São Francisco, Estados Unidos, 6/9/2011 (IPS/Al Jazeera) – Da Tunísia ao Bahrein, se há algo que têm claro os ativistas que dominam a internet é que a rede nem sempre é segura. Pela constante ameaça da vigilância e até por saber que publicar a foto errada no Facebook pode levar à prisão de alguém – ou a coisa pior –, durante muito tempo os ativistas adotaram medidas para minimizar os riscos, se autocensurar, usar ferramentas especiais como Tor (que permite comunicações anônimas na internet), ou ficar fora de determinadas redes.
Lamentavelmente, não ocorre apenas com alguns ativistas que carecem da habilidade técnica necessária, mas, inclusive, os melhores podem ser vítimas de regimes mais hábeis. Por exemplo, em dezembro, tão logo começou a gestação do levante na Tunísia, os ativistas notaram que suas contas no Facebook estavam em perigo. Alguns perceberam que faltava informação em suas contas, o que levou os responsáveis pela rede social a investigar e, finalmente, redirigir os usuários para uma versão mais segura do site (https).
O incidente pode ter animado o Facebook a tomar a decisão de passar todos seus usuários para essa versão segura. No final de fevereiro, cada um dos registrados nessa rede pôde optar por uma segurança maior. Contudo, como ilustram dois incidentes ocorridos nos últimos dias, sua sensação de segurança pode ter sido prematura. Os dois últimos episódios mostram que há um jogo de gato e rato aparentemente perpétuo entre os usuários de redes sociais que vivem sob regimes autoritários e esses mesmos governos.
O regime sírio e seus partidários planejaram e implantaram durante meses novas formas de ter como alvo os usuários de redes sociais que se expressavam a favor da oposição. A campanha incluiu desde inundar os hashtags (grupos de mensagens sobre o mesmo tema) do Twitter com vínculos não relacionados até alterar sites da oposição. Embora tenham sido informados vários incidentes de manipulação de sites no Facebook, nenhum se confirmou.
O Information Warfare Monitor informa sobre uma nova tentativa de montar um ataque contra opositores sírios. Embora se desconheça os responsáveis, os ataques foram lançados em Twitter contra usuários do Facebook. Segundo o informe, os culpados divulgaram pelo Twitter um link em uma tentativa de atrair seguidores para um vídeo no Facebook que, na realidade, conduzia a uma página falsa desta rede social. Depois, se o usuário se registrasse, seus dados eram capturados e a informação de sua conta ficava em perigo.
Este tipo de ataque, seja lançado pelo regime ou por outros atores, é básico quanto ao seu alcance, mas pode ser devastador para um usuário que nunca resguardou seus dados no Facebook e muito devastador para um ativista cuja conta contenha informação privada ou contatos delicados. De todo modo, este tipo de ataque é ínfimo se comparado com um que foi descoberto no Irã.
Em consequência da Primavera Árabe e do desenvolvimento de ferramentas para tornar a rede mais segura, a escalada de riscos fez aumentar a pressão sobre as plataformas das redes sociais para que oferecessem conexões criptadas, proporcionando aos usuários um modo menos vulnerável de terem acesso a elas.
Após o ataque tunisiano, o Facebook estendeu serviços criptados optativos aos seus usuários, enquanto o Twitter começou a oferecê-los e já estão disponíveis como opção. A maior parte dos programas de correio eletrônico baseados na web também oferece uma navegação segura.
Quando um usuário visita esses sites, confia nas Autoridades de Certificação, centenas de empresas que assinam os certificados que supostamente garantem a navegação segura. Porém, o que ocorre se apenas uma dessas autoridades é usada para emitir um certificado fraudulento? Esse certificado pode ser usado para comprometer sites que o público considera seguros.
Em 29 de agosto, um usuário iraniano do Gmail (do Google) informou sobre um alerta do navegador Chrome (também do Google) que indicava a presença de um certificado falso. Um comunicado do Google reconheceu que os principais afetados foram usuários iranianos, e que o certificado fraudulento fora emitido em 10 de julho por uma Autoridade de Certificação chamada DigiNotar. Embora por muito tempo os críticos do sistema de certificação temessem a possibilidade desse tipo de ataque, esta é a primeira vez que se registra.
Nos últimos dois meses, os iranianos que tentaram acessar sites criptados do Google, entre eles o Gmail, podem ter sido vigiados, ficando seus dados (incluindo senhas e qualquer atividade realizada e registrada em um site) disponíveis para o atacante. Por sua vez, o Google divulgou um comunicado recordando aos usuários a importância de manterem seus programas atualizados e prestaram atenção aos alertas dos navegadores. A Mozilla, que produz o navegador Firefox, e a Microsoft também comunicaram a situação aos seus usuários.
Embora o ataque iraniano tenha sido muito mais sofisticado do que o cometido contra os usuários sírios do Facebook, ambos tiveram o mesmo objetivo: apoderar-se de dados de usuários em uma tentativa de silenciar ou colocar em perigo aqueles que discordam dos atacantes.
As autoridades sírias utilizaram contas do Facebook de pessoas detidas, por exemplo, para rastrear outros ativistas. Outro tanto aconteceu no Bahrein, enquanto no Irã foram informadas Inspeções Profundas de Pacotes, utilizadas esmiuçar em e-mails, chamadas pela internet e outras atividades online. Ativistas dos três países foram detidos, presos e, em alguns casos, torturados.
Críticos do sistema criptografado e de certificação se centraram por muito tempo nas ameaças aos usuários médios. A Electronic Frontier Foundation (para a qual trabalho) se mostrou preocupada com o fato de esses incidentes poderem se generalizar, indicando que o sistema de certificação criado há décadas, “em uma era em que se pensava que a maior preocupação quanto à segurança na rede era proteger os usuários da interceptação do número de seu cartão de crédito”.
Estes últimos ataques lançaram luz sobre o quanto podem ser sérias as ramificações para os usuários em países como Irã e Síria, onde as autoridades costumam usar os meios sociais para silenciar os opositores. Quando um regime adquire a capacidade de controlar grandes setores de usuários, não precisa usar os caros métodos tradicionais para identificar e espionar pessoas.
Portanto, é imperativo que a comunidade da segurança e as Autoridades de Certificação, em particular, se conscientizem quanto às implicações mundiais de suas tecnologias: há vidas em jogo. Envolverde/IPS
*Jillian York é diretor da International Freedom of Expression na Electronic Frontier Foundation, em São Francisco, Estados Unidos, colunista da Al Jazeera e integra o conselho diretor da Global Voices Online. Os pontos de vista expressos neste artigo são do autor e não necessariamente refletem a política editorial da IPS ou da Al Jazeera. Esta coluna foi publicada sob acordo com a Al Jazeera.
