O interessante ataque KRACK mostra uma falha grave no WPA, protocolo de segurança para redes sem fio usado em toda parte — e que segue sendo o mais seguro que temos disponível, mesmo depois desse ataque.
Bruce Schneier definiu o ataque como brilhante: “embora a vulnerabilidade seja óbvia depois que alguém aponta pra ela, por mais de 10 anos ninguém percebeu”.
É bom que a mídia nacional e internacional tenha dado destaque para a descoberta. Ajuda na pressão para que o problema seja consertado mais rápido. Porém, me parecem sensacionalistas as notícias que falam coisas como “a partir de hoje, não existe rede wifi segura”. Além da manchete, a chamada dessa matéria é um exagero: “Vulnerabilidades no principal padrão de segurança de wifi utilizado hoje, o WPA2, tornam sua criptografia e medidas de segurança praticamente inúteis.”
Pelo pouco que li, não é o fim do mundo. Listo alguns motivos:
A maioria das redes wifi já não é segura. Usam chaves fracas que podem ser descobertas por meio de ataques de força bruta. E quem tem a chave já consegue descriptografar o tráfego com tranquilidade. Pra não falar de redes sem chave, usadas em aeroportos e outros lugares públicos, que já não têm nenhuma segurança. Usar Wi-Fi apenas em lugares com autenticação por certificados no lugar de senhas compartilhadas tem que ser pré-requisito para considerar esse ataque o fim do mundo. É por isso que Nicholas Weaver conclui que só quem deve se preocupar são as empresas que usam tais padrões mais seguros. Pra elas houve uma mudança maior, de fato.
A falha pode ser corrigida do lado do cliente. A Microsoft e a Apple já lançaram patches para corrigir seus sistemas operacionais, diversos patches já existem também para Linux e o Google se comprometeu a lançar um patch para Android nas próximas semanas. Ou seja, basta instalar uma atualização no seu sistema operacional (uma boa prática de segurança) para estar livre da vulnerabilidade (e aí talvez escrevam novas matérias dizendo “a partir de hoje, as redes wifi voltam a ser seguras”?). Como diz o próprio site do KRACK, “Do we now need WPA3? No, luckily implementations can be patched in a backwards-compatible manner.”
Como diz o resumo do artigo em que a falha é apresentada: “The impact depends on the handshake being attacked, and the data-confidentiality protocol in use. Simplified, against AES-CCMP an adversary can replay and decrypt (but not forge) packets. This makes it possible to hijack TCP streams and inject malicious data into them. Against WPA-TKIP and GCMP the impact is catastrophic: packets can be replayed, decrypted, and forged. Because GCMP uses the same authentication key in both communication directions, it is especially affected.” Ou seja, mudando a configuração do WPA no seu roteador você pode obter um pouco mais de segurança.
Como a vulnerabilidade exige que o atacante esteja fisicamente no mesmo lugar que você, não vai haver um ataque em massa como o ransomware que comprometeu centenas de milhares de máquinas no mundo inteiro. Por algumas semanas (até os seu sistema operacional estar atualizado), pessoas perto de você que implementem o ataque descrito no artigo poderão ver seu tráfego *não criptografado* (mas elas provavelmente já podiam, pelo item 1).
A ênfase no “não criptografado” do item acima se deve ao fato de que a maioria do tráfego na web hoje é criptografado usando TLS (https). Tal tráfego não está sujeito a interceptação. É verdade que no vídeo do ataque o pesquisador usa o sslstrip para interceptar esse tráfego. Mas creio que seja justo dizer, ao menos, que quando você vê um cadeadinho e um “https” na barra de endereço do seu navegador seu tráfego segue sendo seguro. [No mais, usar extensões como HTTPS Everywhere segue sendo uma ótima recomendação.]
Medidas de segurança não se tornaram inúteis. Usar uma VPN segura em lugares públicos (ou mesmo privados), por exemplo, segue sendo uma boa prática que protege seu tráfego.
Por fim, parece bom aproveitar o momento pra dizer que a maioria das redes sem fio não são seguras e que é bom se preocupar com a segurança delas. Usar WPA com certificados segue sendo a melhor opção pra quem se preocupa com isso; como é difícil e quase ninguém configura isso na sua casa, usar WPA com uma senha grande e difícil é uma alternativa razoável.
(No seu computador também há a opção de usar os bons e velhos cabos de rede, que são uma beleza: mais seguros, mais rápidos e perdem menos pacotes)
Essa narrativa mentirosa, a um dia da votação do relatório da #CPICiber, sugere um propósito preocupante para esse bloqueio arbitrário do mensageiro mais usado no nosso país: aprovar uma legislação retrógrada para a Internet no Brasil. Sobre o relatório, recomendo:
O título deste texto é o mesmo de uma entrevista publicada pela Revista IstoÉ em setembro de 2005. Naquela ocasião, Sérgio Amadeu explicava por que deixou seu posto de presidente do Instituto Nacional de Tecnologia da Informação (ITI), órgão ligado ao Ministério da Casa Civil: É bonito apoiar telecentro, computador barato para pobre, mas na hora de enfrentar interesses a favor do software livre, falta apoio, falta cara na reta.
Nove anos depois, já no terceiro governo do PT e na fase final do Plano Nacional de Banda Larga (que não empolgou muito ninguém além das empresas de telecomunicações), as revelações de Edward Snowden levaram a presidenta Dilma Rousseff a receber no Brasil 1229 pessoas de 97 países num encontro para decidir junto com o ICANN sobre o futuro da governança da Internet. O NETmundial aconteceu nos dias 23 e 24 de abril no Grand Hyatt Hotel, em São Paulo, 50 dias antes do início do Mundial da FIFA.
Dilma na conferência NETmundial (Sérgio Castro/Estadão Conteúdo)
Um dia antes do evento começar, Jean-Christopher Nothias resumiu no Huffington Post o que seria o evento:
NETmundial não vai ser um lugar de diálogo, nem uma competição entre ideias. O Brasil, depois de alegremente devorar um “modelo mundial de governança da Internet” abençoado por Tim Berners-Lee, vai dizer “Vejam: o nosso Marco Civil passou pela Câmara dos Deputados e possivelmente vai passar pelo Senado. Vocês, governos estrangeiros, devem fazer o mesmo”. Para o ICANN, o desfecho vai soar como: “Nós estamos muito felizes de ver que ‘todo mundo’ teve a chance de participar e que ‘todo mundo’ está ‘convergindo’ sobre o valor de um modelo multilateral de governança da Internet”.
Nas últimas semanas, publicamos no Juntos dois textos nos quais expressávamos nosso apoio à aprovação do Marco Civil da Internet: um antes e outro depois da aprovação do projeto na Câmara dos Deputados. Para nós, a existência dessa lei é uma vitória e um passo à frente na disputa pela Internet, porque a rede precisa ser regulamentada para que as empresas não possam fazer o que quiserem dela. Não vou repetir os argumentos a favor do Marco Civil aqui, mas recomendo aqueles dois textos.
Entretanto, cabem três ressalvas sobre ele. Duas são menores: a primeira é que a versão do projeto sancionada pela Presidenta é mediada com as teles e traz uma contradição ao garantir sua liberdade de modelo de negócios (a brecha vai ser usada pelas empresas, que já afirmaram que para elas o Marco Civil permite violações ao princípio da neutralidade); a segunda é que o artigo 15 do projeto aprovado regulamenta a guarda dos registros de acesso a aplicações da rede por 6 meses, séria violação de privacidade que foi criticada por vários ativistas que participaram do processo de criação do Marco Civil. A terceira ressalva, porém, é muito importante: diante da ciberguerra em curso, o Marco Civil está muito longe de ser suficiente.
Ao mesmo tempo que somos entusiastas do Marco Civil, repudiamos a postura do governo e de seus aliados, que, por marketing e por não se preocuparem com a pauta a fundo, fazem com que ele pareça ser a solução de todos os problemas da Internet ou o máximo que o governo (que muito pouco já fez sobre essa pauta) pode fazer. Queremos mais. Por isso estamos com WikiLeaks, Jeremie Zimmermann e Jacob Appelbaum em defesa da plataforma do #OurNetMundial:
Cabe aos governos tomarem medidas efetivas urgentes para colocar a tecnologia nas mãos da população, investindo recursos para promover e reforçar uso e desenvolvimento software livre e hardware que possamos controlar e confiar, arquiteturas descentralizadas e criptografia de ponta a ponta.
Juntos (Thiago Aguiar e Tiago Madeira) com Jacob Appelbaum (TOR Project)
Mais importante que isso, a exaltação do Marco Civil foi usada pelo governo para ele fugir da responsabilidade que tem de intervir internacionalmente pela liberdade de Assange e pelo asilo a Snowden. Como afirmou a jornalista Natalia Viana na mesa “Soberania digital e vigilância na era da Internet” da ArenaNETmundial, evento aberto no qual estivemos presentes e na qual também falaram Julian Assange, Sérgio Amadeu, Jacob Appelbaum e Roy Singham:
Se o governo brasileiro quer liderar o debate mundial sobre governança na internet e vigilância – que foi afinal o que levou à indignação da presidenta Dilma para chamar essa conferência – ele tem a obrigação moral de intervir na situação dos sete jornalistas e whistleblowers sem os quais não haveria, afinal, a conferência NETmundial: Julian Assange, Chelsea Manning, Sarah Harrison, Edward Snowden, Glenn Greenwald, Laura Poitras e David Miranda.
De fato, não se trata só de uma obrigação moral, mas de dar consequência concreta ao discurso revoltado contra a vigilância e o domínio americano sobre a rede. Se não são protegidos aqueles que denunciam o que os EUA estão fazendo com a Internet (e por isso são perseguidos passando-se por cima de todas as leis), de nada adianta criar legislações que garantam a neutralidade, muito menos construir uma governança global para a Internet com a participação do governo da Turquia (que recentemente censurou o Twitter e o YouTube para evitar manifestações no país) e na qual o ICANN (que ilegalmente tirou o domínio wikileaks.org do ar em 2010) ainda tenha papel central.
No fim, o debate que iniciou a conferência NETmundial foi tão escamoteado que seu documento final fala da vigilância em abstrato e não cita Snowden nem a NSA, além de não apresentar qualquer conclusão sobre neutralidade na rede. Como escreveu Julia Powles no Wired.co.uk: Politicamente, os governos do Brasil, da Europa e dos Estados Unidos conseguiram o que queriam. Assim como Google, Facebook, MPAA e outras grandes corporações. Já o povo da Internet, não muito.
Dessa forma, confirmou-se o que já sabíamos: a Internet “livre” defendida pelos donos do poder é nem tão livre assim. Seguimos pelo fim da vigilância em massa, por liberdade na Internet e pelo asilo imediato a Edward Snowden!
Manifesto
Segue o manifesto que apresentamos na ArenaNETmundial (em português e inglês).
Leitura do manifesto no ArenaNETMundial
Manifesto em português: Nós dizemos “sim” a Edward Snowden!
Em todo o mundo, as revelações de Edward Snowden, ex-técnico da NSA, causaram enorme preocupação e indignação. Por revelar que as comunicações de bilhões de pessoas estão sob monitoramento permanente de agências de segurança e espionagem dos EUA, Snowden pagou um alto preço. Retirado do convívio de sua família e amigos, retiraram-lhe o passaporte, obrigando-o a refugiar-se no exterior.
Edward Snowden não aceitou seguir calado sobre o ataque a direitos humanos fundamentais, realizado pretensamente em nome da “segurança nacional” e do combate ao terrorismo. Como afirma em sua carta aberta ao povo brasileiro, foi um “ato de consciência”: “Não quero viver em um mundo em que tudo o que digo, tudo o que faço, todos com quem falo, cada expressão de criatividade, de amor ou amizade seja registrado. Não é algo que estou disposto a apoiar, não é algo que estou disposto a construir e não é algo sob o qual estou disposto a viver”.
No que se refere ao Brasil, além de mostrar que nosso país é o maior alvo da interceptação e do armazenamento ilegal de dados fora do território dos Estados Unidos, Snowden revelou que as comunicações de uma empresa estratégica e patrimônio nacional, a Petrobrás, foram alvo constante das agências de espionagem. Além disso, e mais grave, trouxe a público que até as comunicações do gabinete da Presidência da República foram alvo da NSA.
Nós, que assinamos este manifesto, nos solidarizamos com Edward Snowden e não aceitamos que sua vida, liberdade e direitos fundamentais sigam correndo perigo. Posicionamo-nos firmemente em favor da concessão de asilo a Snowden pelo Brasil, como instrumento contemplado em nossa Constituição e em tratados internacionais. Trata-se, em nossa opinião, de uma questão de Direitos Humanos.
Com sua coragem, Edward Snowden apoiou o Brasil, defendendo os direitos de seu povo e de seu governo. Devemos retribuir-lhe por seus gestos generosos em consonância com a tradição democrática de nosso país, que em anos recentes corretamente recebeu em seu território diversas pessoas na condição de asilados. O Brasil não pode, agora, ignorar a situação de Snowden. Por isto, nos dirigimos à Presidenta Dilma Rousseff e lhe fazemos um apelo: queremos que o Brasil conceda asilo imediato a Edward Snowden.
Manifesto in English: We say “yes” to Edward Snowden!
All over the world, Edward Snowden’s revelations raised serious concern and outrage. By revealing that the communications of billions of people are under permanent surveillance by security and intelligence agencies from USA, Snowden paid a high price. He was removed from living with his family and friends, and his passport was revoked, compelling him to seek refuge abroad.
Edward Snowden has not accepted to stay silent on the attack on fundamental human rights allegedly done on behalf of “national security” and fighting terrorism. As he said in an open letter to the Brazilian people, it was an “act of conscience”: “I don’t want to live in a world where everything that I say, everything I do, everyone I talk to, every expression of creativity or love or friendship is recorded. That’s not something I’m willing to support, it’s not something I’m willing to build, and it’s not something I’m willing to live under.”
Regarding to Brazil, he showed us that our country is the biggest target for data interception and storage outside the United States, and also that the communications of Petrobras, strategic company and national heritage, were constantly targeted by the intelligence agencies. Moreover, he brought to the public that even the communications of the Presidency were targeted by the NSA.
We support Edward Snowden and we don’t accept that his life, freedom and fundamental rights remain under threat. We position ourselves firmly in favor of granting asylum to Snowden in Brazil, because this is a legal instrument covered by our Constitution and international agreements. In our opinion, this is a matter of human rights.
With his courage, Edward Snowden supported Brazil, defending the rights of our people and our government. We must repay him for his generous act in accordance with the democratic tradition of our country, that in recent occasions correctly received in its territory several people providing them asylum. Brazil can not ignore Snowden’s situation. We address the President Dilma Rousseff and urge her: we want Brazil to grant immediate asylum to Edward Snowden.
Alguns sites começaram a abusar de um recurso super interessante do JavaScript para acabar com uma das características mais importantes da Internet: a capacidade de copiar/colar.
O tratamento dos clipboard events (oncut, oncopy e onpaste) deveria servir para permitir que os programadores façam coisas legais quando você copia/cola um texto (por exemplo, um processador de textos online pode inserir/remover formatação), mas tenho visto cada vez mais ele ser usado para adicionar uma mensagem de copyright no final de um texto copiado, impedir usuários leigos de copiarem textos na web e evitar que se cole coisas que você copiou em formulários.
O que mais me incomoda (e que me levou a escrever esta postagem) é que, hoje, quem copia um trecho de uma reportagem da Folha (para guardar, compartilhar numa rede social ou o que quer que seja) acaba colando:
Para compartilhar esse conteúdo, por favor utilize o link http://www1.folha.uol.com.br/fsp/bla-bla-bla ou as ferramentas oferecidas na página. Textos, fotos, artes e vídeos da Folha estão protegidos pela legislação brasileira sobre direito autoral. Não reproduza o conteúdo do jornal em qualquer meio de comunicação, eletrônico ou impresso, sem autorização da Folhapress (pesquisa@folhapress.com.br). As regras têm como objetivo proteger o investimento que a Folha faz na qualidade de seu jornalismo. Se precisa copiar trecho de texto da Folha para uso privado, por favor logue-se como assinante ou cadastrado.
Não é incrível (e sintomático) que o grupo que gerencia o portal mais importante da Internet no Brasil (UOL) tenha uma concepção tão atrasada da rede? Ok, não dá nem pra dizer que isso nos surpreende depois da censura da Falha e do paywall.
Sem mais delongas: isso merece ser hackeado. Neste post, proponho algumas soluções simples para você poder voltar a copiar e colar no seu navegador como sempre fez. Minha preferida, como sempre, é a última.
Solução trivial para quem usa Linux
Antes de sugerir soluções de verdade, convém observar que quem usa Linux (X11) pode copiar selecionando um texto (sem apertar Ctrl+C ou qualquer outra combinação esdrúxula de teclas) e colar apertando o botão do meio do mouse. Quando se copia/cola dessa forma, o navegador não emite os temidos eventos oncopy/onpaste (ou seja, tudo funciona normalmente).
Rodolfo Mohr também observou que você pode copiar um texto selecionando-o, clicando com a tecla direita na seleção e em “Pesquisar no Google”. Uma aba vai abrir com a pesquisa no Google e você pode copiar o texto lá. É um hack válido, embora incômodo.
Somente Firefox: usando about:config
Se você usa Firefox, pode desabilitar os clipboard events digitando, na barra de endereços, em about:config. Talvez ele diga que é perigoso e peça para você clicar num botão dizendo que sabe o que está fazendo. Pode confiar. Em seguida, procure a chave dom.event.clipboardevents.enabled e clique duas vezes nela para mudar seu valor para false. Reiniciando o navegador, o recurso copiar/colar estará funcionando normalmente (ou talvez nem precise reiniciá-lo).
Extensões (para Firefox, Chrome e Opera)
Não tem o que explicar. Simplesmente clique no nome do seu navegador e instale: Firefox, Chrome, Opera.
Editado em 01/04/2014, 22:30: A extensão que eu havia colocado para Chrome só desabilita o tratamento de eventos onpaste em formulários. Se você conhecer alguma extensão similar a do Firefox ou a do Opera, me avise pelos comentários.
Desabilitando sob demanda via JavaScript
É muito importante ter em mente que aplicações web como processadores de texto podem usar os eventos oncut/oncopy/onpaste para coisas úteis. Por isso, é desejável desabilitar esses eventos somente em sites específicos.
Não encontrei nenhuma extensão que faça isso, mas um código simples em JavaScript para recuperar o comportamento padrão dos eventos em um determinado site (testei no Firefox e no Chrome) é:
all = document.querySelectorAll("*");fn=function(e){
e.stopPropagation();returntrue;};for(var i =0; i < all.length; i++){
all[i].oncut = fn;
all[i].oncopy = fn;
all[i].onpaste = fn;}
Se digitarmos isso no console (Shift+Ctrl+J), as funções copiar/colar devem voltar a funcionar.
Userscript
A solução anterior nos permite criar um userscript para desabilitar o tratamento dos eventos apenas no site da Folha:
// ==UserScript==// @name Permite copiar textos da Folha// @include http://*.folha.uol.com.br/*// ==/UserScript==
window.onload=function(){
all = document.querySelectorAll("*");fn=function(e){
e.stopPropagation();returntrue;};for(var i =0; i < all.length; i++){
all[i].oncut = fn;
all[i].oncopy = fn;
all[i].onpaste = fn;}};
Portanto, se você quiser copiar do site da Folha sem preocupações (e sem desabilitar os eventos em outros sites), pode instalar as extensões GreaseMonkey (Firefox) ou TamperMonkey (Chrome), e então esse userscript clicando neste link: falha.user.js.
Bookmarlet
Acho o método acima (do userscript) o melhor para copiar da Folha. No entanto, é conveniente ter um método mais genérico. Por isso, criei um bookmarklet, isso é, um pequeno script que podemos executar clicando num botão na barra de favoritos (neste caso, para restaurar o comportamento padrão das funções copiar/colar).
Para quem vem acompanhando os projetos de lei relacionados à Internet nos últimos anos, faz todo sentido desconfiar de qualquer nova tentativa de regulamentação da rede. Afinal, vimos parlamentares defenderem a lei Azeredo no Brasil, as leis SOPA e PIPA nos Estados Unidos e a lei Sinde na Espanha, entre outras, sempre evocando argumentos furados para justificar o controle e a censura da Internet.
No entanto, é preciso ter cuidado: nem toda lei que tem como objeto a rede é ruim para nós. Neste momento, não podemos hesitar em defender a aprovação do Marco Civil. Essa é uma importante trincheira na luta pela liberdade na Internet, que certamente não terminará nela.
A Internet como a conhecemos hoje tem apenas cerca de 20 anos. Foi em 1994 que passou a ser permitido usar a grande rede que surgira a partir de diversas pequenas redes para fins comerciais e só nos anos seguintes que surgiram serviços como Amazon, Yahoo e Google. De lá pra cá, seu uso explodiu e ela se transformou constantemente.
Essa transformação foi possível pois, pela forma como seus protocolos básicos (nas suas camadas de rede e transporte) funcionam, é possível que programadores criem diferentes aplicações, comerciais e não comerciais, com diferentes funções no seu topo. Por exemplo, foi possível criar um protocolo de VoIP como o do Skype, um de mensagens instantâneas como o do Whatsapp, um de streaming de filmes como o Netflix e um de compartilhamento de arquivos como o Bittorrent; todos sem que os roteadores precisassem ser adaptados para suportá-los.
A grande polêmica em torno do Marco Civil diz respeito a um princípio que é muito relacionado com a capacidade de transformação da Internet, que vem sendo discutido no mundo inteiro e que é muito caro aos ativistas e aos entusiastas da Internet: a neutralidade.
Quando nos conectamos à Internet, o fazemos por meio de um provedor de acesso: uma empresa de telecomunicações que possui ligações com outras empresas a fim de nos conectar com computadores, como o nosso, em outras pontas da Internet. Essa empresa tem um grande poder sobre a nossa comunicação. Pode resolver não encaminhar alguma das nossas mensagens ou mudar a ordem dos pacotes que recebe para que a comunicação com determinados servidores seja mais rápida/devagar do que com outros. O que garante que tal discriminação não ocorra é o princípio da neutralidade. Tal princípio é a afirmação de que os roteadores da rede devem ser neutros, isso é, simplesmente encaminharem os pacotes que recebem.
Para essas empresas de telecomunicações, é melhor, por diversos motivos, que a Internet não seja neutra. Assim, elas são livres para lucrarem mais vendendo a Internet como se vende TV por assinatura: o plano básico vem com e-mail e Facebook; se você pagar um pouco mais, pode também assistir vídeos; com outro plano, é possível usar o Skype; e por aí vai. Além disso, uma dessas empresas pode fazer uma parceria com o Yahoo para fazer esse buscador abrir mais rápido do que o Google, por exemplo, ou diminuir a velocidade do Netflix para que seus clientes não parem de pagar seus planos de TV.
A fim de poderem explorar esses modelos de negócios para obterem mais lucros no futuro, as teles (representadas pela bancada do PMDB liderada por Eduardo Cunha) têm feito manobras atrás de manobras para retirar ou colocar exceções à neutralidade no Marco Civil. Não podemos aceitá-las! Estamos pela aprovação do Marco Civil da Internet sem alterações que ferem os princípios da rede.
