Após uma longa espera e várias insistências, recebemos da Câmara Municipal de Lisboa (CML) a resposta à questão que colocamos, no sentido de esclarecer se teriam sido implementadas medidas de segurança ou de controle no acesso à Internet proporcionado através do projecto "Jardins Digitais", actualmente já terminado.
A resposta da CML vem confirmar as nossas suspeitas, confirmadas por estes em alguns dos locais de acesso e constantes das próprias regras disponíveis no "site" do Projecto, sendo patente que não há um controle que é obrigatório para outros fornecedores de acesso público, como, por exemplo, os "cybercafés".
Na resposta, a CML remete para os operadores associados qualquer questão técnico-jurídica, desresponsabilizando-se pela falta de controle de acessos, esquecendo que existe uma responsabilidade partilhada entre o promotor e quem desenvolve o projecto.
Sem registo ou restrições, o que seria um projecto louvável reveste-se de um conjunto de perigos que poderão resvalar para a ilegalidade, dada a não implementação de qualquer medida de controle que poderia nem ser demasiado difícil de imaginar.
A nossa sugestão foi a obrigar a uma inscrição do utilizador, constituindo uma base de dados em que a identidade deste estaria ligada ao endereço físico da placa de rede e a um conjunto de senha de identificação e de "password", de forma a que situações de abuso pudessem ser devidamente averiguadas, limitando os riscos de actividades ilícitas ou ilegais.
Da mensagem enviada ao responsável pelo projecto na CML, transcrevemos o essencial do conteúdo, no qual exprimimos as preocupações que, aliás, são comuns ao legislador que impôs controles que permitam identificar os utilizadores:
Sem registos de identidade e de tráfego, um projecto que considero louvável poderá vir a ser usado para fins ilícitos ou ilegais, algo que, infelizmente, sucede cada vez mais a nível da Internet e que, por ser do conhecimento de ambos, não se justifica listar.
Excluindo questões jurídicas, que neste caso serão de menor importância dado o teor e a intenção do contacto, a responsabilidade é partilhada entre quem implementa o Projecto e quem o promove e determina a sua orientação e regulamentação.
Lembramos que quem disponibiliza acessos públicos, como, por exemplo, os "cybercafés", são obrigados a implementar sistemas de identificação e de registo dos utilizadores, dissuadindo assim o uso indevido e fornecendo instrumentos e informações úteis a quem necessite de investigar situações de abuso.
Assim, sugere-se que cada utilizador necessite de se inscrever junto da CML ou das entidades que dão suporte operacional ao Projecto, o que pode ser feito de forma simples para quem tenha, por exemplo, um endereço de correio electrónico associado a um contrato com um prestador de serviço.
Bastará neste caso que a este endereço seja associado o endereço físico da placa de rede e, por exemplo, o "host name", ambos fáceis de obter a partir do comando "ipconfig /all" em máquinas Windows, para que sejam inscritos numa lista de verificação e possam usar os recursos que a CML, através de um conjunto de operadores lhes proporciona.
Outras alternativas existem, sendo que, para quem não tenha um contrato de acesso ou um endereço institucional, consideramos que um registo presencial será necessário.
Fica assim, finalmente, esclarecida uma questão que deveria ter sido respondida ainda durante o ano passado, lamentando-se quer a demora, quer o facto de a CML, como promotor e responsável último do projecto, não ter inquirido as operadoras responsáveis quanto às medidas a implementar no sentido de garantir o controle dos acessos.
No balanço, surge uma média de acessos inferior ao esperado, mesmo para um projecto-piloto, e dúvidas quando ao acompanhamento que era da responsabilidade do Instituto Superior Técnico e desconhecemos se foi efectuado.
Tal como mencionamos anteriormente, este é um projecto positivo, mas que sem que sejam implementadas medidas de segurança apropriadas encerra perigos que temos vindo a denunciar.
Subscrever:
Enviar feedback (Atom)
Mensagens
4 comentários:
Se os jardins digitais são um problema, então o que dizer do acesso disponível à internet através dos telemóveis 3G onde não há controlo de quem compra e usa o cartão?
Pelo que sei, existem firewalls constantemente actualizadas em operadores móveis que armazenam o estado das ligações IP e interrompem o fluxo se detectarem alguma actividade considerada perniciosa.
Esta actividade pode estar a ser efectuada não através dos serviços da CML mas através dos operadores de serviço Jardins Digitais. Neste caso considero que a responsabilidade não é partilhada, mas cabe inteiramente aos promotores Broadnet, Zapp e PTWifi por serem estes que têm o know-how e que montam o serviço.
Olá
O texto da CML, que não publiquei por razões legais, aponta para uma completa desresponsabilização e, pelo teor, para a ausência de controle por parte dos operadores.
Caso a CML tivesse imposto regras, os operadores seriam responsáveis pela sua implementação, mas tal é algo que nem está contemplado na resposta.
Os telemóveis, pelo menos, têm que ser pré-pagos ou têm contrato, pelo que a esmagadora maioria tem algum tipo de controle, além de que há muitas operações que são complicadas de efectuar com eles.
Um abraço
Não se deve usar o MAC address do utilizador porque as ferramentas de snooping actuais capturam os mac addresses utilizados pelos PCs em Wifi, e há utilitários que podem mudar ou mascarar o MAC address do pc. Portanto, um pirata pode fingir que é outro utilizador autorizado. Uma solução seria usar uma VPN com username e password, mas isso tornava o acesso mais difícil para um utilizador novato, mas seguro. Uma melhor solução seria uma VPN com PEAP.
Continuo a achar que houve algum controlo porque a PTWiFi e a Zapp não vão fornecer um serviço de ligação à Internet sem uma stateful firewall pelo meio a policiar o tráfego - é obrigatório, para protecção deles. A pessoa da CML que te respondeu não deve saber desses detalhes.
Abraço
P.S.: Podes mandar-me a resposta da CML por email?
Um pirata, quando está decidido, pode fazer quase tudo, mas para a maioria, algo simples como a combinação de MAC com o host name já desencoraja e não complica os processos.
O ideal seria sempre que quem tivesse um contracto válido não tivesse burocracias e implementar VPN's dá trabalho.
Um operador pode bloquear alguma coisa, mas muito do que se passa de ilegal, parece tráfego legítimo, como, por exemplo, usar um acesso anónimo para uma transação com um cartão de crédito de outra pessoa.
De resto, a minha experiência com o grupo PT, neste caso Netcabo, é preocupante.
Um abraço
Enviar um comentário