Desmistificando o suposto “Guia de Espionagem da Microsoft”

A notícia
Novamente escrevo algo depois de provocado pelo Dr. Renato de Araújo Cardoso e vários outros leitores do blog, todos questionando sobre a reportagem referente ao suposto “Guia de Espionagem da Microsoft”.

De pronto já digo que não se trata de um “guia de espionagem”, como foi interpretado pelo site Cryptome. Conforme a reportagem publicada pelo IDG Now! (http://zapt.in/5T9), o Cryptome, crítico e divulgador de documentos secretos, estendeu seu olhar à web com a liberação do Microsoft Online Services Global Criminal Compliance Handbook, que seria um “guia de espionagem” para agentes da lei e que traz detalhes sobre os dados que a Microsoft obtém, guarda e pode fornecer.

Avaliação do assunto
Não se trata de um guia de espionagem e sim de uma espécie de tutorial explicativo de como as autoridades podem obter dados da Microsoft, indo além, pois refere todos os serviços que estão disponíveis pela empresa na web, gratuitos ou não, sobre os quais guarda dados de acessos e por quanto mantém esses registros, possibilitando uma excelente orientação aos agentes da Lei.
Na versão brasileira do documento, denominado Manual de Conformidade Criminal Global, há referência inicial em como a empresa interpreta a “aplicação da lei fora dos Estados Unidos” e como as autoridades podem proceder em situações de emergência. É claro que a partir daí a empresa informa quais os serviços dispõe, gratuitos ou não, por quanto tempo guarda as informações e quais os registros que podem ser buscados, o que, de certa forma, é bastante lógico.


A logicidade do '”Manual” da Microsoft
Porque as informações contidas no manual são lógicas? Um leitor com um mínimo de conhecimento e que tem acesso diário a e-mail, web pages, redes sociais, comunicadores instantâneos, cadastros, downloads etc., sabe ou pelo menos têm uma idéia pequena sobre o tipo de informações que são registradas e mantidas na web. Uma referência e exemplificação análoga ao caso Microsoft é o Google e os serviços por ele disponibilizados, pois quem cadastra um Gmail pode, com o mesmo user/login, ter acesso a inúmeras outras funcionalidades e ferramentas oferecidas pela gigante do maior buscador virtual.



Assim, quem tem uma conta no Google pode ter acesso, desde que se cadastre em cada serviço, a: Gmail, Google Buzz, Youtube, Google Analytics, Google Agenda, Google Docs, Google Talk, Orkut … são vários, pois apenas citei os principais. O leitor pode ter uma visão de tudo o que o Google sabe sobre um usuário neste endereço https://www.google.com/dashboard/, do “Google contas” (veja imagem acima). Se não errei a contagem, são 26 serviços diferentes que o Google oferece aos usuários!
O interessante para o investigador de um crime virtual é saber quais os serviços são disponibilizados, onde são registrados e o que pode ser buscado, se com ordem judicial ou não (circunstância prevista ou na Política de Privacidade e/ou Termos de Uso do site/serviço web). Para o usuário, uma vez utilizador dos serviços dos provedores de conteúdo, interessante é conhecer a política de privacidade, as configurações e restrições existentes e assim por diante.

Exemplificando: em relação ao Orkut, quais dados poderão ser registrados e solicitados pela autoridade, mediante a vênia judicial? Dados cadastrais de perfil, com e-mail, IP e outros dados; modificações do cadastro; fotos; vídeos; recados armazenados; depoimentos gravados no perfil ou ainda a salvar; depoimentos prestados pelo perfil em outros usuários ou nos fóruns de comunidades; comunidades vinculadas; perfil do criador de uma comunidade ou de algum dos membros de uma comunidade etc. Portanto, inúmeros dados disponíveis e que podem ser solicitados, auxiliando e muito no resultado de uma investigação.

Segurança x Privacidade (concluindo)
Aliás, alguém que cria um e-mail gratuito no Google, Hotmail, Yahoo! etc. por acasou leu o contrato que assinou com esse provedores? Pois ninguém ou quase ninguém lê e ali estão ditas as regras e o dados do usuário que o provedor vai guardar e pode informar às autoridades em caso de solicitação. Será sempre a eterna discussão entre segurança x privacidade.

Exemplo de Política de Privacidade do Mercado Livre, com menção somente da parte que diz respeito às relações com autoridades e o que será informado pelo setor jurídico do site numa eventual solicitação (destaques pelo autor do blog):
Ordem de autoridades competentes - Requerimentos Legais. O MercadoLivre coopera com as autoridades competentes e com terceiros para garantir o cumprimento das leis, por exemplo, em matéria de proteção de direitos de propriedade industrial e intelectual, prevenção de fraudes e outros.
MercadoLivre poderá revelar a Informação Pessoal de seus usuários sob requerimento de autoridades judiciais ou governamentais competentes para fins de investigações conduzidas por estas, mesmo que não exista uma ordem judicial, por exemplo (e sem limitar-se a), quando se trate de investigações de caráter penal ou relacionadas com pirataria informática ou a violação de direitos de autor. Nestas situações, o MercadoLivre colaborará com as autoridades competentes com o fim de salvaguardar a integridade e a segurança da Comunidade e de seus usuários, ressalvadas hipóteses de sigilo da informação determinadas pela legislação em vigor.
O MercadoLivre pode (autorizado expressamente pelos usuários) comunicar qualquer Informação Pessoal sobre seus usuários com a finalidade de cumprir a lei aplicável e cooperar com as autoridades competentes na medida em que discricionariamente entenda necessário e adequado em relação a qualquer investigação de um ilícito, infração de direitos de propriedade industrial ou intelectual, ou outra atividade que seja ilegal ou que possa expor o MercadoLivre ou seus usuários a qualquer responsabilidade legal. Ademais, pode (com autorização expressa dos usuários) comunicar seu nome completo, apelido, domicílio, cidade, Estado, cep, país, número de telefone, endereço de e-mail, etc. aos participantes no Programa de Proteção de Propriedade Intelectual do MercadoLivre de forma que, a sua discrição, entenda necessária ou adequada em relação com a investigação de fraude, infração de direitos de propriedade industrial ou intelectual, pirataria, ou qualquer outra atividade ilegal. Este direito será exercido pelo MercadoLivre a fim de cooperar com o cumprimento e execução da lei, independentemente de existir ou não uma ordem judicial ou administrativa para tanto.
Ademais, o MercadoLivre se reserva o direito (sendo expressamente autorizado para tanto) de comunicar informação sobre seus usuários a outros usuários, entidades ou terceiros quando haja motivos suficientes para considerar que a atividade de um usuário seja suspeita de tentar ou de cometer um delito ou tentar prejudicar a outras pessoas. Este direito será utilizado pelo MercadoLivre a seu inteiro dispor quando considere apropriado ou necessário para manter a integridade e a segurança da Comunidade e de seus usuários, para fazer cumprir os Termos e Condições Gerais e demais Políticas do site e com o fito de cooperar com a execução e cumprimento da lei. Este direito será exercido pelo MercadoLivre independentemente de existir uma ordem judicial ou administrativa nesse sentido.

Algo que o leitor que possui o Gmail, por exemplo, pode observar nessa questão “segurança x privacidade” é o conteúdo de um e-mail aberto e a propaganda correlacionada ao lado. O que seria isso? Invasão de privacidade? Espionagem? Falha de segurança no webmail? Nada disso, pois esta circunstância de fazer a leitura do conteúdo do e-mail e referenciar a propaganda está lá prevista no contrato que você assinou com o provedor de conteúdo chamado Google. Veja a imagem acima.

Fica a pergunta: “E você, o que acha disso tudo?” Eu tenho certeza que o site referido no início deste artigo fez uma interpretação errônea do conteúdo do manual da Microsoft, o que poderia ter causado uma discussão/celeuma fora do normal. Aguardo a opinião dos leitores.

Leia Mais >>

Reorganização do tempo e periodicidade do Blog do Emerson

Aos leitores:

Estou indo trabalhar temporariamente em Brasília e, por isso, vou mudar a periodicidade dos artigos do blog, postando nas terças e quintas. Caso sobre um tempo, vou postar algo no sábado, porém relacionado às notícias importantes da semana sobre crimes virtuais, segurança na web etc.

Além do trabalho em Brasília, também tenho três meses para concluir meu TCC de pós em Inteligência.

Já tenho vários assuntos assinalados para tratar nos próximos posts. Portanto, aguardem! Não deixem de comentar, sugerir e criticar, exceto de forma anônima. Abraço a todos.

Leia Mais >>

A rejeição da “lei de retenção de dados” pelo Tribunal Constitucional alemão

Há três dias houve divulgação, pela mídia internacional, sobre a decisão do Tribunal Constitucional da Alemanha que rejeitou a lei que exige das empresas de telefonia e provedores de internet a manutenção de todos os dados do cliente por seis meses.

Em outras palavras, o tribunal alemão derrubou a lei que permite às autoridades manter os dados das chamadas telefônicas e tráfego de e-mail, circunstância usada para ajudar na localização de redes criminosas ou fatos criminosos. Com a decisão, a lei de armazenamento de dados foi declarada inconstitucional, pois teria quebrado o sigilo das comunicações, gerando a possibilidade de exclusão imediata de todas informações guardadas nos termos da legislação.

A lei alemã entrou em vigor no ano de 2008 após uma decisão da União Européia visando o combate ao anti-terrorrismo, obrigando então as operadoras de telefonia e provedores de internet de resguardar dados por um período mínimo de seis meses. Aproximadamente 35.000 alemães entraram na justiça contra a Lei, um número record, segundo a imprensa alemã.

A principal motivação do tribunal foi de que não haveria seletividade na lei e que o aspecto da segurança coletiva não deveria sobrepujar o direito à privacidade, principalmente de forma indiscriminada. Compreensível? Não sei! O mesmo tribunal já havia considerado inconstitucional o uso de urnas eletrônicas, pois feriam o processo democrático (veja notíca completa a respeito neste link).

Entendo que tribunal alemão pode ter criado um precedente internacional perigoso, pois os dados/informações são cruciais para que as polícias e o juízo possam ser capazes de rastrear os crimes que envolvem uso pesado de Internet, incluindo o monitoramento de redes de terror e a pornografia infantil. Se a decisão for adotada em grande parte dos países do mundo poderá haver um prejuízo na preparação em relação à guerra cibernética. A interpretação em relação às questões de telefonia não é diferente.
Felizmente, aqui no Brasil o resguardo de dados de telefonia é feito há bastante tempo, sem limitação de tempo. A Lei 9.296/96 trata do assunto relacionado à interceptação telefônica e telemática. Já tivemos, no Rio Grande do Sul, casos de elucidação de crimes de homicídio de 10, 15 anos atrás usando os registros de telefonia para comprovar a ligação entre suspeitos e/ou vítima, além de comprovar que o suspeito estava no local do crime quando foi cometido.
Em relação à internet, não há lei brasileira exigindo o resguardo de registros (logs) da navegação dos usuários na web, ou seja, os provedores não são obrigados a registrar os acessos e a navegação dos usuários, o que dificulta e muito as investigações dos crimes praticados pela internet. Por isso, sempre referimos que a comunicação do fato e a investigação deve ser o mais célere possível. Diferente da questão da telefonia, já tivemos situações em que os provedores, mesmo com determinação judicial, não tinham dados a informar, prejudicando a identificação de autores de crimes virtuais. Diferente, nos Estados Unidos embora não haja uma obrigatoriedade explícita, vigora, ainda, o Ato Patriota, que foi criado após o "11 de Setembro", regulando na Medida II o que pode ser solicitado e deve ser informado pelos provedores. Significa que há uma preservação dos dados para, nas solicitações oficiais, repassar às autoridades.

Por isso, acho fundamental a existência de uma legislação brasileira, que não iria contra a nossa Constituição Federal, prevendo o resguardo das informações, seja de telefonia seja de internet. Já tratei sobre isso em texto conjunto com o Sandro Süffert, quando referimos sobre o art. 22 do projeto da chamada Lei Azeredo. Este artigo prevê a necessidade dos provedores de resguardarem informações por um prazo mínimo de três anos. A lei americana prevê cinco anos (é, por exemplo, o tempo em que Google, Yahoo! e Microsoft resguardam os dados)!
Fica a pergunta: o que vocês acham??

Leia Mais >>