CPI da Espionagem, a Vulnerabilidade Heartbleed e Ações Políticas
Autor: José Rodrigues Filho | Publicado: 2014-04-21T09:27:00-03:00


Na mesma semana em que a CPI da Espionagem no Brasil concluiu seu
relatório, sem apresentar culpados, mas demonstrando grande
vulnerabilidade da segurança cibernética do nosso país, o mundo se
apavora com o bug Heartbleed, que pode ser traduzido como hemorragia
cardiáca ou coração em sangria, nome de impacto midiático dado a
uma falha do software OpenSSL, descoberta por engenheiros filandeses.
Assim sendo, o bug Heartbleed é uma vulnerabilidade séria do
software de criptografia conhecido como OpenSSL, identificada como
sendo um novo flagelo e uma das maiores falhas da história da
internet, afetando a segurança  de cerca de dois terços de todos os
websites mundiais. Seus efeitos levaram usuários em todo o mundo a
mudarem suas senhas, grandes organizações a providenciarem
possíveis defesas e o próprio governo do Canadá a suspender a
submissão eletrônica de imposto de renda da população. 



Se a CPI da Espionagem no Brasil desmistificou a mentira de muitos
dirigentes públicos que, vergonhosa e publicamente, confirmam a
grande segurança de nossos sistemas de informação, o bug
Heartbleed descobriu uma verdade muito desconfortável,
principalmente para o Governo Americano.  Assim sendo, duas
informações importantes, divulgadas na semana de aprovação do
relatório da CPI, nos levam a concluir que a vulnerabilidade de
segurança das tecnologias de informação no Brasil é pior do que
se imagina e vai além do que é apontando no relatório da CPI da
Espionagem. A vulnerabilidade Heartbleed pode ter afetado o país em
cheio e o relatório da Bloomberg nos leva a esta suposição,
considerando que a Agência de Segurança dos Estados Unidos, a
chamada NSA, tinha conhecimento do blug Heartbleed e o utilizou
regularmente para espionar o mundo. Assim sendo, no software de
código aberto OpenSSL constava um erro, criado pelo programador
alemão Robin Seggelman em 2011, o qual não foi corrigido, mas, pelo
que se comenta, foi explorado por cerca de 3.000 (tres mil) hackers
bem pagos da NSA para acessar informações privilegiadas no mundo
inteiro por mais de dois anos, através das chamadas portas de fundos
(backdoors), criadas em cima do erro acima citado. Neste tipo de
espionagem não se deixa rastros.


Por sua vez, a NSA nega que sabia da vulnerabilidade recentemente
descoberta no software de criptografia OpenSSL, depois que a agência
financeira Bloomberg relatou que a inteligência dos Estados Unidos
explorou esta vulnerabilidade para roubar senhas e outros dados
importantes.  Ao colocar o Heartbleed em seu arsenal, a NSA deixou
milhões de usuários vulneráveis ao ataque não só de seus
hackers, mas de hackers criminosos dos serviços de inteligência de
outros países. O pior de tudo foi a manutenção do segredo. Não só
a NSA, mas outras agências de inteligência do mundo inteiro gastam
milhões de dolares buscando falhas dos software que podem facilitar
o roubo de dados de computadores supostamente seguros. Para a
Bloomberg, o Heartbleed foi encontrado pela NSA logo após a sua
introdução e estas revelações mostram o seu papel até certo
ponto contraditório. De um lado a NSA protege os computadores e a
indústria dos Estados Unidos de ataques cibernéticos, enquanto
acumula os tesouros de ataques da inteligência aos computadores dos
outros, incluindo outros governos. 



Não se poderia esperar que a CPI da espionagem fosse encontrar algum
bug do tipo Heartbleed ou culpados pela espionagem no Brasil, até
porque eles estão, em geral, fora do país. Se a espionagem não
deixa rastros, como encontrar culpados? Mas quem são os culpados
pelas vulnerabilidades encontradas pela CPI? São os gestores
públicos, reconhecidos pela CPI como despreparados, principalmente
os resposáveis pela aquisição de tecnologias inseguras e repletas
de portas de fundos (backdoors). Todos estão aqui, mas a CPI não
quis identificá-los. São co-autores da espionagem. Ao longo dos
anos, o Brasil vem investindo bilhões de dolares em tecnologias de
informação, com uma enorme utilidade para facilitar a espionagem.
Estes investimentos poderiam ter sido feitos em saúde e educação
do nosso povo. Até certo ponto, o Brasil financia a espionagem dos
Estados Unidos, ora adquirindo tecnologias proprietárias (códigos
fechados), ora de códigos abertos. De uma forma ou de outra, cada
vez mais se comprova que nestas tecnologias estão imbutidas as
chamadas portas de fundos, criadas pela NSA, para facilitar a
espionagem. Aliás o Brasil já é tão espionado pelos países
desenvolvidos, que as tecnologias de informação são apenas um
diferencial para que isto seja feito à distancia, talvez a um custo
mais baixo e, até certo ponto, financiado pelos espionados.  



Se
tivesse que delongar para concluir seu relatório final, a CPI iria
comprometer cada vez mais as vulnerabilidades do governo. É pena que
tenha concluído seu trabalho muito cedo. A CPI poderia ter sido mais
educativa, mostrando para a sociedade quais as organizações e
sistemas mais vulnerávies no país. Com a vulnerabilidade Heartbleed
já é possivel identificar algumas das tecnologias que estão sob
riscos no Brasil, embora seja comentado que os sites governamentais
nao tenham apresentado nenhum problema. O governo brasileiro, por
exemplo, é um grande consumidor do sistema Linux da Red Hat e, pelo
que se comenta, distribuições do Linux foram afetadas pela
vulnerabilidade Heartbleed. O governo deve apresentar para a
sociedade, imediatamente, um inventário de seus sites e as versões
do OpenSSL que estão sendo utilizadas. Como acreditar que  os
sistemas da Petrobrás, Justiça Eleitoral (Voto Eletrônico), da
área de saúde e muitos outros não estão comprometidos? É
inadmissível a segurança por obscuridade. 


Contrário ao que está acontecendo no Brasil, nos países
desenvolvidos a maioria das organizações, tanto públicas quanto
privadas, detém meios de proteção contra ataques cibernéticos.
Isto é constatado em relatório divulgado há poucos dias sobre
defesa cibernética, mostrando que a maioria de organizações dos
Estados Unidos e Europa apresentaram seus sistemas de proteção, com
74% delas satisfeitas com o investimento feito nesta área.


Contudo, a CPI da Espionagem apresentou seu lado positivo, que trata
de ações políticas que devem ser implementadas para que tenhamos
uma sociedade mais segura de ataques cibernéticos. Se algumas
organizações se sentem protegidas, pelos menos nos países
desenvolvidos, o usuário comum está, em geral, totalmente
desprotegido. Só através de uma ação política enérgica é
possivel se educar e criar um nível de proteção e segurança
cibernética da nossa sociedade. Outros Heartbleeds, com certeza, vão
aparecer, mas que possam servir de lição para os erros cometidos.
Não podemos continuar ampliando a nossa dependência dos países
desenvolvidos, adquirindo tecnologias inseguras e, até certo ponto,
de pouca utilidade.