Facebook’ta Gizlilik ve Mahremiyet

O serviços de computação em nuvem representam não só um novo tipo de negócio, mas também uma nova e já importantíssima modalidade de organização e de distribuição de software. A maneira como nos relacionaremos com diversas aplicações, desde buscadores e redes sociais até controladores de smart homes, já é grandemente impactada pela evolução da computação em nuvem.

Entre as tecnologias mais importantes para a segurança da informação na nuvem, de acordo com o que revela a literatura na área, podemos citar:

• Recursos de autenticação ou gestão de identidade federados (tais como SAML, OAuth e OpenID);

• Métodos de autenticação por múltiplos fatores (integração de diferentes redes e dispositivos);

• Métodos de prova de recuperabilidade e posse de informação (PoW, PoR, etc.); • Criptossistemas homomórficos;

Após uma extensa pesquisa bibliográfica, no entanto, permanecem questões em aberto, isto é, com poucos resultados publicados e com poucas ou nenhuma solução viável ou prontamente disponível no mercado. Não foram encontrados, por exemplo, especificações e análises formais de protocolos criptográficos projetados especificamente para ambiente de computação em nuvem. Protocolos que considerem, na construção de modelos adversariais e no desenho da interação entre os agente, as características dos diferentes atores nesse ambiente: provedores, consumidores, brokers, carriers, usuários finais e auditores.

Esse tipo de análise seria a base para o desenvolvimento de uma nova classe de biblio- tecas criptográficas. Também seria a base para a construção de APIs e bibliotecas seguras e provadamente adequadas às novas arquiteturas de aplicações distribuídas que surgiram com a nuvem.

Um tópico especialmente relevante é quanto aos protocolos de estabelecimento/dis- tribuição e administração de chaves criptográficas. Os protocolos atualmente mais di- fundidos tratam do problema de estabelecer uma comunicação segura entre dois ou mais agentes, sobre um canal inseguro. A topologia de uma aplicação rodando na nuvem intro- duz novos desafios, pois um mesmo “agente” na comunicação pode existir em múltiplas instâncias. É comum que diversas instâncias da mesma aplicação sejam iniciadas por meio da replicação de toda a pilha de memória. Em muitas ocasiões, diversas instâncias terão

de interagir com o mesmo usuário, pois recebem requisições através de um balanceador de carga. É necessário decidir, por exemplo, entre estratégias que envolvam a troca eficiente de chaves entre o usuário e as diversas instâncias (e das instâncias entre si), ou manter as chaves e realizar todas as operações criptográficas no dispositivo do usuário.

Com o fim de estudar esse problema mais profundamente, e propor um caminho viável para a segurança de aplicações com requisitos fortes de segurança e privacidade, foi sele- cionado um tipo específico de aplicação: o Registro Eletrônico em Saúde. Dessa escolha resultou o estudo da natureza dos dados nesse campo de aplicação e, consequentemente, das técnicas criptográficas mais adequadas. As informações levantadas e os teste realiza- dos se encontram nos próximos capítulos deste trabalho.

3 O framework OpenEHR

O OpenEHR (Open Electronic Health Record) é um framework semântico para a mo- delagem de Registros Eletrônicos em Saúde (RES). Ele é formado por diversos padrões cujo foco é orientar a modelagem de conhecimento clínico de forma que as bases de dados tenham interoperabilidade funcional e semântica.

Nesse contexto, interoperabilidade funcional significa garantir que os registros possam trafegar entre diferentes sistemas e dispositivos. Interoperabilidade semântica é garantir que, uma vez compartilhado, um registro apresentará sempre a mesma informação, com a mesma estrutura e valor semântico, preferencialmente codificada dentro de uma ontologia padronizada, que respeite os requisitos semânticos do domínio representado [15].

3.1

Registros Eletrônicos em Saúde

De acordo com a Sociedade Brasileira de Informática em Saúde, um RES é um repositório de informação a respeito da saúde de indivíduos, numa forma processável eletronicamente. Um Sistema RES (S-RES), por sua vez, é o aparato utilizado para registro, recuperação e manipulação das informações de um Registro Eletrônico em Saúde [32].

Figura 3.1: Representação de um RES [50]

Como mostra a Figura 3.1, o RES pode ser visto como um repositório onde se en- contram os dados relativos à saúde de diversos pacientes (p₁, p₂, p₃, ...). Na maioria das

vezes, esse repositório é subdividido em prontuários individuais para cada paciente. E diversos médicos e outros profissionais da área da saúde (d1, d2, d3, ...) acessam esses

prontuários através de interfaces distintas e em tempos distintos, conforme a necessidade de atendimento ao paciente.

O uso de modelos lógicos consensuais para a representação de informação clínica é crucial para o atingimento desses objetivos de armazenamento e compartilhamento da informação. A qualidade dos modelos de dados influencia diretamente a qualidade do RES, isto é, a possibilidade de se extrair informação relevante do repositório [46].

O estabelecimento de um modelo consensual não apenas melhora a qualidade da in- formação registrada, mas também possibilita a integração entre diferentes sistemas [15]. Um caso de uso como o representado na Figura 3.1 (agregação de diversos prontuários, compartilhados entre diversos médicos) pode ser atingido por meio de um repositório centralizado, fixo, que é compartilhado por diferentes instituições e profissionais. Mas também pode ser atingido por meio de uma política de troca de informações, onde um sistema informa a outro sistema os dados necessários no contexto de um atendimento específico. O modelo consensual permite, ainda, que a instituição tenha a liberdade de escolher o melhor S-RES para sua realidade, a qualquer tempo, podendo inclusive utili- zar sistemas abertos, desenvolvidos pela comunidade científica, e com boas garantias de qualidade [53].