O interessante ataque KRACK mostra uma falha grave no WPA, protocolo de segurança para redes sem fio usado em toda parte — e que segue sendo o mais seguro que temos disponível, mesmo depois desse ataque.

Bruce Schneier definiu o ataque como brilhante: “embora a vulnerabilidade seja óbvia depois que alguém aponta pra ela, por mais de 10 anos ninguém percebeu”.

É bom que a mídia nacional e internacional tenha dado destaque para a descoberta. Ajuda na pressão para que o problema seja consertado mais rápido. Porém, me parecem sensacionalistas as notícias que falam coisas como “a partir de hoje, não existe rede wifi segura”. Além da manchete, a chamada dessa matéria é um exagero: “Vulnerabilidades no principal padrão de segurança de wifi utilizado hoje, o WPA2, tornam sua criptografia e medidas de segurança praticamente inúteis.”

Pelo pouco que li, não é o fim do mundo. Listo alguns motivos:

1. A maioria das redes wifi já não é segura. Usam chaves fracas que podem ser descobertas por meio de ataques de força bruta. E quem tem a chave já consegue descriptografar o tráfego com tranquilidade. Pra não falar de redes sem chave, usadas em aeroportos e outros lugares públicos, que já não têm nenhuma segurança. Usar Wi-Fi apenas em lugares com autenticação por certificados no lugar de senhas compartilhadas tem que ser pré-requisito para considerar esse ataque o fim do mundo. É por isso que Nicholas Weaver conclui que só quem deve se preocupar são as empresas que usam tais padrões mais seguros. Pra elas houve uma mudança maior, de fato.
2. A falha pode ser corrigida do lado do cliente. A Microsoft e a Apple já lançaram patches para corrigir seus sistemas operacionais, diversos patches já existem também para Linux e o Google se comprometeu a lançar um patch para Android nas próximas semanas. Ou seja, basta instalar uma atualização no seu sistema operacional (uma boa prática de segurança) para estar livre da vulnerabilidade (e aí talvez escrevam novas matérias dizendo “a partir de hoje, as redes wifi voltam a ser seguras”?). Como diz o próprio site do KRACK, “Do we now need WPA3? No, luckily implementations can be patched in a backwards-compatible manner.”
3. Como diz o resumo do artigo em que a falha é apresentada: “The impact depends on the handshake being attacked, and the data-confidentiality protocol in use. Simplified, against AES-CCMP an adversary can replay and decrypt (but not forge) packets. This makes it possible to hijack TCP streams and inject malicious data into them. Against WPA-TKIP and GCMP the impact is catastrophic: packets can be replayed, decrypted, and forged. Because GCMP uses the same authentication key in both communication directions, it is especially affected.” Ou seja, mudando a configuração do WPA no seu roteador você pode obter um pouco mais de segurança.
4. Como a vulnerabilidade exige que o atacante esteja fisicamente no mesmo lugar que você, não vai haver um ataque em massa como o ransomware que comprometeu centenas de milhares de máquinas no mundo inteiro. Por algumas semanas (até os seu sistema operacional estar atualizado), pessoas perto de você que implementem o ataque descrito no artigo poderão ver seu tráfego *não criptografado* (mas elas provavelmente já podiam, pelo item 1).
5. A ênfase no “não criptografado” do item acima se deve ao fato de que a maioria do tráfego na web hoje é criptografado usando TLS (https). Tal tráfego não está sujeito a interceptação. É verdade que no vídeo do ataque o pesquisador usa o sslstrip para interceptar esse tráfego. Mas creio que seja justo dizer, ao menos, que quando você vê um cadeadinho e um “https” na barra de endereço do seu navegador seu tráfego segue sendo seguro. [No mais, usar extensões como HTTPS Everywhere segue sendo uma ótima recomendação.]
6. Medidas de segurança não se tornaram inúteis. Usar uma VPN segura em lugares públicos (ou mesmo privados), por exemplo, segue sendo uma boa prática que protege seu tráfego.

Por fim, parece bom aproveitar o momento pra dizer que a maioria das redes sem fio não são seguras e que é bom se preocupar com a segurança delas. Usar WPA com certificados segue sendo a melhor opção pra quem se preocupa com isso; como é difícil e quase ninguém configura isso na sua casa, usar WPA com uma senha grande e difícil é uma alternativa razoável.

(No seu computador também há a opção de usar os bons e velhos cabos de rede, que são uma beleza: mais seguros, mais rápidos e perdem menos pacotes)

No dia 11/7 lançamos o site da Revista Movimento, um desenho da Adria Meira que implementei em cima do WordPress. Como pode ser lido na página Sobre, a Revista Movimento é uma publicação teórico-política orientada para o debate de ideias entre os socialistas, a elaboração programática e a ação política. […] Impulsionada pelo Movimento Esquerda Socialista, organização política fundadora do PSOL, a Revista Movimento veicula as posições de nossa organização e pretende organizar espaços para o debate mais amplo com nossos parceiros nas lutas sociais e na elaboração do pensamento crítico produzido dentro e fora da academia.

Na última quinta-feira (20/7) publicamos a tradução do artigo Socialize the Internet, originalmente publicado na Jacobin. Nos EUA, Trump está retrocedendo na regulação da Internet, atacando a neutralidade da rede e favorecendo as grandes empresas de telecomunicações. O artigo propõe saídas criativas para garantir o direito de uma Internet de alta velocidade e baixo custo para todos. Sua tradução e apresentação são minha estreia no site da revista. Recomendo!

Um ransomware comprometeu mais de 45 mil computadores em 74 países, e o número não para de crescer. As redes do NHS (sistema de saúde britânico) e da Telefónica (multinacional espanhola) estão entre as atingidas de forma mais pesada.

O ataque, chamado #WannaCry, é baseado no exploit EternalBlue que apareceu no vazamento de ferramentas da NSA feito pelos Shadow Brokers em abril. Embora a falha tenha sido corrigida pela Microsoft, quem usa Windows e não atualizou seu sistema nas últimas semanas está vulnerável.

Os arquivos dos computadores afetados são criptografados com uma chave desconhecida, tornando impossível acessá-los, e é solicitado um resgate financeiro para que sejam descriptografados.

A reportagem da Folha diz que ao menos 16 hospitais públicos do Reino Unido enfrentaram problemas e que o bloqueio de seus computadores impediu o acesso a prontuários e provocou o redirecionamento de ambulâncias. Diz ainda que, no Brasil, o TJ-SP foi alvo de ataques e a equipe de tecnologia recomendou que seus funcionários desligassem os computadores. Funcionários do Santander e da Vivo também relataram problemas nas redes internas.

Parece enredo de Mr. Robot.

Update: Escrevi mais sobre o ransomware no Juntos: Ciberataque baseado em falha conhecida pela NSA há anos afeta sistemas de todo o mundo

Hoje de manhã o WikiLeaks começou a publicar a maior série de vazamentos da CIA da história, “Vault 7”.

A primeira parte, publicada hoje, se chama “Year Zero” e tem 8761 documentos da divisão hacker da CIA: mais páginas do que todos os vazamentos de Snowden sobre a NSA publicados desde 2013.

Como diz o release para a imprensa:

“Recently, the CIA lost control of the majority of its hacking arsenal including malware, viruses, trojans, weaponized “zero day” exploits, malware remote control systems and associated documentation. This extraordinary collection, which amounts to more than several hundred million lines of code, gives its possessor the entire hacking capacity of the CIA. The archive appears to have been circulated among former U.S. government hackers and contractors in an unauthorized manner, one of whom has provided WikiLeaks with portions of the archive. “Year Zero” introduces the scope and direction of the CIA’s global covert hacking program, its malware arsenal and dozens of “zero day” weaponized exploits against a wide range of U.S. and European company products, include Apple’s iPhone, Google’s Android and Microsoft’s Windows and even Samsung TVs, which are turned into covert microphones.”

[Em engenharia de software, uma vulnerabilidade “zero day” é uma vulnerabilidade desconhecida pelos desenvolvedores de software]

Os documentos vazados têm vários manuais de operação da CIA (organizados num tipo de wiki interno) e explicações de como vários sistemas funcionam, que falhas eles têm e como explorá-las.

A consequência do vazamento é, por um lado, uma democratização das ciberarmas da CIA. Por outro, a obsolescência delas e, consequentemente, enfraquecimento da agência. De um lado um extenso arsenal de armas da CIA pode estar sendo usado por outros agentes para invadir nossos computadores e celulares. De outro a CIA perde a vantagem que tinha e a médio prazo essas falhas tendem a ser corrigidas por atualizações dos sistemas.

“Still working through the publication, but what @Wikileaks has here is genuinely a big deal. Looks authentic.”

(Edward Snowden sobre o vazamento)

Update (15h52):

Um dos documentos da CIA vazados pelo WikiLeaks é uma lista de coisas que os desenvolvedores de malware devem fazer e não fazer. Tem dicas como:

• DO NOT leave dates/times such as compile timestamps, linker timestamps, build times, access times, etc. that correlate to general US core working hours (i.e. 8am-6pm Eastern time)
• DO NOT use US-centric timestamp formats such as MM-DD-YYYY. YYYYMMDD is generally preferred.

(entre muitas outras)

Se os caras se preocupam com isso, “evidências” podem apontar que um software escrito pela CIA tenha sido feito, sei lá, por russos…

Update (17h43):

A nota da Open Whisper Systems sobre o #Vault7 é otimista e mostra como, contraditoriamente, estamos avançando em segurança digital:

“A reportagem CIA/WikiLeaks de hoje é sobre colocar malware nos telefones; nenhum dos exploits é no Signal ou quebra a criptografia do protocolo do Signal. A reportagem não é sobre Signal ou WhatsApp, mas na medida em que ela é, nós a vemos como a confirmação de que o que estamos fazendo está funcionando. Criptografia de ponta a ponta em toda parte está empurrando as agências de inteligência da vigilância em massa não detectável para ataques caros, de alto risco e direcionados.”

As eleições municipais no Brasil foram repletas de boatos contra as candidaturas do PSOL.

Luciana Genro foi atacada o tempo todo por compartilhamentos de notícias falsas que a acusavam de todo tipo de absurdo. Marcelo Freixo chegou até a ter que lançar um site “A Verdade sobre Freixo” devido à enorme quantidade de farsas.

É necessário pensarmos em formas de combater essa boataria.

Por um lado me parece interessante que a mídia americana, chocada com a vitória de Trump contra Clinton, esteja refletindo sobre isso e pressione o Facebook para combater esse tipo de desinformação.

Por outro, é necessário ter as ressalvas de que soluções como subir no ranking os sites da mídia tradicional pode ser nefasto para movimentos e mídia alternativa, e que uma abordagem anti-abuso baseada em feedback na própria plataforma tem que ser bem planejada para não possibilitar coisas como um grande número de robôs da direita censurar um conteúdo legítimo nosso denunciando como fake, por exemplo.

Update (16/11/2016, 19h47): Facebook e Google declaram guerra aos sites de notícias falsas

Publicado originalmente no Facebook.