O que não escrever em um formulário de autorização de segurança (1988)

• Conta o caso de um código secreto criado aos 12 anos após ler um livro de criptografia ter sido confundido com um caso de espionagem pelo FBI
• A chave de cifra dentro de um estojo de óculos perdido foi confundida com prova de espionagem japonesa, e o FBI investigou por várias semanas
• Após a investigação, o FBI devolveu os óculos, mas guardou a chave de cifra para registro, e o caso foi encerrado como brincadeira de criança
• Anos depois, ao escrever em um formulário de autorização de segurança que tinha “experiência de investigação pelo FBI”, um responsável pela segurança rasgou o documento e mandou refazê-lo
• A experiência mostra de forma satírica que não se deve escrever fatos desnecessários em documentos de autorização de segurança

---

O espião e-t-a-o-n-r-i e o FBI

• Na infância, o autor leu Secret and Urgent, de Fletcher Pratt, e experimentou um sistema de cifra baseado em análise de frequência
  • Junto com um amigo, criou uma chave de cifra e idealizou um método de comunicação que só os dois conseguiam decifrar
  • A chave era um documento de uma página datilografado, e cada um tinha sua própria cópia
• O autor escondeu a chave de cifra dentro de um estojo de óculos, mas perdeu o estojo no caminho de volta da praia
  • Na época, os óculos custavam 8 dólares, uma quantia alta para ele
• A pessoa que encontrou o estojo confundiu o conteúdo com uma mensagem cifrada de um espião japonês e avisou o FBI
  • Era 1943, logo após o início do internamento forçado de nipo-americanos
• Depois de semanas de investigação, o FBI visitou a mãe do autor e confirmou que o suspeito era um menino de 12 anos
  • Explicaram que rastrearam sua identidade pelos registros do grau dos óculos
  • O agente demonstrou irritação, dizendo que “o governo gastou milhares de dólares neste caso”
• Os óculos foram devolvidos, mas a chave de cifra foi apreendida para os arquivos do FBI, encerrando o caso

O caso do formulário de autorização de segurança

• Na universidade, ao tentar trabalhar em um laboratório de pesquisa eletrônica da Marinha, ele preencheu um formulário de autorização de segurança
  • À pergunta “Você já foi investigado pelo FBI?”, respondeu “sim” e escreveu que havia sido “suspeito de espionagem japonesa”
• O responsável pela segurança viu isso, ficou furioso, rasgou o formulário e exigiu que fosse refeito
  • Alertou que “se você escrever isso, nunca vai conseguir a autorização”
• Depois de preencher um novo formulário conforme a orientação, a autorização de segurança foi aprovada pouco depois
• Desde então, o autor nunca mais mencionou esse episódio em documentos de autorização de segurança

Anedota final

• Mais tarde, ele comenta que descobriu por acaso que registrar certas informações sensacionalistas pode até acelerar o processo de autorização
• Mas deixa o exemplo concreto para “outra história”
• No conjunto, o texto assume a forma de uma memória satírica sobre a irracionalidade dos procedimentos administrativos e a cultura de segurança excessiva

[GN⁺]

Comentários no Hacker News

• Quando entregou a papelada ao responsável pela segurança, ele deu uma olhada rápida e, apontando para a pergunta relacionada ao FBI, perguntou: “O que é isso?”
  Quando expliquei a situação, ele ficou exaltado, rasgou os papéis e disse: “Escreva tudo de novo e não mencione isso. Caso contrário, você nunca vai conseguir a autorização de segurança”
  Ao lidar com o governo, é importante ‘ver pela ótica do governo’ — como no trocadilho de Seeing like a Bank, o governo classifica tudo em ‘categorias (bins)’
  O problema é que, mesmo quando o governo não detalha essas categorias o suficiente, depois responsabiliza a pessoa individual pela escolha errada

  • “Seeing like a Bank” em si é, na verdade, um trocadilho com o livro famoso “Seeing like a State”. No fim, virou quase uma referência circular completa
  • O problema é sempre descobrir qual é o ‘bin’. O governo pode não ter uma categoria do tipo ‘investigado pelo FBI por uma traquinagem de infância’, mas se você mentir vai parar na categoria de ‘quem fez declaração falsa’
  • O perigoso não é apenas o risco em si, mas virar alguém ‘anômalo (anomalous)’

• Mesmo autorizações de segurança de nível máximo (pelo padrão da OTAN) às vezes são obtidas com mentira
  Especialmente nos itens sobre álcool, drogas, finanças e parceiros estrangeiros
  Nas Forças Armadas há muita gente funcionalmente normal, mas que na prática é alcoólatra. Se não forem pegos, a autorização continua sendo renovada
  Já a maconha é investigada a fundo mesmo com uma suspeita mínima. Na prática, muito mais gente perde a autorização por maconha do que por bebida

  • Um amigo no Canadá que estava tentando obter autorização Top Secret disse, numa entrevista com polígrafo, quanto bebia por semana, e isso foi tratado como ‘nível de alcoolismo’, mesmo sendo um consumo típico de universitário
  • No fim, o que importa é a diferença entre o que é objetivamente verificável e o que é culturalmente tolerado dentro da organização
  • A situação é tão problemática que se diz que as Forças Armadas dos EUA hoje são conduzidas por condenados por dirigir alcoolizados sem qualificação para isso
  • Costumam dizer que, para um amigo minimalista, o melhor é dar presentes consumíveis ou experiências. Mas esse método também é útil para ocultar suborno — a bebida consumida não deixa prova
  • As políticas rígidas sobre drogas de hoje surgiram por causa do problema com drogas na época da Guerra do Vietnã

• Há um caso interessante sobre como conseguir uma autorização de segurança rapidamente — texto relacionado

  • É uma abordagem espirituosa, mas na prática parece o tipo de coisa que poderia acabar se voltando contra a pessoa
  • Ainda assim, tornou a história muito mais interessante
  • Parece uma história do Feynman. Talvez tenha sido por causa do espírito da época
  • Isso matou minha curiosidade

• É chocante que o responsável pela segurança tenha aconselhado a mentir. Isso quase certamente se enquadra como crime grave

  • Algo que muitas vezes é ignorado nas tentativas de substituir pessoas por máquinas é que seres humanos funcionam como corretores improvisados de erros do sistema
  • Quando entrei na Força Aérea, na pergunta sobre uso de maconha disseram “responda com honestidade, nós sabemos de tudo”, mas em seguida orientaram a responder “menos de 5 vezes e nem gostei muito”
  • Considerando o contexto da época, é possível que esse responsável pela segurança na verdade tenha prestado um grande favor. Se a resposta fosse “sim”, a autorização e o emprego de verão teriam ido embora
  • Encontrar registros dos anos 1940 provavelmente seria praticamente impossível, então é bem possível que ele tenha feito uma avaliação pragmática
    Hoje, por causa dos registros digitais, esse tipo de coisa é quase impossível. Pelo contrário, esconder costuma virar um problema maior
    Os investigadores em geral são razoáveis e entendem quando foi apenas uma falha de memória, não uma omissão deliberada
  • Em geral, dá para obter a autorização desde que você não minta. No fim, o encobrimento é pior que o pecado original

• Eu administrava um BBS dial-up no fim dos anos 1990, e num certo verão alguns usuários frequentes simplesmente sumiram
  Cerca de um ano depois, descobri que um deles tinha sido preso por hackear um aeroporto
  Eles estavam discando números de modem aleatórios até encontrar um sistema sem senha, e acabou sendo um sistema do aeroporto
  Artigo relacionado

  • Mas, na realidade, o caso foi grave a ponto de eles vazarem até dados de clientes de farmácias. Não foi só algo no nível de ‘entrar num sistema desconhecido’

• Foi apresentado um texto de 1988 em que o veterano cientista da computação Les Earnest relembra um incidente travesso de quando tinha 12 anos
  Wiki de Les Earnest

• Fiquei surpreso ao saber que ele é dono do domínio milk.com

  • Na página milk.com/value, o header do servidor aparece como “lactoserv”
  • Havia também uma página em que ele escreveu sobre ter recusado uma oferta de vários milhões de dólares no passado
  • É tão legal quanto possuir ai.com
  • Por coincidência, um podcast da NPR que ouvi ontem também falava do valor de milk.com

• Essa história já tinha aparecido antes em outro texto, e disseram que o autor depois também teve um episódio em que introduziu o padrão de uso de capacete em corridas de bicicleta

• O sistema de autorização de segurança é um exemplo clássico da Lei de Goodhart
  O objetivo original é avaliar a possibilidade de chantagem, mas a forma acaba se sobrepondo à essência
  Por isso as pessoas escondem até coisas pequenas, como uso de maconha, e isso acaba virando justamente um motivo para chantagem
  Acho que seria melhor simplesmente contar tudo com sinceridade. Se o governo já souber, um governo estrangeiro não poderá usar isso como fraqueza
  No fim, a burocracia cria a própria armadilha

  • Admitir com sinceridade que fumou maconha na faculdade não leva automaticamente à negação da autorização. E, mesmo que leve, existe processo de recurso
    O problema são as pequenas mentiras que as pessoas contam para esconder uso recente
  • Falar a verdade pode fazer você não conseguir a autorização, mas o problema é que existe um incentivo econômico grande para mentir e conseguir
  • Na prática, tudo bem colocar quase qualquer coisa no formulário SF86. Esse é justamente o propósito do sistema
  • Eu também coloquei todas as besteiras que fiz no passado no SF86, e o investigador só quis confirmar: “você não vai fazer isso de novo, certo?”
    Se não foi algo dos últimos 3 a 5 anos, geralmente é perdoado. Os investigadores valorizam mais a postura de não esconder nada
  • O governo deveria caminhar para tratar os problemas de dependência dos funcionários, em vez de simplesmente encobrir o problema
    Mas, na prática, esconde-se a verdade para poder reportar que ‘não há problema’
    Também é ridículo que o campo para listar amigos estrangeiros seja tão pequeno que faça a pessoa escrever ‘ninguém sabe’
    No fim, o governo filtra pessoas com base em padrões morais dos anos 1950, e isso acaba aumentando o risco de chantagem