Início » Legislação » Todos os principais protocolos de segurança na internet foram quebrados pela NSA

Todos os principais protocolos de segurança na internet foram quebrados pela NSA

Você estava pensando que o HTTPS com TLS/SSL era seguro? Pense novamente

Avatar Por

As barreiras de proteção das informações possuem uma série de siglas. SSL, HTTPS, VPN, SSH… Todos estes protocolos foram quebrados pela Agência Nacional de Segurança dos Estados Unidos (NSA) e pela agência britânica para o mesmo fim (GCHQ). Segundo uma reportagem publicada na última quinta-feira (05/set) pelo New York Times, o Guardian e a agência jornalística ProPublica, não há uma forma de criptografia atual que não tenha sido quebrada pela NSA com o objetivo de espionar as comunicações pela internet.

O NY Times explica que a agência conseguiu burlar ou quebrar grande parte dos métodos de encriptação utilizados atualmente na rede, incluindo aí sistemas utilizados pelo comércio, indústria e setor financeiro. Aqueles dados que todo mundo espera que estejam resguardados também estariam suscetíveis ao acesso dos agentes: emails, históricos de pesquisa, chamadas por VoIP, bate-papos em texto por aplicativos de IM e documentos salvos na nuvem.

Edward Snowden, delator da espionagem. Esse cara tá ferrado

Edward Snowden, delator da espionagem do governo americano

A NSA investiu "bilhões de dólares" desde o ano 2000 para iniciar uma campanha clandestina, depois de ter perdido uma batalha judicial para instalar uma porta dos fundos (backdoor) em todas as formas de criptografia. Se não foi possível fazer com o auxílio da lei, os agentes da agência recorreram à engenharia reversa e ao velho método do stealth (a invasão silenciosa) para obter todas as informações de que precisavam – e aquelas de que não precisavam também.

Eles usaram supercomputadores para quebrar os mais importantes métodos de criptografia. Também tiveram o auxílio de empresas de tecnologia que voluntariamente entregaram informações ou foram forçadas a isso por ordens judiciais. As principais companhia envolvidas no escândalo são Google (veja resposta do buscador abaixo), Microsoft, Facebook e Yahoo. Se você utiliza algum serviço dessas empresas – e é certo que você usa! –, é bem provável que a NSA tenha acesso às informações. Um documento da agência britânica destaca que foram desenvolvidas, no ano passado, "novas oportunidades de acesso" aos sistemas do Google.

O diretor de inteligência nacional, James R. Clapper Jr., escreveu em um documento recente que a NSA continua investindo pesado na obtenção de informações sigilosas dessa maneira: "Nós estamos investindo em habilidades criptanalíticas devastadoras para derrotar a criptografia de adversários e explorar o tráfego da internet". Trecho de outra documentação, datada de 2007, já previa que no futuro a agência teria que desenvolver (ou enfrentar) superpoderes no campo da computação. O assunto é tratado como vital num mundo em que os Estados Unidos competem com as agências de inteligência da China, da Rússia e de outras potências. "Este é o preço [a ser pago] para que os Estados Unidos mantenham o acesso e uso irrestritos do ciberespeaço."

Quais protocolos em jogo?

HTTPS? Pfffffff

HTTPS? Pfffffff

A imprensa internacional produziu um gráfico com a listagem dos protocolos e barreiras de segurança quebrados pela NSA:

  • VPN: a redes virtuais privadas são muito usadas por empresas para proteger o tráfego de informações sobre negócios.
  • Chat com criptografia: utilizado pelo Adium (que funciona com diversos serviços de bate-papo) e com o Aim mantido pela Aol.
  • SSH: usado em máquinas rodando OS X ou Linux (em resumo, sistemas baseados em Unix; inclua na lista a maior parte dos servidores no mundo) para ganhar acesso remoto ao computador.
  • HTTPS: padrão global de transferência de dados com segurança. Ele é adotado pelos principais serviços que lidam com informações particulares, como Gmail, Facebook, Yahoo e até mesmo a página inicial do Google (quando o usuário está logado). O HTTPS depende de uma certificação especial para funcionar.
  • TLS/SSL: o HTTPS é baseado neste protocolo.
  • VoIP: o New York Times e jornais parceiros não entram em detalhes sobre como é feita a criptografia reversa, mas afirma que as conversas no Skype (Microsoft) e no FaceTime (Apple) são facilmente interceptadas.

Como você pode perceber, nada se salva. Os internautas estão na mão das agências de inteligência e empresas terceirizadas que prestam o serviço para governos dos Estados Unidos e do Reino Unido.

Bullrun

As reportagens publicadas ontem se baseiam em documentos repassados por Edward Snowden, o ex-analista contratado pela NSA que permanece refugiado na Rússia, sem comentar publicamente o assunto. Segundo tais documentos, existe um programa chamado Bullrun com o simples desejo de convencer as empresas de tecnologia a instalarem backdoors nos produtos de segurança para permitir o acesso posterior aos dados. O mesmo Bullrun seria responsável por pressionar para que as chaves para abrir a criptografia fossem entregues à comunidade de inteligência dos Estados Unidos.

Especialistas disseram que, enquanto a NSA procedia com as invasões a força para quebrar criptografia, também abria as portas para pessoas maliciosas que poderão utilizar essas possibilidade para tornar a internet menos segura. O principal nome da União Americana de Liberdades Civis para assuntos envolvendo tecnologia, Christopher Soghoian, disse à Wired que estamos mais expostos a ataques de hacker criminosos, espionagem estrangeira, e vigilância sem embasamento em leis. Ele afirmou também que as táticas da NSA vão diminuir não apenas a reputação dos Estados Unidos "como um campeão de liberdades civis e privacidade", como também a competitividade de suas maiores empresas.

Key Provisioning Service

O nome complicado acima indica uma base de dados interna mantida pelos agentes para acessar as chaves de criptografia para produtos comerciais específicos (?) que permitem decodificar as comunicações automaticamente. De acordo com a Wired, eles podem enviar uma solicitação ao Serviço de Recuperação de Chaves (Key Recovery Service) para que seja incluída uma chave que ainda não esteja no banco de dados.

Google, Microsoft e Facebook

Pelo menos três colossos do mundo da tecnologia vieram a público dizer que aguardam uma autorização especial para revelar outros detalhes de como funciona o acesso a seus sistemas. A Microsoft, em especial, fez uma cobrança na semana passada, por meio do departamento de relações institucionais, afirmando que os limites impostos sobre aquilo que eles podem dizer no momento são muito amplos, deixando dúvidas nos internautas.

O provedor de email Lavabit, que era utilizado por Snowden para o envio de mensagens com criptografia, fechou as portas no mês passado, após uma possível ameaça dos governo estadunidense. O proprietário do serviço disse que não tem autorização legal para comentar os detalhes específicos do encerramento do serviço.

Nesta sexta, o presidente do Google no Brasil, Fábio Coelho, disse categoricamente que a empresa não participa da espionagem: "O Google não participa disso. Nosso ativo principal é a confiança."

Enquanto isso, no Brasil

A imprensa nacional trouxe mais informações sobre a ira da presidente Dilma Rousseff ao descobrir que as próprias comunicações passavam pelas bisbilhotices de agentes internacionais. Dilma viajou à Rússia para o encontro das 20 maiores economias do mundo (G20). Na última quinta-feira, o presidente em exercício Michel Temer disse que Barack Obama se encontraria com ela para explicar melhor os procedimentos adotados pela NSA para o monitoramento das informações de governos e diplomacias de outros países.

Nesta sexta, a presidente disse em uma coletiva na Rússia que o presidente Barack Obama prestará esclarecimentos a respeito da espionagem até a próxima quarta-feira (11/set).

Comentários

Envie uma pergunta

Os mais notáveis

Comentários com a maior pontuação

Samuel Nascimento Siguinolfi
Acabei de receber um e-mail da NSA falando que eu já posso jogar meu chiclete fora. Malditos americanos ¬¬
sousaesilva.rafael
Agora vocês já sabem a resposta daquela pergunta:
"- Nossa, um novo supercomputador ocupando o topo da lista do mais rápidos do mundo! Mas pra que isso tudo gente?!"
- Pra isso!
Vagner Alexandre Abreu
Pior é estar na mão de alguém que faria todos os dados do mundo de refém. Se os Estados Unidos fizer isso, ainda há chance de botar o país na parede (e os próprios cidadãos de lá fariam o mesmo).

Se um cracker ou outro tipo de criminoso usar a mesma tática, aí estamos fritos...
Vagner Alexandre Abreu
Associações comerciais relacionam informações baseadas justamente nos mesmos dados que você, eu ou qualquer outro forneceu na hora de alguma compra.
Vagner Alexandre Abreu
Meu medo não é nem dos Estados Unidos... meu medo pior é de tecnologias assim estarem nas mãos de crackers. E o pior: se o NSA tem isso, não duvido que crackers tenham.
Uildes Nogueira
então o Obama poderia gerar (adulterar) Milhoes de Bitcoins ???
Cleiton Maia
Alô, Obama!? Tá escutando ai?
César Oliveira
Independente do que acontecer continuaremos sendo monitorados, todos os sistemas de comunicações estão interligados, e continuarão quebrando protocolos e novos sistemas de segurança. É assim que o Tio Sam acha que vai continuar mantendo a sua segurança.
Arch
Eles fizeram um ataque na rede Tor, mas só caiu quem estava como JavaScript habilitado (burrice), usando Windows e com o Tor Browser desatualizado.
Alan Furtado
Eiti Yamasaki e o golpe de 64 (didatura militar)? quem teve participação? não teve diferença pra vc?
Willian Nobuo
Os EUA já estão precisando de um novo 11/set msm. Pegou aí Obama?
Reinaldo Lima
Com certeza é isso mesmo, nunca nada vem de graça.
_fabio_S
Na prática, a internet já tinha chegado ao fim... Só ficamos sabendo agora!
Marcelo Costa
e mesmo com tudo isso, não fizeram nada para evitar, por exemplo, os ataques durante a Maratona de Boston.
Onesio Lucena Neto
Se nós, meros mortais, temos internet cheia de recursos, serviços gratuitos, hospedagem em nuvens, redes sociais, conexões cada vez mais rápidas etc etc, imaginem qual tecnologia tem as centrais de inteligência americana e do Reino Unido.

Um enorme cavalo de troia é a internet para o usuário comum.

A base que mantém a internet funcionando a todo vapor é a nossa ignorância, usuários medianos, que não temos acesso ao que está por trás dos códigos e nem fazemos ideia quais os propósitos de existir uma empresa que ganha bilhões divulgando conteúdo que nós publicamos GRATUITAMENTE.

Talvez o sucesso das empresas da internet esteja relacionado ao poder que elas têm de coletar informações que podem ir parar nas mãos de governos inescrupulosos.

De nosso lado, não sabemos lidar com informações de nenhuma espécie, muito menos as sigilosas. Somos gado no grande curral da web.
Denis Rodrigues
Ao ter acesso nos sistema das associações comerciais aqui no Brasil (basta pagar uma taxa por mês), é possível ter acesso à milhares de informações das pessoas (Nome completo, CPF, Endereço, cobranças, informações sobre compras, telefones, pessoas relacionadas) - e essas pessoas não pediram para estar lá.

Em compensação na Internet, você escolheu estar aqui, você escolheu compartilhar as informações com os serviços, e o mais importante, se não te cobram por algo, é porque o produto é você.
LBKatan
MEU P.. ah não.. deixa pra lá..
Marcoscs
sim.
http://www.baboo.com.br/seguranca/fbi-teria-usado-malware-para-invadir-rede-anonima-tor/
rafael
kkkkk, tem razão....infelizmente...
Marcoscs
carnaval, futebol e cachaça.
se bem que o futebol deles tem mais público e gera mais dinheiro que o nosso......
Gustavo Nogueira de Oliveira
E a rede TOR, eles quebram também?
Eiti Yamasaki
Por outro lado, sempre estivemos e nunca fez diferença (a velha santa ignorância)... Queria ver se estivesse nas mãos de chineses, russos etc!
Noedson Ney Alves Santos
Melhor ainda que a sugestão abaixo é não se importar com nada. dizer tudo que se pensa mesmo, principalmente contra estes poderosos.
rafael
Alguém fala pra min por favor, uma área que os EUA não domina ?
Alex Ribeiro
Estamos todos nas mãos dos EUA, ou seja estamos bem ruins.
gicapp
A questão do https demanda o conhecimento da chave privada. Problemas:

1- Eles (sites/serviços em questão) podem ter entregue as chaves à N/*$*/ A.
2- As autoridades certificadoras podem estar comprometidas (provavelmente estão).
3- Poder computacional atual pode permitir a quebra das chaves (levando em conta que o SSH / VPN supostamente foram quebrados).

Resta saber se a VPN inclui OpenVPN, que, teoricamente, era o mais seguro...
Marcus Pessoa
Isso é, na prática, o fim da internet tal como a conhecemos.
Caciano Gabriel
O jeito é começar a se comunicar usando comentários públicos em fórums sobre pássaros da Alemanha...