Verificando a integridade de arquivos

Caso você baixe algum arquivo da internet ou receba-o diretamente de alguém, é possível verificar sua integridade para saber se ele é o mesmo que o original ou foi modificado. Se você é quem está enviando o arquivo, então isso irá garantir que o que você mandou é o que foi recebido. Mostraremos duas formas de fazer isso.

Arquivos assinados

Usaremos o GnuPrivacyGuard para assinar arquivos. É preciso ter previamente um par de chaves GPG. Seu par de chaves mais recente será usado por padrão para criar uma assinatura. Caso deseje assinar com outro usuário, utilize o marcado -u. Todos os comandos de assinatura requerem a senha de acesso à chave privada do usuário assinante.

Assinando

Digite o seguinte comando para criar uma assinatura separada do arquivo:

$ gpg -b arquivo

O resultado será a assinatura chamada:

arquivo.sig

Também é possível criar um novo arquivo assinado, dois em um:

$ gpg -s arquivo

O resultado será o seguinte:

arquivo.gpg

Para criar uma assinatura separada em texto claro, execute:

$ gpg --clearsign arquivo

O resultado será um arquivo de mesmo nome com a extensão .asc. O uso desse tipo de assinatura, entretanto, é limitado pois você pode apenas conferir se a assinatura é válida e não o arquivo em si. Utilize as duas primeiras opções.

Verificando

Para verificar um arquivo corretamente, é preciso ter a chave pública do remetente no seu conjunto de chaves públicas.

Se você recebeu o arquivo e sua assinatura separados, execute:

gpg --verify arquivo.sig arquivo

O resultado positivo será algo assim:

gpg: Signature made Sex 19 Mai 2017 14:52:06 -03 using RSA key ID ####
gpg: Good signature from "usuario <usuario@email.org>"
gpg: AVISO: Esta chave não está certificada com uma assinatura confiável!
gpg:        Não há indicação de que a assinatura pertence ao dono.
Impressão da chave primária: #### #### #### ####

Caso você receba algo assim:

gpg: Signature made Fri 09 Oct 2015 05:41:55 PM CEST using RSA key ID 4F25E3B6
gpg: Can't check signature: No public key

Isso significa que ou você não possui a chave pública da pessoa ou a assinatura foi gerada por outra pessoa e o arquivo deve ser tratado como suspeito.

Se você recebeu um único arquivo com a terminação .gpg, então execute apenas:

$ gpg --verify arquivo.gpg

Comparando os CHECKSUMs

Outra forma de verificar a integridade de um arquivo é comparar o checksum ou hash (resumo) de SHA1 do arquivo recebido com o do original. A função SHA1 é uma função de dispersão criptográfica que gera um código de 160 bits que resume o arquivo.

Se você baixar o arquivo de instalação do GnuPG do site do GnuPG, execute:

$ sha1sum gnupg-2.0.30.tar.bz2

e compare o resultado com o hash anunciado no site. A cara do hash do SHA1 é a seguinte:

a9f024588c356a55e2fd413574bfb55b2e18794a  gnupg-2.0.30.tar.bz2

Esse não é tido como um método tão seguro quanto a assinatura, dado que se alguém consegue alterar um arquivo em trânsito, é possível que também consiga alterar o hash anunciado no site. Mas mesmo assim, comparar os valores de checksum é muito mais confiável do que nada.

Exercícios:

Aqui vão dois exemplos para você exercitar o que aprendeu. Lembre-se de baixar as chaves públicas de quem estiver assinando o arquivo que você deseja baixar.

  1. Baixe a instalação do GnuPG. Verifique a assinatura e compare o checksum.
  2. Baixe a última versão do TailsOS. Verifique o arquivo .ISO com a assinatura disponibilizada no site.

WannaCrypt e o sequestro de computadores que abalou o mundo

[matéria adaptada de OficinadaNet]

Foi na Inglaterra que um jovem de 22 anos conseguiu colocar um fim nos ataques virtuais sem precedentes. Quando o ataque começou, na sexta-feira, era meio dia, afetando mais de 125 mil pessoas em poucas horas; usuários de 99 países obtiveram seus computadores sequestrados.

Como foi o ataque?

O golpe funciona da seguinte maneira: você recebe um e-mail que supostamente parece confiável, mas quando clica no anexo o computador passa automaticamente a ser infectado com o ransomware (WannaCrypt) e a partir deste momento todos os computadores que estão ligados a ele ficam infectados.

Todos os seus dados e arquivos são criptografados, e assim você passa a não ter mais acesso a eles. Então, logo após aparece uma mensagem na tela do seu computador dizendo que para voltar a ter acesso somente pagando o valor do “resgate” mínimo de US$ 300 dólares em moeda virtual Bitcoin, quase R$ 1.000 reais. Acredita-se que os hackers já tenham conseguido arrecadar em torno de 80 mil dólares através dos pagamentos, através de contas bitcoin vinculadas ao código fonte. Você pode ver as contas e acompanhar o saldo: 1, 2 e 3 aqui.

Como o ataque funciona?

O vírus explora é uma falha gigantesca no sistema Windows, o mais utilizado no mundo. Segundo a Microsoft, o problema havia sido corrigido em março, a partir deste momento quem realizou a atualização do sistema estava protegido.

Mas como nem todas empresas, principalmente empresas de órgãos públicos não atualizam o sistema operacional com frequência, pelos altos custos que geram, ficando mais suscetíveis a ataques deste tipo.

Quem foi prejudicado?

O sistema de saúde britânico foi o primeiro a identificar o ataque, que atingiu desde o governo russo até ao sistema de entregas de encomendas americanas, assim como universidades na China e na Indonésia, sistema de trens da Alemanha, empresas de telecomunicações na Espanha e Portugal, a montadora francesa Renault teve que parar sua produção em algumas de suas unidades.

Ataque no Brasil

No Brasil, no estado do Rio de janeiro, todos os computadores do Instituto Nacional de Segurança Social (INSS) foram infectados pelo vírus passando a ser desligados. A Petrobras e a Telefônica também foram alvos do ataque.

Resultado de imagem para ransomware

O INSS, em nota, comunicou que todos os serviços das agências foram suspensos na sexta-feira (12) depois do anúncio de ciberataques na rede mundial de computadores. Segundo o órgão os atendimentos que foram marcados para a respectiva data serão reagendados ‘A Data de Entrada de Requerimento, DER, dos cidadãos agendados será resguardada”.

Páginas da Previdência Social e do Ministério do Trabalho, além de outras páginas do governo federal, estavam fora do ar, assim como seus telefones sem atendimento.

Investigações

Segundo a polícia Europeia é necessária a realização de uma complexa investigação internacional para identificar quem está por trás do ataque. O que se sabe até o momento é que quem desenvolveu a tecnologia utilizada pelo ataque foi o governo americano, através da Agência de Segurança Nacional (NSA).

A NSA produz armas para a ciberguerra, vírus os quais atacam sistemas cibernéticos para realizar espionagens de governos, terroristas e cidadãos comuns. Mas o seu sistema foi invadido por hackers no ano passado, momento em que conseguiram roubar várias dessas armas virtuais, sendo que uma delas foi usada para fazer o vírus que atacou o mundo na sexta-feira (12).

Parou, mas não por muito tempo

O jovem inglês conseguiu descobrir um gatilho que fez com que o ataque cessasse por um tempo, mas segundo ele, a qualquer momento os hackers podem descobrir o que ele conseguiu fazer e voltarem a atacar a qualquer instante.

Os especialistas no assunto sugerem que se atualize o sistema Windows e o sistema de antivírus no computador, e que posteriormente se faça a aquisição de um HD externo, uma memória que não está conectada a internet para guardar os arquivos e dados mais importantes, obtendo assim uma maior proteção.

Consequências

No Brasil, em São Paulo, na cidade do interior São José do Rio Preto, técnicos ainda estão trabalhando para tentar recuperar 55 máquinas do Ministério Público Estadual.

Já na capital de São Paulo, o Hospital Sírio Libanês teve o sistema de áreas administrativas comprometidas sendo recuperadas aos poucos, o que não veio a prejudicar o atendimento do hospital.

Em todo país, mais de 14 estados e o Distrito Federal foram alvos dos ataques ou passaram a tomar ações preventivas para evitá-lo.

A Kaspersky Lab, fabricante russa de software de segurança cibernética, disse que seus pesquisadores observaram desde sexta-feira mais de 45.000 ataques em 74 países. Segundo a Avast, fabricante de software de segurança comunicou que identificaram 57.000 infecções em 99 países, sendo que Rússia, Taiwan e Ucrânia foram os principais alvos.

Já os hospitais e clínicas presentes no Reino Unido foram obrigadas a recusar pacientes porque tiveram seus computadores infectados pelo novo ransomware que se espalhou de forma muito rápida pelo mundo misturando todos os dados dos pacientes, exigindo para desfazer a bagunça o pagamento de US$ 600 dólares.

Ainda a maior empresa de entregas do mundo, a FedEx Corp, está entre as companhias que obtiveram o sistema Windows da Microsoft Corp afetados.

Segundo o engenheiro de segurança da Norton, Nelson Barbosa, “ eles sabiam que através do sistema operacional Windows, o mais utilizado pelo mundo todo, seria possível atingir o maior número de pessoas e obter consequentemente um maior lucro”.

Ataques cibernéticos geralmente possuem apenas um alvo, mas desta vez o objetivo foi infectar o maior número possível de computadores para ganhar muito dinheiro através da solicitação de resgate para cada máquina atingida para liberar o acesso do usuário.

A forma realizada para o pagamento foi a moeda digital Bitcoin, que ninguém carrega na carteira, facilitando a ação dos criminosos pois não há nenhuma organização que controle as realizações com a moeda virtual.

Como usar GPG para criptografar e assinar mensagens via terminal

Introdução

GPG, ou GNU Privacy Guard, é uma implementação criptográfica de chave pública. Ela permite a transmissão segura de informação entre partes e pode ser usada para verificar se a origem de uma mensagem é genuína.

Neste guia, discutiremos como a GPG funciona e como implementá-la. Usaremos comando para Ubuntu 12.04 neste demonstração, mas essas ferramentas estão disponíveis em qualquer distribuição moderna de Linux.

Como a criptografia de Chave Pública funciona

Um problema que muitas pessoas enfrentam é como se comunicar de forma segura e validar a identidade de parte com quem estão falando. Vários esquemas que tentam responder a esta questão requerem, pelo menos em algum ponto, a transferência de uma senha ou outras credenciais de identificação através de um meio inseguro.

Garanta que apenas as pessoas que você quer leiam a mensagem

Para resolver esse problema, GPG conta com um conceito de segurança chamado criptografia de chave pública. A ideia é que você pode dividir os estágios de criptografar e descriptografar da transmissão em duas coisas separadas. Dessa forma, você pode distribuir livremente a parte para criptografar, desde que guarde segura a parte para descriptografar.

Isso permitiria que uma mensagem de transferência de via única fosse criada e criptografada por qualquer pessoa, mas que somente pudesse ser descriptografada pela usuária designada (a única com a chave privada para descriptografar). Se ambas as partes criam os pares de chaves pública/privada e dá uma à outra sua chave pública, ambas podem criptografar mensagens entre si.

Então, neste cenário, cada parte possui sua própria chave privada e a chave pública da outra.

Validar a identidade da remetente

Outra vantagem desse sistema é que a remetente de uma mensagem por “assiná-la” com sua chave privada. A chave pública que a destinatária possui pode ser usada para verificar que a assinatura é de fato enviada pela usuária indicada.

Isto pode impedir uma terceira parte de se fazer passar por outra pessoa (“spoofing”). Também ajuda a assegurar que a mensagem foi transmitida por completo, sem danos ou corrupção de arquivos.

Configurando as chaves GPG

GPG deve vir instalada por padrão no Ubuntu 12.04. Se não for o caso, você pode instalá-la com:

sudo apt-get install gnupg

Para começar a usar GPG para criptografar suas comunicações, você precisa criar um par de chaves. Isso pode ser feito pelo seguinte comando:

gpg --gen-key

Você passará por algumas questões que irão configurar suas chaves.

  • Por favor, selecione o tipo de chave que você quer: (1) RSA e RSA (padrão)
  • Qual o tamanho de chave que você quer? 4096
  • A chave é válida por? 0
  • Isto está correto? y
  • Nome real: your real name here (coloque o nome que desejar)
  • Endereço de Email: seu_email@endereço.net
  • Comentário: Comentário opcional que estará visível na sua assinatura
  • Modificar (N)ome, ©comentário, (E)mail or (O)kay/(Q)uit? O
  • Coloque sua senha: Coloque sua senha de segurança aqui (maiúsculas, minúsculas, dígitos, símbolos)

A esta altura, será preciso entropia para gerar as chaves. Este é basicamente um termo que descreve a quantidade de imprevisibilidade que existe num sistema. GPG usa esta entropia para gerar um conjunto de chaves aleatórias.

O melhor é abrir uma nova janela de terminal e SSH na VPS enquanto o programa roda. Instale algum software, trabalhe, e use seu computador o máximo que puder para que seja gerada a entropia necessária.

Este processo pode levar bastante tempo, dependendo de quanta atividade você consegue gerar no sistema.
Para aumentar a entropia automaticamente dá para usar o seguinte comando:

cat /dev/urandom

Criando um certificado de revogação

Você precisa ter uma forma de invalidar seu par de chaves no caso de acontecer uma falha de segurança, ou no caso de você perder sua chave secreta. Existe um jeito fácil de fazer isso usando o software GPG.

Crie seu certificado assim que fizer seu par de chaves, não quando precisar dele. Essa chave de revogação deve ser gerada com antecedência e mantida em um local separado e seguro, para o caso em que seu computador esteja comprometido ou inoperante. Escreva:

gpg --gen-revoke your_email@address.com

Será pedido uma razão para a revogação. Você pode escolher qualquer uma das opções disponíveis, mas já que isso é feito com antecedência, não é preciso ser específica.

Será oferecida a chance de adicionar um comentário e finalmente confirmar suas escolhas.

Por fim, um certificado de revogação será gerado na tela. Copie-o e cole-o num local seguro, ou imprima-o para uso posterior:

Revocation certificate created.

Please move it to a medium which you can hide away; if Mallory gets
access to this certificate he can use it to make your key unusable.
It is smart to print this certificate and store it away, just in case
your media become unreadable.  But have some caution:  The print system of
your machine might store the data and make it available to others!
-----BEGIN PGP PUBLIC KEY BLOCK-----
Version: GnuPG v1.4.11 (GNU/Linux)
Comment: A revocation certificate should follow
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=isbs
-----END PGP PUBLIC KEY BLOCK-----

Como importar as chaves públicas de outras pessoas

GPG seria bem inútil se não fosse possível aceitar chaves públicas das pessoas com quem você quer se comunicar.

Você pode importar a chave pública de alguém de várias formas. Se você conseguiu uma chave pública em formato texto, GPG pode importá-la com o seguinte comando:

gpg --import name_of_pub_key_file

Também existe a possibilidade de que a pessoa com quem você quer se comunicar tenha subido a chave num servidor de chaves públicas. Estes servidores são usados para armazenar chaves públicas do mundo todo.

Um servidor de chaves popular que sincroniza suas informações com uma série de outros servidores é o servidor de chaves do MIT. Você pode procurar pelas pessoas pelos seus nomes ou endereços de email acessando o seguinte site no navegador:

http://pgp.mit.edu/

Você também pode procurar no servidor de chaves a partir do GPG usando o seguinte comando:

gpg --keyserver pgp.mit.edu  --search-keys search_parameters

Como verificas e assinar chaves

Embora você possa distribuir livremente a chave pública que você gerou e as pessoas usem isso para entrar em contato contigo de maneira criptografada, existe ainda uma questão de confiança na transmissão inicial da chave pública.

Verificar a identidade da outra pessoa

Como saber se a pessoa que lhe dá sua chave pública é quem ela diz que é? Em alguns casos, isso pode ser simples. Você pode estar sentado justo ao lado dela, com ambos laptops abertos trocando chaves. Este parece ser um jeito bem seguro de saber que você está recebendo a chave certa.

Mas existem várias outras circunstâncias onde esse contato pessoal não é possível. Pode ser que você não conheça a outra parte pessoalmente, ou que vocês estejam separadas fisicamente pela distância. Se você não quer jamais se comunicar por canais inseguros, verificar a chave pública de alguém pode ser problemático.

Por sorte, ao invés de verificar to uma chave pública de ambas as partes, você pode simplesmente compara a “impressão digital” derivada dessas chaves. Isso lhe assegurará razoavelmente bem que ambas estão usando a mesma informação da chave pública.

Você pode conseguir a impressão digital de uma chave pública digitando:

gpg --fingerprint seu_email@endereco.net
pub   4096R/311B1F84 2013-10-04
      Key fingerprint = CB9E C70F 2421 AF06 7D72  F980 8287 6A15 311B 1F84
uid                  Test User <test.user@address.com>
sub   4096R/8822A56A 2013-10-04

Isso lhe dará uma sequência de caracteres (string ) muito mais manuseável para comparar. Você pode comparar esta sequência (string ) com a própria pessoa, ou com uma pessoa que tenha acesso à dona da chave.

Assinando a chave alheia

Assinar uma chave é dizer ao seu software que você confia na chave que lhe foi dada e que você verificou que aquela chave está associada à pessoa certa.

Para assinar uma chave que você já importou, simplesmente digite:

gpg --sign-key email@exemplo.org

Ter assinado a chave significa que você verificou-a, que você confia que a pessoa que lhe deu a chave é quem ela diz que é. Isso pode ajudar outras pessoas a decidirem se confiam ou não nessa pessoa também. Se alguém confia em você, e ela vê que você assinou a chave daquela pessoa, isso torna mais provável que ela venha a confiar também.

Você deveria conceder à pessoa que você assinou a chave as vantagens da vossa relação de confiança enviando à ela a chave assinada. Você pode fazer isso digitando:

gpg --export --armor email@exemplo.org

Será preciso digitar sua senha novamente. Em seguida, a chave pública dela, assinada por você, aparecerá na tela. Envie para ela para que ela possa se beneficiar do seu “selo de aprovação” quando interagir com outras pessoas.

Quando ela receber essa nova chave assinada, poderá importá-la, adicionando na própria base de dados da GPG a informação de assinatura que você gerou. Ela pode fazer isso digitando?

gpg --import file_name

Como tornar sua chave pública altamente disponível

Nada de ruim pode acontecer se pessoas desconhecidas possuírem sua chave pública.

Por causa disso, pode ser benéfico que você disponibilize sua chave pública. Assim, as pessoas poderão facilmente encontrar sua informação e lhe enviar mensagens seguras, desde a primeira comunicação.

Você pode enviar a qualquer pessoa sua chave pública requisitando-a ao sistema GPG:

gpg --armor --export seu_email@endereco.net
-----BEGIN PGP PUBLIC KEY BLOCK-----
Version: GnuPG v1.4.11 (GNU/Linux)

mQINBFJPCuABEACiog/sInjg0O2SqgmG1T8n9FroSTdN74uGsRMHHAOuAmGLsTse
9oxeLQpN+r75Ko39RVE88dRcW710fPY0+fjSXBKhpN+raRMUKJp4AX9BJd00YA/4
EpD+8cDK4DuLlLdn1x0q41VUsznXrnMpQedRmAL9f9bL6pbLTJhaKeorTokTvdn6
5VT3pb2o+jr6NETaUxd99ZG/osPar9tNThVLIIzG1nDabcTFbMB+w7wOJuhXyTLQ
JBU9xmavTM71PfV6Pkh4j1pfWImXc1D8dS+jcvKeXInBfm2XZsfOCesk12YnK3Nc
u1Xe1lxzSt7Cegum4S/YuxmYoh462oGZ7FA4Cr2lvAPVpO9zmgQ8JITXiqYg2wB3
. . .

Você pode, então, copiá-la e colá-la ou enviá-la por um meio apropriado.

Se você quer publicar sua chave num servidor de chaves, é possível fazer isso manualmente através de formulários disponíveis na maioria dos sites dos servidores.

Outra opção seria fazer isso através da interface GPG?

Encontre sua identificação (ID) de chave digitando:

gpg --list-keys seu_email@endereco.net

A parte destacada é a sua ID de chave. Essa é uma forma curta de fazer referência à chave dentro do software.

pub   4096R/311B1F84 2013-10-04
uid                  Test User <test.user@address.com>
sub   4096R/8822A56A 2013-10-04

Para subir sua chave em determinado servidor de chaves. você pode usar essa sintaxe:

gpg --send-keys --keyserver pgp.mit.edu id_da_chave

Criptografar e descriptografar mensagens com GPG

Você pode facilmente criptografar e descriptografar mensagens após ter configurado suas chaves com uma outra parte.

Criptografar mensagens

Você pode criptografar mensagens usando a flag “—encrypt” na GPG. A sintaxe básica seria:

gpg --encrypt --sign --armor -r outra_pessoa@email.org name_of_file

Os parâmetros basicamente criptografam o email, assinam-no com sua chave privada para garantir que ele vem de você, e gera a mensagem em formato de texto ao invés de bytes puros.

Você deve incluir um segundo “-r” destinatário com o seu próprio endereço de email se você quiser poder ler a mensagem em algum outro momento. Isso acontece porque a mensagem será criptografada para cada chave pública pessoal, e somente será possível descriptografá-la com as chaves privadas correspondentes.

Assim, se ela for criptografada apenas com a chave pública de outras partes, você não conseguirá ver a mensagem novamente, a não ser que de alguma forma você consiga a chave privada delas. Colocar a si mesma como uma segunda destinatária faz com que a mensagem seja criptografada duas vezes separadamente, uma para cada destinatária.

Descriptografar mensagens

Quando você recebe uma mensagem, é só rodar a GPG sobre o arquivo da mensagem:

gpg nome_do_arquivo

O software irá lhe pedir o que for necessário.

Se você está com a mensagem como fluxo de texto, você pode copiá-lo e colá-lo após digitar simplesmente “gpg” sem mais nenhum argumento. Pressione “CTRL-D” para dizer que a mensagem chegou ao fim e a GPG vai descriptografá-la para você.

Manutenção de chaves

Existe vários procedimentos que você precisa realizar para gerenciar sua base de dados de chaves.

Para listar as chaves GPG de outras pessoas na sua base de dados, digite o seguinte comando:

gpg --list-keys

Suas informações sobre chaves podem ficar obsoletas se você depende de informações retiradas de servidores de chaves. Não é desejável que se use chaves revogadas porque isso significaria que você está confiando em chaves potencialmente comprometidas.

Você pode atualizar as informações de chaves digitando:

gpg --refresh-keys

Isso irá buscar novas informações dos servidores de chaves.

Você pode puxar informações de um servidor de chaves específico usando:

gpg --keyserver key_server --refresh-keys

Conclusão

Usar GPG corretamente pode lhe ajudar a tornar seguras suas comunicações com diferentes pessoas. Isso é extremamente útil, especialmente com informações sensíveis, mas também no envio de mensagens comuns e cotidianas.

Devido ao fato de que certas comunicações criptografadas podem ser marcadas por programas de monitoramento, é recomendável que se use criptografia para tudo, não apenas para dados “secretos”. Isso tornará mais difícil para se descobrir quando você está enviando dados importante ou apenas dando um oi.

A criptografia GPG só é útil quando as duas parte usam boas práticas de segurança e estão atentas sobre outras práticas seguras. Ensine regularmente as pessoas com quem você se comunica sobre a importância dessas práticas se você quer ter a possibilidade de uma comunicação segura criptografada.

Original em inglês por Justin Ellingwood

Manual pra dar oficina

O coletivo Mar1sc0tron vem dando oficinas sobre Cultura de Segurança e Segurança Digital desde o final de 2014. Sempre foram uma bagunça, e das divertidas. Falamos de tudo, infiltração, ISP, rede TOR, comunidade, ciberguerra, etc, e a conversa vai longe. São 3, 4, 5 horas de oficina. Algumas pessoas já dos disseram: essa oficina é um rolo, não tem pé nem cabeça! Tentamos mudar, planejar uma oficina bem alinhadinha, com início meio e fim. Tentamos, mas na hora não deu, foi mais forte que nós.

Mas temos boa vontade e descobrimos o manual que está ali abaixo. Galera do Mar1sc0tron: será que um dia a gente aprende?

Bora estudar metodologia 🙂


Download Trainers’ Manual
(por enquanto só tem em inglês)

Sobre o Manual da Oficineira
(tradução do release do manual do site Holistic Security)

O Manual da Oficineira foi criado em parte como um “companheiro” do Manual de Segurança Holística do Coletivo Tactical Tech para Defensoras dos Direitos Humanos, e em parte para refletir novos aprendizados e boas práticas identificadas durante as facilitações de diálogos e engajamentos entre especialistas e oficineiras engajadas em proteção geral, segurança digital e bem-estar psicossocial para defensoras de direitos humanos entre 2013 e 2015.

Assim, o manual está dividido em três partes:

A Parte I inclui artigos gerais sobre boas práticas em facilitação de treinamentos de segurança e proteção para defensoras de direitos humanos – qualquer que seja o seu foco principal: segurança digital, análise de risco, segurança integrada, etc. – que identificamos durante esse processo de engajamento.

A Parte II inclui seções independentes e completas, sem necessidade explícita de pré-requisitos, e que podem ser executadas no contexto de qualquer treinamento relacionado à segurança. Elas foram pensadas pelos participantes do Treinamento de Oficineiras de Segurança Avançada do Tactical Tech como parte do projeto Segurança Holística em abril de 2015. Elas foram elaboradas em cima dos textos produzidos naquele mesmo mês.

A Parte III inclui 11 seções projetadas para formar um “fluxo” sequencial baseado no material do Manual de Segurança Holística; foram pensadas e testadas nos treinamentos de quatro dias da “Introdução à Segurança” no Centro “Kurve Wustrow” de Treinamento e Criação de Redes através de Ação Não-Violenta em 2015. Elas, entretanto, não representam a totalidade das potenciais seções que podem sair do manual, mas representam um primeiro passo para um possível currículo de um programa de treinamento mais abrangente.

A estrutura das seções de aprendizado são, em geral, organizadas de acordo com a abordagem ADIDS (Atividade-Discussão-Insumo-Aprofundamento-Síntese), uma metodologia de aprendizado para adultos que se tornou popular entre muitos autores no nosso trabalho de Melhoramento de Materiais didáticos para oficineiros de segurança digital em 2013 e 2014. Gostaríamos de agradecer também à C5 pela sua inspiração neste trabalho.

Esperamos que este manual seja útil para a comunidade de facilitadoras e oficineiras responsáveis pelo processo de exploração e criação de habilidades em bem-estar, segurança e proteção para defensoras de direitos humanos. Gostaríamos de agradecer do fundo do coração as defensoras de direitos humanos e nossos colegas de inúmeras organizações por terem emprestados seus cérebros, mãos e corações para este processo.

Quais dados seu celular e a rede móvel coletam?

Esse texto saiu no Boletim #15 do site AntiVigilância.org


Quais dados seu celular e a rede móvel coletam?

02/05/2017, por Lucas Teixeira

Introdução

Ao pensarmos sobre vigilância em celulares é comum imaginarmos uma pessoa, grampeando nossas linhas e ouvindo nossas conversas, transcrevendo ou tomando notas do conteúdo, seguindo nossos passos — talvez um agente da inteligência de um governo ou um criminoso trabalhando de uma fábrica abandonada.

Essa prática tradicional da vigilância “direcionada”, que remete à Stasi da Alemanha Oriental e ao modus operandi das várias ditaduras que passaram pelo território latino-americano na segunda metade do século passado certamente ainda está presente nos dias de hoje. Mas ela por vezes eclipsa, principalmente para o público geral, a quantidade de dados sensíveis que já são criados, registrados, transmitidos e processados por todo o caminho desde o celular, passando pelas antenas e fios, até os servidores de email e mensagens instantâneas e a famigerada “nuvem” (que, no fim das contas, é “apenas o computador de outra pessoa”).

Da mesma maneira, ao tentarmos nos livrar dessa vigilância e proteger nossas comunicações, procuramos soluções mágicas como a capa de invisibilidade do Harry Potter, que nos tornarão completamente indetectáveis com o apertar de dois ou três botões ou o instalar de um programa. Como vemos neste e em outros artigos do Boletim 15, as proteções que temos à nossa disposição costumam agir sobre somente uma parte desses dados, seja pelo escopo em que ela pode atuar seja pelo fato de que determinadas trocas e armazenamentos de dados são necessárias para o próprio sistema funcionar.

Neste artigo, mapeamos os dados que estão armazenados ou são coletados pela infraestrutura de comunicação e pelos componentes do seu celular em seu funcionamento normal.

Por dentro do telefone

 

Os três principais sistemas lógicos de um smartphone, ilustrados de forma didática

Nossos smartphones parecem ser um sistema único, mas por baixo do panos há várias CPUs e unidades de memória agindo em conjunto para que eles funcionem. A maneira como os smartphones são construídos, com os sistemas “System on Chip” que já trazem quase todos os componentes condensados em um único chip, torna difícil identificar elementos fisicamente, mas pode-se identificar três computadores principais – cada um com seu próprio sistema operacional em software ou firmware – mais os componentes de rede, todos armazenando informações de identificação importantes:

  • SIM card: embora sua principal função seja armazenar o IMSI (International Mobile Subscriber Identity) e uma chave privada usada para proteger a comunicação com a rede celular, cada chip presente em celulares GSM é um computador autônomo.

    Assim como cartões de banco e outros smartcards, eles podem armazenar múltiplos programas escritos na linguagem Java Card, que podem ser instalados utilizando equipamentos especiais ou pela própria operadora de telefonia através de mensagens SMS de configuração over-the-air (OTA).

    O IMSI é um código de identificação vinculado à pessoa proprietária da linha, e permite à operadora saber que quem está falando de um determinado aparelho celular é o(a) cliente X, e então por exemplo descontar créditos ou aumentar o valor da conta desta pessoa.

  • Baseband modem: este computador, que é muito semelhante e mantém grande compatibilidade com os modems presentes nos primeiros aparelhos celulares, executa um sistema operacional proprietário (de código fechado, mantido sob propriedade intelectual de empresas da indústria de telecomunicações) e mantido em firmware (não pode ser facilmente substituído).

    Na prática, isso significa que ele é uma completa caixa preta. Em sua memória fica registrado o IMEI (International Mobile Equipment Identity), um código que, de maneira análoga ao IMSI, identifica o aparelho celular para a operadora de telefonia. O principal uso do IMEI pelas operadoras é para impedir celulares roubados de serem usados, através de listas desses identificadores mantidas em colaboração com os(as) próprios(as) clientes e/ou com departamentos de polícia.

  • Sistema principal: esse é o computador com maior poder de processamento e armazenamento, que armazena e executa o sistema operacional principal (Android, iOS etc) e todos os aplicativos que você tem instalados, atuando como ponte entre eles e os outros componentes como o baseband modem, as interfaces de rede abaixo, a tela, a câmera, o microfone etc.

    Como os aplicativos executados nesses apicativos podem coletar toda sorte de informações (e, como sabemos, por vezes coletam muito mais do que necessário para seu funcionamento), a quantidade de identificadores que podem estar aqui é grande demais para caber neste artigo. O Código de Publicidade (Android) e o Identificador de Publicidade (iOS) se destacam por serem acessíveis a todos os aplicativos, feitos especificamente para permitir a identificação inequívoca do celular por anunciantes. Ambos podem ter seu uso desativado nas configurações do celular.

  • Wi-fi e Bluetooth: cada um desses componentes tem um “endereço físico” específico (o endereço MAC, de “Media Access Control”) definido no momento de sua fabricação. Se o aparelho está com wi-fi e/ou bluetooth habilitados, ele divulga esses identificadores de tempos em tempos, para quem quiser ouvir, em busca de redes ou dispositivos conhecidos.

    Isso é o que permite que shoppings consigam seguir pessoas para extrair padrões de comportamento e conseguir identificar clientes específicos. Tanto no Android quanto no iOS há maneiras de mudar o endereço MAC apresentado pela interface wi-fi; o iOS especificamente passou a usar endereços descartáveis gerados aleatoriamente para parte do tráfego desde a versão 8.

Telefonia ou Internet?

Além da complexidade dessa estrutura de telecomunicações e do fato de telefonia e Internet se misturarem até mesmo a nível institucional, a convergência de ambas as tecnologias num mesmo telefone celular faz com que seja difícil discernir quais aplicativos ou ações são considerados como telefonia ou como conexão à Internet, que dirá quais dados cada uma dessas interações gera.

No grafo abaixo estão os principais tipos de atividades comuns em smartphones, associados ao tipo de serviço necessário para elas e quais dados são transmitidos (alguns detalhes serão explicados mais adiante):

Caminho da Telefonia

Apesar de hoje em dia nossos smartphones serem “computadores que por acaso também fazem ligações”, o sistema de telefonia celular está intrinsecamente ligado ao funcionamento do aparelho. Seja pelo fato de que muitas pessoas se conectam à Internet por 3G/4G/LTE, seja porque cada vez mais nosso número de celular é usado como meio de identificação e autenticação (como no login através do envio de tokens), o fato de alguém raramente fazer ligações e enviar SMSs não impede a operadora de telefonia de estar monitorando sua localização 24/7.

Simplesmente por estar ligado e dentro da área de cobertura, qualquer aparelho celular está em constante comunicação com as torres de telefonia que estão em seu raio de alcance, à procura da mais próxima que seja de sua operadora e o permita se conectar para enviar e receber ligações e mensagens.

Estas torres, chamadas de Estações Rádio-Base (ERBs), são distribuídas pela operadora por toda a sua área de cobertura, cada uma em uma célula que cobre uma parte do território – daí o nome de telefonia celular. Essas estações, que além da antena têm também computador e espaço de armazenamento, são ligadas à central da operadora que é quem organiza (e cobra) as ligações, mensagens e, no caso da Internet móvel, provê a conexão à rede mundial de computadores.

Ao emitir o seu constante “alô, sou um celular, tem ERBs aí?”, o aparelho transmite tanto seu IMSI (identificador do(a) cliente) quanto seu IMEI (identificador do aparelho). Isso permite com que as operadoras (que mantém um banco de dados que associa esses números aos dados cadastrais) saibam o tempo inteiro em qual célula um(a) determinado(a) cliente está.

A localização a nível de células já é um dado bastante sensível, mas através da combinação dos dados de múltiplas torres usando técnicas como a triangulação, trilateração e multilateração, é possível mapear com bastante precisão os principais endereços e a movimentação de uma pessoa, principalmente em locais urbanos onde há uma concentração maior de antenas por km². Experimentos feitos pelo Open Data City e pelo jornal alemão Die Zeit mostram em visualizações como uma pessoa pode ter sua vida devassada apenas a partir dessas informações.

Também devido a esse comportamento dos celulares, equipamentos comumente chamados de IMSI catchers, antenas espiãs ou Stingrays possibilitam listar os identificadores de pessoas que estão em um determinado local (como foi feito em uma praça da Ucrânia durante uma manifestação).

A princípio mantidos para fins de cobrança e prevenção de fraudes, os CDRs (Call Detail Records, registros detalhados de chamadas) acumulam informações preciosíssimas sobre clientes. Análises avançadas desses bancos de dados podem ser feitas para fins diversos como prever o status socioeconômico de pessoas ou quais delas podem estar perto de trocar de operadora (churn) e visualizar redes sociais formadas por ligações para investigação de crimes. Forças policiais e judiciais podem em muitas jurisdições acessar os dados tanto nas operadoras quanto nas próprias ERBs, prática conhecida como tower dump.

Infelizmente, essa constante transmissão de dados não pode ser contornada por ser parte intrínseca da telefonia celular, exceto desativando o funcionamento do SIM card nas configurações do celular ou o colocando em uma bolsa que o isole de sinais eletromagnéticos (uma “gaiola de Faraday”) – mas aí as funções de celular e Internet móvel do dispositivo também param.

Caminhos da Internet

O caminho que seus dados farão para chegar “à Internet” vai depender do seu tipo de conexão: wi-fi ou móvel / dados.

Ao acessar por wi-fi da sua casa ou de um café, você estará tipicamente se conectando a um roteador, que está ligado a um modem (ou já possui um embutido), que se comunica através de cabos ou ondas de rádio, talvez com intermediários como a central de distribuição do seu bairro, até o provedor de Internet banda larga.

Já ao acessar a Internet através do plano de dados da sua operadora, você está transmitindo dados pelo mesmo caminho que suas ligações e SMSs e que explicamos há pouco. Seus dados relativos ao uso da Internet, no entanto, ficam armazenados somente na central da operadora – a ERB usada registrará somente que você esteve por ali e que se conectou à Internet através dela (tecnicamente pode ser possível que alguém com controle da ERB a programe para registrar isso, mas isso foge do escopo do artigo e, ao que sabemos, da prática comum). Para todos os efeitos, sua operadora é seu provedor de Internet, e geralmente está sob o mesmo arcabouço legal da sua operadora no caso acima.

Em ambos os casos, todas as suas ações na Internet são sempre vinculadas ao endereço IP da sua conexão, designado pelo provedor para o seu celular, no caso da telefonia móvel, ou para o roteador no caso do wi-fi. Os provedores costumam registrar as conexões feitas (endereço IP de origem, endereço IP de destino e data/hora) por meses ou até mesmo anos.

Como muitas vezes um único endereço IP pode ser compartilhado por múltiplas máquinas, ele tecnicamente não identifica as atividades de uma pessoa específica; legalmente, porém, ele pode ser associado à/ao titular do plano de Internet. Além disso, os roteadores registram os endereços MAC que identificam o componente wi-fi do celular e, cruzando seus dados com os registros de conexão do provedor, é possível discernir quais das atividades atribuídas a um endereço IP vieram de um determinado aparelho.

Embora a Internet permita que nos conectemos diretamente às máquinas de outras pessoas, na prática a maior parte do nosso tráfego é direcionado a servidores, máquinas com grande poder de armazenamento e processamento que intermediam nossas comunicações (como as via e-mail e mensagens instantâneas) ou nos servem conteúdo e serviços online (no caso da Web). Eles também têm acesso ao seu endereço IP e podem guardar seus próprios registros, a seu critério e/ou por determinação legal dos países onde ele e e o(a) usuário(a) se encontram, e associar o IP ao seu login, seus dados cadastrais e que ações foram executadas / que páginas foram requisitadas.

Ao usar serviços de VPN ou proxy, os endereços que constarão nos registros do provedor serão todos de conexões suas ao serviço que você utilizar, enquanto o servidor que você está acessando registrará o endereço IP desse mesmo serviço de VPN / proxy. Esse serviço, no entanto, terá acesso a todo o seu fluxo de comunicação e pode, tecnicamente, registrar e inspecionar os dados da mesma forma que o seu provedor poderia numa conexão comum. É recomendado, principalmente se você não conhece e confia no serviço que está usando, garantir que o aplicativo ou site que você está acessando possua sua própria camada de criptografia (como o HTTPS no caso da web e outros tipos de criptografia de transporte e/ou ponta-a-ponta).

Ao se conectar à Web ou outros serviços utilizando o Tor, os registros conterão conexões a diversos nós de entrada da rede em países diferentes, e os endereços IP dos registros no servidor acessado serão pulverizados entre diversos nós de saída também dispersos pelo mundo. Na prática, isso confere maior anonimato (pois não há nenhuma máquina centralizando o tunelamento da conexão como no caso anterior), mas como o tráfego sairá de diversos pontos escolhidos aleatoriamente é ainda mais importante utilizar uma camada extra de criptografia para qualquer assunto sensível (como logins e trocas de dados que possam lhe identificar).

Apanhado geral

Breve história do Riseup.net

Esse texto foi enviado, em diversas línguas, às usuárias do Riseup, em 15 de novembro de 2013.


Queridas pessoas que usam Riseup:

Aqui está a história de como nos tornamos o Riseup que somos.

Era uma vez, lá pelos fins de 1999 quando a internet ainda era jovem e o milênio engatinhava, dois geeks se empolgaram nos protestos contra a OMC em Seattle, Estados Unidos. Após uma semana de gás lacrimogênio, cadeia, fantasias e muitos cantos e palavras de ordem, se sentaram na sala de casa e conversaram sobre o que o movimento precisava para a próxima década. Daí, surgiu a ideia de Riseup.net como um provedor independente de listas e e-mails. Eles criaram Riseup com um par de servidores em sua casa, e logo atraíram mais uns dois geeks para a causa.

Todos os anos Riseup crescia e crescia, e acabou se tornando uma dor de cabeça no sentido de que demandava mais trabalho e dependia de mais pessoas. Algumas pessoas entraram e saíram do coletivo, e houve anos difíceis nos quais não era claro se colocar tanto tempo e dinheiro neste projeto era a coisa certa a fazer. Mas teimosamente, Riseup continuou seu caminho.

As habilidades do grupo aumentaram em relação a prover serviços estáveis e seguros. Mais pessoas se juntaram ao coletivo e elas eram ativistas valiosas: o tipo de gente que trabalha duro em todas as irritantes minúcias do dia a dia, que aparece nas reuniões e se preocupa profundamente com esse projeto quixotesco, e que fica acordada a noite toda em momentos de crise para exercer toda sua poderosa destreza hacker, parecendo até mágica para aqueles do coletivo (como eu) que são escritores e não geeks.

Então, em algum momento em 2007, o coletivo começou a ter membros mais estáveis e nos tornamos um grupo de cerca de dez pessoas. Na sua maioria, são as mesmas pessoas que temos hoje. Nos últimos oito anos, nos tornamos um coletivo real, algo raro. Temos trabalhado juntos em Riseup por um longo tempo, e aos poucos, isso se tornou algo grande em nossas vidas. Celebramos – as que vivem próximas – nossas festas juntas e nos preocupamos uns com os outros de uma forma sincera e verdadeira. Um dos maiores êxitos secretos de Riseup foi quando Mutuca e Arara se conheceram em um de nossos retiros e se apaixonaram. De vez em quando, temos tido conflitos, brigado e nos irritado uns com os outros (já que somos humanos e não robôs), e isso levou até a algumas pessoas saírem do coletivo. Mas no geral, temos sido surpreendentemente estáveis como um todo. Entretanto, passamos de energéticos e sonhadores jovens radicais para rabugentos e sonhadores radicais de meia-idade.

E ainda, em algum momento nos últimos oito anos, Riseup se tornou uma força a ser respeitada. Somos o maior provedor de e-mails sem fins lucrativos do planeta, fora do sistema universitário. Rodamos um dos nós da rede TOR mais usados do mundo. Somos frequentemente citados e recomendados como um dos poucos provedores éticos, autônomos e seguros da internet. Encaramos legalmente a extrema-direita dos Estados Unidos para não dar informações de nossos usuários e conseguimos. Usamos e desenvolvemos softwares seguros e porretas. Articulamos com outros coletivos tecnológicos ao redor do globo sobre o que faremos frente a toda essa espionagem e como podemos continuar este trabalho na próxima década. Temos grandes corações e mentes, e planejamos vencer.

Então, esses somos nós. Ou uma das nossas histórias. Nos apoie se puder!
https://help.riseup.net/pt/pt-doacao

Com amor,
A passarada de Riseup

Novas Tecnologias, a Exploração Extraterrestre e o Futuro do Capitalismo

aprofundando um assunto mencionado em “uma aposta para o futuro”

Um dos assuntos mencionados em “Uma Aposta Para o Futuro”, que foi recebido com ceticismo ou inclusive com risos, foi a afirmação de que a colonização do espaço sideral poderia ser a única forma para o capitalismo sair das crises que tem gerado.

Gostaríamos de começar 2017 dedicando um pouco de atenção a essa afirmação.

Em 2017 será a entrega do Prêmio Lunar X, da Google. A corporação estadunidense (tão importante para o capitalismo do século XXI como era a Ford para o do século XX) oferece $20 milhões de dólares à primeira empresa que conseguir enviar uma nave à Lua, conduzi-la por 500 metros sobre sua superfície e transmitir imagens de alta definição para a Terra. Porém, isso tem que acontecer neste ano. Existem diversas equipes que estão trabalhando para conseguir realizar o desafio.

Uma delas é a Moon Express, que já conseguiu uma permissão legal do governo dos EUA para realizar explorações comerciais na superfície da Lua. Se chegar a ela – e já possui o financiamento necessário e um calendário de lançamentos de teste – não apenas ganharia o prêmio, como também levaria uma carga comercial que representaria o primeiro passo para iniciar um serviço de entregas de equipamentos à Lua, o que tornaria factível a mineração na superfície lunar de hélio-3 (um combustível valioso para os reatores nucleares).

Outra empresa, a Planetary Resources, diz que a mineração de metais e água em asteroides poderia ser um negócio de trilhões de dólares. Para ela, a água (e seu hidrogênio, que pode servir de combustível para naves espaciais) “é o petróleo do espaço sideral”. Essas não são palavras vazias. Ela é mais uma empresa com planos de negócios e a tecnologia necessária para começar a realizar as explorações imaginadas.

Em 14 de janeiro de 2017, a Space X voltou ao espaço. Ela é uma das empresas de Elon Musk (aquele que também está preparando veículos autônomos – ou seja, robóticos ou autoconduzidos – para venda comercial; a tecnologia já funciona sendo que o único obstáculo são as regulamentações legais), o bilionário que tem como cruzada pessoal a colonização de Marte nas próximas décadas. A empresa consertou um erro no desenho de seus foguetes e no dia 14 empreendeu um lançamento bem-sucedido. Lançou 10 satélites comerciais de um mesmo foguete, o qual, posteriormente, voltou à Terra automaticamente, aterrissando em um navio-drone da Space X que o esperava – com uma tripulação totalmente robótica – no meio do oceano Pacífico. Os foguetes autônomos e reutilizáveis (daria para dizer, ecológicos) são um dos fundamentos do plano de Musk para chegar em Marte. Ele já traçou um plano de negócios para desenvolver a tecnologia e conseguir os recursos para cumprir a missão.

Essas não são empresas isoladas ou insignificantes. O Estado também está prestando atenção à colonização extraterrestre. O Tratado do Espaço Sideral da ONU de 1966, que diz que não se poderia armar nem apropriar como território o espaço nem os objetos espaciais, e que qualquer atividade econômica teria que ser pacífica e para o bem de toda a humanidade. Em 2015, na Lei sobre a Competitividade de Lançamento Comercial Espacial (Commercial Space Launch Competitiveness Act), o governo dos EUA deu forma à questão legal, estabelecendo o direito legal para empresas privadas explorarem a Lua, os asteroides e outros objetos espaciais. A lei cede às entidades privadas o direito de explorar e vender o produto de tais objetos, mas não de se apropriar do objeto em si. Com efeito, se poderia minerar a Lua até esvaziá-la, mas as empresas privadas com suas fábricas robóticas não poderiam se considerar as proprietárias.

As bolhas

A bolha dos dotcom¹, que estourou no ano 2000, demonstra que se pode investir um capital imenso em empresas que não geram nenhum lucro durante vários anos antes que a bolha estoure (nesse caso, foram seis anos). De fato, ela não estourou até o momento em que uma novas corporações mostraram a capacidade de tornarem-se rentáveis e produtivas, corporações que hoje em dia estão entre as mais poderosas do mundo, como Google, Amazon e Facebook. Estamos no começo de uma fase de investimento e crescimento massivos no novo setor de transporte e exploração extraterrestre. Os empreendedores capitalistas deste setor possuem a vantagem de que a base logística para seu sonho (tudo o que está ligado com lançamento de satélites, com seus imprescindíveis usos militares e comerciais) já está corrente e rentável. De forma parecida, Colombo não teve que inventar os barcos de longas travessias nem os instrumentos de navegação (os quais já havia sido desenvolvidos pelos portugueses nos luxuosos circuitos de comércio do Oriente Hindu), mas simplesmente dar-lhes um uso mais extremo.

Elas têm alguns anos para produzir lucro com a exploração extraterrestre antes de que a bolha estoure. Se conseguirem, o capitalismo voltará a experimentar um crescimento intensivo e o momento de máxima vulnerabilidade das instituições e de máxima raiva popular terão passado.

A colonização extraterrestre não é mais um tópico da ficção científica. Mas falando em ficção científica, temos que assinalar também a grande produção de imaginários feita por Hollywood e outros centros de trabalho cultural, que joga nossa atenção para a colonização do espaço. Desde o século XIX, de vez em quando tem aparecido obras que concebem viagens para fora da Terra, mas a atual produção cultural frenética não é qualitativa nem quantitativamente comparável. Ela tem como efeito não apenas a normalização da atividade extraterrestre mas também nos acostuma a imaginar como seriam os primeiros passos para levar nossa civilização e a economia capitalista para além da força de gravidade da Terra.

Estamos no ápice de um acontecimento tão importante para o avanço do capitalismo e para a guerra contra a vida como foi a colonização das Américas. Como Bob Richards, chefe da Moon Express, disse “agora estamos livres para zarpar como exploradores do oitavo continente da Terra – a Lua – em busca de novos conhecimentos e recursos para expandir a esfera econômica da Terra para o bem de toda a humanidade.”

Diante dessa nova realidade em construção, o que temos que fazer?

A fetichização das novas tecnologias, muito comum em certos círculos de antagonistas sociais, é a auto-traição mais cruel possível, comparável à celebração racista e míope do colonialismo brindado por Marx e seus aduladores.

Luddismo

O luddismo² não tem que ser uma recusa de “toda a tecnologia” (entendida como toda ferramenta que os seres humanos têm desenvolvido nos últimos cem mil anos) e, de fato, os primeiros ludditas, tergiversados por Marx e outros progressistas, não rechaçaram as técnicas artesanais que lhes permitiam manter o controle sobre sua atividade produtiva, mas rechaçaram as imposições tecnológicas que beneficiaram os proprietários e que mudaram violentamente suas formas de vida. E rechaçaram também o poder policial que possibilitava aquelas imposições. Piratear, hackear e reapropriar tecnologias é uma corrente vital que poderia existir num conflito fértil com as correntes mais naturistas. Mas a adulação populista de toda nova tecnologia que poderia ser-nos de qualquer forma útil é um gesto de apoio acrítico ao Estado e ao capitalismo.

Um primeiro passo é a elaboração de uma crítica, e sobretudo de uma prática subversiva, com respeito às novas imposições tecnológicas sobre nossas vidas.

Também nos enfrentamos com a tarefa teórica de conceber como estas mudanças afetarão o capitalismo. Como afirmamos nas “23 teses”³, o regime de propriedade que define a sociedade de classes já está caducando. O espaço sideral – por exemplo, uma Lua sem proprietário, mas com muitos exploradores – poderia ser o terreno ideal para dar início a um novo regime de exploração, baseado no uso e acesso e não na propriedade (uma relação demasiado estável para o gosto do Estado e dos financistas).

Trabalhos e robôs

Outro assunto é o do trabalho. Diversos socialistas do século XIX confundiram-se e fizeram a previsão de que os avanços tecnológicos significariam a estreia de uma sociedade de ócio e abundância. Que não cometamos o mesmo erro teórico agora. O Estado inventa trabalho para nos ocupar. A rentabilidade é uma necessidade secundária. O trabalho produtivo no espaço sideral será sobretudo robótico. Isso faz parte da mesma tendência de robotização do trabalho industrial na Terra. Mas essa robotização não significou absolutamente uma redução na mão de obra humana em escala global. Significa, ao contrário, uma ampliação do trabalho assalariado humano nos setores de serviços, cuidados, trabalho sexual, engenharia e projeto. Os últimos dois serão o terreno dos trabalhadores privilegiados, o capital intelectual pelo qual competirão os Estados, os produtores de mercadorias etéreas da nova economia (estamos pensando nos empregados da Google e da Apple, das corporações antigas que se adaptaram à nova economia ou das pequenas startups, que produzem programas, estéticas e sistemas).

Os outros – serviços, cuidados, trabalho sexual – são tarefas geralmente de mulheres e que agora irão se tornar mais generalizadas. Qual será o efeito, para o patriarcado, da monetização e generalização das tarefas que antes não eram remuneradas e que definiam o que vinha a ser uma mulher e a segregação patriarcal? Deixamos a respostas às companheiras mais perspicazes, mas, de passagem, podemos apontar por um lado as novas leis em diversos países democráticos que cedem certos direitos às pessoas trans e, por outro, o contra-ataque das instituições patriarcais dentro do amplo auge da direita.

O primeiro acontecimento reconhece, de forma estritamente limitada, a mutabilidade do gênero, contradizendo assim uma das bases do patriarcado. Atualmente, a ala progressista do Estado apresenta o gênero como mais uma opção consumista, desativando assim os elementos mais conflitivos da transgressão de gênero. Mas é uma contradição que não pode se manter permanentemente. Portanto, é diferente da vitória do feminismo reformista que ganhou direitos políticos laborais para “a mulher” ao custo da perda dos espaços femininos autônomos, um quid pro quo4 que preservou o poder das instituições. Naquela mesma linha, podemos anotar que, contra o progresso atrasado da igualdade de salários, apoiado minimamente pelas instituições, as novas tarefas bem remuneradas estão todas no setor firmemente masculino da informática.

Escravidão

O capitalismo sempre dependeu da escravidão, mas a posição da escravidão dentro dos processos produtivos e reprodutivos vai mudando, muitas vezes como resposta à nossa resistência (abolição da escravidão visível dentro das democracias, movimentos feministas pela valorização do trabalho reprodutivo, lutas autônomas dentro das fábricas automobilísticas…). Aquilo que ontem era uma esfera de trabalho não remunerado, amanhã será assalariado e vice-versa. A tarefa feminina entra no mercado laboral e a tarefa produtiva volta a ser um trabalho não remunerado. Mas desta vez, os escravos são robôs e sua atividade é 100% legível 5, racionalizada e vigiada: estão sob o controle do Estado. A transição não será nem imediata nem homogênea. Seguramente, se passarão décadas antes que os setores da madeira, do chocolate e outros nos países mais pobres tornem-se rentáveis para que se substituam escravos humanos por robôs.

A tendência da robotização tornará inquestionável tanto nossa incapacidade de tomar os meios de produção quanto a impossibilidade dessa proposta. A maioria dos trabalhadores produtivos serão robôs e os outros conformarão a camada mais privilegiada de explorados. Essa realidade já se assentou em grande parte da produção automobilística, o processo industrial que definia a época anterior do capitalismo. As empresas automobilísticas mais modernas e as empresas de equipamentos informáticos já possuem fábricas majoritariamente robotizadas, fabricando produtos idealizados por engenheiros e projetistas bem remunerados, os trabalhadores com formação de alto nível mediante múltiplas carreiras, que entendem sua tarefa como a atualização do seu ser, gente ligada aos meios de produção e leal ao capitalismo.

Entretanto, isso será mais acentuado no espaço sideral, onde quase 100% da força de trabalho será robótica, empregada na mineração de combustíveis (energia verde como as células de hidrogênio e a nuclear) que propulsionarão o próximo ciclo de acumulação do capital. E aquele ciclo se definirá como a extensão dos circuitos produtivos a um novo território: a Lua, o cinturão de asteroides e Marte. Assim, o terreno será preparado para o ciclo seguinte de acumulação, no qual, este sim, poderá envolver mais mão de obra humana: a terraformação ou povoamento de Marte (seguindo o padrão identificado por Arrighi, um ciclo de expansão geográfica e institucional, seguido de outro ciclo que intensifica a exploração e o controle dentro do terreno anteriormente colonizado).

Os meios de produção são e sempre foram uma máquina de devastação. Não os queremos e agora nem poderíamos propor sua expropriação. No século XXI, não nos resta nenhum outro meio ao não ser reivindicar e praticar a recuperação dos conhecimentos e capacidades artesanais que colocam a vida e a sobrevivência, numa escala sã e natural, ao alcance de todo mundo. Mas, esse caminho de luta, como qualquer outro, já está cheio de armadilhas. A principal delas é a comercialização. Com mais consumidores privilegiados – os projetistas, programadores, arquitetos de sistemas -, pode-se sustentar mais produtores artesanais, sobretudo quando os gostos daqueles demonstram uma marcada preferência pelo “eco” e o local.

 

Agricultura

Consideremos o exemplo da agricultura. Num futuro próximo, é factível que a eficiência energética (quantas calorias de energia são necessárias para produzir uma caloria de alimento) se converta numa medida para dar valor ao uso do capital. Uma agricultura mais sustentável, mas eficiente quanto ao uso energético, teria que substituir as máquinas e o petróleo por mais mão de obra humana. Perante o perigo de uma população sem emprego, os capitalistas – e por que não, o Estado – sempre têm que inventar novas formas de trabalho. E a crise ecológica se mostra cada vez mais grave. Uma possível solução seria que o capitalismo fomentasse a agricultura local, aproveitando-se de suas novas capacidades de descentralização. Desse modo, daria grandes passos à frente para solucionar a crise ecológica (criada em grande parte pela agricultura industrial), daria emprego a mais pessoas, ofereceria aos consumidores privilegiados um produto-fetiche e colonizaria a agricultura de pequena escala, transformando-a em uma atividade legível e comercial quando antes sempre foi uma fonte de resistência e autonomia.

Nos países mais pobres, na ausência de muitos consumidores privilegiados e um Estado forte, as ONG poderiam administrar o processo, e na verdade, já estão o fazendo. Nos EUA, onde a população envolvida numa agricultura hiper-industrializada já havia caído abaixo de 1%, esta mudança para o crescimento agrícola mediante a produção em pequena escala já está se produzindo. Feiras de Produtores, sobretudo nas zonas de muita produção informática, já saíram do esquecimento e estão fazendo cada vez mais parte do cotidiano.

Ludismo

O novo artesanato, para ser subversivo, teria que ser ludita, baseado em práticas de sabotagem e em redes ilegíveis (quer dizer, opacas vistas de cima), de trocas qualitativas (quer dizer, economias de dádivas, como nas coletivizações mais radicais durante a Guerra Civil Espanhola). Mas hoje em dia, as máquinas mais relevantes para serem sabotadas não são os teares mecânicos, mas as máquinas sociais, as que mediam a comunicação, produzem e controlam as redes de socialização e sociabilidade, e definem uma maneira de ser no mundo.

Não podemos continuar utilizando argumentos de conveniência. O capitalismo também é mau nos momentos de bonança; a tecnologia capitalista também é má quando funciona bem e não provoca nenhum desastre específico. O único caminho de ataque discursivo que nos resta é o enfrentamento direto com a espiritualidade cristã que tanto a ciência como o socialismo herdaram: o mundo, o universo, não existem para a nossa exploração. Não existe nenhum argumento racionalista (nem dentro dos parâmetros da corrente mais radical do liberalismo, que é o veganismo) contra a mineração da Lua. Nenhum ser humano será ferido, ou outro animal, e segundo o racionalismo, todo o resto é matéria morta. Os únicos argumentos sólidos contra as novas atrocidades são espirituais. São argumentos que afirmam que a Terra é nossa mãe e que deveríamos nos adaptar aos processos naturais em vez de modelá-los segundo nossos caprichos arrogantes; que encher a Terra ou a Lua de buracos em busca de minerais valiosos é tão imperdoável como massacrar um povo inteiro. Aqueles que se aproveitaram de argumentos científicos para justificar o genocídio, a escravidão, a mineração e o corte indiscriminado de florestas inteiras são os mesmos, e suas instituições são as mesmas, que aqueles que hoje em dia estão celebrando a iminente conquista da Lua e de Marte. E as tecnologias que nos levarão até lá (os foguetes) foram desenvolvidas pelos nazistas no curso do mesmo Holocausto que o liberalismo tão hipocritamente repudia, sem nunca repudiar seus frutos. Mas temos acatado o humanismo durante tanto tempo que já não podemos levantar nossas vozes em protesto contra uma atrocidade onde não haverá vítimas humanas. Mas nem as pessoas desgraçadas que não acham ruim em si a mineração da Lua podem negar que qualquer introdução de novos recursos à maquinaria capitalista irá acelerar os processos que estão criando uma sociedade-prisão aqui na Terra.

A escolha é entre o ecocentrismo e o totalitarismo.

– Josep Gardenyes
Janeiro de 2017

 

Notas da tradução:
¹ A bolha da Internet ou bolha das empresas ponto com foi uma bolha especulativa criada no final da década de 1990, caracterizada por uma forte alta das ações das novas empresas de tecnologia da informação e comunicação (TIC) baseadas na Internet. Essas empresas eram também chamadas “ponto com” (ou “dot com”), devido ao domínio de topo “.com” que consta no endereço de muitas delas na rede mundial de computadores.

No auge da especulação, o índice da bolsa eletrônica de Nova Iorque, a Nasdaq, chegou a alcançar mais de 5000 pontos, despencando pouco tempo depois. Considera-se que o auge da bolha tenha ocorrido em 10 de março de 2000. Ao longo de 2000, ela se esvaziou rapidamente, e, já no início de 2001, muitas empresas “ponto com” já estavam em processo de venda, fusão, redução ou simplesmente quebraram e desapareceram. Wikipedia.org.

² O ludismo (ou luddismo) foi um movimento que ia contra a mecanização do trabalho proporcionado pelo advento da Revolução Industrial. Adaptado aos dias de hoje, o termo ludita (do inglês luddite) identifica toda pessoa que se opõe à industrialização intensa ou a novas tecnologias, geralmente vinculadas ao movimento operário anarcoprimitivista.

As reclamações contra as máquinas e a sua substituição em relação à mão de obra humana, já eram normais. Mas foi em 1811, na Inglaterra, que o movimento operário estourou, ganhando uma dimensão significativa.

O neo-ludismo é um movimento sem lideranças formado por grupos sem afiliação que resistem às tecnologias modernas e pregam o retorno de algumas ou todas as tecnologias para um estágio mais primitivo. As pessoas neo-luditas são caracterizadas por uma ou mais das seguintes práticas: abandono passivo do uso da tecnologia, ataque àqueles que produzem tecnologia, defesa de uma vida simples, ou sabotagem de tecnologia. O movimento neo-ludista moderno possui conexões com o movimento anti-globalização, o anarco-primitivismo, o ambientalismo radical e a Ecologia Profunda (Deep Ecology). Wikipedia.org
³ 23 Teses se refere ao livro “23 Teses em Torno da Revolta” livro ainda sem tradução para o portuguê que Gardenyes é co-autor.
4 Quid pro quo é uma expressão latina que significa “tomar uma coisa por outra”. Refere, no uso do português e de todas as línguas latinas, uma confusão ou engano. Wikipedia.org
5 O termo “legível” parece se referir à forma como o poder no topo de uma hierarquia consegue ver ou ler os processos da sua base e alterá-los ou cooptá-los.

Oficina na CryptoRave: Política e tecnologia na sociedade do controle

O Mariscotron ministrará a oficina “Política e tecnologia na sociedade do controle” durante a CryptoRave que acontece em São Paulo entre os dias 5 e 6 de maio.

Dia: 06/05/2017
Hora de início: 14:10
Duração: 00:50
Sala: Aaron Swartz

Descrição:

É uma oficina básica para apresentar os aspectos políticos e tecnológicos da Cultura de Segurança. Engloba, de maneira geral, técnicas de ofuscação digital, criptografia assimétrica e boas práticas com respeito à tecnologia para o desenvolvimento de uma cultura voltada para a segurança dos de baixo.

A Cultura de Segurança é um conjunto de práticas e conhecimentos que promove uma vida segura dentro da comunidade onde ela se desenvolve. Quando falamos em conhecimentos temos em vista uma melhor avaliação de riscos e previsão de consequências para dadas ações. Isso depende de uma compreensão global e comunitária do entrelaçamento entre política, tecnologia e controle. Já as práticas são as próprias ações ou meta-ações que dão a qualidade de segurança ao que se quer fazer, que poderiam estar relacionadas a ofuscação, criptografia, entre outras.
Encorajamos as pessoas a trazerem seus computadores para experimentar na prática ferramentas simples como no-script, tor-browser, trackography, e anotar links, compartilhar materiais de estudo e trocar contatos.

Mais informações: https://cpa.cryptorave.org/pt-BR/CR2017/public/events/41

CryptoRave – programação 1.0

Habemus programação!! Ou a versão um-ponto-zero!

Embora algumas pessoas ainda não tenham confirmado a participação nos horários definidos pela organização, a versão 1.0 da programação da CryptoRave 2017 está pronta! Esse ano recebemos mais de 140 inscrições de atividades. Foram aprovadas 107, das quais há 31 atividades propostas por mulheres!

Você pode checar as propostas já aprovadas e confirmadas aqui:

https://cpa.cryptorave.org/pt-BR/CR2017/public/events

E no site: https://cryptorave.org/

ATENÇÃO: Esta não é a programação final da CryptoRave 2017! Ela ainda está sujeita a alterações e aguardando mais confirmações.

Locais do evento!

Atenção! Diferente dos últimos anos, a festança acontecerá na noite de sábado e não de sexta.

A Crypto acontece dia 05 e 06 de maio na Casa do Povo:

Rua Três Rios, 252 – Bom Retiro, São Paulo – SP, 01123-000
Fica pertinho da estação do Metrô Tiradentes – linha azul
Aqui ó: http://www.openstreetmap.org/search?query=Rua%20tr%C3%AAs%20rios%2C%20252#map=19/-23.52909/-46.63658&layers=N

A Rave da CryptoRave acontecerá na noite de sábado, dia 06 de maio às 20h, no Al Janiah e contará com performances, DJs e bandas, em breve disponível no site!

Al Janiah
Rua Rui Barbosa, 269 – Bela Vista – São Paulo
(esquina com a Conselheiro Carrão)
http://www.openstreetmap.org/way/425925638#map=19/-23.55789/-46.64546&layers=N

Você pode ir de Metrô de um lugar para o outro, basta pegar a linha azul do Metrô na estação Tiradentes, descer na Estação São Joaquim e andar mais 16 minutos até o Al Janiah.

Outra opção é andar até a frente da estação da Luz (que fica a 5min da Casa do Povo) e pegar o ônibus 5154-10 – Terminal Santo Amaro, descer na Rua Brigadeiro Luiz Antônio e andar 5min até o Al Janiah.

Aqui há um mapa da rede de metrô de São Paulo: http://www.metro.sp.gov.br/pdf/mapa-da-rede-metro.pdf

Outros serviços

Feira de comida 24 horas
—————————

Embora este ano a CryptoRave aconteça em um bairro conhecido pela variedade de excelentes restaurantes, nós teremos uma feirinha de comidas rápidas para quem não quiser perder nenhuma atividade.

Não haverá pausa para o almoço! Por isso, prepare-se, leve seu lanchinho de casa ou se delicie com as opções de comida disponíveis em nossa feira de comidas.

Feira do rolo
————–

Achado não é roubado! Sabe aquele adaptador wifi que você comprou achando que seria super útil e nunca usou? Ou aqueles pentes de memória que sobraram do computador antigo? Ou celular smartphone obsoleto? Ou ainda o arduino que você nunca tirou da caixinha?

Este ano a CryptoRave terá uma feira do rolo de usados em boas condições ou no estado! Não vale trazer aquele servidor 1U de 10 anos atrás que é um atentado a natureza (vale sim). Além de equipos, vale trazer livros, cabos, adaptadores, enfim!

A feira do rolo será realizada no sábado, na laje da Casa do Povo.

CryptoRave

Compartilhando Arquivos de Forma Segura com OnionShare.


Existem inúmeras opções para escolher quando você precisa enviar um arquivo pela internet. No entanto, muitas delas não são seguras e não protegem seus dados, e outras, como o e-mail, permitem enviar apenas pequenos arquivos. Além disso, anexos de e-mails sobrecarregam os servidores, em especial se você usa servidores sem fins lucrativos.

Uma alternativa segura é o OnionShare, um programa que permite enviar arquivos de qualquer tamanho de forma segura, anônima e efêmera. O OnionShare funciona criando um servidor web temporário, acessível apenas pela rede Onion do Tor através de uma URL praticamente impossível de ser adivinhada. É bastante diferente de ter que confiar em serviços de terceiros já que usa seu próprio dispositivo para hospedar o arquivo. Para fazer o download, a outra pessoa precisa apenas acessar o link que você enviou em um navegador Tor.

Como Usar

Partindo do ponto que você já deve ter o navegador Tor instalado em sua máquina, basta instalar o OnionShare. Feita a instalação, você primeiro deve rodar o navegador Tor e então abrir o OnionShare. O próximo passo é arrastar os arquivos ou diretórios que deseja compartilhar (ou navegar por seus diretórios) e clicar em <start server>. O programa irá gerar uma URL .onion para você compartilhar com a outra pessoa. Assim que o download for feito, o compartilhamento é interrompido. Caso você queira compartilhar com mais pessoas, é possível optar por não interromper automaticamente o servidor e manter o link disponível. Mas tenha cuidado ao compartilhar o link, pois a mensagem pode ser interceptada. Sempre envie os links de forma segura com criptografia de ponta-a-ponta.

Para fazer o download, tudo que a outra pessoa precisa é ter o navegador Tor instalado e abrir o link que você enviou, ou seja, ela não precisa ter o OnionShare instalado.

 

Resumindo…

  •  Terceiros não têm acesso aos arquivos compartilhados.
    Não há upload para servidores remotos. O seu próprio computador hospeda o(s) arquivo(s).
  • Interceptadores não podem espionar os arquivos em trânsito.
    Como as conexões entre serviços da rede Tor Onion são encriptados de ponta-a-ponta, não há forma de espionar os arquivos compartilhados ou baixá-los. Mesmo um adversário posicionado na entrada ou saída da rede Tor só verá tráfego Tor.
  • A Rede Tor protege o seu anonimato e o da pessoa para quem você está enviando arquivos.
    Contanto que você se comunique de forma anônima com a pessoa com quem deseja compartilhar o arquivo, a Rede Tor e o OnionShare irão proteger suas identidades.
  • Se um ataque conseguir descobrir o endereço .Onion, os arquivos continuam seguros.
    Existem ataques que conseguem descobrir endereços .Onion, mas mesmo assim é impossível baixar os arquivos sem conhecer o slug. Para cada envio, é criado um slug de forma aleatória a partir de uma lista de 6800 palavras, o que significa que existem 6800², ou cerca de 46 milhões, de slugs possíveis. Após 20 tentativas de adivinhar um slug o servidor é parado automaticamente para prevenir ataques de força bruta.
  • O envio da URL depende de você.
    A responsabilidade de enviar de forma segura e secreta a URL para a pessoa com quem você quer compartilhar o arquivo é toda sua. Se um adversário está espionando seus e-mails ou outros meios de comunicação, o OnionShare não irá proteger seus arquivos.
  • O anonimato depende dos seus hábitos.
    Mesmo que consiga enviar a URL de forma segura e criptografada, se você precisa se manter anônima, então deve usar sempre contas que não estejam atreladas à sua identidade e que tenham sido criadas pela rede Tor. Se o arquivo não é tão sigiloso, ou o envio de arquivos entre você e essa pessoa é algo corriqueiro, você não precisa se prevenir tanto.

 

Instalação

Linux

Debian / Ubuntu
Em um terminal adicione o repositório:
$ sudo add-apt-repository ppa:micahflee/ppa

Em seguida rode a atualização:
$ sudo apt-get update

E depois instale o OnionShare:
$ sudo apt-get install onionshare

Fedora
Se você está usando Fedora, instale a partir do Software ou abre um terminal e digite:
$ sudo dnf install onionshare

Outras Distros
Se você está usando uma distribuição diferente de Linux, siga esses passos para instalar.

Windows
OnionShare para Windows

Mac OS
OnionShare para Mac OS