Autor: mexilhão verde

Instalei o Signal, e agora?

O aplicativo Signal é uma das melhores opções neste momento para a comunicação via espertofone. Este mensageiro instantâneo criptografa suas mensagens de forma que somente você e a pessoa para quem você as enviou possam ler o conteúdo. Chamamos isso de criptografia de ponta a ponta. Porém, outros cuidados são necessários para manter sua conversa sigilosa. Como a criptografia é uma técnica muito forte de privacidade, os atacantes irão procurar outros meios mais fáceis, simples e baratos de conseguir suas informações, caso você seja um alvo visado individualmente.

Aviso: todos os meios de comunicação e aplicativos possuem vantagens e desvantagens. Estude, avalie, converse com suas amizades que possuem conhecimento técnico para mais informações. Uma rede de confiança é essencial para não termos que fazer tudo sozinhas.

A criptografia em si é confiável e ela depende muito mais da forma como é implementada (em nível de código) e não tanto do que você faz. Aplicativos como Signal e o zap se propõem a fazer tudo por você (chamamos isso de criptografia transparente; ela acontece sem que a gente veja). Porém, sua privacidade vai além da criptografia e também está vinculada às suas práticas cotidianas. Como disse um dos criadores do algoritmo RSA para criptografia, Adi Shamir, “a criptografia geralmente é desviada e não atacada de frente”. Então, preste atenção na sua parte dessa história:

Apague suas mensagens

Configure cada uma de suas conversas com um temporizador. A importância desta recomendação não está no canal usado para se comunicar, mas no armazenamento local. Caso alguém tenha acesso ao seu dispositivo não criptografado (seja por encontrar seu espertofone desbloqueado por acaso ou por você ser forçada a entregar sua senha), não encontrará nada lá dentro.

Escolha um contato, vá nas opções e aperte Mensagens Temporárias.

Depois, escolha um tempo que seja útil para você.

A mesma medida pode ser feita com qualquer forma de comunicação digital, como email ou zap. Por exemplo, vá na sua caixa de entrada e apague suas mensagens antigas.

Não faça backup na nuvem

Como consequência do primeiro ponto, não faça cópia da sua comunicação em serviços de terceiros. O Signal até oferece a opção de backup na memória interna do seu espertofone com proteção de uma senha de 30 números. Novamente, você ainda pode ser forçada (legalmente ou através de violência física) a fornecer suas senhas. (Outros aplicativos como zap ou i-messenger usam g-drive ou icloud para guardar uma cópia das suas mensagens, o que faz com que a criptografia de ponta a ponta seja TOTALMENTE anulada.)

Não aconselhamos nenhum tipo de backup.

Zóião

Cuidado com pessoas olhando por cima do seu ombro enquanto você lê e escreve suas mensagens e principalmente quando desbloqueia o app ou seu espertofone. Tenha atenção também com câmeras de vigilância. Recomendação simples: fica de costas para uma parede e toca ficha.

Verifique o Número de Segurança de seus contatos

Para ter certeza de que você está conversando com a pessoa certa, é importante verificar a chave criptográfica de seu contato. A melhor maneira de fazer isso é pessoalmente.

Lidar com a segurança de forma presencial pode nos ajudar a fortalecer nossos vínculos.

O Signal facilita esse processo de verificação: é só tocar no nome do contato de quem você quer verificar a chave dentro da própria conversa, rolar até a seção Privacidade e então tocar em Ver Número de Segurança.

Agora toque no seu código QR para abrir a câmera e escanear o código de seu contato. Se aparecer um ícone verde é porque deu tudo certo e agora você pode tocar em Verificado. Peça para seu contato repetir o processo e verificar o seu código. Depois disso fique atenta a qualquer aviso de mudança de Número de Segurança.

Configure um número PIN

O Signal (assim como o zap e o telegram) usa o seu número de telefone para fazer um cadastro único na rede interna do programa. Para evitar que outras pessoas usem sua conta do Signal porque conseguiram clonar seu número ou porque seu número foi vendido duas vezes pela cia de telefone (ou porque as agências de inteligência de Estado querem se passar por você com o apoio das telefônicas), você pode configurar um PIN de bloqueio de conta.

No Signal, vá em Configurações, Privacidade, role até a parte de baixo da tela e pressione em “PIN de Desbloqueio de Cadastro“.

Escolha um número e memorize-o. Quando você for usar o signal no PC ou em outro aparelho, esse PIN será exigido como forma de autenticação.

Rede de confiança

A comunicação em geral, assim como nossa organização, envolve várias pessoas e isso significa que todo mundo deve compartilhar práticas semelhantes de segurança. Por exemplo, essas mesmas precauções listadas aqui precisam ser entendidas e seguidas por todas as partes. Dessa forma, uma rede de confiança com respeito à comunicação segura vai se formando aos poucos. (Falaremos mais sobre rede de confiança em outra postagem). Lembre-se, a corrente sempre arrebenta no elo mais fraco. Ajude as pessoas do seu entorno a ficarem fortes com você.

CriptoFestas de fim de ano!

Teremos agora nesses últimos meses do ano várias criptofestas para continuarmos afinando nossas alianças, aprofundando nossos conhecimentos e fortalecendo nossos objetivos, ainda mais com os tempos que virão.

Dia 07/11: Enigma Contra-vigilância, Campinas

Dia 10/11: I CriptoFesta de Recife.

https://criptofesta.org/

PROGRAMAÇÃO

Dia 23/11: nano-CriptoFesta Tarrafa Edition, Florianópolis – SC

Dia 24/11: CriptoFunk, Rio de Janeiro

A Criptofunk acontece no dia 24 de novembro, no Complexo da Maré (Galpão Bela Maré), com atividades sobre segurança integral (digital, física e psicossocial), privacidade, violência online, criptografia, resistência, liberdade na rede e funk!

Essa é a 1ª edição do evento no Rio de Janeiro! Inspirada no movimento internacional das CryptoParties, a CripoFunk é um esforço coletivo para difundir os conceitos fundamentais de privacidade e liberdade na Internet e ampliar a adoção de práticas e ferramentas de cuidados digitais.

Seguindo a tradição da CryptoRave, que acontece em São Paulo, ao final dos debates e atividades, uma grande festa encerra o evento. A participação nas atividades é aberta mediante inscrição gratuita. A programação completa será divulgada em breve nas redes do evento no twitter e facebook.

Link para inscrição: https://tinyurl.com/criptofunk
Link do evento: https://www.facebook.com/events/277096262921177/

Dia 30/11: CryptoCapivara, São José do Rio Preto.

https://we.riseup.net/cryptocapivara

Dia 01/12: Criptofesta em SP

Muita calma nessa hora. Não começou hoje e não vai acabar amanhã. Cola junto com a gente e aprenda coisas básicas que você precisa saber para se comunicar com liberdade e segurança.

São 4 horas de oficinas e palestras sobre práticas, de nível básico e intermediário, para que você consiga se comunicar sem se preocupar.

PROGRAMAÇÃO (horários ainda não confirmados)
– Palestra de abertura ♥
– Gerenciamento de senhas seguras
– Boas práticas no celular e signal
– Oficina de Tor
– Oficina de segurança e autocuidado para feministas e lgbtqis
– Install Fest: traga sua máquina (com backup feito pelo amor das deusas) e venha libertá-la! Debian e Tails 🙂
– Tumba de histórias: conversa fiada, rum & charutos; traga sua pergunta pra gente fritar em respostas ♥

Não há liberdade sem privacidade!

https://www.facebook.com/events/249212285728896

Dia 15/12: CripTRA, CriptoFesta do Alto Tramandaí – RS

https://criptra.noblogs.org/

CriptoFesta Recife

Saiu a programação da CriptoFesta de Recife que acontecerá no dia 10/11.

Programe-se para as festas de fim de ano!

Dia 23/11: nano-CriptoFesta Tarrafa Edition, Florianópolis – SC

Dia 24/11: CriptoFunk, Rio de Janeiro

Dia 30/11: CryptoCapivara, São José do Rio Preto.

https://we.riseup.net/cryptocapivara

Dia 01/12: Criptofesta em SP

Dia 15/12: CripTRA, CriptoFesta do Alto Tramandaí – RS

https://criptra.noblogs.org/

A abrangência do SISBIN

Trecho do relatório Vigilância das Comunicações pelo Estado Brasileiro.

 

VIGILÂNCIA SEM TRANSPARÊNCIA PARA FINS DE INTELIGÊNCIA E SEGURANÇA NACIONAL

A Lei nº 9.883/99 instituiu o Sistema Brasileiro de Inteligência (Sisbin), que integra ações de planejamento e execução de tarefas de inteligência no Brasil, com a finalidade de fornecer à Presidência da República subsídios nos assuntos de interesse nacional, pela obtenção, análise e disseminação de conhecimentos relevantes à ação e processo decisório governamentais e garantia da segurança da sociedade e do Estado (art. 1º). Compõem o Sisbin todos os órgãos da Administração Pública Federal que produzem conhecimentos de interesse das atividades de inteligência (art. 2º), especificadas no art. 4º do Decreto nº 4.376/02, entre eles a Casa Civil e o Gabinete de Segurança Institucional da Presidência da República, Ministérios da Justiça, da Defesa, das Relações Exteriores, da Saúde, da Fazenda, da Ciência e Tecnologia, entre outros, e órgãos a eles relacionados como a Polícia Federal, o Departamento Penitenciário Nacional, o Departamento de Cooperação Jurídica Internacional, a Receita Federal e o Banco Central. Órgão central constitui a Agência Brasileira de Inteligência (ABIN), a quem compete planejar, executar, supervisionar e controlar as atividades de inteligência.

A ABIN pode ter acesso a dados obtidos por outras autoridades por meio da Sisbin. O art. 6, inciso V do Decreto 4.376/02, que regulamentou o funcionamento do Sisbin, dispõe que cabe aos órgãos desse sistema intercambiar e fornecer informações necessárias à produção de conhecimentos para as atividades de inteligência. O art. 6-A do mesmo Decreto, incluído em 2008, previu que a ABIN poderá ter representantes de órgãos do Sisbin junto a seu Departamento de Integração do Sisbin, os quais “poderão acessar, por meio eletrônico, as bases de dados de seus órgãos de origem, respeitadas as normas e limites de cada instituição e as normas legais pertinentes à segurança, ao sigilo profissional e à salvaguarda de assuntos sigilosos” (§ 4º). Com isso, é possível à ABIN ter acesso a informações e dados a princípio protegidas pelo sigilo das comunicações, o que amplia as possibilidades de vigilância do Estado brasileiro. A despeito de não poder realizar diretamente interceptações, por exemplo, por não ter sido contemplado o fim de inteligência na Constituição nem na Lei das Interceptações35, o acesso a dados por meio de cooperação não estaria descartado. Caso revelado pelo jornal Folha de São Paulo em 2008 revela esse tipo de acesso indireto da ABIN a comunicações interceptadas disponíveis no sistema Guardião da Polícia Federal.36 Caso a Receita Federal disponha de documentos fiscais de empresas de telefonia em seus bancos de dados, à ABIN também estaria aberta a possibilidade de ter acesso a registros telefônicos de usuários.

Pela Lei 9.883/99, o Sisbin, em geral, e a ABIN, em particular, estão obrigados a respeitar direitos e garantias constitucionais em sua atuação (art. 1º, § 1º e art. 3º, parágrafo único), que é controlada e fiscalizada externamente pela Comissão Mista de Controle das Atividades de Inteligência, comissão permanente do Congresso Nacional (art. 6º). A falta de transparência sobre a forma como se dá a cooperação pelo Sisbin impede a avaliação rigorosa da ABIN em termos de vigilância, e cobre a sua atuação de obscuridade e incertezas.

ANATEL: Vigilância sem querer querendo

Trecho do relatório Vigilância das Comunicações pelo Estado Brasileiro.

“No exercício de sua competência para expedição de normas infralegais (art. 19 da Lei nº 9.472/97), as resoluções, e no exercício de sua função de regulação das telecomunicações, a Agência Nacional de Telecomunicações (ANATEL) organiza a prestação de serviços e concretiza direitos de usuários, mas não sem criar significativo potencial de vigilância. A falta de precisão e clareza de suas resoluções e de transparência em sua atuação colaboram para a fragilidade da proteção de usuários de serviços de telecomunicações à vigilância ilegítima do Estado.

OBRIGAÇÕES DE PRESTADORES DE SERVIÇOS DE TELECOMUNICAÇÕES

A Resolução nº 426/05 – Regulamento do Serviço Telefônico Fixo Comutado obriga, no art. 22, que “todos os dados relativos à prestação de serviços, inclusive os de bilhetagem”, sejam guardados por prestadoras de serviço de telefonia fixa (tais como Vivo e NET) “por um prazo mínimo de 5 anos”, sem precisar quais dados são esses, por quem e a que fins poderão ser usados. Não há normas específicas de segurança sobre a forma como devem ser guardados os dados: o art. 23 apenas estabelece que é responsabilidade de provedores zelar pelo sigilo dos dados. No art. 24, determina-se que prestadores de serviços de telefonia fixa tenham à disposição recursos tecnológicos e facilidades necessárias para a suspensão de sigilo das telecomunicações, decorrente e nos limites de ordem judicial, e que elas próprias devem arcar com os custos financeiros de tais tecnologias.

A Resolução nº 477/07 – Regulamento sobre Serviço Móvel Pessoal determina, no art. 10, XXII, que prestadoras de telefonia móvel (tais como Vivo, Claro, Tim e Oi) manterão, pelo prazo mínimo de 5 anos, “à disposição da Anatel e demais interessados, documentos de natureza fiscal, os quais englobam dados da ligações efetuadas e recebidas, data, horário de duração e valor da chamada, bem como informações cadastrais dos assinantes, em conformidade com o que prescreve o art. 11 da Lei 8.218/91 […]”, o qual obriga pessoas jurídicas a manterem documentos fiscais à disposição da Receita Federal pelo prazo decadencial previsto na legislação tributária, que é de 5 anos. Os arts. 42 e 58 estabelecem, ainda, “dados pessoais mínimos” para adesão de usuário a serviço de telefonia móvel (nome, número do documento de identidade e número do registro Ministério da Fazenda). Na prática, isso torna o cadastro de uma linha móvel dependente de um CPF, por exemplo, dificultando o uso anônimo.

A lógica da obrigação de guarda de dados relativos à prestação de serviço de telefonia por 5 anos e sua justificativa para fins fiscais e fiscalizatórios da ANATEL são indicadas pelos termos do citado art. 10, XXII da Resolução nº 477/07. Ambas as normas que estabelecem obrigações de guarda de dados na telefonia fixa e móvel sustentaram por longo período, contudo, a conveniência da disposição desses dados para fins investigatórios e persecutórios do Estado. A Lei nº 12.850/13 (“Lei das Organizações Criminosas”), que obrigou empresas de telefonia a guardarem dados expressamente a estes fins, é apenas de 2013. Além disso, os termos das resoluções instituem obrigações de guarda de dados mesmo quando os tipos de serviço se referem a tarifas fixas (flat rates), quando a duração de uma chamada ou o número a que se ligou não afetam a cobrança final do usuário que será tributada. A extrapolação da vigilância da ANATEL para outros fins fica, portanto, evidenciada.

A Resolução nº 614/13 – Regulamento do Serviço de Comunicação Multimídia obriga provedores de conexão à Internet (tais como Vivo e NET) à guarda de registros de conexão e de dados cadastrais de assinantes pelo prazo mínimo de 1 ano, em seu art. 53. A definição de registros de conexão está fixada pelo art. 4º, XVII (conjunto de informações referentes à data e hora de início e término de uma conexão à Internet, sua duração e o endereço IP utilizado pelo terminal para o envio e recebimento de pacotes de dados, entre outras que permitam identificar o terminal de acesso utilizado). O prazo menor se comparado às obrigações relativas à telefonia e a clareza na definição do que deve ser guardado pode ser atribuída ao fato de a resolução ter sido elaborada no contexto de discussão da Lei nº 12.965/14 (“Marco Civil da Internet”) e da publicidade de decisões internacionais contrárias à retenção de dados, que receberam especial atenção da comunidade acadêmica e da sociedade civil.9

ACESSO DIRETO A DADOS

O acesso da ANATEL a documentos fiscais de prestadoras de serviços, os quais, como visto, contêm informações cadastrais de clientes, registros e valores de chamadas, é admissível, em regra, para fins fiscalizatórios, por meio de requisição da agência ao prestador. Reportagem do jornal Folha de São Paulo de 201110 revelou as intenções da agência de possuir acesso direto e sistemático a tais dados por meio da construção de infraestrutura que permitisse acesso online irrestrito à ANATEL, com o objetivo de modernizar sua fiscalização. À época, a agência declarou que o acesso a registros de chamadas somente ocorreria com autorização de usuário que fizesse reclamação à agência11 e que os software a serem instalados permitiriam apenas fornecimento de “informações em estado bruto” das prestadoras, não conectadas a dados cadastrais.12 O art. 38 da Resolução nº 596/12 da ANATEL instituiu as obrigações às prestadoras de serviços de telefonia de fornecer dados, permitir o acesso e disponibilizar o acesso online a aplicativos, sistemas, recursos e facilidades tecnológicos utilizados por elas “para coleta, tratamento e apresentação de dados, informações e outros aspectos”, confirmando as intenções da agência. As modulações da ANATEL acerca da necessidade de autorização do usuário para acesso e de especificação acerca dos dados cujo acesso é direto não encontraram especificações nessa resolução, contudo.”

Compartilhe sua chave pública gpg

Se você está com dificuldades em compartilhar sua chave pública pgp, aqui segue um passo a passo de como fazer isso.

Aviso: a melhor forma de passar sua chave para alguém é fazendo-o AO VIVO. Passe por um pendrive ou entregue em mãos a impressão digital da sua chave para a colega; assim ela poder baixar sua chave de um servidor de chaves (veja como subir sua chave num servidor de chaves pgp)

Temos três opções quando usamos o Thunderbird:

Vá em Menu -> Enigmail -> Gerenciador de Chaves

1. Copiar a chave e colar no corpo do email

No Gerenciador de Chaves do Enigmail, selecione seu email na lista de chaves e clique em Editar -> Copiar Chave Pública para a Área de Transferência:

Componha um novo email para a pessoa para a qual deseja enviar sua chave e cole-a no corpo do email.

2. Compor um novo email com sua chave anexa

No Gerenciador de Chaves do Enigmail, selecione seu email na lista de chaves e clique em Arquivo -> Enviar Chave Pública por Email:

Escolha a destinatária, escreva uma mensagem bonita e envie!

3. Anexe sua chave pública

Crie uma nova mensagem ou clique em responder uma mensagem que você recebeu. Vá no menu Enigmail -> Anexar minha Chave Pública.

Escreva a mensagem e envie!

Guia para Defensores de Direitos Humanos

Guia de Proteção para Defensoras e Defensores de Direitos Humanos, da Justiço Global – PDF

“A experiência adquirida nas Oficinas de proteção, o intercâmbio constante com defensores de direitos humanos (DDHs) em situação de ameaça ou criminalização, as análises e avaliações realizadas tanto no âmbito do CBDDH quanto com as Coordenações Nacional e Estaduais do Programa de Proteção à Defensores de Direitos Humanos (PPD- DH), incentivaram a Justiça Global a produzir este Guia de Proteção, tentando trazer para as análises de riscos e estratégias de proteção uma aproximação ainda maior ao contexto que aqui vivemos.”

Avaliando seus riscos [EFF]

do site da Eletronic Frontier Foundation. O texto foi levemente alterado na nossa revisão.

Avaliando Seus Riscos

Última revisão:

07-09-2017

A versão em Inglês pode estar mais atualizada.

Tentar proteger todos os seus dados de todas as pessoas e todo o tempo é impraticável e extremamente cansativo. Mas não se preocupe! Segurança é um processo, e através de planejamento cuidadoso você pode avaliar o que é o ideal para você. Segurança não se trata das ferramentas que você utiliza ou dos programas que baixa. Ela começa com a compreensão de quais são as ameaças específicas que você enfrenta e como você pode combatê-las.

Em segurança da informação, uma ameaça é um evento potencial que pode tornar menos efetivos os esforços que você faz para defender seus dados. Você pode combater as ameaças que enfrenta quando entende quais coisas precisa proteger, bem como de quem precisa protegê-las. Este processo é chamado de modelagem de ameaças.

Este guia lhe ensinará como modelar ameaças, ou como avaliar os riscos aos quais suas informações digitais estão expostas e determinar quais as melhores soluções para você.

Como é o processo de modelagem de ameaças? Digamos que você deseja manter sua casa e seus bens seguros… Aqui estão algumas perguntas para você fazer a si mesma:

O que tenho dentro da minha casa merece ser protegido?

  • Ativos podem incluir jóias, eletrônicos, documentos financeiros, passaportes ou fotos.

De quem eu quero proteger estes ativos?

  • Adversários podem incluir: ladrões, colegas de quarto e visitas.

O quão provável é que eu precise proteger estes ativos?

  • Minha vizinhança tem um histórico de roubos? O quão confiável são meus colegas de quarto/visitas? Quais são os recursos de meus adversários? Que riscos devo considerar?

O quão graves serão as consequências caso eu falhe?

  • Tenho alguma coisa na minha casa que eu não tenha como repor? Tenho tempo ou dinheiro para repor ativos? Tenho um seguro que cubra ativos roubados da minha casa?

Até onde estou disposta a ir para me prevenir destas consequências?

  • Estou disposta a comprar um cofre para documentos importantes? Tenho recursos para comprar uma fechadura de alta qualidade? Tenho tempo para alugar um cofre no meu banco e manter meus objetos de valor neste cofre?

Uma vez que tenha se feito estas perguntas, você estará em condições de avaliar que medidas deve tomar. Se suas posses são valiosas mas o risco de um roubo à sua casa é baixo, então talvez você decida não investir muito dinheiro em uma fechadura. Por outro lado, se o risco for alto você desejará comprar a melhor fechadura do mercado e ainda instalar um sistema de segurança.

Construir um modelo de ameaça lhe ajudará a entender as ameaças específicas que você corre e a avaliar seus ativos, seus adversários e os recursos que estes adversários possuem, bem como a probabilidade de que tais riscos se tornem realidade.

O que é modelagem de ameaças e por onde começo?

A modelagem de ameaças lhe ajuda a identificar ameaças às coisas que você dá valor e a determinar de quem precisa protegê-las. Quando estiver construindo um modelo de ameaça, responda a estas cinco perguntas:

  1. Que coisas quero proteger?
  2. De quem quero protegê-las?
  3. O quão graves serão as consequências caso eu falhe?
  4. O quão provável é que eu precise protegê-las?
  5. Até onde estou disposta a ir para tentar evitar potenciais consequências?

Vamos avaliar uma a uma estas perguntas.

Que coisas quero proteger?

Um “ativo” é algo ao qual você dá valor e que deseja proteger. No contexto de segurança digital, um ativo é normalmente algum tipo de informação. Por exemplo: seus e-mails, lista de contatos, mensagens instantâneas e arquivos são todos possíveis ativos. Seus dispositivos também podem ser ativos.

Faça uma lista de seus ativos: dados que você mantém, onde eles são mantidos, quem tem acesso a eles, e o que impede que outros os acessem.

De quem eu quero protegê-las?

Para responder a esta pergunta, é importante identificar quem pode ter você ou suas informações como alvo. Uma pessoa ou entidade que represente uma ameaça aos seus ativos é um “adversário”. Exemplos de potenciais adversários são seu chefe, seu ex-cônjuge ou ex-namorado(a), seu concorrente, seu governo, ou um hacker numa rede pública.

Faça uma lista de seus adversários, ou daqueles que possam ter interesse em ter acesso aos seus dados. Sua lista pode incluir pessoas, agências governamentais ou empresas.

Dependendo de quem sejam seus adversários, em alguns casos pode ser que você queira destruir essa lista após terminar sua modelagem de ameaça.

O quão graves serão as consequências caso eu falhe?

Existem diversas formas pelas quais um adversário pode ameaçar seus dados. Por exemplo, um adversário pode ler suas comunicações pessoais enquanto tem acesso à rede, ou pode apagar ou corromper seus dados.

Os objetivos dos adversários diferem enormemente, assim como suas formas de atacar. Um governo tentando evitar a disseminação de um vídeo que mostra violência policial pode se satisfazer simplesmente apagando ou reduzindo a disponibilidade deste vídeo. Por outro lado, um adversário político pode querer ter acesso a conteúdos secretos e publicar este conteúdo sem que você saiba.

A modelagem de ameaças envolve compreender o quão graves as consequências podem ser caso um adversário ataque com sucesso um de seus ativos. Para chegar a esta conclusão, você deve levar em conta os recursos dos quais seu adversário dispõe. Por exemplo, sua operadora de telefonia móvel tem acesso a todas as suas ligações e, consequentemente, a capacidade de usar estes dados contra você; um hacker numa rede Wi-Fi aberta pode acessar suas comunicações não criptografadas; já seu governo pode ter recursos ainda mais abrangentes.

Coloque num papel o que o seu adversário pode querer fazer com seus dados privados.

O quão provável é que eu precise protegê-las?

Risco é a probabilidade de que uma ameaça específica contra um ativo específico efetivamente venha a se concretizar. Ele é sempre proporcional à capacidade [do adversário e à sua vulnerabilidade]. Apesar de sua operadora de telefonia celular ter a capacidade de acessar todos os seus dados, o risco de que ela poste seus dados online para prejudicar sua reputação é baixo.

É importante distinguir entre ameaças e riscos. Enquanto uma ameaça é algo ruim que pode ocorrer, risco é a probabilidade de que esta ameaça seja levada a termo. Por exemplo, sempre há a ameaça de que seu prédio possa desmoronar, mas o risco de isso acontecer é bem maior em Lima, no Peru (onde terremotos são comuns) do que em Salvador (onde eles não são).

Efetuar uma análise de risco é ao mesmo tempo um processo pessoal e subjetivo: nem todas as pessoas têm as mesmas prioridades ou enxergam ameaças da mesma forma. Muitas pessoas acham certas ameaças inaceitáveis, independente do risco delas ocorrerem, porque a mera presença da ameaça, por menor que seja o risco, não compensa. Em outros casos, pessoas desprezam riscos altos porque não veem a ameaça como um problema.

Coloque num papel quais ameaças você deseja levar a sério, e quais são tão raras ou tão sem consequências (ou difíceis de combater) que não vale à pena se preocupar.

Até onde estou disposta a ir para tentar evitar potenciais consequências?

Responder a esta pergunta requer a realização da análise de riscos. Nem todas as pessoas têm as mesmas prioridades ou enxergar as ameaças da mesma maneira.

Por exemplo, uma advogada que representa um cliente em um caso de segurança nacional provavelmente estará disposta a utilizar mais recursos para proteger as comunicações sobre o caso, como por exemplo utilizar e-mails criptografados, do que um pai que regularmente envia à sua filha e-mails com vídeos engraçados de gatos.

Coloque num papel as opções disponíveis para ajudá-la a atenuar as ameaças que você enfrenta pessoalmente. Leve em conta suas restrições de orçamento, técnicas, ou sociais.

Modelagem de ameaças como uma prática regular

Tenha em mente que seu modelo de ameaça pode mudar de acordo com a mudança da sua situação pessoal. Desta maneira, conduzir modelagens de ameaça frequentes é uma boa prática.

Crie seu próprio modelo de ameaça baseado em sua situação única. Feito isso, marque em sua agenda uma data no futuro para rever este modelo de ameaça e verificar se ele ainda se enquadra na sua situação.

Como criar uma máscara de email

Máscara de email é um endereço de fachada criado sobre uma conta de email principal. Dependendo do servidor de email, essa opção está disponível ou não.Os emails enviados para a máscara são recebido na caixa de entrada da conta principal. Preste atenção na hora de escolher qual email será usado para responder às suas máscaras.

Você pode criar uma máscara de email por diversos motivos, como por exemplo, para despistar o seu endereço principal sem ter que criar uma nova conta ou organizar os seus diferentes perfis virtuais que atuam nos coletivos que você participa. Obviamente, é sempre bom ter formas de contato não vinculadas à sua identidade burocrática (seu nome registrado nas bases de dados do Estado), como emails com pseudônimos.

No momento que inventou-se o webmail, todo mundo ficou maravilhado: “uau, vou poder ver minhas mensagens a partir de qualquer computador que esteja conectado na internet”. Só que criou-se um problema que antes não existia: é um saco ficar mudando de conta e checando email pelo navegador. Não dá para abrir no mesmo navegador diversas contas de email do mesmo provedor (por causa dos cookies). A solução milenar é usar um cliente de emails instalado no seu computador pessoal (hoje, mais do que nunca, os computadores finalmente são pessoais, e isso é bem importante para a sua privacidade e segurança).

Então, não se assuste. Crie quantas contas de email quiser e administre-as todas a partir do mesmo cliente de emails, como o Thunderbird. Para cada uma das suas contas (que são dedicadas a funções diferentes), crie as máscaras de email que precisar.

Email é uma forma de comunicação federada com opção de criptografia forte ponta a ponta e que funciona em qualquer sistema operacional ou espertofone.

(Se você está procurando um email descartável para receber um confirmação de cadastro e nunca mais vai usar a conta, então utilize um serviço como https://www.guerrillamail.com/.)

Como criar uma máscara de email no Riseup.net

Entre no endereço de configuração de usuário: https://user.riseup.net

Clique em Configurações de Email e em seguida na aba Aliases. No campo New Aliases escreva um endereço válido completo do riseup. Se o endereço já estiver sendo usado, você será avisado e terá que escolher outro.

Pronto.

No caso do Riseup, uma vantagem, em termos de segurança, do uso de máscaras é que no cabeçalho do email não aparece o email principal. Outros provedores muito provavelmente deixam esse rastro no “código fonte” do email.

Como criar uma máscara de email no Autistici.org

Entre no endereço de configuração de usuário: https://www.inventati.org/pannello/login

Clique no ícone da da engrenagem, ao lado do botão de webmail e em seguida no item Manage Aliases. Abaixo de Create new alias, preencha com um endereço válido e selecione um dos domínios oferecidos pelo Autistici. Se o endereço já estiver sendo usado, você será avisado e terá que escolher outro.

No caso do Autistici, é apenas possível usar uma máscara de email como uma identidade vinculada ao email principal já que o servidor revela o endereço do email principal no cabeçalho.


Configurando máscara de email no Thunderbird

Caso você use máscaras de email para administrar melhor suas comunicações por email, é bem útil configurá-las no seu cliente de email. Aqui descreveremos como se faz isso no Thunderbird.

Clique no ícone de Menu, vá na opção Preferências e depois em Configurações de Conta.

Nas página inicial das configurações da sua conta principal, aquela onde você criou sua máscara e clique em Gerenciar Identidades abaixo à direita.

Em seguida, clique em Adicionar.

Uma janela aparecerá com as configurações da sua máscara. Coloque ali o endereço da máscara, preencha as opções de nome, organização, assinatura, se quiser e pronto.

Agora, na hora de enviar um email, no campo Remetente você poderá escolher sua máscara.