MADRID 3 ago. (Portaltic/EP) -
O projeto “open source” de verificação de idade da União Europeia está gerando críticas após a confirmação de que exige a certificação por “hardware” como um requisito estrutural, o que excluiria sistemas operacionais abertos como o GrapheneOS e o Linux.
O sistema de identidade digital europeia (EUDI), vinculado ao Regulamento (UE) n.º 910/2014, permite que os usuários se identifiquem e realizem procedimentos em qualquer país da União Europeia por meio de uma única identidade digital segura. Além disso, facilita a verificação de idade sem revelar o nome, a data exata de nascimento ou outros dados pessoais a terceiros.
Dentro desse sistema, os usuários terão à disposição a Carteira Europeia de Identidade Digital (“EUDI Wallet”), cujo objetivo é oferecer uma plataforma “robusta e interoperável” para identificação digital, autenticação e assinaturas eletrônicas, baseada em padrões comuns em toda a União Europeia.
Apesar de seu objetivo aberto, para evitar que as credenciais da carteira sejam copiadas ou clonadas, o projeto se baseia em chaves armazenadas em espaços de “hardware” protegidos, como o Ambiente de Execução Confiável (TEE) e o StrongBox — módulo de segurança de “hardware” — para Android ou o Secure Enclave — chip de segurança independente — da Apple.
Isso faz com que o sistema dependa do ‘hardware’ e, consequentemente, seja compatível apenas com determinados dispositivos e sistemas operacionais, o que gerou um debate no repositório do projeto no GitHub, onde os usuários argumentam que vincular as credenciais a ambientes de ‘hardware’ específicos dificultaria o suporte a sistemas abertos.
Como afirmaram alguns usuários, “confiar em detalhes específicos disponíveis apenas em um conjunto limitado de arquiteturas de ‘hardware’ para se apegar a um processo que, por definição, só pode ser eficaz em um ambiente fechado, não traz nenhum efeito positivo”.
Agora, um dos colaboradores oficiais do projeto respondeu diretamente ao usuário que iniciou a discussão sobre as implicações para o software de código aberto, confirmando que “a certificação vinculada ao hardware é um requisito deste projeto, não um detalhe de implementação que possa ser simplesmente eliminado”.
Ele acrescentou ainda que o projeto está aberto a receber propostas concretas de melhoria da arquitetura, que podem ser apresentadas como sugestões sobre a especificação técnica, e anunciou que em breve será publicada uma revisão de segurança e um modelo de ameaças que abordará esse compromisso técnico com maior profundidade.
De acordo com o site especializado em Linux, Linuxiac, a especificação técnica do projeto exige que os aplicativos utilizem o ‘hardware’ criptográfico nativo quando disponível, embora as verificações mais rigorosas (detecção de ‘root’, Google Play Integrity ou App Attest da Apple) não as imponham de forma universal.
As preocupações surgiram em relação a sistemas operacionais como o Linux, ROMs personalizadas do Android, como o GrapheneOS, e aplicativos compilados de forma independente a partir de software livre.
Em resposta à confirmação oficial, vários usuários exigiram explicações sobre por que isso é considerado um requisito inalterável, quando existem arquiteturas alternativas que permitem a atestação criptográfica por ‘hardware’.
De fato, vários usuários citam o GrapheneOS como exemplo da contradição do sistema, já que se trata de uma ROM do Android focada em privacidade e segurança que, de fato, implementa a atestação ligada ao ‘hardware’, mas que seria bloqueada por não passar pelo sistema proprietário do Google, o Play Integrity.
Mesmo assim, segundo a publicação especializada, os usuários do Linux poderiam acessar um site e escanear um código QR usando um aplicativo de carteira digital no celular, embora a arquitetura não ofereça um aplicativo desse tipo de forma nativa.
Vale destacar que, justamente no âmbito dessa iniciativa europeia, os usuários europeus poderão ter, com um “clique” no celular, seu documento de identidade, carteira de habilitação ou diploma universitário em 2027, embora já no final deste ano tenham a possibilidade de incorporar esses documentos à “EUDI Wallet”.
Esta notícia foi traduzida por um tradutor automático