A PRIDE Security está lançando uma série de artigos e vídeos sobre vulnerabilidades e como hackear catracas - sim, aquelas catracas que fazem o controle de acesso e a segurança física em tudo quanto é lugar! As catracas representam um elemento importante no controle de acesso físico a prédios comerciais e organizações, mas não são infalíveis...
A série de artigos e vídeos, batizada de "Catracas na perspectiva de um hacker", é apresentada pelo Wendel Dum_Dum e promete abordar diversos aspectos de segurança ofensiva e ataques físicos a esses equipamentos, trazendo exemplos reais de projetos que eles realizaram.
O primeiro episódio da série foi divulgado há cerca de duas semanas, e foi publicado um artigo no blog da PRIDE e um vídeo no canal do YouTube. Ele traz uma introdução sobre o assunto e apresenta duas estratégias de ataques:
Evasão (bypass) de reconhecimento facial utilizando fotos dos colaboradores da empresa, mesmo com a catraca possuindo um sensor de temperatura;
Acesso a fiação e aos componentes internos da catraca através do o uso de Bump Key para abertura não autorizada da catraca (uma técnica muito comum utiilizada em lockpicking) ou explorando problemas de design na trava da catraca, que permitem o fácil acesso ao seus componentes internos (Rapid Entry).
Recentemente eles publicaram o segundo artigo e vídeo sobre o tema. Neste episódio, exploraram o uso de implantes físicos em catracas para permitir ataques de replay, explorando o protocolo Wiegand (um protocolo de comunicação muito utilizado em sistemas de controle de acesso, mas que transmite os dados em texto aberto!). É demonstrado o uso de implantes para realizar o ataque de replay, coletando os dados da catraca quando um usuário válido e identificado, e reenviando esses dados para autenticar um invasor.
No final eles já prometem lançar em breve o terceiro episódio. Se você curte segurança física, pentest em ssistemas de controle de acesso, esse conteúdo é pra você!
A propósito, eles usaram IA para criar o avatar do Dum_Dum, além de reproduzir a sua voz e criar o cenário. Ficou bem legal!
Essa história é tão legal, mas tão legal mesmo, que merece um post aqui no blog!!!
Na minha opinião, essa'é uma das melhores histórias de hacking de todos os tempos, que mostram como o hacking pode ser benéfico para as empresas e a sociedade, batendo de frente contra regras pré-estabelecidas para favorecer um pequeno grupo.
Tudo começou quando a Lower Silesian Railway (Koleje Dolnośląskie), uma empresa operadora de linhas trens na Polônia, contratou uma empresa terceira para realizar a manutenção de seus trens modelo Impuls 45WE fabricados pela Newag. Ela optou por essa empresa especializada, chamada SPS em vez de contratar o serviço da própria fabricante, que era bem mais caro. Mas, depois da manutenção, misteriosamente o trem não ligava mais (sem motivo aparente). Todos os componentes estavam ok, mas mesmo assim o trem simplesmente não dava partida.
Isso aconteceu com 5 trens que foram enviados para manutenção. Ao todo, 6 dos 11 trens da empresa estavam parados, causando grande prejuízo para a empresa e para a população (afinal, com menos trens em operação, a qualidade do serviço é impactada). Segundo o fabricante, Newag, os trens foram bloqueados por um “sistema de segurança” – mas nas 20 mil páginas de instruções de manutenção dos trens, não há sequer uma menção a isso. E a Newag se recusou a colaborar.
Talvez tomado pelo desespero, alguém na SPS resolveu pesquisar no Google por "Polish Hackers" e em maio de 2022 acabou contratando um grupo de pesquisadores de segurança: Michał “Redford” Kowalczyk, Sergiusz “q3k” Bazański (ambos do grupo Dragon Sector) e Kuba “PanKleszcz” Stępniewicz. No local, eles tiveram acesso à um dos trens que não se movia, dois computadores sobressalentes e os arquivos SDK do fabricante. Em paralelo, a operadora de trens não podia mais esperar e estava prestes a suspender o contrato com a SPS e enviar os trens para manutenção no fabricante. Foi dado o prazo de apenas uma semana para os hackers investigarem os trens!
Depois de muito trabalho, os três pesquisadores analisaram o dump de memória de vários computadores de vários trens e, comparando os trens que funcionavam e os que estavam parados, eles identificaram algumas diferenças. Resumindo muito a história, eles descobriram algumas flags que, ao serem modificadas, permitiram que o computador desse a partida no trem. Menos de uma hora antes do deadline, eles conseguiram provar que era possível colocar os trens de volta à operação.
Após alguns meses de estudos e engenharia reversa, os pesquisadores descobriram várias condições no código do software de controle dos trens que poderiam interromper ou impactar a operação dos trens da Newag, como por exemplo:
bloqueio do tem em caso de troca de componentes (verificado pelo número de série);
uma instrução para parar após rodar um milhão de quilômetros;
uma condição no código que disparava o alarme de "falha no compressor", e paralisação do trem, caso o dia seja maior ou igual a 21, o mês maior ou igual a 11, e para anos maiores que 2o21. Os pesquisadores batizaram o dia 21/11 como "international compressor failure day";
foi identificado um equipamento, de hardware, conectado a rede GSM e que recebia informações de bloqueio pelo computador on-board - possivelmente para enviar essas informações ao fabricante;
o código do PLC continha lógica que travaria o trem com códigos de erro falsos se o trem não estivesse funcionando por mais de 10 dias;
em outra versão, foi identificada uma instrução para interromper o funcionamento se o trem ficasse 10 dias ou mais em algumas localidades específicas. Pelas coordenadas de GPS incluídas no código, foi possível identificar que se tratavam de oficinas de manutenção de outras empresas.
Também foi descoberta uma forma para desfazer o bloqueio imposto pelo computador on-board através de uma sequência correta de cliques nos botões na cabine e na tela do computador de bordo. Quando a notícia da pesquisa chegou à mídia, os trens receberam uma atualização de software que removeu essa opção de “conserto”.
Ou seja, resumindo a treta: o fabricante dos trens tinha incluído, no software de controle à bordo, diversas condições para obrigar a manutenção dos trens por ele mesmo, além de forçar situações de suposto problema.
A Newag não assumiu o B.O., ameaçou processar os pesquisadores e está dizendo que isso é uma campanha de difamação da concorrência. A Newag também está tentando obrigar a retirada dos trens de circulação, alegando que representam um risco de segurança por terem sido hackeados.
Vem aí uma nova e-zine brasileira sobre segurança, a Tramoia.
O responsável pela e-zine estava divulgando o projeto na H2HC (como ele não se identificou no site, por isso não vou fofocar aqui quem é, rs...).
Veja o manifesto de lançamento da e-zine:
"Não deixe o hacking morrer, a segurança da informação está matando o hacking. Todas as zines morreram. Todos os artigos em inglês. Tudo importado. Quantos grupos sobraram? Buscamos pesquisas originais sobre qualquer tramoia computacional, arruaça digital, muvuca cibernética e maracutaias do silício."
Atualmente eles estão buscando autores e artigos para a primeira edição. Quer submeter algo? Olha a lista de temas crypto, privacy, reversing, pwning, web, mobile, 0day, maldev, retro, hardware, pirataria, hacking de verdade.
Com grande tristeza compartilho com vocês a notícia do falecimento do Kevin Mitnick no dia 16 de Julho.
Kevin Mitnick fez história e provavelmente é o "hacker" mais conhecido no mundo todo. Ele foi um ícone para diversas gerações de profissionais de segurança e pessoas apaixonadas pela cultura hacker. Após algumas invasões que o tornaram famoso no início doa anos 90, ele ficou preso entre 1995 e 2000, período em que aconteceu a campanha "Free Kevin", contra sua prisão preventiva, sem julgamento - que durou cerca de 5 anos (sua condenação ocorreu em 1999, após ele ficar preso por 4 anos e meio).
Solto, ele se tornou consultor de segurança e, posteriormente, empresário. Palestrante renomado, um pop star da segurança, mestre da engenharia social e autor de vários livros, alguém que já esteve na lista dos "hackers mais procurados" do FBI..
Foi difícil acreditar quando vi pela primeira vez a notícia do falecimento do Kevin Mitnick, nesta quarta-feira. Durante alguns minutos, procurei outras fontes para confirmar que não era fake news e vários colegas se perguntavam, nos grupos do Whatsapp, se era verdade. Somente neste dia 19/07 começaram a surgir notícias do seu falecimento na imprensa.
Eu tive a sorte de encontrar o Kevin Mitnick em duas oportunidades na Defcon, além de assistir uma palestra dele na Campus Party. Tenho um livro assinado e entreguei para ele um passaporte hacker brasileiro.
O pessoal da Ekoparty acabou de lançar as inscrições para o evento desse ano, que acontecerá de 02 a 04 de novembro e terá como tema central "Enter the Metaverse". E eles já anunciaram algumas novidades bem legais!
Para quem não conhece, a Ekoparty é um dos principais e mais importantes eventos de segurança da América Latina e desde 2001 ocorre anualmente em Buenos Aires, na Argentina. As palestras são de alto nível técnico e normalmente eles convidam alguns dos principais palestrantes da Defcon e Black Hat daquele ano. O evento também tem uma área de exposições dos patrocinadores, um espaço para oficinas e uma competição de Capture The Flag (CTF).
A primeira novidade é que, neste ano em que comemoram a 20a edição e o retorno ao evento presencial, eles escolheram um novo local, um moderno centro de convenções no centro da cidade, no bairro da Recoleta.
E a melhor notícia é que, neste ano, as inscrições são gratuitas!!!
Veja esse video que o pessoal da organização fez para apresentar a Eko 2022:
O episódio aconteceu em 1991 e, na época, foi divulgado pela e-zine cyberpunk italiana chamada Decoder, que foi publicada de 1987 a 1998. Nesse vídeo em VHS, disponível no Youtube (“Mickey Mouse Hacks a Military Computer”), duas pessoas usando um Amiga 500 e vestindo máscaras bem toscas do Mickey Mouse e do Homem de Ferro, mostram como eles invadiram uma base de dados em um computador militar.
Durante o vídeo, o Mickey descreve o que ele está fazendo, em Italiano (mas é possível usar o recurso de auto-translate automático do YouTube). Ao final, ele consegue acessar uma base de dados com informações de alguns armamentos americanos - mas, infelizmente, a imagem da tela é de baixa resolução, e fica difícil enxergar as informações com detalhes.
Os últimos segundos são bem engraçados, e acabou virando um meme na comunidade de segurança italiana!
Durante o final da última edição da conferência NullByte, no sábado dia 09/11 em Salvador (BA), os organizadores realizaram um debate sobre a comunidade hacker (*), mas que infelizmente saiu do controle e deixou muitos ânimos exaltados e algumas feridas.
(*) Por "comunidade hacker" e "hacking", nesse contexto, entenda-se a comunidade de pessoas interessadas no aspecto ofensivo de segurança da informação.
Como o assunto é longo e delicado, eu resolvi dividir esse post em vários tópicos. E, como a história do ocorrido é um pouco longa, eu deixei o detalhamento dela para o final. Também não vou citar os nomes das pessoas, em respeito a privacidade dos envolvidos.
Qual foi a treta da NullByte?
No final do evento, antes do horário programado para seu encerramento, os organizadores anunciaram que realizariam um debate de encerramento, e então três pessoas subiram ao palco (todos muito bem conhecidos do mercado de segurança nacional). Logo no início me chamaram também para o palco, e eu que estava confortavelmente acomodado no fundão, acabei indo e me posicionando num dos cantos do palco.
A minha impressão pessoal foi de que a intenção era discutir os limites éticos das pesquisas em segurança e a importância dos eventos para as comunidades locais (de novo, esse é o meu "achômetro"). Mas a primeira pergunta do debate já levou para um caminho diferente...
Resumindo a treta em um pouco mais de um tweet, um dos mediadores perguntou se "os eventos de segurança deveriam ter um código de conduta", e imediatamente começou a discussão que os eventos de segurança não são inclusivos. Rapidamente a discussão escalou para temas como preconceito, machismo, e alguns participantes se exaltaram. Em poucos minutos, começou uma gritaria entre meia dúzia de pessoas, com acusações verbais, dedo na cara (aparentemente rolaram até ameaças). Assim que o caos se instalou e a conversa virou bate-boca, a organização do evento interviu, interrompeu a discussão e argumentou que, na NullByte, o que importa é o hacking, e não o tipo de pessoa, e que qualquer tipo de preconceito seria repudiado pela própria comunidade.
Não me levem a mal: até naquele momento eu tinha achado que, apesar de tudo, o debate tinha sido bom porque fez com que algumas pessoas começassem a se preocupar com a diversidade no mercado e a necessidade de haver mais respeito a todos.
Pouco tempo depois, em poucas horas, apareceram várias críticas no Instagram do evento (na última vez que eu vi tinham 58 comentários, mas todos foram apagados) e algumas discussões em grupos online. Alguns dias depois surgiu um post no Medium sobre o ocorrido, com título "O Hacking está morto", que também foi tirado do ar.
Existe inclusão no mercado e segurança?
Claro que não! Lamentavelmente, o mercado de segurança, assim como o mercado de tecnologia, é extremamente machista e preconceituoso. Há poucas mulheres na área, poucos negros e raramente alguém tem coragem de declarar a sua opção sexual se ela for diferente de "heterosexual". A comunidade hacker de segurança, assim como o nosso mercado, é dominado pelo macho alpha hackudo, que invade tudo e faz leak de todo mundo.
Mas a culpa não é dos profissionais de segurança em si. Muito do preconceito e do desrespeito está enraizado em nossa sociedade e nossa cultura, além disso, o mercado de tecnologia, engenharia e ciências exatas é majoritariamente masculino. Muitas vezes somos preconceituosos e desrespeitosos sem perceber: aquela piadinha sobre mulher gostosa ou sobre alguém ser gay pode, muitas vezes, soar de forma desrespeitosa para uma pessoa que testemunhe a piada.
Ou seja, a nossa sociedade machista e preconceituosa, que nos cerca e está presente no nosso dia-a-dia, molda nosso comportamento (consciente ou subconsciente) e, por sua vez, ttendem a moldar o nosso relacionamento dentro da comunidade.
Em tecnologia isso é muito claro! Infelizmente, não é a toa que vemos poucas mulheres, poucos negros e poucas pessoas LGBT no mercado, e raros são os casos que chegam a ocupar cargo de gestão ou destaque profissional.
A cultura hacker é inclusiva?
Sim, por mais estranho que pareça, eu acredito que a cultura hacker é inclusiva. Principalmente porquê a cultura hacker é fortemente baseada na meritocracia: você vale pelo seu conhecimento, o famoso "show me the code".
Em uma cultura baseada fortemente na interação virtual, online (como nos fóruns no IRC, fóruns online e redes sociais), muitas vezes interagimos com uma pessoa por vários anos sem conhecer-la pessoalmente. O seu nickname e seu conhecimento fala mais sobre você do que sua foto, seu rosto, seu nome verdadeiro, sexo ou condição social.
Mas, infelizmente, o mundo real é injusto, extremamente preconceituoso. Nossa sociedade é repleta de várias nuances de preconceito e exclusão, que acabam moldando a nossa cultura e nosso comportamento. Quando uma comunidade inclusiva no mundo virtual se relaciona no mundo real, os preconceitos enraizados em nossa sociedade começam a se manifestar. O negro vale menos do que o branco, o gay vira motivo de piadas, o sexismo impera: a mulher é considerada menos capaz e é sexualizada.
Eventos de segurança precisam de código de conduta?
Sim, precisam. Precisam para tentar garantir um ambiente respeitoso e "seguro" para seus participantes, independente de sexo, cor, religião, opção sexual ou qualquer outra coisa. O Código de Conduta é importante para que as pessoas saibam que, se acontecer algum problema de assédio, preconceito ou desrespeito, as vítimas tem a quem pedir ajuda e a organização está se comprometendo a oferecer um canal de atendimento.
Eu, particularmente, não acredito que a simples existência de um Código de Conduta consegue resolver o problema do preconceito. Principalmente porque, aqui no Brasil, temos a triste cultura de desrespeitar as leis quando nos convém (ou, pelo menos, ignorar). Se o Brasileiro já desrespeita as leis do país, porque iria respeitar um código de conduta de um evento qualquer?
Mas, como disse, o código de conduta mostra que a organização assume a responsabilidade de tratar os casos de desrespeito - ou seja, o caso vai ser investigado e, se necessário, o agressor pode ser punido dentro dos limites estabelecidos.
Falando em termos mais chulos... Um código de conduta não vai impedir que uma pessoa escrota seja escrota ou se comporte como tal. Mas vai mostrar a todos que a organização não aceita esse tipo de comportamento e se compromete a agir caso alguém se comporte de forma escrota.
Falando em termos técnicos da comunidade de infoseg, o código de conduta é como um "plano de resposta a incidentes": se acontecer algum problema, a organização se compromete a agir, seguindo regras e um procedimento pré-determinado.
É possível ser inclusivo em tecnologia?
Claro que sim! E é muito fácil: lembra que a comunidade hacker é guiada pelo mérito, pela conhecimento e pela "façocracia"? Temos que exercitar mais o discurso de que o seu conhecimento técnico importa mais do que sua cor de pele, sexo ou opção sexual. Temos que tirar isso do papel, e realmente respeitar o colega pelo seu conhecimento.
Tecnicamente, a solução parece fácil. Mas temos também que exercitar o respeito ao próximo. Temos que deixar de lado o discurso vitimista e o discurso de que "isso não acontece aqui" e começar a enxergar melhor o coleguinha ao lado. Viver em harmonia significa respeitar e tolerar as diferenças. Significa, por exemplo, evitar uma piada machista, e significa também tolerar uma piada machista quando ela acontece de forma esporádica e sem objetivo consciente de ofender.
O Código de Conduta é suficiente para garantir um evento inclusivo?
Não! Ser um evento inclusivo e seguro significa existir um clima aonde todas as pessoas se sintam acolhidas e respeitadas.
O Código de Conduta é um dos passos para atingir isso. Outro passo é as pessoas agirem de forma respeitosa com seus colegas. Outro passo, é tentar enxergar o lado dos outros, em vez de impor sua visão e sua opinião. Outro passo, mais difícil, é conseguirmos ter maturidade, como pessoa, para identificar e evitar daqueles comportamentos preconceituosos e nocivos que estão enraizados em nós, fruto da influência da nossa sociedade. Sim, isso é um auto-policiamento constante.
Para construir um ambiente seguro e inclusivo, temos que, na verdade, construir um ambiente artificial, diferente do mundo real lá fora. Temos que, de forma arbitrária, reforçar comportamentos positivos e criar mecanismos que ajudem a evitar os comportamentos negativos. Temos que nos educar e nos policiar para que isso aconteça.
Porque será que é tão difícil tentar entender as dores das outras pessoas? Eu já percebi que é muito difícil, para alguém que faz parte de um grupo majoritário, perceber os momentos em que age como tal. Pior ainda se o comportamento opressor fizer parte da cultura vigente. Por exemplo... Em muitos casos é difícil para um homem, por si só, perceber quando está sendo machista ou desrespeitoso com as mulheres.
Ok, mas dê mais detalhes de como foi a treta no dia do evento!
O meu report abaixo é baseado no meu ponto de vista do ocorrido. Logo, pode haver imperfeições, principalmente porque eu estava no lado oposto do palco no momento que a treta escalou estratosfericamente. Atém do mais, a situação saiu de um debate para um bate-boca muito rápido, toda a situação durou pouco mais mais do que 15 ou 20 minutos. Quando percebemos, o estrago já estava feito!
Como disse anteriormente, no final do evento os organizadores anunciaram que fariam uma atividade extra, um debate sobre a comunidade. Para atiçar os ânimos, primeiro projetaram uma foto "engraçada" de um dos organizadores, e em seguida, um anúncio da própria NullByte, de um palestrante de uma edição anterior, que é organizador de outro evento de segurança.
No início do debate, um dos mediadores abriu a discussão perguntando se haveria necessidade de ter código de conduta em eventos de segurança. Falou-se rapidamente alguma coisa sobre a cultura hacker não ter limites e em seguida o microfone foi passado para mim. Neste momento, inconscientemente, eu dei início a discussão.
Ou seja, os mediadores levaram a caixa de pandora até o palco, destrancaram ela e eu a abri...
Na minha resposta, eu comecei dizendo que acredito que um Código de Conduta é pouco eficiente pois o brasileiro, culturalmente, não respeita as leis. Mesmo assim, acredito que ele é importante para garantir um espaço seguro para as minorias, e disse também que eu já ouvi várias vezes que as mulheres evitam ir nos eventos de segurança pois sentem-se desrespeitadas.
Nesse momento começou a discussão sobre inclusão e respeito nos eventos de segurança (ou melhor, "exclusão e desrespeito").
Inicialmente 2 garotas foram ao palco e disseram que nunca sofreram nem viram acontecer nenhuma situação de desrespeito. Logo em seguida, duas outras se levantaram da platéia e foram até o palco para dizer o contrário: que o clima é machista e preconceituoso. Uma delas relatou uma situação, em outro evento, em que ela se sentiu desrespeitada e, por isso, ficou 2 anos sem frequentar eventos.
Neste momento, já havia começado a discussão aonde vários homens, héteros, diziam que o desrespeito não acontecia e que os eventos eram inclusivos, o que era negado pelas duas garotas. Aparentemente, uma delas se referiu ao público da Nullbyte como "um bando de machos" (eu não ouvi essa frase ser dita), o que deixou um dos organizadores transtornados e que criticou ser chamado de "macho" por sua história pessoal (ele foi criado pela mãe e irmã, e por isso acredita que sempre soube respeitar as mulheres).
Para jogar mais gasolina nos ânimos exaltados, uma pessoa levantou a questão do preconceito contra a comunidade LGBT, e citou o comentário de um palestrante como exemplo de desrespeito: ele havia mostrado seu código cheio de marcas coloridas e havia dito que o código estava "gay" (eu não ouvi essa frase ser dita pelo palestrante). O palestrante ficou surpreso e imediatamente se desculpou, dizendo que sua intenção não era ofender.
Neste momento, passados poucos minutos após o início dos debates, a discussão escalou rapidamente entre um grupinho em um dos cantos do palco, oposto aonde eu estava. Estavam as duas garotas acusando o evento de ser machista, o rapaz acusando de homofobia e alguns presentes e um dos organizadores defendendo ferozmente o evento.
Embora houvessem 2 microfones para conduzir as conversas, as pessoas deixaram os microfones de lado e começaram a aumentar o tom de voz, o que rapidamente se transformou numa gritaria. Nesse momento, pelos relatos que surgiram depois, alguns rapazes começaram a apontar os dedos para as mulheres. Em termos de gritaria, posso garantir que todo mundo gritou com todo mundo - o caos era generalizado.
Percebendo que a conversa tinha virado bate-boca, um dos organizadores tomou o microfone, pediu silêncio a todos e interrompeu o debate. Para se posicionar, naquele momento ele disse que essa discussão não deveria ocorrer, que a NullByte não era o lugar para que ela acontecesse pois, na visão dele, o evento era inclusivo e respeitava a todos. Segundo ele, o evento respeita todos pelo seu conhecimento técnico, independente de sexo, cor de pele, religião, etc. "Se um ET submeter uma apresentação boa no CFP, ele vai palestrar" - foi dito mais ou menos dessa forma. Al/em disso, completou, a comunidade hacker se auto-regula e qualquer pessoa que faça algo errado será expulso pela própria comunidade.
Após o fim do evento, a discussão foi para as redes sociais. No perfil da NullByte no Instagram, surgiram vários comentários exigindo que o evento se posicionasse sobre o assunto e repudiasse uma suposta agressão contra as mulheres presentes. Estes comentários foram removidos e não estão mais online. Alguns dias depois, uma das mulheres que estavam presente publicou um post no Medium, com título provocativo de que "O Hacking está morto", criticando a postura do evento. Veja abaixo a transcrição de um trecho do texto, que no momento em que eu escrevi esse artigo, estava fora do ar (nota: em alguns momentos, o texto está um pouco confuso mesmo, mas mantive o original):
"Pois bem, o desfecho desse painel — que para mim foi a pior iniciativa possível, como disse acima ninguém estava ali para dialogar sobre o assunto ou coletar informações, eles queriam impôr seus pontos de vista como verdade para organizar o evento, afinal o painel era feito por homens e mulheres que foram chamadas a dedo, eu só me manifestei porque não aguentei ficar em silêncio diante tanta hipocrisia. (...)
Um organizador (inclusive a primeira citação é dele) se demonstrou muito exaltado diante das opiniões apresentadas como se fossem direcionadas a ele, o que em momento algum ocorreu, e diante dessa falta de controle dele, se pôs a gritar após a fala de um participante homem e botou o dedo na cara da outra colega que estava falando no momento da discussão. Deu medo, a intenção foi essa, mostrar poder e nos assediar e foi a mais pura e clara imagem da fala da organização jogada ao vento. Afinal como foi dito “Qualquer problema que acontecer a gente resolve na rua, é assim que o Underground funciona” e o que vi foi que nenhum homem da organização se pôs a controlar o organizador, segurando-o ou impedindo a ameaça física iminente, será que foi resolvido na rua depois? outro participante do evento, da plateia (com outras pessoas que claramente não compactuavam com a situação), que apartaram a briga. Me recusei a ver o desfecho, a minha colega saiu também chorando e garantindo que nunca mais participaria do evento."
Em alguns grupos do Telegram e WhatsApp, a discussão perdurou por mais vários dias. Na grande maioria das vezes as mensagens negavam o problema de inclusão e criticavam as pessoas que levantaram essa discussão.
O evento agiu certo?
Embora não estivesse preparado para hospedar uma discussão sobre inclusão, eu acredito que os organizadores agiram muito bem ao interromper o debate a partir do momento em que ele saiu do controle e começou a gritaria.
Quando as críticas passaram para as redes sociais, um dos organizadores partiu em defesa do evento, em alguns momentos simplesmente negando que tivesse ocorrido alguma agressão durante a discussão. Logo no início da semana os organizadores se posicionaram oficialmente sobre o ocorrido, publicando uma "Nota de Esclarecimento" no site:
O comitê organizador da conferência de segurança NullByte vem, por meio desta,
esclarecer seu ponto de vista acerca de alguns incidentes ocorridos em sua
última edição, em 9 de novembro de 2019.
Completamos seis edições nessa ocasião, em uma história que é resultado do
esforço de diversas pessoas; sejam elas membros da organização, voluntários ou
palestrantes. Gente que se dedica ao evento não só da Bahia, mas também de
outros estados e do exterior e que busca fomentar a cena hacker brasileira,
apresentar conteúdo de elevado nível técnico e incentivar o estudo e a pesquisa
na área de segurança da informação ofensiva.
Após o encerramento do evento no dia 9, foi estabelecido por parte dos
participantes, um debate do tipo "microfone aberto" em que se discutiu o
desequilíbrio entre os gêneros na comunidade. Essa conversa escalou rapidamente
para uma discussão a ponto de que a organização teve que interromper o debate.
No processo, algumas pessoas se sentiram ofendidas.
Pedimos desculpas a quem tenha se ofendido com o incidente e reforçamos que a
NullByte é uma conferência técnica. Ou seja, qualquer conteúdo de natureza
técnica e dentro do escopo do hacking é bem-vindo. Não importa para nós o
gênero ou o background identitário e político de quem o apresente.
O comitê organizador da NullByte repudia veementemente qualquer tipo de
desrespeito, agressão ou assédio por qualquer motivo e se coloca à disposição
para tomar as medidas necessárias durante seus eventos.
Keep hacking."
Porém, eles também erraram:
Algumas pessoas que fazem parte da organização se exaltaram em excesso durante o debate, entraram na discussão e perderam o controle, dando um péssimo exemplo de comportamento. Nessa hora, o que conta não é a opinião pessoal de alguém, pois o que fica é a imagem de alguém da organização participando da discussão ("com grandes poderes vem grandes responsabilidades");
Ao interromper a discussão, foi feito um discurso que, na minha opinião, tentou simplesmente abafar o caso e ignorar o problema. Em vez de admitir que o tema merece uma discussão mais amadurecida, em um fórum apropriado, eles partiram para o velho discurso batido de que "isso não acontece aqui" - como naquela imagem do avestruz que envia a cabeça no buraco achando que está seguro.
Ja que você chegou até aqui, aproveita para assistir esse ótimo vídeo do Porta dos Fundos, que mostra alguns erros comuns que os homens fazem, muitas vezes de forma desapercebida: "MANSPLAINING"
No final de semana passado, dias 09 e 10/11, tive a feliz oportunidade de vivenciar dois dias intensos de imersão na cultura hacker, e melhor ainda, na maravilhosa Salvador.
No sábado dia 09/11 foi realizada a sexta edição da conferência NullByte, um evento de segurança pequeno (com 100 participantes), mas com palestras de excelente conteúdo técnico. Esse é um ótimo exemplo de como é importante termos eventos regionais que ajudem a fomentar e manter uma comunidade local de pesquisadores de segurança, incentivando o estudo e a pesquisa de segurança ofensiva.
A NullByte teve 7 palestras, em sua grade, mas no final contamos com uma palestra surpresa do Maycon Vitalli (excelente!), além de um pequeno debate, infelizmente desastroso (comentarei sobre isso em um próximo post, logo logo!). Todas as palestras de excelente qualidade, falando sobre temas avançados de técnicas de ataque, invasão e defesa.
A NullByte é um excelente exemplo de evento que representa a cena hacker brasileira - nesse caso, considerando o aspecto de segurança ofensiva associado ao termo "hacking". É um evento pequeno, organizado totalmente por voluntários e sem fins lucrativos. O interesse sincero dos organizadores é de, simplesmente, criar um espaço para troca de conhecimentos em segurança da informação e, assim, fomentar a comunidade de pesquisadores na área. Temos poucos eventos desse tipo no Brasil: além da Nullbyte, o Jampasec em João Pessoa, a DarkWaves em Natal, a Alligator e a BWCon em Recife - além da Hackers to Hackers Conference (H2HC) - nosso maior evento nessa área. Esses eventos agregam as pessoas interessadas em compartilhar o conhecimento técnico e suas pesquisas sobre segurança da informação e invasão de sistemas.
No domingo, dia 10/11, a experiência foi diferente: realizamos o primeiro encontro nacional de hackerspaces, o "Dumont Fest", no Raul Hacker Club - o hackerspace de Salvador. Diferente da NullByte, que era focada em segurança da informação, o encontro no Raul foi um espaço para conversarmos sobre a cultura hacker de forma mais ampla e abrangente, em todas as suas nuances - principalmente no sentido de fomentar conhecimento tecnológico e educação colaborativa.
O Raul é um espaço extremamente inclusivo. que se preocupa em se manter assim nos mínimos detalhes. Também é um espaço de educação e experimentação, para pessoas de todas as idades e classes sociais.
Nesse dia, conseguimos juntar pessoas de 5 Hackerspaces do Brasil: Mandacaru (de Feira de Santana, na Bahia), Jerimum (Natal), Oxe (Maceió), Garoa (eu!) e do próprio Raul - além de uma pessoa interessada em montar um hackerspace em Sergipe. Foi uma excelente oportunidade para, principalmente, compartilhamos nossas experiências (sucessos e dificuldades), e aprender como hackerspace tem se adaptado a sua realidade local. Em termos de desafios, todos tem dificuldades em atrair pessoas interessadas em participar das atividades, além da dificuldade em manter financeiramente saudável. Também tivemos a oportunidade de ouvir a Ka Menezes, do Raul, contar sobre a sua tese de doutorado sobre "pedagogia hacker", ou seja, sobre como a cultura hacker pode revolucionar a educação.
Ou seja, foi um final de semana para vivenciar dois lados complementares da cultura hacker: o lado técnico, aonde o uso do termo "hacking" está focado em segurança da informação, e o lado comunitário, aonde o "hacking" esta preocupado com a educação tecnológica e o lado humano.
O pessoal da FAPESP fez uma reportagem e um vídeo muito bons sobre os hackerspaces brasileiros, os locais que reúnem presencialmente diversos aficionados por tecnologia. Eles visitaram o Garoa Hacker Clube e o Hackerspace do Instituto de Física da USP, ambos em São Paulo.
O vídeo, de aproximadamente 10 minutos, explica o que são os hackerspaces e apresenta o espaço do Garoa.
A origem do termo hacker vem desde bem antes do surgimento da Internet e dos computadores pessoais, e está associada ao Instituto Tecnológico de Massachusetts (MIT) e ao Tech Model Railroad Club (TMRC), um grupo formado pelos estudantes desde 1946 e ativo até hoje em dia, que se tornou um dos mais famosos clubes de ferromodelismo do mundo. Eles mantinham um espaço com uma enorme maquete coom vários modelos de trens, totalmente automatizada, aonde experimentavam seus cnhecimentos de engenharia, eletrônica e automação.
Dentro da subcultura dos participantes do clube, eles chamavam de "hack" qualquer projeto ou um produto construído não apenas para cumprir algum objetivo construtivo, mas que tivesse também algum enorme prazer em seu desenvolvimento. Para se qualificar como um hack, a façanha deveria ter alguma inovação, estilo e qualidade técnica. As pessoas que mais trabalhavam na área de "Signals and Power" do TMRC se auto-intitulavam "hackers" com grande orgulho.
O TMRC e seus hackers já eram bem ativos nos anos 50, antes mesmo do primeiro curso sobre programação em computadores ter sido oferecido no MIT, o que só aconteceu em 1959.
O artigo também conta como foi a primeira vez que um administrador de sistemas foi atacado por um hacker. Isso aconteceu quando um dos responsáveis por manter o IBM 704 sofreu uma "pegadinha" dos estudantes. Na época os estudantes não tinham acesso ao computador: eles entregavam seus programas escritos em cartões perfurados e recebiam o resultado de volta, impresso, alguns dias depois. Era proibido aos alunos encostar no computador. Para se vingar de um dos funcionarios que mantinham o IBM, um dos alunos, Peter Samson, encontou em uma loja de eletrônicos uma placa parecida com a utilizada para fixar os tubos a vácuo do computador da IBM. No meio da madrugada ele chegou para o operador e disse que o computador não estava funcionando, mas ele achou o problema, mostrando a placa como se ele a tivesse retirado lá de dentro. O cara quase desmaiou de desespero ao ver a cena.
O mais legal desse artigo, ao meu ver, é destacar que o termo hacker surgiu entre os estudantes de eletrônica que ocupavam o TMRC, ou seja, antes mesmo de existir a cultura de computação. Hoje o termo foi adotado pela área de segurança, mas suas origens estão lá, no mundo do hardware, da eletrônica.
O TMRC mantém uma página na qual explicam qual é o entendimento deles sobre o que significa a palavra hacker:
"We at TMRC use the term "hacker" only in its original meaning, someone who applies ingenuity to create a clever result, called a "hack". The essence of a "hack" is that it is done quickly, and is usually inelegant. It accomplishes the desired goal without changing the design of the system it is embedded in. Despite often being at odds with the design of the larger system, a hack is generally quite clever and effective."
Existe uma história bem interessante por trás da famosa frase "Information Wants to Be Free", que é considerada quase um "mantra" dentro da cultura .
Frequentemente associada a cultura hacker e ao movimento de software livre, Steven Levy nos conta que esta frase surgiu durante um debate sobre a ética hacker em uma conferência em São Francisco, em Novembro de 1984.
Proferida por Stewart Brand, a frase completa e verdadeira foi assim:
"On the one hand information wants to be expensive, because it’s so valuable. The right information in the right place just changes your life. On the other hand, information wants to be free, because the cost of getting it out is getting lower and lower all the time. So you have these two fighting against each other."
Durante 5 dias no início de Agosto, de 04/08 a 08/08, eu participei do SHA 2017 Hacker Camp, um evento que acontece somente a cada 4 anos na Holanda. Um Hacker Camp, em poucas palavras, é uma conferência que, em vez de acontecer em um centro de convençõres, é realizadsa ao ar livre, em uma grande área de camping. Este tipo de evento fornece uma experiência totalmente diferente dos eventos tradicionais, pois os participantes ficam ao ar livre e, principalmente, ficam imersos no evento 24 horas por dia, initerruptamente. Você assiste palestras, come, toma banho, dorme, bebe, e faz tudo no local do evento durante alguns dias seguidos.
Outro aspecto bem interessante nos hacker camps europeus é que eles fortalecem a participação das comunidades, que são livres para criar as suas "vilas" e realizar dezenas de atividades em paralelo a programação do evento (oficinas, palestras, encontros, debates, etc). Assim, um evento como o SHA 2017 consegue oferece várias centenas de atividades, somando as que constam na programação oficial e as atividades das vilas.
As estatísticas que eu ouvi sobre o SHA 2017 foram impressionantes:
3.650 pessoas no 1o dia de evento
O evento ocupou uma área enorme, de 1 por 1 kilômetro, na maior ilha artificial do mundo
A programação oficial tinha 300 talks, distribuídas em 4 tendas de palestras e 2 de oficinas
A conexão Internet foi de 100 Gbps
Como disse Elger Jonker na palestra de abertura do evento, "Hacking push boundaries, move forward the Society".
As palestras da grade oficial de atividades foram transmitidas online e estão disponíves no canal do evento no YouTube. O temas mais abordados foram relacionados a privacidade, vigilantismo e IoT.
Infelizmente tínhamos poucos brasileiros presentes, cerca de 10, sendo que a grande maioria deles já vive na Europa. E também tivemos um brasileiro palestrando, o Bruno Oliveira, que nos contou sobre sua experiência participando de CTFs e como isso tem ajudado o seu trabalho de pentester. A pouca presença e falta de organização prévia não nos permitiu criar uma "vila brasileira" no evento, o que teria sido bem legal.
Como eu participei do CCCamp há dois anos atrás, na Alemanha, posso comparar os dois eventos: eles são bem similares, seguindo a linha de acampamento hacker: um espaço gigante, com alguns milhares de pessoas de todas as idades, várias vilas e algumas tendas com as programações principais. Os dois eventos acontecem a cada 4 anos, intercalados entre si. O CCCamp me pareceu melhor organizado, e quem viveu o primeiro dia do SHA pode confirmar isso: as lanchonetes demoraram para abrir, algumas pessoas estavam perdidas sobre onde se localizar e aonde montar sua barraca ou vila, etc. O CCCamp tinha 2 tendas enormes com as trilhas de palestras, enquanto o SHA 2017 distribuiu sua agenda oficial em 4 tentas de palestras (menores que a do CCCamp), 2 trilhas de workshops e, também, uma tenda que era o "Badge Bar", com uma pequena infra-estrutura para os participantes montarem e hackearem seus crachás. Eles também separaram uma áres para acampamento e atividades para famílias com crianças.
Depois do fiasco do crachá da Defcon, a SHA não decepcionou: eles fizeram um crachá muito legal!!!
Além de assistir algumas palestas e participar de algumas atividades, desta vez eu decidi também ajudar como voluntário na organização do evento. Isso, foi muito fácil: eles possuem um sistema online aonde os participantes podem se inscrever e podem visualizar as vagas que existem para ajudantes. Elas ficavam divididas em blocos de 2 ou mais horas para cada atividade específica (ex: ajudar no estacionamento, na cozinha, no bar, fazendo entregas internamente de bicicleta ou carrinho de golfe). Assim, ficava fácil adequar os horários de trabalho voluntário com as atividades do evento. Foi uma experiência bem legal, pois além de ter a chance de conhecer um pouco da infra do evento, também tive a chance de conversar e interagir com muita gente.
No meu caso, no final do dia eu verificava a programação de palestras e atividades que tinha interesse no dia seguinte e preenchia os horários vagos com o trabalho de voluntário. Assim, ajudei no balcão de informação, no balcão de registro e em 2 bares do evento.
Vale a pena citar que dois exemplos recentes me motivaram muito a querer ajudar como voluntário no SHA 2017: na semana anterior ao SHA eu fui para a Defcon e Bsides em Las Vegas, e vi dois amigos, o Fernando Amate e o Fellype, que foram voluntários na Defcon e na BSides Las Vegas, respectivamente.
Recentemente o Anderson Ramos foi convidado a palestrar no TEDxMauá, aonde ele aproveitou para contar a sua visão da história da cultura hacker, desde os anos 60 até os dias atuais. Assim, ele resumiu décadas de história em pouco mais de 20 minutos, com várias informações interessantes na palestra "Hacking: uma História".
A palestra ficou bem interessante, cobrindo desde o surgimento da cultura hacker no "Tech Model Railway Club" do MIT. Pelo curto espaço de tempo, o Anderson foi obrigado a resumir e simplificar muita coisa, ainda mais porque é impossível contar a evolução da cultura hacker sem falar também da evolução da tecnologia pessoal e das telecomunicações desde os anos 60. Mas isso não desmerece a sua palestra :)
Dias 1 e 2 de abril de 2017 vai rolar o Garoa Hacker Camp 2017. Durante um final de semana, vamos nos reunir em um sítio a 40 km do centro de São Paulo para hackear, conversar, fazer oficinas e, quem quiser, pode até pescar sua própria comida.
O Garoa Hacker Camp é um acampamento hacker que nós do Garoa pretendemos organizar periodicamente, inspirado em outros eventos nesse formato existentes no mundo, e com mais tradição, como o Chaos Communication Camp, que acontece a cada 4 anos na Alemanha, e o SHA2017, que ocorre este ano na Holanda (que também ocorre a cada 4 anos e está em sua oitava edição). O objetivo é realizar um evento técnico ao ar livre, em um ambiente totalmente descontraído e diferente do nosso dia-a-dia, promovendo uma melhor confraternização entre os participantes.
Um hacker camp permite viver uma experiência única e bem diferente da que estamos acostumados nos eventos tradicionais. Claro que não é todo mundo que gosta de acampar, por isso optamos por buscar um lugar que tivesse uma infra-estrutura que também oferecesse quartos e camas "tradicionais". Há alguns anos atrás nós fizemos um evento de testes, que chamamos de Garoa Hacker Camp Zero.
Mas, enfim, como medir o conhecimento de um hacker? Será que isso é possível?
Algumas áreas, bem ou mal, já descobriram como medir o conhecimento ou a eficiência de um profissional:
Os RHs das empresas de TI gostam de utilizar os diplomas e as certificações como forma de medir o conhecimento técnico. O diploma de graduação, pós e MBA comprova um nível básico ou geral de formação, enquanto as certificações profissionais comprovam o possível conhecimento do candidato em tecnologias e produtos específicos. Neste caso, quanto mais "medalhas" você tiver, mais conhecimento tem;
As Universidades, há muito tempo, utilizam a "produção acadêmica" para medir a competência de um pesquisador. Quanto mais artigos forem publicados em revistas de qualidade e renome na área e quanto mais orientações de teses de alunos o pesquisador tiver, mais conhecimento e competência ele tem;
Nos times de pesquisa de diversas empresas, uma métrica muito valorizada é a quantidade de patentes que o funcionário tem em seu nome, indicando que ele/ela produziu novos conhecimentos que podem ser aproveitados em novas tecnologias e produtos;
Nos times de vendas, a competência do vendedor é medida pela sua rede de contato e pelos seus resultados financeiros. Se conhece muita gente e bate meta de venda, o cara é bom.
Cabe uma nota de que nenhum dos sistemas acima é livre de falhas. Certamente todos conhecemos pessoas que tem certificados profissionais pois tem facilidade de responder provas, ou que tem muito conhecimento teórico e pouca prática. Ou professores universitários com milhares de títulos e pouca, ou nenhuma, didática.
Mas, e na área de segurança? Já presenciei muitíssimas vezes discussões aonde o título de "hacker" é atrelado a coisas como...
O número de CVEs descobertos (isto é, vulnerabilidades encontradas pelo profissional)
O ranking em sites de defacement
Número de artigos e apresentações em eventos
Número de projetos open source que contribui
A lista acima está, intencionalmente, colocada na ordem do argumento mais frequente (CVEs) para os mais raros (projetos Open Source).
Na "cultura hacker", vale o princípio da meritocracia, aonde as pessoas são reconhecidas naturalmente pelo que fazem e, em muitos casos, pelo que contribuem com a comunidade. É o conhecido princípio do...
"talk is cheap; show me the code"
O primeiro problema nesta história toda, na minha opinião, é que qualquer forma de conhecimento é difícil de ser medida.
Além disso, o principal aspecto é que o conceito de "hacker" é muito amplo, portanto, não é possível criar uma única forma de medir algo que é tão diversificado. Uma pessoa pode ser um "hacker" expecialista em hardware hacking, criando diversos equipamentos e ferramentas, sem nunca ter descoberto uma vulnerabilidade que virou CVE. Ou pode ser um desenvolvedor - e mesmo assim ser hacker.
Afinal, "ser hacker" é mais do que um título. Ser hacker é um comportamento, é uma cultura, é uma forma de vida. É ter interesse em aprender constantemente (e, preferencialmente, compartilhar o conhecimento), testando incansavelmente os limites e buscando criar coisas novas.
Como medir isso? Eu, particularmente, acho isso impossível. Mas, se você é apaixonado pelo que faz, está sempre tentando criar coisas novas e, principalmente, compartilha o seu conhecimento, facilmente será reconhecido pelos seus colegas de profissão.
O artigo faz uma ótima análise das transformações que a Cultura Hacker sofreu desde a sua origem, quando passou a ser associada ao ciber crime nos anos 70, 80 e 90, até os dias atuais, aonde o termo hacker passou a ser associado a inovação na área tecnológica. Esse processo de renascimento da cultura hacker, de um movimento contracultural e desobediente para um conhecimento associado a novas formas de utilizar a Internet, foi motivado pela grande demanda criativa das startups de tecnologia.
Como o artigo é muito longo, resolvi transcrever abaixo os principais trechos.
[John] Draper foi um dos primeiros phreakers, um grupo bastante variado de curiosos fanfarrões inclinados a explorar e se aproveitar de falhas no sistema para obter acesso sem custo. Aos olhos da sociedade convencional, estes phreakers não passavam de jovens galhofeiros e desocupados. Contudo, seus feitos foram incorporados ao folclore da cultura hacker contemporânea. Em 1995, durante uma entrevista, Draper disse: “Eu estava mais interessado em descobrir como o serviço de chamadas pelo telefone funcionava, por curiosidade. Não tinha nenhuma intenção de dar calote e roubar o serviço.”
(...)
Hackers acreditam que lições essenciais podem ser aprendidas sobre os sistemas – e sobre o mundo – ao separar suas partes, entender como funcionam e usar esse conhecimento para criar coisas novas e ainda mais interessantes.
Apesar de sempre alegar inocência, é evidente que a curiosidade de Draper era essencialmente subversiva. Ela representava uma ameaça às hierarquias de poder dentro do sistema. Os phreakers tentavam revelar a infraestrutura de informação, e ao fazer isso demonstravem um descaso calculado pelas autoridades que dominavam essas estruturas.
(...)
Esta dinâmica não é exclusiva da Internet. Ela está presente em vários outros aspectos da vida. Por exemplo, os pranksters (pregadores de peça, n.t.) que se metem com as empresas ferroviárias ao travar catracas, deixando-as abertas para os demais usuários. Talvez eles não se enxerguem como hackers, mas eles trazem consigo uma ética de desdém pelo sistema que normalmente permite pouca margem de liberdade ao indivíduo comum. Esses tipos de subculturas semelhantes a dos hackers não necessariamente se enxergam em termos políticos. Ainda sim, eles compartilham uma tendência em comum, no sentido de uma criatividade rebelde que almeja um crescimento do poder de ação dos menos favorecidos.
(...)
Hackear então, poderia ser considerada uma prática com raizes muito profundas – primária e originalmente humana tal qual a própria desobediência. (...) O impulso de ação do Hacker é sempre crítico. Ele desafia, por exemplo, as ambições corporativas.
(...)
O hacker é ambíguo, especializando-se em sobrepassar os limites estabelecidos, incluídas aí as linhas de batalha ideológica. Trata-se de um espírito evasivo, subversívo, e difícil de classificar. E, sem dúvida, ao invés de apontar para algum fim específico reformista, o espírito hacker é uma “maneira de ser”, uma atitude em relação ao mundo.
(...)
Uma figura investida de poder econômico, como um industrial, por exemplo, depende de um sistema de controle sobre seu capital e seus meios de produção. A atitude de um ativista Ludista seria destruir este sistema durante um momento de revolta. O hacker, por sua vez, procura compreender e explorar os sistemas de proteção, e modificá-los para que se auto-destruam, ou reprogramá-lo para frustar as intenções dos que detém o controle sobre eles, ou ainda criar meios de acesso ao mesmo tipo de sistema para os que originalmente não detém este controle. A ética hacker é portanto uma complexa composição da curiosidade exploratória, uma atitude desviante de revolta, e inovação criativa em face aos sistemas de controle com os quais se opõe. Esta ética emerge de uma combinação destas três atitudes.
A palavra Hacker passou a ser usada na acepção corrente a partir da era da Tecnologia da Informação (TI) e da computação pessoal. O subtítulo do livro de Steven Levy – Heroes of the Computer Revolution – imediatamente situou os hackers como os cruzados da cultura geek da era dos computadores pessoais. Enquanto alguns aspectos desta subcultura eram bastante amplos – como “Desconfiança nas autoridades” e “promover descentralização” - outros eram muito centrados no universo semântico e terminlógico da tecnologia da informação. “É possível criar arte e beleza a partir de computadores”, dizia um, e “Toda informação deve ser de livre acesso”, declarava outra.
(...)
Já nas mãos da mídia sensacionalista, o ethos (forma de agir) do hacker é frequentemente reduzido ao ato de explorar brechas de segurança e ganhar acesso a sistemas fechados. De alguma forma, então, os computadores foram associados à formação da imagem do hacker, pelo menos no imaginário popular. Mas ao mesmo tempo, também foram a sua ruína. Se o imaginário popular não tivesse associado a imagem do hacker de forma tão forte ao universo da TI, seria difícil acreditar que essa imagem demoníaca tivesse sido tão facilmente criada, ou que pudesse ser, como foi também, tão facilmente destituído dessa caracteristica ameaçadora.
(...)
A construção dessa imagem do “hacker do bem” se realizou de formas inesperadas, pois em nosso mundo computadorizado vimos também a emergência de um tipo de indústria agressivamente competitiva dotada de uma busca obssessiva por inovação. Este reino das chamadas startups, ou um tipo muito específico de empresas voltadas para inovação em tecnologia, dos capitalistas afeitos a investimentos de alto-risco e altos retornos, e de reluzentes departamentos de pesquisa e desenvolvimento tecnológico de grandes companhias. E justamente ali, em meio a subculturas como a encontrada no Vale do Silício na Califórnia, que encontramos este espírito rebelde do hacker sucumbindo à única força que pode potencialmente matá-lo: a gentrificação. [processo de pacificação de ameaças nebulosas e sua transformação em dinheiro]
(...)
Estamos testemunhando o processo de gentrificação da cultura hacker. O hacker inicial, contracultural e desobediente, tem sido pressionado a colocar-se a serviço de uma classe empreendedora capitalizada. Este processo começa inocentemente, sem dúvida. A associação desta ética hacker com as startups começou a acontecer como parte de um autêntico ímpeto contracultural de nerds excluídos do sistema em inventar novas formas de utilizar a internet. (...)
(...)
Esta forma ambígua de pensar flui em direção a uma cultura corporativa predominante, com o crescente número de eventos corporativos organizados sob a foma de ‘hackatons’ (ou maratonas de hacks). (...)
(...)
Neste contexto específico, a ética hacker é resumida a um tipo de ideologia do ‘solucionismo’, (...) a visão de mundo da indústria contemporânea da tecnologia como uma série de problemas aguardando por soluções (lucrativas).
(...)
O espírito não-gentrificado do hacker deve ser um bem comum acessível a todos. Este espírito pode ser observado nas fissuras marginais da nossa sociedade em todas as partes Ele está presente nas formas emergentes de produção descentralizadas, e na cultura do faça-você-mesmo, nos hackerspaces e nas fazendas urbanas. Nós podemos observá-lo na expansão dos movimentos Open (Open Software, Open Hardware, Open Data, que traduzem para o português como Software Aberto ou numa expressão mais radical libertária como Software Livre, Hardware Livre, Dados Abertos), desde o hardware aberto, até os laboratórios abertos de biotecnologia, e os debates em torno das famigeradas impressoras 3D como uma forma de estender o conceito de código-aberto para o domínio da manufatura. Em um mundo com um crescente número de instituições econômicas grandes e sem mecanismos de controle social, precisamos como nunca deste tipo de atitude de resistência cotidiana.
E o artigo conclui, brilhantemente:
O ato de hackear, em meu ponto de vista, é uma rota para esquivar-se das algemas do fetiche do lucro, não um caminho para elas.
Esta edição do CCCamp aconteceu na semana seguinte a Defcon, de 13 a 17 de Agosto, em uma espécie de parque (uma antiga olaria) próxima a cidade de Zehdenick, distante cerca de 50 Km ao norte de Berlin. O local conserva alguma estruturas da antiga fábrica, o que deu um toque bem legal ao clima do evento, e possui muita área livre para o pessoal acampar - além de alguns lagos próximos que o pessoal usou para se refrescar durante o dia.
Antes de mais nada, quero deixar claro que o evento é realizado em um acampamento: portanto, esqueça coisas como conforto, salas com ar condicionado, coffee-break, quarto de hotel, banho quente, etc. Os participantes realmente acamparam no local, cada um levando a sua própria barraca, usando banheiros químicos e chuveiros coletivos, com água gelada. Sem nenhum conforto.
A energia do CCCamp foi extraordiária: um clima excelente de troca de conhecimento, confraternização, inovação e amizade. A decoração do evento, realizada pelos organizadores e até mesmo pelos participantes, também garantiam uma atmosfera bem empolgante - principalmente a noite, com a iluminação e os efeitos de luz espalhados pelo local.
A programação do evento foi formada por 2 trilhas principais de palestras, realizadas em duas grandes tendas montadas para isso - mas também havia o stream ao vivo de todas as palestras, com tradução simultânea para inglês (pois quase metade das palestras foram em alemão), assim ninguém precisava ir nas tendas para assistir a programação oficial. Também tiveram algumas oficinas, mas a grande maioria do pessoal ficava em grupos, nas diversas tendas montadas pelos próprios participantes. Uma grande parte das tendas eram de hackerspaces, que tiveram uma presença massiva no evento. Vários hackerspaces europeus montaram um espaço próprio, com barracas e tendas, aonde organizavam diversas atividades como palestras, oficinas, discussões e qualquer tipo de atividade aberto a todos os interessados.
As palestras iam até altas horas da noite, cerca de 23h, e em seguida o pessoal se dirigia para as tendas aonde haviam mais oficinas, debatas, palestras - além das festas. Normalmente eu ia dormir entre 5 e 6 da manhã, para acordar as 7:30 com o sol brilhando e fritando todos que estavam dentro das barracas.
O CCCamp contou com cerca de 4 mil pessoas, pelo que fiquei sabendo, e haviam cerca de 20 brasileiros no evento, entre eles alguns poucos profissionais de segurança, alguns membros e ex-membros de hackerspaces e alguns brasileiros que moram na Europa.
A Wired publicou a história (e vídeo) de dois pesquisadores de segurança, Runa Sandvik e Michael Auger, que conseguiram hackear uma mira eletrônica e, assim, alterar a trajetória da bala disparada pelo rifle.
O dispositivo, Tracking Point TP750 (que custa 13 mil dólares), deveria ser utilizado para aumentar a precisão do tiro, de forma que até mesmo um atirador amador pudesse acertar o alvo através da mira eletrônica. Ela reconhece o alvo emuda de cor quando ele estiver na mira. Os pesquisadores conseguiram acessar o dispositivo através de sua conexão Wi-Fi e, explorando algumas vulnerabilidades do software embarcado na mira, eles conseguiram alterar algumas das variáveis utilizadas para o cálculo da trajetória - como, por exemplo, o peso da bala. Eles também conseguem evitar que a arma dispare ou, até mesmo, desabilitar o computador da mira eletrônica.
Tudo isso começou porque o sistema de pontaria eletrônica usa um sistema Linux embarcado que tem uma conexão Wi-Fi (desabilitada originalmente) que tem uma senha default. Eles também conseguiram privilégios de administrador no sistema e, assim, conseguem "fazer a festa".
Este caso serve para nos alertar dos riscos de automatizar e conectar diversos dispositivos do dia-a-dia, uma tendência muito forte atualmente e que é representada, principalmente, pela chamada "Internet das Coisas" (IoT). Assim como nos softwares tradicionais, é comum encontrarmos aplicações embarcadas em diversos dispositivos aonde os desenvolvedores não tomaram os cuidados básicos de segurança. Com estes dispositivos eletrônicos podendo ser acessados remotamente através de conexões em fio, temos o grande risco de alguém explorar uma vulnerabilidade do software e tomar controle do dispositivo - isso vale também para carros e aviões.
Nota (adicinada dia 30/07): Esta reportagem veio em uma boa hora, no momento em que vários cientistas estão se mobilizando contra a criação de robôs autônomos para uso militar. Ela mostra que não devemos apenas nos preocupar com o problema dos robôs atuarem sem limites éticos (ou seja, como em filmes de ficção científica como O Exterminador do Futuro ou Matrix), mas também com a possibilidade de outras pessoas tomarem o controle dos robôs.
