http://www.wired.com/opinion/2012/11/hacking–choice–and–disclosure/
Traduzido pelo Coletivo Vila Vudu
Andrew ('weev') Auernheimer é rato de internet, condenado duas vezes por crimes consecutivos de hacking de computadores; tem nos costados mais de uma década de trabalho com C, asm, Perl e de furiosa militância no IRC[2]. É militante ativo na luta pela liberdade
e, em breve, será prisioneiro numa prisão federal dos EUA.
NOTA DO EDITOR: O autor dessa coluna, também conhecido como "weev", foi condenado, semana passada por invasão de computadores, depois de capturar, da página internet da empresa AT&T, uma lista não protegida de endereços de e-mails de mais de 100 mil proprietários de iPad, e entregá-la a um jornalista. A sentença definitiva deverá ser pronunciada dia 23/2/2013.
Nesse exato momento há um hacker por aí, em algum lugar, produzindo uma exploração zero-day[3]. Quando terminar, sua exploração permitirá que qualquer pessoa que conheça o caminho tenha acesso a milhares – eventualmente, a milhões – de sistemas de computadores.
Mas o momento crítico não é a produção; é a distribuição. O que o hacker fará com o que obtiver em sua exploração? Eis o que pode acontecer depois de a falha/brecha no programa ter sido descoberta:
O hacker decide vender a terceiros o que encontrou. O hacker pode vender sua exploração a agentes inescrupulosos que vivem de comprar e vender informações de segurança, oferecendo o produto como "a proteção". Ou o hacker pode vender o que encontrou a governos repressores, que podem usar a descoberta para espionar ativistas que protestam contra o mesmo (ou outros) governos opressores. (Há casos conhecidos de governo, entre os quais o governo dos EUA, que usam saberes obtidos de hackers para invadir qualquer coisa, inclusive outros serviços de inteligência doméstica e de países estrangeiros.)
O hacker avisa o proprietário do sistema falhado, o qual pode – ou não – 'remendar' [to patch] a falha. O proprietário/vendedor do sistema falhado pode 'remendar' o programa vendido a clientes preferenciais (tradução: os que pagam mais caro), antes de remendar o programa vendidos a clientes 'comuns'. Ou o proprietário/vendedor pode decidir não distribuir o remendo, porque a análise custo-benefício feita por um de seus MBAs-empregados 'mostra' que é mais barato não fazer, simplesmente... coisa alguma.
O proprietário/vendedor distribui o 'remendo', mas os clientes demoram a baixá-lo e instalá-lo. Não é raro que grandes usuários procedam, eles mesmos, às suas próprias testagens – e muitas vezes encontram falhas em programas, antes do proprietário/vendedor do programa; nesses casos, acontece frequentemente de o usuário produzir e distribuir 'em casa', para ele mesmo, remendos melhores. Tudo isso significa que os 'remendos' distribuídos pelo proprietário/vendedor podem permanecer durante meses (às vezes, anos), sem serem usados pela grande maioria dos clientes/compradores/usuários.
O proprietário/vendedor cria um executável blindado com métodos anti-investigação e peritagem policial, para impedir a engenharia reversa. É o modo certo para aplicar remendos. Também é procedimento caríssimo, intensivo em mão de obra – o que implica dizer que só muito raramente é usado. Assim sendo, descobrir vulnerabilidades é tão simples quanto desarrolhar o executável velho e meter ali o novo executável, num IDA Pro debugger com BinDiff, para comparar e ver o que mudou num código disassembled. Já disse: é fácil.
Basicamente, explorar as vastas massas não remendadas é jogo fácil para qualquer explorador. Todos têm, cada um, seus próprios interesses a proteger. E os interesses de cada proprietário nem sempre coincidem com os interesses dos usuários.
As coisas não são tão preto ou branco
Proprietários/vendedores são motivados a proteger os próprios lucros e os interesses dos acionistas, acima de qualquer outro interesse. Os governos são motivados a valorizar acima de tudo os interesses da própria segurança, muito mais que os interesses e direitos individuais dos próprios cidadãos, e muito mais, ainda, que os interesses e direitos de outras nações.
E, para muitos atores do campo da segurança da informação, é muito mais lucrativo vender novos tratamentos, que nunca param de surgir, para tratar sintomas de doenças, do que vender a cura definitiva.
Muito claramente, nem todos os atores agirão eticamente ou competentemente. Além e acima de tudo, o hacker original raramente é pago por seu trabalho altamente qualificado, que exige alta e raríssima disciplina científica, e que visa a melhorar o programa do vendedor/proprietário e, em última análise, a proteger os usuários.
A quem contar o que só você sabe? Resposta: a ninguém; a absolutamente ninguém.
Os cartolas brancas[4] são os hackers que decidem revelar o que descobrem: ao proprietário/vendedor ou ao grande público. Esses chamados "cartolas brancas" do mundo têm seu papel, distribuindo, com suas descobertas, também novas armas digitais.
O pesquisador Dan Guido fez a engenharia reversa de todas as ferramentas ('vírus') usadas atualmente para exploração em massa (como Zeus, SpyEye, Clampi e outras). Suas descobertas sobre a fonte das explorações/ataques, divulgadas pelo Exploit Intelligence Project[5], são bem claras:
– Os chamados cartolas brancas do mundo vêm desempenhando um papel na distribuição de armas digitais. Nenhuma das explorações usadas para exploração em massa foi desenvolvida por autores de programas-vírus [mal-intencionados].
– Diferente disso, todas as explorações vieram de "Advanced Persistent Threats" [Ameaças Persistentes Avançadas] (termo que a indústria usa para designar estados-nação) ou de descobertas feitas por cartolas brancas.
– Descobertas feitas por cartolas brancas correspondem a 100% das falhas lógicas usadas para ataques.
Os criminosos, segundo Guido, realmente "preferem o código dos cartolas brancas", porque funciona de modo muito mais confiável que códigos distribuídos por fontes do submundo. A maioria dos autores de vírus não têm, de fato, a sofisticação necessária para alterar explorações já operantes e aumentar-lhes a efetividade.
Navegar pelo cinza
Alguns hackers de visão ampla da rede de computadores EFnet[6], rede de membros anônimos, anteviram com clareza, há 14 anos, o atoleiro de conflitos morais em que se converteria a questão da segurança de dados. Sem qualquer interesse em acumular riqueza pessoal, eles deram o primeiro passo do movimento de defesa da ética no campo dos computadores conhecido como Anti Security [literalmente, "antissegurança"][7], ou "antisec".
Os hackers do movimento Antisec focaram-se no movimento de investigação/exploração como atividade de disciplina intelectual, quase espiritual. Os Antisec não eram – não são – "grupo"; são, mais, uma filosofia com uma única posição nuclear:
Uma exploração é arma poderosa, que só deve ser exposta a pessoa que você tenha certeza (por conhecimento resultante de experiência-contato pessoal) que sempre agirá no interesse da justiça social.[8]
Afinal de contas, entregar o resultado de uma exploração a entidades sem essa ética fará de você parte dos crimes que venham a ser cometidos. É exatamente como entregar um rifle a quem você saiba que matará alguém.
Entregar o resultado de uma exploração a entidades sem ética fará de você parte dos crimes que a entidade cometa
Apesar de o movimento já ter mais de uma década de existência, a expressão "antisec" voltou recentemente aos noticiários. Mas, agora, creio que atos criminosos sancionados pelo Estado, estão sendo apresentado como se fossem atos de antisec. Por exemplo: Sabu, do movimento Lulzsec, foi preso pela primeira vez dia 7/6/2011; seus atos foram rotulados como "antisec" no dia 20 do mesmo mês. Significa que tudo que Sabu tenha feito sob esse rótulo foi feito com pleno conhecimento e, provavelmente, com a cumplicidade, do FBI. (O que inclui a divulgação pública de tabela de dados de autenticação que comprometeram a identidade de, possivelmente, milhões de indivíduos, pessoais e privados.)
Essa versão de antisec nada tem a ver com os princípios sobre os quais se baseia o movimento antisec do qual estou falando.
Mas o pessoal envolvido em atividade criminosa – os hackers que tomaram a decisão moralmente falhada de vender suas explorações a governos – já começa a defender publicamente os seus pecados indefensáveis.
Nesse ponto, precisamente, é onde o movimento antisec oferece contexto e quadro cultural útil, além de uma filosofia-guia, para que se pense sobre as áreas cinzentas da atividade de hacking. Por exemplo, a função-chave, nuclear, do movimento antisec, define como absolutamente inadequado, para jovens hackers, cultivar qualquer tipo de relacionamento com o complexo militar-industrial.
Bem claramente, a exploração de programas de computação pode implicar abuso de direitos humanos e violações de privacidade. E bem claramente também, nós temos de fazer alguma coisa quanto a isso.
Mas não acredito em leis de controle sobre o desenvolvimento e a venda dessas explorações. Os que vendam explorações não devem ser impedidos de vendê-las – mas, se venderem, têm de ser declarados gente-do-mal.
Em tempos de ciberespionagem rampante e invasão dos computadores de dissidentes políticos, o único destino ético que você deve dar aos resultados de suas explorações de zero-day é revelá-los a alguém que os usará no interesse da justiça social. Nunca será o proprietário/vendedor, nunca será algum governo, nem nunca será alguma empresa comercial: sempre será uma pessoa, um indivíduo.
Em raros casos, esse indivíduo talvez seja um jornalista que poderá amplificar o desmascaramento e a vergonha pública de algum operador de aplicativo para a rede. Mas, em muitos casos, o dano de expor as multidões de usuários que usam programas não remendados (e de desperdiçar o potencial da exploração, que deixa de ser usada contra governos opressores) ultrapassa, em muito, qualquer benefício que se obtenha por denunciar o erro ou o crime de uma empresa proprietária/vendedora. Nesses casos, a filosofia de antisec brilha como moralmente superior; e você não deve revelar a ninguém os resultados de sua exploração.
Assim, portanto, é hora de o movimento antisec voltar ao diálogo público sobre a ética de expor explorações. É o único modo que há para armarmos o pessoal do bem – sejam lá quem forem –, pelo menos dessa vez, para variar.
*************************************
[1] O verbo to hack significa, originalmente, o movimento que se faz com um facão ou foice, para abrir uma picada em mato fechado. Metaforicamente, passou a designar a ação de abrir acesso a programas e computadores, para ver, copiar ou introduzir dados. Opõe-se ao verbo to crack, em que o processo de entrar em programas (mal) protegidos é feito com intenção criminosa. Sobre verbo, em inglês, ver http://dictionary.reference.com/browse/hack?s=t&ld=1119 [NTs].
[2] Internet Relay Chat (IRC) é um protocolo de comunicação utilizado na Internet. É utilizado basicamente para bate-papo (chat) e troca de arquivos, permitindo a conversa em grupo ou privada. Foi documentado formalmente pela primeira vez em 1993 (mais, sobre isso, em http://pt.wikipedia.org/wiki/Internet_Relay_Chat [NTs].
[3] Zero Day Exploit – [lit. exploração de dia-zero] Exploração cibernética feita através de uma vulnerabilidade em programa, da qual o desenvolvedor do programa não se tenha apercebido e que é descoberta pelo hacker. A expressão é usada no sentido de que o desenvolvedor do programa terá zero dias para trabalhar num patch [remendo, conserto], antes de um possível ataque (Urban Dictionary, em http://www.urbandictionary.com/define.php?term=Zero%20Day%20Exploit, aqui traduzido) [NTs].
[4] Orig. Whitehat. Sobre os "cartola-branca" ver Urban Dictionary, em http://www.urbandictionary.com/define.php?term=whitehat
Comentários