A lei de backdoor da Internet de 30 anos que voltou a funcionar

Neste fim de semana, surgiram notícias de que hackers apoiados pela China comprometeram os sistemas de escuta telefônica de vários provedores de telecomunicações e internet dos EUA, provavelmente em um esforço para coletar informações sobre os americanos.

Os sistemas de escuta telefônica, conforme exigido por uma lei federal dos EUA de 30 anos, são alguns dos mais sensíveis em uma rede de telecomunicações ou provedor de Internet, normalmente concedendo a alguns funcionários selecionados acesso quase irrestrito a informações sobre seus clientes, incluindo seu tráfego de Internet. e históricos de navegação.

Mas para os tecnólogos que durante anos soaram o alarme sobre os riscos de segurança das backdoors legalmente exigidas, as notícias dos compromissos são o momento do “aviso” que eles esperavam que nunca chegasse, mas sabiam que um dia chegaria.

“Acho que era absolutamente inevitável”, disse Matt Blaze, professor da Georgetown Law e especialista em sistemas seguros, ao TechCrunch sobre os últimos compromissos dos provedores de telecomunicações e Internet.

O Wall Street Journal informou pela primeira vez na sexta-feira que um grupo de hackers do governo chinês apelidado de Salt Typhoon invadiu três dos maiores provedores de Internet dos EUA, incluindo AT&T, Lumen (anteriormente CenturyLink) e Verizon, para acessar sistemas que eles usam para facilitar dados de clientes para a aplicação da lei. e governos. Os hacks supostamente podem ter resultado na “vasta coleção de tráfego da Internet” dos gigantes das telecomunicações e da Internet. A CNN e o The Washington Post também confirmaram as invasões e que a investigação do governo dos EUA está em fase inicial.

Os objetivos da campanha chinesa ainda não são totalmente conhecidos, mas o WSJ citou fontes de segurança nacional que consideram a violação “potencialmente catastrófica”. Salt Typhoon, os hackers em questão, é uma das várias unidades de hackers apoiadas pela China que se acredita estar preparando as bases para ataques cibernéticos destrutivos no caso de um conflito futuro previsto entre a China e os Estados Unidos, potencialmente sobre Taiwan.

Blaze disse ao TechCrunch que as intrusões chinesas nos sistemas de escuta telefônica dos EUA são o exemplo mais recente de abuso malicioso de um backdoor aparentemente destinado a fins legais e legais. A comunidade de segurança há muito que defende os backdoors, argumentando que é tecnologicamente impossível ter um “backdoor seguro” que também não possa ser explorado ou abusado por agentes maliciosos.

“A lei diz que sua empresa de telecomunicações deve tornar suas chamadas grampeáveis ​​(a menos que as criptografe), criando um sistema que sempre foi alvo de maus atores”, disse Riana Pfefferkorn, acadêmica de Stanford e especialista em políticas de criptografia, em um tópico no Bluesky. “Este hack expõe a mentira de que os EUA (governo) precisam ser capazes de ler todas as mensagens que você envia e ouvir todas as chamadas que você faz, para sua própria proteção. Este sistema está colocando você em risco, não protegendo você.”

“A única solução é mais criptografia”, disse Pfefferkorn.

A lei de 30 anos que preparou o terreno para o recente abuso de backdoor é a Lei de Assistência às Comunicações para a Aplicação da Lei, ou CALEA, que se tornou lei em 1994, numa altura em que os telemóveis eram uma raridade e a Internet ainda estava na sua infância.

A CALEA exige que qualquer “provedor de comunicações”, como uma companhia telefônica ou um provedor de internet, forneça ao governo toda a assistência necessária para acessar as informações de um cliente quando apresentado uma ordem legal. Em outras palavras, se houver um meio de acessar os dados de um cliente, as companhias telefônicas e os provedores de internet deverão fornecê-lo.

As escutas telefónicas tornaram-se um grande negócio na era pós-2000, após os ataques de 11 de Setembro de 2001. A subsequente introdução de leis pós-11 de Setembro, como o Patriot Act, expandiu enormemente a vigilância e a recolha de informações dos EUA, incluindo sobre os americanos. A CALEA e outras leis de vigilância desta época deram origem a toda uma indústria de empresas de escutas telefónicas que ajudaram as empresas de telefonia e Internet a cumprir a lei através de escutas telefónicas em seu nome.

Grande parte de como essas leis e disposições ampliadas sobre escutas telefônicas funcionavam na prática – e o acesso que o governo tinha aos dados privados dos americanos – foram mantidas em grande parte em segredo até 2013, quando o ex-contratado da NSA, Edward Snowden, vazou milhares de documentos confidenciais dos EUA, expondo amplamente o governo. técnicas e práticas de vigilância ao longo da última década, incluindo a vasta coleção de dados privados dos americanos.

Embora grande parte do escândalo de vigilância de Snowden se centrasse na forma como o governo dos EUA e os seus aliados mais próximos recolheram dados secretos sobre os seus principais alvos de inteligência estrangeiros, como terroristas estrangeiros e hackers governamentais adversários, as revelações da espionagem do governo dos EUA levaram a um alvoroço por parte do Vale do Silício. gigantes da tecnologia, cujos sistemas, em alguns casos, foram inadvertidamente explorados pelas agências de inteligência dos EUA. O Vale do Silício reagiu coletivamente, o que levou, em parte, ao retrocesso dos anos de sigilo das escutas telefônicas impostas pelo governo e à obscuridade geral.

Nos anos que se seguiram, os gigantes da tecnologia começaram a encriptar o máximo possível de dados de clientes, percebendo que as empresas não poderiam ser obrigadas a entregar dados de clientes aos quais elas próprias não pudessem aceder (embora ainda existam algumas excepções legais não testadas). Os gigantes da tecnologia, que já foram acusados ​​de facilitar a vigilância dos EUA, começaram a publicar “relatórios de transparência” que detalhavam quantas vezes as empresas foram forçadas a entregar os dados de um cliente durante um determinado período de tempo.

Enquanto as empresas tecnológicas começaram a bloquear os seus produtos para que bisbilhoteiros externos (e, em alguns casos, até as próprias empresas tecnológicas) não pudessem aceder aos dados dos seus clientes, as empresas de telefonia e Internet pouco fizeram para encriptar o tráfego telefónico e de Internet dos seus próprios clientes. Como tal, grande parte do tráfego de Internet e telefone dos Estados Unidos permanece disponível para escutas telefônicas no âmbito da CALEA.

Não são apenas os Estados Unidos que têm apetite por backdoors. Em todo o mundo, continua a existir um esforço contínuo e persistente por parte dos governos para promover legislação que enfraqueça, contorne ou comprometa de outra forma a encriptação. Em toda a União Europeia, os estados-membros estão a trabalhar para exigir legalmente que as aplicações de mensagens verifiquem as comunicações privadas dos seus cidadãos em busca de material suspeito de abuso infantil. Os especialistas em segurança afirmam que não existe tecnologia capaz de alcançar o que as leis exigem sem correr o risco de abusos nefastos por parte de agentes maliciosos.

Signal, o aplicativo de mensagens criptografadas de ponta a ponta, tem sido um dos críticos mais veementes dos backdoors de criptografia e citou a recente violação dos provedores de Internet dos EUA pelos chineses como o motivo pelo qual as propostas europeias representam uma séria ameaça à segurança cibernética.

“Não há como construir um backdoor que apenas os 'mocinhos' possam usar”, disse a presidente da Signal, Meredith Whittaker, escrevendo no Mastodon.

Falando de algumas das propostas mais avançadas para backdoors que surgiram nos últimos anos, “CALEA deve ser considerada como um conto de advertência, e não uma história de sucesso, para backdoors”, disse Blaze.