Ottawa quer o poder de criar backdoors secretos em redes para vigilância

 (theglobeandmail.com)
1 pontos por GN⁺ 2024-05-30 | 1 comentários | Compartilhar no WhatsApp

Problemas no projeto de lei canadense de cibersegurança

Principais pontos do projeto de lei C-26

  • O projeto de lei C-26 concede ao governo canadense o poder de ordenar secretamente que operadoras de telecomunicações instalem backdoors em redes criptografadas.
  • Isso pode facilitar a vigilância governamental ao alterar os padrões de criptografia do 5G.

Vulnerabilidades das redes atuais

  • As redes atuais já possuem muitas vulnerabilidades.
  • Por exemplo, o sistema de sinalização No.7, desenvolvido em 1975, é uma das principais fragilidades de segurança da telefonia móvel.
  • Segundo um relatório de 2023 do Citizen Lab, existem vulnerabilidades amplamente disseminadas no núcleo das redes móveis em todo o mundo.

Problemas do projeto de lei

  • Em vez de criar novas vulnerabilidades, o governo deveria corrigir as que já existem.
  • O projeto de lei C-26 concede amplos poderes para impor mudanças técnicas que podem comprometer a "confidencialidade, integridade e disponibilidade" dos serviços de telecomunicações do Canadá.
  • Com esse projeto, o governo se torna o único árbitro a decidir se as comunicações mais confidenciais dos canadenses estarão seguras ou não.

Os riscos de enfraquecer a criptografia

  • A criptografia da tecnologia 5G protege as comunicações móveis e os dados dos usuários contra ataques man-in-the-middle.
  • O projeto de lei também pode afetar dispositivos inteligentes conectados à nuvem e serviços baseados em satélite.
  • Historicamente, backdoors criados por governos representam sérias ameaças à cibersegurança.

A contradição na estratégia de cibersegurança do governo

  • Em 2022, o Canadá bloqueou equipamentos de telecomunicações da Huawei e da ZTE, mas o projeto de lei C-26 dá ao país o poder de enfraquecer a criptografia por meio de ordens secretas.
  • Isso contradiz a política pró-criptografia do Canadá e as orientações de especialistas.

Não existe backdoor seguro

  • Segundo um relatório do GCHQ, a ameaça representada por empresas de hacking comercial terá grande impacto no ambiente cibernético.
  • Se o governo canadense obrigar operadoras a enfraquecer recursos de segurança, empresas de ciberespionagem e outros adversários encontrarão mais formas de acessar as comunicações.

Opinião do GN⁺

  • Importância da criptografia: a criptografia é o núcleo da cibersegurança, e enfraquecê-la ameaça a segurança de todo o sistema.
  • Políticas contraditórias do governo: as políticas do governo canadense são inconsistentes, e isso pode ter impactos negativos também no cenário internacional.
  • Vulnerabilidades técnicas: se o projeto for aprovado, é alta a probabilidade de surgirem novas vulnerabilidades técnicas.
  • Necessidade de alternativa: o Canadá deve reavaliar seu projeto de lei de cibersegurança em uma direção que proteja e fortaleça a criptografia.
  • Impacto internacional: o projeto canadense pode servir de justificativa para leis repressivas semelhantes em outros países.

Leituras relacionadas

1 comentários

 
GN⁺ 2024-05-30
Comentários do Hacker News

  • O Canadá já tem autoridade para colocar backdoors em redes de comunicação para fins de vigilância. Todo Estado soberano faz isso em sua própria infraestrutura como parte da arquitetura RAN
    https://en.wikipedia.org/wiki/Lawful_interception
    O que o Canadá aparentemente quer de fato é uma forma de fazer isso sem barreiras legais tradicionais, como mandados, ou supervisão jurídica

    • Numa situação em que a privacidade individual está se enfraquecendo rapidamente, ao falar em expandir esse tipo de poder é preciso ver especificamente qual órgão, em que contexto vai usá-lo
      Por exemplo, hoje em dia parece natural presumir que agências de inteligência do tipo NSA já obtêm quase sem atrito as comunicações eletrônicas que desejam. Dizem que os EUA têm salvaguardas contra vigilância doméstica de seus próprios cidadãos, mas já vimos o quão rápida e facilmente isso é contornado por meio de agências parceiras do Five Eyes ou de corretores comerciais de dados
      Mais assustador ainda é quando agências domésticas de aplicação da lei obtêm novos meios de eliminar atritos como exigência de mandado ou procedimentos de solicitação individual. Em tese, esses pedidos podem ser rastreados e auditados para detectar abuso, mas é realmente aterrorizante imaginar investigadores nacionais com acesso a um feed full take que captura tudo, para depois montar e consultar um enorme grafo de conexões de metadados
    • O Canadá tem a notwithstanding clause na Carta desde 1982, então dá até para dizer que não possui uma constituição efetiva, já que o Parlamento pode ignorar conteúdos equivalentes a uma carta de direitos
    • Em geral, a diferença está em onde a interceptação acontece
      A maioria dos países tem capacidade de interceptar sinais desde que sinais existem
      O que se quer agora é comprometer o sistema operacional ou o aplicativo para que envie ao país o texto puro das mensagens antes da criptografia ou depois da descriptografia
      Mas não dá para simplesmente entrar numa empresa e mandar que ela faça isso, então é preciso ter autoridade para forçá-la a implementar essas mudanças. Por isso esse tipo de projeto de lei muitas vezes termina de forma muito vaga
    • Fico imaginando como isso seria possível. O HTTPS não impede interceptação ponta a ponta?
      Não sei se isso significa que eles têm capacidade de quebrar isso, ou se só podem exigir que o dono do endpoint com quem me comunico entregue as informações
    • Isso não é algo feito só pelas teles. Os fornecedores de equipamentos incluem funcionalidade de interceptação legal nos equipamentos, e a operadora só precisa configurar o acesso
      Não consigo verificar agora, mas lembro que isso também fazia parte de um padrão aberto

  • Podem me chamar de paranoico, mas vejo scanners do lado do cliente como o Recall como uma tentativa de contornar a criptografia de ponta a ponta sem quebrar matemática nem hardware
    Se varredura no cliente baseada em NPU for combinada com técnicas de análise lexical, mesmo que eu saiba o suficiente para abandonar Apple/Google/Microsoft para sempre, um amigo anônimo comum ainda pode estar usando um Copilot+ com Recall ativado. Aí a Microsoft pode ler a conversa no dispositivo dessa pessoa e me identificar

    • Em breve a Microsoft vai oferecer um recurso para “fazer backup” dos dados do Recall no OneDrive, e então as forças da lei poderão obter isso facilmente por intimação
      Por exemplo, o WhatsApp incentiva fortemente backup no Drive, e do ponto de vista da polícia é fácil conseguir uma cópia dali
    • É só questão de tempo até que operadores de sistema operacional ou do Recall percebam que estão sentados sobre um monte de informações sensíveis coletadas “por acaso” e entrem no mercado de corretores de dados

  • Se Snowden e Assange nos ensinaram algo, é que não se deve elevar demais o padrão de prova quando se trata de vigilância conduzida pelo Estado
    As evidências disponíveis sempre chegam depois da realidade, e coisas antes tratadas como exagero ou suspeita excepcional — como “a NSA até sabe que eu odeio brócolis” — no fim não eram totalmente infundadas

    • A NSA realmente espionou até dentro do World of Warcraft. [1]
      Quando agentes de inteligência estão vagando pelo jogo como elfos em nome da “segurança nacional”, dá para perceber que vivemos numa linha do tempo estúpida, mas infinitamente divertida
      [1] - https://www.theguardian.com/world/2013/dec/09/nsa-spies-onli...

  • Esse assunto se repete a cada poucos anos na maioria dos países. Parece que todo mundo esquece que, em quase todos eles, telecomunicações são uma indústria licenciada, e fornecer interceptação legal é uma obrigação jurídica dessa licença

    • A autoridade para colocar backdoors de vigilância nas redes de comunicação já existe, mas o que eles realmente querem é uma forma de fazer isso sem barreiras legais tradicionais, como mandados, nem supervisão jurídica
      Então não dá para simplesmente deixar passar com o argumento de “mas isso eles já podem fazer”
    • Ah, então como está escrito na lei, naturalmente deve ser aceitável

  • “Em 2017, a CBC mostrou que hackers conseguiam interceptar localização, mensagens de texto e chamadas de parlamentares canadenses apenas com o número de celular deles”
    O texto linkado diz que os hackers conseguiram gravar uma ligação entre Dubé, em seu escritório no Parliament Hill, e a colega da Radio-Canada Brigitte Bureau, sentada num café em Berlim
    Tenho perguntas demais. Isso ainda funciona? Funciona em qualquer telefone que use SS7? Inclui telefone fixo e celular? É possível de qualquer lugar do mundo para qualquer outro? Quais são os limites do ataque? Se qualquer pessoa pode ouvir a ligação de outra, por que isso não é visto como um problema muito maior?

  • O problema dessas tentativas é que elas não visam responder a crimes reais ou questões de segurança, mas sim garantir a dominação partidária e controlar vozes dissidentes
    Comparando a velocidade das mudanças tecnológicas com o gerencialismo, essas tentativas de política parecem um sinal de que o Canadá entrou efetivamente no caminho de se tornar, por décadas, um país em desenvolvimento. É parecido com a forma como Portugal, Grécia, Argentina e Espanha eram vistos como países pobres no fim do século XX, e os partidos no poder naquela época se parecem com o Canadá de hoje
    Quando o governo troca o foco do crescimento pela gestão da dissidência e da fuga de capital, já dá para ver o fim

  • Conheço razoavelmente a área de interceptação legal (LI). Algumas agências e empresas dos EUA/Canadá fazem isso com ferramentas da JSI Telecom
    Eles fazem inspeção profunda de pacotes e gravação de chamadas, e as políticas de retenção são definidas de acordo com a legislação do país em questão. Mesmo em chamadas gravadas, conversas com advogados não podem ser gravadas, então alguém precisa ouvir e silenciar manualmente. Em alguns países, a gravação não é permitida, então uma pessoa precisa ouvir a chamada em tempo real
    Pessoalmente, acho que a democracia está desaparecendo e que repúblicas em que o governo faz o que quer vão prevalecer. De qualquer forma, parece que estamos indo nessa direção, e esse processo teatral é cansativo

  • Fico me perguntando se não chegou a hora de os países democráticos garantirem constitucionalmente a criptografia dentro do sistema de devido processo legal
    Pelo menos parece combinar bem com a ideia de freios e contrapesos

  • O Canadá é totalitário? Surpreendente

    • Sei que opositores do governo atual gostam dessa expressão hoje em dia, mas o governo canadense está tão longe de ser totalitário que isso chega a parecer engraçado
      O problema real não é algo como fascismo, mas sim oligopólio
      O governo dedica a maior parte de seus esforços a proteger empresas e setores aliados da concorrência e até a direcionar impostos para eles
      No caso da Bell e da Rogers, isso soma bilhões de dólares por ano
    • Não precisa se preocupar. A UE tenta a mesma coisa a cada poucas semanas
      https://www.patrick-breyer.de/en/let-yourself-be-monitored-e...
    • Mais precisamente, é autoritário. Totalitarismo exige mobilização em massa da população sob uma ideologia única
      Putin tenta ser um líder totalitário, mas nem ele conseguiu. Ele depende bastante da “maioria silenciosa” despolitizada da Rússia, assustada ou acomodada demais para enfrentar os órgãos de segurança
      Se a Rússia fosse um Estado totalitário, veríamos essa maioria disputando vagas no exército e no governo
    • Isso é um cinismo inútil e mal informado
      O Canadá não é totalitário. Sinceramente, é difícil dizer isso a menos que você tenha uma visão política muito extrema que considere justificável algo como o bloqueio do centro de Ottawa
      Há bastante pensamento conspiratório no estilo MAGA no Canadá, mas pelos padrões canadenses isso é um fenômeno relativamente recente e não amplamente aceito
    • Essa é uma avaliação péssima
      Nenhum governo canadense nas últimas décadas chegou perto de ser totalitário, autoritário ou algo parecido. O exemplo mais recente na memória viva provavelmente seriam os internatos indígenas, mas eles eram administrados por igrejas com apoio político dos governos federal e subnacionais. Não estou minimizando isso, mas o último internato fechou em 1997
      O Canadá é, sem dúvida, uma democracia representativa que se enquadra na categoria de democracia liberal ocidental. Há críticas legítimas ao neoliberalismo, assim como ao neoconservadorismo, mas a acusação de ambições totalitárias só raramente faz sentido
      Na verdade, talvez a maior ameaça à democracia canadense seja o declínio da alfabetização política. Não elegemos diretamente o primeiro-ministro, mas muita gente vota como se elegesse. Não é um sistema bipartidário; na prática, é um sistema multipartidário em que governos minoritários são possíveis, e esse é inclusive o caso agora, mas muita gente vota como se fosse essencialmente um bipartidarismo com “partidos de brincadeira que desperdiçam voto” acoplados
      Há um Parlamento bicameral, mas uma das casas é composta inteiramente por parlamentares eleitos e, até agora, tem se mantido relativamente serena em grande parte apenas pela força da boa-fé. Não considero isso uma proteção suficiente no longo prazo, mas esse é outro assunto
      A maioria dos canadenses provavelmente não conseguiria explicar de improviso como um projeto de lei é apresentado e aprovado no Parlamento além de dizer que há algumas leituras. E, na prática, a maioria vota olhando para o líder do partido e para a atuação geral do governo no poder, em vez de acompanhar o que seu deputado federal ou provincial realmente faz

  • https://archive.is/y6d41