Site Meter "Pingos nos Is" sobre Open XML e ODF - Segurança na Microsoft - Site Home - TechNet Blogs

Segurança na Microsoft

Comentários e Análises sobre Segurança da Informação, por Fernando Cima

"Pingos nos Is" sobre Open XML e ODF

"Pingos nos Is" sobre Open XML e ODF

  • Comments 26
  • Likes

Meu colega Raimundo Costa iniciou um blog sobre formatos abertos de documentos,  tratando de padrões como o PDF, o Open XML e o ODF, com maior destaque nestes dois últimos. O Raimundo é o representante da Microsoft no grupo de trabalho da ABNT que discute o assunto, e no seu blog defende a que o usuário liberdade para escolher qual padrão aberto usar.

O que é um "padrão aberto"? A Wikipedia lista diversas definições diferentes para o termo. A mais aceita é a definição da União Européia, que faz parte do European Interoperability Framework (o equivalente europeu para o nosso e-Ping), que lista as seguintes características mínimas para um padrão ser considerado aberto (minha tradução):

1. O padrão é adotado e será mantido por uma organização sem fins lucrativos, e a sua evolução ocorre com base em um processo de decisão aberto e disponível para todos os interessados (por consenso ou decisão da maioria, etc.)

2. O padrão foi publicado e o seu documento de especificação padrão está disponível gratuitamente ou por um valor nominal.  Deve ser permitido a todos copiar, distribuir e usá-lo sem nenhum custo ou por um valor nominal

3. A propriedade intelectual - i.e. patentes eventualmente presentes - de partes ou de todo o padrão devem estar irrevogavelmente disponível de uma forma sem pagamento de royalties. 

4. Não existem limitações quando a reutilização do padrão.

Todas estas características são atendidas pelo Open XML, pelo ODF e pelo PDF: todos estes formatos de documentos são mantidos por entidades de standards sem fins lucrativos, tem a especificação disponível gratuitamente, as patentes relevantes estão irrevogavelmente disponíveis sem pagamento de royalties, e podem ser reutilizadas livremente (de fato todas tem múltiplas implementações).

Ainda assim, vale a pergunta: por que ter então vários formatos? Porque cada um deles foi feito para atender a requisitos distintos, e assim são mais apropriados para um ou outro uso. Esta não é uma situação única. Para representar uma imagem, o usuário pode escolher entre por exemplo usar os formatos TIFF, PNG, ou JPG - todos eles formatos abertos, padronizados pela ISO, e cada um desenhado para funcionar melhor em um cenário específico.

Vamos supor por exemplo que você queira assinar digitalmente um documento com um certificado da ICP-Brasil, querendo garantir a sua integridade e a sua validade jurídica. O formato ODF não suporta assinaturas digitais - documentos ODF não podem ser assinados digitalmente, a não ser que você inclua uma extensão proprietária no documento. Neste caso o usuário poderia então optar por gravar o seu documento usando Open XML, um formato aberto que inclui o suporte a assinaturas digitais (usando o formato XML-DSig do W3C).

No entanto, aqui no Brasil uma improvável aliança entre a IBM e os freetards querem fazer com que o ODF seja o único formato permitido para uso no governo. Já vimos esse filme - a mesma combinação entre dinheiro e ideologia radical produziu aqui a reserva de mercado dos anos 80. Além de outros danos, inclusive na área de acessibilidade, isso seria um tremendo passo atrás para a ICP-Brasil e para a certificação digital no Brasil. Esse assunto precisa ser mais discutido, e por isso o blogs como o do Raimundo são muito bem-vindos.

 

Comments
  • Com todo respeito, gostaria de fazer alguns comentários sobre seu texto.

    Não sei se a taxa anual de contribuição ao ECMA e a taxa para associação não podem ser consideradas como algo que permite a participação de todos os interessados. No OASIS estas taxas existem mas são bem menores (e zero em alguns casos). Esta redução é da ordem de dezenas e centenas em alguns casos. O OASIS possui ainda um processo de decisão aberto e bem diferente do processo decisório do ECMA.

    A declaração sobre patentes cita as patentes presentes em partes ou no padrão todo. Isto é imensamente diferente do que você descreve com "patentes relevantes"... a relevância que você descreve é subjetiva, enquanto que as patentes citadas pela UE são específicas e declaradas. No caso específico do ODF, a declaração de patentes é bem clara e diz que nenhum direito de patente sobre qualquer coisa inclusa na especificação está livre de royalties e pode ser utilizada (ninguém precisa de um advogado do lado para saber juridicamente o que é relevante ou o que deixa de ser).

    A reutilização do padrão citada não se refere ao numero de implementações, mas à reutilização dele para a criação de um novo padrão (como a Microsoft poderia ter feito se discorda do ODF... poderia ter proposto um MsODF com suporte ao legado se fosse o caso... poderia ainda ter proposto as alterações de seu interesse ao ODF, desde que estas alterações eliminassem a dependência de um único fornecedor e fossem efetivamente interoperáveis).

    O suporte a assinatura digital está sendo implementado na nova versão do ODF, a versão 1.2. Quando se desenvolve um padrão em consenso, com a participação de muitas empresas do mundo todo, sem que uma delas seja a "dona" da especificação, estas coisas demoram mesmo... Aliás, se você conhece bastante sobre este assunto (asinatura digital), participe do desenvolvimento disso no ODF... é aberto assim e até a Microsoft pode participar :)

    Muito me assusta a obcessão que a Microsoft (e cia. ltda.) tem pela IBM. Dá até a impressão que a IBM é a única que está contra o padrão. Isso é algum tipo de mania ou fixação juvenil ? Porque vocês não falam sobre a Sun, Google, Oracle e Red Hat (só para citar quatro), que são empresas globais que são contra o OpenXML... Quer mais exemplos...

    Se me permite um comentário adicional, estas empresas tiveram dentro da ABNT uma postura absolutamente distinta da postura da Microsoft. Nenhuma destas empresas promoveu uma invasão de representantes comerciais nas reuniões técnicas e se formos contar representatividade (escolha o que quiser, número de clientes, número de usuários ou qualquer outra coisa), vai ver que dentro da comissão da ABNT os apoiadores incondicionais do OpenXML têm representatividade menor.

    O que importa é o debate técnico. Gostaria de ver a Microsoft se esforçando em colocar no ar um blog para responder toda e qualquer pergunta ou questionamento técnico sobre o assunto ao invés de ficar, psicóticamente apontando o dedo para a Rua Tutóia em São Paulo... Será que vocês não tem como arrumar um Dough Mahugh aqui para o Brasil ? Este sim entende do assunto, é da Microsoft e sabe debater tecnicamente com qualidade sobre o tema...

    Um abraço,

    Jomar

    PS.: Prefiro não entrar aqui em detalhes técnicos (e problemas apresentados) sobre o suporte do OpenXML à assinatura digital... ia espantar seus leitores...

  • No comentário anterior (que espero que seja publicado junto com este), eu me expressei mal sobre as patentes.

    O que quiz dizer é que TODAS as patentes usadas no ODF são livres...

    Aproveito para acrescentar que o mercado escolhe PRODUTOS e indiretamente padrões. É uma equação simples...

    Implementem o ODF nativamente no Office e aí sim o mercado vai poder escolher o que quiser...

    Já que gostam tanto do mercado, respeitem o poder de escolha dele: suportem o ODF no Office..

    Gostaria de esclarecer ainda que o que escrevi aqui (como o que escrevo no meu blog) é a manifestação da minha opinião pessoal sobre este assunto... como usuário de TI e pasmem, desenvolvedor em plataforma Microsoft !!!(será que também faço parte do mercado ?)

  • Abusando da bondade em aprovar meus comentários (mas blog é prá isso mesmo, né), recomendo a leitura de um artigo escrito pelo Professor Pedro Rezende da UnB sobre o tema.

    Ele está disponível em: http://www.cic.unb.br/~pedro/trabs/ooxml.html

  • Para quem não conhece, este acima é o Jomar Silva, lobista que representa a ODF Alliance no Brasil. Ou alguém que diz ser o Jomar Silva - neste caso por favor o verdadeiro Jomar me avise para eu retirar os comentários.

    Jomar, este aqui é um blog sobre segurança, por isso vou me focar sobre certificação digital. Agradeço o fato de assinatura digital "estar sendo implementada" no ODF. Espero que venha logo. Pena que ela no entanto não exista ainda, e que quem precise assinar digitalmente um documento ODF esteja hoje "no sal".

    Imagine um tribunal que queira informatizar os seus processos. Imagine um órgão como a Receita Federal, que está abraçando a ICP-Brasil para dar maior segurança às suas informações. O que você recomenda que eles façam? Fiquem parados esperando a IBM terminar a nova versão do ODF?

    Felizmente existe opção de formato.

    Por favor, fique a vontade para entrar aqui em detalhes técnicos (e problemas apresentados) sobre o suporte do Open XML à assinatura digital. Sei que a parte técnica não é o seu forte, mas todo comentário nessa área é bem-vindo aqui no blog.

  • Grande Cima,

    Apenas para re-enfatizar, ja que voce tornou a repetir, a IBM nao esta terminando nada, a comunidade sim esta.

    Quanto ao quesito de certificacao digital, voce nao precisa embarca-la no documento, dado que sempre foi utilizado certificacao digital enviando-se o arquivo assinado a parte, portanto esta dependencia assinalada nao tem mesmo muito sentido e me pareceu apenas querer desviar o publico mais leigo.

    De qualquer forma acho o debate muito saudavel ate porque eu mesmo nao sabia (ate ser informado pelo meu amigo Taurion) que o ODF ja estava propondo o suporte a assinaturas.  

    Fico feliz se voce e as pessoas da microsoft continuarem a abrir estes canais de comunicacao.

    Abraços,

    Rodrigo (BSDaemon).

  • (sobre a parte filosofica da coisa)

    Então, se eu escrevesse uma especificação para qualquer coisa, é claro que eu lutaria até o fim para que aquilo se tornasse usado, aceito e adorado. E isso seria uma coisa tão forte em mim que não me permitiria ver outras opiniões e opções. Totalmente normal.

    Mas porque a Microsoft se importa tanto com o OpenXML? Isso nem está mais no dominio da MS! É coisa da ECMA agora. A própria MS já declarou que não pode garantir sincronia entre o caminho que ela quer tomar em relação a sua implementação no MS Office versus a da ECMA. Veja a citação de Brian Jones comentada em http://avi.alkalay.net/2007/12/microsoft-does-not-own-ooxml.html

    Então, para a questão OpenXML versus ODF, precisamos pensar em 4 dimensões. Não podemos só olhar a fotografia do agora. Temos que pensar ao longo do tempo, das décadas, porque estamos falando de formatos  de durabilidade virtualmente infinita que conterão o conhecimento da humanidade. Se hoje a especificação OpenXML da ECMA é totalmente aberta e bem alinhada com a única implementação que existe -- MS Office --, amanhã a implementação pode evoluir e ficar desalinhada com a especificação.

    É isso o que geralmente acontece quando a implementação define a especificação e não o contrário.

    (sobre a parte prática da coisa)

    Então vamos falar sobre segurança. Podemos olhar segurança como invasão, acesso indevido aos dados, etc. Mas na verdade a questão primordial de segurança está relacionada a controle, ou a perda deste.

    Então nada consegue ser perfeito. Se ODF (ainda) não implementa assinaturas digitais, OOXML (ainda) não contém em sua especificação o significado de atributos como "renderAsWord97" (ou algo do gênero, estou sem a especificação neste computador). Quanto controle um desenvolvedor tem sobre a semântica por traz de uma tag proprietária como essa?

    Com OOXML, quanto controle um tribunal ou a Receita Federal teriam sobre seus documentos a longo prazo? Quem controla eles? Seus autores ou a única ferramenta que consegue consumir e gerá-los?

    Como com OOXML a cronologia é invertida (implementação define a especificação), novamente, a implementação pode mudar e a especificação pára no tempo porque sabemos que o que uniu o implementador (Microsoft) e o especificador (ECMA) foi uma motivação política e temporária, que pode não existir no futuro próximo.

    Quem está realmente preocupado com segurança a longo prazo (como governos) não pode se dar ao luxo de desenhar estratégias baseadas em associações momentâneas, que quando são desfeitas, perde-se o controle e por sua vez a segurança.

  • Jomar Silva> "Gostaria de esclarecer ainda que o que escrevi aqui (como o que escrevo no meu blog) é a manifestação da minha opinião pessoal sobre este assunto..."

    Neste trecho, o lobista Jomar Silva admite com todas as letras a sua prepotência, ao nos dizer que a sua mera "opinião pessoal" está acima da verdade objetiva.

    Sobre o post: Parabéns, Cima! Gostei de ver!

  • Caro Rodrigo,

    Acho que você não captou o meu ponto. Assinaturas digitais *detachadas* (como comentei em http://blogs.technet.com/fcima/archive/2007/08/03/certifica-o-digital-no-openxml.aspx) tem sérios problemas de usabilidade e simplesmente não funcionam a contento em cenários de fluxos de documentos.

    É por isso que padrões como PDF, Open XML e S/MIME suportam assinaturas digitais *envelopadas*. Pense no caso do S/MIME por exemplo: imagine se o usuário tivesse que enviar um e-mail com o conteúdo e depois um outro e-mail com a assinatura digital. Não dá, não é mesmo?

    Assinaturas detachadas são mais usadas quando você tem que assinar vários arquivos e quer ter apenas uma assinatura, normalmente por questões de performance (economizando operações de criptografia assimétrica). Por esse motivo p.ex. o kernel do Windows usa assinaturas detachadas para validar a assinatura dos componentes. btw ele suporta assinaturas envelopadas também.

    O pior é que o OpenOffice *suporta* assinaturas digitais - só que ao invés de usar assinaturas detachadas como você propõe, ele faz uma assinatura envelopada usando tags proprietárias dentro do ODF. Como estas tags não estão no padrão não há como se garantir a interoperabilidade.

    Abracos,

    - Fernando Cima

  • Avi, você dançou em volta do tema mas no final não deu nenhuma resposta. Com que "filosofia" um usuário vai assinar um documento ODF?

  • Marcos,

    Pior é o Jomar (lembrando: um lobista) achar que ele tem todo o direito de participar das reuniões da ABNT sobre Open XML (e tem mesmo), mas empresas como a Serasa, que tem n projetos usando documentos assinados digitalmente, não poderiam participar.

    Não vou aqui entar no mérito da sugestão dele para que a Microsoft Brasil contrate alguém que "realmente entenda do assunto". Nós conhecemos a nossa capacidade técnica, e melhor, conhecemos a do Jomar.

  • Cima,

    nem precisa (e também nem deve) entrar no mérito de outros assuntos. Desfocar o assunto do debate é um dos estratagemas desonestos para vencê-lo sem ter razão. É isto que estamos vendo o lobista da ODF Alliance fazer aqui.

    E realmente é uma pena que empresas como a Serasa não participem das reuniões da ABNT. Certamente elas adicionariam mais riqueza às reuniões com sua experiência baseada intrinsecamente na realidade, e não com meros palpites e/ou "opiniões pessoais".

  • Vim aqui continuar a discussão técnica e "filosófica", mas está muito baixaria e "panela", então vou responder ao Fernando mas acho que não volto mais.

    Hoje o usuário não vai assinar digitalmente um documento ODF. Isso será incluido no formato na próxima versão.

    Mas é um pouco raso analisar formatos virtualmente eternos só com uma fotografia do hoje, como comentei acima. Há outros aspectos tão importantes quanto assinatura digital, mas que ao contrário deste, não podem ser resolvidos só com a evolução da especificação. Lamento se vocês irão se prender somente num ponto sem ver a coisa toda de forma mais holística.

  • Fico contente em ver que existe espaço para debate no seu blog... Parabéns.

    Gostei tambem do tema do blog, pois foi o desenvolvimento de um software para auditoria de seguranca do NDS da Novell (bem sampleado pela Microsoft com o ActiveDirectory) o meu projeto de graduacao de Engenharia (Eletronica - Enfase em Eletronica de Computadores).

    Mas concordo com voce, talvez a área técnica não seja meu forte. Penso nisso, pois depois de passar os últimos seis anos desenvolvendo drivers para Windows (alguns de kernel inclusive), além de sistemas de gerenciamento de redes em plataforma Microsoft eu tenha mesmo me afastado da boa técnica... Mas já estou melhorando, não se preocupe.

    Ao contrário do que voce afirma, não sou lobista e trabalho tecnicamente com o ODF há bastante tempo. Este foi inclusive um dos motivos que me levou à ODF Alliance. Já o autor do blog que voce citou, este sim é conhecido pelo mercado todo como lobista (avisa ele que blog sem comentários é monolog...).

    Quanto ao ODF, seu desenvolvimento e dúvidas sobre quem trabalha nele, recomendo o acesso ao site do OASIS, na página que orienta sobre questionamentos técnicos (http://www.oasis-open.org/committees/comments/index.php?wg_abbrev=office) para que você se informe melhor sobre o padrão, seu desenvolvimento e para que possa enviar ao comitê todas as sua dúvidas e sugestões, tácnicas ou não.

    Gostaria de convidar o Marcos Ludwig para tomar uma cerveja comigo (eu pago) e conversarmos frente à frente, para ele ver que prepotência não é algo que faça parte da minha personalidade (paixão pelo que faço sim, mas tem gente que confunde muito isso). Fiz o comentário sobre o que escrevo, pois gosto de deixar bem claro que a minha opinião é minha e não sou marionete de ninguém. Defendo o ODF pois acredito de verdade nele.

    Quando a participação na ABNT, ela está aberta a qualquer interessado (SERASA ou qualquer outro) e é uma pena ver que o número de profissionais que se comprometeram e se comprometem a debater tecnicamente este tema lá dentro seja tão reduzido. Além disso, a sugestão que fiz foi para vocês arrumarem um Doug para o Brasil, pois além de entender do assunto ele sabe debater bem e é uma pessoa muito divertida (além de ser um excelente fotógrafo).

    Um abraco,

    Jomar

  • Avi, aqui neste blog todos os comentários são aprovados e a moderação está ligada apenas para filtrar spam. Se isso para você corresponde a "baixaria", lamento. A porta da rua é serventia da casa.

    A assinatura digital é apenas um exemplo dos males que a imposição de um formato único iria causar. Eu poderia mostrar aqui n outros, mas certificação digital é a área em que eu trabalho e que mais me afeta. Impor o ODF aqui como formato único seria um tremendo retrocesso para a ICP-Brasil - e nenhum argumento de telemarketing ("está sendo implementado") muda esse fato.

    Nenhum formato atende a todos os cenários de uso - nem o Open XML certamente - e por isso liberdade de escolha é a melhor saída. Este é o ponto filosófico mais amplo que você parece ignorar.

    Aracos,

    - Fernando Cima

  • Jomar, você não precisa ter vergonha de ser lobista. Este é um trabalho honesto e é na verdade uma pena que tenha adquirido uma conotação ruim no Brasil.

    Apenas quis deixar claro que  você não está comentando aqui em caráter pessoal e como "desenvolvedor de Windows". Você está comentando como representante da ODF Alliance, uma organização que faz lobby para a não-adoção do Open XML. Com os identidades claras (eu sou funcionário da Microsoft, o Avi e o Rodrigo são funcionários da IBM, você é lobista da ODF Alliance) acho que o debate fica mais honesto.

    Abracos,

    - Fernando Cima

Your comment has been posted.   Close
Thank you, your comment requires moderation so it may take a while to appear.   Close
Leave a Comment