Mas, lamentavelmente, não há nenhuma novidade sobre isso. O próprio SBT já tinha feito uma reportagem muito parecida em 2008, quando comprou uma senha do INFOSEG por R$ 2mil e consultou dados do Lula, da Dilma e alguns políticos e empresários. Ídem em 2009. A BAND também fez uma reportagem sobre isto em 2010.
Ou seja, o problema existe há cerca de 5 anos: criminosos tem acesso as senhas do INFOSEG, um sistema que mantém informações sigilosas de todos os cidadãos brasileiros, e comercializam estas senhas de acesso para quem quiser pagar.
A pergunta que não quer calar: como um sistema importantíssimo desses continua vulnerável depois de tanto tempo e tantas denúncias? Descaso, para falar o mínimo.
O pior de tudo é que seria muito fácil implementar alguns controles de segurança para minimizar a chance de vazamento das senhas e, assim, impedir o acesso não autorizado ao INFOSEG. O Edson Fontes deu algumas dicas simples e objetivas, que eu reproduzo abaixo:
- Melhorar a autenticação do sistema: Para um sistema desta criticidade deveríamos ter o uso de vários fatores de autenticação, como certificados digitais, biometria ou tokens. Qualquer um destes mecanismos evitaria o vazamento das senhas: seria inútil roubar ou ceder uma senha de acesso ao sistema se o criminoso não tiver acesso ao segundo fator de autenticação. Provavelmente o mais fácil seria adotar o uso de tokens de autenticação OTP (One Time Password, iguais aos utilizados por vários bancos) ou certificados digitais ICP-Brasil. Várias empresas e os bancos já usam estas tecnologias há vários anos, com sucesso.
- Revisão periódica dos usuários válidos: A revisão periódica evitará o acesso fraudulento através de contas de usuários que deveriam estar inativos, como ex-funcionários, policiais aposentados, etc. É um processo puramente burocrático e trabalhoso, mas importantíssimo.
- Monitorar a quantidade de consultas: Provavelmente o acesso fraudulento ao INFOSEG deve gerar um número de consultas muito maior do que o uso normal. A monitoração ou limitação de quantidade de acessos pode facilmente alarmar quando o sistema está sendo utilizado fraudulentamente.
- Controle de acesso a partir da localização física: Um controle relativamente simples, uma vez que a maioria das consultas do sistema deve acontecer a partir de funcionários de órgãos governamentais. Por isso, é possível limitar o acesso somente a partir de endereços IPs associados as redes do governo. Usuários remotos seriam obrigados a acessar a rede do governo via VPN, o que dificultaria em muito o acesso não autorizado por criminosos.
- Envio de relatórios dos acessos para o usuário: Outra medida muito simples: os usuários poderiam receber, através de correio eletrônico, m pequeno relatório sobre seus acessos ao INFOSEG. Assim, o próprio usuário válido pode verificar se sua conta está sendo usada fraudulentamente por outras pessoas.
Veja também:
- Post do Coruja de TI: "Criminosos compram acesso a banco de dados de segurança pública do Brasil – alguma novidade ?"
- Post do Edson Fontes: "Senha do INFOSEG é vendida na Internet"
Um comentário:
Eu acesso o infoseg pois trabalho na secretaria da segurança e não foi tão fácil assim a utilização, pois não precisou só o CPF e senha, o computador tem que estar cadastrado e ainda recebe uma senha criptografada para autenticar a máquina em cada acesso. Tive que usar em outra máquina e somente podia cadastrar novo local de acesso de usasse o primeiro micro que possuia cadastro da minha senha.
Não acho que é tão simples assim como esta na reportagem.
Éberson Pereira
Postar um comentário