros no café ou gargalhadas na sala de estar. Mas enquanto nós queremos partilhar certas coisas só com algumas pessoas, ao Facebook interessa é atrair gente com os detalhes da nossa vida privada. Quanto mais olhos mais anúncios e mais negócio. É por isso que as opções de privacidade estão todas, por omissão, no equivalente WWW das cuecas à mostra*. E se bem que haja muitas opções para trancar e isolar a informação (1), no fundo vai tudo parar aos servidores do Facebook e eles lá fazem daquilo o que quiserem.

E lembrem-se do logout. É no menu “Account”, a última opção. Depois de ver o que os amigos andaram a fazer, responder a comentários e pedir um balde para ordenhar a vaca é sempre bom terminar a sessão. Não só evita que alguém use o computador para remodelar o vosso perfil mas também que o Facebook vos siga pela Internet e vá instalando coisas sem que lhe peçam. Um “erro”, segundo os responsáveis (2), mas “erros” destes acontecem com alguma frequência. E descuidar-se na 'net é como descuidar-se na piscina. Espalha-se e pronto, não há nada a fazer (3).

Não quero dizer que o Facebook seja mau. Apenas que é público. Aquelas opções todas parecem proteger os nossos dados mas, na realidade, tudo o que lá pomos deixa de estar sob o nosso controlo. Ainda assim, o Facebook é bom para encontrar pessoas que já não vemos há tempos, fazer novos amigos, partilhar ideias e discutir coisas. Só não é o sítio certo para contar a bebedeira da semana passada, dizer com quem se namora ou deixou de namorar, nem mostrar fotos que não se quer que o patrão veja. Se encararmos todas estas redes sociais como sítios públicos (4) podemos tirar bastante proveito delas sem chatices. Nem é preciso andar disfarçado. Basta só partilhar lá o que não nos importaríamos de partilhar com estranhos na rua.

*Sei que hoje em dia isso já não quer dizer muito, mas foi a analogia que me ocorreu. Estou a ficar velho...
1- AllFacebook, 10 New Privacy Settings Every Facebook User Should Know
2- MacWorld, Facebook's new features secretly add apps to your profile
3- The Independent, Facebook can ruin your life. And so can MySpace, Bebo...
4- Pelo menos até o Diaspora estar operacional.

Document Freedom Day.

Foi ontem, dia 31 de Março, e já não vou a tempo de celebrar (1). Mas ainda vou a tempo de me gabar.

Este ano lectivo deixei de vez o Office da Microsoft e já só uso o OpenOffice. Disponibilizo os slides das aulas em ODF e PDF e os vídeos vão codificados com Theora e Ogg Vorbis em Matroska. Isto pode parecer Grego mas quer dizer que é tudo formatos abertos, livres de patentes e sem restrições nem complicações legais. E gratuitos. E assim pude passar a usar o Kubuntu nas aulas sem ter problemas com os formatos dos ficheiros e poupar no imposto Microsoft do portátil (2).

Para quem quiser, ficam os links:

Kubuntu.
OpenOffice, em português.
Página sobre Theora na Wikipedia, com ligações para leitores e codificadores.
E o RecordMyDesktop para criar vídeos com apresentações ou aulas.

1- documentfreedom.org, via o FriendFeed da Paula Simões
2- Não quero imposto M$!

Como funciona o BitTorrent.

No link abaixo podem ver uma animação ilustrando o protocolo BitTorrent, e que serve para perceber o P2P em geral. A animação começa com dois seeds, que têm o ficheiro completo, e dez peers, que querem o ficheiro e começam sem nada. Primeiro os seeds copiam fragmentos do ficheiro para alguns peers. Depois, quando os primeiros peers já têm um bloco completo começam a copiá-lo para outros até que toda a rede se enche de cópias de fragmentos a passar de um lado para outro.

Com as teclas S e P podem acrescentar seeds e peers, e com a tecla R retirar um participante ao acaso. Antes de passar ao link, gostava de salientar dois aspectos da partilha P2P. Um é a sua eficiência quando comparado ao sistema clássico de cliente e servidor, no qual um nó central envia cópias completas a cada um que as peça. Nesta animação pode-se ver a aceleração exponencial da cópia conforme mais peers obtêm blocos para partilhar. O outro é que não há um participante que envie aos outros o grosso das cópias. Os seeders têm um papel mais importante ao início, mas rapidamente o tráfego é dividido igualmente por todos os participantes. Estes aspectos são importantes para perceber a futilidade do combate ao P2P.

E agora, sem mais demoras: BitTorrent!

Nota: julgo que isto não dá com o Internet Explorer, pelo menos com as versões que não suportem a tag <canvas>.

Via TorrentFreak.

Symbian.

O Symbian é o sistema operativo mais usado em telemóveis e smartphones. Foi desenvolvido na Symbian Ltd, uma empresa criada em 1998 por uma parceria entre a Psion, a Ericsson, a Nokia e a Motorola, e descende do sistema operativo EPOC da Psion. Em 2008 a Nokia comprou a Symbian Ltd e estabeleceu a Symbian Foundation para continuar o desenvolvimento e tornar este sistema operativo em software de código aberto.

Hoje concluíram essa parte:

The Symbian Foundation offers free code to everyone to enable them to contribute openly to the future of mobile

Treta da semana: iPad

A Apple lançou esta semana o iPad, que é basicamente um iPhone gigante. Como era de esperar da Apple, é imensamente cool e integra-se sem falhas com as outras iCoisas todas. É um ecrã táctil com pouco mais de um centímetro de espessura, 25 cm de diagonal e menos de um quilo de peso. Gostava ter um computador assim, se não fosse a aldrabice.

O iPad é um computador amputado. Apregoam-no como um meio excelente para navegar na Net mas, por causa da guerra entre a Apple e a Adobe, não é compatível com Flash. Mesmo não gostando de Flash parece-me que um browser sem Flash é uma treta. Não tem interface USB. No iPhone ainda havia a desculpa de ser um telefone, muito pequenino e assim. Mas o iPad tem o tamanho de uma revista. Cabia lá perfeitamente um buraquito ligar um pendisk, disco externo ou impressora. Não tem leitor para cartões de memória nem permite usar a rede para copiar ficheiros de outro computador. É como o iPhone. Para pôr algo no iPad ou no iPhone é preciso ir pelo iTunes e dá vontade de dizer iCaramba, que raio de coisa.

Mas a maior treta não é culpa da Apple. Isto funciona. Vendem hardware aleijadinho, prendem os clientes ás lojas da Apple e ganham imenso dinheiro. Espertos. A maior treta é que tanta gente aceita estas coisas. Não só da Apple. Os leitores de DVDs são fabricados para funcionar com discos de qualquer região mas, quando são vendidos, configuram-nos para só funcionar com os discos dessa região. Quem tem o Kindle aluga livros à Amazon convencido que os comprou e os telemóveis são quase todos vendidos presos a uma operadora.

É perigosa esta ideia de que o fabricante pode ditar como usamos o que é supostamente nosso. Não pela imposição de obstáculos técnicos, porque se os consumidores estiverem atentos e o mercado for competitivo esse problema resolve-se sozinho. Mas pela aceitação de obstáculos legais. O Artigo 218º do Código do Direito de Autor e Direitos Conexos estipula que «Quem, não estando autorizado, neutralizar qualquer medida eficaz de carácter tecnológico, sabendo isso ou tendo motivos razoáveis para o saber, é punido com pena de prisão até 1 ano ou com pena de multa até 100 dias.» Isto mesmo quando a neutralização é necessária para usufruir de um direito concedido pela lei, como fazer cópias de segurança dos jogos que se comprou ou para ver um DVD comprado no estrangeiro.

O sucesso comercial destas coutadas, dos telemóveis ao Kindle e iPhone, não é a causa do problema, mesmo que ajude a perpetuar o mal. O pior parece-me ser o desconhecimento das potencialidades desses aparelhos. Todos sabem que um livro tanto dá para ler no campo como na praia. Ninguém ia acreditar que o tabuleiro de Xadrez que comprou é incompatível com as Damas. Mas se o leitor de DVDs não dá para ver o filme comprado em Macau ou se o iPad só corre programas comprados no iTunes encolhem os ombros e pensam que tem de ser mesmo assim. Mas não tem. É aldrabice.

Links:
Guardian, Apple iPad: what it doesn't have, via o Friend Feed da Paula Simões.
Apple, iPad

Editado a 1-2-10 para corrigir um "cavia". Obrigado ao Mats pelo aviso.

Metáforas (ou censura para totós).

A Transportation Security Administration (TSA) faz parte do Department of Homeland Security. Foi criada depois dos ataques terroristas de 11 de Setembro de 2001 para assegurar a segurança dos transportes nos Estados Unidos. Há uns dias disponibilizaram uma versão do seu manual de operações num site governamental sobre oportunidades de emprego e, para não divulgar elementos críticos dos seus procedimentos de segurança, censuraram partes do documento. Para isso acrescentaram ao ficheiro .pdf uns rectângulos pretos sobre o texto a censurar, impedindo toda a gente de ler esses trechos desde que não saiba seleccionar, copiar e colar (1). Porque o texto todo continuava lá, debaixo dos rectângulos.

O problema é comum. Muita gente não percebe que aquilo que vê no computador é fictício. São metáforas(2). Janelas, desktop, a distinção entre ficheiros de imagens, de som ou texto, as pastas, as ligações para "ir" de um sítio para o outro. É tudo faz de conta. São só filas de números. O monitor cria a ilusão de tinta no papel mas essa é apenas uma de muitas formas de representar os bits do ficheiro. E o rectângulo preto por cima é só mais uns números.

Isto vai mais fundo que a incompetência de alguns funcionários públicos. Os legisladores proíbem a alteração de software por parte do comprador e punem a neutralização de restrições digitais. Mas estas acções consistem apenas em fazer contas e substituir valores em listas de números (3).

As regulações que tratam o download de uma maneira e o streaming de outra baseiam-se também na ilusão de uma diferença onde não há nenhuma. Em ambos os casos o nosso computador recebe uma sequência de bytes e guarda-a localmente. A diferença está apenas no utilizador, que no caso do streaming desconhece onde o ficheiro ficou guardado (4). Por outro lado, as metáforas da interface levam o legislador a confundir as sequências de números que descrevem uma obra com a obra em si. Mas a relação entre esses números e a obra é meramente convencional. Tanto podem representar algo semelhante ao que o autor criou como algo completamente diferente (5).

Não devia haver dúvidas. Como os nomes indicam, ficheiros digitais são números e computação é fazer contas. Mas a bonecada de janelas, e a aparência de coisas familiares como papeis escritos, filmes e canções, vai continuar a enganar muita gente. Ao mesmo tempo que aumenta o custo da confusão. Não só para a carreira de funcionários menos cuidadosos e para algumas empresas de distribuição, mas também para a sociedade e para as liberdades de todos nós.

1- Wired, TSA Leaks Sensitive Airport Screening Manual, e BoingBoing, TSA can't redact documents properly, releases s00per s33kr1t operations manual. Via Schneier on Security
2- Neal Stephenson, In the Beginning was the Command Line.
3- Um exemplo antiguinho, a profissionalização do Windows XP Home Edition.
4- Se usarem o Opera para ver um vídeo no YouTube, por exemplo, vão à pasta "Opera\profile\cache", ordenem por data de modificação, e o ficheiro maior entre os mais recentes é o vídeo. Basta copiar para outro lado qualquer e acrescentar a extensão .flv.
5- O Photosounder é um programa que interpreta imagens e sons indiscriminadamente, usando uma representação gráfica dos sons que permite ouvir fotografias como música ou ver música como imagens. E aqui (.pdf) um artigo sobre recuperação de música gravada em discos de vinil usando uma câmara de vídeo e processamento de imagens digitais.

Distributed Hash Tables.

Para guardar registos de pessoas podemos usar 26 pastas, separando as folhas pela primeira letra do apelido, por exemplo. Isto facilita a tarefa de encontrar um registo porque só precisamos procurar entre os que começam pela mesma letra. Mas isto é pouco eficiente porque há letras muito mais frequentes que outras. Algumas pastas vão ficar mais grossas, dar mais trabalho a percorrer e, porque é mais comum que os apelidos comecem com essas letras, será nessas pastas que vamos encontrar a maior parte dos nomes que tivermos de procurar.

A pesquisa é mais eficiente se distribuirmos melhor os registos. É aqui que entram as funções hash, para fazer batata-palha das regularidades que desequilibram o arquivo. Por exemplo, podemos converter cada letra num número, com o A correspondendo a 1, o B a 2 e assim por diante, somar os valores de todo o nome e calcular o resto da divisão por 26. O número resultante, de 0 a 25, indica em que pasta guardar aquele registo*. Assim a distribuição pelas pastas será mais uniforme, poupando trabalho na pesquisa. É claro que, para nós, fazer estas contas dá mais trabalho que procurar folhas nas pastas. Para o computador já não e, por isso, as tabelas de dispersão (hash tables) servem principalmente para organizar informação digital. Mas, para este post, o que interessa é a ideia.

E uma coisa boa nesta ideia é que a tabela pode ser distribuída. Em vez de uma pessoa ter as pastas todas podemos dá-las a um grupo de pessoas. Cada uma tem um número aleatório de 0 a 25 e guarda as pastas que ficam mais próximas do seu número que do número de qualquer outro participante. Além disso, cada participante sabe o telefone da pessoa com o número mais próximo acima do seu e da pessoa com o número mais próximo abaixo do seu, imaginando que o circulo dá a volta no 25, recomeçando do zero. Assim temos um anel telefónico de várias pessoas, cada uma com o contacto dos seus dois vizinhos.

Para consultar um registo nesta tabela distribuída calculamos o valor do hash do nome. O tal número de 0 a 25. Depois telefonamos a qualquer uma destas pessoas. Essa vê se o valor corresponde a uma das suas pastas. Se corresponder, dá-nos a informação que queremos. Se não corresponder, passa a chamada para o vizinho cujo número estiver mais próximo do hash que lhe demos. Este fará o mesmo até a chamada chegar a quem tem a pasta certa.

Se em vez de pessoas usarmos computadores, ainda melhor. Podemos ter uma função de hash com números maiores. Tipicamente, em vez de 26 valores são números com cinquenta dígitos. Assim cada valor corresponde a uma única entrada na tabela, em vez de uma pasta inteira. O reencaminhamento das mensagens é automático e praticamente instantâneo, pela Internet. Cada computador pode guardar não só os contactos dos seus vizinhos mais próximos mas também vários outros, acelerando a pesquisa. Com informação redundante, tendo vários computadores guardando os mesmos dados, sempre que um desaparece da rede a falha pode ser colmatada pelos vizinhos, trocando os dados necessários para manter toda a tabela disponível. E quando entra um participante novo, procura um cantinho onde se meter e os seus vizinhos dão-lhe uma parte da tabela para guardar.

É isto que está a tramar as editoras de discos e filmes. Quando alguém quer partilhar um ficheiro, o seu programa calcula o hash e gera uma ligação que pode ser publicada em qualquer sítio. Por exemplo, este é o URI ed2k de um ficheiro do filme District 9:

ed2k://|file|District_9_(2009).R5.avi|1474425934|F13EBED7C5C94A19D7872680A20BAD10|/

A primeira parte é o nome do ficheiro, que pouco importa porque o hash é calculado pelo ficheiro em si. Em seguida o tamanho em bytes e, no fim, o hash identificando este ficheiro na rede ed2k. Quem tiver este ficheiro em partilha – com a devida autorização dos detentores de direito e a bênção dos mapinetas, é claro – envia para a rede uma mensagem com o seu endereço e o hash do ficheiro. Esta é reencaminhada até ao computador que, naquele momento, tiver a seu cargo a gama de valores que inclui este hash. É esse computador que vai também receber todos os pedidos de quem quiser o ficheiro, pondo-os assim em contacto com quem o tem.

O Napster morreu quando encerraram os seus servidores, mas com uma DHT a rede deixa de depender de um computador central que registe quem tem quais ficheiros em partilha. Graças aos esforços da indústria discográfica, que motivaram o trabalho gratuito de muitos programadores, agora a RIAA pode fechar os servidores e trackers que quiserem. Já não são necessários.

Para os poucos leitores que tiveram paciência de ler este post até aqui, deixo uma modesta recompensa. Agora quando carregarem no botão Kad do eMule ou repararem no plugin Distributed DB do Vuze já sabem o que é. O que é mais que a grande maioria dos mapinetas que ainda andam a tentar fechar servidores e páginas da Internet, julgando que isso faz alguma coisa às redes de partilha.

* Este é um hash muito pobrezinho, só para explicar a ideia. Se quiserem ver como é um mais a sério, a Wikipedia tem artigos sobre os Secure hash algorithms e os Message digest algorithms, por exemplo.

Bom e barato, X

A propósito do Gmail e da segurança da informação na “nuvem” (1), aqui ficam umas sugestões para a alternativa. Eu tento proteger os computadores contra infecções e ataques, levo a informação que preciso comigo em vez de a confiar a servidores online e tenho várias cópias actualizadas dos meus documentos para quando o hardware falhar.

Para proteger o computador uso o antivirus Avast! e a firewall Outpost da Agnitum. São ambos gratuitos, e apesar do Avast! exigir um registo anual, com o Mailinator não é preciso dar o nosso email. Gosto destes porque são leves, estáveis e versáteis. Pode-se instalar e esquecer ou, quem quiser, pode afinar uma data de opções. O Avast! tem módulos independentes de monitorização para email, chat e assim por diante. Eu desactivo todos menos a protecção da rede e da Web e, de vez em quando, ligo a protecção de acesso aos ficheiros.

O Outpost também é fácil de usar. Uma firewall protege o computador de maroscas remotas e, talvez mais importante, controla os programas que acedem à rede. Ao instalar é preciso avisar que o Avast! está instalado, para não haver conflitos, e quando algum programa acede à rede o Outpost avisa e pergunta se há de autorizar. Mas sugere regras adequadas para os programas mais comuns e, uma vez autorizados os programas que usamos, como browsers ou clientes de email, já só deverão aparecer novos avisos se instalarmos versões diferentes. Caso contrário, é porque algum programa está a tentar ligar-se às escondidas.

Com firewall, antivirus, e evitando abrir anexos de emails “CHEKC IT OUT!!!” enviados por algum “spamm2255”, é fácil manter os dados seguros contra ataques electrónicos. Ataques físicos exigem outro tipo de protecção mas, além de cadeados e portas, também nisto o software livre ajuda. Para guardar a maioria das passwords uso o Password Safe, que cria uma base de dados encriptada com os nomes de utilizador, palavras passe e endereços dos sítios onde nos autenticamos. Tem também um gerador aleatório de passwords, útil para resistir à tentação de usar a mesma em todo o lado. Com o Password Safe posso levar as passwords sem problemas.

E para proteger documentos, emails e outros ficheiros uso o TrueCrypt. A forma mais simples de o usar é para criar um ficheiro encriptado que pode ser montado como se fosse um disco ou partição. Quando montado, podemos copiar para lá quaisquer ficheiros ou abrir e editar os documentos lá guardados. Mas para montar o ficheiro encriptado é preciso introduzir a frase secreta que escolhemos para o criar, sem a qual não é possível decifrar o conteúdo. No portátil e discos que transporto fora de casa tenho estes contentores encriptados para os documentos privados. Quem quer mais segurança deve encriptar toda a partição do sistema operativo, porque este guarda informação acerca dos ficheiros que abrimos e pode guardar partes da memória dos programas que usamos. Mas quando a coisa mais secreta são emails e enunciados de exames não é preciso tanto. E se perder um pendisk ou me roubarem o portátil sempre fica a garantia que não conseguem ler os meus emails ou gozar com as fotos que tirei nas férias.

Protegido contra ataques pela rede e assegurada a privacidade dos documentos, resta estar preparado para quando o hardware falhar. Chamo a atenção para o erro de julgar que este “quando” é um “se”. É mesmo quando. Contem com isso. E para saber se está na altura de criar uma cópia de segurança pensem que é agora que o computador pifa e perdem tudo. Se isto assustar não adiem mais.

Um sistema RAID* é muito prático. Mas como os documentos que criamos tendem a ser uma fracção pequena do espaço total de disco, isto é mais para quem trabalha com vídeos, imagens ou outras coisas com ficheiros muito grandes. Para a maioria, é mais rentável trabalhar com os documentos num disco e manter uma cópia actualizada noutro disco**, que pode ser um disco externo, se bem que a transferência por USB seja mais lenta que entre dois discos internos.

Para isto pode dar jeito o WinMerge. Compara duas pastas, indica que ficheiros são diferentes e permite, com um click do rato, actualizar uma pasta com os ficheiros da outra. Com isto é só preciso ter alguns discos externos ou internos (ambos, de preferência) para manter cópias actualizadas e, de vez em quando, ir gravando para DVD para ter um historial das várias versões. A frequência e outros detalhes dependem das preferências e exigências de cada um e do tipo de trabalho que se faz. Mas a bitola é sempre a chatice que seria perder esses ficheiros.

* O redundant array of inexpensive disks usa vários discos como um só, ou distribuindo os dados para reduzir o tempo de acesso ou duplicando-os para resistir à falha de um dos discos, que até pode ser substituído sem interromper a utilização do sistema em implementações mais sofisticadas. Hoje em dia muitas motherboards permitem criar sistemas RAID, e há placas dedicadas por cerca de 20 ou 30 euros. O custo principal, num sistema RAID 1, é ter dois discos para usar só o espaço de um, pois toda a informação é duplicada.
** Dois discos diferentes e não duas partições do mesmo disco, que não adianta de nada se o disco tiver uma morte súbita.


1- Porque não uso o Gmail e Nas nuvens

Nas nuvens.

Esta rede de milhões de computadores tem um enorme potencial, uma nuvem de recursos de armazenamento, distribuição e computação onde podemos guardar informação, pesquisá-la, organizá-la e colocá-la ao alcance de todos. E é isso que devemos fazer. É uma tragédia que a lei o proíba, em muitos casos, concedendo monopólios legais sobre cópia e distribuição mesmo quando é para uso pessoal e sem fins comerciais. Não tem efeitos tão dramáticos como a guerra, a fome ou os muitos problemas da economia, mas é trágico por ter uma solução trivial. Basta que a legislação isente de copyright o uso não comercial para tornar a Internet numa biblioteca global onde tudo o que esteja publicado fique à disposição de todos.

Por isso sou a favor que se partilhe. Em blogs, P2P, YouTube e Twitter, tudo o que sirva para comunicar o que criamos e partilhar o que pensamos, temos, sabemos ou gostamos. Informação, ficheiros, o uso do nosso processador em redes de computação distribuída ou simplesmente o nosso espaço em disco em redes de partilha de ficheiros. Para tudo o que queremos partilhar esta “nuvem” é excelente, e devemos pressionar os legisladores para que se possa tirar o máximo partido deste meio de comunicação.

Mas não serve para o que queremos guardar para nós ou para o que seja privado, e muitos cometem o erro de confiar à nuvem os seus documentos pessoais, vídeos, fotos, email ou até as suas compras electrónicas. Recentemente a Amazon surpreendeu alguns clientes retirando-lhes do Kindle cópias do 1984 e Animal Farm. Estas pessoas confiaram num sistema em que aquilo que compram não fica seu, como acontece normalmente. O que lhes é vendido é uma licença de utilização e um ficheiro que ainda fica sob o controlo do vendedor. Os livros comprados para o Kindle não podem ser vendidos em segunda mão, emprestados, trocados por outros e, pelos vistos, a Amazon até pode revogar a venda, reembolsando os compradores e apagando os livros sem os clientes terem qualquer escolha (1).

A Paris Hilton e muitos na sua lista de contactos descobriram outro problema de guardar informação online. Nem foi tanto por ter passwords mal escolhidas ou pelos defeitos técnicos do sistema de segurança, se bem que podia ter sido. Neste caso, o problema foi que confiar os dados pessoais a uma empresa deixa-os à mercê de empregados aborrecidos, mal informados e desmotivados. O ordenado dos empregados da T-Mobile não chega para que se importem com a privacidade dos clientes do patrão ou a segurança do sistema (2).

A ideia de aproveitar a “nuvem” é evitar o investimento em infraestrutura, pagando apenas pelo serviço de armazenamento, largura de banda ou poder de computação. A Paris Hilton tinha fotos, vídeos e listas de contactos nos servidores da T-Mobile. Quem tem o Kindle pode guardar os seus livros nos servidores da Amazon e lê-los de onde quiser.Com o Gmail não é preciso guardar as mensagens antigas no disco nem fazer cópias de segurança. É cómodo e barato usar a infraestrutura que já existe na nuvem. E quando se trata de algo partilhado por todos e cuja preservação interesse a muitos, guardá-lo na nuvem é claramente a melhor solução. Seria um disparate cada utilizador da Wikipedia ter a sua cópia pessoal no disco. Ou na prateleira, como se fazia com as enciclopédias antigas.

Mas com informação pessoal esta comodidade acarreta riscos. O mais óbvio é o de alguém adivinhar a password, um risco que muita gente subestima. Mas há outros. Falhas no sistema de segurança, acesso indevido por parte de quem mantém o sistema ou conseguiu enganar quem mantém o sistema, venda da infraestrutura a outras empresas e assim por diante. Não quero dizer que nunca se deva usar algo o Gmail. o iTunes ou o Kindle, ou que nunca se deva guardar coisas em servidores online. Mas os riscos são difíceis de avaliar, e decidir se a comodidade compensa o risco parece-me muito mais difícil do que a maioria julga ser. Por exemplo, eu sei que o correio electrónico que tenho no meu PC só pode ser lido por agentes do estado com a autorização de um juiz. A polícia não pode vir aqui bisbilhotar só porque quer. Mas não faço ideia que protecção legal teriam as mensagens que eu guardasse nos servidores do Gmail, nem sei que direitos eu tenho, se é que tenho alguns, nessa jurisdição. E suspeito que a maioria das pessoas que usa esse serviço nem sequer pensou no problema.

E a informação na nuvem pode durar mais do que queremos. Há muitos blogs onde pais babados mostram fotos e relatam cada passo, doença, gracinha ou infortúnio dos seus rebentos. Como pai, compreendo a obsessão. Mas há que pensar que esse bebé sorridente vai ser um adolescente inseguro e, mais tarde, um adulto à procura de emprego, a exercer uma profissão, a pagar seguro de saúde e assim por diante. Alguém a quem talvez já não pareça boa ideia ter, ao alcance de todos, um relato tão detalhado da sua infância. E a facilidade com que se põe informação na nuvem esconde a grande dificuldade de a retirar de lá.

Não quero dar a impressão que sou contra a tecnologia. Pelo contrário. Viva a tecnologia. Mas a 'net é uma ferramenta poderosa e qualquer ferramenta poderosa exige cuidados. Como um berbequim. Dá imenso jeito quando sabemos o que fazemos mas não é uma coisa boa para se ir aprendendo com os erros.


Dois bons artigos sobre cloud computing:
Jonathan Zittrain no New York Times, Lost in the Cloud
E Bruce Schneier, no seu blog, Cloud Computing

1- The Register, Amazon vanishes 1984 from citizen Kindles. Obrigado ao Francisco Burnay pela notícia.
2- The Washington Post, Paris Hilton Hack Started With Old-Fashioned Con

Porque não uso o Gmail.

É conveniente, porreiro, gratuito e dá estilo. Quase todos os meus colegas o usam. De qualquer sítio onde tenham acesso à Internet – e hoje em dia é quase qualquer sítio – podem consultar todas as mensagens que receberam e enviaram, e todos os anexos, sem limite de espaço.

O problema é que qualquer pessoa com a password certa pode fazer o mesmo. O francês “Hacker Croll”, por exemplo, obteve acesso à conta de email de um empregado do Twitter indicando ao Gmail que se tinha esquecido da password. O Gmail enviou uma mensagem para um endereço secundário que o dono da conta tinha indicado. Mas como este era um endereço desactivado no Hotmail, o hacker pode criar novamente essa conta e obter o link para alterar a password da conta de Gmail da vítima.

O problema depois foi descobrir a password original, porque tendo a password alterada pelo hacker o dono ia descobrir que a sua conta tinha sido “raptada” assim que não conseguisse ler o email. Mas com acesso a todos os emails guardados o hacker descobriu várias mensagens de outros serviços que enviam a password ao utilizador. E era sempre a mesma. Arriscando, mudou a password da conta no Gmail para essa. E funcionou. O dono nem desconfiou. Puxando o fio à meada, a partir da conta de Gmail de um empregado do Twitter o hacker obteve centenas de documentos confidenciais da empresa (1).

O caso do Twitter revela o problema de ter tudo na Internet, acessível de qualquer sítio e protegido apenas por uma password. A empresa também usava vários serviços de colaboração e partilha de documentos que eram vulneráveis a qualquer pessoa que penetrasse a rede de confiança dos vários colaboradores. Ter todas as minhas mensagens acessíveis a todos é um risco grande e, além disso, é provável que eu dure mais que o Gmail. A Google não deve falir tão cedo, mas é raro uma empresa durar muitas décadas e nada garante que se mantenha proprietária do Gmail.

Um exemplo recente foi a falência da Clear, que facilitava a passagem pela segurança nos aeroportos. Os clientes forneciam à empresa vários dados pessoais, incluindo fotografia e impressões digitais, e a empresa disponibilizava esta informação aos serviços de segurança dos aeroportos nos EUA. Só que agora que a Clear fechou (2) não se sabe ao certo o que acontecerá a essa informação. Se um dia o Gmail for vendido ou a Google concluir que não dá negócio, o destino das muitas caixas de correio também será incerto.

Eu uso o email da Netcabo. É rudimentar, tem pouca capacidade e não é especialmente seguro. Mas como tiro de lá tudo cada vez que leio o email, mesmo que me cacem a password não ficam com grande coisa. E quando vou para algum lado posso levar uma cópia dos documentos e caixas de correio. São só alguns gigabytes, cabe num pendisk ou disco portátil. E vai tudo encriptado com uma frase secreta, que é tão fácil de recordar como uma palavra mas muito mais difícil de adivinhar.

A conveniência de ter tudo online é sedutora. Há muita gente que deixa o seu email, fotografias, documentos e o que calhar em servidores alheios porque é prático. Mas eu prefiro não arriscar. Se precisar, posso levar tudo comigo e, se bem que a protecção seja sempre por uma frase ou palavra secreta, o acesso é diferente. É mais fácil ir à página do Gmail que roubar um pendisk.

1- Tech Crunch, The Anatomy Of The Twitter Attack
2- www.flyclear.com, via Schneier on Security

Cartão de Cidadão: Assinatura Digital.

A assinatura digital de documentos com o CC depende de um sistema de Public Key Infrastructure(PKI). Neste sistema de cifras assimétricas, cada utilizador tem uma chave privada que permite criar as assinaturas digitais. Estas são sequências de bytes calculadas a partir de outras sequências quaisquer. Por exemplo, pode-se escrever um documento de texto e assiná-lo digitalmente calculando a sequência de bytes que lhe corresponde, usando a chave privada.

Associada a cada chave privada há uma chave pública que permite verificar se a assinatura digital é legítima mas que não permite calculá-la. Assim, desde que a chave privada se mantenha secreta, tem-se um sistema seguro de validação pública de assinaturas digitais. Todos podem verificar que um certo documento foi assinado por mim porque têm acesso à minha chave pública, mas só eu posso assinar por mim porque só eu tenho a minha chave privada, sem a qual é inviável calcular essa assinatura digital.

No caso do CC, quando activamos a assinatura digital é emitido um certificado associando a nossa chave pública aos nossos elementos de identificação, como o nome e o número do cartão. Este certificado é assinado digitalmente por uma entidade certificadora que tem de ser aprovada pelo Sistema de Certificação Electrónica do Estado. Isto garante que aquela chave pública é mesmo de quem se diz ser. E a chave privada não sai do CC. Está guardada no chip, é teoricamente inacessível, e é o próprio chip que calcula a assinatura digital. Para gerar a assinatura digital é preciso enviar ao chip a informação acerca do ficheiro a assinar (um hash do ficheiro*), o chip exige o PIN e depois devolve a assinatura calculada. Conceptualmente, este sistema é seguro. Se for usado em ambiente seguro. E aí está o problema.

Quando assinamos com caneta no papel vemos o que estamos a assinar. Quando assinamos um documento digital carregamos num botão, escrevemos o PIN, um conjunto de dados é enviado para o CC e sai uma assinatura digital. De quê, não sabemos. Temos de confiar nos programas que usamos, e os nossos computadores não são seguros. Estão ligados à Internet, muitas vezes sem protecção adequada, e facilmente acabam a correr programas que não queremos. Um programa malicioso que corra oculto no nosso computador pode interceptar o nosso pedido de assinatura digital, guardar o PIN e, sempre que tivermos o CC no leitor, usá-lo para assinar qualquer documento em nosso nome e sem o sabermos.

A assinatura electrónica tem carácter probatório e impede o repúdio do documento assinado. É considerável o potencial criminoso de uma rede com milhares de computadores infectados, cada um capaz de assinar digitalmente documentos em nome dos detentores dos cartões mas a mando de quem controla o programa. E para implementar isto nem é preciso roubar cartões ou quebrar mensagens cifradas. Basta enganar o utilizador. Curiosamente, o manual do middleware do CC exprime uma preocupação semelhante, sem bem que num âmbito demasiado restrito:

«O parâmetro dwParam = HP_HASHVAL é implementado mas deve ser usado com cuidado. Este parâmetro foi definido de forma a dar às aplicações a possibilidade de assinar hash values, sem ter acesso à base data. Porque a aplicação (e muito menos o utilizador) não pode ter ideia do que está a ser assinado, esta operação é intrinsecamente arrisacada [sic].» (1)

O problema fundamental não é a implementação desse parâmetro na função CryptSetHashParam. O problema é ter um cartão que cada cidadão supõe ser seguro mas que vai ser usado em qualquer computador pessoal, com qualquer software que apareça e em qualquer balcão por pessoas que não conhecem as vulnerabilidades deste sistema de segurança.

* Na documentação do middleware para o CC recomendam o SHA-1, que já desde 2005 se sabe não ser tão bom quanto devia ser: Bruce Schneier, Cryptanalysis of SHA-1.

1- Este manual, escrito à pressa e até com partes em Inglês que ficaram por traduzir, pode ser descarregado na página dos manuais técnicos do Cartão de Cidadão. O trecho citado está na página 12 do pdf.

Cidadão electrónico.

Já tenho o meu Cartão de Cidadão (CC). Cheguei às 8:20, dez minutos antes da abertura, para me despachar. E fiz bem. Às 8:35, quando entrei para tirar a senha, estavam cinquenta pessoas em fila atrás de mim. Infelizmente, quando lá cheguei já estavam 150 à minha frente. Mas em pouco mais de duas horas fui atendido.

Bom dia, sentei-me, entreguei a senha e a parte da carta com o número do processo. A senhora levantou-se para ir buscar o cartão e eu pus na mesa os vários cartões que teria de entregar para invalidar e o papelinho com os códigos virados para baixo, tudo junto a mim. A senhora entregou-me o CC, pediu-me que conferisse os dados e, enquanto eu comparava o número no CC com o do BI, ela veio pescar a folha dos códigos e começou a escrever coisas no computador. Em vez de protestar decidi ver o que ela fazia. Pôs o cartão no leitor e pediu para eu pôr o indicador no quadradinho enquanto, com os meus códigos à sua frente, escrevia no computador. O monitor estava virado para ela e eu não vi o que ela fez. Perguntou se eu queria activar a assinatura digital. Disse que não, obrigado, fazia isso mais tarde. Furou os outros cartões, devolveu-me tudo e bom dia, fui-me embora.

Ser a funcionária a introduzir os meus códigos foi certamente uma violação do procedimento. Se fizer queixa é provável que a repreendam. Mas não o fez por mal, não tenho receio que tivesse o Notepad aberto para copiar os meus códigos, e com o número de pessoas que tem de atender não é prático que cada uma digite o seu código. Episódios como este, ou como pedirem à Paula para ditar o código em voz alta (1), não são o problema. São meros sintomas de uma falha fundamental muito mais preocupante.

O elemento de segurança principal do antigo BI é a presença de quem se identifica com ele. Isto cria um risco a quem se tentar passar por outrem, o que exige uma falsificação muito boa. Porque mesmo que a probabilidade de ser apanhado seja pequena, se o criminoso tem de estar lá presente quando isso acontece, deixa de compensar. Os arabescos no cartão aumentam a probabilidade de detecção, que aumenta o risco de ser apanhado e, por isso, reduz a incidência deste crime.

Mas se aquilo que se faz passar por mim é um programa num servidor ucraniano, alugado com um cartão de crédito roubado, o risco para o criminoso é nulo. Pouco lhe importa se detectam a falcatrua e vale a pena tentar mesmo com pouca probabilidade de sucesso. O Rui Meleiros mencionou «Criar uma empresa online na Estónia» como exemplo “divertido” do que se pode fazer com o CC (2). A mim não me diverte a possibilidade de o fazerem em meu nome e eu só saber quando for preso.

Como a segurança do BI assentava na presença de quem se identificava nunca nos preocupámos com a informação no cartão. Mostrávamos o BI a quem o pedisse, dávamos fotocópias e o número não era segredo nenhum. Por isso pouca gente achará estranho que a funcionária da Loja do Cidadão peça os códigos e os digite. É o costume. Mas a autenticação remota exige mais cuidado e tem de ser muito mais segura. E, além do cartão em si, depende também do segredo dos códigos e de onde usamos o cartão.

Com o Multibanco já nos habituámos. Nunca lembraria àquela senhora pedir-me este cartão e o PIN, ou os códigos que uso para aceder à conta a partir de casa. E ninguém lhe daria tal coisa. Mas quem nos fornece um cartão Multibanco ou credenciais para home banking deixa claro que os códigos são para manter secretos, e nós sabemos que quem usar esse cartão pode tirar-nos dinheiro. É o contrário do que fazemos quando usamos o BI, que é para mostrar e dar número e fotocópias a quem pedir.

Além dos problemas de agregar informação pessoal de milhões de pessoas em bases de dados que podem ser cruzadas, o erro fundamental do CC é misturar duas formas de autenticação muito diferentes. Identificarmo-nos a outra pessoa, presencialmente e mostrando o documento de identificação. E a autenticação remota, perante uma máquina e por meio de códigos secretos e encriptação. Se nem os funcionários conseguem distingui-las não é de esperar grande segurança neste sistema, porque cada vez que alguém se enganar, ou for enganado, vai facilitar a falsificação da sua identidade*.

O chip, os PIN e os dados biométricos melhorariam a segurança do CC se este fosse usado apenas como o BI, para identificar quem se apresenta com o cartão. Esta devia ser a versão atribuída a todos os cidadãos. A identificação remota devia ser independente e opcional, porque requer um cuidado diferente daquele que se associa a um documento de identificação. E nunca devia ser exigido ao utente que levasse os códigos para onde quer que fosse. Não é por razões tecnológicas. Com certeza que, no papel, o sistema do CC parece seguro. É pelos hábitos de uso e pelos problemas práticos de implementação em larga escala, que dão esta confusão e põem em causa a segurança do sistema.

*Editado: tinha "furto de identidade", mas este problema é de fraude, não de furto, se bem que a falsificação de identidade possa facilitar o furto.

1- Paula Simões, 15-1-09, Cartão do Cidadão ou porque é que eu não confio no sistema
2- Comentário em !@#&$! para o cartão de cidadão.

A importância de ser aborrecido.

O Google Street View é um projecto controverso da Google que acrescenta ao Google Maps e Google Earth fotografias panorâmicas de ruas de várias cidades. A controvérsia vem de acusações de invasão de privacidade da parte de algumas pessoas cujas casas foram fotografadas. A mais recente foi a do casal Christine e Aaron Boring (1), que levaram a Google a tribunal por alegado “sofrimento mental” e prejuízos decorrentes da desvalorização da sua propriedade.

Concordo que é preciso cuidado com a informação pessoal na Internet e que o motor de pesquisa Google é uma ameaça potencial à nossa liberdade de manter a vida pessoal separada da vida profissional ou pública. Mas não são fotografias às casas, tiradas de um carro a circular na via pública, que ameaçam a nossa privacidade. Principalmente quando o Google Street View desfoca as matrículas e as caras das pessoas que apareçam na imagem (2).

Neste caso a juíza rejeitou todas as alegações dos queixosos, e com razão. Agregar e disponibilizar informação é uma coisa útil que a lei não deve impedir. Protege-se a pessoal exigindo apenas que esta informação não possa ser associada a uma pessoa sem o seu consentimento informado. Por isso coisas como os cartões de cliente dos supermercados ou os chips nas matrículas preocupam-me mais que um carro da Google passar aqui pela rua e fotografar o meu prédio.

Mas admito que a razão principal para este post foi o nome dos queixosos. Pôr a Google em tribunal por lhes fotografar a casa em vez de pedir para apagar a fotografia é mesmo coisa de aborrecidos.

1- BBC, 19-2-09, Judge dismisses Google lawsuit
2- Aqui um exemplo, Times Square em NY.

Liberdade para conversar.

O Bruce Schneier tem um artigo interessante sobre a necessidade de legislação que proteja a comunicação pessoal. Até agora as limitações tecnológicas impunham uma diferença entre o telefonema ou a conversa de café e uma entrevista na rádio ou a acta de uma reunião. Falar sem se comprometer e dizer o que se pensa podendo, mais tarde, pensar de forma diferente, sempre foram liberdades importantes na nossa vida social. E não apenas por ser em privado. Podia ser, mas podia também ser numa festa, na esplanada, perante amigos ou estranhos. Entre o privado e a publicação havia a comunicação pessoal que, mesmo quando partilhada com estranhos, não exigia responsabilidades especiais nem era legítimo usar contra ninguém. O que alguém dizia na esplanada não o responsabilizava como se escrevesse para um jornal.

Quando as conversas eram efémeras e as palavras só duravam enquanto as dizíamos era fácil manter esta distinção porque era difícil privar-nos dessa esfera da comunicação pessoal. Mas agora comunicamos por email e conversamos em blogs e todas esta conversas ficam registadas. Para sempre. E com isso querem privar-nos da liberdade de exprimir a nossa opinião, livremente, a quem a quiser ouvir.

Há uns dias o tribunal da Póvoa de Varzim mandou encerrar o Povoaoffline, blog sucessor do Povoaonline encerrado há uns meses também por ordem do tribunal. O efeito prático foi pequeno, como se pode ler no novo Povoa-online (1). Mas encerrar um blog porque alguém escreve o que pensa do Macedo Vieira é o mesmo que proibir que alguém diga o que pensa do Macedo Vieira num jardim ou numa esplanada. Não é uma conversa privada mas é uma conversa pessoal. O direito à conversa pessoal deve ser respeitado independentemente da tecnologia que se usa para o exercer. Mas por causa da tecnologia que usamos agora precisamos que seja a lei a proteger esse direito. E, infelizmente, estão a usar a lei no sentido contrário.

Mas é melhor lerem o artigo original: The Future of Ephemeral Conversation.

1- povoa-online.blogspot.com

Monty Python reagem contra a pirataria.

Os Monty Python não querem que os fãs ponham clips dos seus filmes e séries no YouTube para todos verem à borla. Por isso vão tomar medidas drásticas e acabar com essa pirataria das suas obras.



Porque são tipos inteligentes compreendem que a Internet não é uma rede de revenda mas uma forma de comunicação entre pessoas, tão adequada à censura para fins comerciais como o telefone ou as cartas. E porque, excepcionalmente, neste caso são os artistas que controlam os direitos sobre as suas obras, os Monty Python têm a liberdade de se aproveitar disso. Pôr os clips no YouTube é pôr milhões de pessoas a falar deles, a mostrar aos amigos e a descobrir e interessar-se pelos Monty Python. Não são vendas que perdem. São fãs que ganham.

The Monty Python Channel on YouTube

Via The Pirate's Dilemma.

Editado às 11:00:

Também via The Pirate's Dilemma, este aviso no DVD do filme Futurama: Bender's Game.

Treta da Semana: trocar privacidade por segurança.

Muitos julgam que mais segurança implica menos privacidade, mas a segurança e a privacidade são interdependentes. Queremos segurança para proteger direitos como a privacidade. Não fecho a porta só por medo de ladrões ou terroristas mas também para tomar duche, ir à casa de banho ou conversar à vontade. Portas e fechaduras dão-me segurança e privacidade. A privacidade é até um meio de ter segurança. Guardo os valores fora da vista alheia, o dinheiro no bolso e não quero que os assaltantes saibam quando vou de férias. Quando tratamos nós da nossa segurança e privacidade não trocamos uma pela outra. Pelo contrário, cada uma contribui para garantir a outra.

E quando delegamos noutros a nossa segurança também não temos que ceder privacidade. Os fusíveis, os cintos de segurança, a licença de porte de arma e de venda de explosivos dão segurança sem tirar privacidade. Tal como ter polícia na rua ou esquadras suficientes para que intervenham rapidamente. Estas coisas custam dinheiro mas não nos custam direitos.

O problema é que os encarregados da nossa segurança vão querer fazer o seu trabalho da forma que lhes convém mais a eles, e não necessariamente a nós. Contratamos pessoas para apanhar criminosos como forma de reduzir o crime. Mas apanhar criminosos não coincide exactamente com o a eliminação do crime. Nós preferimos que o polícia na rua dissuada o criminoso mas o polícia progride na carreira quando apanha criminosos e não quando os crimes não ocorrem. O mesmo para quem passa multas de trânsito, fiscaliza restaurantes ou serve a nossa segurança de qualquer outra forma. Para nós, estas actividades devem servir o objectivo último de proteger os nossos direitos. Mas para cada profissional a sua tarefa é que é o objectivo, subordinando assim os fins ao meios. É por isso que não deve ser o polícia a decidir se pode pôr escutas nem a companhia de telefones a escolher que telefonemas regista. Ambos desempenham um papel importante ao serviço dos nossos direitos, mas ambos têm objectivos que diferem desse propósito.

A tecnologia facilita cada vez mais a violação da privacidade e os órgãos de segurança pressionam para reduzir as barreiras legais à recolha de informação. Isto não nos dá mais segurança. Dá menos. Mas ajuda a progredir na carreira. O registo de telefonemas e ligações de internet não detém terroristas nem reduz os assaltos. Muitos criminosos sabem usar telefones públicos. Mas a prevenção do crime tem menos prestígio que a apreensão de suspeitos. E é mais fácil prender quem copia ficheiros, faz telefonemas insultuosos ou tem blogs que criticam funcionários públicos do que patrulhar as ruas à noite. E então se for tudo com câmaras é que é supimpa.

Também muitos se esquecem que a privacidade não é só o que se esconde do olhar alheio. As compras na farmácia e supermercado, o trajecto de autocarro ou o almoço no restaurante são visíveis a quem lá esteja. Mas seguir alguém agregando esta informação é uma violação de privacidade. Para privar alguém deste direito basta a recolha e cruzamento de dados publicamente acessíveis. Por isso o artigo 35º da nossa constituição proíbe «a atribuição de um número nacional único aos cidadãos» e o parecer da CNPD sobre o cartão do cidadão refere que «a concentração da informação respeitante aos cidadãos [significa] uma restrição dos direitos fundamentais à privacidade e à protecção dos dados pessoais»(1).

A protecção legal da nossa privacidade está a enfraquecer porque a informação dá jeito a polícias, políticos e burocratas em geral. E a seguradoras, bancos e qualquer empresa. É fácil de recolher, barata de guardar e eventualmente será útil para todos. Menos para nós. Infelizmente, muitos não perceberam os riscos. Não estranham que o supermercado peça o nome e morada ou que a Netcabo pergunte as habilitações literárias e situação profissional. Publicam dados pessoais, vídeos e fotos da casa, carro e família e aprovam que se registe toda a sua vida para lhes dar mais segurança. Não dá. Esta informação só serve para saber da vida das pessoas e não para prevenir crimes relevantes. E até ajuda os criminosos.

No ataque de 11 de Setembro morreram 2800 pessoas. Todos os anos, nos EUA, dez milhões de pessoas sofrem de furto de identidade. Uma base de dados com os detalhes da vida de cada cidadão não salvava nenhum dos primeiros 2800. Mas uma coisa dessas é um maná para os criminosos que burlam milhões de pessoas todos os anos.

A privacidade não se troca por segurança. Faz parte da segurança. «O direito à privacidade [...] é um direito fundamental [...] protector dos indivíduos face à actuação do Estado e dos poderes públicos.»(1)

1- CNPD, PARECER Nº 37/ 2006
Vejam também:
Jennifer Granick, Wired, Security vs. Privacy: The Rematch
Owen Bowcott, Guardian, CCTV boom has failed to slash crime, say police
Bruce Schneier, Schneier on Security, Protecting Privacy and Liberty
Bruce Schneier, Schneier on Security, Security vs. Privacy

Treta da Semana: Para sua conveniência.

No Público de hoje saiu a notícia de um carro de compras “inteligente”, com um computador e um monitor, que indica a localização de cada produto seleccionado e as promoções do dia. É um sistema personalizado, com login e password, que guarda a lista de compras e até informação acerca de alergias para avisar quem queira comprar produtos aos quais é alérgico. «É uma forma de ajudar o consumidor a poupar e a fazer as compras num mais curto período de tempo.»(1) Como sabemos, o objectivo das lojas e supermercados é ajudar o consumidor a poupar.

Este é um descendente mais sofisticado dos cartões de cliente, tão comuns agora, onde os supermercados registam tudo o que compramos. Só que o novo sistema não só regista o que compramos como também o que tencionávamos comprar, por onde passámos no supermercado e quanto tempo ficámos em cada sítio. E tira partido dos chips RFID*, que começam a substituir os códigos de barras. Os chips RFID podem ser lidos à distância, via rádio, e cada chip tem um código único. Ao contrário dos códigos de barras, que são atribuídos a um tipo e modelo de produto, o código de RFID identifica cada objecto. Cada par de sapatos ou calças, cada mochila ou casaco terá um código que poderá ser lido em cada loja onde entramos.

A capacidade de armazenar, recolher e processar informação cresce tão depressa que apanha a sociedade de surpresa; as leis contrárias aos interesses económicos e as atitudes das pessoas têm ambas demasiada inércia para responder a mudanças rápidas. Por isso a lei promove a recolha e retenção de dados pessoais e os consumidores não se preocupam com a informação que dão. E não percebem que os dados recolhidos ficam lá para sempre. Não lhes preocupa que a seguradora a quem vão pedir um seguro de saúde daqui a dez anos possa saber se compraram mais presunto e chocolates do que iogurtes e fruta. Ou que na entrevista para um emprego a empresa saiba se compraram fraldas e leite para bebé nos últimos meses. Ou que se guarde registos dos telefonemas que fizeram, das portagens por onde passaram e assim por diante.

Interesses económicos levam a lei a proteger a informação em função do valor comercial dos monopólios, e o estado a proibir, fiscalizar e punir com prisão a troca de ficheiros de músicas que são vendidas ao público a menos de um euro cada uma. Mas o que a lei devia proteger primeiro é a privacidade. Muito antes de regular o comércio de informação que foi voluntariamente tornada pública devia restringir a recolha e retenção não autorizada de dados privados. Se publico isto aqui abdico voluntariamente do direito exclusivo a estas palavras. Mas não é por ir ao supermercado ou fazer um telefonema que dou a outros o direito de bisbilhotar as minhas compras ou chamadas telefónicas.

Além de dificultar a distribuição e o acesso à cultura, a noção corrente de informação como propriedade faz perder de vista o que nos interessa na informação. Não são os bytes em que se codifica mas aquilo acerca do que ela é. E se há informação que merece um monopólio é a informação acerca da nossa vida pessoal, não a informação acerca de obras disponíveis ao público. Não é da nossa conveniência que a lei proteja o negócio das empresas em vez da privacidade das pessoas.

* Radio-Frequency Identification, mais detalhes na Wikipedia
1- Público, 25-10-08, Empresa portuguesa desenvolve carrinho de compras que ajuda consumidor a poupar

Verde, código, vai-se...

Alguns leitores de cartões de crédito e débito fabricados na China vêm com um brinde. Uma placa de rede wireless que se liga periodicamente a servidores no Paquistão e deposita lá a informação dos PIN e números de cartão usados naquele leitor. Pelas centenas de leitores alterados que já foram encontrados no Reino Unido, Irlanda, Holanda, Bélgica e Dinamarca, estima-se que o negócio já tenha rendido entre cinquenta a cem milhões de dólares.

A coisa está bem feita. Os leitores provavelmente são alterados na fábrica ou logo após a produção e a alteração não é visível sem os abrir. A única diferença é que são cerca de 100g mais pesados que os leitores sem brinde. Também têm uma programação sofisticada. Cada vez que depositam a informação nos servidores paquistaneses podem receber instruções acerca dos tipos de cartão a interceptar e a frequência com que armazenam e enviam os dados. Isto permite ir alterando o comportamento dos leitores para dificultar a sua detecção.

Infelizmente, as notícias não explicam como os aparelhos se ligam ao Paquistão. Se for pela rede móvel têm que ter SIM registados com alguma operadora e pagos por alguém. Se for pela rede dos pagamentos algo está muito errado com a segurança do sistema. Seja como for, o ataque apenas é possível porque a comunicação entre o leitor e o cartão não é cifrada. Ou seja, porque o sistema está mal feito de raiz.

Mais detalhes no Telegraph (e aqui) e no Wall Street Journal. Via Schneier on Security.

Editado a 15-10 para tirei o plural ao acrónimo SIM. Hoje deu-me para ser contra o plural nos acrónimos.