O interesse brasileiro e as “backdoors” importadas

Nunca antes nesse país uma palavra-chave ficou tão em voga na mídia – e provavelmente nos mecanismos de pesquisa – quanto a expressão “porta dos fundos”. E aqui não nos referimos à trupe humorística do momento, mas ao correspondente em português para a expressão “backdoor”, e isto exclusivamente quando esta palavra aparece relacionada a incidentes computacionais ou telemáticos.

Um dado curioso, no entanto, é que enquanto se banaliza a questão em tudo quanto é tipo de foro, e até mesmo nas mesas de jantar, ainda não se nota no Congresso Nacional nem nos órgãos de segurança alguma proposta clara de regulação sobre este tema.

Sem ter a pretensão de ser o introdutor de uma, peço licença, pelo menos, para opinar pela pertinência de se refletir sobre a necessidade ou não de uma legislação específica.

A questão é bastante complexa. Foi por meio de backdoors – segundo a empresa de segurança SafenSoft  – que, em 2014, agentes do cibercrime conseguiram inocular o “Ploutus”, um malware adaptado como dispensador de dinheiro, em centenas de caixas eletrônicos do México, utilizando-se apenas de uma inocente porta de CD-Rom que – pasmem – ainda existia e ficava exposta em inúmeros equipamentos desse tipo usados naquele país.

Neste episódio específico, fica patente que a backdoor nada mais é do que o resultado de uma vulnerabilidade tola, atribuída a um erro de projeto ou a uma avaliação ingênua do risco a que são submetidos os caixas automáticos.

Aliás, quando uma backdoor é descoberta, seja em um equipamento de marca comercial ou em um aplicativo de uso corrente, o mais comum é que esta seja imediatamente tratada como “um bug de desenvolvimento” e exposta desta forma para o público, o que nem sempre é verdade.  De fato, um bug aparentemente casual pode ter sido inserido de modo proposital exatamente para gerar uma backdoor, ficando o consumidor/usuário sem saber da real origem, acidental ou planejada.

Em outras palavras, as backdoors mais preocupantes são aquelas produzidas de maneira oposta ao que ocorreu com as mencionadas ATMs do México, ou seja, aquelas que são projetadas como parte essencial do produto de software ou hardware.

Sempre envolvido em polêmicas das mais acaloradas, este tipo de backdoor foi pivô de altíssimas discussões entre as duas maiores potências mundiais quando, no ano passado, o governo chinês trouxe a público uma parte de seu projeto de lei antiterror, que obriga os fabricantes nacionais ou estrangeiros a instalar backdoors em seus produtos de informática, de modo a dar acesso garantido a tais produtos, quando em uso, para os órgãos de segurança de estado.

Em sua veemente e moralmente justa reclamação, o governo norte-americano se esqueceu do básico. Isto é: de suas próprias e inúmeras disposições legais que, não apenas exigem backdoors para sistemas de hardware, mas também para aplicativos, sistemas de redes sociais e até – o que não é assumido abertamente, nem enfaticamente negado – para sistemas operacionais de máquinas pessoais ou de servidores de rede.

Aliás, já nos primórdios da Internet (que, diga-se de passagem, se desenvolveu inicialmente por interesse militar americano), a inteligência e defesa daquele país já projetavam o “Carnivore”, uma espécie de tarântula cibernética capaz de varrer todos os pontos de troca da rede global, escaneando palavras-chave trocadas em mensagens de e-mail ou publicações em sites e qualquer tipo de informação que circule na World Wide Web.

A fim de juridicamente respaldar o Carnivore e similares, em 1994 o governo americano aprovou a Lei de Auxílio das Comunicações para a Aplicação de Direito (CALEA, na sigla em Inglês), concedendo às autoridades legais não só o direito a acesso via backdoors (que obrigatoriamente devem ser instaladas em equipamentos de rede), mas também a manutenção de checkpoints, ao longo de toda a Internet, para monitoramento lógico, semântico e até fonético (vocal, para identificação de pessoas).

E há inúmeros outros aparatos, alguns até bem mais antigos que o já veterano Carnivore, como é o caso do Echelon. Gestado a partir dos acordos de inteligência entre EUA, Inglaterra e outros aliados ao final da Segunda Guerra, o Echelon foi posto para funcionar décadas depois, em 1980. Hoje, este é notoriamente um dos aparelhos centrais do grupo conhecido como “cinco olhos”, por envolver os serviços de inteligência dos EUA, Inglaterra, Canadá, Austrália e Nova Zelândia. O Echelon é nada mais nada menos que uma rede global explicitamente voltada para a vigilância ostensiva. Ele não escamoteia suas funções de espião na coleta de informações críticas que o grupo dos cinco olhos classifica como SGINT, ou “sinais sensíveis de inteligência”.

Mas, se como vimos, há backdoors acidentais – frutos de erro de projeto ou ingenuidade – e backdoors intrinsecamente indesejáveis (embora militarmente justificáveis), pois projetadas em função de interesses de estado e quase sempre afrontando a nossa privacidade, também é preciso ressaltar que há um tipo de backdoor “do bem”.

São, por exemplo, interfaces contidas em hardware ou programas que viabilizam ao fabricante ou mantenedor levar suporte, melhorias ou evoluções ao dispositivo remoto. É inclusive através de portas desse tipo que, muitas vezes, se faz a atualização de sistemas de proteção contra invasores virtuais. Tais portas dos fundos, no entanto, estão entre as preferências do cibercrime como caminho para atingir seus butins.

De modo que discutir uma regulação para os backdoors levanta ao menos três questões iniciais que, é claro, não pretendem exaurir o tema:

1 – É possível (e recomendado) proibir os backdoors?  Se sim, em que base tecnológica tal proibição se viabiliza sem causar prejuízos insuportáveis para a indústria, para a segurança de estado, ou para os usuários finais?

2 – É possível estabelecer controles legais sobre backdoors lícitas ou ilícitas; e, de novo, com que bases técnicas, além do escopo legal/político?

3 – Por onde iniciar o marco regulatório; quais são os modelos já vigentes em outros países que poderíamos buscar para efeito de discussão?

As únicas repostas a meu alcance, no momento, são que as backdoors não intencionais representam uma simples questão de engenharia de processos e estratégia de gestão. Cabe aos setores industriais relacionados à computação e à telemática aprimorar o design de produtos mediante mapeamento e avaliação dos riscos.

A indústria de segurança é um aliado essencial para o avanço da excelência na localização e combate às vulnerabilidades, bem como na automação dos sistemas de identificação, vigília e controle de acesso às backdoors.

Já as backdoors “de serviço”, que tem suas finalidades benignas, estas são objetos naturais do mundo cibernético e telemático e requerem os mesmos cuidados de engenharia de segurança acima descritos para os buracos acidentais. Mas elas nos dão, teoricamente, a vantagem de serem entidades conhecidas e tecnicamente descritas nos projetos do dispositivo e estão à disposição do usuário/gestor para que ele se previna contra intrusos.

Quanto às backdoors decorrentes de legislações de guerra ou imposições de estado em geral, a complexidade da resposta vai muito além da questão técnica e clama por uma discussão que abrange tópicos tais como a aplicabilidade geopolítica das legislações digitais dos países.

É uma áspera e difícil – mas urgente – questão para a sociedade como um todo e especialmente para o legislador e a comunidade de segurança e defesa.

O que temos de certo, por enquanto, é que qualquer que seja o rumo que ganhe esta discussão, o debate não irá avançar sem a indispensável contribuição da comunidade de tecnologia. É preciso, porém, que o Estado e as nossas instituições cidadãs confiram reconhecimento e confiabilidade a grupos nacionais acadêmicos, industriais e militares que se disponham, de fato, a debater o assunto à luz de interesses especificamente brasileiros. Exatamente como acontece em diversos outros países, em relação às suas organizações e empresas nacionais.

Segurança Cibernética para além do bem e do mal

Um equívoco bastante comum é o de se trazer o julgamento ético ou a preferência ideológica para a discussão relacionada à segurança cibernética das empresas, governos e sociedade. 

Julgamento equivocado e inócuo por dois motivos muito simples: primeiro, porque esse tipo de debate jamais conduzirá ao consenso e em nada ajudará na questão da segurança. E segundo, porque, ainda que por motivos eticamente generosos e louváveis, qualquer pessoa ou grupo organizado que se apodere de certas armas, e as leve ao espaço público para fazer valer a sua opinião, deverá ser prontamente desarmado em favor do real interesse coletivo.

Vejamos, a este propósito, o caso dos cada vez mais sofisticados ataques DDoS (ou de negação de serviços). Para muitos, eles correspondem apenas à metáfora de um piquete (cuja validade ética não entra em questão aqui), no qual um grupo de pessoas promove um cerco na porta de entrada do escritório ou da fábrica que se deseja paralisar em função de uma reivindicação ou protesto.

No imaginário que se constituiu sobre a estratégia de ataques DDoS, esta prática é opcionalmente atribuída a um hacker especialista “do bem” (também chamado ‘hacktivista’), que organiza um cerco massivo ao site da empresa “maldosa” (aquela que não respeita a privacidade alheia, por exemplo); ou ao contrário, é atribuída a um cibercriminoso comum, sem ética e sem piedade, que utiliza o mesmo estratagema para enfraquecer os mecanismos de guarda de um banco, ou de uma empresa de cartão, para assim invadir os seus tesouros.

Ao lado dos dois personagens, campeiam o ciberterrorismo (que também promove o sequestro de dados, a sabotagem, o roubo, a fraude etc. por motivos políticos ou ideológicos) e a guerra fria cibernética em si, que envolve o engajamento de países com suas forças estratégicas de inteligência, e que não será objeto deste artigo.

Mas se a prática hacktivista pode às vezes ser considerada “do bem” por sua finalidade altruística (em contraposição ao sempre condenável cibercrime), de que lado devemos ficar quando o grupo hacktivista “Anonymous” invade e faz profanação em inocentes sites islâmicos, em nome do protesto “je suis Charlie”? ou quando os hacktivistas islâmicos do “L’Apoca-Dz” derrubam sites cristãos em nome da suas crenças?

Se a pergunta se refere à preferência ideológica ou à religião, cada um que opte por seu lado. Mas se a discussão é de fato voltada à questão da segurança, o papel do debatedor é ignorar solenemente tais embates. Os responsáveis pela segurança devem fazer uma suspensão radical desses julgamentos ideológicos e entender que, em ambos os casos, o que está sendo violado é o bom funcionamento da Internet do qual depende, em última instância, a tranquilidade pública.

Não só a tranquilidade dos sites e instituições afetadas, mas a de todos os cidadãos, obrigados a conviver com o aumento progressivo do medo e da frustração em relação às salvaguardas de autointegridade no espaço público da Internet. Glamourizar ou não glamourizar o ativismo cibernético baseado em ferramentas hackers é uma questão que deve passar totalmente ao largo daqueles que precisam se preocupar com a segurança cibernética. 

Que partam de uma agremiação idealista, a favor do direto inegável de minorias injustiçadas; ou que partam de organizações voltadas para promover o tráfico de crianças, as táticas de ativismo ancoradas em ataques cibernéticos comungam em pelo menos dois aspectos básicos: 

1. Todas elas exploram as vulnerabilidades técnicas de terceiros inocentes (que quase nunca têm algo a ver com o alvo de seus ataques) e usam de expedientes igualmente espúrios, como phishing; roubo de identidade; clonagem de páginas web; interceptação ilegal; reedição de códigos fontes; invasão de propriedade; violação de privacidade e violação de inúmeros direitos.

2. Todos esses tipos de agentes acabam negociando entre si, ainda que inadvertidamente, seja no submundo ou em fóruns lícitos de interação, para a troca de experiências e para as operações de compra e venda de kits para a atividade hacker. E isto engloba não apenas o tráfico de códigos maliciosos utilizados nos ataques, mas também as listagens globais de verdadeiros parques computacionais zumbis, que são transformados em clusters, tanto para o ataque de pane (DDoS), quanto para o processamento de dados, necessário à decifração de senhas ou à quebra de algoritmos em geral.

Assim, é papel da comunidade de segurança acompanhar o cibercrime, o ciberterrorismo e o hacktivismo como facetas de um mesmo movimento de constante pressão em que vive a sociedade atual (suas pessoas, suas instituições de estado, suas empresas e agremiações), em função da vulnerabilidade sistêmica que existe na Internet. 

E cabe à indústria de software e dispositivos de segurança o esforço permanente de oferecer à sociedade os mecanismos de combate (prioritariamente, de proteção) contra toda a sorte de atacantes virtuais. Em outras palavras, a ordem é contribuir – de modo frio e agnóstico – para a mitigação dessas vulnerabilidades, que são cada dia maiores, mais complexas e mais desafiadoras.

A Guerra Fria Cibernética e a Posição Brasileira

O que o Brasil pode aprender com o recente conflito EUA-Coreia do Norte em torno do ataque à Sony.

A intensa onda de escaramuças cibernéticas, que fechou o ano de 2014, colocou em conflito aberto duas potências nucleares (EUA e Coréia do Norte) tendo como pivô um incidente aparentemente corriqueiro, que foi o vazamento de informações privadas da Sony a partir da ação de hackers.

Inicialmente, as duas partes passaram apenas a trocar acusações ruidosas de violação de princípios, mas logo o governo americano adotou medidas de retaliação no campo militar e, embora sem o assumir explicitamente, provocou uma pane geral de um dia na internet norte-coreana.

Além de demonstrar o alto potencial de risco que tal tipo de ciberataque apresenta para a sociedade global, o episódio Sony-Pyongyang aponta para dois fatos importantes e que nós brasileiros precisamos ter em mente para que possamos aprimorar nossa visão da segurança.

O primeiro fato a se considerar é que a guerra fria cibernética está efetivamente em curso e é cada vez mais intensa. O segundo é que, na lógica dessa nossa guerra, que é permanente, complexa e de difícil delimitação, não há uma clara distinção entre interesses estritamente privados e a segurança estratégica dos países.

De fato, ao responder ao ataque à Sony com retaliações explícitas e discurso bélico, o Governo Obama mostrou o seu alto nível de preocupação com segurança cibernética do País - e não apenas a do Estado.

Bastante ilustrativo quanto à importância global de uma segurança holística, o episódio serve para referendar a tese hoje em discussão no Brasil de que o Governo e as empresas necessitam procurar um "alfa" capaz de conciliar políticas de segurança cibernética e de defesa estratégica.

Uma dificuldade dessa discussão estava, até bem pouco tempo, na velha vocação "pacifista" da sociedade brasileira. E também numa forte aversão de boa parte das empresas em aderir a programas de estado, que poderiam carregar um viés de indesejável "dirigismo".

Felizmente, do lado do Governo, esta fase pueril começou a ser superada no início dos anos 2000 e especialmente a partir de 2011, quando o Exército Brasileiro passou a operar o CDCiber (Centro de Defesa Cibernética), um bem planejado instrumento de defesa que já mostrou bons serviços durante o Rio+20 e a Copa de 2014 e que considera estratégica também a defesa do setor privado.

Outro avanço considerável se deu a partir de 2013 quando o Ministério da Defesa se aliou às lideranças do setor privado, instituindo a credencial de 'Empresa Estratégica de Defesa' (EED), com grande ênfase para empresas nacionais ligadas à proteção cibernética, ao lado de indústrias de ponta, como a aeroespacial, de biotecnologia e a de química fina.

São arranjos de grande abrangência e longa visão de futuro que poderão proteger o estado brasileiro e suas empresas de um novo modelo de guerra que contém uma zona cinzenta onde se misturam, de forma difusa, os altos interesses de estado, a propriedade intelectual das empresas e a fúria inescrupulosa do crime cibernético.

Como não agir como agiu o Governo Obama, ao sinalizar que o ataque a uma rede privada com base no seu território é considerado um ato de guerra? E de que forma, sozinha, uma empresa comercial poderá se contrapor a organizações sem rosto, sem localização definida e com arsenais de poder à altura dos exércitos mais bem aparelhados?

E tudo isto sem falar na alta complexidade que vai caracterizando a própria indústria do crime cibernético. Mencione-se, a este respeito, que poucos dias após um poderoso ataque a redes da Xbox (Microsoft) e - novamente - da Sony, ainda ao final de dezembro último, o grupo hacker Lizard Squad passou a oferecer (via varejo, na internet e a preços baixos) o mesmo kit de ferramentas DDoS (de ataques direcionados) que utilizou para por de joelhos estas duas potências do setor privado global.

Ao fomentar a pesquisa de criptografias proprietárias de concepção autóctone, como é o caso da tecnologia brasileira CelAzul; ao incentivar o surgimento de uma indústria de dispositivos de proteção livres de backdoors" (que por vezes são armadilhas impostas por certos governos a seus exportadores de tecnologia, que são obrigados a embarcá-las nos produtos em função de interesses políticos ou militares), o estado Brasileiro dá um passo importante para se posicionar de forma soberana e competitiva no ambiente da guerra cibernética.

E a indústria local de tecnologia deve aplaudir e lutar pelo fortalecimento de disposições como as credenciais EED e CERTICS, que atesta a nacionalidade  de tecnologias no setor de TI.  Como um competidor brasileiro integralmente dedicado a este problema, a Aker vem apoiando e reivindicando sua participação em programas dessa natureza, já tendo obtido o CERTICS para suas soluções de firewall - hoje também reconhecidas pelo Gartner - e se aliando aos órgãos de segurança e parceiras congêneres. Só com a união de competências e recursos poderemos fazer frente ao forte avanço tecnológico do crime cibernético global e dos dispositivos formais (ou informais) da nova guerra fria.