Cenários assustadores que causam pesadelo – os 5 principais problemas da segurança de TI

Recentemente, comecei a pensar no número de entrevistas que dou. É claro que o número varia bastante de mês a mês, mas, nos períodos mais intensos, o número de entrevistas pode passar de 70! E só estou contando entrevistas “faladas”, isto é, as que são presenciais ou por telefone. Se também incluísse as entrevistas dadas por e-mail – seria um número absurdo.

Mas não me queixo. Muito pelo contrário – adoro entrevistas! Esta questão me faz lembrar de Richard Branson e da sua regra simples sobre entrevistas: “Se a CNN me ligar e quiser me entrevistar, largo tudo para atender”. Eu também sigo esta regra – ao pé da letra – mas não sem um bom motivo.

A maior parte das entrevistas são o que se espera delas. Fazem um monte de perguntas, eu respondo o melhor que posso e pronto.

Mas em algumas raras ocasiões, sou entrevistado por um jornalista muito bem preparado e meticuloso, que não só sabe tudo sobre mim, sobre a Kaspersky Lab e sobre o que fazemos, mas também domina o tema específico da entrevista. No final da entrevista, estou exausto, a minha cabeça parece que vai explodir, e sinto como se a minha alma tivesse sido “arrancada” juntamente com as minhas longas respostas às sofisticadas questões.

Estas são as entrevistas mais difíceis e complicadas, mas também são as mais úteis. Por quê? Porque durante sessões tão intensas como estas, a nossa “massa cinzenta” mete uma primeira e arranca, funcionando de verdade, pensando de formas diferentes e abordando temas familiares a partir de novos pontos de vista – de tal forma que, mesmo depois da entrevista ter terminado, as ideias continuam surgindo, gerando todo o tipo de novas perspectivas. É realmente fascinante ver como a cognição criativa surge. E tudo isso é possível graças à perspicácia de alguns jornalistas que fazem um excelente trabalho. Devo a eles todo o meu respeito e um muito obrigado!

Curiosamente, o que estas entrevistas “especiais” têm em comum com todas as outras é a incontornável questão sobre os problemas mais preocupantes relacionados com a segurança de TI nos dias de hoje – é qualquer coisa como: “O que é que lhe tira o sono (em relação aos perigos e à segurança em TI)?”! E não são apenas os jornalistas que estão sempre me fazendo esta pergunta. A mesma questão surge em praticamente todas as conferências sobre TI em que participo.

Assim, como prometido, apresento a minha Lista dos 5 principais problemas relacionados com a segurança, no seu sentido mais amplo.

Devo dizer que não tenho soluções para resolver os cinco problemas. O objetivo deste post é, sobretudo, identificar os problemas, convidá-los a meditar sobre eles, e espero envolvê-los na discussão ao aumentar o seu interesse, empatia e/ou simpatia!

Aqui vai a minha lista:

  1. Privacidade
  2. Passaportes da Internet
  3. Redes sociais
  4. Cibercrime
  5. Ciberguerra

1. Privacidade (a falta dela)

Refiro-me à vida pessoal dos usuários e de tudo o que se passa na Internet.

As atuais ameaças à não-violação da nossa vida privada já não são como antes, e manter um mínimo de privacidade é praticamente impossível. No entanto, e ao mesmo tempo, cada vez mais gente começa a compreender a dimensão do volume de informação sobre nós contida na Internet, adquirida através dos jornais que lemos ou das séries de televisão que vemos (como nas séries 24 ou Spooks, onde montanhas de informação pessoal de qualquer pessoa podem ser instantaneamente obtidas em poucos cliques do mouse – “copy that“).

A disseminação da informação pessoal começa quando cedemos voluntariamente detalhes pessoais a diferentes serviços de Internet, e continua através do monitoramento de cada viagem que fazemos, de cada compra com cartão de crédito, com o registro de cada movimento físico que fazemos nas grandes cidades, das nossas conversas telefônicas, dos e-mails que enviamos e recebemos, e muito mais.

Uma nova corrente do problema da privacidade surgiu há pouco tempo, quando centenas de mensagens SMS da companhia de telecomunicações russa Megafon ficaram disponíveis para visualização através do motor de busca Yandex. Imaginem só! Todas os seus SMSs pessoais visíveis para qualquer um! E fugas não intencionais de informação privada como esta poderão voltar a acontecer no futuro.

Assim já conseguem ter uma ideia: o volume de informação que se acumula na Internet sobre todos nós é enorme e nem sempre está seguro. Mas, se isto representa um gigantesco perigo para cada um de nós individualmente, imagine para a segurança nacional dos países.

Por isso, não é de estranhar que legisladores de todo o mundo estejam cada vez mais interessados e envolvidos na regulação do registro e armazenamento de dados dos usuários. E não é preciso reinventar a roda para fazê-lo. Tudo o que precisam é adaptar as regras que já existem no mundo off-line. Por exemplo, os serviços na Internet não deveriam poder pedir informação privada se existirem serviços semelhantes off-line que não exijam o mesmo.

Por último, para aqueles que acham que, nos dias de hoje, ainda existe a possibilidade de termos qualquer coisa vagamente parecida com uma vida privada, recomendo esta série de vídeos.

2. Falta de passaportes de Internet (a única coisa que pode salvar a democracia)

Já tinha falado sobre esse tema na minha coletiva de imprensa em dezembro de 2011, cujo resumo vocês podem encontrar aqui. Agora, seguem alguns detalhes…

Pode até ser um clichê dizer que as gerações mais novas são sempre diferentes das gerações mais velhas, mas é mesmo verdade!! Vivem e pensam de maneira diferente, e não conseguem imaginar como o mundo seria sem a tecnologia dos dias de hoje, que já é dada como garantida – celulares, Internet, Wi-Fi, Skype, blogs pessoais, redes sociais, videogames, etc. A nova geração vive praticamente no domínio do on-line/digital e vão continuar assim para sempre. É importante ressaltar que eles nunca irão votar nas eleições se tiverem que se levantar para fazê-lo! Votariam se pudessem votar on-line. E, para que um sistema de votação on-line funcione, são precisos passaportes de Internet. Mas, como vocês já sabem, neste momento não temos nada disso. Estão vendo as implicações que isto tem para as bases da democracia?…

O fato das gerações mais novas não saírem para votar (por não haver um sistema de passaportes de Internet) tem consequências muito mais profundas do que se pode inicialmente pensar. O abismo entre as gerações, agravado pela tecnologia, vai, cada vez mais, dividir a população: grandes faixas da população – as mais jovens e mais ativas – acabarão completamente afastadas da política, alheias às decisões políticas tomadas, supostamente, em seu nome. O poder político vai passar a refletir apenas os interesses das gerações mais velhas, ou seja, dos chamados imigrantes digitais, por oposição aos nativos digitais. Ao mesmo tempo, o ativismo político das gerações mais jovens vai continuar crescendo, à medida que se sentem cada vez mais isolados. O que pode gerar revoluções e derrubar regimes.

Assim, desenvolver e introduzir identificações digitais – os passaportes de Internet – são, para mim, uma das mais importantes tarefas que o mundo industrializado de hoje tem em mãos. Felizmente, isto é bastante fácil de fazer em termos tecnológicos. Em termos políticos, a história já é outra…

Seria lógico introduzir passaportes biométricos para a Internet apenas para os serviços que, no mundo off-line, requerem a identificação física do usuário: serviços bancários (para aquelas operações que requerem a apresentação de um documento de identificação), registro de um voo, etc. E, como já tinha dito, se no mundo off-line uma transação não exige nenhum tipo de identificação, no mundo on-line o mesmo tipo de transação não deveria exigi-la; dessa forma, para as compras on-line ou para a comunicação entre amigos, ninguém deveria ser obrigado a usar um passaporte de Internet. Assim teríamos uma zona intermediária de identificação, que manteria o anonimato, para aqueles serviços que não precisam do nosso nome completo, mas que requereria, por exemplo, a nossa idade para compras de produtos como álcool e tabaco, para o acesso a conteúdos para adultos, etc. De novo, a boa notícia é que uma identificação anônima intermediária também é tecnicamente possível e fácil de pôr em prática.

3. Redes sociais (como instrumento para manipular a opinião pública)

Em qualquer sociedade, em qualquer país, vão sempre haver opiniões contrárias e divergências – mesmo que estejam adormecidas. É possível utilizar as redes sociais para acordar estes conflitos adormecidos e transformá-los em conflitos ativos? Claro – é fácil! Especialmente se levarmos em conta que a grande maioria dos usuários das redes sociais é de jovens – com as suas respectivas posições sociais.

Hoje em dia, recebemos informação através de uma grande variedade de fontes, entre as quais a televisão tradicional, o rádio, os jornais e outras publicações em papel, mas também das redes sociais. No entanto, até que ponto a informação publicada nas redes sociais é correta? Na mídia tradicional, o que é publicado é regulado pela legislação. Assim, se um jornalista publicar uma informação que não é verdadeira ou que tem como objetivo criar um conflito, mais cedo ou mais tarde ele vai ter de responder em tribunal e pagar uma multa. E há sempre o problema da reputação – uma questão de importância vital para manter a fidelidade dos leitores/espectadores. Correr riscos relacionados com a reputação simplesmente não vale a pena para a mídia tradicional; assim, por norma, são muito cuidadosos com o que transmitem/publicam – de forma muito responsável.

O mesmo não acontece nas redes sociais. Nem sempre fica claro quem está por trás de um nickname, por isso a responsabilidade por aquilo que é escrito fica diminuída, ao ponto de qualquer pessoa poder escrever simplesmente sobre o que gosta – seja verdade ou não. Segundo este ponto de vista, as redes sociais podem ser usadas como plataformas eficazes para a manipulação anônima das massas, para começar a espalhar falsos boatos, para provocar e desinformar a população. É claro que as redes sociais também podem ser usadas para coisas positivas, mas a questão aqui tem a ver com a facilidade em cometer abusos, o que não acontece na mídia tradicional. Não há reguladores que controlem as redes sociais.

Em teoria, e, sem dúvida, também na prática, as redes sociais podem ser usadas para desestabilizar as sociedades (seja uma coisa boa ou má, conforme o caso). Não temos de procurar muito para encontrar exemplos como estes: no ano passado tivemos a “Primavera Árabe”, o “Verão Americano”, o “Outono Inglês” e o “Inverno Russo”. Nas guerras de antigamente, eram lançados, de avião, panfletos com propaganda em territórios inimigos; hoje as redes sociais são uma versão moderna deste tipo de ações, já que são usadas para conduzir semelhantes campanhas de propaganda – e nem todas por boas causas.

A solução chinesa – a de registrar os usuários das redes sociais com base num documento de identificação – é, sem dúvida, um exagero. Mas é muito difícil obter o equilíbrio entre garantir a liberdade de expressão e o anonimato e, ao mesmo tempo, regular as possibilidades de manipulação em massa. E para este problema não tenho nenhuma solução. Alguém tem ideias?

4. Cibercrime (de que tanto ouvimos falar)

O cibercrime é global, como já devem ter percebido.

Os prejuízos para a economia mundial provocados pelo “trabalho sujo” dos cibercriminosos podem ser medidos em muitos milhões de dólares por ano. Felizmente, os governos de vários países iniciaram, pelo menos, um diálogo construtivo sobre este tema e alguns projetos internacionais e unidades ciberpoliciais regionais/nacionais foram criadas; a unidade IMPACT das Nações Unidas opera desde 2008, e a Interpol já anunciou a abertura de um departamento especial de combate ao cibercrime em Singapura, em 2014. Assim, mesmo que o problema do cibercrime não seja resolvido por completo nos próximos anos (o que é o mais provável), será muito mais complexo para os cibercriminosos tentar pôr em prática as suas atividades. Lamento dizer que ao contrário do que acontece com os que estão por trás das ciberguerras.

5. Ciberguerra

Ainda não existe uma definição formalmente estabelecida e largamente aceita para os ciberataques militares e/ou terroristas. Enquanto isso, a minha definição é esta:

Os ciberataques são ataques a sistemas criticamente importantes para as economias globais e/ou nacionais e também para a segurança nacional e/ou global, e que têm o objetivo de enfraquecer o potencial militar e infligir um dano considerável aos países e à sua capacidade de agir adequadamente, com graves consequências para as populações, possivelmente, fazendo vítimas.

E, se pensarem que esse tipo de ameaça parece saído de um filme de ficção científica, receio ter más notícias: tudo isso já é real – hoje.

Um dos primeiros ataques de ciberguerra, que aconteceu em 2007, teve um caráter mais ou menos “inofensivo” (se é que essa palavra é apropriada nestes casos): talvez se lembrem da história em que um ataque DDoS a sites da Estônia deixou o país todo sem acesso à Internet. Mas isso não foi nada, acreditem, quando comparado com o que viria a seguir…

Em 2010, o mundo presenciava um caso – dessa vez, extremamente sério – de ataques de ciberguerra dirigidos.

Um worm incrivelmente complexo chamado Stuxnet conseguiu penetrar na rede de algumas instalações nucleares iranianas, sabotar os seus computadores industriais e danificar fisicamente os seus reatores de enriquecimento de urânio. Curiosamente, o computador não tinha ligação à Internet.

A partir da descoberta do Stuxnet, as notícias sobre a ciberguerra começaram a aparecer rapidamente. O worm Flame foi a mais recente descoberta, o que demonstra como as coisas começam a esquentar em termos de ciberguerra no mundo. E eu não tenho a menor dúvida de que os governos estão por trás de tudo isso.

Mas o que é que há de tão perigoso nas ciberarmas? Para não me tornar repetitivo: deem uma olhada neste meu post sobre o assunto. Agora, vou resumir as conclusões a que chegamos até agora.

O aspecto mais perigoso das ciberarmas são os seus imprevisíveis efeitos secundários. O pior cenário seria que uma ciberarma dirigida a um objeto industrial específico não conseguisse atacar com precisão o seu alvo – devido a um erro no algoritmo ou a uma falha banal no código – o que é muito fácil de acontecer, dada a sua complexidade e tamanho. Como consequência, o alvo – que, hipoteticamente, poderia ser uma estação energética específica – não seria a única coisa afetada: todas as outras estações energéticas do mundo, construídas com o mesmo design, poderiam vir a sofrer. Um efeito “boomerang” letal.

Hoje é praticamente impossível nos proteger de tais ataques. Para isso, seria necessário redesenhar todo o código de software que existe e trocá-lo por sistemas operacionais seguros. É claro que isto é virtualmente impossível; e mesmo que fosse possível, conseguem imaginar o valor dos orçamentos envolvidos? Nenhum Estado poderia fazer um investimento tão gigantesco em segurança em TI.

O que fazer, então?

Este problema precisa de uma solução do mesmo tipo da que foi encontrada, no passado, para as armas químicas, biológicas e nucleares. É preciso um acordo internacional de cooperação, de não proliferação e não utilização de armas cibernéticas. E um projeto deste tipo precisa ser organizado e coordenado por uma organização internacional independente – como uma ciber-IAEA, idealizada sob o conceito de uma espécie de Nações Unidas.

Acredito que, mais cedo ou mais tarde, os Estados vão finalmente entender os perigos das ciberarmas utilizadas em ataques de guerra cibernética, e colocar um ponto final, se não ao desenvolvimento, pelo menos à aplicação e proliferação de ciberarmas.

 

LEIA COMENTÁRIOS 0
Deixe um comentário.