Autenticação e autorização

A Internet padece de problemas específicos de arquitetura técnica: não é possível, a priori, saber quem é o usuário, onde o usuário está e o que o usuário está fazendo. O protocolo de comunicação192_{, por si só, não identifica os usuários.} Dessa maneira, é necessário um mecanismo de identificação e autenticação que permita o acesso controlado dos usuários aos recursos.193

189 LEONARDI, Marcel. Ibid, p. 25

190 Segundo MIRAGEM, Bruno. Responsabilidade por danos na sociedade da informação e proteção do consumidor: desafios atuais da regulação jurídica da internet. Revista de Direito do Consumidor, São Paulo, n. 70, abr.-jun./2009, p. 50, em relação ao provedor de conteúdo, podem ser dois os regimes de responsabilidade: “tanto podem ser qualificados como fornecedores, quando realizam atividade negocial no fornecimento de conteúdo (mediante pagamento, por exemplo), quanto simples “publicações”, a utilizar-se da Internet para exercício da liberdade de expressão ou da liberdade de comunicação social. No primeiro caso, estaria caracterizada a relação de consumo determinante para a incidência das regras de proteção do consumidor; no segundo caso, as hipóteses de responsabilidade do provedor estariam sob a égide das normas do Código Civil.”

191 O provedor de acesso, por exemplo, deve manter em sigilo os dados cadastrais de seus clientes, bem como os dados envolvendo quais endereços IPs foram utilizados pelos usuários. A informação de qual endereço IP o cliente do provedor de acesso utiliza pode identificar o cliente nas mais variadas situações. Já o provedor de hospedagem, via de regra, registra o IP dos usuários que acessaram as páginas e serviços hospedados por ele. Naturalmente, esta informação também deve ser mantida em sigilo.

192 O protocolo referido é o TCP/IP.

193 LEONARDI, Marcel. Tutela e privacidade na Internet. São Paulo: Saraiva, 2012, p. 156-157. Isto não significa que não seja possível identificar os usuários. É necessário, para isso, confiar-se nos bancos de dados e cadastros que identificam os usuários. A questão de onde o usuário está, só é possível pois o provedor de acesso possui um banco de dados com o endereço IP utilizado pelo seu usuário em determinado momento. O endereço IP sozinho não consegue apontar a

A disciplina de determinar a autorização a algum recurso computacional é conhecida como controle de acesso.194 _{Três elementos o compõem: a identificação,} a autenticação e a autorização.195

A identificação é o processo de reconhecer quem terá o acesso a um determinado recurso. Já a autenticação é o processo de verificar as credenciais fornecidas pelo usuário196

. A diferença entre identificação e autenticação é: a primeira envolve a verificação da identidade de alguém enquanto que a segunda consiste no processo de confirmar se a pessoa que se apresenta é quem de fato alega ser.

A autenticação tem, portanto, a função de determinar se alguém é quem de fato alega ser, diante de um sistema informático. Ela pode acontecer de três formas diferentes:197

localização da pessoa.

194 Toda a explicação do controle de acesso segue a lição de NOOR, Arshad; PELED, Ariel. Access Control. In: ISOM, David K.; NELSON, Sharon D.; SIMEK. John W.(editores). Information Security for Lawyers and Law Firms. Chicaco: American Bar Association Publishing, 2006.

Fala-se aqui do controle de acesso lógico. Há também, o controle de acesso físico, que envolve o controle físico de como as informações são acessadas.

195 Acerca dos processos de identificação e autenticação, Gerson Luiz Carlos Branco afirma: “Em resumo, o princípio da confiança obriga o fornecedor a garantir condições de identificação das pessoas que participam da relação contratual, assim como obriga a garantir segurança suficiente para que daquela relação resultem benefícios úteis e não danos.” BRANCO, Gerson Luiz Carlos. A proteção das expectativas legítimas derivadas das situações de confiança: elementos formadores do princípio da confiança e seus efeitos. Revista de Direito Privado, São Paulo, n. 12, out.-dez./2002, p. 202.

196 Em NOOR, Arshad; PELED, Ariel. Access Control. In: ISOM, David K.; NELSON, Sharon D.; SIMEK. John W.(editores). Ibid, é possível ver a explicação mais técnica da autenticação, que é aqui trazida no seu original: “Authentication is the process of verifying the credential presented to computer. This is necessary to ensure that credentials are not being spoofed by masqueraders. Authentication is generally accomplished by the requester responding to a challenge posed by computer. Just as the sentry challenged Patrick Henry to prove his identity by implicitly demanding knowledge of a secret word or phrase that established his identity, the computer typically requires knowledge or possesion of a secret associated with the presented credencial that verifies the credential presented to the computer.” p. 74.

197 No jargão técnico, os tipos de autenticação são chamado de “fatores”. A cumulação de mais de um fator de autenticação é conhecido como “multifactor authentication” e envolve: something the person knows; something the person possesses; something the person is. Cf. SMEDINGHOFF, Thomas J.. Information Security Law: The Emerging Standard for Corporate Compliance. Ely: IT Governance Publishing, 2008, p. 11-12.

a) Com a utilização de um nome de usuário ou senha. Por meio do fornecimento desses dois dados e da comparação correta entre o par correspondente (senha estabelecida para aquele usuário) é que é feita a autenticação. Essa é a forma mais utilizada de controle de acesso na maioria dos serviços utilizados comumente na Internet, como e-mail, redes sociais, sites de notícias, etc.

b) Com a acumulação de um elemento que o usuário possua, além da senha, como cartões magnéticos, tokens geradores de senha automática ou ainda os certificados digitais utilizados para assinatura eletrônica. O usuário necessitará possuir algo mais, além da senha, para que seja feita a autenticação.

c) A terceira forma de autenticação consiste em analisar alguma característica física que o usuário possua. Nessa forma são utilizados dispositivos de biometria para a análise de impressões digitais, iris, palma da mão, etc.

Essas três formas de autenticação podem ser utilizadas tanto isolada quanto concomitantemente. Se tais formas citadas forem utilizadas concomitantemente, maior será a segurança do processo de identificação. Um exemplo bastante conhecido do duplo nível de identificação diz respeito ao saque de dinheiro em caixas eletrônicos bancários. No saque, é utilizado um cartão (algo que a pessoa possui) e, concomitantemente, é necessário o fornecimento de uma senha (algo que a pessoa saiba). Se a pessoa possuir acesso a apenas um dos meios (a senha sem o cartão, ou o cartão sem a senha), por óbvio, não será liberado o acesso àquele sistema.198

A autorização, por fim, consiste em permitir que a pessoa tenha acesso aos recursos dispostos no sistema. A autorização determina, se alguém que foi autenticado pertence a um grupo ao qual é permitido acessar - ou controlar – alguma informação199

. Caso a autenticação seja bem sucedida, autoriza-se a pessoa a ter acesso aos recursos.

198 A cumulação destas duas formas, pode perder o nível de segurança, caso o cartão possa ser clonado.

199 MERRIL, Charles R.. Terms and Definitions: ISOM, David K.; NELSON, Sharon D.; SIMEK. John W.(edit.). Information Security for Lawyers and Law Firms. Chicaco: American Bar Association Publishing, 2006, p.9

Em um resumo: primeiro identifica-se alguém; com a autenticação verifica-se se a identificação fornecida confere com as credenciais armazenadas no sistema; com a autenticação positiva, autoriza-se o acesso.

Reinaldo Demócrito Filho, em relação aos ataques à infraestrutura bancária, entende que a autenticação de usuários deve ser ampliada para impedir a responsabilização dos bancos.200

O autor entende que devem ser implementadas ações de mais um de nível de autenticação, abrangendo não apenas o uso de senha, mas também dispositivos de geração de senha aleatória (os chamados tokens de geração de senha), ou cartões de senha. Caso o banco não ofereça tal dispositivo, seria ele responsável pelos incidentes digitais, já que o sistema teria um vício de funcionalidade, na medida em que não protege adequadamente a confidencialidade dos dados. Na verdade o que se vê aqui nesse contexto é uma implementação insuficiente de segurança no que diz respeito ao controle de acesso201_.

No caso de um sistema que utilize os três níveis de autenticação, estabelece- se um alto grau de segurança, ficando praticamente impossibilitada a violação ou o acesso não autorizado. Em tal situação (com a utilização de três níveis de identificação/autenticação), é praticamente impossível a violação de acesso. Mesmo

200 FILHO, Demócrito Reinaldo. A responsabilidade dos bancos pelos prejuízos resultantes do phishing. Jus Navigandi, Teresina, ano 12, n. 1836, 11 jul. 2008. Disponível em: <http://jus2.uol.com.br/doutrina/texto.asp?id=11481>. Acesso em: 12 Fev. 2012, p. 27.

201 Em LESSIG, Lawrence. Ibid, p. 41, é possível ver uma referência ao nível de escolha de métodos de identificação e autenticação: “Obviously, some credentials are better than others. Some are architected to give more confidence than others; some are more efficient at delivering their confidence than others. But we select among the credentials available depending upon the level of confidence that we need. ” É interessante ver a comparação que Lessig faz com ambientes hostis e não hostis, através do exemplo da confiança existente em pequenas cidades: “We are constantly negotiating these processes of authentication in real life, and in this process, better technologies and better credentials enable more distant authentication. In a small town, in a quieter time, credentials were not necessary. You were known by your face, and your face carried with it a reference (held in the common knowledge of the community) about your character. But as life becomes more fluid, social institutions depend upon other technologies to build confidence around important identity assertions. Credentials thus become an unavoidable tool for securing such authentication. ” p. 42,

assim, isso não impede que a pessoa devidamente autenticada venha a utilizar a informação de forma inadequada202_.

O controle de acesso também pode ser entendido como uma expressão da reidentificação virtual, já que os contatos no ambiente tecnológico possuem alto grau de impessoalidade dificultando a imediata identificação dos envolvidos.203

Na verdade, a não utilização de métodos de identificação no ambiente virtual faz com que o autor das ações seja comparado a um “homem invisível”.204

Os aspectos de acesso autorizado e não autorizadas serão vistos a seguir.