Category ArchiveTecnologia

#CryptoParty no #FISL15

capa2

Depois da ascensão das criptofestas em 2012 por todo o mundo, depois de tudo que aconteceu durante 2013 com relação ao vazamento de informações sobre os governos dos five eyes (sobretudo NSA nos EUA), depois da primeira Cryptoparty Edição Salvador 2013, depois da Cryptoparty São Paulo 2013 e do sucesso da Cryptorave 2014, eis que vamos ter uma CryptoParty no FISL 2014!

As atividades irão ocorrer durante o FISL 15 e a programação segue abaixo e também no site do FISL15. Antes disso também teremos uma espécie de encontro Cryptoparty Pré-fisl nos dias 05 e 06 de Maio, na FACCentro. O objetivo é dialogar com membros de movimentos sociais que queiram saber mais sobre vigilância na rede, segurança digital e criptografia. Dia 05 das 19 às 21 hrs e dia 06 das 14 às 19 horas. Os dois eventos são abertos e gratuitos.

1. Cryptoparty PRE-FISL15 – FACCCENTRO
Rua Marechal Floriano Peixoto, 185 – 8º andar
Porto Alegre – Rio Grande do Sul

2. CryptoParty FISL 15 – PUCRS
Av. Ipiranga, 6681 Partenon
Porto Alegre – Rio Grande do Sul

Programação Cryptoparty FISL15

Dia 07/05/2014

13H – Debate de abertura: As perspectivas e os desafios da comunicação segura
Local: sala 41F
Palestrantes: Daniel Kahn Gillmor, Silvio Rhatto, André Bianchi

16H – Compilação Determinística
Local: sala 40T
Palestrante: Seth Schoen

Dia 08/05/2014

14H – Technology that controls, technology that liberates \ A call to action
Local: sala 40T
Palestrante: Jeremie Zimmermann

16H –  Software livre e a era da espionagem
Local: sala 40T
Palestrantes: Jeremie Zimmermann, Isabela Fernandes, Leonardo Lazarte, Seth Schoen, Pedro Rezende

Local Oficinas: sala 714

Oficina 1: Como gerar e usar criptografia no email com o GPG
Palestrante: Felipe Cabral

Oficina 2: Boas práticas do OpenPGP (OpenPGP best practices)
Palestrante: Daniel Kahn Gillmor

Oficina 3: Ferramentas OpenPGP para criptosindicatos (schleuder, monkeysphere e keyringer)
Palestrante: Silvio Rhatto

Oficina 4: Radical Protocol Design
Palestrante: Daniel Kahn Gillmor

Oficina 5: TOR: Como navegar anonimamente pela internet
Palestrante: Gustavo Gus

Oficina 5: TAILS: sistema amnésico e incógnito
Palestrante: Gustavo Gus

Dia 09/05/2014

14H – Segurança oportunística e Perfect Forward Secrecy
Local: sala 40T
Palestrante: Daniel Kahn Gillmor

16H – Cypherpunks e a Militarização do ciberespaço
Local: sala 41B
Palestrantes: Felipe Cabral, Jeremie Zimmermann, Ricardo Poppi, Sergio Amadeu
17H – Projeto de Acesso Criptografado (Leap)
Local: sala 41D
Palestrante: André Bianchi

 

 

 

Artigo 15 e economia da vigilância: Marco Civil da Internet

marco-civil-banner

O inicio de 2014 foi marcado por uma grande mudança no cenário dos direitos da Internet no Brasil. Há meses paralisado, o projeto do Marco Civil da Internet [1] – constituição brasileira de direitos e deveres sobre a rede em territórios pertencentes ao Estado, numa tacada única que durou pouco mais noventa dias, foi finalizado, analisado, votado no congresso, votado no senado e por fim sancionado pela presidenta em exercício Dilma Rousseff [2]. Um alívio para todos os ativistas que, durante anos, lutaram por sua consolidação e um golpe para aqueles que estavam de olho no crescimento da economia da vigilância. Dado esse contexto, eis alguns pontos de analise do que isto pode representar.

___

Na Austrália, durante os anos de 2011 e 2012, o cenário político-legislativo e as pressões sobre os temas ligados a privacidade e segurança digital eram bem próximos aos do Brasil. Isso acabou por motivar a resistência de uma série de ativistas e culminou na realização da primeira idéia de Cryptoparty [3] do mundo. Discursos e projetos de lei em ascensão que de certa forma impunham a guarda de logs e quebra de privacidade aos usuários da rede foram estopins para essa discussão e esse embate.

A história parece se repetir em solo brasileiro, mas com cores e desfechos diferentes e apresenta características sintomáticas dada a observação das contradições presentes. Há menos de duas semanas do dia em que o Marco Civil foi finalmente sancionado, mantendo em seu texto aprovado um artigo que condiciona e obriga o armazenamento de acessos dos usuários, houve uma grande CryptoParty neste mesmo solo, talvez a maior de que se teve notícia até o momento, reunindo mais de 2 mil pessoas para discutir e vislumbrar panoramas exatamente opostos ao que estaria por vir.

O artigo 15 e a guarda de logs: vigilância e controle

Guardar logs, em outras palavras, significa registrar dados de usuários, manter uma base de dados permanente ou temporária com informações e registros capturados em tempo real.

No Marco Civil da Internet isto é tratado na subseção III, que diz da “Guarda de Registros de Acesso a Aplicações de Internet na Provisão de Aplicações”, pelo artigo 15. Nele está posta a obrigatoriedade, em termos da lei, da manutenção de registro de acesso dos usuários pelo prazo mínimo de 6 meses por todo e qualquer provedor de aplicações de internet constituído sob forma de pessoa jurídica. Traduzindo em outras palavras, isto significa que todo serviço de hospedagem de sites, de modo prévio e sem necessidade de informar ao usuários, terá obrigatoriamente de guardar informações de acesso de usuários em um banco de dados próprio que poderá ser solicitado a qualquer momento por um órgão jurídico brasileiro.

Neste caso são os “serviços de segurança” que aparelham o Estado os beneficiários diretos, e por consequência, o próprio Estado no exercício do poder de controle e coerção que se fortalecem. Para o professor Sérgio Amadeu, “a guarda de logs resulta principalmente no controle biopolítico dos cidadãos”, evocando assim numa análise foucaultiana o caráter perverso que uma simples condição como essa pode gerar no tecido social.

O sistema jurídico passa a ter mais poder e controle sobre a vida dos cidadãos, numa intencionalidade clara de vigilância para punição, gerando um novo paradigma de administração da vida com enlaces sobre a dimensão digital, que até então não estava regulamentada.

Se por um lado o argumento da “insegurança” diz falsamente que contraventores estão na internet cometendo crimes e que guardas logs “protege” a sociedade contra estas ações, por outro, fica evidente que no mundo analógico estes fatos acontecem sem a internet e ninguém, numa democracia, monitora a vida dos cidadão dessa forma. Crimes são cometidos todos os dias, muito mais fora da Internet do que dentro dela. A Internet só reflete coisas do mundo físico. O que pode estar para além disso, então?

O artigo 15 e a guarda de logs: mercadoria

A guarda de logs funciona também comercialmente, em ações próprias e deliberadas, em uma série de serviços. Desde call centers telefônicos até empresas aéreas, passando pela maior parte de serviços gratuitos de comunicação ou de busca de informação na rede.

Está muitas vezes ligada também ao “direito do consumidor”, quando por exemplo, uma ligação telefônica é gravada. É o “direto do consumidor” em tese, nestes casos, que pode estar em jogo. Uma informação histórica de uma conversa entre um vendedor e um consumidor por vezes é usado como prova de que o consumidor fez determinadas solicitações a uma empresa. Vivemos numa época em que complexos contratos jurídicos são assinados por um aceite verbal. Quando a empresa ou o consumidor incorrem no não cumprimento de contratos, muitas vezes essas ligações podem ser usadas em processos judiciais. O problema aí está na imposição da gravação e no uso que se faz dela. O sujeito-consumidor não escolhe sobre o registro, a guarda deste áudio é feita por procedimento padrão.

Em paralelo a este uso jurídico-contratual existem outras formas mais exploradas de uso. No caso, por exemplo, de companhias aéreas, sites de busca, redes sociais proprietárias, lojas virtuais, etc, o modelo de negócio, isto é, uma grande parte ou a totalidade da exploração comercial é baseada na criação de grandes bancos de dados de acesso dos potenciais consumidores.

A extração de mais-valia [4], neste caso, é direta e implica na venda desta informações. E indireta numa segunda camada com o uso publicitário dessas informações. Consiste esse funcionamento, já atual e largamente praticado em escala por toda parte, no coração operacional da mercadoria moderna dentro do capitalismo cognitivo [5]. Para estas empresas e modelos de negócio, a guarda de logs é uma vantagem econômica, uma parte essencial de seu processo de geração de lucros, uma condição aplicada para acelerar e aprofundar a criação de desejos de consumo.

Colocado esse patamar, podemos inferir com bastante clareza que o artigo 15 está presente no Marco Civil da Internet não apenas por questões de descuido ou por animosidades de cibersegurança, mas também e sobretudo pelo forte apelo de alguns modelos de negócio sobre o poder político. Indiretamente a guarda de logs servirá de base para a ampliação destes usos onde o controle está a serviço de uma economia.

Os indivíduos são transformados inevitavelmente em produtos quando a guarda de logs é involuntária. Ainda que nesse caso a lei só disserte diretamente sobre o aspecto do controle para um entendimento de “segurança social”, há uma indução indireta que caminha para outros usos e para a transformação dos acessos sensíveis em dados ricos exploráveis mercadologicamente. A exploração comercial está totalmente fora do alcance ou do controle do indivíduo, tornando-o alienado na origem, por assim dizer, numa relação onde o trabalho implícito é realizado sem evidência aparente.

A obrigatoriedade da guarda supõe uma futura regulamentação, mas mesmo a mais simples regra vai certamente impor guarda de ips, hora de acesso, geolocalidade e possivelmente outros dados como tempo de permanência, páginas visitadas, conteúdos observados, etc. A manutenção de bancos de dados com estas informações vão gerar custos a quase todos os proprietários de sites. Em alguma medida, vale afirmar aqui que a publicação de conteúdos na internet vai ficar mais cara para pequenos empreendedores, jornalistas, cooperativas e outros arranjos de grupos sociais que utilizam a internet como forma de disseminar informações e conteúdos.

A guarda de logs instaura, portanto, um mecanismo de vigilância em massa permanente e vulnerabiliza fortemente o cidadão comum, deixado-o a mercê de qualquer solicitação jurídica destes dados, atacando seus direitos de liberdade e privacidade.

No mundo analógico, se quisermos fazer o exercício de pensamento, seria como se uma pessoa tivesse de prestar contas, involuntariamente, de cada jornal que compra numa banca de jornal, de cada livro que lê numa biblioteca, de cada disco que escuta numa loja. É a vigilância completa e autorizada na Internet. E quem ficaria responsável pela guarda dessas informações, no exemplo que estamos tomando, seria um intermediário – provedor de aplicações de internet – que observaria o jornaleiro, o livreiro ou “o dono da loja” e seus respectivos clientes. Imaginem viver num mundo onde toda pessoa que para em frente a uma banca de jornal tem que ter seu nome e endereços anotados numa caderneta por esse intermediário. Isso não só causaria um grande transtorno para o jornaleiro como inibiria todos de pararem para observar. No caso da guarda de logs o exemplo continua válido: muitos provedores, especialmente os de pequeno porte, terão de contratar mais pessoas ou outras empresas só para executar esse serviço.

Um outro aspecto que tange ao mercado é a destituição da possibilidade de negócios pautados em fornecimento de serviço de hospedagem segura e/ou anonima. Imagine que uma determinada empresa queira oferecer aos seus clientes um serviço hospedagem de sites anonimo, isto é, sem guarda de logs, sem registros de navegação, sem retenção de qualquer dado sensível. Isso poderia ser bem útil no caso de um site sobre jornalismo investigativo, por exemplo. Um usuário se sentiria mais seguro em enviar uma denúncia com provas para um site destes do que para um site no qual ele estaria sendo traqueado. Com o artigo 15 esse tipo de negócio fica proibido no Brasil.

Resistência

Grupos sociais organizados preocupados com estas questões desde o princípio da concepção do primeiro pré-projeto do Marco Civil estiveram engajados em informar, elucidar e divulgar diversos prognósticos de análise sobre a guarda de logs e outros pontos conflitantes da lei.

Até o último minuto antes do sancionamento houve uma tentativa de informar o Congresso, o Senado e Presidência da República sobre a armadilha destes aspectos contidos no texto. No entanto, estas tentativas falharam uma vez que determinados acordos políticos entre os partidos que estão atualmente no poder vislumbraram a necessidade de manutenção do Artigo 15.

Uma carta assinada por diversos destes grupos, explicitando o conflito legal e as implicações econômicas, foi entregue em mãos à presidenta Dilma Rousseff, a qual reproduzo aqui [6]. Esse esforço não redimiu a coalização de forças já previamente acertada e por fim a lei foi sancionada da maneira como estava, isto é, como o Artigo 15.

Cabe-nos então uma última questão para debruçar: existem possibilidades de resistência, dado esse cenário que parece destituir o cidadão comum de qualquer direito de intervenção? Vamos ter de descobrir a resposta e os caminhos nos tempos que virão, tomando muito mais cuidado, pois a partir de agora todos nós estamos cercados e vigiados por força da lei.

[3] A cryptoparty, ou cryptofesta, é um novo tipo de evento que surgiu no mundo durante o ano de 2012. Mixando elementos de eventos de tecnologia com hábitos típicos de qualquer festa, jovens começaram a se juntar para fazer um evento em favor da privacidade e da segurança digital, com foco em criptografia e anonimização dos dados. Este movimento teve inicio na Australia, país onde a época as forças do Estado estavam prestes a implementar leis anti-privacidade para todos os cidadãos. Em questão de horas o movimento auto-organizado em prol das criptofestas ganhou força. Cidades como Sidney, Nova York e Berlin foram as pioneiras. Depois dos escandalos de espionagem provocados por revelações do Wikileaks e Edward Snowden, sobre os governos dos Estados Unidos e Grã Bretanha, a ideia de disseminar conhecimentos tecnológicos para impedir a intrusão em massa ficou forte. Rapidamente a iniciativa se espalhou por diversas cidades na Europa e hoje o evento é realizado em mais de 500 cidades do mundo, muitas vezes simultaneamente. No Brasil a primeira CriptoFesta aconteceu em Salvador, em Outubro de 2013. Logo depois houve uma edição em São Paulo e uma outra em Porto Alegre. No inicio de 2014, a comunidade organizadora do evento resolveu fazer uma criptofesta ainda maior, com 24 horas de duração, chamada de cryptorave.

[4] Em linhas gerais, o termo mais-valia é o nome classicamente empregado, numa perspectiva sócio-política Marxista, da diferença entre o valor final de uma determinada mercadoria produzida e a soma do valor dos meios de produção e do valor do trabalho, que seria a base do lucro no sistema capitalista.

[5] Capitalismo cognitivo, também chamado capitalismo cognitivo-cultural ou terceiro capitalismo, entendido como uma fase posterior ao mercantilismo e o capitalismo industrial, é uma teoria centrada nas mudanças socioeconômicas provocadas pelas tecnologias da Internet e da Web 2.0, as quais têm transformado o modo de produção e a natureza do trabalho. Nessa fase do capitalismo – correspondente ao trabalho pós-fordista – haveria maior geração de riqueza comparativamente às fases anteriores, e o conhecimento e a informação (competências cognitivas e relacionais) seriam as principais fontes de geração de valor. A teoria do capitalismo cognitivo tem sua origem na França e na Itália, especialmente nos trabalhos de Gilles Deleuze e Felix Guattari (Capitalismo e Esquizofrenia), de Michel Foucault (sobre o nascimento do biopoder) e nos conceitos de império e multidão, elaborados por Michael Hardt e Antonio Negri, e também no movimento italiano marxista autonomista que tem suas origens ligadas ao operaismo italiano dos anos 1960. Outro teórico de referência que escreveu sobreo tema foi o economista francês Yann Moulier Boutang. Seu livro “Capitalismo Cognitivo” analisa a mudanças econômicas da atualidade e aponta quais seriam as características principais deste sistema.

[6] https://felipecabral.com.br/wp-content/uploads/2014/04/oficio_presidencia_mci.pdf

Novos vazamentos da NSA revelam ação de Unidades de Operação de Acesso Personalizado

 

nsa_malware_feature

A NSA (National Security Agency – Agência de Segurança Nacional dos Estados Unidos da América) tem se preocupado cada vez mais com o futuro da vigilância em massa e indicios recentes mostram que suas apostas futuras podem estar no desenvolvimento de malwares cada vez mais sofisticados e agressivos.

Uma reportagem da revista digital The Intercept, projeto jornalistico este fundado por Glen Greenwald, divulgou uma série de slides e memorandos vazados por Edward Snowden descrevendo a abordagem “mais agressiva” da NSA frente a desafios mais inteligentes, que visam contornar softwares de criptografia , tais como navegação na web via HTTPS e emails usando PGP.

Através da instalação de spywares e malwares diretamente em alvos específicos, o objetivo dessa abordagem é pegar os dados diretamente na fonte. As chamadas Unidades de Operação de Acesso Personalizado (TAO – Tailored Access Operations) da NSA seriam as responsáveis pelo empreendimento dessas tecnologias. Elas desenvolvem e implantam softwares malware e foram descritas em um relatório do Jornal Der Spiegel como “um esquadrão de encanadores que podem ser chamados quando o acesso normal a um alvo está bloqueado“, o que pode significar que eles são o último recurso utilizado quando outros métodos de vigilância falham.

No entanto, os novos documentos vazados revelam o crescimento explosivo da coleta de dados por intermédio das TAO através de malware implantados e sobretudo através de documentos de planejamento para aumentar o número de computadores infectados para a casa de dezenas de milhares, potencialmente, milhões, usando um sistema chamado Turbine .

De acordo com os documentos vazados, o Turbine permite a “exploração [de computadores] em escala industrial“, automatizando tarefas onerosas, tais como a recolha de dados de vigilância de sistemas infectados.

Além disso, as evidências sugerem que a NSA explora diversos gargalos da Internet para ataques man-in-the-middle* e desenvolve softwares para gerenciar milhões de implantes em redes, demonstrando que a sua intenção é a de comprometer a segurança de computadores em grande escala, ao invés de uma abordagem personalizada como vinha sendo até então.

Com o uso do Turbine, a espionagem de rede da NSA passou de algumas centenas de infiltrações em 2004, para algo entre 85 mil e 100 mil infiltrações em todo o mundo em 2012. Ainda que tomassemos como válido o argumento de que alguns sistemas importantes tivessem de ser inspecionados por questões vitais da segurança nacional estadunidense – argumento utilizado pelo Governo dos EUA -, o número de 100.000 computadores infectados, com possibilidade de extensão para milhões, rompe com qualquer noção factível de que a vigilância é feita por “questões de segurança”. Ao que parece o Turbine não é necessario e nem proporcional aos objetivos.

Não são apenas os implantes de uma violação de privacidade brutal, trata-se da exploração, em escala industrial, da base de dados de um número incomparável de computadores de cidadãos, muitas vezes comuns, fazendo a internet como um todo menos segura. O pesquisador Matt Balze chama atenção para um dos relatórios de iterceptação: “Como sabemos que esse sistema está funcionando corretamente e só visando os alvos que a NSA quer? E mesmo supondo que o sistema funcione corretamente, o que é por si só uma suposição muito duvidosa, como é esse sistema é controlado?

Até o dono da rede Facebook – uma das maiores ferramentas de retenção de dados pessoais da história – também tem se mostrado bastante preocupado. Recentemente, Mark Zuckerber ligou para o presidente Barack Obama reclamando e pedindo esclarecimentos sobre uma suposta ação da NSA que visava explorar vulnerabilidades do Facebook e roubar dados dos usuários da rede.

De acordo com reportagens recentes, a NSA criou servidores falsos do Facebook e utiliza cookies e outros dados de identificação para confundir usuários e fazer com que determinados recebessem malwares. Ele disse em declaração recente “Quando os nossos engenheiros trabalham incansavelmente para melhorar a segurança nós imaginamos que estamos nos protegendo contra criminosos, não o nosso próprio governo”.

Slides revelaram ainda que a NSA possui um protocolo de ataque man-in-the-middle chamado SECONDDATE que silenciosamente redireciona navegadores web a partir do site que eles pensam que estão visitando para servidores de malwares da NSA chamados FOXACID. A revista Intercept relatou que o “SECONDDATE é adaptado não só para ataques de vigilância ‘cirúrgicos’, tendo como alvo suspeitos individuais, como também pode ser usado para lançar ataques de malware em massa”.

A Eletronic Frontier Foundation (EFF) recomenda os seguintes cuidados para aqueles que desejam se proteger deste tipo de ataque man-in -the-middle:

  • Use HTTPS por padrão e defina o HTTP Strict Transport Security Header (http://dev.chromium.org/sts) como padrão para reduzir o risco de um ataque man-in -the-middle ou man-on-the-side. É possível baixar o plugin HTTPS Everywhere (https://www.eff.org/https-everywhere) para forçar conexões HTTPS em milhares de sites que ainda não suportam por padrão;
  • Defina a bandeira “envio seguro”, em seu navegador, para todos os cookies HTTP que seu computador acessar. Isso evita que sejam enviados textos simples ao invés de cifrados. O envio de “textos puros” para os cookies são um dos ataques explorados pelo Turbine. O HTTPS Everywhere também pode fazer isso automaticamente;
  • Se possível, apoie e use os Certificados de Transparência com SSL (https://www.digicert.com/certificate-transparency.htm) em seus sites para evitar ataques man-in -the-middle aos usuários utilizando certificados falsos;
  • Use TLS/SSL com suporte a Forward Secrecy (https://community.qualys.com/blogs/securitylabs/2013/08/05/configuring-apache-nginx-and-openssl-for-forward-secrecy) para que chaves privadas eventualmente comprometidas não possam descriptografar mensagens e arquivos antigos;
  • Implamente StartTLS (https://en.wikipedia.org/wiki/STARTTLS) para ter criptografia em servidores de e-mail;
  • Use Chaves Públicas Fixas (https://www.imperialviolet.org/2011/05/04/pinning.html) para garantir usuários só aceitem certificados SSL já pré-aprovados. Na ausência disso qualquer autoridade de certificação pode emitir um certificado malicioso para o seu domínio que será visto como confiável pelos navegadores. Infelizmente, a especificação HTTP Public Key Fixa é nova e só foi implementada no Chrome 18 e versões superiores. Nesse momento, o Mozilla vem trabalhando ativamente para o Firefox também tenha suporte a ele.

A NSA emitiu um comunicado de imprensa bastante confuso, se esquivando das questões colocadas pelas reportagens citadas e negou acusações nunca feitas no artigo do Intercept, acrescentando que mantém suas “operações de inteligência estrangeiras … adaptadas tanto quanto possíveis ” e que nunca atingiram “qualquer usuário de serviços globais da Internet sem autoridade jurídica adequada”. A EFF está cética quanto a essas declarações e recomenda que usuários e administradores de sites estejam também.

Referências:

* O Ataque Man-In-The-Middle é uma forma de ataque em que os dados trocados entre duas partes, por exemplo você e o seu banco, são de alguma forma interceptados, registados e possivelmente alterados pelo atacante sem que as vitimas se apercebam. Numa comunicação normal os dois elementos envolvidos comunicam entre si sem interferências através de um meio, aqui para o que nos interessa, uma rede local à Internet ou ambas.

Durante o ataque man-in-the-middle, a comunicação é interceptada pelo atacante e retransmitida por este de uma forma discricionária. O atacante pode decidir retransmitir entre os legítimos participantes os dados inalterados, com alterações ou bloquear partes da informação. Como os participantes legítimos da comunicação não se apercebem que os dados estão a ser adulterados tomam-nos como válidos, fornecendo informações e executando instruções por ordem do atacante.