[Segurança] Bradley Manning, Edward Snowden e a ética na segurança da informação

As constantes revelações do esquema de espionagem do governo americano por Edward Snowden e a recente condenação do soldado americano Bradley Manning por ter vazado documentos secretos dos EUA para o Wikileaks traz uma discussão interessante para os profissionais de segurança da informação.

De um lado está Manning: um ex-analista de inteligência do exército americano condenado por vazar milhares de documentos secretos que, entre outras coisas, mostravam crimes de guerra que os EUA escondiam. Ao seu lado, Edward Snowden, um ex-analista de inteligência subcontratado que ficou mundialmente conhecido ao divulgar informações secretas sobre os projetos secretos do governo americano para espionar indiscriminadamente todo mundo que usa a Internet.

De outro lado está a sociedade, que sonha com uma Internet livre, com regimes democráticos e privacidade. E no meio disso tudo estamos nós, profissionais de segurança, responsáveis por proteger todas as informações das empresas em que trabalhamos. Fazemos isso através de tecnologias (como criptografia, controles de acesso, firewalls, backups, ferramentas contra vazamento de dados e muito mais) e processos, que incluem treinamento e conscientização.

Mas, nos casos do Manning e Snowden, não foram vazamentos acidentais nem simples, por alguns motivos:

• foram copiadas uma quantidade gigantesca de dados - no caso do Manning, foram cerca de 750 mil documentos classificados como secretos do governo americano
• os documentos descrevem ações eticamente questionáveis do governo. No caso do Manning, segundo seu julgamento próprio, eram provas de crimes de guerra, atrocidades e ações moralmente condenáveis realizadas pelo exército e pelo governo americano. No caso do Snowden, eram provas de que o governo americano e a NSA montaram uma gigantesca estrutura para espionar indiscriminadamente praticamente todo mundo que habita o planeta Terra, desrespeitando princípios básicos de privacidade e respeito.

E como um profissional de segurança deveria se portar frente a um caso desses? Qual deve ser o nosso posicionamento frente a alguém que vaza informações que dizem respeito a ações aparentemente ilegais ou imorais de uma empresa ou governo? devemos simplesmente condená-los?

Para pensar sobre isso, recorro a um recurso muito conhecido por vários de nós, o Código de Ética elaborado pelo ISC2:

1. Protect society, the common good, necessary public trust and confidence, and the infrastructure.
2. Act honorably, honestly, justly, responsibly, and legally.
3. Provide diligent and competent service to principals.
4. Advance and protect the profession.

Baseado no código acima, vemos que o primeiro e mais importante princípio de todos nós deve ser "proteger a sociedade e o bem comum".

Não estou dizendo que devemos ajudar ou fazer vistas grossas a quem vaza informações. Mas, para nós, é muito mais fácil trabalhar para uma empresa ou órgão de governo que age eticamente. Infelizmente existem empresas e governos que não se enquadram nessa categoria, e temos o total direito ético de nos recusarmos a trabalhar em um lugar assim. E, se descobrimos tais atitudes em nosso ambiente de trabalho, devemos tomar todas as medidas cabíveis, do ponto de vista legal, ético e moral, para denunciar o que estiver acontecendo de errado.

Como denunciar? Converse com seus superiores imediatos. Além disso, grandes empresas possuem, normalmente, um canal para que funcionários denunciem comportamento não ético ou ilegal. Se estes dois caminhos não funcionarem, geralmente há órgãos reguladores que são responsáveis por tratar tais denúncias. Roubar informações confidenciais e divulgá-las na imprensa, definitivamente, não é a melhor forma de denunciar um problema, nem a mais ética. Embora possa ser uma medida extrema a ser tomada em alguns casos especiais.

O que Manning, Snowden e o Assange nos ensinam, na minha opinião, é que infelizmente, às vezes é preciso agir errado para fazer o que é certo. Mas esse é um passo muito questionável, perigoso e que exige muita responsabilidade, coragem e preparação para enfrentar as consequências.

[Segurança] Agenda da Co0L BSidesSP - H2HC e Black Hat Edition

Já estão disponíveis online as agendas das duas próximas edições da Conferência o Outro Lado Security BSides São Paulo (Co0L BSidesSP), o evento de segurança e cultura hacker organizado por alguns profissionais da área com o apoio do Garoa Hacker Clube.

Teremos mais duas edições do Co0L BSidesSP em 2013, com diversas atividades, incluindo palestras, oficinas práticas e muito mais. A partir de hoje as agendas provisórias estão disponíveis no site dos respectivos eventos:

• Co0L BSidesSP H2HC edition: Será no dia 06 de outubro, em conjunto com a H2HC, com uma trilha de palestras e uma de oficinas. As inscrições para esta edição serão abertas no dia 09/09/2013.
• Co0L BSidesSP BlackHat edition: Acontecerá no dia 24/novembro, na FATEC SCS e no final de semana anterior a Black Hat Summit São Paulo. Teremos duas trilhas de palestras, (provavelmente) duas trilhas de oficinas, uma nova atividade chamada Brazilian Arsenal (para divulgar projetos open source nacionais de segurança), um Capture the Flag (CTF), e a Hacker Job Fair. As inscrições para esta Co0L BSidesSP começam apenas no dia 28/10.

Estas serão a sexta e sétima edições da Co0L BSidesSP, respectivamente, que fazem parte do circuito global de eventos Security BSides, alcançando 91 edições em dez países diferentes até Julho de 2013. A Co0L BSidesSP é uma mini-conferência gratuita que visa divulgar o Garoa Hacker Clube e, principalmente, promover a inovação, discussão e a troca de conhecimento entre os participantes e divulgar os valores positivos e inovadores da cultura hacker.

Para saber um pouco mais sobre a Co0L BSidesSP e sobre as edições anteriores, visite o nosso site e veja nossas principais estatísticas:

BSidesSP in a glance from Anchises Moraes

[Segurança] Cloud Security Alliance Brasil com novo Presidente

Nesta semana o pessoal do capítulo Brasileiro da Cloud Security Alliance elegeu um novo presidente do capítulo, o Paulo Pagliusi. Para quem não o conhece, ele é um profissional com muitos anos de carreira na área de segurança, aonde seu conhecimento e experiência só não são maiores do que a sua sincera modéstia. A maior parte destes anos foram dedicados na Marinha do Brasil, aonde entre outras coisas é Capitão-de-Mar-e-Guerra da Reserva e fundou a Divisão de Criptologia no CASNAV. Ele também tem experiência como diretor do ISACA-RJ e atualmente é sócio-diretor da Procela Inteligência em Segurança.

O Pagliusi está desde o começo na CSA Brasil, aonde colaborou em alguns projetos, publicou artigos em nosso blog, fez várias palestras em nome do capítulo e esteve sempre presente, tanto nos momentos de maior ou menor atividade.

O Pagliusi é o terceiro presidente da CSA BR, após o Leonardo Goldim e o André Serralheiro, que foram respectivamente o fundador e o segundo presidente do capítulo.

A Cloud Security Alliance é uma entidade formada por voluntários interessados em estudar e educar sobre segurança em ambientes de computação em nuvem. Ela possui diversos grupos de trabalhos que já produziram um rico material sobre o assunto, que são refer6encia no mercado.

Como o Pagliusi sempre diz, "bons ventos a todos".

[Cyber Cultura] Hackerspace Passport

O "Hackerspace Passport" é uma imitação de passaporte que foi criada há pouco tempo atrás pelo Mitch Altman, um dos fundadores do Noisebridge (o hackerspace de São Francisco), como uma forma divertida de estimular as pessoas a visitarem outros hackerspaces e guardarem um tipo de recordação das visitas que fizeram. Assim, sempre que você visita um hackerspace, ganha um carimbo em seu passaporte (normalmente com o logo do hackerspace visitado).

Como ele mesmo diz, o passaporte pode ajudar a promover um maior número visitas a hackerspaces em todo o mundo. Além do mais, o passaporte hacker transmite uma sensação maior de que fazemos todos parte de uma grande comunidade. De quebra, também serve para estimular os hackerspaces a aumentar a colaboração mútua, a visitação entre eles e incentivar todos os hackerspaces a apoiarem uns aos outros.

Hoje em dia, vários Hackerspaces e até mesmo algumas conferências de segurança ao redor do mundo (incluindo a Defcon e a Co0L BSidesSP) já fizeram seus próprios carimbos, para que as pessoas possam ter seu passaporte carimbado onde quer que vão.

Atualmente o passaporte dos hackerspaces pode ser comprado em alguns sites no exterior (os preços indicados não incluem o frete):

• Passaporte Hacker na Sparkfun (capa azul, US$ 1.95)
• Passaporte Hacker a venda no site da Adafruit (capa azul, US$ 2.95)
• Passaporte a venda no Seedstudio (capa vermelha, US$ 2.95)

Os hackerspaces e eventos de segurança podem colocar um pequeno selo em seus sites indicando que aceitam Hackerspaces Passports - ou seja, eles tem um carimbo para que você leve seu passaporte lá!

Para saber mais:

• Página oficial do Passaporte Hacker, no site do Noisebridge
• Modelo do passaporte original, criado por Mitch Altman (versão editável aqui)
• Modelo de passaporte criado pelo pessoal da Defcon em 2012

[Cyber Cultura] Hackerspaces conquistam até os dicionários

A versão online do dicionário de inglês Oxford publicou um verbete para a palavra "hackerspace":

"noun: a place in which people with an interest in computing or technology can gather to work on projects while sharing ideas, equipment, and knowledge"

Ou seja:

"substantivo: um lugar em que as pessoas com interesse em computação ou tecnologia podem se reunir para trabalhar em projetos e compartilhar ideias, equipamentos e conhecimento"

É algo bem legal, e significa que a palavra hackerspace já pode ser considerada algo nativo da cultura americana e inglesa, em geral. Mas também não significa que a palavra "hackerspace" foi incorporada oficialmente na língua inglesa. O dicionário online da Oxford costuma incluir novas palavras e neologismos, enquanto o dicionário oficial ("Oxford English Dictionary") é mais sério: contém as palavras historicamente utilizadas no inglês, incluindo termos com mais de mil anos de uso. Ou seja, eles fazem uma clara diferenciação entre o "Oxford English Dictionary" e o "Oxford Dictionaries Online".

Por outro lado, eles também deram uma bela de uma bola fora na definição do termo "hacker":

Substantivo
1- a person who uses computers to gain unauthorized access to data.
    informal- an enthusiastic and skilful computer programmer or user.
2- a person or thing that hacks or cuts roughly.

Ou seja, eles consideram a definição "formal" de "hacker" é alguém que obtém acesso não autorizado a dados, enquanto a definição "informal" é de um entusiasta ou usuário/programador talentoso. Na minha opinão, deveria ser exatamente o contrário :(

[Segurança] Vem aí.... Lollapalooza da Segurança (em 2014)

O Anderson Ramos anunciou, na última edição do SecureBrasil, que em 2014 vários dos eventos de segurança que acontecem tradicionalmente no segundo semestre combinaram de ocorrer na mesma semana, no início de novembro:

• 5 e 6/11/2014: SecureBrasil (em 2014 o evento será Latino Americano, com um dia incluindo o SecureSDLC e no outro, o debate H2CSOs)
• 6 e 7/11: Sacicon (o evento começa com uma festa na noite de 6/11)
• 7 e 8/11: Silver Bullet, possivelmente incluindo uma track de conteúdo do Roadsec São Paulo no dia 8/11
• 8 e 9/11: Hackers to Hackers Conference (H2HC)
• 9/11: Co0L BSidesSP

Algumas pessoas já estão chamando esta semana de "Lollapalooza da segurança".

O objetivo é juntar forças para facilitar a organização dos eventos e a participação do público. Embora represente 5 dias inteiros com diversas atividades em paralelo, cada um destes eventos tem um foco distinto e, muitas vezes, um público-alvo diferente. Por isso acreditamos que poucas pessoas ficarão sobrecarregadas e tentadas a participar de todas as atividades (só alguns loucos "ratos de evento", como eu....).

[Cyber Cultura] Hackerspaces e cultura hacker

Na semana passada eu apresentei a palestra "Hackerspaces e cultura hacker" no congresso SecureBrasil 2013, aonde discuti o que são os hackers e os hackerspaces, e como o surgimento e popularização destes espaços podem revolucionar a educação, a tecnologia e, principalmente, a cultura hacker.

Os hackerspaces começaram a se popularizar há poucos anos atrás, e hoje já estão presentes em quase todas as principais cidades do mundo inteiro, incluindo mais de 12 hackerspaces no Brasil. Em um mundo altamente conectado como o nosso, como é possível existir um local aonde as pessoas se encontram fisicamente justamente para, justamente, hackear?

Hackerspaces e cultura hacker (PDF) from Anchises Moraes

A primeira versão desta palestra foi apresentada em Junho deste ano durante a BHack conference. Para a SecureBrasil, eu dei uma pequena atualizada, ligeiramente inspirada em uma apresentação que o Alberto Fabiano fez no ano passado durante um evento no Centro Cultural da Espanha. Embora a apresentação do Alberto tenha sido mais focada em apresentar os padrões para criação de um Hackerspace, eu peguei algumas idéias para fazer uma pequena atualização e assim pude homenagear o Alberto, colocando-o como co-autor.


AVLAB #13 Hack-lan-house: para além da conexão pt.03 from Centro Cultural da Espanha-AECID on Vimeo.

Eu disponibilizei no Slideshare uma versão em PDF e outra em Power Point da minha apresentação, para que outros possam reaproveitá-la, se desejarem.

Por coincidência, a Carine Ross, uma das associadas do Garoa, escreveu recentemente um artigo na revista iMasters chamado "Mitch Altman e a origem dos Hackerspaces", aonde ela aproveitou a visita de um dos fundadores do Noisebridge, um hackerspace localizado em São Francisco, para falar um pouco sobre o surgimento dos hackerspaces e o que eles representam hoje em dia.

[Segurança] Pesquisa sobre comportamento, uso de dados e percepção de segurança dos usuários na Internet

Durante o V Congresso de Crimes Eletrônicos, que aconteceu recentemente em São Paulo, o pessoal da FECOMERCIO divulgou a 5ª Pesquisa Sobre o Comportamento dos Usuários na Internet, com algumas estatísticas relacionadas a percepção de segurança dos internautas, dentre as quais acredito que merecem destaque:

• Praticamente a metade (49,80%) dos entrevistados acreditam que as empresas podem usar e compartilhar seus dados pessoais com pessoas/empresas sem sua expressa autorização (ou seja, praticamente metade delas não estão preocupadas com o que as empresas fazem com seus dados!)
• 72,30% não confiam na forma que os sites guardam seus dados pessoais
• 87,80% acreditam que os sites devem guardar registros de acesso para auxiliar eventuais investigações de crimes eletrônicos
• 2/3 dos entrevistados disseram conhecer a nova lei dos crimes virtuais (“Lei Carolina Dieckmann”), mas apenas 16,37% acreditam que ela será suficiente no combate aos crimes virtuais
• 2/3 dos entrevistados acreditam que um conteúdo ilegal pode ser removido na web a pedido da vítima, e apenas 1/3 acreditam que deve haver ordem judicial
• 95,50% acreditam que um provedor de conteúdo deve avisar seus clientes ao receber um aviso judicial relacionado a alguma infração
• 17,90% dos entrevistados foram vítimas ou conhecem alguém da família que já foi vítima de crime digital
  • O crime mais comum (quase 1/3) é a clonagem de cartão de crédito ou débito, seguido por uso de dados pessoais (17,32%) e desvio de dinheiro em conta bancária através da Internet (15,64%).
• 86,40% receiam que ocorram "fraudes ou ataques de hackers" em seus dispositivos pessoais
• Apenas 1/3 dos entrevistados acreditam que baixar músicas e filmes gratuitamente (sem pagamento de direitos autorais) deveria ser ilegal
• Um pouco mais da metade (55,90%) dos entrevistados realiza compras pela Internet
  • O medo de fraudes é indicado por praticamente 1/3 dos entrevistados que não fazem compras online

Veja a pesquisa completa aqui.

[Cyber Cultura] Bradley Manning é condenado

Bradley Manning, o soldadodo exército americano acusado de vazar informações secretas do governo americano para o Wikileaks, foi condenado a 35 anos de prisão.

Manning, ex-analista de inteligência do Exército americano, foi condenado por vazar milhares de documentos secretos a que tinha acesso e que mostravam casos de crime de guerra ou desrespeito cometidos pelo exército e pela diplomacia americana. Não é a tôa que o governo americano fez de tudo para crucificá-lo.

Um dos casos mais famosos foi a divulgação de um vídeo, que ficou conhecido como "Colateral Murder" ("Assassinato Colateral"), aonde um helicóptero de guerra Apache metralhou um grupo de civis inocentes na periferia de Nova Bagdá, no Iraque, e por azar entre estes civis estavam dois repórters da Reuters e duas crianças que estavam em uma Kombi que apareceu para tentar ajudar os feridos.




Manning não foi apenas condenado, mas também foi torturado e execrado durante todo o processo. A pena de 35 anos de prisão foi bem menor do que o esperado, embora pareça significativa. Ao final do julgamento, ele foi inocentado do crime de "ajudar o inimigo", a acusação mais séria das 22 que enfrentou e que, pelo código penal militar americano, significaria sua condenação a pena de morte. Baseado nas acusações pelas quais foi condenado, estimava-se que ele pegaria até 136 anos de cadeia, mas a juíza do caso já havia reduzido este número para 90 anos, em função dos maus tratos que recebeu enquanto estava preso aguardando o julgamento (um total de 1.157 dias na cadeia, seguido por 10 semanas de julgamento!).

Torturado psicologicamente na prisão militar, Manning teve sua sexualidade descancarada e desrespeitada durante o julgamento: destacando seus problemas de identidade sexual e sua homossexualidade, o que me pareceu uma tentativa desrespeitosa (para dizer o mínimo) de desqualificar seu caráter e sua moral. como se a sexualidade de alguém pudesse diminuir a importância das revelações que ele fez.

Seu depoimento final mostra que ele fez o que achou certo para a sociedade: mostrar os crimes de guerra que o governo americano fazia questão de esconder. De tão marcante e significativo, esta declaração merece ser traduzida na íntegra:

"As decisões que eu tomei em 2010 foram feitas a partir de uma preocupação pelo meu país e pelo mundo em que vivemos. Desde os trágicos acontecimentos de 11/9, o nosso país está em guerra. Nós temos estado em guerra com um inimigo que opta por não nos enfrentar em qualquer campo de batalha tradicional, e devido a este fato, tivemos de alterar os nossos métodos de combater estes riscos para nós e nosso modo de vida.
Eu inicialmente concordava com estes métodos e escolhi me voluntariar para ajudar a defender o meu país. Não foi até que eu fui para o Iraque e e comecei a ler os relatórios militares secretos diariamente que eu comecei a questionar a moralidade do que estávamos fazendo. Foi neste momento que eu percebi que durante nossos esforços para enfrentar este risco apresentado contra nós pelo inimigo, que esquecemos nossa humanidade. Nós conscientemente escolhemos desvalorizar a vida humana, tanto no Iraque e no Afeganistão. Quando nóss enfentamos aqueles que percebíamos como sendo o inimigo, às vezes matamos civis inocentes. Sempre que matávamos civis inocentes, em vez de aceitar a responsabilidade por nossa conduta, preferimos nos esconder por trás do véu da segurança nacional e de informações secretas, a fim de evitar qualquer responsabilidade pública.
Em nosso esforço para matar o inimigo, debatemos internamente a definição de tortura. Nós mantivemos presos indivíduos em Guantánamo durante anos sem o devido processo legal. Nós inexplicavelmente nos fizemos de cegos frente a torturas e execuções por parte do governo iraquiano. E nós engolimos inúmeros outros atos em nome de nossa guerra contra o terror.
Patriotismo é muitas vezes o grito exaltado quando atos moralmente questionáveis ​​são defendidos por aqueles que estão no poder. Quando estes gritos de patriotismo afogam quaisquer intenções nossas baseadas na lógica[inaudível], geralmente é um soldado americano que é mandado a realizar uma missão mal-concebida.
Nossa nação tem tido momentos semelhantes que foram sombrios para as virtudes da democracia - a Trilha das Lágrimas, a decisão de Dred Scott, o Macarthismo, os campos de concentração para nipo-americanos - para citar alguns. Estou confiante de que muitas de nossas ações tomadas desde 9/11 um dia serão vistos sob uma luz semelhante.
Como o falecido Howard Zinn disse certa vez: "Não existe uma bandeira grande o suficiente para cobrir a vergonha de matar pessoas inocentes."
Eu entendo que minhas ações violaram a lei, e lamento se minhas ações machucaram alguém ou prejudicaram os Estados Unidos. Nunca foi minha intenção ferir ninguém. Eu só queria ajudar as pessoas. Quando eu escolhi para divulgar informações secretas, eu fiz isso por amor ao meu país e por um sentimento de dever para com os outros.
Se você negar o meu pedido de perdão, eu vou servir o minha punição sabendo que às vezes você tem que pagar um preço alto para viver em uma sociedade livre. Terei prazer em pagar esse preço se isso significa que nós poderíamos ter um país que está verdadeiramente concebido a partir da liberdade e dedicado à proposição de que todas as mulheres e os homens são criados iguais."

Os militares americanos se recusaram a liberar as transcrições do julgamento de Bradley Manning. Além disso, eles negaram o passe de imprensa para 270 das 350 organizações de mídia que pediram acesso à corte. Sem transcrições públicas ou livre acesso da imprensa, foi muito difícil para as organizações de mídia cobrirem com precisão o julgamento. por isso mesmo, o grupo Freedom of the Press Foundation coletou doações para colocar um taquígrafo profissional na sala de imprensa cobrindo o julgamento e divulgou as transcrições em seu site.

[Cyber Cultura] Capivara + Pão de Queijo = Área 31 Hackerspace

O pessoal de Belo Horizonte acaba de fundar o primeiro hackerspace de Minas, que ganhou o criativo nome de Área 31.

O hackerspace está funcionando em um espaço provisório, pequeno, em BH, e já conta com 7 membros fundadores (e um honorário). Eles também já tem diversos projetos em mente, incluindo realizar atividades com Raspberry Pi, Arduino, e impressoras 3D, além de projetos envolvendo sistemas operacionais e hacking de Apple TV e de Kindle.

Hoje já contamos com 12 hackerspaces no Brasil, e a cada dia este número cresce. Vários outros estão em planejamento. Nós, do Garoa Hacker Clube, temos o maior interesse em ajudar na formação de novos hackerspaces, que ajudam a divulgar a aprendizagem em tecnologia e os valores positivos da comunidade e cultura hacker.

Vida longa e próspera ao  Área 31 !!!