O Alto Risco da Ausência de Gestão de Senhas

A empresas terão de manter inventários das senhas e credenciais de privilégio. É preciso abandonar o modelo velho de chaves baseadas no teclado QWERTY

Parte considerável dos investimentos no combate à vulnerabilidade dos sistemas informacionais escorre pelo ralo devido à falta de políticas de controle de identidades e credenciais de privilégio que dão acesso a dados, aplicações e serviços em diferentes níveis estratégicos.

O problema vai muito além da alardeada proliferação de senhas criadas pelo usuário final, e que frequentemente permanecem ativas (pelo menos para algumas aplicações) mesmo depois do desligamento profissional do seu respectivo criador.

O descontrole mais grave envolve aquelas permissões que dão status de administrador ou autoridade hierárquica. Este tipo de credencial é gerado, em parte, para suprir necessidades do comando empresarial, afetando um pequeno número de gestores, o que as torna mais fáceis de gerenciar.

Mas a expressiva maioria das permissões de privilégio é representada por chaves de finalidade técnica (frequentemente passageira), criadas para assegurar acesso pontual a partes sensíveis do sistema. É grande o número de senhas produzidas nas corporações para viabilizar tarefas corriqueiras, como a configuração de um periférico ou a ativação de regras de negócio, e que são usadas por anos a fio, quando deveriam ter sido eliminadas e substituídas imediatamente após a utilização a que se destinavam.

Há ainda uma infinidade de credenciais de privilégio embutidas em aplicações que viabilizam sua interelação com outras entidades da rede ou do ambiente de software. Tais senhas de aplicação são fixadas no instante da integração do sistema e muitas vezes esquecidas ou até ignoradas pelas equipes responsáveis. O alto risco de tudo isto se dá pelo fato de que a posse de uma única destas chaves por um agente interno ou externo mal intencionado pode criar as condições para se alterar ou vasculhar toda a extensão do ambiente operacional, inclusive propiciando a captura do acervo de senhas disponíveis independentemente de seu nível.

Um estudo da CiberArk concluiu que entre empresas norte-americanas que dispõem de CIO e profissionais dedicados à segurança, nada menos que 86% se consideram vulneráveis a ataques praticados para a obtenção dessas credenciais de privilégio. A situação, com certeza, é bem pior no Brasil, onde apenas 50% dos órgãos de governo e das empresas estatais dispõem de um profissional de segurança digital, segundo dados contidos no Mapa Estratégico da Defesa Cibernética publicado pelo Ministério da Defesa. Entre os fatores mais críticos, descritos em estudos sobre o tema, está justamente a incapacidade das empresas em criar inventários fidedignos de suas senhas e identidade de acesso, o que impede o estabelecimento de qualquer controle sobre seu ciclo de vida ou sobre o nível atual de legitimidade de seus portadores.

Em um documento publicado no site da Lieberman Software com o sugestivo título “Como manter a NSA fora do alcance dos seus sistemas”a multinacional se reporta a seis recomendações de segurança criadas pela própria NSA (Agência Nacional de Segurança dos EUA) para as empresas do governo norte-americano e que bem poderiam ser seguidas pelas corporações brasileiras.

A primeira é a de não permitir o acionamento remoto de qualquer tipo de ação que dependa de credencial de privilégio, medida que cumpre o ideal de restringir a vulnerabilidade apenas ao agente interno sobre o qual o controle deve se ampliar substancialmente.

Esse controle ampliado é expresso em todas as demais recomendações, como a de criar restrições de validade das credenciais, apenas para sistemas específicos, sem que um agente isolado possa navegar ao longo de todas as áreas ou fazer uso indiscriminado dos serviços.

O ponto central, a meu ver, é o que expressa a urgência pela adoção de múltiplas autenticações, tendo em vista os problemas de gestão associados à eficiência crescente dos ataques hackers “de força bruta”.

Isto se faz, por exemplo, através do emprego combinado de senhas com dispositivos “token”, ou pela exigência de resposta a questões de ordem pessoal (seu aniversário de casamento, o nome do filho mais velho) ou a requisição de junção de partes de senhas randômicas, distribuídas entre dois ou mais indivíduos no instante da solicitação do acesso.

Com o atual nível de universalização dos smartphones dotados de recursos como câmera, scanner, microfone, Bluetooth, etc, é bem provável que aplicações de segurança de acesso comecem a explorar tais recursos, por exemplo, combinando a senha de acesso com uma leitura do “selfie” do usuário, ou conferindo sua posição geográfica (você está mesmo na empresa?) através da aplicação GPS no momento exato da requisição.

Em casos extremos (como risco de terrorismo), pode-se  estabelecer o cruzamento entre a posição GPS do indivíduo com seu nível de permissão de acesso, levando-se em consideração variáveis dinâmicas de acesso, como data e hora da requisição associada ao perfil do usuário. 

Quaisquer que sejam as soluções ou padrões culturais escolhidos, o fato é que o modelo de senha, em voga desde os primórdios da predominância do chamado teclado QWERTY, já se tornou um “mamão com açúcar” e uma garantia de sucesso fácil para os atacantes profissionais, ao mesmo tempo  que a sua gestão, confusa e ultrapassada, tende a transformar a credencial de privilégio em um instrumento de ameaça em mãos do usuário interno malicioso, inclusive o terceirizado ou aquele que pulou para a concorrência.

A questão da gestão e do modelo do emprego de senhas e credenciais de privilégio vai se tornando, portanto, um ponto crucial para a indústria de segurança. E pode ser que, nos próximos anos, as estatísticas dos grandes players da área passem a priorizar o enfoque sistemático do problema, deixando em segundo plano aqueles monótonos relatórios que tratam da infantilidade e inutilidade das senhas “fáceis de memorizar”, como a fatídica “123456”, que são empregadas pelas grandes massas globais de usuários.  

Os Próximos Passos da Estratégia Cibernética de Defesa do Brasil

O Brasil precisa de um novo órgão com as virtudes do CDCiber, mas com foco na segurança empresarial e na capacitação da indústria

Os  criticados eventos globais que ocorreram no Brasil desde 2010 podem não ter entregado à sociedade o conjunto de legados que havia sido prometido em troca do investimento estatal. Mas deles decorre, em grande parte, o fato de o Brasil possuir hoje uma estratégia cibernética de defesa com maturidade de fundamentos em níveis de doutrina, hierarquia, organização política, estrutura operacional, pessoas, iniciativas de P&D e instrumentos táticos de vigilância, monitoramento e resposta.

Não que as ações e investimentos nesse âmbito só tenham começado a existir a partir dos fóruns de preparação, iniciados em 2008, e que reuniram o governo, universidade, forças armadas e indústria para organizar a segurança dos eventos, incluindo-se aí a Copa das Confederações, Conferência Rio +20, Jornada da Juventude, Copa de 2014 e a Olimpíada 2016 que se aproxima.

Desde a década de 90, o Ministério da Defesa dispõe de orçamento médio anual de 1,5% PIB, no qual o gasto com segurança cibernética é contemplado, indiretamente, em projetos de maior abrangência, notadamente nas esferas das telecomunicações, aeroespacial e das estruturas de TI do estado como um todo.

Mas foi com a instituição, em 2010, do Centro de Defesa Cibernética, o CDCiber, concebido naqueles fóruns de preparação, que o Brasil passou a contar com um órgão centralizador de coordenação e integração com resultados práticos já tangíveis.

Inaugurado em 2012, o CDCiber dotou o País de um catalisador com estrutura, recursos e competências que lidera ou executa diretamente 10 projetos estratégicos de boa consistência, entre os quais estão a Rede Nacional de Segurança da Informação e Criptografia (RENASIC), o sistema de comunicação por tecnologia SDN do exército (ou o Rádio Definido por Software), além de outras iniciativas impactantes, como a instituição da Escola Nacional de Segurança Cibernética (ENaDCiber).

O CDCiber teve o mérito de conferir  objetividade para a questão do risco cibernético em nível de segurança nacional e, mais que isto, efetivou uma articulação de esforços envolvendo a esfera militar com a sociedade.

Outro ganho notável do Centro, talvez um dos mais importantes, foi o de ter introduzido no País uma rubrica orçamentária específica para a defesa cibernética, a exemplo do que começa a acontecer hoje na maioria dos países desenvolvidos, sendo o maior exemplo o dos EUA, onde o presidente Obama pleiteia a alocação de US$ 19 bilhões para o nicho no próximo orçamento.

Logo que lançado em 2010, o CDCiber conquistou a expressiva liberação de R$ 400 milhões para o período de um quadriênio, o qual só se iniciou, na verdade, a partir de sua inauguração oficial,  em 2012.

De lá até o fim de 2015, o Centro executou gastos de R$ 190 milhões, abrangendo sua própria organização, o desenvolvimento do arcabouço documental do setor cibernético brasileiro e atividades operacionais de alta criticidade, como a defesa cibernética durante a Copa.

Para o exercício de 2016, o orçamento do Mindef prevê dotação de R$ 36 milhões para a defesa cibernética, valor que se demonstra compatível com a previsão orçamentária de R$ 840 milhões direcionados ao CDCiber até 2035, se considerarmos a média anual resultante de R$ 42 milhões e ponderando-se os efeitos do atual (e oxalá, passageiro) garrote orçamentário.

É preciso ir além do CDCiber

Em síntese, o Brasil ganhou – e muito – em termos de visão estratégica, coordenação e posicionamento da questão cibernética em seu patamar de relevância, a ponto de poder contar agora com a existência de recursos estatais “carimbados”.

Deixamos para um segundo momento a discussão sobre a adequação ou não da magnitude desses recursos, até porque interessa muito mais no momento a definição de políticas claras para o setor, o que entendemos como precondição de seu desenvolvimento econômico.

A restrição que se pode fazer ao Centro de Controle Cibernético (ou melhor, não exatamente ao CDCiber e ao que ele representa, mas à estratégia cibernética de defesa) está no caráter eminentemente militarizado de seus atuais alicerces.

É bem verdade que o CDCiber já coordena projetos com as universidades, como é o caso do convênio  com a UnB (Universidade de Brasília) na operação da  ENaDCiber, além de manter articulação com empresas do governo, como é o caso do SERPRO, e com desenvolvedores privados de tecnologia cibernética. Mas sua visão estratégica está totalmente focada para o universo da defesa nacional e para o controle de riscos e ações na perspectiva da guerra cibernética.

Falta ao Brasil uma instância congênere ao CDCiber que possa assimilar a sua experiência de coordenação e sua bagagem de conhecimentos para se colocar como o catalisador da segurança cibernética em níveis de infraestrutura e operações civis.

Este novo órgão poderia encapsular a parte cibernética inerente a uma miríade de programas como o Projeto Proteger (também tocado pelo Exército), que prevê recursos de R$ 19 bilhões em 10 anos para a segurança das concessionárias de serviços públicos. Poderia também coordenar projetos hoje sob o guarda-chuva de outros instrumentos de fomento e direcionamento de P&D do estado, sem necessariamente excluí-los.

É o caso de projetos da FINEP com claros vasos comunicantes com a área cibernética. O programa “Inova Empresa”, por exemplo, aporta financiamento para a evolução das redes utilities (“smart grid”) das elétricas e resvala, naturalmente, na segurança cibernética, mas não distingue de forma clara os recursos e as iniciativas a ela pertinentes.

Há também o “Inova Telecom”, que prevê a dotação de cerca de R$ 1 bilhão para o aprimoramento da estrutura de comunicações estratégicas e que apresenta ligação com os recursos do Funttel (Fundo para o Desenvolvimento Tecnológico das Telecomunicações), compreendendo incentivos para a prevenção, detecção, resposta a incidentes e gestão de crise cibernética.

Este nível específico de coordenação aqui proposto é vital para a segurança cibernética brasileira e para a evolução da nossa capacidade industrial e independência tecnológica. Ele poderá contar com parte da estrutura ou base de conhecimento do próprio CDCiber e integrar novos setores representativos da academia e da indústria. 

Sua constituição e funcionamento dependem, porém, de ações concretas na esfera político-econômica, que envolvem  um direcionamento “nacional” do poder de compra do governo. Existem hoje programas  louváveis, como o que abrange a certificação CERTICS, para  atestar a nacionalidade da tecnologia em TI, afetando diretamente o setor cibernético. Há também o selo EED (Empresa Estratégica de Defesa) que, em tese, favorece o agregado tecnológico genuinamente nacional nas compras de insumos militares. Mas não se pode afirmar que tais programas realmente estabeleçam prática formal e sistemática na hora da definição de fornecedores e produtos para o setor estatal brasileiro.

Aliás, para uma política mais eficiente de financiamento do setor seria recomendável a criação de dispositivos indutores para a aquisição de tecnologia nacional, inclusive pelas empresas do setor privado (via incentivo, cotas ou instrumento semelhante).

Outra precondição para nosso avanço cibernético está em enfrentar urgentemente a questão da escassez de massa crítica. Não falamos aqui exatamente de “grandes talentos” ou “mentes inovadoras”, mas de recursos intelectuais preparados para as necessidades práticas da indústria.

Cabe ressaltar que, além da ENaDCiber, esta iniciativa ambiciosa, mas factível e já em operação, existe no âmbito do MEC volume considerável de recursos para o ensino profissional e universitário que poderia ser objeto do poder de influência do novo órgão que aqui proponho.

Mas de nada adiantará formarmos pessoal preparado se o ecossistema não fechar. Ou seja, se não houver um nível de pujança industrial capaz de reter esses profissionais e impedir a perda do nosso investimento em treinamento ou educação especializada.

Enfim, se a experiência do CDCiber já pode nos ensinar algo é que o grande sucesso da sua iniciativa deve nos servir de incentivo para avançar para além da tutela das forças armadas.

O fim da privacidade e os desastres pós-modernos

É preciso encontrar novos meios de preservação da intimidade individual e do sigilo de dados na sociedade superconectada

Ao final dos anos 80, o teórico “pós-moderno” Paul Virilo assinalou que toda invenção tecnológica acarreta o surgimento de uma nova forma de desastre.  Com o advento do balão de passageiros, vieram as tragédias aéreas; o aquecimento a gás propiciou o surgimento da asfixia doméstica; o atropelamento começou com as carroças.

No universo da cultura digital, a radicalidade dos sinistros decorrentes de novas tecnologias atinge patamares insanos. E aí não falamos só de efeitos desastrosos pontuais, como o vírus que embaralha textos no computador ou o banditismo cibernético. O maior e mais profundo dos desastres da era cibernética é, na opinião de muitos, a destruição da privacidade. Uma tragédia que prejudica os indivíduos e oferece perigo a empresas e governos.

Hoje, bilhões de pessoas estão expostas pela hiperconexão e pelo compartilhamento da existência social em aplicações de relacionamento. Aplicações que, obviamente, embutem algum modelo de negócio baseado exatamente na inferência sobre dados (ou cacos de dados) que estas pessoas lançam ao navegar na rede.

Exemplos deste novo desastre não faltam no dia a dia. O cartão de fidelidade que usamos no supermercado permite ao comerciante saber que todo dia 10 o cliente X adquire uma garrafa de uísque Y. Juntando este dado a outros, é possível deduzir que quem compra esta marca de uísque pode também adquirir um apartamento de praia.

Em seu livro “O Poder do Hábito”, o jornalista norte-americano Charles Duhig relata o episódio em que o pai de uma adolescente procurou a empresa megavarejista “Target” para reclamar que seu departamento de marketing direto estava enviando conteúdos impróprios para sua filha menor de idade. Mensagens ligadas à maternidade e ofertas de produtos para bebês.

O gerente da loja se apressou a procurar o tal pai para contornar a queixa. Precisaria, para tanto, explicar que um sistema robótico de algoritmos, ligado ao big data da empresa, cruzava milhares de indícios desconexos e signos não estruturados para inferir o nível de propensão à gravidez de mulheres no mundo virtual.

O gerente iria contar ao pai que este modelo de big data já havia provado, na Target, um índice de assertividade beirando os 90%. As massas de informação disforme acionadas pelo tal “analytics”, iria argumentar o rapaz da loja, incluíam desde os ingênuos “likes” que a filha daquele senhor havia distribuído nas redes sociais, até seus mapas de navegação, suas preferências de compra, suas perguntas ao Google.

Mas ao ser procurado pelo gerente, o Pai, já bem mais resignado, em vez de ouvir as desculpas da Target foi logo, ele mesmo, se desculpando. É que, após ter reclamado à empresa, acabara de descobrir que a jovem filha de fato estava... grávida!

Muito mais radical que o “Grande Irmão”, profetizado pelo clássico de George Orwell de 1948, o fenômeno deste novo monstro que a tecnologia chama de “grandes dados”, tem a capacidade até de projetar, para cada um de nós, um novo tipo de futuro potencial.

Um futuro artificial, estatisticamente provável, e expresso através das inferências dos novos sistemas analíticos capazes de definir nossas “propensões futuras” e passar a direcionar o nosso enquadramento a elas.

Por outro lado, ninguém irá abrir mão da nova sociedade e seria ridículo esperar um retrocesso em função de antigos valores, com a individualidade “sagrada”. Mas reconhecer a fatalidade do fim da privacidade – tal como a conhecíamos até muito recentemente - não significa nos resignar a sermos vigiados e monitorados à nossa revelia e sem qualquer resistência possível.

Perdemos a velha e boa privacidade da sociedade analógica, das grandes multidões de pessoas anônimas, e agora precisamos inventar outra forma de privacidade, compatível com o novo modelo de tecnologia ubíqua e pervasiva e em que todos estão submersos.

Por mais difícil que seja conseguir alguma vida exclusivamente pessoal na rede, devemos rejeitar a ideia de um mundo sem direito à intimidade, assim como o setor aéreo rejeita abrir mão de uma remota possibilidade de sobrevivência diante dos seus mais terríveis desastres.

A cada voo comercial, em qualquer ponto do no planeta, a horda de passageiros é submetida a uma aula, sempre repetida e monótona, sobre como usar as máscaras de despressurização e os assentos que flutuam, em caso de mergulho da aeronave nas águas revoltas do oceano. O acidente é para lá de fatal e a solução ofertada é fraquíssima. Mas acima de tudo está o conceito, a ideia de uma contingência indispensável e lastreada na crença de que sempre haverá uma esperança se estivermos devidamente prevenidos.

O caso da privacidade cibernética e da integridade dos dados exige da indústria de TI um paradigma de perseverança semelhante. É desafio do setor de segurança da informação não apenas criar as criptografias (os algoritmos de barreira que, teoricamente, devem evitar a queda livre do “avião da privacidade” pelo simples fato de ele estar suspenso no ar). Precisamos também fomentar condutas que tenham a intimidade e o sigilo como premissas vitais, e que sejam repetitivas e reproduzidas por todos.

Fomentar condutas, quer dizer, fazer que nossos sistemas “impeçam” o usuário de espalhar seus dados (ou os dados empresariais que eles acessam) de forma indiscriminada e ingênua.  Induzi-lo, através de requerimentos de software, ao comportamento digital responsável.

E ao lado dessa tecnologia impositiva, é nosso papel projetar estratégias abrangentes para todo o ciclo da segurança. O que inclui indicar às empresas que o funcionário deve assinar termos de adesão se comprometendo a algo equivalente a “atar cintos” e a “não fumar” quando navegando na rede da companhia. 

Resulta de tudo isto que combater na luta pela privacidade exige, em alguma medida, o ato paradoxal de se monitorar os hábitos de navegação das pessoas e disciplinar o modo como os indivíduos (e aqui falamos mais especialmente dos internautas empresariais) se relacionam com as redes.

Conscientizar funcionários de que seus passos são acompanhados por um sistema lícito de controle que quase tudo vê é, por incrível que pareça, uma medida essencial para se mitigar a exposição involuntária de informações pessoais que possam ser empregadas contra a intimidade destas próprias pessoas ou contra o sigilo e integridade dos dados corporativos.