Toda vez que entramos num site com supostas informações públicas confiáveis (ex. acesso ao inteiro teor das leis do seu município), ou com supostos serviços privados confiáveis (ex. o seu internet banking), a única e principal garantia de que não estamos entrando “numa roubada” é o nome de domínio — por exemplo esta página está sob o domínio dadosAbertos.social.
Quem é responsável pelas informações e pelos serviços online é o “dono do domínio”. Se for um site institucional, provavelmente o “dono” vai se revelar numa página do tipo “Quem somos”… Mas quem garante que ele é quem diz que é? Ou como obter a ficha completa se a página não indica o CPNJ?
No Brasil quem cuida dos nomes de domínio .br é o http://Registro.br , e tem sido um grande aliado da transparência: exige confirmação do CNPJ e, além disso, publica todos os dados no seu “diário oficial” — antes conhecido como WHOIS, o “protocolo dedo duro” do nome de domínio ficou obsoleto, agora em 2020 está (aos poucos) sendo substituído pelo RDAP (Registration Data Access Protocol).
Mas e os nomes de domínio que não são "final .br", quem garante?
São de fato um grande problema, ainda muito utilizados por “sites oficiais” brasileiros (de bancos, prefeituras, etc.), a autoridade desses nomes (top-level domains tais como .com, .org, .social, etc.) não obriga a transparência.
Conforme já comentado antes aqui, a URL de um Portal de Leis da prefeitura, por exemplo, precisa ser .gov.br e, quando por algum motivo bem justificado não o for, precisa ser transparente (no mínimo .br). A URL é a “casa dos dados oficiais”, é estratégica para o cidadão e a prefeitura: sem transparência, legitimidade e responsabilização, não se pode dizer que o dado publicado é confiável, e não deveríamos aceitar que seja tido como “oficial”.
Sugestão de discussão
O novo protocolo RDAP, que trouxe muitos benefícios tecnológicos se comparado ao WHOIS, “morre na praia” se não tiver a contrapartida de exigência de transparência nos sites de serviços públicos de dados oficiais e “serviços seguros” (afetados pela LGPD). É importe como comunidade de dados abertos, por um lado exigir que se publiquem informações no RDAP, e por outro, exigir que Leis e normas técnicas também façam as exigências cabíveis.
NOTAS:
-
Também cabe a nós, como comunidade interessada, fazer a preservação digital dos dados resgatados do RDAP de sites do governo, dos bancos, etc. Ou seja, fazer e manter um backupizão desses dados.
-
Para estarmos mesmo seguros de não sermos vítimas de ataques (pharming), há que se exigir de fornecedores de dados oficiais (ex. Diário Oficial) que certifiquem seu domínio com DNSSEC. Hoje o Registro.br exige isso apenas de bancos… O DNSSEC ficou mais simples e barato, é hora de ampliar a exigência.
-
A “roubada” mais comum é conhecida como phishing. São páginas ou e-mails bem maquiados, com visual convincente, em geral se passando por grandes empresas (bancos por exemplo), mas cujo domínio (na URL da página ou no remetente do e-mail) não bate com a identidade de quem diz ser.
