Questões Emergentes¶

Vulnerabilidades e “zero-days”¶

Quando usamos um computador ou smartphone para navegar na Internet, ler e escrever documentos, trocar mensagens ou ouvir música, o que é exibido na tela é somente a ponta de um gigantesco iceberg – por baixo dos aplicativos abertos e da área de trabalho, milhares de softwares feitos de forma independente por organizações e indivíduos ao redor do mundo.

Cada um desses programas se comunica com os outros através de mensagens, encaminhadas pelo kernel, o núcleo do sistema, e através da Internet quando se está usando uma aplicação na rede. Quando recebe uma dessas mensagens, um programa extrai o conteúdo dela e “encaixa” em seu algoritmo para decidir o que fazer com isso.

Uma vulnerabilidade de software existe quando se pode mandar uma mensagem construída especialmente para confundir o sistema que se quer invadir (“batizada”, como diz a expressão popular) e fazê-lo encarar as mensagens recebidas como ordens de comando, ou conceder acesso privilegiado a determinado usuário que já existe no sistema.

Um exploit, ou código de exploração, é um programa que explora uma vulnerabilidade para conseguir na prática tal acesso ao sistema.

Por serem usadas para cometer crimes – seja fraudes bancárias, roubo de segredos industriais e dados pessoais, falsidade ideológica, fraude, etc – as vulnerabilidades não são desejadas pelos fabricantes de software, que possuem equipes dedicadas a encontrá-los – seja por conta própria, por relatos de incidentes ou através de sistemas de recompensa a pesquisadores – e resolvê-los, mudando o código para remendar a falha e encaminhando atualizações de segurança para os usuários.

O mundo da segurança da informação e dos cibercrimes (e, como vemos, da “interceptação legal”) é uma eterna caça de gato e rato entre quem pesquisa vulnerabilidades e quem as conserta, um determinado exploit descoberto ou adquirido possui prazo de validade. Vulnerabilidades, quando mantidas por muito tempo em segredo, são descobertas independentemente por outros(as) pesquisadores(as), e quando adquiridas costumam ser vendidas também para outras entidades; uma vez que se dê o uso da vulnerabilidade para invasões se torna questão de tempo até que as empresas de antivírus e segurança da informação detectem a falha e corrijam o software.

As vulnerabilidades com status de zero-days (“zero dias”) são aquelas que ainda não foram descobertas por profissinais de segurança e não ainda não foram usadas contra nenhum alvo (ou estão começando exatamente agora). O nome é uma referência à contagem de dias que levam até que o problema seja corrigido, os possíveis alvos atualizem seus sistemas e a falha não possa mais ser usada tão eficazmente.

Como os softwares que usamos vêm tornando sua rotina de atualização mais eficiente e automática, é cada vez mais difícil usar uma vulnerabilidade já “gasta” em novos alvos. A busca por zero-days se torna necessária para qualquer operação importante, e consegui-los envolve interagir com um mercado que se encontra, no mínimo, em uma zona cinzenta de legalidade. Há uma divisão moral clássica nos profissionais de segurança da informação: os whitehats (“chapéus brancos”) são aqueles que pesquisam, descobrem e catalogam vulnerabilidades e vírus para que as empresas antivírus e as fabricantes de software possam consertá-los, e os blackhats (“chapéus pretos”) usam as falhas que descobrem ou aprendem com outros(as) blackhats para cometer fraudes ou vender serviços de invasão e roubo de dados por encomenda. Profissionais de diferentes chapéus e intenções interagem através de fóruns da Internet e a linha que separa a pesquisa responsável da atividade criminosa por vezes não é clara – há um terceiro grupo, os grayhats (“chapéus cinzas”) que não se encaixam ou rejeitam a classificação clássica.

Um relatório de 2014 da norteamericana RAND Corporation sobre o mercado negro de vulnerabilidades e serviços de invasão afirma que o preço de um único zero-day “varia de alguns milhares de dólares a US$200.000,00 - US$300.00,00, dependendo do grau de severidade da vulnerabilidade, da complexidade do exploit, por quanto tempo a vulnerabilidade permanecerá desconhecida, a versão do produto que será comprometido, e o(a) comprador(a). Algumas estimativas chegam até US$ 1 milhão, mas costumam ser tachadas de exageradas” [RAND-VULNS-2014].

Vulnerabilidades já conhecidas, que como vimos são menos eficazes, são mais facilmente encontráveis em fóruns e listas de discussão de segurança, e até em mercado como o ExploitHub, que comercializa exploits de vulnerabilidades que não são zero day. De acordo com matéria do portal de notícias ZDnet e relatórios financeiros da ExploitHub, em 2013 o valor médio de um exploit era de US$ 284,06; o valor chega até US$ 1.500,00 [ZDNET-VULNS-2014].

Legalidade incerta; riscos garantidos¶

Uma vez invadido o sistema, as comunicações visadas pela “interceptação” são reveladas junto com fotos, documentos e registros pessoais, e outras comunicações que nada têm a ver com o propósito da investigação. Por se tratar de uma operação feita sem a cooperação de provedores, atravessando todos os mecanismos de autenticação do sistema invadido, não há uma maneira clara de identificar as ações do(a) invasor(a) nem de limitá-las a algum escopo.

Como diz Laura Schertel Mendes, coordenadora do Centro de Direito, Internet e Sociedade – CEDIS-EDB/IDP (grifo nosso):

Se o STF no RE 418.416/SC já entendeu que a garantia da inviolabilidade de sigilo art. 5°, XII, referia-se à comunicação de dados e não aos dados em si, é porque certamente o cenário dos riscos ao cidadão era bastante diverso tendo em vista as tecnologias então existentes. Afinal, usualmente os dados sofrem maior risco de interceptação durante o processo de comunicação – isto é, no tráfego – e não enquanto eles estão armazenados. Ocorre que com o advento da internet e dos aparelhos pessoais conectados em rede, a constelação de riscos alterou-se radicalmente e os programas espiões são o maior exemplo do risco de acesso clandestino e de manipulação dos dados armazenados em sistemas pessoais, que na vida moderna, guardam praticamente todas as informações a respeito de seu usuário. Nesse contexto, a efetividade da garantia constitucional da inviolabilidade do sigilo pressupõe que ela alcance também os dados armazenados em sistemas informáticos pessoais – tais como computadores, smartphones e agendas eletrônicas – cujo acesso passa a ser possível por meio desses programas e que podem acarretar riscos gravíssimos de monitoramento e vigilância ao cidadão sem que ele tome sequer conhecimento a respeito. [MENDES-2015]

Em sua análise “Interceptações e Privacidade”, Gilmar Mendes e o Jurandi Borges Pinheiro também vêem com preocupação a utilização indiscriminada de tecnologias de invasão para acessar dados e comunicações, prática ainda não bem representada no arcabouço legal brasileiro, possa causar danos ao ferir o direito à privacidade (grifos nossos):

[...] não é porque eventual inovação no campo tecnológico não esteja suficientemente contemplada na legislação em vigor que a garantia constitucional ameaçada fica sem proteção, cabendo ao intérprete, ao lidar com essa realidade, assegurar que o direito fundamental em si, independentemente das garantias a ele inerentes, não seja menosprezado a ponto de negar-lhe efetividade. Talvez seja esse o caminho ao lidarmos com a proteção do direito à privacidade, quando fragilizado por tecnologias que se transmudam da ficção à realidade em velocidade sem precedentes.

Com essas considerações, poderíamos avançar em relação ao tema não mais nos preocupando tanto em contemplar, em textos legais, de modo específico, cada nova tecnologia que surge, mas, sim, com a reformulação dos modelos de regulação, de forma a estabelecer requisitos mínimos como, por exemplo, crimes passíveis de investigação por tecnologias invasivas, imprescindibilidade de autorização judicial, duração da investigação, forma de registro de dados obtidos, restrições na divulgação dos dados capturados e sistema de acompanhamento do efetivo cumprimento dos requisitos estabelecidos.

Enfim, seja qual for o cenário tecnológico que nos cerca, não se pode perder de vista que a boa aplicação dos direitos fundamentais de caráter processual, principalmente da proteção judicial efetiva, é que nos permite distinguir o Estado de Direito do Estado Policial. O prestígio desses direitos configura também elemento essencial de realização do princípio da dignidade humana na ordem jurídica, impedindo, dessa forma, que o homem seja convertido em mero objeto do processo.