Provas digitais
O que a página dizia,
no dia em que dizia —
e conferível.
O Tito Provas Digitais é um aplicativo de iPhone e iPad que navega por dentro de si mesmo, captura o que um sítio exibiu e encerra a sessão entre dois instantes certificados por uma autoridade que não tem relação nenhuma conosco. O que sai é uma pasta que um terceiro confere sem este aplicativo e sem acreditar em ninguém.
Navegar, capturar, gravar, resumir, carimbar o tempo e emitir o certificado são sempre gratuitos.
O certificado imprime estas linhas. Elas rodam em qualquer Mac, sem instalar nada, desconectado, sobre a pasta e nada mais.
Uma captura de tela não diz de onde veio
Qualquer pessoa produz a imagem de uma página que nunca existiu. O ponto fraco de uma captura de tela nunca foi o relógio: é a procedência do que está na tela. Este aplicativo responde a isso não deixando que a tela seja a única testemunha.
O navegador é o instrumento
Você navega dentro do aplicativo, num depósito de dados criado para aquela sessão — sem cookies herdados, sem preenchimento automático, sem extensão, e com o agente de usuário efetivo impresso no certificado.
A conexão fica registrada
De cada navegação o aplicativo guarda a URL efetiva, os redirecionamentos percorridos, o código de resposta, os cabeçalhos, a cadeia de certificados do servidor com emissor e validade, o endereço a que se conectou e a versão do protocolo de transporte negociada.
Dois instantes certificados
Um token de autoridade RFC 3161 é obtido antes da primeira navegação, e outro sobre a raiz da sessão quando ela encerra. A sessão inteira fica entre dois instantes que um terceiro certificou.
Uma árvore, e não uma pilha
Cada artefato recebe dois resumos; os resumos montam uma árvore de Merkle; a raiz é o que se carimba, e o registro da sessão é assinado por uma chave gerada dentro do Secure Enclave, que não sai do aparelho.
A sessão é a unidade
Não o arquivo. Uma sessão leva os endereços pedidos e os que foram alcançados, as imagens da região visível, a página inteira como documento paginado, o código-fonte renderizado de cada página, a gravação da tela com o áudio que a página reproduziu, o contexto de rede de cada navegação e a linha do tempo do que aconteceu e quando. Uma pasta só, numerada em sequência contínua, com manifesto em texto puro relacionando cada arquivo aos seus dois resumos, ao tamanho e ao instante de escrita.
Ele sempre captura
Sem rede, com relógio errado, com a autoridade fora do ar — ele captura do mesmo jeito. O que muda é o nível de confiança temporal que o registro declara, nunca se o trabalho pode ser feito.
Sem rede, o instante se ancora num token obtido antes e no relógio monotônico do aparelho, que é o que torna detectável um relógio movido à mão. O carimbo definitivo chega sozinho quando a rede volta, e o certificado é reemitido. Nenhuma perda é silenciosa: todo degradê de qualidade, de metadado ou de confiança é declarado na tela e escrito no registro.
O original nunca é tocado
Sem edição, sem corte, sem filtro, sem correção de cor, sem recompressão. O aplicativo também não altera a renderização da página, o que exclui modo de leitura, bloqueio de anúncio, tradução, tema imposto e ajuste de fonte. Nada é importado de fora: um artefato nasce dentro do aplicativo, em tempo real, ou não existe.
Um certificado que qualquer pessoa confere
Cada sessão produz um certificado em PDF/A-2b com a identificação, o procedimento, a linha do tempo, os endereços, o contexto de rede de cada navegação, os dois resumos de cada arquivo, a raiz da árvore, o estado de cada carimbo e, impressos por extenso, os comandos que conferem tudo isso. O pacote leva os certificados da própria autoridade de carimbo de tempo, de modo que a verificação rode desconectada e continue rodando caso o serviço venha a ser desligado. Certificado que viaja dentro do pacote que ele valida confirma a cadeia e não a confiança nela, e o documento diz isso com todas as letras.
O que ele recusa prometer
Este parágrafo é reproduzido sem variação na primeira página de todo certificado, no idioma do registro:
Este documento não constitui autenticação eletrônica do conteúdo capturado e não atesta a sua veracidade. Trata-se do registro técnico de uma captura. Ele descreve o que foi exibido no dispositivo, quando, e sob quais circunstâncias de rede, e permite a qualquer pessoa verificar, independentemente deste aplicativo, que os arquivos produzidos permanecem exatamente como nasceram. Sustenta ainda que esse conteúdo foi entregue a este dispositivo por um servidor que apresentou certificado válido para o endereço navegado, no intervalo entre dois instantes certificados por terceiro, nas navegações em que a cadeia do servidor pôde ser coletada, o que este documento declara uma a uma. Impugnada a prova, os elementos aqui impressos destinam-se a auxiliar o exame pericial. A correspondência entre o conteúdo exibido e a realidade que ele alega representar, inclusive a hipótese de encenação, edição, montagem ou página forjada, está fora do que qualquer captura pode aferir.
Nenhum dispositivo legal de nenhuma jurisdição é citado, no aplicativo ou no certificado. O documento descreve fatos técnicos e declara os seus limites; a qualificação jurídica desses fatos cabe a quem os invoca.
Procedimentos, identificação e trilha de auditoria
As sessões podem ser reunidas sob um procedimento. Órgão, unidade, responsável e matrícula se escrevem uma vez e ficam congelados por valor dentro de cada sessão, de modo que alterá-los depois não afeta o que já foi produzido. Um painel de auditoria reúne as exclusões e todas as tentativas de carimbo, com instante, resultado e diagnóstico cru de cada uma — porque exclusão permitida sem registro é exclusão sem rastro.
O preço
Navegar, capturar, gravar, resumir, carimbar o tempo, emitir o certificado e ler tudo dentro do aplicativo são gratuitos e ilimitados. O plano gratuito limita uma coisa só: tirar a pasta da sessão do aplicativo, o que ele permite uma vez — uma exportação, e não uma por mês. Ela existe para ser conferida de ponta a ponta antes de alguém decidir qualquer coisa, e reexportar essa mesma sessão, inclusive entregá-la de novo depois de o certificado definitivo substituir o provisório, não gasta nada. O Pro, mensal ou anual, tira esse limite. Não há publicidade nem componente de terceiro.
Privacidade que se confere
Sem analytics. Sem telemetria. Sem relatório de falha de terceiro. Sem rastreamento. Sem conta, e sem servidor nosso em lugar nenhum. O que trafega é o que a sua navegação pede, e um resumo para a autoridade de carimbo de tempo — que não é dado sobre ninguém e do qual não se recupera arquivo algum. A política inteira está aqui.