Introdução
Muitos já devem ter ouvido falar do WGA. E mesmo sem ter ouvido, podem ter se sentido por ele incomodados se estiverem usando o sistema operacional Windows XP. Sobre o assunto, o portal Slashdot publicou recentemente um artigo, intitulado "Microsoft Talks Daily With Your Computer", e a revista eletrônica eWEEK, artigo de Steven J. Vaughan-Nichols com o sombrio título "Big Microsoft Brother".
Esses artigos alegam que o WGA, sigla do Windows Genuine Advantage tool, software que pretende combater a pirataria digital daquele sistema, conecta-se com a Microsoft para transmitir um relatório cada vez que o sistema inicializa. Essa discagem automática, silenciosa e diária, foi noticiada em primeira mão por Lauren Weinstein, em seu blog.
Depois disso, a Microsoft divulgou a respeito uma declaração na qual afirma que o WGA não é spyware (programa-espião). Afirma, ainda, que os programas que compõem o WGA ainda sofrerão modificações, e que a principal distinção entre eles e programas espiões é que a Microsoft obtém permissão do usuário antes de instalá-los.
Como funciona
O pesquisador David Berlind pesquisou e descobriu que o WGA é, de fato, composto de duas partes e que uma delas (ferramenta de Notificação) [Notification tool] é nova, como se pode perceber com ajuda da série de telas que ele capturou em sua pesquisa. Berlind começa explicando como os programas que compõem o WGA funcionam, para mostrar que a Microsoft só pede permissão para instalar uma das componentes, justamente a menos intrusiva. Pamela Jones, editora do portal Groklaw.net, pensa que a questão da permissão é ainda mais nebulosa.
Munida do trabalho de Berlind, e examinando a licença de uso que aparece na instalação do WGA, Jones encontra um problema legal (no contexto jurídico norte-americano), relativo a permissões. Vê também problemas na declação que a Microsoft divulgou acerca do WGA e das informações coletadas de computadores de usuários. E ainda, algo na licença que requer explicações, por não coincidir com tais declarações oficiais. Como o Brasil tem um código de defesa do consumidor, tais ponderações merecem atenção dos digitalmente incluídos.
O artigo de Vaughan-Nichols na eWEEK lista os itens que a Microsoft diz estar coletando com o WGA:
"Segundo a Microsoft, quando o WGA é usado pela primeira vez, ele se configura para coletar a chave da cópia do Windows XP, versão do sitema, dados sobre o fabricante do PC, sobre a BIOS, e sobre configurações de idioma. Nada, de acordo com a Microsoft, que possa identificar o usuário, ou que programas ele usa, ou qualquer coisa do gênero."
Entretanto, como se pode verificar no próprio site da empresa, a Microsoft coleta mais do que isso. No momento em que o original deste artigo começou a ser escrito (12 de junho de 2006), sobre o WGA e o tipo de informação coletada a empresa dizia, na página web que estava onde o link acima aponta, o seguinte:
"Informação coletada durante validação
Q: Que informação no meu computador é coletada?
A: O processo de validação genuína coletará informação sobre seu sistema para determinar se seu software Microsoft é genuíno. Esse processo não coleta ou envia informação que possa ser usada para identificá-lo ou contactá-lo. A única informação coletada no processo de validação é:
* Windows product key
* PC manufacturer
* Operating System version
* PID/SID
* BIOS information (make, version, date)
* BIOS MD5 Checksum
* User locale (language setting for displaying Windows)
* System locale (language version of the operating system)
* Office product key (if validating Office)
* Hard drive serial number
Q: Como a Microsoft usa essa informação?
A: Essa informação serve a três propósitos:
* Prover fluxo de páginas web, adaptando as páginas que você vê baseada nas suas respostas.
* Veicular demografia, que ajuda a Microsoft entender diferenças regionais no uso de Windows e Office.
* Confirmar dados fornecidos pelo usuário. Dados fornecidos pelo usuário são frequentemente cruzados com dados coletados do seu computador para determinar se o se deve ou não atender um pedido de acesso adicional."
Ligou, conectou
Dos propósitos que poderiam justificar a coleta de dados como o número de série do HD e o endereço IP, que são individuais, podemos descontar os três citados. A Microsoft não precisa desses dados para prover fluxo de páginas web, nem para veicular demografia de uso, nem para confirmar dados fornecidos pelo usuário. A menos que esteja também bisbilhotando o conteúdo instalado em cada computador, o que ela afirma não estar fazendo. É claro que, uma vez dentro do seu computador, não há nada que possa detê-la se estiver disposta.
Então, por que motivo a Microsoft coleta essas informações, e o que está fazendo com elas? Dentre os plausíveis, certamente há mais do que o alegado. Como já dito, ela não precisa do número de série do seu HD, do nome da compania que fabricou seu computador, da linguagem que voce usa, da configuração da sua BIOS, ou de onde voce está localizado, para fazer qualquer das três coisas que diz estar fazendo com esses dados. Obviamente ela está tentando checar se você é pirata, e deveria admitir isso.
Mas mesmo que admitisse, será que o número de série do seu HD é necessário para alguém saber se você é ou não é pirata de software? Se você quiser trocar de HD, o que a Microsoft teria a ver com isso? Teria sido ela, por acaso, que lhe forneceu o hardware? De forma alguma a coleta desses dados é mencionada na licença associada ao WGA, de sorte que não há como sustentar que o licencidado tenha dado permissão, ao aceitar a licença, para a Microsoft coletar do seu computador esse tipo de informação individual. Mas a situação é ainda mais grave.
No relato da sua descoberta, Lauren Weinstein escreveu em seu blog em 5 de junho:
"Parece que até nesses sistemas [os genuínos], a ferramenta WGA irá tentar contactar a Microsft pela Internet toda vez que o computador for ligado.... Essas tentativas de conexão ocorrem mesmo que você tenha desligada a "atualização automática" do Windows.
Não sei quais dados estão sendo enviados à MS, ou quais estão sendo recebidos, durante essas conexões. Não posso localizar, nas declarações da empresa, qualquer informação indicando que a ferramenta WGA notificará a MS cada vez que eu inicializar um sistema validado como genuíno. Não consigo enxergar onde estaria a necessidade da Microsoft ter conhecimento desses dados depois que a origem de um sistema tenha sido aferida como genuína, e certamente haverão organizações, preocupadas com a sua segurança, para as quais a divulgação de informações sobre o processo de inicialização de seus sistemas têm impacto.
Deixarei para os especialistas em spyware determinarem formalmente se esse tipo de comportamento qualifica ou não tal ferramenta como dispositivo de espionagem (spyware)"
Nenhuma informação
Logo depois de blogar sobre sua descoberta, Weinstein foi contactado pela Microsoft, quando teve a oportunidade de fazer algumas perguntas diretamente. No dia seguinte (6 de junho) ele escreveu em seu blog a respeito:
"Por que a nova versão da ferramenta de validação WGA tenta se comunicar com a Microsoft toda vez que o computador é ligado? Os funcionários da empresa me dizem que, nesse momento, essas conexões ocorrem para prover um mecanismo de ´escape´ que permita à MS desabilitar a ferramenta de validação se ela estiver funcionando defeituosamente....
Me foi dito que, na modalidade atual do WGA, nenhuma informação está sendo enviada do PC durante essas conexões, apesar de que a Microsoft esteja recebendo o endereço IP e ´dados sobre data e hora da inicialização do sistema e de operações continuadas, dados esses que ela não estaria, ou não deveria estar recebendo sem o WGA.
Aparentemente, essas transações ocorrem uma vez por dia, quando o sistema é mantido ligado, embora a Microsoft afirme que pretende defasar a frequência dessas conexões (acredito que para uma vez a cada duas semanas), quando o WGA for atualizado, em um futuro próximo. Ainda, essas conexões serão usadas para cruzar inforações do sistema contra uma lista de revogação de licenças (por exemplo, a cada 90 dias), mesmo que o usuário nunca tenha acessado diretamente o Windows Update."
Então, depois de descoberta, ela confirma que pega seu endereço IP, dados sobre data e hora da inicialização do sistema e de operações continuadas, mas continua afirmando que "nada que poderia identificar o usuário, ou programas que ele usa, ou qualquer coisa do gênero", está sendo coletado. E ainda, que "nenhuma informação é enviada". Qualquer sentido em que o envio, à sorrelfa, desse tipo de informação não caracteriza espionagem, certamente ignora a prática dessa atividade.
Lembro-me do que declarou um oficial do departamento de Homeland Security, quando o rootkit espião da Sony-BMG, que se passava por ferramenta de proteção contra cópia não autorizada de CDs de música, foi revelado: "sim, a propriedade intelectual é deles, mas o computador não é" (video). Como já dito, não há nada na licença associada ao WGA que se possa honestamente fazer passar por permissão do usuário para a coleta e envio desse tipo de informação individual. E o que diz, e não diz, a Microsoft?
Esclarecimentos
De acordo com o artigo de Berlind, dentre os argumentos oferecidos para justificar a afirmação de que o WGA não é spyware, a empresa afirma:
"Em termos gerais, spyware é software enganoso que é instalado no computador do usuário sem a sua permissão, e que tenha propósito malicioso [malicious purpose]. WGA é instalado com a permissão do usuário, e tem como propósito apenas notificar o usuário caso o seu sistema não esteja operando com uma licença válida. WGA não é spyware."
Como já vimos, a Microsoft não esclarece, a quem instala o WGA, que, conforme teve de admitir, este software se conecta diariamente com ela. O mais próximo que ela chega, pelo menos de início, de um esclarecimento a respeito encontra-se numa página perguntas-respostas (FAQ) em seu site. Sobre as facilidades do processo de validação das licenças:
"Q:O processo de validação "Windows genuíno" é de uma só etapa? (one-time)
A: Desenhamos a validação para ser tão fácil quanto possível. A validação propriamente dita dura apenas um momento. A parte mais longa do processo consiste em baixar o controle ActiveX que executa a validação. Esse controle ActiveX é baixado para o seu computador quando da primeira validação, ou quando uma nova versão do controle é disponibilizada pela Microsoft. Assim, embora não seja um processo de uma só etapa, é ainda rápido e fácil.
...
Q: Quais informações são coletadas na checagem? A Microsoft está coletando Informação Pessoalmente Idenfiticável?
A: Além de informação padrão de logs de servidores, nenhuma informação é coletada [na checagem diária]. Diferentemente da validação, que envia informações do sistema para a Microsoft, essa operação é limitada ao envio do arquivo de configuração atual. Nenhuma informação adicional é enviada à Microsoft.
Q: Por que os clientes não foram avisados de que seus computadores iriam ser periodicamente checados (check in) pela Microsoft?
A: A Microsoft se esforça para manter os mais altos padrões em sua conduta comercial, e em atender as expectativas de seus clientes. Concentramos nossa divulgação na etapa crítica de validação que ocorre através do WGA. Ter deixado de informar especificamente sobre a checagem periódica foi um descuido (oversight). Acreditamos que ser transparente e franca com nossos clientes é muito importante, e atualizamos nossa página de perguntas frequentes (FAQ) de acordo. Temos nos desdobrado para documentar cada instância em que um produto Microsoft se conecta a um servidor da empresa, e continuaremos a fazê-lo. Por exemplo, relativo ao Windows XP SP2, publicamos um artigo sobre o tema em http://www.microsoft.com/technet/prodtechnol/winxppro/maintain/intmgmt/download.mspx"
Passado o calafrio que especialistas em segurança na informática (como o autor) podem sentir imaginando um controle ActiveX rodando permanentemente nos Windows XP conectados mundo afora, cumpre perguntar se esta seção "perguntas-respostas" seria uma descrição esclarecedora de quando o tal controle valida a licença do sistema. Seria ao menos um indicativo? Ou da frequência com que a Microsoft disponibiliza uma nova "versão da ferramenta". Diariamente? Semanalmente? Mensalmente?
Outro tipo de tumor
A Microsoft parece querer afirmar que apenas a ferramenta de Validação coleta informações sobre o seu computador, e que a nova ferramenta, a de Notificação, não coleta, apenas checa se o usuário precisa ser avisado caso não esteja rodando uma versão genuína do Windows. Mas isso equivale a dizer que a validade da sua instalação está sendo checada, no caso, todo dia. De sorte que essa seção "perguntas-respostas", onde se afirma que a checagem só ocorre quando uma nova versão da ferramenta de Validação é instalada, não corresponde aos detalhes descobertos e admitidos.
Relembrando: O pesquisador David Berlind descobriu que o WGA é de fato composto por duas ferramentas, das quais a de Validação nunca pede permissão para se instalar, que a ferramenta de Notificação pede, mas sem avisar que vai se comunicar com a Microsoft todo dia, ou quando, ou o que vai enviar, ou se e quando o usuário será avisado do envio. Depois, a Microsoft teria confirmado a Lauren Weinstein que está recebendo dados individuais, como o endereço IP, e dados relativos à inicialização do sistema e sua operação continuada, informações que não necessariamente estaria recebendo sem o WGA.
O conceito de permissão contratual (informed consent) subentende que aquele que permite sabe o que está permitindo. A parte que solicita permissão num contrato tem, portanto, a obrigação de esclarecer o necessário para que a outra parte possa tomar uma decisão esclarecida. Um hospital, por exemplo, não pode achar que tem sua permissão para minsitrar-lhe uma droga nova ou pouco testada sem antes lhe avisar que se trata de uma droga que ainda não foi suficientemente testada, dos riscos e das opções envolvidas. Um médico não pode extrair, enquanto você estiver anestesiado para cirurgia de apêndice, a sua vesícula só porque ele percebe ali um tumor. "Tentativa de salvar" não seria justificativa, pois você poderia, se perguntado, optar por tratamento não-cirúrgico ou por não se tratar. O corpo é seu e você tem o direito de dizer não a uma opinião médica.
Experiência "melhorada"
Quanto à afirmação de que o WGA não é spyware porque não tem propósito malicioso, primeiro, não se deve pensar que um software precisa ter propósito malicioso para espionar. Essa definição é a da Microsoft, outras empresas podem discordar dela. Principalmente as que produzem softwares para esse fim, pois quem quer espionar pode achar que seus propósitos são nobres. Segundo, mesmo concordando com tal definição, seria, nesse caso, apenas a palavra da Microsoft sobre a ingenuidade, no sentido de não-malícia, dos seus propósitos.
Certo é que não sabemos, e não temos como saber, o que a Microsoft faz, ou fará, com as informações que coleta com o WGA. Doutra feita, quem não quiser ser ingênuo pode entender: a malícia ou não de um propósito depende do lado em que se está. A indústria de bens simbólicos têm esbravejado contra o mal que a pirataria digital lhe causa, e aprovado as leis que bem ou mal quis, de sorte que agora seus executivos acreditam, e querem que acreditemos, que toda e qualquer medida para reduzir ou prevenir contra pirataria digital é aceitável. Não é. Meu computador é meu, não é da Microsoft, da mesma forma que meu corpo não é do médico, por mais que eu o idolatre.
Embora não possamos saber o que a Microsoft fará com as informações que está coletando, podemos analisar suas declarações a respeito. Ela afirma, inclusive na licença, que seus propósitos com o WGA se resumem ao de avisar ao usuário se sua instalação do Windows XP não estiver devidamente licenciada. Mas em que sentido usuários se importariam se sua cópia estiver ou não devidamente licenciada? E em que sentido a resposta afirmativa lhes daria uma experiência de uso "melhorada" do sistema? Essa experiência só poderia ser melhorada, podemos supor, no sentido relativo à alternativa, se a Microsoft bloquear atualizações nos sistemas dos usuários que não concordem em instalar o WGA.