Marcio Roberto Ramirez
Por Marcio Roberto Ramirez |
Tem-se verificado nos últimos anos um rápido aumento da disponibilidade e fiabilidade da tecnologia do reconhecimento facial e digital. Além disso, esta tecnologia foi integrada nos serviços para identificação, autenticação/verificação ou categorização de pessoas.
Os tipos de biometrias avalizadas pelo Comitê Gestor da ICP-Brasil para a identificação dos titulares dos Certificado Digital na ICP-Brasil, com o apelo de redução de fraude, possuem algumas particularidades a serem consideradas [1][2]:
1 – Digital
Tem um alto grau de unicidade, com uma quantidade de pontos unívocos geométricos entre si, e acurácia na resposta em encontrar as combinações possíveis com uma ótima performance dos algoritmos em uso atualmente. Contudo, a sua coleta pode ser burlada através de técnicas simples de cópia apresentada ao coletor, o que o coloca em maior fragilidade e aumenta os custos para equipamentos e processos para maior segurança na coleta, principalmente de dedos vivos e presentes no momento da coleta;
Outro fator negativo é o fato da sua taxa da característica de permanência ser afetada por acidentes naturais ou mesmo pelo desgaste natural. O que pode elevar os casos de exceção à regra.
2-Facial
Tem um alto grau de “coletabilidade”, é pouco invasiva e portanto, tem maior aceitabilidade, contudo o seu grau de permanência é baixo devido a fatores como objetos que podem ofuscar ou bloquear os pontos coletados (barba, óculos, chapéu, etc), aumentando o grau de complexidade, performance e acurácia dos algoritmos de reconhecimento;
A biometria, qualquer uma delas, possui seu ponto fraco no uso como instrumento de identificação e autenticação: uma vez roubada, pode ser utilizada sem a contra evidência de quem usou é realmente quem diz ser, e não pode ser revogada ou cancelada pelo verdadeiro dono. Sendo assim, se alguém copiar a sua biometria e usá-la, você não conseguirá revogá-la.
O que nos traz para alguns princípios de segurança no uso da biometria:
- o uso deveria ser em um canal restrito e seguro;
- a comprovação do uso, deveria requerer indício de que se trata de uma pessoa viva, e presente no local, e a coleta da biometria foi realizada no momento da autenticação, evitando assim o uso da cópia por foto, imagem, silicone ou similaridade;
- o sistema de coleta deveria ser protegido desde a coleta até o servidor, sendo que o servidor deve ter a garantia que a coleta foi originada no software cliente confiável;
- não deveria ser transportada no meio digital desejavelmente, sendo que para processos de autenticação, no máximo o “hash” da biometria deveria ser usado. Idealmente que fosse realizado um processo de MOC (Match On Card), onde a operação de confirmação do match da minúcia na autenticação fosse realizada dentro do dispositivo criptográfico e seguro;
- se for transportada no meio digital, deveria ser criptografada, no mínimo com chaves simétricas de alta grandeza e algoritmos robustos gerados apenas para a sessão de uso;
- se for armazenada em um servidor, deveria ser protegida por múltiplas camadas de segurança perimetral, física e lógica. Sendo que deveria também ser cifrada com criptografia forte, com acesso restrito, sendo que este acesso deveria ocorrer somente com múltiplas pessoas (3 ou mais) conjuntamente.
Em 4 de Junho de 2015, 5,6 milhões de registros de biometria digital foram roubados dos 20 milhões de funcionários do governo dos EUA cadastrados [3]; que tinham registros de coleta biométrica em seus arquivos; conforme comunicado do OPM (Office Personnel Management).
Aqui no Brasil, segundo o site do TSE (Tribunal Superior Eleitoral), mais de 24 milhões de pessoas já tiveram suas biometrias coletadas, sendo o maior caso de estudo neste segmento. Como sabemos, bancos já possuem coleta de biometria, com o uso em caixas eletrônicos e na boca do caixa. Mas onde essas biometrias coletadas estão armazenadas, e de que forma? Quem audita? Qual a regulação?
Em uma consulta ao que dizem os advogados especialistas em Certificação Digital ICP-Brasil, compilamos as seguintes anotações:
Independente dos meios de obtenção das imagens, é necessária uma base jurídica para proceder ao seu tratamento.
Eis algumas recomendações jurídicas a serem tomadas:
Se o responsável pelo tratamento de dados obter as imagens diretamente, deve-se assegurar que tem o consentimento válido das pessoas em causa, antes da obtenção, e fornecer informações suficiente acerca do momento em que a câmera está a funcionar para efeitos de reconhecimento facial;
Se os utilizadores estiverem a obter imagens digitais e a publicá-las para efeito de reconhecimento facial, o responsável pelo tratamento de dados deve assegurar-se de que as pessoas que publicaram as imagens deram o consentimento para o tratamento das mesmas, e que podem ser efetuados para efeitos de reconhecimento facial;
Se o responsável pelo tratamento dos dados estiver a obter imagens digitais de pessoas a partir de terceiros (por exemplo, copiadas de um sítio Web ou compradas a outro responsável pelo tratamento), deve analisar cuidadosamente a fonte e o contexto em que as imagens originais foram obtidas e tratadas, mas apenas se as pessoas em causa tiverem dado o consentimento para o tratamento.
Os responsáveis pelo tratamento dos dados devem assegurar-se de que as imagens digitais e os padrões são utilizados apenas para o objetivo específico para que foram fornecidas. Devem também estabelecer os controles técnicos necessários para reduzir o risco de que as imagens digitais sejam submetidas a tratamento ulterior por terceiros para finalidades para as quais o utilizador não tiver sido dado o seu consentimento. Os responsáveis pelo tratamento dos dados devem incorporar ferramentas para que os utilizadores possam controlar a visibilidade das imagens que tiverem publicado, sempre que a configuração por defeito limite o acesso de terceiros.
Os responsáveis pelo tratamento dos dados devem assegurar-se de que as imagens digitais de pessoas que não sejam utilizadores registrados do serviço ou que não tiverem dado, de qualquer outra forma, o seu consentimento para o tratamento só serão tratadas se o responsável pelo tratamento tiver um interesse legítimo em fazê-lo.
O responsável pelo tratamento dos dados deve tomar as medidas necessárias para garantir a segurança da transferência dos dados. Isto pode incluir canais de comunicação codificada ou codificação da própria imagem. Sempre que possível, sobretudo no caso da autenticação/verificação, deverá optar-se pelo tratamento local dos dados pelos motivos expostos acima.”
Não podemos nos esquecer do Marco Civil da Internet, sendo o artigo 7º, que nos traz garantias aos usuários sobre a coleta e armazenamento dos dados pessoais, mas no âmbito de acesso a internet:
Art. 7º. O acesso à internet é essencial ao exercício da cidadania, e ao usuário são assegurados os seguintes direitos:
I – inviolabilidade da intimidade e da vida privada, sua proteção e indenização pelo dano material ou moral decorrente de sua violação;
II – inviolabilidade e sigilo do fluxo de suas comunicações pela internet, salvo por ordem judicial, na forma da lei;
III – inviolabilidade e sigilo de suas comunicações privadas armazenadas, salvo por ordem judicial;
IV – não suspensão da conexão à internet, salvo por débito diretamente decorrente de sua utilização;
V – manutenção da qualidade contratada da conexão à internet;
VI – informações claras e completas constantes dos contratos de prestação de serviços, com detalhamento sobre o regime de proteção aos registros de conexão e aos registros de acesso a aplicações de internet, bem como sobre práticas de gerenciamento da rede que possam afetar sua qualidade;
VII – não fornecimento a terceiros de seus dados pessoais, inclusive registros de conexão, e de acesso a aplicações de internet, salvo mediante consentimento livre, expresso e informado ou nas hipóteses previstas em lei;
VIII – informações claras e completas sobre coleta, uso, armazenamento, tratamento e proteção de seus dados pessoais, que somente poderão ser utilizados para finalidades que:
a) justifiquem sua coleta;
b) não sejam vedadas pela legislação; e
c) estejam especificadas nos contratos de prestação de serviços ou em termos de uso de aplicações de internet;
IX – consentimento expresso sobre coleta, uso, armazenamento e tratamento de dados pessoais, que deverá ocorrer de forma destacada das demais cláusulas contratuais;
X – exclusão definitiva dos dados pessoais que tiver fornecido a determinada aplicação de internet, a seu requerimento, ao término da relação entre as partes, ressalvadas as hipóteses de guarda obrigatória de registros previstas nesta Lei;
XI – publicidade e clareza de eventuais políticas de uso dos provedores de conexão à internet e de aplicações de internet;
XII – acessibilidade, consideradas as características físico-motoras, perceptivas, sensoriais, intelectuais e mentais do usuário, nos termos da lei; e
XIII – aplicação das normas de proteção e defesa do consumidor nas relações de consumo realizadas na internet.
E mais especificamente sobre a matéria; mas ainda não em vigor; o projeto de Lei, proposto pelo Deputado Lucas Vergílio, com justificação que tem origem no Projeto de Lei nº 3.558, de 2012, de autoria do Deputado Armando Vergílio.
Fonte e Bibliografia:
ITI (www.iti.gov.br)
[1] Biometric Research Group: http://www.cse.msu.edu/biometrics/pubs/index.html
[2] Biometric Consortium: http://www.biometrics.org/links.php
[3] Stealing Fingerprints by Bruce Schneier on Security: https://www.schneier.com/blog/archives/2015/10/stealing_finger.html
* Marcio Roberto Ramirez | Consultor Sr em PKI e Desenvolvimento de Sistemas de Segurança. Com pós-graduação em informática no Mackenzie, desenvolvendo produtos e soluções de PKI, Autoridade Certificadora e protocolos de segurança desde 1996 e Colunista do CryptoID.
mramirez@consultsoftware.com.br
.
