«Por 500 milhões de euros, criaríamos uma instância independente do Tuta Drive na infraestrutura da BND – com encriptação resistente à computação quântica.»
Para poderem trocar informações confidenciais mais rapidamente, o Serviço Federal de Informações da Alemanha (Bundesnachrichtendienst, BND), o Gabinete Federal para a Proteção da Constituição (Bundesamt für Verfassungsschutz, BfV) e o Serviço Militar de Contra-espionagem (Militärischer Abschirmdienst, MAD) planeiam criar um sistema conjunto na nuvem – em colaboração com a Google. O que isso significa para a soberania digital?
O Tagesschau noticiou que o Serviço Federal de Informações da Alemanha (BND) pretende pagar 500 milhões de euros à Google – pela hospedagem de informação altamente confidencial. Fonte.
Nós, na Tuta, ficámos surpreendidos ao saber disto. Sinceramente, por 500 milhões de euros, criaríamos uma instância independente do Tuta Drive na infraestrutura do BND – com encriptação resistente à computação quântica. O protocolo de encriptação híbrido da Tuta garante que todos os dados são transmitidos com encriptação de ponta a ponta, de modo a que nenhum terceiro – nem mesmo nós, na Tuta (muito menos o Google) – possa ter acesso a estas informações altamente confidenciais. Além disso, o código é de código aberto e pode ser verificado por qualquer pessoa, garantindo que não existem portas traseiras. Quando as autoridades falam de soberania digital, têm de apoiar as suas palavras com ações – em vez de caírem mais uma vez na armadilha das grandes empresas tecnológicas.”
Avaliação de segurança: Risco elevado
O NDR e o WDR informam que a nuvem se baseará na Google Distributed Cloud (GDC), especificamente numa versão denominada «air-gapped». Este sistema funcionará de forma independente e não terá ligação direta ao Google nem à Internet. Em vez disso, os dados deverão ser armazenados na Alemanha numa rede informática separada e especialmente protegida. O problema, no entanto, como salienta Sven Herpig, Diretor de Cibersegurança e Ameaças Emergentes da Interface, uma organização independente de profissionais de TI e especialistas em cibersegurança, é: «cada atualização do Google». Embora o sistema, no momento do lançamento, seja avaliado e devidamente protegido, cada atualização altera esse sistema, e essas atualizações são feitas pelo Google. Herpig afirma: «Isto, por sua vez, levanta a questão: quão significativas têm de ser as alterações para que uma versão atualizada exija uma reavaliação e uma nova aprovação?»
Também não é claro se a infraestrutura de nuvem «air-gapped» terá, em última análise, de ser mantida e operada no local por funcionários do Google, como é o caso, por exemplo, dos sistemas da Palantir em Hesse ou na Baviera.
A decisão de adquirir o Google Cloud coloca os dados sensíveis em risco. Além disso, há também a questão da independência: e se a Google decidir (ou for pressionada pelo governo dos EUA) incluir uma porta traseira oculta numa atualização? O que acontece se o governo dos EUA ordenar à Alphabet que entregue dados específicos ao abrigo da Lei CLOUD dos EUA, da FISA ou da Ordem Executiva 123333? A Alphabet recusará o pedido do governo dos EUA ou entregará os dados alemães?
Este risco continua a ser real e válido e, tendo em conta o valor da informação sensível, deve ser classificado como elevado.
Alguém fala de soberania digital?
E, finalmente, onde é que isto deixa a Alemanha no que diz respeito à soberania digital? Será tudo apenas conversa? Em vez de implementar rigorosamente o objetivo da soberania digital — pelo menos na área da segurança interna —, o governo federal alemão está a cair numa mais uma dependência e a confiar nas garantias da hiperescaladora norte-americana Google.
Mas agora é a oportunidade de apoiar e construir alternativas europeias, e as autoridades têm de dar o exemplo! Escolher o Google em detrimento de fornecedores alemães é a pior decisão possível que o BND poderia ter tomado neste caso.