AT&T e Verizon bloqueiam divulgação de relatório de avaliação de segurança sobre o Salt Typhoon

• As operadoras americanas AT&T e Verizon estão impedindo a divulgação de um relatório de avaliação de segurança relacionado ao Salt Typhoon
• Um senador dos EUA apontou que as duas empresas estão atrapalhando a divulgação dos resultados da investigação de cibersegurança do governo
• O relatório trataria da avaliação das atividades do grupo de hackers Salt Typhoon, ligado à China
• As duas operadoras teriam se recusado a divulgar o relatório por motivos de confidencialidade e segurança
• O caso está gerando controvérsia em torno de segurança nacional e transparência da infraestrutura privada de telecomunicações

---

Polêmica sobre a divulgação do relatório de avaliação de segurança do Salt Typhoon

• AT&T e Verizon estão bloqueando a divulgação do relatório de avaliação de segurança relacionado ao Salt Typhoon
  • O relatório inclui uma avaliação de ameaças cibernéticas à infraestrutura de telecomunicações nos EUA
  • Trata-se de um documento elaborado com base nos resultados de uma investigação de órgãos do governo
• Um senador dos EUA criticou as duas empresas, dizendo que elas prejudicam o direito da população à informação e a transparência em cibersegurança
  • Segundo relatos, o relatório inclui uma análise das atividades do grupo de hackers Salt Typhoon, ligado à China
• As duas empresas recusaram a divulgação com base em razões de segurança e obrigações de confidencialidade
  • A base legal específica e os detalhes não foram divulgados

Impactos políticos e no setor

• O caso está se ampliando para um debate sobre segurança nacional e o alcance da responsabilidade das operadoras privadas de telecomunicações
  • Também surgiram questionamentos sobre o sistema de compartilhamento de informações entre governo e setor privado
• Foram levantadas dúvidas sobre se o sistema de resposta a ameaças cibernéticas na infraestrutura de telecomunicações é suficiente
  • A não divulgação dos resultados da avaliação de segurança pode afetar futuras discussões de políticas públicas
• Até o momento, o conteúdo detalhado do relatório e um cronograma de divulgação ainda não foram confirmados

[GN⁺]

Comentários do Hacker News

• Há algum tempo, escrevi a especificação do recurso de interceptação legal (lawful intercept) de um nó de dados 3G
  O princípio central do projeto era uma arquitetura que não confia na empresa operadora da rede. Isso porque era preciso proteger os funcionários da influência do crime organizado
  A interceptação é iniciada a partir do console de LI da agência de aplicação da lei, e o operador da rede não fica sabendo disso. O sistema era projetado para permitir a interceptação de até cerca de 3% do tráfego, sem aparecer em logs nem em ferramentas administrativas
  Mas, se um invasor comprometesse o console de LI, ele poderia, por projeto, extrair seletivamente determinado tráfego sem ser detectado
  Como vários fornecedores fornecem software de console de LI e usam protocolos padronizados, mesmo quando há um problema é difícil atribuir a responsabilidade
  • Trabalhei na equipe de operações de rede de uma grande operadora dos EUA, e alguns engenheiros conseguiam mais ou menos inferir quais nós estavam sob interceptação por meio de análise de fluxo de chamadas. Não era algo totalmente invisível
  • Tenho curiosidade sobre o que exatamente é o console de LI e onde ele fica instalado
  • Fico me perguntando se isso não seria o sistema RAVEN
• O governo obrigou as operadoras a implementarem recursos de interceptação legal, e então agentes maliciosos exploram justamente esse backdoor exigido pelo governo. Ainda assim, o governo falar de segurança e privacidade é pura hipocrisia. No fim, precisamos eleger políticos melhores
  • Quando trabalhei como consultor de segurança, atendi uma empresa que fabricava equipamentos de hardware para interceptação. Era um equipamento de caixa-preta que, bastava a operadora instalar, para cumprir as exigências do governo
    Mas os testes de segurança só eram permitidos na rede do cliente, e havia orientação explícita para nunca mexer no produto em si. Pelo nível de segurança interna, é bem provável que esse equipamento já tenha sido comprometido há muito tempo
  • Trocar os políticos também importa, mas no fundo isso é um problema estrutural do governo
    1. propõem uma lei entendendo mal o problema → 2) ela é aprovada, mas cria vários problemas novos → 3) depois concorrem de novo prometendo resolver esses problemas → 4) repetição infinita
  • O cerne do problema não é o backdoor em si, e sim a segurança ruim das teles. Sistemas de interceptação precisam existir por exigência legal, mas as grandes operadoras são complexas e têm controles de segurança fracos
    Esse tipo de ambiente vira alvo principal de hackers estatais, e o caso Salt Typhoon mostra isso. Mesmo que o sistema de interceptação não tenha sido invadido, se o roteamento de chamadas ou o sistema de cobrança forem comprometidos, o risco já é enorme
  • Não concordo com a afirmação de que o governo está levantando a bandeira da privacidade. Na prática, AT&T e Verizon estão bloqueando a divulgação do relatório de avaliação de segurança da Mandiant
  • Fico na dúvida se tudo isso é especulação ou fato já confirmado
• Tudo isso só é possível graças à CALEA (Communications Assistance for Law Enforcement Act), aprovada em 1994. No fim, o governo precisa lidar com o caminho de intrusão que ele mesmo criou. Já passou da hora de eliminar esses backdoors obrigatórios por lei
• Quando trabalhei na Verizon, uns 10 anos atrás, uma equipe externa de segurança veio fazer uma auditoria e conseguiu dominar a rede inteira em 3 ou 4 horas por meio de um único console do Jenkins em Windows. A segurança interna era desse nível
• Neste momento, a China, entre outros países e indivíduos, consegue acessar sistemas de interceptação de telecomunicações
  Quem não consegue acesso, ironicamente, é o usuário comum
  No fim, esses sistemas só servem para coleta de material para chantagem ou manipulação judicial com fins políticos. Como mensageria criptografada já é amplamente usada, esse tipo de vigilância é desnecessário
• Impedir a divulgação desses relatórios é um golpe sério contra a gestão de risco sistêmico
  Se o vetor de comprometimento não for divulgado, outros setores de infraestrutura continuam completamente às cegas. Na tentativa de proteger a reputação corporativa, acabam sacrificando a segurança coletiva
  • Há uma entrevista da Cybersecurity Dive que trata dos vetores de ataque relacionados
• Compartilhando o link da matéria no MSN sem script do Datadome e uma versão em texto
  (surpreendentemente, a Microsoft está servindo isso por HTTP)
  • Fico curioso sobre o motivo dessa regressão de HTTPS para HTTP
• As operadoras não querem que venham à tona os backdoors que criaram e a má gestão que fazem
  E não só as operadoras móveis: ISPs residenciais como Comcast, Cox e Charter são ainda mais incompetentes. Passei por várias dessas empresas e vi isso de perto
• Tudo isso é um caso de os EUA terem tentado imitar políticas autoritárias e fracassado
  Não conseguem alcançar a China em segurança, vigilância nem capacidade tecnológica, e ainda por cima estão enfraquecendo o próprio ambiente interno
  O êxodo de cérebros acelerado pela crise econômica e pelas demissões em massa só reforça ainda mais a vantagem tecnológica chinesa, criando um ciclo vicioso
  • A situação atual dá quase a sensação de que a rivalidade EUA-URSS da Guerra Fria foi invertida