Mariana Canto é do Instituto de Pesquisa em Direito e Tecnologia do Recife (IP.rec)
Em março deste ano, órgãos governamentais da União Europeia anunciaram que chegaram a um acordo em relação a uma nova (e controversa) regulação: o Digital Markets Act (DMA). Aguarda-se ainda o texto final da lei que está atualmente em processo de tradução para todas as línguas oficiais da União, entretanto, sabe-se que a nova legislação se mostra bastante ambiciosa e tem como principal objetivo estabelecer regras claras para grandes plataformas ou, como chamadas pela lei, as “gatekeepers”.
A legislação é direcionada a todas as grandes empresas de tecnologia, isto é, aquelas que possuem uma capitalização de mercado de mais de € 75 bilhões e uma base de usuários de mais de 45 milhões de pessoas na União Europeia, segundo a proposta. Em outras palavras, as grandes empresas de tecnologia que ofertam serviços de mensageria, ferramentas de busca, sistemas operacionais, serviços de compartilhamento de vídeo e que possuem significativa influência no mercado interno europeu.
Depois que um serviço é designado como gatekeeper, ele deve cumprir todas as obrigações do DMA que podem ser aplicadas ao seu produto. Até o momento, algumas determinações são dignas de elogios e buscam impedir, por exemplo, as chamadas killer acquisitions, isto é, quando grandes empresas buscam a absorção de outras empresas a fim de excluir do mercado potenciais concorrentes. Outras medidas, no entanto, vêm recebendo críticas já que se demonstram imprecisas e abrangem uma ampla variedade de obrigações. É importante lembrar que muitas dessas medidas foram inspiradas pela punição anterior de práticas anticoncorrenciais por autoridades europeias em mercados digitais, como no caso da Google em 2017.
Vista como uma lei ambiciosa com implicações de longo alcance, uma das medidas mais polêmicas do DMA busca criar produtos que sejam interoperáveis com serviços concorrentes da mesma natureza, incluindo plataformas menores. E entre os pontos mais sensíveis da proposta está a interoperabilidade de serviços de mensageria, o que, do ponto de vista da arquitetura da segurança, traz questões relativas à padronização dos protocolos de criptografia. Isso porque, todos os dias, bilhões de mensagens são enviadas usando criptografia de ponta-a-ponta. Milhões de pessoas usam o WhatsApp e Signal para conversar com amigos e familiares e essas conversas são todas automaticamente protegidas por criptografia forte. Ao mesmo tempo, serviços sem criptografia de ponta-a-ponta por padrão, como o Telegram, vê seu número de usuários subir a cada dia, sobretudo na Europa. Não é possível, no entanto, enviar uma mensagem de um aplicativo criptografado para outro, tendo ambos o mesmo padrão ou não. A partir de agora, no entanto, de acordo com legisladores do DMA, usuários de plataformas pequenas ou grandes poderão trocar mensagens, enviar arquivos ou fazer videochamadas entre diferentes aplicativos de mensagens.
Mas o que está em jogo?
Para certos aplicativos, como o WhatsApp, isso significaria permitir que serviços criptografados de ponta a ponta se fundam a outros protocolos menos seguros, como SMS. Especialistas temem, no entanto, que essa tentativa de “abertura” de mercado resulte em perdas no campo da segurança e da criptografia. O consenso entre os criptógrafos é que será difícil, senão impossível, manter a criptografia entre aplicativos. Embora a criptografia de ponta-a-ponta tenha se tornado ideal para manter a segurança das pessoas que usam aplicativos de mensagens, não há dois aplicativos que implementem a criptografia de forma idêntica. O WhatsApp usa uma versão personalizada do protocolo de criptografia Signal, por exemplo, mas os usuários ainda não podem enviar mensagens entre os aplicativos. E enquanto o iMessage da Apple é interoperável com SMS, essas mensagens de texto padrão não são criptografadas.
Plataformas como o Signal, por exemplo, seriam pequenas o suficiente para não serem afetadas pelas disposições do DMA, mas o WhatsApp certamente seria. Dessa forma, há o risco de que a criptografia de mensagens de ponta-a-ponta do WhatsApp seja enfraquecida ou removida para se adequar a uma possível padronização que habilite a interoperabilidade entre diversas plataformas, privando um bilhão de usuários das proteções de mensagens privadas. Diante da necessidade de implementação precisa de padrões criptográficos, especialistas dizem que não há uma solução simples que possa conciliar segurança e interoperabilidade para serviços de mensagens criptografadas.
É importante perceber que em nenhum dos Relatórios de Análise de Impacto produzidos pela Comissão Europeia a respeito do DMA, o termo “criptografia” é sequer mencionado. Enquanto o Membro do Parlamento Europeu Andreas Schwab, o principal negociador do DMA, diz que os políticos não estão procurando enfraquecer a criptografia, os especialistas estão preocupados. Autores como Milton Mueller e Jyoti Panday, acreditam que o DMA comete os mesmos erros de regulações feitas por reguladores de telecomunicações há 30 ou 40 anos por meio da tentativa de promover a concorrência obrigando a interligação e a interoperabilidade. Já especialistas em segurança da informação como Steve Bellovin, criptógrafo e ex-chefe de tecnologia da Federal Trade Commission, acredita que não haveria como fundir diferentes formas de criptografia em aplicativos com diferentes recursos de design. Alex Stamos, diretor do Observatório da Internet de Stanford, vai ainda mais além e afirma: “Um cínico pode dizer que esta é uma maneira de proibir efetivamente a criptografia de ponta-a-ponta enquanto a enquadra como um movimento antitruste contra a tecnologia”.
Como observado, as partes já publicadas do DMA ainda não incluem detalhes técnicos sobre como a interoperabilidade funcionará. Apesar de autoridades afirmarem que recursos básicos, como mensagens entre dois usuários, devem ser implementados em até três meses após a solicitação feita à empresa gatekeeper, trechos do DMA publicados por várias fontes não oficiais asseguram que a Comissão pode, excepcionalmente, “mediante pedido fundamentado do gatekeeper, prolongar os períodos de implementação, desde que o gatekeeper demonstre que isso é necessário e proporcional para garantir a interoperabilidade eficaz e preservar o nível de segurança necessário, incluindo criptografia de ponta a ponta, quando aplicável”. Em entrevista concedida, Will Cathcart, chefe do WhatsApp, afirmou que a empresa se preocupa com possíveis reverberações no campo da desinformação/ discurso de ódio, privacidade e spam. Para Cathcart, a natureza centralizada do WhatsApp permite identificar e remover spam antes que ele atinja usuários. Ele também lembra que o WhatsApp adota limites de encaminhamento para limitar a propagação viral de mensagens e que o aplicativo garante aos usuários criptografia de ponta a ponta.
O outro lado da moeda
Nem todos são contra a interoperabilidade e a criptografia de ponta-a-ponta. Marietje Schaake, diretora de política internacional do Centro de Políticas Cibernéticas da Universidade de Stanford, acredita que o DMA se tornou um dos projetos de lei mais pressionados já produzidos pelo Parlamento Europeu. Facebook, Google, Microsoft e Apple sozinhos já gastaram cerca de 20 milhões de euros no ano passado na tentativa de influenciá-lo e, curiosamente, a defesa das regras introduzidas pela GDPR (o Regulamento Geral de Proteção de Dados europeu) pelas empresas tem sido utilizada como forma de se opor ao DMA. Schaake acredita que pode ser difícil distinguir entre o barulho do lobby e a agenda dos defensores das liberdades civis. No entanto, para ela, embora haja detalhes a serem explicados sobre a combinação de segurança e concorrência, também há indicadores claros de como isso pode ser alcançado.
De toda forma, a Matrix, uma organização sem fins lucrativos que está construindo um padrão de código aberto para criptografia, publicou vários posts descrevendo como acredita que as propostas da União Europeia podem funcionar. Para os integrantes de diversas organizações de código aberto, há dois caminhos possíveis que podem permitir que a criptografia funcione em aplicativos operados por diferentes empresas. A primeira opção seria aquela em que empresas de tecnologia permitam acesso a APIs que se conectam a seus serviços de mensagens – essa parece ser a rota adotada por Schwab e os legisladores da DMA. Já a segunda alternativa está relacionada a uma mudança mais radical: todas as empresas teriam que adotar e implementar um “padrão de criptografia universal”.
Para o pesquisador de interoperabilidade e professor visitante do CyberBRICS na Faculdade Getúlio Vargas, Ian Brown, no caso das APIs abertas, os serviços implementariam a linguagem do gatekeeper. Isso significa que qualquer pessoa que queira interoperar com, digamos, o WhatsApp (para conversas entre duas partes ou bate-papos em grupo) terá que implementar o protocolo e a criptografia do WhatsApp. E se eles também quiserem interoperar com, por exemplo, Signal, terão que fazer tudo de novo. Este método permite que os serviços interoperem de forma segura com os gatekeepers um por um. A limitação é que será difícil para esses serviços oferecerem suporte a bate-papos (um para um ou em grupo) que tragam usuários do WhatsApp e do Signal na mesma discussão. Outra opção habilitada pelas APIs abertas é usar “pontes”, as quais decriptariam o que está vindo na entrada e criptografariam novamente com outro protocolo na saída. Isso forneceria comunicação criptografada, mas não de ponta a ponta; enquanto a comunicação é criptografada na maior parte do tempo, a ponte se torna um ponto potencial de vulnerabilidade.
Já no caso do padrão universal, todos os serviços, incluindo os gatekeepers, falariam a mesma linguagem criptografada de ponta a ponta. Neste caso, cada serviço só precisa implementar um idioma e terá acesso a todos os outros serviços falando o mesmo padrão. Usuários de diferentes serviços podem ser reunidos no mesmo chat (um para um ou em grupo). Aparentemente, aqueles em favor da interoperabilidade dizem que a melhor maneira de fazer isso seria que todas as empresas adotassem um padrão de criptografia e o seguissem. Esses padrões já existem – por exemplo, o protocolo de mensagens Matrix, o padrão XMPP e o Messaging Layer Security.
Entretanto, a Matrix, por exemplo, é uma arquitetura de segurança fundamentalmente diferente, não apenas de uma perspectiva de criptografia de ponta a ponta, mas também de uma perspectiva de modelagem de ameaças. É preciso salientar que cada aplicativo enfrenta diferentes ataques potenciais contra ele – com base em sua base de usuários e operações – portanto mudar para um modelo exigiria que as empresas reavaliassem como seus usuários poderiam ser comprometidos. As empresas teriam que reconstruir todos os seus sistemas de criptografia e alterar vários recursos em seus aplicativos, um processo que poderia levar anos. Um grande exemplo disso é o grupo Meta que, em 2019, anunciou que as mensagens diretas do Instagram e Messenger seriam criptografadas de ponta a ponta por padrão e integrariam sua infraestrutura ao WhatsApp. Três anos após o anúncio, a empresa ainda tenta desenvolver esse sistema e adicionar recursos de segurança. A transição foi mais difícil do que o esperado – e a Meta controla toda a tecnologia envolvida.
Como já mencionado no ObCrypto, a remoção da criptografia de ponta a ponta abriria uma nova camada que poderia ser atacada por hackers ou agentes governamentais mal-intencionados. Outras perguntas, como quem gerenciaria a troca de chaves de criptografia pública e como os metadados sobre comunicações criptografadas seriam compartilhados entre as empresas, são pontos ainda não detalhados pelo DMA. Outra questão importante é em relação à prevalência da criptografia: se o Signal e o iMessage se tornarem interoperáveis, por exemplo, qual deles altera sua criptografia para corresponder ao outro? O cofundador do Wire, Alan Duric também lembra que problemas de verificação da identidade também podem ser um empecilho à interoperabilidade.
O que podemos esperar?
Há uma considerável preocupação por parte de especialistas de que as gatekeepers simplesmente se recusem a cumprir a DMA e que a Comissão Europeia não tenha ferramentas de fiscalização suficientes para pressioná-las. Ultimamente, multas milionárias tiveram pouca tração em relação à disposição dos gatekeepers de assumir riscos regulatórios, e não está claro se as multas propostas pelo DMA mudarão essa dinâmica. Recentemente, por exemplo, a Apple se recusou a cumprir uma ordem judicial e incorreu em uma multa de 50 milhões de euros. No DMA, os formuladores de políticas aumentaram a pena para infrações repetidas: a multa máxima agora equivale a 20% da receita mundial e a Comissão pode bloquear aquisições por infratores reincidentes. A última opção é surpreendente porque as aquisições não estão obviamente relacionadas a violações das regras contidas no DMA, mas sua inclusão reflete a determinação dos reguladores de punir infratores.
Sem sombra de dúvidas, o DMA pode ser um divisor de águas tanto para a Comissão Europeia quanto para as big techs. Dado à complexidade da matéria e a variedade de modelos de negócios abrangidos pela legislação, erros e inconsistências em sua aplicação parecem quase inevitáveis. Entretanto, a Comissão Europeia parece estar disposta a correr riscos. Essa movimentação é esperada, uma vez que, no passado, reguladores que pareciam estar mais preocupados com a aplicação excessiva da lei de concorrência hoje se preocupam muito mais com a falta de regulação. É notório que a União Europeia decidiu se aventurar em um novo território com o DMA, mas é possível antecipar que algumas de suas regras funcionarão melhor do que outras, e algumas – caso não sejam modificadas – podem até prejudicar a concorrência ou os consumidores.
Na história da regulação concorrencial, processos de aprendizagem são normais, uma vez que cada mercado é diferente e os mercados evoluem ao longo do tempo. Esse fato evidencia ainda mais a importância de que a Comissão Europeia busque monitorar as respostas do mercado (e de outros setores como a academia e sociedade civil) e ajustar as regras quando apropriado. Ao buscar o diálogo, a transparência e flexibilidade nesta fase de adaptação, o modelo europeu pode servir de inspiração para os reguladores em todo o mundo, mesmo aqueles que busquem objetivos diferentes dos da União Europeia e optem por abordagens locais, regionais ou diferentes da DMA. As lições aprendidas podem ser compartilhadas e aproveitadas.
