É obrigatorio site de serviços publicos do governo usarem o protocolo HTTPS e parece que nenhum usa?

[felquis]

Olá pessoal, fiquei decepcionadissimo com seja la qual grupo administra sistemas web e portais publicos brasileiros que não distribuem seus sites em HTTPS. Pelo menos não a maioria que eu conferi. E gostaria de mobiliza-los para a importancia de mudarmos isso drasticamente e descobrir se fica caro para os cofres publicos fazer tal melhoria.

Segundo essa fonte não confiável e desatualizada que demostra o atual estado em que se encontra o Brasil: http://dados.gov.br/dataset/dominios-gov-br estes são os sites "oficiais" registrados e administrado pelo: (Departamento de Governo Eletrônico cujo qual encaminhei essa thread em copia.)

Alguém poderia me dizer, o que acontece? Alguém tem contato com profissionais que trabalharam nestes sistemas? Enfim... gerei um boleto aqui no valor de 80 reais, e não vou pagar, vou ir no estabelecimento físico pedir o boleto.. e tenho MEDO de neste local estarem usando um sistema que não usa HTTPS também.

[felquis]

Por favor, não escrevam textões!

[nandomoreirame]

+1

[klarkc]

Qualquer serviço estatal funcionar é lucro, daí ainda funcionar com criptografia de dados, é só um milagre mesmo. EFICIÊNCIA.

[netojoaobatista]

e descobrir se fica caro para os cofres publicos fazer tal melhoria.

Levando em consideração que a CA utilizada em alguns .gov.br é do próprio governo - ICP-Brasil, Serpro, etc, então teoricamente não fica caro; bastaria a emissão do certificado pela CA e a configuração nos servidores: coisa de 10 minutos por servidor.

Mas levando em consideração que as CAs utilizadas em alguns sites do governo não estão na cadeia de certificação padrão dos usuários e que isso pode causar notificações de erros de segurança nos browsers por causa da autoridade certificadora - imagem 1 -, a emissão de certificados utilizando CAs conhecidas acabam se tornando mandatório - imagem 2 -, o que pode fazer com que o custo se torne impeditivo - exceto se usarem Let's Encrypt, mas aí acho que a análise precisa ser mais profunda quanto aos custos, já que esse lance de 90 dias é um saco.

Planalto

Fazenda SP

[kazzkiq]

...já que esse lance de 90 dias é um saco...

Eu uso Let's Encrypt e tenho um cronjob que roda certbot renew toda semana. Esse comando verifica automaticamente se o certificado tá próximo de expirar, e se estiver, já emite um novo. Isso já torna o processo 100% automático (mais infos aqui).

Hoje em dia, a não ser que a empresa (ou órgão público) precise de EV, não existe mais nenhuma desculpa pra não habilitar HTTPS nos sites. É gratuíto, o setup leva poucos minutos, e a renovação é automática.

Eu acho que os sites do governo poderiam todos usar essa abordagem, deixando a emissão de certificados avançados apenas para sites realmente sensíveis (como o da Receita Federal, por exemplo). Não vejo o custo subindo por causa disso.

[netojoaobatista]

Eu uso Let's Encrypt e tenho um cronjob que roda

Eu também uso let's encrypt e também tenho o certbot fazendo a verificação de renovação automática. Além do certbot, o let's encrypt ainda manda email avisando da proximidade da expiração; isso é lindo para o mundo normal, onde devs tomam decisões relacionadas com seus próprios softwares.

Só que estamos falando dos sites do governo. É bem possível que seja preciso que exist uma licitação para cada vez que um cronjob roda certbot renew para verificar se o certificado tá próximo de expirar; governo né fácil não, velhinho...

[felipeuntill]

Simples, funcionário publico não pode ser demitido, a rotina de trabalho deles se resume a terceirizar o desenvolvimento e depois que vai ao ar ninguém cuida ou se atenta aos problemas, salvo exceção se o site for responsável por gerar renda.

Tenho amigos que trabalham na prodesp e outros orgãos e infelizmente tudo é zona...

[netojoaobatista]

funcionário publico não pode ser demitido

Talvez isso mude: CCJ aprova demissão de servidor por 'insuficiência de desempenho'

[marcoblos]

Só para contribuir:

Para quem utiliza serviços da AWS como Elastic Load Balancers, distribuições do Amazon CloudFront e APIs no Amazon API Gateway, o serviço de certificado digital é gratuito e se renova automaticamente.

Para quem tiver mais interesse tem esse link para página do Certificate Manager da AWS

[didiraja]

Acho q não tem nada a ver com lícitacao porque isso pode ser cuidado com a equipe responsável existente e com o Lets Encrypt o custo monetário fica literalmente zero.

Mas concordo com o amigo acima que a coisa é burocrática e as vezes já até pensaram nisso ou iniciaram algum processo interno pra faze-lo.

Devemos sim fazer pressão e solicitar isso. Só não sei como fazê-lo. Inclusive seria legal a comunidade brasileira de deve se engajar mais em exigências do tipo. Ajudaria a manter segurança dos dados e poderia nos ajudar desenvolvendo pro nosso país e pra ficar de olho neles.

[christophermoura]

@felquis, infelizmente o Gov.BR é super lento e burocrático: o órgão responsável pela gestão dos padrões do Gov.BR é o Ministério do Planejamento, Orçamento e Gestão.

Esses padrões são norteados pelo documento de referência da arquitetura ePING: Padrões de Interoperabilidade de Governo Eletrônico.

Uma parte "menos pior" é que - anualmente - o governo aceita sugestões da sociedade para melhorar esse documento de referência por meio de uma consulta pública, que está aberta desde o dia 30 de Outubro até o dia 27 de Novembro, para a atualização da ePING para a versão 2018. Para contribuir e/ou votar nas contribuições feitas por outras pessoas, deve-se fazer um cadastro na plataforma Participa.br e acessar a página da consulta pública da ePING 2018: http://www.participa.br/e-ping.

Baseado nessa thread, eu acabei de incluir um comentário entitulado "Incluir o protocolo HTTPS como Protocolo de transferência de hipertexto" na seção Parte II - Especificação Técnica dos Componentes de Interconexão, mas logo em seguida vi que já existe uma orientação - não (tão) explícita - quanto ao uso do HTTPS na seção Parte II – Especificação Técnica dos Componentes de Segurança - Políticas, conforme segue abaixo:

• 2.1.3 As informações classificadas e sensíveis que trafegam em redes inseguras, incluindo as sem fio, devem ser criptografadas de modo adequado, conforme os componentes de segurança especificados neste documento.

...

• 2.1.9 O uso de criptografia e certificação digital, para a proteção do tráfego, armazenamento de dados, controle de acesso, assinatura digital e assinatura de código deve estar em conformidade com as regras da ICP-Brasil.

Ou seja, a orientação para criptografar as conexões já existe, mas falta o Ministério do Planejamento "forçar" a adoção de tais práticas... ☹️

De qualquer forma, acho que vale a pena se cadastrar no Participa.br e votar na minha sugestão ou comentá-la: o importante é que os responsáveis vejam que isso é uma questão importante para os cidadãos.

Abraços a todos!