[Segurança] Ataque massivo do ransomware WannaCry em todo o mundo!

Nesta sexta-feira, 12/05, "sexta-feira dia da maldade", o dia amanheceu com várias notícias de que empresas em todo o mundo estão sofrendo ataques sérios de Ransomware., batizado de "WannaCry" ("Quero Chorar"), WannaCrypt ou Wcry. A notícia é real e merece atenção urgente de todos os profissionais de segurança.

Inicialmente as principais notícias falavam de empresas espanholas terem sido atacadas (veja o alerta do CERT na Espanha), mas há também notícias similares vindas da Europa e Ásia, incluindo Inglaterra, Italia, Portugal, Alemanha, Russia e China (que está sendo sendo atacada desde 11/5). Grandes empresas e órgãos de governo no Brasil também foram atacadas, e a lista só aumenta.

Ainda no primeiro dia (12/05) já se falava que a infecção pelo WannaCry tinha atingido pelo menos 74 países e continuava a se espalhar rapidamente. A origem do ataque ainda não foi confirmada, mas pelos relatos que eu li, me parece que o ataque do WannaCry começou na Rússia e China, depois seguiu para a Europa até chegar no Brasil e América Latina. Esse é um trajeto muito óbvio, na medida em que ele está seguindo o Sol: o ataque pareceu se expalhar na medida que os países amanheciam. Os EUA, por sorte, foram pouco afetados pois quando amanheceu por lá o resto do mundo já estava combatendo o WannaCry e já haviam descoberto o "kill switch" (mais detalhes abaixo).

Surgiram notícias de que a origem do WannaCry poderia estar ligada a um grupo hacker da Koreia do Norte. Eu, particularmente, acho isso um pouco improvável, pois se assim fosse, eles teriam evitado que o Ransomware atacasse a Rússia e, principalmente, a China. Ou será que ele foi criado na China?

Já é muito provável que praticamente todos os países do mundo já tenham sofrido com o ransomware WannaCry, e este incidente está sendo chamado de "a maior infecção de ransomware da história". O site MalwareTech disponibilizou dois mapas mostrando a evolução do ataque ao redor do mundo: um com estatísticas e mapa com todos os ataques e outro mapa com os ataques acontecendo em tempo real.

Não é a toa que teve extensa cobertura da mídia, especializada ou não.

Há notícias de centenas de empresas que foram infectadas ou que, para evitar a infecção, optaram por preventivamente destivar sua rede e desligar seus computadores.

Segundo várias fontes confiáveis, o ataque é causado pelo ransomware WannaCry (ou Wcry, WannaCryptor), que está explorando a vulnerabilidade MS17-010 (corrigida em Março deste ano, ela permite remote code execution em computadores com Microsoft Windows através do Server Message Block 1.0 - SMBv1) utilizando o exploit EternalBlue. Segundo a Forbes, "uma ferramenta vazada de NSA, um exploit do Microsoft Windows chamado EternalBlue, está sendo usado para espalhar rapidamente a variante de ransomware chamado WannaCry em todo o mundo".

A pesquisadora Amanda Rousseau, da Endgame, publicou um excelente artigo e infográfico descrevendo o processo de infecção do Ransomware WanaCry. Resumidamente, parafraseando o blog da Amanda, ele começa a infecção com um teste inicial ("beacon"), a função "kill switch" que ele verifica se pode continuar a infecção. Em seguida, ele tenta explorar a vulnerabilidade MS17-010 com o exploit EternalBlue (usando a implementação disponível no Metasploit) e se propagar para outros hosts. Em seguida que ele vai causar dano ao sistema, primeiro instalando o que necessita para causar os danos e ser pago para a recuperação, e após feito isso, o WannaCry começa a criptografar os arquivos na máquina.

Após infectar sua vítima, e antes mesmo de começar a criptografar os arquivos, o ransomware utiliza o protocolo SMB para infectar outras máquinas na mesma rede local e na Internet (ele gera endereços IP randômicos para tentar se espalhar pela Internet).

Uma vez infectada a máquina, ele encripta os arquivos e exige um resgate de 300 dólares, a serem pagos em bitcoins em, no máximo, 7 dias (o valor do "sequestro" aumenta para US$ 600 após as primeiras 72 horas). O WannaCrypt então mostra uma tela de aviso ao usuário de que seus dados estão "sequestrados" e troca o fundo de tela do desktop, além de disponiilizar um arquivo com instruções.

É interessante notar também que os casos anteriores que ouvi sobre Ransomware, os valores dos resgates estavam sempre em torno de 100 dólares. Ou seja, o preço de resgate exigido pelo WannaCry é mais caro do que o normal.

O grande segredo da rápida proliferação do WannaCry em todo o mundo e do desespero criado por ele está justamente na sua capacidade de se expalhar e de infectar suas vítimas muito, muito rapidamente. Ao contrário da maioria dos vírus que estamos acostumados hoje em dia, que se proliferam através de arquivos infectados compartilhados por mensagens de phishing (e, portanto, exigem que o usuário receba o e-mail, abra e baixe e execute o arquivo com o malware), o WannaCry se espalha automaticamente pela rede e utiliza um exploit para infectar automaticamente qualquer computador vulnerável, sem necessidade de nenhuma intervenção do usuário. A máquina é infectada sem que a vítima precise abrir e executar nada. Basta estar com o computador ligado (e vulnerável).

O interessante é que já fazem vários anos que não vemos uma grande infestação global por esse tipo de código malicioso, que chamamos de "worm" ("verme"). De fato, podemos dizer que temos algumas gerações de profissionais no mercado de segurança que não passaram pelo Code Red (2001), Ninda (2001), SQL Slammer (2003), Blaster (2003) e nem mesmo pelo Conficker, em 2008.

Veja algumas características desse ransomware que eu acho que são muito interessantes:

• Como disse, ele é um ransomware que se comporta como um "worm", infectando novas vítimas automaticamente através da rede local e da Internet, sem necessidade de intervenção do usuário;
• Ele usa rede TOR para se comunicar com os seus servidores de controle, o que dificulta muito a detecção e bloqueio dessa comunicação;
• Ele continua encriptando arquivos enquanto está ativo. Se incluir algum novo arquivo na máquina infectada, ele será criptografado também;
• Se alguém tenta extrair o executável do ransomware para análise, ele se auto-destrói;
• O ransomware suporta 28 linguages diferentes, o que mostra o objetivo de seus autores de fazer uma infecção global!
• Após infectar uma vítima, o WannaCry primeiro tenta invadir outras máquinas, e só depois ele começa a encripitar os arquivos. Isso é interessente pois, se ele primeiro fizesse o sequestro de dados, seria percebido pelo usuário antes que conseguisse se espalhar.

Dando uma olhada nas carteiras bitcoin (11...Ln, 1Q...iY, 13...94, 12...Mw) que eles aparentemente estão usando, até o momento poucas pessoas já pagaram o ransomware. As 15h40 do dia 12/05 constavam apenas 30 pagamentos. Isso é normal, pois as vítimas geralmente esperam até o último momento para pagar um ransomware, na expectativa de que vão descobrir como removê-lo - ou por conta da dificuldade de um usuário comum em comprar bitcoins.

• Atualização: as 2am de 14/05 essas carteiras já tinham recebido 123 pagamentos e acumulado cerca de 20 bitcoins (mais de 30 mil dólares). Esse valor subiu para cerca de 25 bitcoins as 3:30am de 15/05;
• Até 24/06, foram feitos 335 pagamentos, acumulando cerca de 51,9 bitcoins (mais de 142 mil dólares).

Quer saber quanto tem sido arrecadado com os resgates pagos pelas vítimas do WannaCry? Além do site "howmuchwannacrypaidthehacker.com", também foi criado um bot que a cada 2 horas publica no Twitter @actual_ransom o total de bitcoins (e dólares) pagos.

A partir da análise detalhada da Kaspersky e do SANS, junto com algumas informações da Microsoft, podemos destacar alguns indicadores do ataque (IOC):

• Hash (SHA256) dos códigos executáveis (Esta é a lista original, pois já apareceram centenas de variações, com hashs distintos):
  • 09a46b3e1be080745a6d8d88d6b5bd351b1c7586ae0dc94d0c238ee36421cafa
  • 24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c
  • 2584e1521065e45ec3c17767c065429038fc6291c091097ea8b22c8a502c41dd
  • 2ca2d550e603d74dedda03156023135b38da3630cb014e3d00b1263358c5f00d
  • 4a468603fdcb7a2eb5770705898cf9ef37aade532a7964642ecd705a74794b79
• Hash (MD5) dos códigos executáveis, segundo a Kaspersky (Esta é a lista original, pois já apareceram centenas de variações, com hashs distintos):
• 4fef5e34143e646dbf9907c4374276f5
• 5bef35496fcbdbe841c82f4d1ab8b7c2
• 775a0631fb8229b2aa3d7621427085ad
• 7bf2b57f2a205768755c07f238fb32cc
• 7f7ccaa16fb15eb1c7399d422f8363e8
• 8495400f199ac77853c53b5a3f278f3e
• 84c82835a5d21bbcf75a61706d8ab549
• 86721e64ffbd69aa6944b9672bcabb6d
• 8dd63adb68ef053e044a5a2f46e0d2cd
• b0ad5902366f860f85b892867e5b1e87
• d6114ba5f10ad67a4131ab72531f02da
• db349b97c37d22f5ea1d1841e3c89eb4
• e372d07207b4da75b3434584cd9f3450
• f529f4556a5126bba499c26d67892240
• Após infectar a máquina, o ransomware tenta acessar o seguinte website:
• www[.]iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com
• Foi encontrada uma variante que acessa outro domínio como "kill switch": ifferfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com
• Para tentar se espalhar, o WannaCry escaneia IPs da rede local e IPs válidos na Internet buscando pela porta TCP/445
• Servidores de comando e controle escondidos na rede TOR:
  • gx7ekbenv2riucmf.onion
  • 57g7spgrzlojinas.onion
  • Xxlvbrloxvriy2c5.onion
  • 76jdd2ir2embyv47.onion
  • cwwnhwhlz52maqm7.onion
  • sqjolphimrr7jqw6.onion
• Extensão de arquivo associadas ao ransonware: .WNCRY
• Por exemplo, o arquivo "file.docx" é encriptado e renomeado para "file.docx.WNCRY"
• Ao se instalar, ele cria o arquivo %SystemRoot%\tasksche.exe
• Ao se instalar, ele cria o serviço mssecsvc2.0
• Arquivo de aviso colocado no computador da vítima: @Please_Read_Me@.txt
• Ele cria ou altera as seguintes chaves de registro no Windows:
• HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\\ = “\tasksche.exe”
• HKLM\SOFTWARE\WanaCrypt0r\\wd = “”
• HKCU\Control Panel\Desktop\Wallpaper: “\@WanaDecryptor@.bmp”
• Ele cria diversos arquivos no computador da vítima, incluindo os seguintes:
• r.wnry
• s.wnry
• t.wnry
• taskdl.exe
• taskse.exe
• 00000000.eky
• 00000000.res
• 00000000.pky
• @WanaDecryptor@.exe
• m.vbs
• @WanaDecryptor@.exe.lnk

Diversos pesquisadores de malware encontraram a senha "WNcry@2o17" dentro do código do WannaCrypt, e rapidamente algumas pessoas começaram a especular que esta seria a senha para desencriptar os arquivos. Isso não é verdade! Esta senha é utilzada pelo ransomware para baixar seu payload: ele baixa um arquivo Zip protegido com ela.

Na verdade, o WannaCry utiliza o algoritmo de criptografia AES para criptografar os arquivos da vítima e para guardar essa senha de criptografia dos arquivos ele utiliza criptografia de novo, usando o algoritmo RSA com chave de 2048 bits. Além do mais, é muito pouco provável que essa senha servisse para desencriptar os arquivos pela própria natureza dos rasomwares modernos: eles criptografam os arquivos utilizando algoritmos e chaves de criptografia forte.

Segundo o post no MalwareReverse, foram encontradas chaves de criptografia no arquivo 00000000.pky, aonde fica a chave pública utilizada pelo ransomware e no 00000000.eky, que também é uma chave utilizada para encriptar os arquivos.

Algumas recomendações:

• Antes de mais nada, mantenham seus computadores Windows atualizados, para evitar serem infectados pelo Ransonware. O patch e dicas de como remediar a vulnerabilidade estão dsponíveis desde Março deste ano;
• A Microsoft também publicou um artigo com orientações para os usuários do Windows sobre como evitar o ataque e disponibilizou patches para versões antigas do Windows;
• Use servidores Linux e desktops / notebooks da Apple (muahahahahaha, desculpem, o espírito troll é mais forte do que eu);
• Bloquear o tráfego SMB na sua rede e desabilitar o protocolo SMB em seus servidores e desktops, que utiliza as portas 137 e 138 UDP e as portas TCP 139 e 445. Este protocolo, relacionado a vulnerabilidade do MS17-010, jamais deveria trafegar pela Internet. Ele deveria ser bloqueado pelos Firewalls de borda e desativado em servidores que não precisam dele sempre que possível;
• Não adianta tentar bloquear uma lista fixa de IPs associadas aos servidores de controle (C&C), pois o ransonware fala com os seus servidores através da rede TOR. Por isso é uma boa idéia bloquear ou monitorar o acesso das máquinas internas de sua rede para IPs externos associados a rede TOR. É possível baixar da Internet listas com esses IPs (são muitos, centenas ou milhares) A propósito, Kaspersky indicou, em seu blog, quais são os endereços desses servidores na rede TOR;
• A Trend Micro, Kaspersky, Symantec e a McAffee já tem vacina para esse ransomware;
• Um dos domínios que o malware usa para se comunidar já foi desabilitado e está resolvendo para um endereço IP inofensivo: www[.]iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com. É interessante que esse domínio era um "kill switch" que os pesquisadores descobriram acidentalmente, por sorte nossa, ao registrar o domínio: após se instalar, o WannaCry tenta acessar esse domínio e, se consegue, ele interrompe a infecção;
• Há várias histórias de empresas que estão desligando suas redes internas e seus computadores preventivamente, para evitar serem infectadas. Para ser sincero, não acho que elas estão erradas, pois isso evitaria a contaminação. Mas o mais importante mesmo é atualizar seus sistemas Windows.
• A minha sugestão, nesse caso, seria fazer uma parada emergencial programada: primeiro desliga as redes dos usuários (rede física e Wifi) e atualiza os servidores. Depois vai religando as redes dos usuários parcialmente e força a atualização das máquinas conforme elas voltam ao ar (fácil de fazer se você tem gestão centralizada delas).

Desde a quinta-feira, dia 18/5, surgiram notícias de que pesquisadores de segurança começaram a descobrir falhas no WannaCry que permitissem recuperar os arquivos encriptados, sem necessidade de pagar os ciber criminosos. Uma falha nas bibliotecas de criptografia da Microsofr e no seu uso permitiu recuperar a chave de criptografia RSA a partir de dados armazenados em memória, em algumas versões do Windows.

Assim, surgiram rapidamente algumas ferramentas:

• Wannakey - primeira ferramenta que surgiu, diz funcionar em Windows XP;
• WanaKiwi - consegue recuperar os primos em Windows XP, 2003 (x86), Vista, 2008, 2008 R2 e Windows 7.

Estas ferramentas procuram pelos números primos utilizados para gerar a chave privada RSA no processo wcry.exe. Este programa, que faz parte do WannaCry, usa as funções CryptDestroyKey e CryptReleaseContext que, no Windows XP, apaga as chaves de criptografia da memória, mas mantém os números primos na memória antes de liberar a memória associada ao processo

Além disso, em Junho pesquisadores da Kaspersky anunciaram que descobriram algumas falhas no código do WannaCry que permite recuperar os arquivos originais, antes de serem encriptados:

• Arquivos em folders "importantes" (como as pastas "Desktop" e "Documents") não podem ser recuperados, pois o WannaCry sobrescreve eles antes de apagá-los;
• Arquivos em outras pastas nas pastas nos discos do sistema operacional são movidos para a pasta escondida "%TEMP%\%d.WNCRYT" (aonde %d representa um número) e depois apagadas, mas de forma que qualquer ferramenta de recuperação de arquivos pode conseguir recuperá-los;
• Arquivos em discos que não são do sistema são movidos para a pasta “$RECYCLE” e configurados como "hidden+system". Devido a um bug, as vezes o arquivo pode não ser movido e é mantido na pasta original, e os arquivos originais podem ser recuperados por uma ferramenta de recuperação de arquivos;
• Arquivos com restrição de acesso "ready-only" não são removidos, apenas escondidos no sistema operacional usando a flag de "hidden". Uma busca simples pode encontrá-los.

Especialistas em segurança são unânimes em dizer que as vítimas não devem parar o resgate exigido pelos donos dos Ransomwares. Isso principalmente porque não há nenhuma garantia que o ciber criminoso irá cumprir a sua promessa. No caso do WannaCry, há um outro problema: ele não tem um mecanismo para verificar automaticamente que a vítima depositou o dinheiro na carteira bitcoin, então os criminosos tem que validar manualmente os pagamentos e também realizar manualmente o comando para liberar os arquivos.

É importante ter em mente que, a partir de agora, a tendência natural é que o WannaCry vai evoluir e novos Ransomwares vão surgir baseados nele. De fato, além de já terem aparecido centenas de variantes dele (versões do executável com assinatura MD5 diferente), já se fala do WannaCry 2.0, que não teria um "kill switch". Além disso, dois outros códigos maliciosos já surgiram com funcionamento similar ao Wannacry: o ransomware UIWIX e o malware Monero, que invade computadores para minerar moedas digitais.

As forças policiais estão trabalhando em cima do caso. A polícia francesa anunciou que, poucos dias depois de começar o ataque, já tinha identificado e apreendido 6 servidores de saída da Rede TOR localizados na França e que foram utilizados para comunicação do Wannacry.

Para saber mais:

• Blog do CERT.CCN "Identificado ataque de ransomware que afecta a sistemas Windows"
• Vídeo sobre o Ransonware WannaCryptor
• Na Microsoft:
  • Vulnerabilidade MS17-017 (Security Update for Microsoft Windows SMB Server - 4013389);
  • Descrição do ransomware Win32/WannaCrypt;
  • Artigo "Customer Guidance for WannaCrypt attacks"
  • Artigo no blog da Microsoft com muitos detalhes técnicos: "WannaCrypt ransomware worm targets out-of-date systems";
• Blog do SANS: ETERNALBLUE: Windows SMBv1 Exploit (Patched)
• Foi atacado por Ransonware? Visite o site www.nomoreransom.org
• Artigo do Brian Krebs: "U.K. Hospitals Hit in Widespread Ransomware Attack"
• Relatório da IBM contendo endereços IP relacionados ao ataque e uma assinatura para o SNORT
• Patch de Março da McAfee que protege contra a vulnerabilidade MS17-010
• Análise do Malware pela Hybrid Analysis
• Análise bem detalhada da Kaspersky
• Mapa online de ataques do WannaCrypt
• Neste meu post (de 2014), eu cito algumas ações preventivas que as empresas deveriam tomar
• Reportagem da Wired: "Wanna Decryptor: what is the 'atom bomb of ransomware' behind the NHS attack?"
• Alguns dos hashs conhecidos do WannaCrypt
• Post no Internet Storm Center do SANS: "Massive wave of ransomware ongoing"
• Extensa coletânea de informações sobre o WannaCry
• Ótima análise do site Malwarebytes
• Artigo do TrendLabs: "Massive WannaCry/Wcry Ransomware Attack Hits Various Countries"
• Uma galerinha criou um site para monitorar quanto foi arrecadado pelos criadores do WannaCry (monitorando 3 das carteiras de bitcoins deles): http://howmuchwannacrypaidthehacker.com
• Artigo do Ferfon: "Finalmente um ataque massivo de Ransomware"
• Artigo técnico nacional, bem bom: "Análise do ransomware WannaCry"
• Artigo bem legal do Atanai Ticianelli: "5 Estratégias de Derrota no Jogo da (Cyber) War"
• Entrevista com o Fábio Assolini, que defende o não pagamento do resgate: "Pagar recompensa a hackers deve ser evitado, diz especialista"
• Artigo interessante; "A History of Ransomware Attacks: The Biggest and Worst Ransomware Attacks of All Time"
• Excelente texto e infográfico da Amanda Rousseau: "WCry/WanaCry Ransomware Technical Analysis"
• Bot que publica no Twitter o total de bitcoins pagos pelas vítimas: @actual_ransom
• Post muito bom do Troy Hunt: "Everything you need to know about the WannaCry / Wcry / WannaCrypt ransomware"
• Artigo bem objetivo do TheHackersNews: "WannaCry Ransomware: Everything You Need To Know Immediately"
• "5 Emergency Mitigation Strategies to Combat WannaCry Outbreak"
• "WannaCry Kill-Switch(ed)? It’s Not Over! WannaCry 2.0 Ransomware Arrives"
• Post da TrendLabs: "After WannaCry, UIWIX Ransomware and Monero-Mining Malware Follow Suit"
• Artigo na Wired: "A WannaCry Flaw Could Help Some Victims Get Files Back"
• Artigo explicando o funcionamento das ferramentas para recuperar a have de criptografia do WannaCry: "WannaCry — Decrypting files with WanaKiwi + Demos"
• "Is WannaCry the First Nation-State Ransomware?"
• "The WannaCry Ransomware Hackers Made Some Real Amateur Mistakes"
• O nosso amigo YouTuber Fernando Mercês publicou dois vídeos sobre o Wannacry em seu canal:

• "Before WannaCry, Cryptocurrency Miners Exploited SMB Flaw" - ou seja, o WannaCry atrapalhou a vida do pessoal que criou esse código malicioso, pois a galera no mundo inteiro começou a atualizar seus computadores e corrigir a falha do SMB;
• "Ransomware and What You Can Do to Help Protect Your Data"
• Artigo interessante: "WannaCry's Ransom Note: Great Chinese, Not-So-Hot Korean"
• A TrendMicro publicou um pequeno vídeo que resume um pouco como se prevenir do ataque do WannaCry;
  
• Artigo da Kaspersky sobre como é possível recuperar alguns arquivos: "WannaCry mistakes that can help you restore files after infection"
• 5 lições que devemos aprender com o WannaCry e suas variações
• Episódio do Podcast Segurança Legal sobre o Wannacry
• British Security Services Tie North Korea to WannaCry
• French Police Seize 6 Tor Relay Servers in WannaCry Investigation
• Artigo interessante no Blog da RSA: "What Your Business Can Learn from WannaCry"
• O Dr. Walter Capanema fez uma palestra bem legal na Campus Party Brasília 2017: "A Lei e o Ransomware"

• This heat map shows how WannaCry spread around the world like an epidemic
• WannaCry is back! Virus hits Australian traffic cameras and shuts down a Honda plant in Japan
• Postmortem Finds NHS 'Could Have Prevented' WannaCry

Nota: Vou continuar atualizando esse post conforme identifico mais informações relevantes. Post atualizado pela última vez no dia 31/10/17.

Nota2: Também escrevi um FAQ sobre o WannaCry, para resumir os pontos principais, já que este artigo está gigante.

[Segurança] A NSA e a CIA me seguem!

Na edição do Roadsec que aconteceu recentemente em Brasília eu apresentei uma palestra sobre espionagem governamental, com o objetivo de fomentar o debate sobre como podemos tentar recuperar a nossa privacidade em um mundo super vigiado como o de hoje.

A NSA me segue (e a CIA também!) from Anchises Moraes

A palestra, batizada de "A NSA me Segue", foi baseada em uma atualização de uma mini-palestra que preparei em 2013, na época focada em discutir os vazamentos do Edward Snowden. Desta vez, além de discutir os novos vazamentos do Wikileaks sobre as capacidades de espionagem da CIA, a agência de inteligência americana, eu também tentei discutir como podemos tomar algumas pequenas atitudes para preservar um pouco de nossa privacidade online. Em breve pretendo criar um post mais detalhado sobre este assunto.

[Segurança] A NSA e as fotos do nosso pênis

Recentemente o talk show americano "Last Week Tonight with John Oliver" da HBO fez um quadro de aproximadamente 30 minutos sobre Government Surveillance, motivado pela proximidade da data em que o Congresso Americano irá revalidar o Patriotic Act (no dia 01 de Junho).

Neste episódio, que foi ao ar no domingo dia 05 de abril, ele tratou o assunto com bastante humor - afinal de contas, ele é um comediante. Inicialmente, ele explicou como o Patriotic Act, e principalmente a sua seção 215, são preocupantes ao dar um "cheque em branco" para que o governo americano colete qualquer tipo de informação que pode, eventualmente, estar relacionada a terrorismo - e, assim, interceptar a comunicação de todos os americanos (via telefone ou Internet). Ele também entrevistou o Edward Snowden (gravada na Russia, em uma sala em frente ao quartel-general da KGB - coincidência?) e diversas pessoas na rua, para mostrar a opinião da população sobre este tema.

Segundo John Oliver, após as revelações do Edward Snowden, o povo americano não pode mais ignorar a revalidação do Patriotic Act, e deve agir em defesa de seu direito a privacidade, exigindo a reformulação da sessão 215. John Oliver destacou que uma das dificuldades de tratar esse assunto é porque todos nós queremos ter, ao mesmo tempo, "perfect privacy" e "perfect safety", mas as duas coisas não podem coexistir. Segundo ele, o debate sobre o assunto tem sido patético e está jogado a segundo plano, similar a isso.

Mas, como fomentar essa discussão sobre privacidade se, segundo estudos recentes, quase a metade (46%) dos americanos não estão preocupados com a vigilância governamental ??? A entrevista nas ruas de Nova York mostrou como a população, em geral, é alienada aos problemas de privacidade e ao vigilantismo governamental (e aos escândalos sobre isso envolvendo a NSA). Muitos dos entrevistados não souberam dizer quem é Edward Snowden, e, tentando lembrar o que ele fez, algumas pessoas o confundiram com os feitos de Bradley Manning (vazar informações militares) e o Julian Assange (ser responsável pelo Wikileaks).

A maioria dos entrevistados nas ruas estavam ok com o governo vigiando e escutando todas as comunicações. Mas, ao perguntar para as mesmas pessoas se elas concordam que o governo possa armazenar e ver fotos íntimas de seus pênis, elas foram radicalmente contrárias. Por isso mesmo este programa foi tão interessante: o John Oliver conseguiu traduzir o problema da privacidade versus vigilantismo de uma forma que as pessoas pudessem se sentir incomodadas e, talvez, entendam o quanto a discussão é significativa para elas. Ao colocar a discussão de privacidade no contexto de fotos pessoais compartilhadas em nossos telefones, conseguimos chamar a atenção da população em geral.

O John Oliver também fez uma entrevista com o General Keith Alexander, ex-diretor da NSA e questionou sobre os programas governamentais de coleta de dados e da sua necessidade.

[Segurança] Kleptografia

Em Agosto de 2014, o pesquisador Matthew Green, da Johns Hopkins University, apresentou um material bem interessante sobre "Kleptografia".

Em seu paper "Practical Kleptography", Matthew descreve a idéia de roubar segredos criptográficos de forma imperceptível, ou seja, criar sistemas criptográficos que tenham "backdoors" que permitam o acesso a informação original. Assim, ninguém sabe que uma informação encripitada pode ser acessada e, quando isso acontece, ninguém é capaz de perceber.

"Kleptografia" era considerado um conceito teórico até 2013, quando as revelações do Edward Snowden mostraram uma assustadora realidade: há vávios anos o governo americano, através da NSA, já tinha uma estratégia de influenciar o desenho de produtos comerciais de segurança de forma que fosse possível capturar dados sem ser detectado, mantendo a falsa percepção de que o produto é seguro.

Isso pode ser feito inserindo vulnerabilidades imperceptívels nos produtos ou, pior ainda, nos padrões e algoritmos de segurança enquanto eles são desenvolvidos, uma estratégia claramente adotada pela NSA. Em sua apresentação, Matthew descreve como tudo isso foi possível.

Além da apresentação ser bem interessante, eu adorei essa nova buzzword ;)

[Cyber Cultura] The Day We Fight Back

O dia de hoje, 11 de fevereito, foi escolhido para marcar os protestos em todo o mundo contra o esquema de espionagem e vigilantismo criado pela NSA. É um movimento global para exigir o fim da vigilância em massa realizada por qualquer país, independente de fronteiras ou de princípios políticos.

Os protestos são centralizados em divulgar o site e a campanha chamada de "The Day We Fight Back" (ou, em Português, "O dia em que contra-atacamos"), que propõe estimular as pessoas a enviarem mensagens, fazerem telefonemas ou assinarem petições online direcionadas ao governo americano, para que este reduza os poderes de vigilância massiva que foram dados para a NSA.

Um dos objetivos da campanha também é divulgar os 13 Princípios Internacionais sobre a Aplicação Dos Direitos Humanos na Vigilância Das Comunicações, que explicam porquê a vigilância em massa é uma violação dos direitos humanos e que destacam a privacidade como um direito a ser protegido.

O vídeo abaixo, em espanhol, explica muito bem e de forma resumida a questão da vigilância em massa na Internet.

[Segurança] Cloud computing sob o olhar de um advogado

O Dr. Walter Aranha Capanema, advogado do Rio de Janeiro especializado em direto eletrônico e membro da CSA Brasil, deu uma excelente palestra sobre os aspectos jurídicos relacionados a Computação em Nuvem.

A palestra "Cloud computing: o olhar de um advogado" foi realizada nesta semana no Palco Arquimedes da na Campus Party 2014, que é o palco relacionado a palestras sobre segurança e redes.



Nessa palestra, o Walter Capanema abordou vários aspectos relacionados aos usos de Cloud Computing, como as legislações existentes (incluindo a Lei Carolina Dieckmann, neutralidade da rede e Marco Civil) e a questão dos termos de uso (que são os chamados "contratos de adesão") e suas cláusulas abusivas (como as cláusulas que ele chama de "mãe Dinah", aonde a empresa pode suspender o serviço se ela suspeitar que o usuário desrespeitou o contrato). Para exemplificar como os termos de uso são complexos, o Walter lembra que o termo de uso to facebook tem mais palavras que a constituição americana !!!

Ele também abordou muito a questão da privacidade e dos riscos de espionagem, com exemplos baseados nas denúncias do Edward Snowden (incluindo a recente notícia que a NSA espiona até mesmo os hábitos de jogadores online, incluindo no Angry Birds, Farmville e Call of Duty). E como a criptografia pode nos ajudar a proteger nossa privacidade.

[Segurança] To Protect And Infect - 30c3

Durante a trigésima edição do Caos Communication Congress (CCC - ou, nesse caso, 30c3), que aconteceu no final de 2013 em Hamburgo, Alemanha, o Jacob Applebaum fez uma excelente apresentação sobre a máquina de espionagem montada pela NSA, chamada "To Protect And Infect - the militarization of the Internet - Part II" (os slides estão disponíveis aqui).




Ele disse várias coisas interessantes, como:

• A NSA está tentando "redefinir" o termo vigilância: para eles, a vigilância não ocorre quando capturam os dados das pessoas (que é o que nós normalmente entendemos por vigilância - ou espionagem). Na visão da NSA, ela só ocorre quando um analista acessa esses dados pessoalmente, depois que já foram coletados, armazenados e analizados por softwares-robôs;
• A lei para nós, cidadãos, não é a mesma que vale para a NSA: a NSA montou um grande esquema de captura global de dados, chamada Turmoil, que lhe permite capturar dados de praticamente todos os 7 bilhões de habitantes do planeta impunemente. Mas, por outro lado, se alguma pessoa tentasse fazer o mesmo, certamente seria condenada a prisão pelas leis americanas - mesmo que fizesse algum esquema de captura de dados para fins de pesquisa de segurança;
• Essa diferença de "balanço" (há algo que o governo pode fazer e o resto de nós não pode) é o que mostra que há algo de errado nessa história toda;
• Ele deu grande destaque a várias operações e programas da NSA focados em atacar, invadir e injetar informações nos alvos;
• Sobre as táticas de invasão da NSA, muitas vezes baseados em vulnerabilidades e backdoors em produtos, ou até mesmo hardwares especializados, Jacob chamou de um constante esforço em "sabotar até mesmo empresas americanas e a ingenuidade do povo americano";
• A NSA pode armazenar pelo menos 15 anos de informações, incluindo o contaúdo e metadados das comunicações interceptadas;
• Ele citou vários projetos da NSA usados para automatizar o ataque, coleta e análise de dados, incluindo o Turmoil (os sensores passivos de captura de dados), Turbine (o injetor de pacotes), o QFIRE (projeto que inclui os dois anteriores para invadir routers e outros equipamentos), e o sistema MARINA, um dos vários que mantém o conteúdo completo e o metadado das informações capturadas e análise dos contatos (alvos, amigos, contatos) e identificadores (os perfis e e-mails que você tem) - além da família QUANTUM (ex: QUANTUMTHEORY é como eles chamam o "arsenal" de zero-day exploits) e o SOMBERKNAVE, um implante de software que permite a NSA enviar pacotes pela interface de rede wireless do computador invadido, mesmo que ela esteja desabilitada;
• Jacob chamou isso tudo de "militarização da Internet", ou seja: estamos sob algum tipo de lei marcial, ditada pelo governo americano, fooi usada uma estratégia de enfraquecer as tecnologias de Internet para facilitar a vigilância, deixando a todos vulneráveis, e isso tudo foi feito pelo governo a nossa relevância, em nosso nome mas sem nosso consentimento (inclusive sem conhecimento dos congressistas americanos);
• A NSA tem mais poder do que qualquer governo no mundo;
• Ele apresentou um conjunto de implantes de software e hardware, utilizados pela NSA para invadir diversos equipamentos, como roteadores, firmware de hard drives SIM Cards e o iPhone, da Apple, além de conseguir gravar estes implantes na BIOS do computador ou no firmware de hard drives, algo que nós sequer temos ferramentas para detectar;
• Ele dá uma dica para detectar se uma rede foi comprometida por um malware da NSA: uma das formas de exfiltar os dados é enviá-los através de conexões UDP criptografadas pelo algoritmo RC6;
• O fato da NSA dizer que tem muita facilidade de invadir os iPhones (isto é, o iOS) mostra que eles não tem pudor em manter informações críticas (isto é, vulnerabilidades) e até mesmo sabotar o software de empresas americanas. A mesma crítica é deita pelo fato da NSA conseguir invadir servidores HP e DEL: em vez de orientar estas empresas a corrigir suas vulnerabilidades, a NSA prefere explorá-las em benefício próprio.

A apresentação do Jacob Applebaum abordou um "catálogo" interno da NSA que mostram as técnicas de invasão utilizadas para alguns produtos específicos, conforme denunciado originalmente pela revista Spiegel. O site Cryptome publicou alguns dos documentos que fazem parte deste catálogo, que segundo a imprensa, tem 50 páginas e foi criado pela divisão da NSA chamada "ANT" (Advanced Network Technology), especializada em obter acesso a produtos de mercado como smartphones, computadores, roteadores e firewalls (incluindo produtos da Juniper Networks, Cisco, Huawei, HP e Dell. Os agentes da NSA só precisam olhar nesse catálogo e solicitar a ferramenta (software ou dispositivo de hardware) para invadir o equipamento ou software que precisam ter acesso para suas interceptações.

Várias palestras do 30C3 abordaram o tema da espionagem governamental e a NSA (como esta, esta, esta e esta). Outro painel bem interessante do 30C3 foi do Jacob Applebaum com o Julian Assange (remotamente via Skype, mas não conseguiu falar muito por problema de conexão) e a Sarah Harrison (advogada do Wikileaks), chamado "Sysadmins of the world, unite!".

[Cyber Cultura] Natal em tempos de NSA

O vídeo abaixo, chamado "The NSA is Coming to Town", faz uma crítica divertida a espionagem realizada pela NSA:




No final, o vídeo deixa claro sua mensagem: "Você não deixaria os agentes do governo espionarem em pessoa seus momentos especiais durante as festas. Porque deixamos eles fazerem isso no mundo digital?"

[Segurança] Como a NSA traiu a confiança de todo o mundo

O Mikko Hypponen deu uma palestra sensacional no TEDx de Bruxelas sobre o estado de vigilância e espionagem criado pela NSA e como isso afeta a nossa provacidde. A palestra, chamada "How the NSA betrayed the world's trust -- time to act",  é simplesmente sensacional, e ele resume muito bem em pouco mais de 19 minutos as denúncias contra a NSA e rebate todos os principais argumentos contra este esquema de espionagem.

Para exemplificar a importancia e o impacto da palestra, basta dizer que ela foi apresentada em Outubro deste ano e hoje, 8 de novembro, foi colocada no ar e está na home page do TED, em destaque!




Segundo Mikko, nós estamos de frente a um esquema de vigilância tão gigantesco que ninguém jamais poderia imaginar, nem mesmo George Owell, o autor do clássico livro 1984, que escreveu sobre um estado altamente vigilante e cunhou o termo "Big Brother".

Mikko ataca objetivamente vários fatos sobre o escândalo da NSA e os 4 principais argumentos a favor da espionagem anericana:

• Fato "É vigilância massiva e indiscriminada": Mesmo que os EUA vigiem apenas ligações telefônicas e o acesso Internet de extrangeiros, e não de cidadãos americanos, estamos falando de praticamente 96% da população do planeta, que são "extrangeiros"! Ou seja, todos nós! Além do mais, eles não estão vigiando pessoas suspeitas de cometer algo ilegal - eles estão capturando dados e espionando todo mundo!
• Fato "Um pouco de vigilantismo é bom": Sim, quando a polícia precisa investigar suspeitos ou potenciais suspeitos de um crime, ou monitorar um criminoso. Mas este não é o caso da NSA, que está espionando todo mundo, capturando dados de todos, indiscriminadamente.
• Fato "Participação das empresas": Os primeiros slides sobre o PRISM mostra que a NSA capturava dados de várias empresas, como a Microsoft, Yahoo, Google, Facebook e Apple. Todas essas empresas negaram participar do programa. Uma explicação possível é que essas empresas foram hackeadas, invadidas pela NSA para capturar seus dados. É muito possível, ainda mais depois de recentes revelações de que a NSA grampeava links de comunicação entre os datacenters do Google e do Yahoo!. Mas o Mikko se esqueceu de outra coisa: essas empresas são proibidas, pelo governo, a divulgar a verdade sobre o relacionamento com o governo. Ou seja, mesmo que elas tenham colaborado intencionalmente, elas não podem revelar isso e são obrigadas a negar !!!
• Fato "Perseguição ao Snowden": Acusar o Snowden de causar impacto nas empresas de Cloud Computing e empresas de software é como culpar o Al Gore pelos problemas do aquecimento global! Eles Não são a raiz do problema, eles estão apenas denunciando que o problema existe!
• Argumento "Todo mundo já sabia disso": Errado! Ninguém sabia que todos estes programas existiam, e não podíamos imaginar isso nem nos nossos piores pesadelos. Pior ainda, não sabíamos que a NSA poderia chegar a ponto de forçar as empresas de software a colocar backdoors em seus produtos e chegaria a enfraquecer algoritmos de criptografia, e assim, colocar todos nos em risco nos forçando a usar softwares "menos seguros".
• Argumento "Todos os países espionam": Sim, vários países espionam, mas o poderio de espionagem americano é muito maior, desproporcionalmente maior, por conta do domínio americano das tecnologias que usamos. Para exemplificar, quantos serviços e empresas americanas usamos no nosso dia-a-dia, e quantos serviços e equipamentos usamos da Suécia? Nós somos totalmente dependentes das empresas americanas (hardware, software, telecomunicações, Internet, serviços online, cloud computing, etc), e estas empresas são reféns da NSA.
• Argumento "Os EUA estão combatendo o Terrorismo": Não é verdade, pois a espionagem é indiscriminada, incluindo líderes europeus, os presidentes do México e Brasil, o Parlamento Europeu e até mesmo o Papa! Os EUA estão tentando achar terroristas no Vaticano? Além do mais, será que o terrorismo é uma ameaça tão grande que justifica abrirmos mão de nossa privacidade, de nossos direitos, rasgar a constituição e a declaração universal dos direitos humanos?
• Argumento "Não tenho nada a esconder": Talvez o pior deles, pois significa que estamos abrindo mão da privacidade, que é um direito fundamental nosso, que é a base da liberdade de expressão e, portanto, a base da democracia. Mesmo que você não tenha nada a esconder e seja brutalmente honesto na Internet, mesmo assim você se sente obrigado a compartilhar tudo sobre você com uma agência de espionagem de outro pais?

Ao final, Mikko aponta o uso do software livre como uma das poucas soluções que temos contra o massivo esquema de espionagem governamental.

[Segurança] NSA, Até o Papa !?!?

As denúncias de espionagem descontrolada e descabida por parte da Agência de Segurança Nacional americana (NSA) não param de chegar.

Se até pouco tempo atrás as denúncias de espionagens contra chefes de estado estavam restritas a presidenta do Brasil, Dilma Roussef, e ao presidente do México, agora vários outros países já ficaram sabendo de que foram alvos da mega-estrutura de cyber espionagem montada pela NSA. Incluindo, até mesmo, o Papa...

Segundo o The Guardian, a NSA espionou ligações telefônicas de 35 líderes mundiais. Além do mais, entre 08 de fevereiro e 8 de Março de 2013, a NSA coletou 124,8 bilhões de informações de telefonia em todo o mundo e 97,1 bilhões de informações oriundas de dados de computador.

Vejamos o que dizem as principais noticias até o momento...

• Soubemos, através do Fantástico, que a NSA espionou as ligações telefônicas da Dilma
• Também pelo Fantástico, vimos que a NSA interceptou mensagens de SMS do celular do atual presidente mexicano, Enrique Peña Nieto, quando ele ainda era candidato.
• A NSA também espionou mais de 70 milhões de chamadas de cidadãos franceses em apenas um mês, incluindo o presidente da França, François Hollande.
• Também foi alvo de monitoração a chanceler do governo alemão Angela Merkel.
• Recentemente, a revista alemã Der Spiegel divulgou que a NSA espionou o presidente Mexicano Felipe Calderón quando ele ainda era presidente, entre 2006 e 2012.
• O jornal australiano The Sydney Morning Herald denunciou que a NSA utilizou as embaixadas australianas na Ásia para espionar diversos líderes locais, inclusive da Indonésia
• A NSA também espionou o Vaticano, incluindo o papa Bento XVI antes da sua renúncia e o então cardeal Jorge Bergoglio, antes de sua eleição para novo Papa. Segundo as notícias, a espionagem no Vaticano também ocorreu durante o conclave deste ano, e os EUA buscariam vantagens diplomáticas e segredos financeiros.

Mas isso não é o pior. Uma nova revelação indica que a NSA, em parceria com a agência de espionagem britânica GCHQ, também espionava os links de comunicação utilizados por grandes empresas de Internet, como o Google e Yahoo!. Ou seja, mesmo que a comunicação entre os usuários e os sites seja protegida pela criptografia SSL, a NSA percebeu que a comunicação interna entre os servidores e os datacenters destas empresas raramente é criptografada. Assim, interceptando estes links de comunicação entre os datacentes, a NSA conseguiu interceptar a comunicação dos usuários deste serviço.

A NSA percebeu que mesmo gigantes como o Google se preocupam mais com a segurança de perímetro do que com a segurança interna. Afinal, normalmente as empresas acreditam que suas redes internas são naturalmente seguras. Mas grandes empresas com vários escritórios e até mesmo com vários data centers tem um calcanhar de Aquiles: a interconexão entre suas redes, que normalmente é realizada através de empresas de telefonia contratadas para este fim. Poucas empresas (ou melhor, quase nenhuma) jamais se preocupou em proteger estas comunicações, o que pode ser realizado facilmente com equipamentos próprios de criptografia VPN.

O pessoal do Estadão construiu um Infográfico que distribui as principais denúncias contra a NSA em uma linha de tempo. Ótima referência.

[Cyber Cultura] Stop Watching Us

Stop Watching Us é uma campanha contra o esquema de espionagem e vigilância massiva criado pela NSA, a agência de segurança americana. Além disso, representa uma coalizão, batizada de StopWatching.us, com mais de 100 empresas, organizações de defesa da cidadania e pessoas - incluindo o Tim Berners-Lee, o aclamado "criador da Internet".

Neste sábado, dia 26/10, o grupo realizou um protesto em Washington que atraiu milhares de pessoas que manifestaram contra a espionagem por parte da NSA e que gritaram palavras de apoio ao ex-analista da CIA Edward Snowden, que divulgou milhares de documentos sobre este esquema governamental de espionagem e inteligência.

Recentemente a Electronic Frontier Foundation (EFF) lançou um vídeo promocional da campanha, que contou com diversas celebridades, ativistas, juristas, e outras figuras proeminentes falar contra a vigilância em massa pela NSA. O vídeo foi dirigido por Brian Knappenberger (que fez o documentário "We Are Legion: The Story of the Hackivists") contou com a participação de personalidades como o diretor Oliver Stone, o produtor Phil Donahue e os atores Maggie Gyllenhaal, John Cusack, Wil Wheaton e Molly Crabapple, além de alguns ex-profissionais da NSA.



Na área de segurança, o Bruce Schneier tem se envolvido muito com as denúncias de espionagem da NSA e ajudado o jornal britânico The Guardian. Por isso mesmo, ele se tornou uma voz ativa na crítica a NSA. Ele escreveu alguns artigos excelentes sobre este assunto, dois dos quais merecem destaque:

• "The US government has betrayed the internet. We need to take it back"
• "Why the NSA's attacks on the internet must be made public"

Em tempo: a EFF mantém uma ótima página sobre todas as denúncias de espionagem e vigilância da NSA.

[Segurança] Governos pós-Snowden

O Sandro Suffert publicou recentemente mais um excelente post em seu blog sobre o "Espionagem contra o Brasil e o Marco Civil no Forno - Brasil pós Snowden", ou seja, sobre a reação da presidenta Dilma frente as denúncias de espionagem do governo americano, realizadas pelo Edward Snowden, que atingiu o governo brasileiro (incluindo comunicações da Presidenta do Brasil e informações do Ministério das Minas e Energia), além da Petrobrás.

A Dilma já fez biquinho, já cancelou uma visita ao Obama e fez discurso cheio de mimimi na ONU. Como se nenhum governo nunca tivesse espionado ninguém - nem o governo Brasileiro.

Nessa semana a chapa esquentou do lado do Obama, com novas denúncias de espionagem a governantes, mas dessa vez com gente grande: a chanceler do governo alemão Angela Merkel e o presidente da França, François Hollande. Agora não é mais espionagem contra presidentes de países de terceiro mundo, como México e Brasil... e, embora com a Alemanha e a França faça sentido usar o argumento de que "todos os países se espionam mutuamente", a crise diplomática e o mal estar está instalado.

Mas, se é verdade que todos os países se espionam desde que o mundo é mundo, porque tanta polêmica?

Na minha opinião, o problema é a amplitude e o grande grau de invasão da espionagem americana:

• A partir do momento em que a NSA espiona todas as comunicações telefônicas e via Internet em todo o mundo, ela espiona tudo o que fazemos, indiscriminadamente. Afinal, o mundo está conectado e os celulares e a Internet fazem parte do dia-a-dia de todos nós. E isto é assustador.
• Para piorar, a NSA construiu uma enorme estrutura de espionagem, através de acordos com grandes sites e empresas de telecomunicações, backdoors instalados por empresas de tecnologia e, se necessário, captura de comunicação em cabos submarinos ou invasão de computadores. Com isto, o governo americano tme uma capacidade de espionagem inigualável, que nenhum país consegue se proteger nem ao menos chegar perto.
• Para piorar ainda mais, hoje em dia todos os países são altamente dependentes de tecnologia e serviços oferecidos por empresas americanas. A própria Internet é controlada pela ICANN, que é subordinada ao Departamento de Comércio do governo americano.

E aqui no Brasil, quais serão as reações concretas do governo Brasileiro? Por hora, ouvimos notícias sobre diversas iniciativas governamentais desencontadas e, a grande maioria, com pouca chance de resolver algo, tais como:

• Como criar um serviço de e-mail nacional através dos Correios - como se já não possuíssemos diversos provedores locais, como UOL e Mandic, inclusive provedores que oferecem e-mail gratuito
• Obrigar os sites externos que contenham dados de brasileiros (como o Facebook e o Google) a manter servidores no Brasil para armazenar os dados dos brasileiros, como se isso fosse evitar algum tipo de espionagem por parte destas empresas (sem falar que vai facilitar a espionagem do próprio governo Brasileiro)
• Lançar um cabo submarino entre o Brasil e a Europa para evitar espionagem americana, como se os EUA não tivessem submarinos e não soubessem colocar sniffers neles para interceptar a comunicação
• Forçar o Serpro a usar criptografia nos e-mails utilizados por órgãos governamentais, que seria útil, mas é impossível eviar que autoridades, membros do governo e funcaionários públicos em geral usem o e-mail pessoal. Mesmo assim, qualquer comunicação não criptografada com entidades externas continuará sendo interceprada.

O meu maior medo é que o governo possa desfigurar o Marco Civil, sob pretexto de usar ele como uma forma de diminuir o risco de espionagem americana, e assim acabe aprovando às pressas um Frankstein para torná-lo uma peça que facilite a espionagem do próprio governo brasileiro.

[Segurança] A NSA causa tempestade nas Nuvens!

Segundo uma pesquisa realizada recentemente pelo instituto de pesquisa Information Technology and Innovation Foundation (ITIF) e Cloud Security Alliance americana, a indústria de Computação em Nuvem pode ser impactada diretamente pelos escândalos de espionagem envolvendo a NSA (a Agência de Segurança Nacional dos EUA), revelado pelo Edward Snowden.

Por conta do risco de espionagem e a consequente preocupação com privacidade, empresas e instituições estrangeiras estão cancelando contratos e reduzindo o uso de provedores de serviços em nuvem baseados, pois a espionagem  podem afetar diretamente a confidencialidade de dados armazenados na nuvem. Afinal de contas, as revelações do Snowden mostram um programa sofisticado e abrangente de espionagem do governo norte-americano focado na coleta massiva de dados eletrônicos de empresas e usuários, muitas vezes com a conivência forçada de empresas de tecnologia baseadas nos EUA, como Facebook, Google, Microsoft, Apple, Yahoo e muitas outras - incluindo empresas de telecomunicações.

Como consequência, o ITFI estima que a indústria de computação em nuvem nos Estados Unidos pode perder entre US$ 25 bilhões e US$ 35 bilhões em receita nos próximos três anos.

Em uma outra pesquisa realizada há pouco tempo pela Cloud Security Alliance com 500 executivos, 10% dos entrevistados não americanos disseram ter cancelado um projeto com um fornecedor de Cloud Computing baseado nos EUA, enquanto 56% afirmaram ser menos propensos a usar um serviço de nuvem com base nos EUA. Entre as empresas com sede nos EUA, 36% indicaram que as divulgações sobre a espionagem da NSA tornaram mais difícil a elas fazer negócio fora do país.

[Segurança] A NSA tentou colocar backdoor no Linux?

Durante um painel de debates sobre o Kernel do Linux na LinuxCon & CloudOpen em Nova Orleans, aconteceu uma cena inusitada: de repente o moderador dirigiu uma pergunta aos painelistas: "Algum de vocês já foi abordado pelos Estados Unidos para colocar backdoor?". Quase imediatamente o Linus Tovalds deu uma resposta hilária:

"Noooooo"
(balançando a cabeça como se tivesse dito "Sim")

Em seguida, outro painelista, Tejun Heo, completou: "Not that I can talk about" ("Não que eu possa falar sobre"). E ambos arrancaram gargalhadas da platéia.

O vídeo do painel tem 42:38 minutos de duração e esta cena, curta e rápida, aconteceu aos 24:15.



Desde as denúncias do Edward Snowden, o hit do momento é justamente este assunto de espionagem governamental e da NSA ter instalado backdoors em diversos produtos (hardware e software), para facilitar a interceptação de dados. Não é de se adimirar, portanto, que este assunto apareça em um debate durante um evento de tecnologia.

Independente da NSA ter tentado colocar backdoors no Linux, o fato do sistema operacional ter código aberto permite que especialistas em todo o mundo conheçam e analisem o seu código fontee, assim, possam identificar qualquer tipo de função ou funcionalidade estranha. Mesmo uma alteração minúscula e quase imperceptível (como, por exemplo, fixar alguma variável nos algoritmos criptográficos) pode ser eventualmente percebida se o código passa pelos olhos de centenas de desenvolvedores.

[Segurança] Obama e o fim da Internet livre

Era uma vez um presidente americano, celebrado como o primeiro presidente negro afro-descendente afro-americano, que ganhou o prêmio Nobel da Paz.

Era uma vez um presidente americano que criou um vírus capaz de destruir uma refinaria de urânio e, assim, colocou a guerra cibernética nos jornais e na agenda de todos os governos.

Era uma vez um presidente americano que criou a maior aparelhagem de espionagem global já vista, através da Internet, redes de telefonia, celulares e até mesmo comunicações criptografadas. E, assim, ele acabou com a privacidade na Internet.

Ainda é cedo para dizer como as próximas gerações irão se lembrar do Barack Obama, e qual será o seu maior legado para a história. Mas, nos últimos meses, fomos bombardeados por revelações de um gigantesco esquema de espionagem global criado pela NSA, a agência nacional de segurança dos EUA. Segundo as denúncias feitas pelo Edward Snowden, um ex-analista de inteligência subcontratato, a NSA obtém dados de navegação e conversação na Internet com a suposta conivência de grandes empresas, chegando até mesmo a usar backdoors em produtos de mercado, conseguir quebrar protocolos de segurança como o SSL e o TLS, e acessando VPNs de diversas empresas e governos. Não pouparam nem mesmo a Dilma nem a Petrobrás.

Desde o início de Junho deste ano, a cada dia os jornais e revistas publicam um pouco mais de detalhes sobre a capacidade de espionagem do governo americano, e alguns nomes estão começando a ficar popular (e a frequentar o pesadelo de vários governos e empresas), tais como:

• PRISM - o massivo programa de espionagem e análise de dados obtidos de comunicações via Internet, incluindo informações supostamente fornecidas por empresas como including Microsoft, Yahoo!, Google, Facebook, YouTube, AOL, Skype e Apple, além de empresas de telecomunicações como a Verizon, gigante operadora americana.
• X-Keyscore - um sistema secreto da NSA capaz de analisar dados coletados e identificar a nacionalidade das pessoas investigadas com base em suas mensagens.
• TAO - divisão da NSA chamada de Tailored Access Operations (TAO), que é um grupo criado em 1997, especializado em infiltrar computadores de alvos específicos (pessoas ou empresas vigiadas). O grupo foi responsável por obter acesso a 258 alvos em 89 países na segunda metade da última década e realizou 279 operações em 2010 e 231 em 2011;
• ROC (Remote Operations Center) - Grupo de elite da divisão TAO, responsável por operações "ofensivas" (isto é, ciber ataques direcionados a alvos específicos);
• BLARNEY- um programa para transformar as informações coletadas em meta-dados e permitir a análise inteligente dos dados
• Boundless Informant - um programa de visualização de dados, baseado em Big Data e Cloud Computing
• Upstream - uma infraestutura de coleta de dados montada pela NSA capaz de coletar dados de links de comunicação e cabos submarinos. Especula-se que a NSA tenha instalado dispositivos de captura de dados nestes links, que são responsáveis por parte do backbone global de comunicação da Internet.
• FORNSAT ("foreign satellite collection") - estrutura para coleta de dados de satélites de comunicação de outros países
• Pinwale - banco de dados de e-mails interceptados pela NSA
• BULLRUN - conjunto de técnicas de quebra de criptografia utilizadas pela NSA, incluindo a invasão de computadores para obter chaves criptográficas, ataques de Man in the Middle, o enfraquecimento intencional dos padrões de criptografia e colocar backdoors em algoritmos e produtos.
• Flying Pig e Hush Puppy - programas que monitoram comunicações criptografadas e redes privadas, que utilizam TLS/SSL ou VPN.
• Silverzephyr - programa que registra o conteúdo de gravações de voz e fax originários da América Latina.
• US-985D - codenome do programa de espionagem massiva na França
• US-987LA e US-987LB - codenomes dos programas de espionagem massiva na Alemanha
• DRTBOX e WHITEBOX - técnicas de interceptação de ligações telefônicas utilizadas pela NSA contra a França (e, talvez, também direcionados para outros países europeus)
• MUSCULAR - ferramenta da NSA e da GHCQ utilizada para interceptar dados trafegados em links de comunicação privados entre os datacentes o Google e do Yahoo!.
• STATEROOM - programa de interceptação de rádio, telecomunicações etráfego Internet através de instalações diplomáticas australianas.
• MARINA - banco de dados os metadados da NSA, que cria uma espécie de gráfico social a partir dos dados, fornecendo uma interface de busca de comportamento online e indivíduos para os analistas da NSA. Inclui o conteúdo completo e o metadado das informações capturadas e permite a análise dos contatos (alvos, amigos, contatos) e identificadores (os perfis onlinese e-mails que você tem) da vítima;
• Serendipity - ferramenta dedicada a monitorar as contas do Google e como os usuários acessam serviço;
• Accumulo - banco de dados NoSQL para armazenamento de Big Data, trabalhando com base em pares chave-valor. É um projeto semelhante ao BigTable do Google ou DynamoDB da Amazon, mas inclui características especiais de segurança projetadas para a NSA, como vários níveis de acesso. É construído sobre a plataforma Hadoop e outros produtos da Apache;
• DROPMIRE - ferramenta d eintereceptação implantada pela NSA nos equipamentos de fax criptografados (Cryptofax) da embaixada européia en Washington, DC, que permitiu a NSA espionar diversos governos europeus;
• GENIE: Codinome para um esforço da NSA em invadir redes de outros países e colocá-las sob seu controle, através da invasão de milhares de computadores, roteadores e firewalls em todo o mundo (68,975 equipamentos em 2011. O grupo conta com a ferramenta camada de TURBINE para controlar as máquinas infectadas, com o objetivo de obter dados ou realizar ataques;
• ANT (Advanced Network Technology) - divisão da NSA especializada em produzir ferramentas de acesso a diversos equipamentos e produtos, incluindo celulares, computadores, equipamentos de redes e de segurança, incluindo produtos de companhias como a Juniper Networks, Cisco Systems, Huawei, HP e Dell. No final de dezembro/2013 a revista Der Spiegel publicou uma série de reportagens aonde descreveu as divisões TAO, ANT e um "catálogo de produtos" da NSA com 50 páginas descrevendo as ferramentas que possui e a quais equipamentos ela tem acesso;
• QUANTUMTHEORY - Conjunto de ferramentas da NSA utilizada para invadir empresas, serviços ou produtos específicos, ou seja, o "arsenal" de zero-day exploits da NSA;
• QUANTUMINSERT - Ferramenta utilizada pela NSA e GCHQ para rastrear a navegação Internet das pessoas e, em momentos oportunos, injetar pacotes para direcionar o acesso da pessoa vigiada para um dos servidores conhecidos como FOXACID, que são servidores da NSA que manipula o acesso da vítima sem que ela perceba e consegue "plantar" um malware, que vai agir como software espião;
• QUANTUMBOT: ferramenta para interceptar comunicações de bots IRC;
• QUANTUMCOPPER: ferramenta para interceptar e alterar qualquer tipo de comunicação TCP, o que permite a eles, por exemplo, interromper qualquer comunicação TCP;
• SEASONEDMOTH: o "implante" instalado na vitima, que fica ativo por 30 dias;
• IRATEMONK: ferramenta da NSA para infectar um computador sobrescrevendo o malware no firmware do hard drive de vários fabricantes conhecidos (Western Digital, Seagate e Maxtor);
• Turmoil: sensores passivos de captura de dados;
• Turbine: injetor de pacotes em redes;
• QFIRE: projeto que inclui Turmoil e Turbine para invadir routers e outros equipamentos;
• SOMBERKNAVE: um dos implantes de software utilizados pela NSA para invadir e exfiltrar informação, este em especial permite a NSA enviar pacotes pela interface de rede wireless do computador invadido, mesmo que ela esteja desabilitada;
• WARRIORPRIDE: Framework para malware e keylogger desenvolvida e compartilhada por todas as agências de espionagem do grupo "Five Eyes". Cada agência utiliza este framework para suas próprias ações de inteligência e ciber ataque, podendo desenvolver plugins customizados;
• IRATEMONK: programa da NSA para criar uma família de malwares para uso em operações ofensivas, batizados de EquationLaser, EquationDrug e GrayFish após serem descobertos pela Kaspersky.

A Wikipedia, a propósito, mantém uma lista dos programas de espionagem governamentais e uma página que detalha as revelações deste ano.

A espionagem entre países existe desde muito antes da Internet, desde antes dos países surgirem. Além do mais, sempore especulou-se da capacidade de espionagem do governo americano e há vários anos já se sabia que o governo Bush interceptava ligações telefônicas. Uma apresentaçào na Black Hat em 2010 discutiu, por exemplo, a existência de backdoors em equipamentos de rede para permitir a interceptação de dados por agentes da lei.

O surpreendente agora é que as revelações de Snowden mostram que as especulações que existiam até então e as "teorias da conspiração" eram verdade - ou pior, eram mais brandas do que a verdade.
Mas nada é mais surpreendente e assustador do que as revelações recentes do Guardian, New York Times e ProPublica de que a NSA e a agência de inteligência britânica (GCHQ) tem capacidade de decifrar informações criptografadas, o que significa o fim de toda a privacidade na Internet. A NSA e o GCHQ possuem um programa caro, amplo e multifacetado capaz de quebrar os mesmos algoritmos de criptografia que fazem da Internet um lugar (supostamente) seguro para os negócios, como sistemas bancários, e-commerce e comunicações privadas de empresas: o SSL, o TLS e as VPNs.

A imagem abaixo, do jornal NYT, mostra um trecho do planejamento orçamentário de 2013 que descreve as formas pelas quais a agência contorna a criptografia das comunicações online: através de relacionamento com empresas da indústria para incluir alterações secretas em softwares comerciais para enfraquecer a criptografia, colocar backdoors ou inserir vulnerabilidades e de lobby para influenciar a escolha de padrões de criptografia e forçar fraquezas nos algoritmos. Ou seja, ela não quebrou os algoritmos de criptografia em si.

Os programas do governo americano não atacam apenas a privacidade, mas destroem completamente qualquer confiança das pessoas de que podem ter garantia de privacidade em suas comunicações do dia a dia. Elas também destroem a confiança nas empresas que oferecem estas proteções.

Em função disso, há pouco o que pode ser feito, do ponto de vista político e técnico (aproveitando algumas sugestões do Bruce Schneier):

• Precisamos questionar o controle da Internet. Há vários anos o Brasil faz parte de um pequeno grupo de países que questiona a gestão da Internet pelos EUA (afinal, a ICANN é um órgão do Departamento de Comércio americano) e propõe que a Internet seja de responsabilidade da ONU. está na hora de aproveitar estes escâncalos e retomar esta crítica.
• Utilize serviços para se ocultar, como servidores proxy e a rede Tor para tornar sua navegação anônima e se esconder na rede.
• Continue criptografando suas comunicações. Mesmo que a NSA possa ter acesso a comunicações protegidas por SSL ou IPSec VPN, você está mais seguro do que se comunicar em claro.
• Se você precisa ter informações realmente importantes em seu computador, nunca o conecte na Internet. Use um computador novo, que nunca foi conectado à Internet ou uma rede separada, restrita. Ao precisar transferir um arquivo, criptografe o arquivo no computador seguro e use um pen-drive USB para copiar o arquivo para seu computador conectado na Internet.
• Desconfie dos softwares comerciais,  principalmente os fornecidos por grandes empresas americanas. Assuma que os produtos possam ter backdoors. Utilize preferencialmente softwares de código aberto, pois é mais difícil para a NSA colocar um backdoor sem que ninguém mais perceba. Esta dica vale para soluções de criptografia, sistemas operacionais e softwares em geral.
• Use algoritmos e soluções de criptografia de domínio público, que são conhecidos e tem que ser compatíveis com outras implementações. Soluções proprietárias são mais fáceis de serem manipuladas pela NSA e é muito menos provável que essas mudanças sejam descobertas.
• Precisamos gerar ruído. A NSA captura um volume gigantesco de dados e para isso tem centenas ou milhares de servidores e um data center novinho. Mas, mesmo assim, eles estão limitados pelas mesmas realidades econômicas como o resto de nós, pois centenas de servidores e milhares de gigabytes de espaço em disco custam caro. Nossa melhor defesa é fazer a vigilância sair tão caro quanto possível. Criptografe tudo, até mesmo comunicação simples, que normalmente não precisaria ser criptografada. Vamos dar trabalho para eles!

Para saber mais:

• Artigo do site Gizmodo "Por que os EUA estão tão interessados em espionar o Brasil? Por causa dos tubos, oras"
• Artigo no site Viomundo "Alfredo Lopez: Como agência dos EUA entra no túnel para te espionar"
• Reportagem do Fantástico "Petrobras foi espionada pelos EUA, apontam documentos da NSA"
• Artigo do Spiegal "iSpy: How the NSA Accesses Smartphone Data"
• Artigo no The Guardian: "Revealed: how US and UK spy agencies defeat internet privacy and security"
• Artigo do Bruce Schneier no The Guardian que descreve como a NSA consegue ter acesso a comunicações criptografadas: "NSA surveillance: A guide to staying secure"
• Artigo do Bruce Schneier no The Guardian: "Explaining the latest NSA revelations – Q&A"
• Artigo do Paulo Pagliusi no jornal O Globo: "Criptografia pode servir de mapa da mina"
• Excelente reportagem de capa da revista Wired de Julho/2013, sobre a capacidade de espionagem e guerra cibernérica da NSA: "The Secret War"
• Página principal do The Guardian sobre as revelações da NSA: "The NSA Files"
• O Estadão construiu um Infográfico que distribui as principais denúncias contra a NSA em uma linha de tempo.
• O site Cryptome.org mantém uma lista colossal com todos os codinomes (nomes internos) utilizados pela NSA (dica que recebi do Sandro Süffert).

OBS:

• Artigo atualizado em 31/10/13 com informações sobre outros programas da NSA: STATEROOM, US-985D, US-987LA, US-987LB, DRTBOX e WHITEBOX, MUSCULAR e STATEROOM.
• Atualizado em 06/11 com informações sobre o MARINA, Serendipity e Accumulo.
• Nota incluída em 01/01/14: O site Cryptome.org mantém uma lista colossal com todos os codinomes (nomes internos) utilizados pela NSA. (dica do Sandro Süffert)
• Artigo atualizado em 02/01/14 com informações sobre a divisão ANT, ROC, GENIE e a ferramenta QUANTUMINSERT.
• Atualizado em 09/01/14, com algumas informações de projetos citados na palestra do Jacob Applebaum na 30C3.
• Última atualização em 19/02/2015