Não se preocupe com o espião

*** Nesse post reproduzo artigo de minha autoria publicado na TI Inside. ***

Click here to see the article in English

Espionagem é hoje o assunto do momento e muita gente deve estar se perguntando: "O que fazer para barrar um espião?" Antes convido o leitor a conhecer um caso, publicado recentemente por vários jornais brasileiros, sobre um fotógrafo americano que obteve o direito de tirar fotos de quem ele quiser, fazendo com que aos vizinhos dele só reste a opção de fechar as cortinas das janelas. Da mesma forma que os vizinhos do fotógrafo, que se sentem lesados, tentar deter o espião é o maior erro que uma empresa pode cometer, e remete a uma regra de ouro da segurança de TI: Você não pode mitigar o que não controla. Assim como os moradores do prédio vizinho ao do fotógrafo em Nova York, nós não temos como impedir que alguém nos espione. Temos, na verdade, que esperar o oposto. Pessoas, empresas e governos fazem isso há séculos e não há razão para que parem. A nós só resta fechar as cortinas, o que pode parecer inconveniente, mas infelizmente segurança não combina com conveniência, e há algumas escolhas a fazer.

A boa notícia é que as cortinas estão disponíveis para todos e a maioria delas é trivial. Inclusive, boa parte das soluções de segurança necessárias já estão instaladas em nossas empresas. O principal recurso de proteção de dados ainda é a criptografia. Tudo que é confidencial deve ser criptografado, tanto no armazenamento como na comunicação. Um problema em especial são os dados armazenados em dispositivos de funcionários, muitas vezes fora do radar da empresa. Laptops devem ser criptografados sempre.

Até mesmo a criptografia de celulares e telefonemas, antes restrita a governos, já está disponível a empresas. Mas a sua reputação foi afetada pela notícia de que a Agência de Segurança dos EUA (NSA) é capaz de abrir mensagens cifradas. É sabido que chaves consideradas fracas podem ser quebradas facilmente, mas o mesmo não se aplica a criptografia de última geração. Desvendar chaves consideradas mais seguras pode custar milhões de dólares em tempo de processamento, sem falar em hardware. A grande revelação é que a agência americana obteve chaves criptográficas e plantou vulnerabilidades que permitem aos agentes da NSA ler as mensagens diretamente. Apesar do governo americano aparentemente possuir todo esse poder, o mesmo não se aplica a outros.

Dados também podem ser comprometidos via a invasão de redes e servidores, e aqui entram os já conhecidos sistemas de firewall, prevenção de intrusos, análise de conteúdo, etc. Há muita discussão hoje em dia sobre a necessidade de substituir produtos instalados por outros de "próxima geração". Em geral, isso não é necessário — a não ser que o produto atualmente instalado esteja, realmente, obsoleto ou a empresa precise de alguma camada nova, como monitoramento de redes sociais, não disponível no dispositivo já usado. O grande problema dos sistemas de proteção de redes, servidores e aplicações não é o produto ou tecnologia instalados, mas, sim, a sua configuração e gerenciamento. Muitas empresas gerenciam mal seus produtos, por isso, eles são ineficientes. Mudá-los não resolveria muita coisa. Inclusive uma pesquisa publicada pela Verizon, realizada em 27 países, identificou que 78% dos ataques iniciais eram de baixa dificuldade, portanto detectáveis por sistemas já em uso. Para essas empresas vale mais a pena investir em gerenciamento que em novas tecnologias.

Mas há outro problema muito comum, além do gerenciamento falho: o ser humano. É um clichê dizer que o ser humano é o elo mais fraco da corrente, mas é a pura verdade. Afinal, quais foram as causas dos vazamentos do wikileaks e da NSA? Seres humanos. Não usuários comuns, mas funcionários com acesso aos dados. Para usuários comuns normalmente programas de conscientização resolvem, mas para os últimos é necessário um processo especial de vigilância e monitoramento, especificamente o de acesso e mudanças. Sim, o espião pode estar em casa e possuir senha de administrador.

Espionagem e a NSA

Há muitos artigos e discussão na rede sobre a NSA e a espionagem que a agência vem executando. Para quem deseja entender melhor o tema eu recomendo o blog de Bruce Schneier. Além de ser um dos maiores especialistas mundiais em segurança e criptografia, ele teve acesso aos documentos de Edward Snowden. Ou seja, ele sabe do que está falando. Em especial recomendo esse post:
https://www.schneier.com/blog/archives/2013/09/how_to_remain_s.html

Espionagem

A espionagem deve existir desde que o mundo é mundo e as tribos antigas começaram a brigar entre si, e, claro, não poderia deixar de usar novos meios para chegar aos seus objetivos. Um exemplo é um caso ocorrido em 2008 com os quadros digitais da marca Insignia, fabricados sob encomenda e vendidos nos Estados Unidos pela Best Buy, velha conhecida dos turistas brasileiros. Naquele ano um lote de quadros foi infectado durante o processo de fabricação, com o malware sendo implantado nos chips do aparelho e mirando senhas de jogos em computadores Windows. Pode não ser um caso isolado, tanto que o site Rationally Paranoid possui uma lista de produtos comerciais infectados em sua página ( http://rationallyparanoid.com/articles/malware-in-commercial-products-list.html ). Não verifiquei toda a lista mas alguns casos são reais e reconhecidos pelos fabricantes. 

Pois nações como o Estados Unidos estão com receio de que malwares voltados à espionagem sejam implantados também nos equipamentos de telecomunicações usados pelas empresas privadas do país. Um programa de controle bastante estrito já existe para os chips usados pelos sistemas militares que controlam as armas, e agora as autoridades parecem estar preocupadas com possíveis ações nas redes comerciais. Esse foi o teor de uma pesquisa que o Departamento de Comércio está realizando entre as empresas de telecomunicações americanas, para levantamento de hardware e software fabricado no exterior e em uso nas redes dessas empresas.  A principal inquietação parece ser a China mas inclui também funcionários de indústrias eletrônicas.   A China por eventuais ações patrocinadas pelo governo do país para interceptar dados confidenciais e os funcionários por ações individuais para infiltrar malware para ataques de negação de serviço ou roubo de dados, como aliás já foi feito, por má-fé ou acidente, nos casos relatados acima. De acordo com os sites de notícias há uma baita polêmica ao redor dessa ação, mas a preocupação é séria o suficiente para o governo americano ameaçar as empresas que não colaborarem com uma lei da época da guerra fria, da década de 50, que trataria a recusa em responder ao questionário como crime.

A infecção de componentes de hardware por malware não é algo novo, e há programas e métodos já conhecidos para implantar código malicioso diretamente na BIOS além do caso da vulnerabilidade no chip que controla a bateria dos MacBooks da Apple. A HP também divulgou recentemente uma vulnerabilidade, até onde sei não explorada, em sua impressora HP Laserjet. Mas a possibilidade da instalação de malware diretamente na fábrica é algo diferente e bem mais ameaçador.  O principal problema é a falta de controle dos clientes finais sobre o hardware que estão adquirindo. Computadores e dispositivos diversos de informática são hoje fabricados literalmente ao redor do mundo, com componentes vindo dos lugares mais diversos, independente da marca ser de uma companhia americana, europeia ou chinesa. Assim, ao adquirir um equipamento, seja um roteador de rede ou servidor, a empresa estará adquirindo um conjunto desconhecido de componentes, de origem também desconhecida. Os analistas de segurança dessa empresa irão pesquisar sobre vulnerabilidades no Windows da Microsoft ou no IOS da Cisco, mas nunca no flash disco que acompanha o equipamento. Aliás um controle de tal magnitude seria algo impensável e impossível. É do fabricante do equipamento acabado a responsabilidade dos componentes integrados, mas é justamente nesse quesito que reside as dúvidas dos americanos. E se o fabricante não tiver tal controle? E se o próprio fabricante estiver sendo usado pelo governo de seu país para espionar? No final uma eventual ação mal intencionada seria somente detectada durante ou após a execução de alguma função não esperada ou suspeita. Em se tratando de segredos comerciais ou nacionais, tarde demais.