Espionagem

A espionagem deve existir desde que o mundo é mundo e as tribos antigas começaram a brigar entre si, e, claro, não poderia deixar de usar novos meios para chegar aos seus objetivos. Um exemplo é um caso ocorrido em 2008 com os quadros digitais da marca Insignia, fabricados sob encomenda e vendidos nos Estados Unidos pela Best Buy, velha conhecida dos turistas brasileiros. Naquele ano um lote de quadros foi infectado durante o processo de fabricação, com o malware sendo implantado nos chips do aparelho e mirando senhas de jogos em computadores Windows. Pode não ser um caso isolado, tanto que o site Rationally Paranoid possui uma lista de produtos comerciais infectados em sua página ( http://rationallyparanoid.com/articles/malware-in-commercial-products-list.html ). Não verifiquei toda a lista mas alguns casos são reais e reconhecidos pelos fabricantes. 

Pois nações como o Estados Unidos estão com receio de que malwares voltados à espionagem sejam implantados também nos equipamentos de telecomunicações usados pelas empresas privadas do país. Um programa de controle bastante estrito já existe para os chips usados pelos sistemas militares que controlam as armas, e agora as autoridades parecem estar preocupadas com possíveis ações nas redes comerciais. Esse foi o teor de uma pesquisa que o Departamento de Comércio está realizando entre as empresas de telecomunicações americanas, para levantamento de hardware e software fabricado no exterior e em uso nas redes dessas empresas.  A principal inquietação parece ser a China mas inclui também funcionários de indústrias eletrônicas.   A China por eventuais ações patrocinadas pelo governo do país para interceptar dados confidenciais e os funcionários por ações individuais para infiltrar malware para ataques de negação de serviço ou roubo de dados, como aliás já foi feito, por má-fé ou acidente, nos casos relatados acima. De acordo com os sites de notícias há uma baita polêmica ao redor dessa ação, mas a preocupação é séria o suficiente para o governo americano ameaçar as empresas que não colaborarem com uma lei da época da guerra fria, da década de 50, que trataria a recusa em responder ao questionário como crime.

A infecção de componentes de hardware por malware não é algo novo, e há programas e métodos já conhecidos para implantar código malicioso diretamente na BIOS além do caso da vulnerabilidade no chip que controla a bateria dos MacBooks da Apple. A HP também divulgou recentemente uma vulnerabilidade, até onde sei não explorada, em sua impressora HP Laserjet. Mas a possibilidade da instalação de malware diretamente na fábrica é algo diferente e bem mais ameaçador.  O principal problema é a falta de controle dos clientes finais sobre o hardware que estão adquirindo. Computadores e dispositivos diversos de informática são hoje fabricados literalmente ao redor do mundo, com componentes vindo dos lugares mais diversos, independente da marca ser de uma companhia americana, europeia ou chinesa. Assim, ao adquirir um equipamento, seja um roteador de rede ou servidor, a empresa estará adquirindo um conjunto desconhecido de componentes, de origem também desconhecida. Os analistas de segurança dessa empresa irão pesquisar sobre vulnerabilidades no Windows da Microsoft ou no IOS da Cisco, mas nunca no flash disco que acompanha o equipamento. Aliás um controle de tal magnitude seria algo impensável e impossível. É do fabricante do equipamento acabado a responsabilidade dos componentes integrados, mas é justamente nesse quesito que reside as dúvidas dos americanos. E se o fabricante não tiver tal controle? E se o próprio fabricante estiver sendo usado pelo governo de seu país para espionar? No final uma eventual ação mal intencionada seria somente detectada durante ou após a execução de alguma função não esperada ou suspeita. Em se tratando de segredos comerciais ou nacionais, tarde demais.

Centro de Defesa Cibernética

Vale registrar a estruturação no Brasil do Centro de Defesa Cibernética (CDCiber) a cargo do Exército, além da ação continua pelo Gabinete de Segurança Institucional da Presidência da República em aperfeiçoar a segurança da informação do governo em geral. Sendo a guerra cibernética mito ou não, o Brasil precisa estar preparado para lidar com uma agressão vinda de fora ou de dentro do país, sejam ações juvenis como os ataques do meio desse ano ou vindas de grupos profissionais visando a Copa do Mundo ou Olimpíadas. Ver para crer nesse caso seria uma péssima opção. 

Preocupações Militares

Há algumas semanas ouvi um oficial do Exército Brasileiro expor suas preocupações sobre o uso de sistemas de segurança de TI com tecnologia estrangeira pelas Forças Armadas. Confesso que no inicio achei excesso de preocupação, mas depois refleti que a preocupação pode não ser assim tão exagerada. Afinal estamos falando de Defesa, com "D" maiúsculo. E o oficial do nosso Exército não está sozinho. As Forças Armadas dos Estados Unidos estão preocupadas porque apenas 2% dos 3,5 bilhões dos circuitos integrados comprados anualmente para uso em equipamentos militares são americanos (caderno The New York Times da Folha de São Paulo, de 9/11/2009). O receio é que chips estrangeiros tragam embutidos cavalos de troia criados por inimigos.

Considero a resolução desse problema quase impossível. As linhas de produção de hardware e software de quase todas as empresas estão espalhadas pelo mundo, o que trouxe ganhos de escala e barateamento. Para resolver o problema governos teriam que centralizar desenvolvimento e produção no próprio país ou em países aliados, o que não seria nada fácil. Ademais, aliados hoje podem ser inimigos amanhã. Complicado!

Cyberwar

Há muito se fala do uso da Internet como ferramenta de ação política ou militar, no que nos acostumamos a chamar de cyberwar, ciberguerra ou gerra cibernética. Apesar de ainda fazer parte do imaginário e dos temas de filmes de Hollywood, alguns fatos esse ano mostraram que a realidade pode estar mais perto do que parece.

Na semana de 4 de Julho, diversos sites da Coreia do Sul e dos Estados Unidos sofreram ataques denial of service, e culparam a inimiga histórica – Coreia do Norte. Um dos resultados foi o anuncio de uma nova unidade militar na Coreia do Sul especializada em defesa digital. Em 25 de Junho o site do Telegraph do Reino Unido (http://www.telegraph.co.uk) publicou notícia sobre a acusação, por parte de um alto funcionário do governo daquele país, de que a China, Russia e a Al-Qaeda estavam promovendo ataques contra a infraestrutura digital do país, e que o governo britânico estava lançando uma nova estratégia para defesa digital, incluindo ataques terroristas que poderiam ser lançados no futuro. Coincidência ou não, o governo dos Estados Unidos anunciou há algumas semanas um novo plano de defesa contra ataques e uma nova estrutura organizacional, com pesados investimentos e um claro aviso de que pode revidar ataques cibernéticos militarmente, com forças convencionais, para deixar bem claro. De qualquer forma, os países anunciaram que o contra-ataque faz parte da estratégia.

Não considero que chegamos ao ponto, como alguns já falam, de uma nova guerra fria, cibernética e virtual; mas o fato é que os ataques contra a Coreia do Sul e a Estônia em 2007 mostraram que é possível atingir e causar danos sérios a um país via ataques coordenados. Para quem não se lembra do caso da Estonia, em 2007 uma ataque praticamente tirou o pequeno país do ar, incluindo sites governamentais e privados. Houve acusações contra a Russia, porém nada foi provado. Em alguns países totalitários, como China e Irã, já há uma “guerra cibernética” em curso, entre o governo que tenta bloquear o acesso livre à Internet e grupos de dissidentes com suas ferramentas para burlar os sistemas de controle. É uma situação diferente, porém o motivo da censura é político. Uma preocupação dos países ocidentais é impedir que a Internet seja usada para coordenar e sincronizar ações terroristas “físicas”. Porém aqui já entramos em outra discussão: como prevenir o mau uso sem atingir a privacidade.

Mas o que é fantasia e o que é realidade? O que realmente pode ser feito contra um país a partir da Internet? O ataque à Estonia mostrou uma das possibilidades: um ataque denial of service, retirando serviços essenciais do ar. Um ataque DoS bem sucedido pode não comprometer a infraestrutura física de um país, mas certamente causa danos e prejuizos, além do efeito psicológico. Realizar esse ataque não é hoje algo especialmente complicado, dado às redes bot com milhares e milhares de computadores ao redor do mundo. Por outro lado, redes do mundo todo estão mais preparadas para lidar com esse tipo de ameaça. Outro evento possível, e o que mais reclamam países como Estados Unidos e Reino Unido, é o de espionagem. Técnicas existem, assim como farto conhecimento de como explorar vulnerabilidades para invadir redes de computador. É certo que muitos casos de vazamento são simplesmente erros crassos de usuários ou administradores de sistemas, mas enfim essas são vulnerabilidades exploráveis, como qualquer outra. Outros ataques, que derrubariam redes de energia elétrica, telecomunicações ou até aviões ainda continuam no espaço da ficção, e pelo que parece os governos estão tentando fazer com que lá permaneçam.

É notável que os Estados Unidos, onde há bem mais de dez anos diferentes agências governamentais como CIA, FBI e NSA (agência de segurança nacional) atuam ativamente na área de segurança cibernética, ainda esteja procurando a estratégia ideal. Tive a oportunidade de conhecer alguns profissionais que antes de trabalharem no setor privado atuaram em unidades especializadas. Um deles trabalhou no Exército americano e tinha como função investigar ataques à rede da instituição em qualquer lugar do mundo, com o complicador que muitas vezes o patrocinador do ataque era o governo de outro país. É seguro dizer que segredos militares foram muitas vezes roubados.

O Governo Brasileiro felizmente também está se organizando, com o Departamento de Segurança da Informação e Comunicações (DSIC), que faz parte do Gabinete de Segurança Institucional da Presidência da República, o que é bom sinal, já que está subordinado diretamente ao Presidente. Uma estrutura centralizada de coordenação e planejamento é mesmo essencial. De acordo com o site Convergência Digital, do portal Terra, a administração pública federal possui 320 redes informatizadas e, em apenas uma delas, os ataques de hackers chegaram a três milhões em 2008.

Em comparação aos seus similares na América do Norte e na Grã Bretanha, o DSIC possui hoje desafios mais prosaicos, porém não menos complexos: disseminar os conceitos de segurança de informação aos quase um milhão de servidores públicos. Isso não quer dizer que seja menos importante. Vulnerabilidades causados por erro humano são as mais fáceis de explorar e as mais dificeis de prevenir e detectar. Geralmente é tarde demais e o arquivo sigiloso já foi perdido ou vendido. Não adianta investir em hardware e software se os dados continuarem a passear sem controle, ou protegidos por senhas fracas e conhecidas, ou sem senha alguma. Por outro lado o governo brasileiro possui alguns dos melhores e mais bem preparados grupos de resposta a ataques do país, em empresas como o Banco do Brasil, Petrobras e Serpro. Aos poucos esse conhecimento será disseminado para governos estaduais e municipais, além de empresas privadas.

Não precisamos chegar ao ponto do Paquistão, que proclamou em 2008 uma lei que pune com a pena de morte os autores de ciberterrorismo, mas é essencial que a infraestrutura e os serviços digitais, assim como dados sigilosos e importantes para o país estejam protegidos.