Confiabilidade e dados transparentes nos domínios da internet

Toda vez que entramos num site com supostas informações públicas confiáveis (ex. acesso ao inteiro teor das leis do seu município), ou com supostos serviços privados confiáveis (ex. o seu internet banking), a única e principal garantia de que não estamos entrando “numa roubada” é o nome de domínio — por exemplo esta página está sob o domínio dadosAbertos.social.

Quem é responsável pelas informações e pelos serviços online é o “dono do domínio”. Se for um site institucional, provavelmente o “dono” vai se revelar numa página do tipo “Quem somos”… Mas quem garante que ele é quem diz que é? Ou como obter a ficha completa se a página não indica o CPNJ?

No Brasil quem cuida dos nomes de domínio .br é o http://Registro.br , e tem sido um grande aliado da transparência: exige confirmação do CNPJ e, além disso, publica todos os dados no seu “diário oficial” — antes conhecido como WHOIS, o “protocolo dedo duro” do nome de domínio ficou obsoleto, agora em 2020 está (aos poucos) sendo substituído pelo RDAP (Registration Data Access Protocol).

Mas e os nomes de domínio que não são "final .br", quem garante?
São de fato um grande problema, ainda muito utilizados por “sites oficiais” brasileiros (de bancos, prefeituras, etc.), a autoridade desses nomes (top-level domains tais como .com, .org, .social, etc.) não obriga a transparência.

Conforme já comentado antes aqui, a URL de um Portal de Leis da prefeitura, por exemplo, precisa ser .gov.br e, quando por algum motivo bem justificado não o for, precisa ser transparente (no mínimo .br). A URL é a “casa dos dados oficiais”, é estratégica para o cidadão e a prefeitura: sem transparência, legitimidade e responsabilização, não se pode dizer que o dado publicado é confiável, e não deveríamos aceitar que seja tido como “oficial”.


Sugestão de discussão

O novo protocolo RDAP, que trouxe muitos benefícios tecnológicos se comparado ao WHOIS, “morre na praia” se não tiver a contrapartida de exigência de transparência nos sites de serviços públicos de dados oficiais e “serviços seguros” (afetados pela LGPD). É importe como comunidade de dados abertos, por um lado exigir que se publiquem informações no RDAP, e por outro, exigir que Leis e normas técnicas também façam as exigências cabíveis.


NOTAS:

  • Também cabe a nós, como comunidade interessada, fazer a preservação digital dos dados resgatados do RDAP de sites do governo, dos bancos, etc. Ou seja, fazer e manter um backupizão desses dados.

  • Para estarmos mesmo seguros de não sermos vítimas de ataques (pharming), há que se exigir de fornecedores de dados oficiais (ex. Diário Oficial) que certifiquem seu domínio com DNSSEC. Hoje o Registro.br exige isso apenas de bancos… O DNSSEC ficou mais simples e barato, é hora de ampliar a exigência.

  • A “roubada” mais comum é conhecida como phishing. São páginas ou e-mails bem maquiados, com visual convincente, em geral se passando por grandes empresas (bancos por exemplo), mas cujo domínio (na URL da página ou no remetente do e-mail) não bate com a identidade de quem diz ser.

Interessante a discussão que você levantou, Peter. Não sabia desse novo protocolo para informações sobre domínios, nem da sua exigência a partir de agora.

Nesse contexto, é relevante destacar que há alguns anos o governo federal, responsável pela gestão do registro dos domínios .gov.br (mesmo que seja site de governo estadual ou prefeitura) publica as informações sobre a quem pertence cada domínio neste dataset:

Entretanto, já faz um tempo (no mínimo, alguns meses) que ele está retornando um arquivo CSV vazio, ou seja, apenas com o cabeçalho. É importante provocar pela ouvidoria e/ou e-SIC para que os dados sejam restabelecidos.

1 Curtida

Problema corrigido! Entrei em contato com os responsáveis e o dataset dos domínios .gov.br voltou a funcionar. Porém com a observação de que, com o disposto no Decreto n.º 9.756, de 11 de abril de 2019, o registro de domínios ficou mais burocratizado e parece que não estão autorizando novos registros:

Art. 3º A Secretaria de Governo Digital da Secretaria Especial de Desburocratização, Gestão e Governo Digital do Ministério da Economia coordenará os processos de solicitação e autorizará o registro de domínios na internet e de aplicativos móveis nas lojas de aplicativos.

§ 1º Fica vedado, a partir de 1º de julho de 2019, o registro de novos domínios “.gov.br” na internet e de aplicativos móveis em lojas de aplicativos pelos órgãos e pelas entidades da administração pública federal a que se refere o art. 1º sem autorização prévia e análise de conformidade, a ser disciplinada em ato do Secretário de Governo Digital da Secretaria Especial de Desburocratização, Gestão e Governo Digital do Ministério da Economia.

Não sei como está a questão dos domínios de estados, municípios e distrito federal que usam domínios debaixo do .gov.br. Provavelmente têm um domínio principal que é a sigla da uf.gov.br, e debaixo dele colocam os subdomínios, registrados com a empresa estadual de TI. Pode ser que valha a pena tentar pedidos de acesso à informação, via LAI, junto aos estados, para obter as listas de domínios estaduais.