Tecnota: Pequenas descobertas sobre smartphone 1

Esta é uma breve compilação das descobertas que fiz para smartphone e android. Até hoje tenho um pé atrás com smartphones. Não há dúvida de que são as ferramentas mais poderosas e pervasivas de vigilância jamais inventadas. Como lidar com isso é um dos problemas mais ignorados da tecnopolítica. As pessoas simplesmente foram engolidas e usam porque têm que usar.

Repositórios e APKs

A primeira pergunta que me veio quando pensei num espertofone foi “mas pra quê diabos um software obrigatoriamente (mesmo os gratuitos/free e/ou de código aberto) tem que passar por uma das stores das grandes corporações? Primeiro, rebatizar um software para “app” já me soou estranho. E é justamente essa a diferença: um app necessariamente gera receita. Obviamente, não pra mim, nem pra ti, mas para uma empresa que já ganha MUITO dinheiro.

Além disso, tu precisas estar devidamente cadastrado nessa corporação. Não só o teu nome e email, como sempre aconteceu na internet livre, mas hoje tens que colocar teu número telefone também. Isso significa ter seu nome real completo, RG, CPF e na maioria das vezes o teu endereço. De “eu só queria instalar um software e saber mais sobre tal assunto” a internet virou “aqui está a sua conta; e lembre-se que sabemos tudo sobre você”.

Na minha mentalidade primitiva de software, eu ficava pensando: “que coisa ridícula, cadê os instaladores? Quero só baixar anonimamente e instalar a parada”. Foi então que descobri que os apps para android são programas geralmente escritos em java e compactados em um arquivo .APK. Instalar um apk é basicamente criar uma pasta e um atalho na janelinha do “telefone”. Ou seja, muito mais simples que a instalação de um software em linux, por exemplo.

Foi aí que descobri o site www.apkpure.com , que contém apks de tudo quanto é repositório de android. Ali é possível baixar sem se cadastrar. Tem também o repositório f-droid com vários app de código aberto.

cropped-header-resp1

Mas e como fica a segurança? Como vou saber que o software, na verdade o app, está igual ao que o desenvolvedor lançou? Como vou saber se não colocaram uma backdoor ou outro tipo de código malicioso? Boa pergunta. Como você que usa g-play ou i-store pode garantir isso? Que garantia de privacidade você tem do gugou? Pois é, nenhuma. Prefiro tentar aprender mais sobre segurança e trazer esse poder pra mim do que confiar numa empresa que sabidamente negocia os dados de seus clientes.

Navegador Orfox

Ao instalar o orbot (pra usar a rede TOR no smartphone), descobri que o Guardian Project tinha lançado há pouco um novo navegador para telefone que substituiria o orweb. O orfox procura manter os mesmos objetivos de projeto do Tor Browser ao mesmo tempo que incorpora várias funcionalidades do firefox para android. Seu código é aberto e pode ser revisado aqui. As diferenças entre o orfox e o tor browser e o orweb estão descritas aqui.

orfox-feature-graphic

SSH Droid

Outra pergunta que me vinha era: “como posso acessar TODOS os arquivos que estão no meu espertofone?” Eu olhava aquela interface do android sobre meus apps e ficava totalmente insatisfeito. Não sou nenhum hacker e não entendo quase nada de programação, mas não saber o que tá ali era muito frustrante.

Foi então que descobri uma forma de acessar o diretório raiz do telefone!

O que fiz foi basicamente o seguinte: instalei o sshdroid, criei um ponto de acesso sem fio no meu notebook, rodei o sshdroid para criar um servidor SSH no telefone e me conectei a ele via file explorer no linux. Segue abaixo o tutorial.

  1. No celular, baixe o SSHDroid pelo repositório f-droid.
  2. No notebook com debian, ubuntu ou linux mint, vá nas suas configurações de rede e simplesmente aperto o botão “criar um ponto de acesso sem fio”. Isso faz com que outros computadores possam se conectar remotamente ao seu computador. Na janela seguinte aparecerá o nome da rede e a senha.
  3. no celular, habilite o adaptador de rede wi-fi e conecte-se a rede criada no notebook.
  4. no celular, rode o SSHdroid. Automaticamente ele criará um servidor ssh no seu celular. Seu endereço será algo como “root@192.168.1.101”. A senha padrão é “admin”.
  5. no notebook, vá no file explorer, arquivo->conectar-se a um servidor. Escolha o protocolo SSH e digite o endereço IP. Coloque “root” como usuário e “admin” como senha.

Pronto! Divirta-se explorando o sistema de arquivos do seu espertofone desde a raiz. O tutorial completo em inglês está aqui.

Mesmo assim, não me dei por satisfeito pois dependo do celular estar ligado e funcionando para poder fazer todo esse malabarismo. Gostaria mesmo de poder acessar a memória do telefone direto do meu notebook. Isso aprenderei assim que conseguir trocar o sistema operacional do telefone (de android para securegen ou replicant). (É bem desagradável não ter uma única boa opção de sistema operacional para telefone!)

Shashlik

Esse é um software que roda programas de android no ambiente linux. Infelizmente só tem para arquiteturas de 64bits. Site.

Tecnota: Impressão Digital do Navegador

Tecnota #1: Browser Fingerprint

Quando navegamos pela web, os sites que visitamos coletam várias informações sobre nós. Isso é o que chamamos de Impressão Digital do Navegador ou Dispositivo (Browser or Device Fingerprint). Parte dessas informações é necessária para o funcionamento da própria comunicação (o que deveria ser apagado ao fim da transação), entretanto, parte é usada especificamente para a criação de perfis das pessoas (profiling). Quanto mais único for o conjunto dessas informações, mais fácil será identificar uma usuária. A comparação dessas informações em diferentes bancos de dados pode levar à desanonimização principalmente se você tiver logado em algum momento durante a navegação (e, em geral, estamos sempre logados quando navegamos por um smartphone, não?).

Atualmente, muito tem se falado sobre anonimização de metadados para proteger o usuário. Em primeiro lugar, por que estão coletando informações sobre nós sem nosso consentimento? Acontece que muitas empresas aprenderam a lucrar com isso e então, após anos de espionagem generalizada, vários países estão construindo legislações sobre anonimização como uma tentativa de definir o que é um dado pessoal e o que não é. Porém, sabendo que o cruzamento de informações de diferentes bases de dados pode facilmente desanonimizar os perfis (pois afinal, deixamos uma impressão digital praticamente única ao navegar na web), os efeitos de tais esforços legais são nada mais que uma farsa. A quantidade de informação para tanto é estimada em 18 bits! Estudos mais conservadores falam em 33 bits. Na verdade, o que está em jogo é a criação de uma garantia legal para, de forma eficiente, vigiar e fazer propaganda sem que as pessoas possam reclamar depois.

vigilancia

Os perfis gerados automaticamente com os metadados da nossa comunicação digital são usados tanto pelos Estados e suas polícias, para agir preventivamente(!), quanto por seguradoras, convênios de saúde e agências de publicidade. Não são poucos os casos de erros grosseiros baseados nesses perfis e softwares/algoritmos discriminatórios tomando decisões no lugar de pessoas (o caso do robô da Microsoft foi apenas o mais conhecido). Como absolutamente tudo está sendo gravado, nossa integridade acaba sendo decidida por que tem acesso a essas bases de informação: policiais britânicos estavam usando esses dados para proveito próprio e contra as pessoas. Outro uso das informações sobre os fluxos de dados – que tem feito as prefeituras e escritórios de arquitetura salivarem – são as chamadas Cidades Inteligentes. Para mais informações, veja o Boletim AntiVigilância n° 13.

Mas que tipo de metadados compõem a impressão digital de um navegador (browser)? São vários, como por exemplo: seu endereço IP, seu histórico de navegação, o tamanho da sua tela, seu fuso horário, plug-ins do seu navegador/dispositivo e nome e versão do sistema operacional. Segundo o site browserspy.dk (“Navegador Espião”), dezenas de outras informações também podem ser coletadas: as fontes instaladas no seu computador, se você tem instalado programas como Adobe Reader, OpenOffice, Google Chrome e MS Silverlight, além da versão do navegador e o proxy que você usa (se estiver usando). O site amiunique.org (“Será que sou único?”) também dá a dica: essas coletas são feitas majoritariamente através de scripts de Java e Flash. (Para ter controle sobre quais javascripts rodarão no seu navegador, utilize o add-on No-Script.)

Em 2010, a Eletronic Frontier Foundation (EFF) lançou o projeto Panoptclick para medir o quão único é o seu navegador. Visite https://panopticlick.eff.org/ e faça o teste.

Também é possível ver quem, além do usuário, sabe sobre os lugares onde ele navega através do add-on Lightbeam. Já o projeto Trackography mostra para onde viajam nossas informações quando acessamos certos sites de notícias: https://trackography.org/

lightbeam

Para quem ainda se pergunta quais seriam os possíveis efeitos da coleta extensiva de Impressões Digitais de Navegadores, o site https://amiunique.org fornece uma explicação clara em uma de suas perguntas frequentes:

“Como toda tecnologia de rastreamento, ela é uma faca de dois gumes.
Impressões digitais podem ser usadas de maneira construtiva para combater fraudes ou sequestro de credenciais, através da verificação de que ao logar num site específico, o usuário é um usuário legítimo.
Impressões digitais também podem ser usadas de maneira um tanto mais questionável, como para rastrear usuários em diferentes websites e coletar informações sobre seus hábitos e gostos sem que o usuário saiba disso.
E elas também podem ser usadas de maneira bem destrutiva: se um atacante sabe quais módulos de software (versão do navegador, plugins, etc.) estão instalados num dispositivo específico, ele pode desenvolver ataques feitos sob medida para estes módulos específicos.”

Um vídeo bem interessante feito pela Disconnect.me nos dá mais argumentos sobre os possíveis usos da impressão digital do navegador: “Rastreamento indesejado não é de boa” .

Em 2014, o Instituto de Engenheiros Eletricistas e Eletrônicos (IEEE) publicou em seu site um artigo sobre a história do rastreamento e da impressão digital na web, “Browser Fingerprinting and the Online-Tracking Arms Race” (“Impressão digital do navegador e a corrida armamentista do rastreamento online”). Tudo começou com os coockies, depois vieram os coockies de terceiros para a venda de propaganda, até convergir com as agências de segurança para a criação massiva de bancos de dados de perfis, com informações bem pessoais como hábitos, preferências e deslocamentos.
Assim, o que temos visto com todos esses acontecimentos é a banalização de um valor essencial à liberdade: a privacidade. Qualquer pessoa sabe o efeito nocivo de ter alguém monitorando tudo o que se faz. A impressão digital do navegador é mais uma ferramenta dentro de um grande conjunto usado para rastreamento. Com a internet, essa vigilância tornou-se incrivelmente sutil e invisível. Por isso, temos que estar muito mais atentos e investigativos, e passar a escolher pela nossa liberdade.
Lista de sites com informações sobre o assunto:
– http://browserspy.dk/
– https://panopticlick.eff.org
– https://amiunique.org
– https://myshadow.org/pt/browser-tracking
– https://trackography.org/ : A Tactical Tech project which aims to increase transparency about the online data industry by illustrating who tracks us when we browse the internet.
– https://33bits.org/ : The end of anonymous data and what to do about it.