Categoria: Sem categoria

Apresentação e Roda de Conversa sobre Segurança de Pés de Descalços na CryptoRave 2019

Neste sábado, das 12:40 às 13:30 do dia 04 de Maio vai acontecer na CryptoRave uma Roda de Conversa sobre a Segurança de Pés de Descalços. Acreditamos que será um espaço importante para contextualizar melhor esta proposta, bem como debater sobre uma visão estratégica para promover uma Cultura de Segurança. Venha e participe!

Este ano a CryptoRave acontecerá na Biblioteca Mário de Andrade, pertinho do Metrô Anhangabaú (linha vermelha), em São Paulo Capital.

A programação completa do evento pode ser vista em: https://cpa.cryptorave.org/en/cr2019/events/388

nano-CryptoFesta do Tarrafa em Floripa e CriptoFunk no Rio De Janeiro!

Dia 23/11: nano-CryptoFesta Tarrafa Edition, Florianópolis – SC

+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

Acontece nessa sexta no Tarrafa Hackerclube a nano-Crypto Festa. Com inicio às 18h, o evento vai contar a apresentação do Data Detox, conversa sobre conceitos básicos de comunicação segura e a exibição de dois curtas seguido de debate. Além disso, durante todo o evento estará rolando a instalação de aplicativos de comunicação mais segura como Briar e Signal e de sistemas operacionais Linux.

 

Dia 24/11: CriptoFunk, Rio de Janeiro

+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

A Criptofunk acontece no dia 24 de novembro, no Complexo da Maré (Galpão Bela Maré), com atividades sobre segurança integral (digital, física e psicossocial), privacidade, violência online, criptografia, resistência, liberdade na rede e funk!

Essa é a 1ª edição do evento no Rio de Janeiro! Inspirada no movimento internacional das CryptoParties, a CripoFunk é um esforço coletivo para difundir os conceitos fundamentais de privacidade e liberdade na Internet e ampliar a adoção de práticas e ferramentas de cuidados digitais.

Seguindo a tradição da CryptoRave, que acontece em São Paulo, ao final dos debates e atividades, uma grande festa encerra o evento. A participação nas atividades é aberta mediante inscrição gratuita. A programação completa será divulgada em breve nas redes do evento no twitter e facebook.

Link para inscrição: https://tinyurl.com/criptofunk
Link do evento: https://www.facebook.com/events/277096262921177/

https://scontent.fhrk1-1.fna.fbcdn.net/v/t1.0-9/45593458_2166430743580777_2615454960925540352_n.jpg?_nc_cat=107&_nc_ht=scontent.fhrk1-1.fna&oh=8a3b48905b529761bbb97a9f9f7a05e4&oe=5C7EB862

A abrangência do SISBIN

Trecho do relatório Vigilância das Comunicações pelo Estado Brasileiro.

 

VIGILÂNCIA SEM TRANSPARÊNCIA PARA FINS DE INTELIGÊNCIA E SEGURANÇA NACIONAL

A Lei nº 9.883/99 instituiu o Sistema Brasileiro de Inteligência (Sisbin), que integra ações de planejamento e execução de tarefas de inteligência no Brasil, com a finalidade de fornecer à Presidência da República subsídios nos assuntos de interesse nacional, pela obtenção, análise e disseminação de conhecimentos relevantes à ação e processo decisório governamentais e garantia da segurança da sociedade e do Estado (art. 1º). Compõem o Sisbin todos os órgãos da Administração Pública Federal que produzem conhecimentos de interesse das atividades de inteligência (art. 2º), especificadas no art. 4º do Decreto nº 4.376/02, entre eles a Casa Civil e o Gabinete de Segurança Institucional da Presidência da República, Ministérios da Justiça, da Defesa, das Relações Exteriores, da Saúde, da Fazenda, da Ciência e Tecnologia, entre outros, e órgãos a eles relacionados como a Polícia Federal, o Departamento Penitenciário Nacional, o Departamento de Cooperação Jurídica Internacional, a Receita Federal e o Banco Central. Órgão central constitui a Agência Brasileira de Inteligência (ABIN), a quem compete planejar, executar, supervisionar e controlar as atividades de inteligência.

A ABIN pode ter acesso a dados obtidos por outras autoridades por meio da Sisbin. O art. 6, inciso V do Decreto 4.376/02, que regulamentou o funcionamento do Sisbin, dispõe que cabe aos órgãos desse sistema intercambiar e fornecer informações necessárias à produção de conhecimentos para as atividades de inteligência. O art. 6-A do mesmo Decreto, incluído em 2008, previu que a ABIN poderá ter representantes de órgãos do Sisbin junto a seu Departamento de Integração do Sisbin, os quais “poderão acessar, por meio eletrônico, as bases de dados de seus órgãos de origem, respeitadas as normas e limites de cada instituição e as normas legais pertinentes à segurança, ao sigilo profissional e à salvaguarda de assuntos sigilosos” (§ 4º). Com isso, é possível à ABIN ter acesso a informações e dados a princípio protegidas pelo sigilo das comunicações, o que amplia as possibilidades de vigilância do Estado brasileiro. A despeito de não poder realizar diretamente interceptações, por exemplo, por não ter sido contemplado o fim de inteligência na Constituição nem na Lei das Interceptações35, o acesso a dados por meio de cooperação não estaria descartado. Caso revelado pelo jornal Folha de São Paulo em 2008 revela esse tipo de acesso indireto da ABIN a comunicações interceptadas disponíveis no sistema Guardião da Polícia Federal.36 Caso a Receita Federal disponha de documentos fiscais de empresas de telefonia em seus bancos de dados, à ABIN também estaria aberta a possibilidade de ter acesso a registros telefônicos de usuários.

Pela Lei 9.883/99, o Sisbin, em geral, e a ABIN, em particular, estão obrigados a respeitar direitos e garantias constitucionais em sua atuação (art. 1º, § 1º e art. 3º, parágrafo único), que é controlada e fiscalizada externamente pela Comissão Mista de Controle das Atividades de Inteligência, comissão permanente do Congresso Nacional (art. 6º). A falta de transparência sobre a forma como se dá a cooperação pelo Sisbin impede a avaliação rigorosa da ABIN em termos de vigilância, e cobre a sua atuação de obscuridade e incertezas.

[Livro] Weapons of Math Destruction

outraspalavras.net/destaques/a-silenciosa-dominacao-por-algoritmos

Armas de Destruição Matemática (WMD, em inglẽs), da pesquisadoras de dados Cathy O’Neil, oferece uma visão mais cética dos algoritmos, com foco em seus custos e consequências sociais negativas. O’Neil documenta como os algoritmos – WMDs – podem punir os pobres e promover os privilegiados, num círculo que piora as desigualdades de raça e de classe do capitalismo. Por exemplo, acredita-se amplamente, nos Estados Unidos, que prisioneiros não-brancos de bairros pobres têm maior probabilidade de cometer crimes, e também estão mais dispostos a cometer outros crimes e voltar à prisão. Os modelos de reincidência que seguem a tendência de um criminoso condenado a reincidir sugerem que essas pessoas são mais propensas a estar desempregadas, não possuem diploma do ensino médio e tiveram, com os amigos, passagens anteriores pela polícia. Uma outra maneira de olhar para os mesmos dados, contudo, é que essas pessoas vieram de áreas pobres com péssimas escolas e poucas oportunidades. “Então as chances de um ex-prisioneiro que volta ao mesmo bairro ter outra encrenca com a lei é sem dúvida maior do que a de um sonegador de impostos que é solto e volta a um subúrbio frondoso.” Nesse sistema, observa O’Neil, “os pobres e não-brancos são punidos mais por serem quem são e viverem onde vivem.”

Armas de Destruição Matemática oferece vários exemplos inspiradores de como os algoritmos podem ser instalados como uma ferramenta muito poderosa, embora invisível, para dominar a vida cotidiana da pessoas. O livro é melhor escrito do que se pode esperar de um quant. As fontes humanas de O’Neil oferecem material vívido que ilumina histórias de dor e sofrimento infligidas às pessoas por empresas de crédito com as estratégias predatórias de empréstimo alimentadas por algoritmos. A partir de sua experiência como uma pesquisadora de dados, ela revela problemas com a entrada destes em algoritmos e explica como esses problemas podem levar à destruição de comunidades inteiras, desde a avaliação de professores até aqueles que enviam seus currículos à procura de empregos. A organização de O’Neil das experiências de pensamento para imaginar como os algoritmos poderiam informar as táticas da polícia em bairros brancos e ricos e para combater crimes de colarinho branco traz à tona o privilégio e a imunidade de que essas comunidades desfrutam quanto às consequências da pobreza. Ela propõe exemplos de como os algoritmos poderiam ser auditados e mantidos em padrões de responsabilidade. O livro de O’Neil tem muita força, ressaltando os problemas estruturais dos algoritmos como uma tecnologia e a obscena realidade de hoje, em que os ricos ainda são verificados por pessoas, enquanto a vasta maioria é cada vez mais gerida por máquinas.

PDF

[Livro] Carta Aberta Sobre Tecnologia e Mediação

Essa semana estamos compartilhando um compilado de pequenos textos de vários autores que trata sobre a coerência do uso da tecnologia por anarquistas. Os textos são respostas a uma carta aberta escrita por Ron Leighton, onde ele indaga sobre o uso que anarco-primitivistas fazem da tecnologia para propagação de suas ideias. Os questionamentos iniciais de Leighton parecem estar carregados de conceitos pouco desenvolvidos sobre as posições de primitivistas e ludditas, porém o debate que se sucede aborda questões importantes para pensarmos o que é a tecnologia e até que ponto seu uso nos auxilia a alcançar nossos propósitos.

Os textos estão em inglês e podem ser baixados aqui.

Migrando sua chave OTR do Pidgin para o Gajim

Essa é uma postagem bem específica, mas pode quebrar o galho de alguém.

Sempre usei o Pidgin como gerenciador de contas de mensageria instantânea. Nele é possível configurar diversas contas de chat e já faz um bom tempo uso apenas o protocolo federado XMPP. Optei pelo Pidgin no Debian porque tinha a possibilidade de instalar o plugin do Off-The-Record (OTR), que faz encriptação de ponta-a-ponta no chat. Com isso, temos as seguintes condições de segurança satisfeitas:

  • Software livre de código aberto: pidgin
  • Protocolo federado: XMPP
  • Servidor autônomo: pode ser o do riseup.net
  • criptografia de ponta-a-ponta: OTR
  • controle das chaves públicas e, principalmente, da privada: numa subpasta da sua “/home/”

Aí outro dia, d4rkcrist4l postou aqui no blog falando que usar um plugin para rodar o OTR poderia ser uma furada. Então, fui atrás de outro programa. Infelizmente, não encontrei nenhum que satisfizesse todos os critérios acima, mais o meu gosto, e ainda tivesse o OTR embutido de fábrica. Porém, descobri outra falha do Pidgin. Dizem por aí que por ele ser escrito em C há mais chances de ele sofrer ataques relacionados à memória (cadê o LINK?), pois essa linguagem precisa de acesso total para manipulação da memória do computador.

Foi então que apareceu o Gajim. Um amigo já havia comentado dele e finalmente resolvi instalar. O Gajim é escrito em python, o que, até onde o meu conhecimento de leigo alcança, melhora drasticamente a vulnerabilidade de memória que o C pode ter. Além disso, esse programa também roda o OMEMO, protocolo que criptografa de ponta-a-ponta conversas em grupo, coisa que o OTR (e o pidgin) não faz.

Com o Gajim instalado, descobri que ele lida com as chaves OTR de um jeito diferente do Pidgin. Como eu não queria ter que gerar novas chaves, descobri um script que resolve o problema. Daqui pra frente é a tradução das instruções do repositório github do pidgin2gajim.

pidgin2gajim

Este programa converte as chaves OTR do formado Pidgin para o forma Gajim.

Seus arquivos OTR do Pidgin estão aqui:

~/.purple/otr.private_key  # chaves(s) secreta(s)
~/.purple/otr.fingerprints # impressões digitais (fingerprints)

Seus arquivos OTR do Gajim estão aqui:

~/.local/share/gajim/ACCOUNT.key3 # chave secreta
~/.local/share/gajim/ACCOUNT.fpr  # fingerprints

Quando você rodar o pidgin2gajim.py, ele irá carregar automaticamente os seus arquivos OTR do Pidgin do diretório ~/.purple/. Em seguida, criará um novo diretório relativo ao seu local atual chamado “output” e salvará nele os arquivos no formato-Gajim .key3 e .fpr para cada conta que você tiver no Pidgin.

Depois, você precisará mover manualmente os arquivos .key3 e .fpr do diretório “output” para o ~/.local/share/gajim/. Será preciso alterar um pouco o nome dos arquivos (por exemplo, retirar o prefixo “nome_de_usuária@”).

Copiei um bom tanto de código do projeto “otrfileconverter” do Guardian Project para as partes de carregar e manusear o arquivo de chave privada OTR do Pidgin: https://github.com/guardianproject/otrfileconverter

Como Usar

Primeiro, instale o Gajim:

sudo apt-get install gajim

Rode-o e configure suas contas XMPP (jabber). Clique em Editar -> Plugins e mude para a aba Disponível (Available). Baixe e instale o plugin do OTR. (Caso você queira usar novas chaves ou gerá-las pela primeira vez, faça o seguinte: na janela de plugins, selecione o Off-The-Record (OTR) e clique em Configurar para abrir as configurações do plugin. Para cada conta XMPP, gere uma nova chave OTR; feito isso, feche completamente o Gajim.)

Em seguida, baixe e rode o script pidgin2gajim:

$ git clone https://github.com/micahflee/pidgin2gajim.git
(copia o conteúdo do projeto que tá no github. Tem que tem o "git" instalado.)

$ cd pidgin2gajim

(agora instale a biblioteca python-virtualenv)
$ sudo apt-get install python-virtualenv
$ virtualenv env
$ . env/bin/activate 
$ pip install pyparsing
$ pip install python-potr
$ ./pidgin2gajim.py
$ ls -l output
$ deactivate

Agora sobrescreva suas chaves OTR do Gajim com as criadas a partir das do Pidgin que estão no diretório output.

Seria algo assim:

# descrição do comando: copiar chave_em_output para novo_nome_chave_outro_lugar
$ cp output/micah@jabber.ccc.de.key3 ~/.local/share/gajim/jabber.ccc.de.key3
$ cp output/micah@jabber.ccc.de.fpr ~/.local/share/gajim/jabber.ccc.de.fpr

O nome “fulana” dos arquivos fulana.key3 e fulana.fpr tem que ser o mesmo nome que está configurado na conta no Gajim.

Abra o Gajim novamente. Se tudo tiver corrido bem, suas chaves OTR já devem estar no Gajim. Pronto.

Atenção: nova versão do Tor Browser

O que segue é um resumo. A postagem completa está no blog do tor project.

O Tor Browser 6.0.7 está disponível na página do Tor Browser Project e também no distribution directory.

Este lançamento realiza uma importante atualização de segurança no Firefox e contém, adicionalmente, uma atualização do NoScript (2.9.5.2).

A falha de segurança responsável por este lançamento urgente é altamente explorada hoje em sistemas Windows. Até onde se sabe, o tal bug não afeta usuários de OS X ou Linux. Mesmo assim, recomendamos fortemente que todos os usuários atualizem seu Tor Browser imediatamente. É preciso reiniciá-lo para que a mudança seja efetiva.

A segurança não é um crime, a menos que…

16 de janeiro de 2015

Por Dia Kayyali e Katitza Rodriguez – artigo do portal EFF.org

A segurança não é um crime, a menos que você seja anarquista

Riseup, um coletivo de tecnologia que fornece serviços de comunicação voltados para segurança para ativistas do mundo todo, soou o alarme no último mês quando um juiz na Espanha afirmou que o uso do seu serviço de e-mail era uma prática, a seu ver, associada ao terrorismo.
Javier Gómez Bermúdez é um juiz da Audiência Nacional, um tribunal superior especial na Espanha especializado em crimes graves como terrorismo e genocídio. De acordo com relatórios da imprensa, em 16 de dezembro, o juiz ordenou a prisão de pressupostos membros de um grupo anarquista. As prisões faziam parte da Operação Pandora, uma campanha coordenada contra “atividades anarquistas” que foi considerada uma tentativa de “criminalizar os movimentos sociais anarquistas”. A polícia confiscou livros, telefones celulares e computadores, e prendeu 11 ativistas. Quase não se sabe detalhes da situação, pois o juiz declarou o caso secreto.

 

Pelo menos um legislador, David Companyon, especulou que as incursões policiais são “uma artimanha para reunir apoio para a recém aprovada ‘lei da mordaça’ espanhola.” A nova lei restringe severamente manifestações, coloca grandes multas para atividades como insultar um policial (600 euros), queimar a bandeira nacional (mais de 3.000 euros), ou fazer uma manifestação em frente aos prédios do parlamento ou outras construções chave (até 600.000 euros). Considerando o que a lei estabelece, não surpreende que muitas pessoas vinculem-na às incursões conduzidas contra um grupo com ideias políticas que aparentemente o governo considera ameaçadoras.

 

Em um comunicado, Riseup apontou:

Quatro pessoas entre as detidas foram soltas, mas sete estão na cadeia esperando julgamento. As razões dadas pelo juiz para mantê-los detidos incluem a posse de certos livros, “a produção de publicações e formas de comunicação”, e o fato de que os acusados “usam e-mails com medidas extremas de segurança, tais como o servidor Riseup.

 

Não está claro o que o juiz quer dizer com “medidas extremas de segurança”. Como afirma Riseup, “muitas das ‘medidas extremas de segurança’ usadas por Riseup são boas práticas comuns para segurança online.” Parece que a suposição por trás da decisão do juiz é que usar serviços que sigam boas práticas para segurança online deve ser considerado suspeito. Isso claramente vai contra o princípio de pressuposição de inocência, um requisito central da lei internacional de direitos humanos. E mais, usar serviços com forte segurança é a forma que os indivíduos têm para exercer seu direito à privacidade e liberdade de expressão na era digital ao mesmo tempo em que se mantêm seguros. Cada nova violação de bases de datos e desastres de segurança informática nos lembra disso.

 

Chamar o desejo de estar seguro online de “extremo” é algo incrivelmente perturbador. Entretanto, pouco surpreendente. Durante a “guerra contra a criptografia” [“Crypto wars”] dos anos 1990, o governo dos Estados Unidos propagaram a ideia de que uma encriptação forte deveria ser tratada como armamento. Isso pode ser devido ao fato de que uma segurança forte torna muito mais difícil para uma agência como a NSA vigiar descaradamente todo mundo e torna difícil reprimir grupos com ideias políticas que ameacem o status quo. Não há dúvidas que anarquistas caem nessa categoria, e provavelmente é por isso que o governo espanhol está preocupado.
No seu comunicado, Riseup explica que o coletivo “tem a obrigação de proteger a privacidade de seus usuários” e “não está disposto a permitir backdoors ilegais ou vender informações de nossos usuários para terceiros”.

 

Existem fortes evidências de que a NSA se assegurou de que houvessem backdoors integradas em diversos produtos e serviços. Companhias e grupos como Riseup querem proporcionar serviços de rede confiáveis e seguros mesmo ao lidar – na verdade, especialmente neste caso – com policiais e advogados que solicitem informações pessoais de usuários e seus registros. Riseup desenvolveu políticas de privacidade robustas para proteger-se da responsabilidade legal, mas mais acima de tudo, para proteger a segurança e a privacidade de seus usuários.

 

A necessidade de privacidade e segurança não pode ser subestimada. Em seu histórico relatório para a 23ª seção do Concelho de Direitos Humanos, o ex-relator da liberdade de expressão da ONU, Frank La Rue deixou claro que a segurança da comunicação é fundamental para uma sociedade aberta. Ele afirmou:

Os indivíduos devem ser livres para usar qualquer tecnologia que escolham para garantir a segurança de suas comunicações, e os Estados não devem interferir no uso de tecnologias de encriptação. (…) Sem uma proteção adequada à privacidade, à segurança e ao anonimato das comunicações, ninguém pode garantir que suas comunicações privadas não estejam sob o escrutínio do Estado.

A privacidade é uma característica essencial de toda sociedade livre. Junto com a “lei da mordaça”, ao reprimir usuários que usem comunicações privadas e seguras, o governo espanhol manda um preocupante sinal a respeito de suas intenções. Mas ainda há tempo para o tribunal corrigir esta decisão. Se a razão para manter esses ativistas presos é sua perfeitamente razoável e corriqueira decisão de manter seguras suas próprias comunicações, então eles devem ser liberados imediatamente.