Decifra-me ou te devoro #1

Numa situação hipotética, você entregaria todos os dados da sua conta bancária, senha incluída, a um entregador (desses de aplicativo de delivery) de modo que ele, ou qualquer outra pessoa que o intercepte, consiga ver (e talvez copiar) as informações?

Meu avô dizia que a vida exige equilíbrios e escolhas. Embora eu não te conheça, sou capaz de apostar que, em condições normais de sanidade mental, você não faria isso. Nem eu, claro! Manter certas informações seguras é fundamental para que problemas enormes não venham a ocorrer. Mas fazer isso não é sempre tão simples.

A filosofia do nonno também se aplica no campo da segurança da informação. Tornar as coisas mais simples e mais fáceis para quem usa tecnologia está associado, geralmente, a “fazer vista grossa”, desconsiderando alguns detalhes e, portanto, tornando o uso da tecnologia um pouco menos seguro. Uma outra possibilidade é ser mais detalhista, considerar alguns pontos e reforçar certos mecanismos para tornar o uso mais seguro.

Imagine, por exemplo, que você precise comprar algo de um desconhecido que custe bastante dinheiro. Para isso, vocês combinam as condições comerciais e escrevem um documento listando detalhes, como: qual é o valor da transação, como será a entrega e o que acontece caso algo não saia exatamente como o planejado. Cada um assina o tal documento para dizer que está de acordo com os termos. Neste ponto, precisamos tomar uma decisão: queremos que a operação comercial seja mais simples ou mais segura?

Você pode optar pelo caminho mais fácil: receber o documento assinado pelo desconhecido, além de confiar que tudo vai correr como acordado e que a assinatura naquele pedaço de papel é realmente do indivíduo com quem você está negociando.

Se você for mais cuidadoso, irá talvez solicitar da outra parte que vá até um cartório e peça que a assinatura no documento seja reconhecida. O cartório, então, verificará os dados de identidade e a assinatura da pessoa com quem você está realizando a transação comercial. Tudo indo bem, o tabelião põe um selo dizendo que o Fulano dos Anzóis Pereira é realmente quem ele diz ser. Assim, você terá mais um elemento para provar que o acordo feito foi realizado com o conhecimento e a concordância da outra parte. Qual caminho você prefere seguir?

Ir ao cartório é um processo a mais na negociação. É uma etapa que não é realmente necessária para a compra/venda. Há um custo adicional: perde-se tempo e dinheiro. O retorno desse “investimento” é um elemento de segurança que pode ajudar caso você precise de proteção da justiça para recuperar seu dinheiro ou para receber o item negociado. Em geral, quanto maior o custo da operação, maior é o risco se algo vir a dar errado. Nesses casos, o custo de ir ao cartório se torna irrelevante (ou marginal, para usar um termo da economia), e autenticar a assinatura passa a fazer mais sentido.

Vamos voltar ao nosso ponto inicial. Quando você deseja acessar sua conta online, é preciso enviar os dados básicos para o seu banco: número da agência, número da conta, e uma identificação sua. Este envio é o equivalente a chamar um entregador, devidamente fardado com o uniforme do banco, passar para ele os seus dados, senha incluída, e pedir que ele os leve até o destino.

Para contornar esta falha de segurança, os bancos pegaram carona em anos de pesquisa nos campos da matemática e ciência computação e tomaram emprestado dois conceitos: autenticação e codificação. A autenticação é a versão eletrônica do que o cartório fez com a assinatura do Fulano, que te vendeu algo. Com base em algumas informações, é possível certificar eletronicamente que uma pessoa é quem ela diz ser. Já a codificação é um processo em que uma informação é transformada de modo que só as pessoas certas podem reverter o processo e ter acesso ao dado original. Um outro nome para codificação é criptografia.

Como o banco não tem nenhum interesse de correr riscos desnecessários, ele optará por confirmar a sua identidade e criptografar os dados. O que acontece nos bastidores é que, antes de enviar os dados da sua conta para o banco através do entregador, o aplicativo ou site que você está usando faz uma checagem com um “cartório digital” para se certificar que vai enviar o dado realmente para o banco, e não para um estelionatário disfarçado. A ideia é a mesma do cartório físico: confirmar que uma parte é mesmo quem diz ser. Além disso, o sistema também irá criptografar as informações da sua agência, conta, usuário e senha, de tal forma que apenas o banco consiga decodificá-las. Assim, mesmo que o entregador seja interceptado e seja “roubado”, os ladrões não vão conseguir entender o que significam os dados que ele transporta.

Tudo dando certo, num mundo onde nem tudo que é seguro precisa ser impresso, você vai evitar fazer uma viagem à agência, passar no detector de metais, ficar na fila e falar com o caixa só para receber o papelzinho que funciona como o comprovante do seu saldo disponível. Um viva à ciência e à engenharia de software!

Criptografia e autenticação são dois universos dentro do mundo da tecnologia. Seu uso vai muito além dos sistemas de bancos de varejo. De comunicação militar até as chaves eletrônicas dos carros mais modernos, passando por validação de votos nas urnas eletrônicas e painéis nas muitas casas legislativas. Quase tudo que é eletrônico hoje tem algum tipo de mecanismo de criptografia e autenticação.

Apesar dos dois assuntos serem complexos, é possível ter um conhecimento geral, com uma profundidade mínima sobre eles. Te faço um convite para explorar estes dois tópicos comigo nos próximos artigos. Assim poderemos entender melhor nossas escolhas e ir nos equilibrando vida afora.