[Opinião] A luta contra a censura sobre conteúdo de segurança

Por diversas vezes meus posts aqui no Blog sobre os malwares identificados nos conflitos entre a Rússia e Ucrânia foram retirados pela plataforma Blogger, suspensos e colocados sob revisão do Blogger sob suspeita de violação da política de comunidade do site (referente a "Malware and Viruses policy").

Estes posts representam apenas uma descrição das campanhas de ciber ataques identificados durante o conflito entre Russia e Ucrânia, incluindo seus indicadores de comprometimento (IOCs), obtidos de fontes públicas e confiáveis. Ou seja, os posts não contém vírus ou artefato malicioso algum. Não há conteúdo malicioso sendo publicado nesses posts! Mesmo assim, eles já foram suspensos várias vezes.

Olha o que diz a política de conteúdo do Blogger sobre "Malware and Similar Malicious Content":

Do not transmit malware or any content that harms or interferes with the operation of the networks, servers, end user devices, or other infrastructure. This includes the direct hosting, embedding, or transmission of malware, viruses, destructive code, or other harmful or unwanted software or similar content. This also includes content that transmits viruses, causes pop-ups, attempts to install software without the user’s consent, or otherwise impacts users with malicious code. See our Safe Browsing Policies for more information.

Ou seja, essa política não tem nada a ver com escrever um post explicativo sobre ameaças existentes e seus IOCs. Ler o artigo não te infecta automaticamente, nem por milagre, nem de qualquer forma, pois não há conteúdo malicioso.

A cada suspensão, eu simplesmente faço alguma atualização qualquer nos posts para que eles sejam salvos e encaminhados para análise manual. Não é a toa que esses artigos tem uma mensagem e português e inglês avisando que o post não tem conteúdo malicioso.

O irritante disso é a miopia dos processo de checagem do Blogger a ponto de considerar esses posts relacionados a propagação de vírus. E insistir nessa suspensão várias vezes.

Blogger, repita comigo:

IOC não é vírus.

Blogger, repeat after me:

IOC is not a virus.

O que me chateia com isso é pensar que outros produtores de conteúdo de segurança podem receber essas suspensões automáticas e, simplesmente desistir de publicar seus artigos. Quem perde é a comunidade de segurança e, em última instância, todo mundo.

[Cyber Cultura] A NET e o Pastebin

Nos últimos dias vi muitos relatos de que a NET estaria barrando o acesso de seus clientes ao site Pastebin, o popular serviço online de colagem de textos e códigos fonte, comumente usado por programadores e também por ciber criminosos e hacktivistas. Vi, inclusive, comentários de que esse bloqueio desrespeita o princípio de neutralidade da rede estabelecido no Marco Civil.

O Pastebin é um meio de compartilhamento muito popular em toda a comunidade hacker, o que fez com que esse bloqueio tivesse grande destaque na comunidade técnica.

Mas, da mesma forma que esse suposto bloqueio surgiu, ele foi aparentemente suspenso: sem nenhum aviso! De repente, o pastebin voltou a ser acessado pelos clientes do Virtua, o serviço de Internet da NET.

O mais interessante nessa história, na verdade, foi que o pessoal do Teresina Hacker Clube fez um "hack" para reestabelecer o acesso ao Pastebin: Eles subiram um Proxy para o site original: https://pastebinproxy.com. Usaram o Let's Encrypt para permitir acesso SSL ao proxy e, ao furar o bloqueio da NET, manter os usuários seguros. O acesso do proxy até o site também é feito com HTTPS, garantindo a segurança do acesso.

Muito legal, né? A intenção foi muito boa, mas pena que o Pastebin bloqueou o acesso do IP desse Proxy!!!

OBS: Pequena atualização em 20/02 para incluir a imagem para o tweet do Pastebin sobre esse problema com a NET.

[Cidadania] O Cadastro Nacional de Acesso à Internet

A nossa Câmara dos Deputados está discutindo um Projeto de Lei (PL) que, sob o pretexto de proteger as crianças e adolescentes de conteúdo impróprio na Internet, ele pretende criar o "Cadastro Nacional de Acesso à Internet".

Este projeto, o PL 2390/2015, pretende alterar a Lei nº 8.069 (o Estatuto da Criança e do Adolescente) para criar uma aberração batizada de "Cadastro Nacional de Acesso à Internet" (eu vou chamar isso de "cadastro único", para facilitar a escrita e leitura desse post), que deve conter os dados de todos os usuários da Internet no Brasil e uma relação de sites considerados "com conteúdo inadequado". Além disso, ele exige que todos os computadores e smartphones comercializados no Brasil tenham um aplicativo pré-carregado que, além de exigir o cadastro do usuário nesse "cadastro único", ele vai identificar que site a pessoa está acesando com a finalidade de proibir o acesso de crianças e adolescentes aos sites "inadequados".

Na minha humilde opinião, isso está criando a censura na Internet Brasileira!!!

OK, respira fundo...

Segue abaixo os principais trechos das sugestões propostas nesse projeto de lei, que serão incluídas na Seção do Estatuto da Criança e do Adolescente que trata sobre as medidas de prevenção no acesso adequado a "Informação, Cultura, Lazer, Esportes, Diversões e Espetáculos" (negritos são por minha conta, para destacar algumas aberrações mais relevantes):

Art. 80-A. O Poder Público manterá Cadastro Nacional de Acesso à Internet, que conterá:
I – relação de usuários da internet no Brasil;
II – relação com sítios na internet que divulguem conteúdos inadequados para acesso por crianças e adolescentes.
§ 1º A instalação, operacionalização, carregamento, manutenção e atualização do Cadastro Nacional de Acesso à Internet será de responsabilidade do Poder Público
§ 2º Os provedores de informação na internet que mantenham conteúdos de livre acesso ao público geral e que sejam inadequados para crianças e adolescentes deverão informar ao órgão responsável pela operação do Cadastro Nacional de Acesso à Internet que os conteúdos por eles disponibilizados devem ser bloqueados para acesso por crianças e adolescentes.
§ 3º Para inscrição no cadastro de que trata o caput, o usuário deverá fornecer, entre outras informações, o nome completo, endereço completo, número do documento oficial de identidade e número de registro no Cadastro de Pessoas Físicas (CPF) do Ministério da Fazenda.
Art. 80-B. Os terminais de acesso à internet comercializados no País deverão ser embarcados com aplicativo ativado que, cumulativamente:
I – permita a inscrição do usuário no Cadastro Nacional de Acesso à Internet;
II – exija a identificação do usuário a cada conexão à internet, acesse o Cadastro e, caso o usuário não conste do Cadastro ou tenha idade inferior a dezoito anos, proceda ao bloqueio automático do acesso aos sítios que divulguem conteúdos inadequados para crianças e adolescentes que constam do Cadastro;
(...)
Parágrafo único. Para efeitos deste artigo, consideram-se terminais de acesso à internet os computadores, aparelhos de telefonia móvel e demais equipamentos eletrônicos que ofereçam ao usuário a possibilidade de acessar a internet (...).

Esse PL do "cadastro único" também prevê penalidades para as empresas que não cumprirem a lei:

• Não instalar o "cadastro único" (Art. 258-D): multa de R$ 5.000 a R$ 20.000;
• Comercializar equipamentos de acesso à Internet que não tenham o aplicativo do "cadastro único" (Art. 258-E ): multa de R$ 1.000 a R$ 3.000 (dobrada em caso de reincidência); 
• Não comunicar ao responsável pelo "cadastro único" que o seu conteúdo online é inadequado para "clientes" (ops, eu achei um erro: aqui deveria ser "crianças") e adolescentes (Art. 258-F): multa de R$ 1.000 a R$ 3.000 (dobrada em caso de reincidência).

Além de instaurar a censura prévia na Internet, esse projeto de lei deixa várias preocupações em aberto, que são muito importantes. em poucos minutos eu já penseu em algumas:

• Quem vai definir que tipo de conteúdo deve ser considerado "inadequado"?
• Quem, do "Poder Público", cuidará da criação e manutenção desse "cadastro único"?
• Quem vai garantir a segurança e privacidade desses dados cadastrais? Quem seria responsável por um eventual vazamento de dados?
• Quem será responsável pela criação e manutenção desse "aplicativo" que deve ser previamente ativado em todos os computadores comercializados no Brasil?
• Quem vai garantir a seguranca desse "aplicativo" que deve vir instalado em todos os computadores? Isso é pior que um backdoor!
• Esse aplicativo pode ser utilizado para qualquer tipo de censura!
• Esse aplicativo vai manter registro de tudo o que acessamos? Vai enviar essa informação (de navegação) para o responsável pelo "cadastro único"?
• Se sim, isso não poderia ser utilizado pelo governo para vigiar as pessoas?
• Não tem como evitar que alguém burle a autenticaçào do aplicativo!!! Um adolescente poderia facilmente criar um cadastro falso ou, simplesment,e utilizar a senha de um adulto (que alguém emprestou, que ele descobriu ou roubou).

O Comitê Gestor da Internet (cgi.br) divulgou uma nota oficial sobre esse projeto de lei, aonde citou algumas dificuldades técnicas para a sua implantação, que representam "uma grande possibilidade de falhas em todo o processo". Ele também destacou que esse PL "marginaliza o papel dos pais em exercer controle sobre qual tipo de conteúdo seus filho(a)s deveriam consumir" e representa "um estímulo à coleta maciça e desnecessária de dados". Segundo nota da ABRANET, esse PL "ameaça o Marco Civil da Internet".

O PL 2390/2015 é de autoria do deputado Pastor Franklin, do PTdoB/MG, e está seguindo os trâmites burocráticos do congresso - neste exato momento, esse PL está prestes a ir para avaliação na Comissão de Ciência e Tecnologia, Comunicação e Informática (CCTCI). Ele está em tramitação há mais de 1 ano e o último parecer que recebeu, do Relator da CCTCI em 01/06/2016 (Dep. Missionário José Olimpio do DEM-SP), foi pela sua aprovação.

Para saber mais:

• Leia o texto completo do PL 2390/2015;
• Acompanhe como está a tramitação dessa bizarrice do PL 2390/2015;
• Artigo "Ativistas e especialistas atacam projeto que cria Cadastro Nacional de Acesso à Internet".

[Cyber Cultura] O risco do acordo Trans-Pacific Partnership

Recentemente foi realizado em Lima (no Peru) um encontro entre os países que estão negociando o chamado "Trans-Pacific Partnership" (TPP), um acordo multinacional secreto que tem um capítulo com disposições sobre leis que devem ser aplicadas a proteção de direitos autorais. Como o acordo é secreto, ninguém sabe exatamente do que ele trata, mas os ciber ativistas temem que ele represente uma enorme ameaça para a Internet e para o acesso dos usuários a conteúdos digitais.

Uma das principais preocupações é que o TPP vai exigir que os países signatários reescrevevam suas leis e políticas nacionais para proteger os direitos autorais, atendendo interesses da indústria, e não da população. Uma vez que o texto do acordo nunca foi oficialmente divulgado publicamente, o pouco que se sabe vem de documentos que vazaram. Tudo indica que o capítulo sobre propriedade intelectual cobre direitos autorais, marcas e patentes que os negociadores norte-americanos estão empurrando goela abaixo e que representariam normas de copyright muito mais restritivas do que atualmente existe nos tratados internacionais, incluindo o famoso ACTA (Anti-Counterfeiting Trade Agreement).

Felizmente o Brasil não faz parte do grupo de países que estão envolvidos nesse acordo, que inclui 11 países: EUA, Austrália, Peru, Malásia, Vietnã, Nova Zelândia, Chile, Cingapura, Canadá, México e Brunei.

Para quem quiser ssber mais, o site da Electronic Frontier Foundation (EFF) tem vários artigos sobre o TPP.

[Segurança] Censura à pesquisa no Brasil

Viramos Cuba? China?

Mal a "Lei Carolina Dieckmann" entrou em vigor, ameaçando criminalizar a pesquisa em segurança no Brasil, e já temos a primeira baixa: o governo de São Paulo solicitou o cancelamento da palestra "Como paralisar uma linha de trem em São Paulo" no evento Hacking Day.

A palestra pretendia mostrar uma vulnerabilidade na arquitetura do sistema de controle dos trens que poderia causar o paralisamento do transporte público (metrô e trem) em São Paulo. Pelo jeito, em vez de corrigir o problema, o governo optou pela solução mais fácil: censura.

A preocupação com a segurança do sistema de controle do metrô não é novidade, e ganhou um destaque extra no ano passado, quando uma colisão entre dois trens da Linha 3 - Vermelha do Metrô levantou o questionamento sobre a segurança da Linha 4 - Amarela, que usa um sistema computadorizado para controle dos trens, que operam sem maquinistas.

Fingir que o problema não existe e ameaçar prender quem discute isso não resolve nada, é como varrer a sujeira para debaixo do tapete: ela continua lá, pronta para ressurgir no primeiro vento.

Quando falamos em segurança da informação, censurar a divulgação de uma vulnerabilidade não corrige o problema. Muito pelo contrário, o risco continua existindo e pode ser explorado por qualquer ciber criminoso ou pessoa mal intencionada que se esforce em pesquisar e descobrir esta vulnerabilidade. E a censura só chama mais a atenção para o problema.

Na minha opinião, o cancelamento da palestra no Hacking Day é um precedente muito perigoso para todos nós: já pensou se a partir de agora o governo começar a censurar as pesquisas e os eventos de segurança? Posso ser um pouco paranóico, mas não podemos abrir mão da nossa liberdade de expressão nem de pensamento.

Que também fique claro que eu não estou advogando pela divulgação irresponsável de vulnerabilidades. O correto, que no mercado chamamos de "responsible disclosure", é avisar o fabricante ou a empresa responsável sobre a vulnerabilidade encontrada e somente divulgá-la publicamente após a empresa tomar as devidas medidas corretivas. Isso garante que uma nova vulnerabilidade não será explorada por pessoas mal intencionadas quando ela for anunciada.

[Cyber Cultura] Protestos e censura online

De repente, as pessoas vão às ruas para protestar e surgem manifestações violentas espalhadas por todo o país. O governo local, na tentativa de controlar os protestos e limitar a capacidade dos manifestantes para se organizarem, resolve propor a interrupção da comunicação online no país quando as autoridades percebem que as pessoas nas ruas estão usando sites de redes sociais para se organizarem. Nós já vimos essa drama no início deste ano na Tunísia, Egito e alguns países do Médio Oriente.

No entanto, desta vez eu estou falando da Inglaterra.

Em 11 de agosto de 2011 o primeiro-ministro britânico, David Cameron, disse ao Parlamento que o Governo está avaliando se os serviços de comunicação e o acesso a redes sociais devem ser interrompidos em tempos de desordem, como no recente caso dos distúrbios violentos que vem afetando várias cidades do Reino Unido, como Londres, Manchester, Birmingham e Nottingham. As autoridades britânicas afirmam que os manifestantes estão usando o sistema gratuito de mensagem do BlackBerry e o Twitter para organizar e incentivar os tumultos.

Me assusta quando um governo propõe o desligamento ou a censura dos acessos on-line para limitar a capacidade e os direitos das pessoas protestarem. Não importa se há uma causa boa por trás ou se os motins representam apenas vandalismo - às vezes a diferença entre eles é apenas uma questão de diferentes pontos de vista, entre as pessoas que apoiam os manifestantes e pessoas que apoiam o governo.

Pode parecer estranho para algumas pessoas, mas enquanto algumas pessoas acreditam que o governo do Reino Unido é legal e os manifestantes ingleses não são nada além de criminosos, certamente há por aí alguns defensores do ditador da Líbia Muamar Ghadaff que acreditam que ele é legal e que os rebeldes da Líbia são criminosos. Eu ainda não conheço uma regra de ouro para decidir quando um governo ou os manifestantes estão certos. Mas eu não acredito que qualquer tipo de censura on-line vai ajudar.

Não é apenas uma questão de julgar quando um protesto é válido ou quando um governo é justo. As tecnologias de comunicação on-line como os telefones celulares e a Internet são uma ferramenta poderosa para ajudar tanto os manifestantes como a população em geral. Tenho certeza que, enquanto alguns manifestantes no Reino Unido estavam usando seus smartfones para divulgar, incentivar e organizar os protestos de rua, milhares ou milhões de cidadãos no Reino Unido estavam usando seus telefones e sites de redes sociais para manter contato com seus amigos e familiares e para compartilhar informações sobre o perigo dos protestos e se informarem sobre as áreas afetadas pelos tumultos. Desligar ou censurar a Internet afetaria a todos, não só os manifestantes.

Como o presidente americano Barack Obama disse uma vez: "É a grande ironia da Era da Informação que as mesmas tecnologias que nos capacitam para criar e construir também são utilizadas por aqueles que querem perturbar e destruir." Esta é uma das minha frases favoritas.

[Cyber cultura] Censura, inimiga da Internet

O portal espanhol de notícias ABC publicou um mapa com os países "inimigos da Internet", baseado em um artigo recente do grupo Repórteres sem Fronteira chamado "Web 2.0 versus Censura 2.0". O mapa-mundi (presente em ambos os sites) mostra os países que impõem algum tipo de censura ou controle sobre o acesso a Internet.




Entre os países "inimigos da Internet", destacam-se aqueles que promovem a censura e o controle da liberdade de expressão online, como Myanmar, China, Cuba, Egito, Iran, Coréia do Norte, Arábia Saudita, Síria, Tunízia, Vietnan, Turkmenistão e o Uzbekistão. Estes países limitam o acesso de seus cidadãos a Internet, seja através de filtros (controles) de acesso ou auto-censura. Além deles, outras nações optaram pela vigilância no acesso de seus cidadãos, uma forma ligeiramente mais branda de controle, mas não menos nociva. Este é o caso da Australia, Bahrein, Bielorrusia, Eritrea, Málasia, Rússia, Coréia do Sul, Sri Lanka, Tailândia, Turquia e os Emirados Árabes.


Recentemente o grupo Repórteres Sem Fronteiras promoveu o "Dia Mundial contra a censura cibernética", para promover uma Internet livre e acessível a todos. Esta campanha teve por finalidade chamar a atenção para o fato de que a internet é uma grande força para a liberdade, através da criação de novos espaços para a troca de idéias e de informações. No entanto, esta condição está sendo cada vez mais combatida por governos que tentam controlar e censurar a Internet. Neste dia, 11 de Março, o grupo disponibilizou o relatório "Inimigos da Internet" (em inglês) que detalha como cada um desses países tem controlado o acesso local a Internet.

Não só as ditaduras promovem a censura ou a vigilância do acesso a Internet. De acordo com o Google (conforme publicado pela BusinessWeek), o acesso ao seu serviço ou ao resultado de suas buscas sofre algum tipo de controle em pelo menos 25 dos 100 países em que a empresa atua. Isto inclui países como o Brasil e a Espanha, onde algumas ordens judiciais bloquearam o acesso a algum tipo de conteúdo online, ou países europeus como Alemanha, França e Polônia, onde as leis locais exigem que seja excluído qualquer conteúdo que promova o nazismo.

[Cyber cultura] Blogs, a verdade contra a censura

Já disseram que a pena é mais forte do que a espada. Hoje em dia, os bits se tornaram mais forte do que a pena. E diversos países que vivem sob regimes autoritários, com a população e a impensa mantida sobre extremo controle, estão começando a perceber a ameaça que a Internet lhes oferece, através da livre expressão que somente a grande rede permite.

Uma reportagem na revista Veja da semana passada conta a história de uma blogueira cubana que foi espancada pela polícia política de Fidel Castro.


Yoani Sánchez é uma cubana blogueira de 34 anos de idade conhecida mundialmente por driblar a censura do governo e manter há dois anos o blog Generación Y, onde escreve sobre as dificuldades do cotidiano de quem vive em Cuba e questiona abertamente o governo local, driblando totalmente a censura e as noticias da imprensa oficial, que descrevem um país muito melhor do que ele realmente é. Ela também é autora de um livro baseado em seu blog, chamado "De Cuba, com Carinho". Coincidentemente, eu tinha lido na semana anterior uma entrevista muitíssimo interessante que ela deu nas páginas amarelas de uma edição um pouco mais antiga da Veja, onde ela fala sobre as dificuldades existentes, a perseguição política e escancara como o governo esconde do mundo as reais dificuldades do povo. (ah, o post original dela denunciando o ataque que sofreu está aqui)

"Convido quem vê Cuba como um exemplo a vir para cá, sentir na pele como vivemos"

O site Global Voices criou um mapa-mundi interativo que mostra os blogueiros ameaçados, presos ou mortos em todo o mundo por exporem seus pensamentos, totalizando atualmente 192 bloggers. Esta é uma ótima iniciativa para denunciar os governos autoritários e opressores, que controlam seus cidadãos a mão de ferro e na base da censura. Não posso me esquecer do Twitter, que também está se tornando cada vez mais um meio eficiente para a livre manifestação do pensamento. A recente eleição no Irã mostrou para o mundo como o Twitter pode ser usado como um meio de protesto, onde a população pode contar o que realmente está acontecendo e pode externar seu descontentamento. Internautas da Venezuela, México e Brasil já seguiram esse exemplo e utilizaram o microblog para protestar contra os governantes e políticos locais.