O direito ao respeito da privacidade ´e considerado pela ONU (Organiza¸c˜ao das Na¸c˜oes Unidas) na declara¸c˜ao universal dos direitos humanos como um direito fundamental do indiv´ıduo [CDFUE, 2000; ONU, 1998]. Infelizmente, as novas tecnologias representam uma amea¸ca a esse direito, por exemplo, as t´ecnicas de autentica¸c˜ao e de auditoria na preocupa¸c˜ao de garantir a legitimidade ou n˜ao, p˜oem em risco a privacidade dos usu´arios. ´
E necess´ario desenvolver mecanismos que permitam garantir a prote¸c˜ao dos dados pes- soais. A prote¸c˜ao da privacidade exige quatro crit´erios [ISO/IEC15408, 2005]: Anonimato (anonymity), possibilidade de agir com um pseudˆonimo (pseudonomity), impossibilidade de estabelecer uma liga¸c˜ao ou tra¸co (unlinkability) e n˜ao observabilidade (unobservabil- ity). Essas exigˆencias constituem a base das tecnologias de prote¸c˜ao da privacidade PET (Privacy-Enhancing Tecnologies). Nos princ´ıpios fundamentais ´e importante considerar que os dados pessoais pertencem a quem com eles se relacionam, e n˜ao ao propriet´ario do sistema que os armazena ou os manipula. S´o podem ser divulgados os dados estri- tamente necess´arios para a execu¸c˜ao da tarefa exigida ou aceita, fala-se do princ´ıpio de minimiza¸c˜ao de dados pessoais. Na divulga¸c˜ao de dados, a terceiros para realizar uma tarefa, devem-se respeitar as exigˆencias impostas pelo propriet´ario dos dados: guardar de forma confidencial e apag´a-los ap´os a execu¸c˜ao da tarefa, isso ´e o princ´ıpio de soberania. V´arias abordagens s˜ao utilizadas na computa¸c˜ao difusa para proteger a privacidade, entre elas podemos citar: gest˜ao de identidades virtuais, comunica¸c˜ao anˆonima, acesso anˆonimo a servi¸cos:
5.3 Prote¸c˜ao da Privacidade 84
• Gest˜ao de Identidades Virtuais: para que uma pessoa possa proteger sua pri- vacidade, ´e importante ocultar ou reduzir o m´aximo poss´ıvel suas liga¸c˜oes com suas a¸c˜oes e dados correspondentes, deixar o m´ınimo de rastro poss´ıvel, por exemplo, o endere¸co IP fixo de um internauta pode estabelecer uma liga¸c˜ao com diferentes a¸c˜oes desse internauta na rede mundial. A identidade ´e definida como a representa¸c˜ao de uma pessoa por um servi¸co. Se a pessoa acessa v´arios servi¸cos sob a mesma identi- dade, ´e poss´ıvel estabelecer uma rela¸c˜ao com seus acessos; nesse caso, ´e recomend´avel ter m´ultiplas identidades virtuais (pseudˆonimos) para acessar os servi¸cos, selecionar qual identidade usar para cada servi¸co e poder gerenciar suas validades. A veri- fica¸c˜ao das identidades deve ser relacionada `a sensibilidade dos servi¸cos, ou seja, n˜ao ´e necess´aria a autentica¸c˜ao para acessar um servi¸co n˜ao sens´ıvel, isso ´e, um servi¸co que n˜ao armazena nem gera dados pessoais, por´em uma autentica¸c˜ao forte ´
e indispens´avel para servi¸cos sens´ıveis para impedir quaisquer usurpa¸c˜oes de iden- tidade. As tecnologias da computa¸c˜ao difusa devem ser utilizadas para desenvolver dispositivos pessoais que permitam a qualquer usu´ario gerenciar facilmente suas identidades virtuais [ISMS2003, 2003].
• Comunica¸c˜ao anˆonima: a an´alise de tr´afego nas redes como, por exemplo, a inter- net ´e uma importante amea¸ca `a privacidade, mesmo se o conte´udo da comunica¸c˜ao for criptografado. A observa¸c˜ao dos endere¸cos de origem e de destino dos pacotes IP pode revelar informa¸c˜oes sens´ıveis. O endere¸co IP pode ser utilizado para identificar e localizar geograficamente uma pessoa; este risco ´e maior na computa¸c˜ao difusa, pois as comunica¸c˜oes sem fio s˜ao f´aceis de captar. Para evitar a escuta passiva da comunica¸c˜ao, David Chaum apresenta um protocolo que utiliza roteadores chama- dos MIX [CHAUM, 2001] que ocultam a rela¸c˜ao entre as mensagens que entram e saem deste roteador, embaralha as mensagens recebidas antes de transmiti-las em uma ordem aleat´oria. Neste caso, por exemplo, se Alice quer se comunicar com Bob de forma anˆonima, ela criptografa sua mensagem com a chave do MIX e a envia para o MIX. O MIX ent˜ao se carrega de localizar Bob e lhe encaminha a mensagem crip- tografada. Desta forma, um malicioso escutando e analisando a comunica¸c˜ao n˜ao consegue diferenciar Alice das outras pessoas que enviam mensagens para o MIX, nem Bob dos demais destinat´arios de mensagens vindos do MIX. Outras abordagens de comunica¸c˜ao anˆonima s˜ao baseadas em aloca¸c˜ao dinˆamica de endere¸co IP atrav´es de servidores DHCP [CHAUM, 1998].
• Acesso anˆonimo a servi¸co: a comunica¸c˜ao anˆonima n˜ao ´e suficiente para ter um acesso anˆonimo a um servi¸co. As mensagens de solicita¸c˜ao de servi¸cos enviadas ao
fornecedor podem conter informa¸c˜oes identificadoras que revelam a privacidade, por- tanto, elas devem ser transformadas por um proxy, uma autoridade intermedi´aria, antes de serem transmitidas ao fornecedor de servi¸co. Esta transforma¸c˜ao depende da semˆantica da mensagem (significado do seu conte´udo). Uma transforma¸c˜ao ex- agerada pode distorcer ou perder o significado original da mensagem, portanto ´e necess´ario um cuidado especial o que n˜ao ´e uma tarefa f´acil. O acesso a um servi¸co depende de autoriza¸c˜ao de privil´egios, e deve tamb´em manter a privacidade do usu´ario, para isso ´e necess´ario separar a autoriza¸c˜ao da autentica¸c˜ao: nem sempre se pode exigir provar a identidade para obter privil´egios de acesso. Simplesmente poderia ser usada uma garantia anˆonima (anonymous credencial ) [DEMORACSKI, 2005]. Esta abordagem ´e conhecida como autoriza¸c˜ao anˆonima, cuja implementa¸c˜ao pr´atica ´e o IDEMIX (Identity Mixer ) [CAMENISCH; HERREWEGHEN, 2002]. A ideia ´e baseada em pseudˆonimo, garantia e prova criptografada chamada assinaturas de grupo. Com a assinatura, os membros de um grupo podem ter acesso ao servi¸co de um servidor, sem revelar suas identidades.
´
E desej´avel que a gest˜ao de tais garantias anˆonimas seja integrada nos dispositivos pessoais dos usu´arios: implementar em chips algoritmos de criptografia que permitam autenticar os atributos secretos dos usu´arios nos seus pr´oprios dispositivos. Esses dispos- itivos deveriam integrar as tecnologias de autentica¸c˜ao por biometria, para impedir que eles sejam usados por terceiros em caso de perda e roubo, garantindo assim a “intransferi- bilidade”.