Recentemente, a Câmara Municipal de Lisboa lançou a segunda edição do “Conselho de Cidadãos de Lisboa” (CCL): a iniciativa teve, na sua primeira edição, alguns problemas que – pelo menos parcialmente – foram endereçados nesta segunda edição. Estas críticas e propostas de melhoria foram abordadas em https://www.sapo.pt/opiniao/artigos/como-poderia-ter-sido-mas-nao-foi-um-conselho-de-cidadaos-de-lisboa-e-dez-propostas-de-correccao e em https://observador.pt/opiniao/algumas-criticas-ao-conselho-de-cidadaos-de-lisboa/

Esta edição de 2023, contudo, introduz um novo elemento: o registo dos utilizadores que recebem, por carta, um código de ativação que lhes permitirá criar um registo para participarem nesta segunda edição do CCL. O registo é feito através do acesso a https://registoconselhocidadaos.lisboa.pt/  e tem um “manual” em https://www.lisboa.pt/fileadmin/cidadania/participacao/conselho_cidadaos/Manual_Sistema_Autenticacao_Externa.pdf. Este manual é desnecessariamente complexo, pouco legível e poderia facilmente ser resumido numa única página. Não nos vamos demorar sobre o manual mas não podemos deixar de mencionar que carece de um trabalho de simplificação e resumo.

O URL de registo https://registoconselhocidadaos.lisboa.pt/ devolve vários erros: “DevTools failed to load source map” 404 (página não encontrada) o que, não sendo necessariamente grave, atrasa o carregamento da página e indicia que algo não foi concluído no processo de desenvolvimento, provavelmente por falta de tempo.

O domínio onde está alojada a página de registo “lisboa.pt” tem algumas questões que já abordámos no “Índice Municipal de Cibersegurança 2022” 

https://cidadaospelaciberseguranca.wordpress.com/2022/04/14/indice-municipal-de-ciberseguranca-2022/  e que listava, entre outras lacunas, no site da Câmara Municipal de Lisboa, a falta de uma assinatura de DNSSEC (que impede a manipulação das respostas DNS, o que poderia conduzir a um redirecionamento não autorizado de pedidos para um servidor controlado por terceiros). Assim como outras questões tais como a falta de “HSTS Preload” (que encaminha automaticamente o utilizador para um canal seguro (HTTPS). Ademais, o site suporta versões consideradas inseguras do protocolo TLS (TLSv1.0 e TLSv1.1). Falta ainda suporte ao cabeçalho de segurança “Referrer-Policy” que previne contra ataques de cross-site scripting (XSS), impedindo a injeção de código a partir de origens desconhecidas. Ao domínio falta ainda a configuração DMARC que indica como é que um servidor de correio eletrónico recetor deve atuar quando identifica uma mensagem que se encontra em incumprimento com a política de SPF e/ou DKIM definida para o domínio emissor.

O site de registo do CCL tem alguns problemas:

1. O código aparenta ter apenas 5 dígitos (qualquer digitação abaixo deste número é recusada), sendo numérico e que, consequentemente, basta acertar uma vez em 99999 números para conseguir entrar e registar em nome de uma carta enviada por correio. Isso significa um erro quando a pessoa que recebeu o código se tentar registar (ficando excluída) e este código já tiver sido usado e que há uma possibilidade de através de uma ferramenta de scripting ir tentando até entrar e registar não apenas um mas vários (ou mesmo todos) dos registos criados.

2. É incompreensível porque o uso de uma ferramenta de scripting referido no ponto anterior não é barrado através de um captcha que garante a humanidade do utilizador.

3. Já existe quem proclame ter registado utilizadores indevidos, isso quer dizer que a ferramenta de captcha está em falta e que não existe também, provavelmente, nada a impedir uma grande quantidade de tentativas de acesso a partir de um endereço TCP/IP único.

4. Resulta ainda menos compreensível porque é que não se recorreu ao Autenticação.gov do qual a CML já faz, aliás, parte como se observa em https://www.autenticacao.gov.pt/entidades-aderentes o que garantia uma grande segurança no acesso e obstaria à maioria das objecções acima listadas.

5. Mesmo na falta de uso do Autenticação.gov o site poderia ter usado um mecanismo de autenticação por múltiplo factor através do envio de um PIN por SMS ou do uso de uma aplicação de autenticação (como o Google Authenticator).

6. Apesar de todas as garantias dadas pela CML a existência de dados pessoais partilhados entre tantas organizações (CML, Fórum dos Cidadãos, Instituto de Ciências Sociais da Universidade de Lisboa e todas as pessoas (quem?) que acedem nestas organizações a estes dados representa um risco de privacidade que devia ser contido mantendo estes dados unicamente na rede e posse da CML). O mais seguro seria, provavelmente, pedir um parecer sobre esta situação à CNPD.

7. Em https://www.lisboa.pt/fileadmin/cidadania/participacao/conselho_cidadaos/metodologia_2CC.pdf menciona-se que a “Finalidade e licitude do tratamento – O tratamento dos dados pessoais é realizado exclusivamente com o objetivo de envolver os cidadãos na tomada de decisão sobre os grandes desafios da cidade de Lisboa, convidando-os a debater o tema “Cidade dos 15 minutos” e apresentar propostas no âmbito da 2.ª edição do Conselho de Cidadãos” ou seja, que os dados recolhidos o são apenas para esta edição do CCL contudo, em “Conservação dos dados pessoais – Os dados recolhidos são conservados pelo tempo necessário para a concretização das finalidades acima descritas, circunscrito ao período do atual mandato autárquico” entra-se em contradição estendendo esse período de conservação de dados “até ao termo do mandato autárquico”. Ainda neste ponto sugerimos que no formulário onde se pedem os dados de contacto não se peça os outros elementos, separando-se assim a identificação da pessoa num lado e dados de contacto (questionário) no outro.

8. A página https://www.lisboa.pt/conselhodecidadaos não possui a indicação de “chamada da rede fixa nacional” ou “rede móvel nacional” junto aos números de telefone no final da página. O Decreto-lei n.º 59/2021, de 14 de julho, pode ser interpretado no sentido de que essa referência é obrigatória.

9. Sugerimos ainda que – para aumentar a privacidade dos cidadãos envolvidos – as cartas na próxima edição deverão ser enviadas com um código numérico que depois, por algoritmo, é confirmado no sistema central do registo, garantindo-se assim a anonimidade sem prejuízo da categorização que deve conduzir um bom processo deste género.

10. Por fim, recordamos que, no índice (com Pontos) Índice Municipal de Cibersegurança de 2022 Lisboa aparecia em 230º lugar… muito atrás de “Portimão: no muito meritório 1º lugar, Praia da Vitória (Ilha Terceira): uma surpresa muito agradável no 2º lugar, Grândola: Um bom exemplo vindo do Alentejo em 3º lugar, Gavião: ocupando um digno 4º lugar e vindo também do Alentejo, Fafe: Um 5º lugar muito honroso vindo do Algarve, Gaia: Num digno 6º lugar, Vila Franca do Campo: em 7º lugar também vindo dos Açores, Paredes de Coura: um 8º andar do distrito de Viana do Castelo, Barreiro em 9º lugar e, por fim, Moita em 10º lugar”.