Cuidado: sua organização pode ir parar no WikiLeaks!

O título completo deste comentário é: Cuidado: a informação da sua organização pode ser enviada para o WikiLeaks!

Sim, você leu correto. Diferentemente do que a maioria das pessoas pensam, não é o WikiLeaks que vai buscar a informação da sua organização. O WikiLeaks não tenta retirar e nem retira informação confidencial da sua organização.

As informações confidenciais é que vão para o WikiLeaks! Mas como isto acontece? Mágica? Calma, não existe nenhuma mágica!

As informações das organizações vão para o grande repositório público de dados, chamado WikiLeaks, enviadas por usuários dessas organizações e autorizados a acessar as informações das mesmas. O WikiLeaks garante o anonimato desses usuários. É uma espécie de “disque denúncia”. Seria um “disque informação e jogue no ventilador da Internet”.

O WikiLeaks se propõe a ser um divulgador de informações de empresas e governos no que tange a corrupção, a abusos organizacionais, ações que prejudiquem a humanidade ou grupos que controlam a humanidade e outras informações que mereceriam (segundo seus editores) ser de conhecimento de todos.

O WikiLeaks ganhou dois prêmios importantes, da revista Economist e da Anistia Internacional, e começou a incomodar os EUA quando neste ano de 2010 revelou abusos do exército americano no Iraque e no Afeganistão. Evidentemente existe uma linha muito tênue no julgamento do que deveria ser de conhecimento da população do mundo e do que não deveria ser divulgado para não colocar vida de pessoas em perigo.

Mas, o formato do WikiLeaks está divulgado e outros serviços equivalentes poderão ser criados em todo o mundo, e alguns podem ser voltados exclusivamente para organizações como a sua ou na qual você trabalha.

Enfim, sua organização pode ter informações disponibilizadas no WikiLeaks (ou similar) desde que usuários autorizados entendam que sua empresa não está agindo corretamente e podem divulgar para todos os internautas.

Baseando-se nas informações disponibilizadas, fica bem claro que um dos problemas principais é a falta de avaliação constante nos controles existentes. No caso das informações do governo americano, o vazamento foi feito por dois soldados que tinham acesso às correspondências (telegramas) dos diplomatas americanos.

Aparentemente esses soldados não precisariam ter acesso sempre a todas as correspondências/comentários de diplomatas americanos em todos os países do mundo. É muita abertura! Neste sistema, existem (ou existiam na época dos vazamentos) dois milhões e quinhentos mil usuários autorizados a acessarem estes “telegramas” diplomáticos. Isso parece ser uma quantidade exagerada de usuários que vêem tudo desse sistema, mesmo para os padrões norte americanos.

Mas, voltando para a sua organização, o que fazer? Em um dos meus livros já publicados, eu tenho um capítulo que dedico ao tema: “Alguém autorizado vai acessar!”. Onde indico que em um processo de segurança da informação, pessoas terão acesso às informações confidenciais e secretas. A questão é que não precisa ser todos os usuários!

O controle de acesso à informação deve garantir que apenas aqueles usuários que realmente necessitam da informação para o desempenho profissional na organização, é quem deve ter este acesso. Sem choro nem vela! E sem levar para o lado pessoal! Não precisa ter acesso: não tem acesso! Pode ser o presidente da empresa.

Se o presidente de um banco não tem como responsabilidade funcional fazer transferências de dinheiro entre bancos, ele não terá acesso à transação de transferência de dinheiro entre bancos. Não é uma questão de hierarquia. É uma questão de tratamento profissional para a proteção da informação.

Quando se discute acessos à informação nos deparamos com o mito: é somente leitura. Pois leitura por pessoas que não devem ter acesso pode fazer tanto mal quanto uma alteração indevida.

Sendo pragmático, verifique se na sua organização existem acessos autorizados de usuários que já saíram da organização ou que mudaram de função profissional. Estes acessos devem ser cortados imediatamente.

Faça uma revisão periódica dos acessos à informação. Uma revisão a cada seis meses é uma boa recomendação.

Registre todos os acessos realizados, mesmo os acessos de somente leitura.

Conscientize seus usuários sobre a responsabilidade deles em relação ao sigilo da informação.

Crie um canal onde o usuário possa (com garantia de anonimato, se ele quiser) denunciar abusos, ações incorretas e outras situações que o incomodam. Que tal criar um WikiLeaks interno? Se criar, me mande um email pois gostaria de saber.

Principalmente: tenha um processo de segurança contínuo, permanente e com profissionais habilitados. Isto custa dinheiro? Claro que sim! Custa dinheiro!. E custa mais do que dinheiro, custa recurso como o tempo e a atenção da direção da organização. Mas, é infinitamente menor do que o impacto financeiro ou de imagem, em não ter este processo de segurança da informação.

E finalmente, tenha as melhores pessoas trabalhando para você. Sempre haverá alguém que terá (e precisa ter) acesso às informações confidenciais e secretas. Por isso invista nas pessoas e mantenha os controles.

Não sei detalhes, mas entendo que as pessoas que sabem a fórmula da Coca-Cola são consideradas totalmente confiáveis por esta companhia. Mas, reza a lenda de que nenhuma delas sabe a fórmula sozinha. Não se brinca com os segredos da organização.

Não se esqueça do ditado popular: “Um olho na missa e outro no padre!”

Abraços,

Edison Fontes, CISM, CISA

Núcleo Consultoria em Segurança

edison@pobox.com 

Leia Também: Que Hacker resiste a tanta facilidade?

WikiLeaks e Certificação Digital

 

Entenda a forte relação entre WikiLeaks e Certificação Digital 

WikiLeaks é uma organização transnacional sem fins lucrativos, sediada na Suécia, que publica, em seu site, posts de fontes anônimas, documentos, fotos e informações confidenciais, vazadas de governos ou empresas, sobre assuntos sensíveis.

O site foi construído com base em vários pacotes de softwares. Apesar do seu nome, WikiLeaks não é um wiki.  Leitores que não têm as permissões adequadas não podem editar o seu conteúdo.

Para a postagem, WikiLeaks utiliza o TOR visando preservar a privacidade dos seus usuários, e garante que a informação colocada pelos usuários não é rastreável. 

TOR - The Onion Router, é uma rede de computadores distribuída com o intuito de prover meios de comunicação anônima na Internet. 

A rede TOR é uma rede de túneis http (com tls), onde os roteadores da rede são computadores de usuários comuns rodando um programa e com acesso web. O objetivo principal da infraestrutura de segurança do projeto é garantir o anonimato do usuário que está acessando a web.

TLS -Transport Layer Security - (em português: Segurança da Camada de Transporte) e o seu predecessor, Secure Sockets Layer - SSL (em português: Protocolo de Camada de Sockets Segura).

São protocolos criptográficos que conferem segurança de comunicação na Internet para serviços como email (SMTP), navegação por páginas (HTTP) e outros tipos de transferência de dados. 

O protocolo SSL provê a privacidade e a integridade de dados entre duas aplicações que comuniquem pela Internet. Isto ocorre através da autenticação das partes envolvidas e da cifra dos dados transmitidos entre as partes. Esse protocolo ajuda a prevenir que intermediários entre as duas pontas da comunicação tenham acesso indevido ou falsifiquem os dados transmitidos.

É o certificado digital utilizado por sites que exibem selos de sites seguros, o cadeadinho na barra inferior do seu navegador.

O site WikiLeaks foi lançado em Dezembro de 2006 e, em meados de Novembro de 2007, já continha 1,2 milhões de documentos. 

No site, a organização informa ter sido fundada por dissidentes chineses, jornalistas, matemáticos e tecnólogos dos Estados Unidos, Taiwan, Europa, Austrália e África do Sul. 

Julian Paul Assange

Seu diretor é o australiano Julian Assange, jornalista e ciberativista.

WikiLeaks recebeu vários prêmios para novas mídias, incluindo o New Media Award 2008 da revista The Economist.

Em junho de 2009, a WikiLeaks e Julian Assange ganharam o Media Award 2009 (categoria "New Media") da Anistia Internacional, pela publicação de Kenya: The Cry of Blood - Extra Judicial Killings and Disappearances, em 2008 um relatório da Comissão Nacional Queniana de Direitos Humanos sobre a política de extermínio no Quênia. Em maio de 2010, WikiLeaks foi referido como o número 1 entre os "websites que poderiam mudar completamente o formato atual das notícias".

Em abril de 2010, WikiLeaks postou, no website Collateral murder, um vídeo feito em 12 de julho de 2007, que mostrava civis iraquianos sendo mortos durante um ataque aéreo das forças militares dos Estados Unidos.

Em julho do mesmo ano, a organização ganhou maior visibilidade mundial, ao divulgar o Afghan War Diary, uma compilação de mais de 76.900 documentos secretos do governo americano sobre a Guerra do Afeganistão.

No mês de outubro, em articulação com grandes organizações da mídia, WikiLeaks publicou um pacote com quase 400.000 documentos secretos, denominado Iraq War Logs, reportanto torturas de prisioneiros e ataques a civis pelos norte-americanos e seus aliandos, na Guerra do Iraque.

Em 28 de novembro, publicou uma série de telegramas secretos de embaixadas e do Governo estadunidense.

Dois dias depois, em 30 de novembro, a pedido da justiça da Suécia, a Interpol distribuiu em 188 países, uma notificação vermelha, ou seja, um chamado àqueles que souberem do paradeiro de Julian Assange, para que entrem em contato com a polícia - o que equivale aproximadamente a uma ordem internacional de prisão. Isto porque, em agosto, duas mulheres suecas denunciaram Assange por violência sexual.

Em 1º de dezembro, WikiLeaks anunciou que a Amazon.com o expulsara dos seus servidores, onde estava hospedado desde que começaram os ataques contra seu hospedeiro sueco, Bahnhof, em 28 de novembro, o que tornou o acesso instável. 

Kevin Mitnick

Segundo Kevin Mitnick, considerado o mais famoso Hacker do mundo: "Roubar dados é muito mais fácil do que protegê-los".

O WikiLeaks e Julian Assange  estão apontando o quanto as empresas e autoridades governamentais do mundo todo não tratam suas informações sensíveis como deveriam.

A Tecnologia para evitar ou pelo menos reduzir os riscos de vazamento de informações existe! Cabe à autoridades entender os riscos a que estão expostos e aplicar a tecnologia.

A Certificação Digital e a tecnologia que evitaria o vazamento de muitas das informações divulgadas, principalmente as que foram capturadas através de e-mails entre empresas, organizações governamentais ou profissionais de comunição e jornalismo.

No controle de acesso aos arquivos eletrôinicos e físicos deveria ser aplicada a combinação de certificados digitais, certificados de atributo e o time stamp. Winlogon com certificação digital e não senhas e identificação biométrica. 

A Biometria sozinha não garante nada porque seu “segredo” é compartilhado em um servidor para ser checado no momento  do acesso. Digitais humanas são facilmente reproduzidas com a ajuda de um simples silicone. Salvo se utilizados leitores ultra sofisticados o silicone não funciona, pois são consideradas correntes sanguíneas etc ou se as digitais forem gravadas em mídia criptográficas (Met-on-Card) como esta previsto, por exemplo, no projteo brasileiro do  RIC - Registro de Identificação Civil .

No caso do controle de acesso ser feito através de senhas, é brincadeira, não vale nem comentar. 

Se fzermos uma analogia entre as senhas de acesso com a história do chapeuzinho vermelho, a senha é a casinha de palha. Se desfaz num sopro.

O controle de acesso com certificados digitais permite trilha de auditoria com logs de acesso aos arquivos confidenciais, transferência para mídias e impressão em papel. Até mesmo faz o controle dos acessos à ambientes físicos.

A comunicação interna nessas organizações e entre Governos de Estado deveriam ser resguardadas por certificados de assinatura, certificados de atributo e certificados de sigilo. E a tempestividade  da ação deveria ser conferida pelo uso do carimbo de tempo, o time stamp.

Não tenho a pretensão de resolver a questão da segurança internacional e existem inúmeros outros recursos  e aspectos técnicos que não  domino e não citei neste artigo. Quero apenas alertar para o fato de que a tecnologia já existe e está disponível para empresas, indústrias e organizações governamentais agregarem mais segurança a troca e guarda de suas informações.

WikiLeaks nesse episódio veio expor a ferida da sociedade eletrônica e das organizações com o "descompromisso" com a proteção e troca de dados sensíveis. 

É claro que em muitos casos os documentos divulgados são antigos e foram “coletados” numa época em que não existiam recursos tecnológicos dos quais estamos falando. Também alguns vídeos publicados que não faziam parte de nenhum acervo governamental. 

Mas fato é que a entrega desses materiais é feita diretamente aos servidores protegidos da WikiLeaks ou via colaboradores que transmitem aos servidores  utilizando justamente a proteção  da tecnologia de criptografia que os detentores das informações deveriam utilizar.

Não faço aqui apologia ao crime, mas é um tanto ridículo as autoridades mundiais e a mídia internacional tentarem jogar a opinião pública contra Julian Assange por conta do crime de violência sexual supostamente praticado por ele.

Pelo amor de Deus, o cara é um gênio. Se é do bem ou do mau, não cabe a mim julgar, porém as atenções da mídia e da opinião pública deveriam se voltar para a questão da troca e a guarda das informações "Top Secret" e a  responsabilidade da publicação de documentos e vídeos não autorizados por parte da  Winkileaks.

Próximo alvo anunciado: EMPRESAS, começando por grande banco americano, cujos memorandos internos supostamente mostrariam algum tipo de negócio escuso.

Regina Tupinambá

Este Blog publica matérias e artigos extraídos da mídia que expressam a opinião dos respectivos autores e artigos escritos por mim que expressam, exclusivamente, minha opinião pessoal sem vínculo a nenhuma organização.

Leia também: Que Hacker resiste a tanta facilidade?