FlIsol e Cryptorave: dois eventos fundamentais para quem valoriza a liberdade de expressão e comunicação, a privacidade e o software livre

Vamos falar de dois eventos fundamentais para quem valoriza a liberdade de expressão e comunicação, a privacidade e o software livre.

No sábado, 08 de abril, aconteceu o Festival Latino Americano de Instalação de Software Livre – FLISoL. O FLISoL “é um evento internacional, realizado anualmente, e que ocorre de forma simultânea em diversas cidades da América Latina.

Diversas comunidades organizam e realizam seu festival, de forma voluntária, tendo como principal objetivo promover o uso de software livre, apresentando sua filosofia, alcance, avanços e desenvolvimento ao público em geral. ”.

Tive a honra de participar do evento e palestrar em Fortaleza (CE) . O evento todo foi muito interessante e agradeço aos organizadores, palestrantes e a todos que participaram e contribuíram. Minha palestra teve como tema “Softwares Livres para uma comunicação digital relativamente segura”. Os slides da palestra podem ser encontrados AQUI.

Para saber mais sobre o evento no Ceará, acesse http://flisolce.org/

Já nos dias 05 e 06 de maio deve acontecer em São Paulo (SP) a Cryptorave. “Inspirada no movimento internacional das CryptoParties, a CryptoRave é um esforço coletivo para difundir os conceitos fundamentais de privacidade e liberdade na Internet e o uso de ferramentas de segurança digital.

São 24 horas de conversas, trocas e aprendizagem na área de segurança de comunicação e criptografia.”

No momento, os organizadores da Cryptorave, que tem financiamento coletivo, lutam para atingir a meta financeira necessária para realizar o evento. Portanto, faça como eu e apoie o maior evento aberto e gratuito de criptografia e segurança do mundo! Doações AQUI

Read more »

Bloqueando o WhatsApp, hackeando o Brasil

Artigo também publicado no Blog do Eliomar

A decisão da juíza Daniela B. Assunção, da 2ª Vara Criminal de Duque de Caxias (RJ), que mandou suspender o funcionamento do aplicativo WhatsApp por tempo indeterminado em todo o país no dia 19 de julho, revela não só ignorância sobre o uso da criptografia e outros processos e técnicas utilizadas pelo aplicativo, mas também um completo desrespeito pela liberdade de comunicação e pela privacidade das pessoas.

Com a criptografia existente no aplicativo, ao sair do smartphone a mensagem é embaralhada, ficando ilegível e só se torna inteligível ao chegar ao celular do destinatário.

Segundo a juíza, seria possível desviar a mensagem antes dela ser enviada. A possibilidade que vejo para fazer isto seria invadir cada smartphone individualmente e plantar nos mesmos softwares espiões, o que seguramente violaria a legislação vigente o país, inclusive a Constituição. E mesmo assim talvez não funcionasse.

Possivelmente pensando nisso, desde 2011, vários órgãos do Governo Federal, Forças armadas e de alguns estados tiveram contatos com empresa italiana Hacking Team, conhecida por desenvolver programas espiões e vendê-los a quem pagar melhor, sendo estes programas utilizados inclusive para “monitorar” ativistas políticos, defensores dos direitos humanos, jornalistas etc.

Reportagem da Agência Pública (2015), de quem peguei emprestado parte do título deste artigo, revela que houve demonstrações e reuniões da Hacking Team com o Comando da Aeronáutica, o Departamento de Inteligência da Polícia Civil do Distrito Federal, o Departamento de Polícia Federal, em Brasília, o Centro de Comunicações e Guerra Eletrônica do Exército Brasileiro (CCOMGEX), com as polícias civis do RJ e SP, Ministério Público do RJ e na sede da Abin. Houve contato até com a Procuradoria Geral da República (PGR). Como isso veio a público? Um hacker invadiu os servidores da Hacking Team e divulgou quem eram seus clientes e até como monitorar os computadores, leptops e smartphones que já haviam sido invadidos pela empresa. Imagine o perigo.

Sobre os contatos suspeitos de órgãos públicos com a Hacking Team, não houve investigação ou decisão judicial. Também não houve nenhum protesto similar à gritaria que ocorreu quando foram divulgados alguns áudios obtidos durante a Operação Lava Jato.

Ainda no dia 19, Praticamente uma hora após o início do bloqueio do WhatsApp, hackers do grupo Anonymous tiraram do ar o site do Tribunal de Justiça do Rio de Janeiro, que suspendeu os prazos processuais no primeiro e segundo graus de jurisdição em todo o estado.

Em seguida, arguindo violações às liberdades de expressão e de manifestação, o presidente do Supremo Tribunal Federal, ministro Ricardo Lewandowski, derrubou a decisão da juíza e o WhatsApp voltou a funcionar normalmente.

Não foi a primeira vez que o aplicativo saiu do ar por uma decisão judicial equivocada. Não será a última. Não é cabível penalizar milhões de pessoas somente porque alguns criminosos usam determinado programa. É como fechar os Correios para impedir o envio de uma única carta. E é bom lembrar que existem diversos outros apps de mensagens que usam criptografia, além de haver modos de contornar o bloqueio do WhatsApp pelas operadoras.

Por trás de tudo isso está a luta pelo direito á privacidade nas comunicações versus o desejo do Estado e das corporações (inclusive o Facebook, dono do WhatsApp) de bisbilhotarem o que todos falam, escrevem, pensam. Vivemos a era da vigilância massiva e os que ousam denunciar seu lado mais sórdido, como Edward Snowden e Julian Assange, pagam um preço bastante alto. É deste último a frase “a internet, nossa maior ferramenta de emancipação, está sendo transformada no mais perigoso facilitador do totalitarismo que já vimos”.

Créditos:

Hackeando o Brasil - http://apublica.org/2015/07/hackeando-o-brasil/

Ironias Digitais: A Empresa de Espionagem Hacking Team Foi Invadida por Hackers - https://motherboard.vice.com/pt_br/read/espioes-hackeados
Por bloqueio do WhatsApp, Anonymous derruba Tribunal do RJ - http://www.tecmundo.com.br/whatsapp/107443-bloqueio-whatsapp-anonymous-derruba-tribunal-do-rj.htm

Read more »

Acontece neste sábado o Festival Latino Americano de Instalação de Software Livre (Flisol)

O FLISoL é um evento internacional, realizado anualmente, e que ocorre de forma simultânea em diversas cidades da América Latina. O FLISoL é um evento descentralizado, onde diversas comunidades organizam e realizam seu festival, de forma voluntária, tendo como principal objetivo promover o uso de software livre, apresentando sua filosofia, alcance, avanços e desenvolvimento ao público em geral.



No Ceará, o Festival acontece de forma simultânea e em várias cidades, inclusive Fortaleza. As inscrições são gratuitas e podem ser feitas pelo site http://flisolce.org/, onde você também encontra a programação completa e outras informações sobre o evento.


Em Fortaleza, Participo do painel com o tema "O Futuro do Software Livre".

Serviço: Festival Latino Americano de Instalação de Software Livre (Ceará)

Quando: sábado, dia 17 de abril com início às 7h30



Onde: Faculdade 7 de Setembro (FA7) - Av. Almirante Maximiano da Fonseca, 1395 - Eng. Luciano Cavalcante

Read more »

2.1 Softwares para uma comunicação digital relativamente segura

Recentemente concluí na Universidade Estácio de Sá o  Curso de Pós-Graduação  Comunicação em Mídias Digitais. Meu TCC teve como tema criptografia e anonimato na comunicação digital. Estou publicando o mesmo aqui no blog, dividindo-o em algumas postagens. No final, disponibilizarei o trabalho em um único arquivo em formato PDF. Nesta terceira postagem estou divulgando a continuação do capítulo 2, que tem como título "Softwares para uma comunicação digital relativamente segura". Antes já publiquei uma primeira parte com o resumo, palavras chaves e a introdução e o início do capítulo 2, intitulado "Um panóptico virtual para (quase) todos". Em cada postagem também estou compartilhando  vídeos e imagens que estejam relacionados ao tema.

2.1 Softwares para uma comunicação digital relativamente segura

Vamos então abordar algumas ferramentas (softwares) que permitem uma comunicação relativamente segura (não existe nada 100% seguro na internet) com criptografia e que garantam não só o anonimato, escapando da vigilância geral, mas também que proteja as comunicações de investidas específicas que tenham como alvo um jornalista, sua fonte, ou ambos. A maioria destes softwares trabalha com criptografia assimétrica, que utiliza um par de chaves, uma pública e outra privada na encriptação, decriptação e assinatura de arquivos. Para facilitar ao leitor deste estudo o acesso a downloads e instalação dos programas citados, disponibilizamos ao final deste alguns endereços de sites (conforme Apêndice A).

Tails - A primeira ferramenta que abordaremos é o Sistema Operacional(SO) Tails, que agrupa funcionalidades de diversas outras ferramentas abordadas neste trabalho. Este SO é um software livre, gratuito e de código aberto e foi projetado visando a privacidade e o anonimato, principalmente para navegar na internet. O Tails é um sistema operacional completo e roda a partir de um DVD, pendrive ou cartão de memória. Ele pode ser usado em praticamente qualquer computador e roda independente do SO instalado no mesmo, não usando o espaço do hardware para gravar dados (a não ser que você assim o deseje). O Tails baseia-se em outro SO, o Debian Gnu-Linux e possui ferramentas como navegador web, suíte de escritório, cliente para troca de mensagens instantâneas, editor de imagem, de som, gravador de discos e outros. Ele também possui requisitos de acessibilidade para pessoas com necessidades especiais tais como leitor de tela.

O Tails possui também a capacidade de criptografar uma memória USB ou HD externo, criptografar acessos à internet por navegador web, permite a criptografia de e-mails e chat online seguro. Além disso possibilita apagar de forma segura os arquivos indesejados.

Instalação e uso: o Tails possui uma documentação clara com grande parte já traduzida para o português. O download é feito através de uma imagem ISO com os arquivos do sistema compactados e uma chave criptografada. O processo de download e instalação é todo claramente descrito no site e na documentação. Basicamente se “queima” um DVD com a ISO e a partir daí, pode se instalar em cartão de memória ou USB. Ele também pode ser instalado em uma máquina virtual. Há vantagens e desvantagens em instalar em um cartão de memória/pendrive ou em um DVD, e estas também são claramente mostradas. Após fazer o download e instalar, basta configurar o setup na inicialização do computador a ser usado para dar boot, ou seja, iniciar primariamente por dispositivo USB ou DVD, conforme a forma que você tenha escolhido. Computadores mais antigos talvez tenham dificuldade com a opção USB. É possível que usuários iniciantes sintam uma certa dificuldade para compreender os conceitos por trás do Tails, mas os passos para download e instalação estão disponíveis como uma receita de bolo. A partir do momento que começar a usar, o Tails é bastante interativo e tem até uma opção de interface baseada no Windows, chamada Windows Camouflage.

Navegação anônima – Como vimos, há uma vigilância cerrada sobre usuários da internet e indexação e acúmulo das informações deixadas pelos mesmos. O Tor, que integra o projeto do Tails, é um software livre gratuito para proteger contra a censura e permitindo uma navegação anônima e, portanto, mais segura. Ele consiste em uma rede subjacente à própria internet com túneis onde os roteadores são computadores de usuários comuns. Após a instalação do programa, este mascara o Internet Protocol (IP) da máquina utilizada, mostrando publicamente ao invés do IP original, um dos nós da rede Tor, que tem topologia aleatória. Em termos práticos, digamos que originalmente um usuário que navega com um IP associado ao seu nome e que está no Brasil, aparecerá publicamente com um IP da Suíça ou de outro país e ao qual não está ligado. O Tor está disponível para os SOs mais usados (Linux, Windows e Mac), podendo inclusive ser instalado como uma extensão no navegador Mozilla Firefox. O Tor não é essencialmente uma ferramenta criptográfica, mas sua função de anonimato é muito importante.

Veja-se o caso de Michele Catalano, uma jornalista norte-americana. Logo após os atentados na cidade de Boston, em 2013, quando bombas foram colocadas dentro de panelas de pressão e mochilas, ela, seu marido e seu filho, pesquisaram no Google, respectivamente sobre panelas de pressão, passagens para Boston e mochilas. Como as buscas foram feitas do mesmo endereço IP, logo após as mesmas, o FBI chegou em sua casa e interrogou seu marido sobre a intenção dele de colocar bombas. Isto mostra claramente a vigilância geral na internet e os riscos que as pessoas correm, mesmo sem terem cometido nenhum crime. Ressalve-se que usando o Tor, há restrição, por exemplo, ao Gmail e ao Facebook. Normalmente estes serviços bloqueiam as contas caso seja feito login nas mesmas usando Ips da rede Tor, o que mostra a vigilância e monitoramento exercido por estes serviços sobre seus usuários. Instruções para instalação e uso estão disponíveis no site do projeto Tor, link para o mesmo no Apêndice A.

E-mail criptografado -Uma das ferramentas mais utilizadas por jornalistas e fontes na comunicação digital é o e-mail. Há exemplos disponíveis na internet, em artigos de periódicos e em livros mostrando como usar criptografia neste tipo de ferramenta. Ao contrário do que se pode pensar, alguns destes exemplos são fáceis de implementar e utilizam softwares livres e gratuitos.

Criptografar seu email pode parecer assustador, mas na verdade é bem simples. Vamos usar algo chamado PGP (Preety Good Privacy, um nome que é um tributo a um programa de rádio da NPR, A Prairie Home Companion) para criptografar suas mensagens. Ele vai fazer seus emails parecerem um texto ilegível para quem vê de fora, como aquele sujeito fuçando na rede Wi-Fi da cafeteria. Ele também esconde números de cartão de crédito, endereços, fotos e o que mais você escolher para manter confidencial. Henry (2013)

Um uso fácil do PGP é utilizando o cliente de e-mail Mozilla Thunderbird e a extensão Enigmail. Ambos são softwares livres e gratuitos e o Thunderbird está disponível para Linux e Windows, tendo inclusive uma versão portátil que roda a partir de pendrive. ele também possui proteção básica contra spam (e-mails indesejados) e phishing (fraude para adquirir dados pessoais e financeiros na internet).

Já o enigmail é um plugin de fácil instalação no Mozilla Thundebird que permite criptografar, descriptografar, assinar e verificar assinaturas dos e-mails usando Open PGP. Com ele o usuário facilmente realiza estas tarefas, bastando que após a instalação, se ainda não as tem, crie um par de chaves criptográficas (chave pública e chave privada ou segura). Sobre estas, Lee (2013, p. 16) explica

Se você têm a chave pública de alguém, você pode fazer duas coisas: criptografar mensagens que só podem ser descriptografadas com sua chave secreta, e pode verificar assinaturas que são geradas com sua chave secreta. É seguro dar sua chave pública para qualquer pessoa que quiser. A

pior coisa que alguém pode fazer é criptografar mensagens que só você pode descriptografar.

Com sua chave secreta você pode fazer duas coisas: descriptografar mensagens que são criptografadas usando sua chave pública, e assinar digitalmente mensagens.

Para aqueles que não querem ou não podem utilizar um cliente de e-mail, há alguns serviços com webmail que prometem segurança e criptografia. Um destes serviços é o ProtonMail, que garante criptografia de ponta a ponta, ou seja, criptografa os dados ainda no navegador do usuário antes de se comunicar com o servidor.

Usando cliente ou webmail, o importante a ressaltar é que todos que participam da comunicação devem utilizar criptografia. Não adianta o jornalista encriptar seus e- mails se a fonte não o faz e vice e versa.

É importante compreender que PGP não é utilizado só para e-mail. O usuário

pode, por exemplo, fazer uma postagem criptografada com PGP em uma rede social

ou fórum de discussão.

Chat ou bate-papo online com criptografia - O Off-the-Record (OTR) é um revestimento criptográfico que pode ser usado em qualquer sistema de mensagem instantânea, inclusive na troca de mensagens do Facebook Messenger ou Google Talk. O princípio é o mesmo já explicado na criptografia de e-mails. Pode-se utilizar um cliente de conversa que suporte OTR, como o Pidgin, software livre e gratuito. Nele, deve ser acrescentado o plugin OTR. O Pindgin está disponível para Windows e Linux. Para Mac OS X, há um cliente chamado Adium. Links para instalação e dicas no Apêndice A.

Uma outra alternativa para bate-papo criptografado é o CryptoCat, que é plugin disponível para os navegadores Chrome, Firefox, Opera, Safari e OSX. Basta instalá-lo, escolher um apelido, uma sala de bate-papo, que você mesmo pode criar e começar. O CryptoCat também funciona com o chat do Facebook.

Criptografia de arquivos e pastas – É possível encriptar desde todo conteúdo de um HD, até só uma pasta ou um arquivo específico. Alguns SOs, como a distribuição Linux Ubuntu, oferecem a opção de encriptar a pasta pessoal do usuário no momento da própria instalação do sistema operacional. Como os demais softwares aqui citados, o Ubuntu é um software livre e gratuito. Para trabalhar com arquivos e pastas determinados, uma boa sugestão é o GnuPG. Disponível para Windows, Linux e Mac OS X. Ele permite entre outras funcionalidades, criar e compartilhar chaves, encriptar e decriptar arquivos (documentos, imagens) e assinar mensagens e arquivos. Uma outra alternativa para usuários do Windows é o Diskcryptor.

2.2.1 Criptografia e anonimato em dispositivos móveis - Muito da comunicação entre jornalistas e fontes hoje acontece com o uso de dispositivos móveis, como smartphones e tablets. Cada vez mais estes gadgets são usados para enviar e receber mensagens e e-mails, gravar e fazer upload de fotos e vídeos e para conversar, obviamente. Como o SO mais usado nestes dispositivos é o Android, este trabalho abordará aplicações disponíveis para o mesmo. No próprio SO existe um método inicial para segurança com bloqueio da tela inicial (LockScreen) e liberação do aparelho mediante senha ou “desenho” na tela. Em algumas versões do Android, também é possível encriptar todo o aparelho, embora seja um procedimento com risco de perda de dados. Já para a encriptação de arquivos, existem vários softwares. Um dos mais acessíveis é o Crypt4All Lite (AES), disponível na Play Store do Google. O software é gratuito, permite encriptar e decriptar facilmente arquivos, atribuindo-lhes senhas (criptografia simétrica). Basta instalar, abrir, selecionar o arquivo desejado, atribuir senha e encriptar. Após isso, deve-se apagar o arquivo original e pode-se até renomear o novo, desde que não altere sua extensão. Para decriptar, basta abrir o arquivo criptografado com a devida senha.

Um outro aplicativo muito útil é o TextSecure, programa de mensagens com criptografia que também usa senha (chave simétrica). Protege suas mensagens e bate-papos. Como já foi explanado no caso do e-mail, ele deve ser usado por todos que queiram trocar mensagens de forma segura.

Há também o RedPhone, aplicativo para encriptar chamadas, que fornece criptografia ponta a ponta. Este ainda está em fase de testes e os depoimentos sobre o mesmo são de que pode apresentar dificuldades de uso. O Text Secure e o RedPhone são softwares gratuitos e livres e uma iniciativa da Whispersystems.

A extensão CryptoCat da qual já falamos, também pode ser instalada em iPhone, estando no momento da redação deste trabalho, em desenvolvimento para Android.

No caso da navegação anônima no Android, há o Orbot, um proxy com Tor. Basicamente o Orbot é uma versão do Tor para dispositivos móveis. Por fim, há também um leitor de notícias para dispositivos móveis, chamado Courier que permite a leitura de notícias em sites da internet com privacidade. Além da leitura, o Courier permite o armazenamento para leitura off line e compartilhamento das notícias. Ele utiliza o Orbot e possui inclusive um botão que permite ao usuário apagar rapidamente não só as informações acumuladas, mas também o próprio aplicativo. O Courier é gratuito.

2.3 Removendo arquivos com segurança

 Um último alerta e mesmo correndo o risco de fugir um pouco do escopo deste trabalho, é com relação ao descarte de informações. Ainda que usando dispositivos (móveis ou não) protegidos por senha, criptografia etc. deve haver preocupação com o descarte de informações. Se um arquivo é sensível, não se deve simplesmente apagá-lo normalmente e depois limpar a lixeira. Este arquivo continuará no sistema e poderá ser recuperado posteriormente. Uma boa dica para usuários do SO Gnu- Linux é o uso do comando shred. No Apêndice A, está um tutorial de uso do mesmo.

Read more »