19

A pergunta "Por que sites do governo não têm certificados de segurança?" foi bastante negativada e fechada como fora do escopo, entretanto pelos comentários (e principalmente pelos votos positivos aos comentários) pode-se ver que muitos parecem não entender o assunto a fundo e/ou apenas aproveitaram pra descer o pau no governo... (i.e. quem comentou justificou como má gestão, ausência de necessidade e até razões financeiras, e quem votou [pra fechar] sem comentar presume-se que se guiou por algum desses motivos citados acima)

A pergunta pode ser respondida em sua maior parte puramente em termos da Infraestrutura de Chave Pública (ICP ou em inglês PKI), sem entrar no mérito da gestão da TI do governo ou qualquer coisa interna a essas instituições e que não caberia discutir aqui. E sim, uma resposta seria útil, talvez não exclusivamente ao desenvolvedor (muito embora qualquer um que quisesse interagir com sites do governo programaticamente teria que lidar com certificados raiz da ICP-Brasil), mas em grande parte sim.

Não estou dizendo que é a melhor pergunta do mundo, mas ela é respondível sem sair do escopo do site - haja vista que outras perguntas conceituais sobre criptografia foram aceitas. Dei uma resposta sumarizada em comentário (que espero ser suficiente pra ajudar o AP) mas gostaria de saber se acham que a pergunta tem outros problemas, se é salvável, se há interesse nela por outras pessoas (sério que ninguém nunca se perguntou isso?), etc.

Atualização: após analisar mais exemplos e reler o que achei de relevante na legislação aplicável, optei por remover minha resposta e concordar com o fechamento da pergunta. Pois mesmo existindo um padrão de uso da ICP-Brasil pelos sites do governo, isso não só não é mandatório como existem tantos contra-exemplos quanto existem exemplos, donde concluo que não dá mesmo pra responder a essa pergunta objetivamente.

Atualização 2: abri uma nova pergunta, focada só na parte "respondível" e deixando o resto de lado, tentei não deixá-la muito ampla mas não sei se consegui...

15
  • "descer o pau no governo" ahahahahahah
    – Jorge B.
    Commented 2/12/2015 às 9:13
  • 2
    Sinceramente não consigo entender como consegues achar essa pergunta respondível. Tem tudo de mau que consigo ver numa pergunta no SO.
    – Jorge B.
    Commented 2/12/2015 às 9:56
  • 3
    A pergunta foi fechada por intriga da oposição haha :D
    – rray
    Commented 2/12/2015 às 10:54
  • 1
    A pergunta pode ser ampla, mas ela certamente não é fora do escopo porque o assunto é de interesse à comunidade. No final, se trata de motivação de fechamento errada, imho. Curiosamente, tanto a sua resposta lá na pergunta como a do Daniel aqui no Meta são ótimas fontes de informação, que juntas tornam o assunto de interesse até mesmo para os demais além de nós brasileiros. Mas, não acho que justificam deixar a pergunta aberta, porque ela continua ampla (como o Daniel bem colocou). Aliás, também concordo com o @JorgeB., de que a re-abertura pelo moderador foi um pouco precipitada. Commented 2/12/2015 às 11:53
  • Acho que tem que ser fechada sim, já que só quem cuida destes sites poderia responder, acho o comentário do @brasofilo explica bem o motivo :) - Mas é claro que isto é apenas minha opinião e se a comunidade achar o assunto interessante então irei votar por reabrir, mas por enquanto acho melhor manter fechada mesmo, enquanto não chegamos a um consenso!
    – Syzoth Mod
    Commented 2/12/2015 às 13:15
  • Sobre o teu comentário "fecharam não entendem do assunto e/ou estão apenas interessados em descer o pau no governo"... Eu não critiquei o governo e nem de longe foi o motivo que me levou a votar para fechar, eu não negativei, pois achei que era apenas fora do escopo e o fechamento é o suficiente. O motivo já deixei claro, é algo que só quem gerencia tais sites poderia(am) responder. Espero que não me entenda mal e que não generalize por causa de alguns usuários com comentários agressivos :)
    – Syzoth Mod
    Commented 2/12/2015 às 13:18
  • @GuilhermeNascimento Não foi minha intenção apontar dedos pra ninguém, mas o fato é que eu vi muitos comentários atribuindo o problema à incompetência, quando na verdade existe uma razão técnica/estratégica bem estabelecida por trás. Se cada site fizesse de um jeito, sem norma, sem referência, sem parâmetros, então eu concordaria que não dá pra responder. Mas apesar das exceções, há um padrão aqui, que é o uso da ICP-Brasil como CA para muitos sites do governo. Isso pode ser explicado, o que tentei fazer na minha resposta (inclusive quem discordar da mesma pode e deve negativar lá).
    – mgibsonbr
    Commented 2/12/2015 às 15:21
  • Eu entendo isto, mas quem fechou foi Jorge B., jbueno, CesarMiguel, brasofilo e eu. Todos comentários de quem fechou foram explicados. Não discordo nem um pouco da sua resposta :) - pelo contrário, mas acho que ela responde apenas a metade do problema, então a outra metade é algo que não pode ser respondido, pelos motivos que a maioria citou aqui...
    – Syzoth Mod
    Commented 2/12/2015 às 18:51
  • ...Não me leve a mal é que um trecho você afirma que o fechamento foi por "não entendem do assunto", mas mesmo "nós que fechamos" não tenhamos a capacidade de entender o problema técnico ainda sim fechamos pelo simples fato da parte que não pode ser respondida. :) Eu entendo todo seus pontos colocados aqui e achei um ótima resposta. Só acho que talvez você poderia editar o trecho aqui no meta que fala "não entendem do assunto", pois isto pode ser mal interpretado por outros usuários :D Obrigado por entender!
    – Syzoth Mod
    Commented 2/12/2015 às 18:52
  • @GuilhermeNascimento Se quem comentou tivesse sido mais assertivo (ex.: "Não há razão pra não terem certificados válidos, é pura falta de dinheiro, capacidade de gestão e descomprometimento.") eu poderia ter contestado e as pessoas poderiam então contra-argumentar. Mas o fato é que não só o bigown e o brasofilo afirmaram que isso era meramente um problema de gestão, como também esses comentários receberam muitos votos positivos. O que vi portanto foi o menosprezo da pergunta - o que na minha visão é sinal de falta de conhecimento. Mas vou sim reformular a escrita, pra evitar mal estar.
    – mgibsonbr
    Commented 2/12/2015 às 19:00
  • Não vi tal comentário do brasofilo, ou pelo menos não interpretei como menosprezo (da parte dele), das demais eu não irei comentar, pois acho que o pessoal se focou no problema que era a parte que não pode ser respondida, não sei se fizeram bem ou mal. Mas em certo ponto concordo contigo, as vezes a maneira que é colocada lá nos comentários soa assim como disse, mesmo não sendo a intenção. Sobre a sua pergunta, eu acho que você deveria deixar a sua resposta, ou formular uma nova pergunta e você mesmo responder, pois me parece uma ótima resposta (eu posso ainda visualizar).
    – Syzoth Mod
    Commented 2/12/2015 às 19:17
  • 1
    @GuilhermeNascimento Eu estou escrevendo uma nova pergunta agora. Não vou dar uma auto-resposta de imediato (deixa o resto do pessoal responder também, afinal esse conhecimento pode ser especializado mas não é "arcano", tenho certeza que muitos aqui também têm conhecimento disso), mas se for conveniente eu transcrevo parte da resposta original pra lá.
    – mgibsonbr
    Commented 2/12/2015 às 19:20
  • Concordo com tudo menos que eu disse "que foi meramente", eu não disse isso. Mas eu entendo o que quer dizer e que as pessoas podem interpretar assim. É claro que não posso me responsabilizar pela interpretação das pessoas. Mas realmente agora acho que dá para responder e achei a pergunta nova muito boa. E eu nem esperava que o comentário ia bombar :) Foi quase uma piada...
    – Maniero Mod
    Commented 2/12/2015 às 21:47
  • 1
    @bigown É, eu falei "meramente" (e mais pra frente "menosprezo") na falta de uma palavra melhor, é difícil se expressar por escrito hehe. Pelo que eu te conheço através das suas respostas eu sei que você não tem um raciocínio reducionista e que consegue ver uma situação por diversos ângulos diferentes. Mas o "efeito manada" ainda existe, e se só um lado de um problema é exposto, muitos podem achar que ele é o único lado, por isso insisti em expor a faceta que estava escondida (ainda que no final eu estivesse errado; ei, pelo menos eu próprio aprendi alguma coisa nova nessa história rsrs).
    – mgibsonbr
    Commented 2/12/2015 às 23:04
  • Só acho que a pergunta é boa sim, tudo bem que foro do escopo. Mas ela gerou muita informação boa. Tem um site que essa pergunta seria bem vinda?
    – durtto
    Commented 9/12/2015 às 17:51

3 Respostas 3

8

Eu discordo totalmente com a reabertura da pergunta, acho que ela é completamente fora do escopo do site, ampla demais e baseada em opiniões.

Ora vejamos,

Por que sites do governo não têm certificados de segurança?

Se alguém tenta responder a isto numa linha resumidamente o que responderia? "Não sei, tem de falar com alguém do Governo", os motivos podem ser vários.

E mgibsonbr só o *.senado.gov.br usa essa um certificado emitido pelo ICP-Brasil, o que invalida completamente a sua resposta.

Então, eu realmente gostaria de entender porque estes sites não têm isso. Deveriam ter? É problema de custo? De quanto dinheiro estamos falando?

Nestas perguntas todas a única que se adequa ao site é "Deveriam ter?", aqui sim poderíamos dar uma resposta como deu o mgibsonbr, embora eu ache que a resposta é a uma outra pergunta que não essa...

Por último,

Talvez seja custo, talvez seja incompetência. Ainda assim, é algo que quem entende de criptografia e segurança em redes deve saber. E eu não vejo como criptografia e segurança de redes está "fora de escopo" neste site.

O próprio AP responde com dois talvez que nada têm a ver com programação e sim com opinião. E criptografia e segurança não são fora de escopo do site, mas perguntas envolvendo criptografia e segurança podem estar.

mgibsonbr acho que devias reler a pergunta, a tua resposta, e vai ver que estás a dar a tua opinião sobre a pergunta e não factos. E vou colocar de novo para fechar.

Só para acrescentar um comentário pertinente do @brasofilo que eu concordo completamente:

A pergunta não é sobre "segurança e criptografia", é sobre a motivação/competência/funcionamento de diversos setores de TI de diversas instituições governamentais. A não ser que um funcionário de cada um sites citados venha aqui explicar o motivo, não há resposta possível.

4
  • O meu problema com essa questão de "fechar baseado em opiniões" é que o que pode ser opinião pra uns pode ser fato pra outros, e os primeiros só acham que é opinião porque desconhecem os fatos. Eu vou sim rever minha resposta, mas no sentido de buscar referências externas que me corroborem (ou me refutem, caso minhas informações estejam desatualizadas), pois nada dito ali foi minha opinião. O processo de estabelecimento da ICP-Brasil determinou (correta ou erradamente) que os principais sites do governo deveriam utilizá-la como CA raiz.
    – mgibsonbr
    Commented 2/12/2015 às 15:32
  • 1
    @mgibsonbr deveriam é diferente serem. De qualquer forma eu tenho de dar -1 quando vejo contradições assim graves. Ainda por cima a resposta assenta completamente nesse pressuposto.
    – Jorge B.
    Commented 2/12/2015 às 16:13
  • 1
    Concordo, meu erro foi não verificar aqueles sites antes de responder. Tanto o senado quanto o brasil usam certificados do Serpro (com raiz no ICP-Brasil), mas o IBGE e Funai são auto-assinados, e o do IBAMA usa certificado de terceiros. Com certeza me enganei quanto ao escopo da ICP-Brasil. De memória lembrei que todo site "importante" (como receita.fazenda.gov.br) usava esse CA (pois ao longo dos anos tenho os usado e vejo sempre o mesmo comportamento), mas erroneamente generalizei pra "qualquer site .gov.br. Vou procurar a legislação relevante e retificar minha resposta.
    – mgibsonbr
    Commented 2/12/2015 às 16:20
  • 2
    "Ainda por cima a resposta assenta completamente nesse pressuposto" De fato, assenta. Removi a resposta, pois a mesma não pode ser adaptada à luz dessas novas informações. Eu estaria respondendo a uma pergunta diferente da que foi feita...
    – mgibsonbr
    Commented 2/12/2015 às 17:54
9

Eu discordo em reabrir e também não achei convincente a resposta pois ainda assim a pergunta está muito ampla.

O site do ibama, por exemplo, o certificado aparece como inválido por que está expirado. Simples assim. Falta de manutenção, desleixo, falta de verba. Não importa o motivo. Quem pode responder é somente o responsável pelo site.

Aliás, falta de verba seria uma desculpa muito exdrúxula, pois, não ter verba para comprar um certicado de 15 dólares pode 3 anos não é desculpa. Mas enfim, não podemos julgar.

O certificado no site do ibama foi emitido pela COMODO.

inserir a descrição da imagem aqui

Uma resposta simples seria,

  • certificados expirados

  • cerficados mal configurados

  • certificados sem homologação reconhecida. (autoridade inválida)

Em outro exemplo, o site do IBGE, possui certificado perfeitamente válido, porém o emissor não é uma autoridade válida.

Por que votei para fechar como fora de escopo?

Porque quem poderia responder o motivos dos certificados estarem inválidos para navegação é os administradores de cada um dos sites. Por isso, acho inviável alguém que não é administrador dos sites, fornecer uma resposta.

Como mostrei acima, 2 exemplos distintos. O IBAMA usando um certificado "estrangeiro" da COMODO, porém, expirado. Isso é vergonhoso. Mostra que os administradores são desleixados ou irresponsáveis, mas não podemos julgar dessa forma pois não sabemos o motivo.

Cada site é independente. Possui gestões diferentes.

É algo como perguntar "qual tecnologia web usam os grande sites do mundo?" ebay, google, amazon, yahoo, facebook".

É inviável e amplo demais. Também fora de escopo.

Estendendo o assunto sobre certificados SSL

Um certificado SSL pode ser criado gratuitamente. Ninguém é obrigado a comprar um cerficado, porém, para os browsers reconhecerem a origem de um certificado, o mesmo precisa ter sido emitido por um órgão homologado.

Saliento novamente que isso é uma regulamentação dos browsers somente. Um certificado gerado gratuitamente pode ser usado sem problemas, pois o que importa é a codificação dos dados.

Mas por questão de segurança referente a browsers, é preciso ter uma homologação para que sejam aceitáveis pelos navegadores (browsers). Infelizmente os browsers tiveram que impor essa norma para evitar fraudadores de certificados SSL.

De qualquer forma, não importa os motivos, todos os sites do governo ou qualquer outro que utiliza um SSL sem autoridade válida, está errado.

Se o propósito de uso desse certificado é para navegação online em browsers populares, o certificado deve estar dentro das normas.

1
  • Concordo, de fato eu não pude testar cada um dos exemplos apresentados (pois eu estou sofrendo um MitM do meu próprio antivírus e todos os certificados parecem vir dele...), respondi baseado na minha experiência passada (com sites tipo o da Receita Federal, e outros assim). Talvez nem todos os sites se baseiem na ICP-Brasil, mas esses que "o emissor não é uma autoridade válida", sim. Concordo também sobre a maioria dos seus pontos, exceto o "quem não segue as normas está errado". As normas não são perfeitas. Eu próprio sou muito crítico dessas normas.
    – mgibsonbr
    Commented 2/12/2015 às 15:17
7

Dado o seu comentário, eu reabri a pergunta e espero que você transforme o comentário em resposta.

Eu não participei da suspensão nem negativei a pergunta, mas lendo inicialmente a pergunta é fácil assumir que se trata de uma falha de gestão mais do que uma decisão.

Porém, como revelação em final de novela mexicana, contra todas as expectativas, no fim das contas parece haver uma explicação que faz todo o sentido. :)

Ao ler a pergunta

inserir a descrição da imagem aqui

Depois da explicação no comentário

inserir a descrição da imagem aqui

Atualização após comentários

Lembro a todos que minha proposta de moderador era fazer o possível para salvar perguntas aparentemente "perdidas". Não vejo problemas em ser "precipitado" em reabrir uma pergunta quando um usuário confiável afirma ter uma resposta para ela.

Percebam que não é o mesmo caso de outras discussões sobre fechamento onde o texto no meta começa com um questionamento do motivo. Este tópico aqui é basicamente: "eu tenho uma resposta, permita-me postá-la". Postergar essa reabertura somente inibiria uma boa resposta.

Não há problema algum em que a comunidade tenha decidido fechá-la novamente. Depois da discussão, eu mesmo fecharia sem a necessidade dos usuários votarem por isso. Estamos na era da informática, tais decisões não ficam gravadas em pedra.

Para mim a pergunta precisava apenas de algum ajuste, o qual eu faria sem problemas em tempo oportuno. Há informações importantes que resultam dessa pergunta e considero agregar valor para o site. As coisas não ocorreram como eu esperava, mas acabaram bem.

No fim das contas o mais importante aconteceu: os usuários preocupados com a qualidade1 puxaram o nível do site para cima, pois a pergunta com problemas está suspensa, enquanto os usuários preocupados com o conhecimento2 fizeram que ele fosse adicionado ao site, através da nova pergunta do @mgibsonbr.

1,2 Podem ser os mesmo usuários em tempos diferentes.

23
  • 2
    Hahaha valeu! Vou escrever uma resposta então, e garanto que não vou decepcionar! :)
    – mgibsonbr
    Commented 2/12/2015 às 3:56
  • 1
    Eu mantinha-a fechada e sinceramente acho mal que a tenhas aberto sem discussão previa no meta.
    – Jorge B.
    Commented 2/12/2015 às 9:57
  • 1
    @JorgeB. ela pode ser fechada novamente a qualquer momento, mas se ela não tivesse sido aberta ninguém saberia o que o mgibsonbr iria responder, agora pelo menos temos mais informações para decidir se fechamos ou não.
    – Math Mod
    Commented 2/12/2015 às 10:59
  • 2
    @Math então sempre que eu quiser responder a uma pergunta abro no meta, digo que consigo responder à pergunta e abrem-me a pergunta para eu responder? Acho que se está a abrir um precedente...
    – Jorge B.
    Commented 2/12/2015 às 11:01
  • 3
    Sinto falta de que a pergunta fosse editada para deixá-la um pouco mais técnica, nem que fosse pelo menos para remover aquele último parágrafo irrelevante.
    – brasofilo
    Commented 2/12/2015 às 11:03
  • 1
    @Math não acho boa política, mas ok.
    – Jorge B.
    Commented 2/12/2015 às 11:06
  • 3
    @JorgeB., chega um momento, em que o caso é limítrofe, e que power-users acham que o assunto é on-topic, que a responsabilidade é deles em mostrar porquê através de uma edição. Não concordo com a reabertura unilateral sem pelo menos ter revisado o conteúdo da pergunta.
    – brasofilo
    Commented 2/12/2015 às 11:07
  • 1
    @brasofilo mas eu não entendo como se reabre uma pergunta com tantos problemas, a meu ver...
    – Jorge B.
    Commented 2/12/2015 às 11:09
  • 1
    Primeiro, desculpe por não ter dado mais atenção ao tópico. Já é tarde por aqui e estou no celular. Primeiro, e uso concordei com o argumento do Marcelo porque ele faz sentido. O ICP é o órgão oficial brasileiro para emissão de certificados digitais. Faz todo sentido os sites usarem esse certificado e o browser mostrar um erro. Segundo, a resposta certamente é possível ainda que dentro de certos limites. A própria resposta do Daniel mostrou isso.
    – utluiz Mod
    Commented 2/12/2015 às 11:11
  • 1
    Terceiro, a resposta mais certa é que os sites possuem sim certificados, mas por diversos motivos eles são apresentados com erro no browser. Os motivos sao: expiração e autoridade certificadora não reconhecida. Quanto à AC, alguns sites tem certificados auto assinados, o que é uma falha técnica e outros confiam em entidades como o IPC ou SERPRO, que são regulados pelo governo e, portanto, assume-se que seu uso é regido por decisões internas. Lembrando que se o país decidiu investir em sua própria solução, isso significa que ela é o padrão por aqui.
    – utluiz Mod
    Commented 2/12/2015 às 11:15
  • 2
    Enfim, embora o assunto seja tangencial à programação, ele é interessante por dois motivos: uma boa resposta explica o motivos dos erros, que não são óbvios para quem não entende o que é um certificado e também porque muitos programadores precisam acessar serviços do governo e entender que existe uma autoridade certificadora nacional, além dos demais problemas, faz parte do aprendizado que eles precisam.
    – utluiz Mod
    Commented 2/12/2015 às 11:17
  • 3
    Lamento o transtorno, e agradeço pela oportunidade que me deu de tentar responder, mas entendo as pessoas que estão criticando a reabertura unilateral. Se olharem no histórico, verão que eu próprio não votei pra reabrir em momento nenhum, preferindo aguardar a discussão acontecer antes de tomar uma ação. Dito isso, não considero que reabrir foi incorreto, mesmo que precipitado: se tinha boas razões pra crer que havia de fato uma boa reposta pra pergunta, e as opções fossem deixar fechada e "bloquear esse conhecimento" ou abrir e "deixá-lo ser compartilhado" (pro bem ou pro mal), melhor a 2ª...
    – mgibsonbr
    Commented 2/12/2015 às 15:42
  • 4
    @JorgeB. "então sempre que eu quiser responder a uma pergunta abro no meta, digo que consigo responder à pergunta e abrem-me a pergunta para eu responder? Acho que se está a abrir um precedente..." Já existe esse precedente: as perguntas sobre R! (ou qualquer tecnologia/tópico mais obscuro, aliás) Complementando o que já comentei na sua resposta, se alguém que já demonstrou conhecimento num tópico afirma que uma pergunta pode ser respondida objetivamente, ainda que pra maioria ela pareça ser opinativa ou ampla, custa dar um voto de confiança?
    – mgibsonbr
    Commented 2/12/2015 às 15:51
  • 2
    @JorgeB. Concordo, parcialmente. Até mesmo a pergunta "quanto custa um certificado de segurança?" demonstra um desconhecimento quanto ao funcionamento da Infraestrutura de Chaves Públicas, e pode ser respondido objetivamente ("Um certificado em si não custa nada, mas o processo de verificar a identidade de um indivíduo ou organização pode custar, e é esse serviço que custa dinheiro. Mas não, o custo não depende do tamanho do site, então não é proibitivo pro governo."). De todo modo, o AP lançou essas "perguntas extra" depois que a principal já estava fechada, numa tentativa falha de melhorá-la
    – mgibsonbr
    Commented 2/12/2015 às 16:29
  • 2
    @LuizVieira Infelizmente eu não posso votar como um usuário normal. Voto de moderador automaticamente abre ou fecha a pergunta. Em todo caso, não tenho problemas em vê-la fechada novamente se é o que a comuniade quer, mas lembro a todos que desde a campanha para moderador eu afirmei que ia fazer o possível para salvar perguntas "perdidas". Em todo caso, para mim essa pergunta está apenas mal-formulada e de alguma forma ela foi "salva" através da nova pergunta no Marcelo, embora eu esperasse que ela fosse uma edição e não uma nova pergunta.
    – utluiz Mod
    Commented 2/12/2015 às 22:33

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .