Uma discussão, quatro rodadas

Um governo quer acesso legal a comunicações. Os criptógrafos respondem que um sistema construído para ser legível por uma parte autorizada é um sistema construído para ser legível, e que a autorização é uma política que pode mudar, enquanto a legibilidade é uma propriedade do projeto que não pode. Esse diálogo já dura trinta e três anos sem que nenhum lado ceda, e suas quatro rodadas - controle de exportação, o , a porta dos fundos na norma e a briga atual sobre cifragem na nuvem - costumam ser contadas em separado. São uma história só, e o profissional encontra seus resíduos o tempo todo: em cipher suites chamadas "de exportação", num comprimento de chave que ficou em 56 bits por duas décadas, na decisão de projeto de guardar chaves no aparelho e não no servidor.

A história da família de cifras cobre a primeira rodada pelo lado do algoritmo, e o artigo da EFF cobre o litígio que a encerrou. Este é o arco de política pública, e as rodadas do meio.

16 de abril de 1993: o chip

A Casa Branca de Clinton anunciou por comunicado à imprensa: um chip resistente a violação, oficialmente MYK-78 e universalmente Clipper Chip, a ser embutido em telefones seguros. A cifragem era genuinamente forte - um algoritmo chamado Skipjack, projetado pela National Security Agency (NSA). O acordo estava na chave. A chave de unidade de cada chip era dividida em duas partes, guardadas por duas agências depositárias distintas, que a polícia, com a autorização apropriada, podia obter e recombinar. Toda chamada cifrada também levava um Law Enforcement Access Field (LEAF), que continha a chave de sessão embrulhada sob aquela chave de unidade, de modo que uma chave de unidade recuperada abria o tráfego.

Duas objeções chegaram imediatamente e eram de naturezas diferentes. A primeira era de liberdades civis e política, e produziu uma coalizão incomumente ampla - tecnólogos, defensores da privacidade e a indústria, com políticos de todo o espectro. A segunda era mais estreita e mais danosa: o Skipjack era classificado. Não podia ser avaliado publicamente, e um pequeno grupo de criptógrafos a quem foi mostrado sob acordo não podia publicar. Uma cifra que ninguém pode examinar não pode ser confiada por quem é solicitado a depender dela, qualquer que seja sua qualidade real - que é o argumento que o verbete da RSA registra sendo feito de novo, uma década depois, sobre um gerador de números aleatórios.

Então, em agosto de 1994, Matt Blaze, dos Bell Laboratories da AT&T, publicou "Protocol Failure in the Escrowed Encryption Standard", e aqui o registro merece mais cuidado do que costuma receber. Blaze não quebrou o Skipjack. O que ele mostrou foi que um usuário determinado podia se comunicar por um aparelho Clipper sem transmitir um LEAF válido - obtendo a cifragem e derrotando o depósito. Ele disse isso no artigo. O resumo popular, de que Blaze achou "falhas de segurança no Clipper", não é bem o que aconteceu, e a distinção importa: o frágil era o mecanismo de depósito, não a cifra, e as pessoas visadas pelo esquema eram exatamente as dispostas a ter o trabalho extra de contorná-lo. Um criminoso teria cifragem forte sem depósito; um cidadão comum teria depósito por padrão.

A AT&T construiu um telefone com o chip. Foi o único produto que chegou a ser vendido com ele. Em 1996 a proposta estava morta.

Por que o depósito de chaves perde sempre por engenharia

O argumento recorrente não é que governos não tenham interesse legítimo. É que acesso excepcional é uma mudança estrutural no sistema, não uma permissão acrescentada a ele.

Um sistema com mecanismo de decifragem autorizada tem esse mecanismo esteja ou não presente a autorização. O mecanismo precisa ser implementado em todo aparelho, mantido em toda versão e protegido em trânsito e em repouso; o banco de depósito vira alvo único guardando as chaves de tudo que o esquema cobre; e o próprio caminho de acesso precisa ser autenticado, o que significa que a segurança do sistema inteiro passa a repousar na segurança de um processo e não na matemática. O verbete da Nortel registra uma empresa cujas credenciais foram levadas e que trocou senhas sem expulsar o intruso; o verbete da Ericsson registra um subsistema de interceptação legal presente numa central enquanto o subsistema de auditoria não fora comprado, e um ano de chamadas grampeadas que ninguém notou. Os dois são acesso excepcional funcionando exatamente como projetado, para outra pessoa.

A sequência, de 2013 até agora

A proposta morreu; o objetivo não.

Em 2013 as revelações de Snowden mostraram que, enquanto a discussão pública era sobre depósito de chaves, a NSA perseguia o mesmo fim em silêncio - pelo processo de normas, como registra a história do Dual_EC_DRBG, e pela infraestrutura de derivação de fibra sobre a qual a litigou por dezesseis anos. A resposta da indústria não foi uma posição política, e sim uma construção: cifragem de ponta a ponta virou padrão na mensageria de consumo, e os celulares passaram a guardar chaves que o fabricante não consegue produzir.

Isso produziu a terceira rodada. Depois do atentado de San Bernardino em 2015, o FBI obteve ordem judicial sob o All Writs Act determinando que a Apple construísse uma versão do seu sistema operacional que permitisse à agência quebrar por força bruta um iPhone bloqueado. A Apple recusou, argumentando que o software não existia, que construí-lo criaria uma capacidade que poderia ser exigida de novo, e que a exigência era de natureza legislativa e pertencia a um parlamento. O caso terminou sem decisão quando a agência achou outro caminho, o que deixou a questão jurídica exatamente onde estava.

A quarta rodada corre agora, e é a que merece atenção porque é a primeira em que um governo obteve em boa medida o que pediu. Em janeiro de 2025 o Home Office do Reino Unido emitiu à Apple uma technical capability notice sob a seção 253 do Investigatory Powers Act de 2016 - uma ordem secreta, que o destinatário não pode divulgar - exigindo, segundo relatos, a capacidade de acessar dados do iCloud protegidos pelo Advanced Data Protection, a opção de cifragem de ponta a ponta da Apple. A Apple não a construiu. Em fevereiro de 2025 retirou o recurso do Reino Unido, de modo que os usuários britânicos hoje têm menos proteção que os de outros lugares. A Apple e, separadamente, a Privacy International e a Liberty foram ao Investigatory Powers Tribunal, que em abril de 2025 recusou o pedido do governo de que até a existência do caso fosse mantida em segredo. A primeira notificação foi depois retirada e substituída por outra dirigida especificamente a usuários britânicos; a primeira ação da Apple foi extinta por mudança de circunstâncias e ela apresentou outra em 2026. Enquanto isto é escrito, a questão da legalidade está indecidida e o recurso continua indisponível, mais de dezoito meses depois.

Note o que mudou no formato da briga. O Clipper foi proposta pública, discutida às claras, e perdeu. Uma technical capability notice é secreta por lei, e o resultado até aqui foi decidido não por um tribunal, mas pela escolha de uma empresa sobre de qual mercado retirar um recurso.

O que um profissional deve tirar disso

A pergunta nunca é "as autoridades deveriam ter acesso". É "como fica o sistema depois que o acesso existe", e essa é uma pergunta de engenharia com uma resposta que não depende de quem está perguntando. Toda discussão deste catálogo sobre quem pode compelir um fornecedor - a ordem judicial contra o Quad9, os termos de serviço da Starlink, a propriedade da Crypto AG - é a mesma pergunta em outra jurisdição.

Componentes classificados não podem ser componentes confiáveis. O Skipjack provavelmente era uma cifra decente. Fracassou porque ninguém podia conferir, e a indústria desde então assentou firmemente no princípio oposto: o algoritmo é público, a chave é secreta, e qualquer coisa que inverta esse arranjo é tratada como defeito. É por isso que os ataques nomeados ao TLS foram achados - as especificações eram legíveis por quem os achou.

E a discussão não acabou. Quem aprendeu esta história como um caso dos anos 1990 deveria notar que a rodada atual envolve uma ordem secreta, um processo em curso e um recurso importante de cifragem já retirado de um país inteiro. Aquilo que as ferramentas deste site protegem existe porque uma discussão específica foi vencida repetidas vezes, e ela está sendo travada de novo.

Fontes