Guia para o anonimato online (por https://anonymousplanet.org/)

Utilize por sua conta e risco. Por favor, não tome este guia como uma verdade definitiva para tudo, porque não o é.
  • Introdução:
  • Compreender algumas noções básicas de como algumas informações podem levar até si e como mitigar algumas:
    • A sua rede:
      • Seu endereço IP:
      • Os seus pedidos de DNS e IP:
      • Os seus dispositivos com RFID:
      • Os dispositivos Wi-Fis e Bluetooth à sua volta:
      • Pontos de acesso Wi-Fi maliciosos/mal-intencionados:
      • O seu tráfego Tor/VPN anonimizado:
      • Alguns dispositivos podem ser monitorizados mesmo quando estão offline:
    • Os seus identificadores de hardware:
      • O seu IMEI e IMSI (e, por extensão, o seu número de telefone):
      • O seu endereço MAC de Wi-Fi ou Ethernet:
      • O seu endereço MAC Bluetooth:
    • A sua CPU:
    • Os seus sistemas operativos e serviços de telemetria de aplicações:
    • Os seus dispositivos inteligentes em geral:
    • O próprio utilizador:
      • Os seus metadados, incluindo a sua geo-localização:
      • A sua impressão digital, a sua pegada e o seu comportamento em linha:
      • As suas pistas sobre a sua vida real e OSINT:
      • O seu rosto, voz, biometria e imagens:
      • Phishing e engenharia social:
    • Malware, exploits e vírus:
      • Malware nos seus ficheiros/documentos/e-mails:
      • Malware e exploits nas suas aplicações e serviços:
      • Dispositivos USB maliciosos:
      • Malware e backdoors no seu Firmware de Hardware e Sistema Operativo:
    • Os seus ficheiros, documentos, imagens e vídeos:
      • Propriedades e metadados:
      • Marca de água:
      • Informação pixelizada ou desfocada:
    • As suas transacções de moedas criptográficas:
    • Seus serviços de backups/sincronização na nuvem:
    • As impressões digitais do seu navegador e dispositivo:
    • Fugas de dados locais e forenses:
    • Criptografia incorrecta:
    • Políticas de não registo mas de registo na mesma:
    • Algumas técnicas avançadas direccionadas:
    • Alguns recursos de bónus:
    • Notas:
  • Preparativos gerais:
    • Escolher a sua rota:
      • Limitações de tempo:
      • Limitações orçamentais/materiais:
      • Competências:
      • Adversários (ameaças):
    • Passos para todas as rotas:
      • Obter um número de telefone anónimo:
      • Obter uma chave USB:
      • Encontrar locais seguros com uma boa rede Wi-Fi pública:
    • A rota TAILS:
      • Negação Plausível Persistente usando o Whonix dentro do TAILS:
    • Passos para todas as outras rotas:
      • Obter um portátil dedicado para as suas actividades sensíveis:
      • Algumas recomendações de portáteis:
      • Configurações de Bios/UEFI/Firmware do seu laptop:
      • Proteger fisicamente o seu portátil contra adulterações:
    • A rota Whonix:
      • Escolher o seu sistema operativo anfitrião (o sistema operativo instalado no seu portátil):
      • Linux Host OS:
      • MacOS Host OS:
      • SO anfitrião Windows:
      • Virtualbox no seu sistema operacional host:
      • Escolha o seu método de conetividade:
      • Obter uma VPN/Proxy anónima:
      • Whonix:
      • Tor sobre VPN:
      • Whonix Máquinas virtuais:
      • Escolha a máquina virtual da estação de trabalho convidada:
      • Máquina Virtual Linux (Whonix ou Linux):
      • Máquina Virtual Windows 10:
      • Android Máquina virtual:
      • MacOS Máquina virtual:
      • KeepassXC:
      • Instalação do cliente VPN (pago em dinheiro/Monero):
      • (Opcional) permitindo que apenas as VMs acedam à Internet e cortando o SO anfitrião para evitar qualquer fuga:
      • Passo final:
    • A Rota Qubes:
      • Escolha o seu método de conetividade:
      • Obter uma VPN/Proxy anónima:
      • Instalação:
      • Comportamento de fecho da tampa:
      • Ligar-se a uma rede Wi-Fi pública:
      • Atualizar o Qubes OS:
      • Hardening Qubes OS:
      • Configurar a VPN ProxyVM:
      • Configurar um navegador seguro no Qube OS (opcional, mas recomendado):
      • Configurar uma VM Android:
      • KeePassXC:
  • Criar as suas identidades online anónimas:
    • Compreender os métodos utilizados para impedir o anonimato e verificar a identidade:
      • Captchas:
      • Verificação por telefone:
      • Verificação de correio eletrónico:
      • Verificação dos detalhes do utilizador:
      • Verificação da prova de identidade:
      • Filtros de IP:
      • Impressão digital do navegador e do dispositivo:
      • Interação humana:
      • Moderação de utilizadores:
      • Análise comportamental:
      • Transacções financeiras:
      • Início de sessão com alguma plataforma:
      • Reconhecimento facial em tempo real e biometria (novamente):
      • Revisões manuais:
    • Ficar online:
      • Criar novas identidades:
      • O sistema de nomes reais:
      • Acerca dos serviços pagos:
      • Visão geral:
      • Como partilhar ficheiros ou conversar anonimamente:
      • Redigir documentos/fotos/vídeos/áudio em segurança:
      • Comunicar informações sensíveis a várias organizações conhecidas:
      • Tarefas de manutenção:
  • Fazer cópias de segurança do seu trabalho de forma segura:
    • Cópias de segurança offline:
      • Cópias de segurança de ficheiros seleccionados:
      • Cópias de segurança completas do disco/sistema:
    • Cópias de segurança online:
      • Ficheiros:
      • Informações:
    • Sincronizar os seus ficheiros entre dispositivos Online:
  • Cobrir os seus rastos:
    • Compreender o HDD vs SSD:
      • Nivelamento do desgaste.
      • Operações de corte:
      • Recolha de lixo:
      • Conclusão:
    • Como limpar de forma segura todo o seu portátil/discos se quiser apagar tudo:
      • Linux (todas as versões incluindo Qubes OS):
      • Windows:
      • MacOS:
    • Como apagar de forma segura ficheiros/pastas/dados específicos no seu HDD/SSD e unidades Thumb:
      • Windows:
      • Linux (não Qubes OS):
      • Linux (Qubes OS):
      • MacOS:
    • Algumas medidas adicionais contra a investigação forense:
      • Remoção de metadados de ficheiros/documentos/imagens:
      • TAILS:
      • Whonix:
      • MacOS:
      • Linux (Qubes OS):
      • Linux (não-Qubes):
      • Windows:
    • Remoção de alguns vestígios das suas identidades nos motores de busca e em várias plataformas:
      • Google:
      • Bing:
      • DuckDuckGo:
      • Yandex:
      • Qwant:
      • Yahoo Search:
      • Baidu:
      • Wikipedia:
      • Archive.today:
      • Arquivo da Internet:
  • Alguns truques de baixa tecnologia da velha escola:
    • Comunicações ocultas à vista de todos:
    • Como descobrir se alguém anda a vasculhar o seu material:
  • Algumas últimas reflexões sobre OPSEC:
  • Se achas que te queimaste:
    • Se tiveres algum tempo:
    • Se não tiveres tempo:
  • Uma pequena nota editorial final
 
Last edited by a moderator:

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,651
Solutions
2
Reaction score
1,769
Points
113
Deals
666

Phishing e engenharia social.


O phishing é um tipo de ataque de engenharia social em que um adversário pode tentar extrair informações do utilizador fingindo ou fazendo-se passar por algo/alguém.


Um caso típico é o de um adversário que utiliza um ataque man-in-the-middle ou uma mensagem de correio eletrónico/chamada falsa para pedir a sua credencial para um serviço. Isto pode ser feito, por exemplo, através de correio eletrónico ou fazendo-se passar por serviços financeiros.


Estes ataques também podem ser utilizados para retirar o anonimato a alguém, induzindo-o a descarregar malware ou a revelar informações pessoais ao longo do tempo.


Estes ataques têm sido utilizados inúmeras vezes desde os primórdios da Internet e o mais comum é o chamado "419 scam" ( ver https://en.wikipedia.org/wiki/Advance-fee_scam [Wikiless] [Archive.org]).


Aqui está um bom vídeo se quiser saber um pouco mais sobre os tipos de phishing: Black Hat, Ichthyology: O phishing como ciência
[ Invidious].
 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,651
Solutions
2
Reaction score
1,769
Points
113
Deals
666

Malware, exploits e vírus.


Malware nos seus ficheiros/documentos/e-mails.


Utilizando esteganografia ou outras técnicas, é fácil incorporar malware em formatos de ficheiros comuns, como documentos do Office, imagens, vídeos, documentos PDF...


Estes podem ser tão simples como ligações de rastreio HTML ou malware complexo direcionado.


Podem ser simples imagens de tamanho de pixel escondidas nos seus e-mails que chamam um servidor remoto para tentar obter o seu endereço IP.


Podem estar a explorar uma vulnerabilidade num formato ou leitor desatualizado. Essas explorações podem ser utilizadas para comprometer o seu sistema.


Veja estes bons vídeos para obter mais explicações sobre o assunto:



Deve-se sempre usar de extrema cautela. Para mitigar estes ataques, este guia recomendará mais tarde o uso de virtualização (Ver Apêndice W: Virtualização) para mitigar a fuga de qualquer informação mesmo no caso de abrir um ficheiro malicioso.


Se quiser saber como tentar detetar esse tipo de malware, consulte o Apêndice T: Verificação de ficheiros quanto a malware


 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,651
Solutions
2
Reaction score
1,769
Points
113
Deals
666

Malware e Exploits nas suas aplicações e serviços.


Então, está a utilizar o Tor Browser ou o Brave Browser através do Tor. Pode estar a utilizá-los através de uma VPN para maior segurança. Mas deve ter em conta que existem explorações (hacks) que podem ser conhecidas por um adversário (mas desconhecidas do fornecedor da aplicação/navegador). Essas explorações podem ser utilizadas para comprometer o seu sistema e revelar detalhes para o desanonimizar, como o seu endereço IP ou outros detalhes.


Um caso real de utilização desta técnica foi o caso Freedom Hosting em 2013, em que o FBI inseriu malware utilizando uma exploração do browser Firefox num sítio Web Tor. Este exploit permitiu-lhes revelar detalhes de alguns utilizadores. Mais recentemente, houve o notável hack da SolarWinds, que violou várias instituições governamentais dos EUA através da inserção de malware num servidor oficial de atualização de software.


Nalguns países, o malware é simplesmente obrigatório e/ou distribuído pelo próprio Estado. É o caso, por exemplo, do WeChat na China, que pode depois ser utilizado em combinação com outros dados para vigilância estatal.


Existem inúmeros exemplos de extensões de browser maliciosas, aplicações para smartphones e várias aplicações que foram infiltradas com malware ao longo dos anos.


Aqui estão alguns passos para mitigar este tipo de ataque:


  • Nunca se deve confiar a 100% nas aplicações que se está a utilizar.
  • Deve verificar sempre se está a utilizar a versão actualizada dessas aplicações antes de as utilizar e, idealmente, validar cada transferência utilizando a respectiva assinatura, se disponível.
  • Não deve utilizar essas aplicações diretamente a partir de um sistema de hardware, mas sim utilizar uma Máquina Virtual para compartimentação.

Para refletir estas recomendações, este guia irá, portanto, orientá-lo mais tarde na utilização da Virtualização (Ver Apêndice W: Virtualização) para que, mesmo que o seu Navegador/Aplicações seja comprometido por um adversário experiente, esse adversário fique preso numa caixa de areia sem poder aceder a informações de identificação ou comprometer o seu sistema.
 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,651
Solutions
2
Reaction score
1,769
Points
113
Deals
666

Dispositivos USB maliciosos.


Existem dispositivos "badUSB" comerciais e baratos que podem instalar malware, registar a sua digitação, geolocalizá-lo, ouvi-lo ou obter o controlo do seu computador portátil apenas ligando-os. Eis alguns exemplos que já pode comprar.



Estes dispositivos podem ser implantados em qualquer lugar (cabo de carregamento, rato, teclado, chave USB...) por um adversário e podem ser utilizados para o localizar ou comprometer o seu computador ou smartphone. O exemplo mais notável deste tipo de ataques é provavelmente o Stuxnet em 2005.


Embora se possa inspecionar fisicamente uma chave USB, analisá-la com vários utilitários, verificar os vários componentes para ver se são genuínos, muito provavelmente nunca se conseguirá descobrir malware complexo incorporado em partes genuínas de uma chave USB genuína por um adversário experiente sem equipamento forense avançado.


Para atenuar esta situação, nunca se deve confiar em tais dispositivos e ligá-los a equipamentos sensíveis. Se utilizar um dispositivo de carregamento, deve considerar a utilização de um dispositivo de bloqueio de dados USB que apenas permita o carregamento, mas não qualquer transferência de dados. Esses dispositivos de bloqueio de dados estão atualmente disponíveis em muitas lojas online. Também deve considerar desativar completamente as portas USB na BIOS do seu computador, a menos que precise delas (se puder).
 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,651
Solutions
2
Reaction score
1,769
Points
113
Deals
666

Malware e backdoors no firmware do hardware e no sistema operativo.


Isto pode parecer um pouco familiar, uma vez que já foi parcialmente abordado anteriormente na secção A sua CPU.


O malware e as backdoors podem ser incorporados diretamente nos componentes de hardware. Por vezes, esses backdoors são implementados pelo próprio fabricante, como o IME no caso dos CPUs Intel. Noutros casos, esses backdoors podem ser implementados por um terceiro que se coloca entre as encomendas de novo hardware e a entrega ao cliente.


Esse malware e backdoors podem também ser implementados por um adversário utilizando exploits de software. Muitos deles são chamados de rootkits no mundo da tecnologia. Normalmente, estes tipos de malware são mais difíceis de detetar e mitigar, uma vez que são implementados a um nível inferior ao do espaço do utilizador e, muitas vezes, no próprio firmware dos componentes de hardware.


O que é o firmware? O firmware é um sistema operativo de baixo nível para dispositivos. Cada componente do seu computador tem provavelmente firmware, incluindo, por exemplo, as unidades de disco. O sistema BIOS/UEFI da sua máquina, por exemplo, é um tipo de firmware.


Estes podem permitir a gestão remota e são capazes de permitir o controlo total de um sistema alvo de forma silenciosa e furtiva.


Tal como mencionado anteriormente, estes são mais difíceis de detetar pelos utilizadores, mas, no entanto, podem ser tomadas algumas medidas limitadas para os atenuar, protegendo o seu dispositivo contra adulterações e utilizando algumas medidas (como, por exemplo, a atualização da BIOS). Infelizmente, se esse malware ou backdoor for implementado pelo próprio fabricante, torna-se extremamente difícil detectá-lo e desactivá-lo.
 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,651
Solutions
2
Reaction score
1,769
Points
113
Deals
666

Os seus ficheiros, documentos, imagens e vídeos.


Propriedades e metadados.


Isto pode ser óbvio para muitos, mas não para todos. A maioria dos ficheiros tem metadados associados. Um bom exemplo são as fotografias que armazenam informações EXIF que podem conter muitas informações, tais como coordenadas GPS, qual o modelo de câmara/telemóvel que a tirou e quando foi tirada com precisão. Embora estas informações possam não revelar diretamente quem é, podem dizer exatamente onde estava num determinado momento, o que pode permitir que outras pessoas utilizem diferentes fontes para o encontrar (CCTV ou outras imagens captadas no mesmo local e à mesma hora durante um protesto, por exemplo). É importante que verifique qualquer ficheiro que coloque nessas plataformas para detetar quaisquer propriedades que possam conter informações que o levem até si.


Eis um exemplo de dados EXIF que podem estar numa fotografia:
2021 07 22 17 11

Já agora, isto também funciona para os vídeos. Sim, os vídeos também têm geo-tagging e muitos desconhecem este facto. Aqui está, por exemplo, uma ferramenta muito conveniente para localizar geograficamente vídeos do YouTube: https://mattw.io/youtube-geofind/location [Archive.org]


Por este motivo, terá sempre de ter muito cuidado ao carregar ficheiros utilizando as suas identidades anónimas e verificar os metadados desses ficheiros.


Mesmo que publique um simples ficheiro de texto, deve sempre verificar duas ou três vezes se há fuga de informação antes de o publicar. Encontrará algumas orientações sobre este assunto na secção Algumas medidas adicionais contra a investigação forense, no final do guia.
 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,651
Solutions
2
Reaction score
1,769
Points
113
Deals
666

Marca de água.


Fotos/Vídeos/Áudio.


As imagens/vídeos contêm frequentemente marcas de água visíveis que indicam quem é o proprietário/criador, mas também existem marcas de água invisíveis em vários produtos que visam identificar o próprio espetador.


Por isso, se é um delator e está a pensar divulgar um ficheiro de imagem/áudio/vídeo. Pense duas vezes. É possível que estes contenham marcas de água invisíveis que incluam informações sobre si enquanto espetador. Essas marcas de água podem ser activadas com um simples interrutor como o Zoom (vídeo ou áudio) ou com extensões para aplicações populares como o Adobe Premiere Pro. Podem ser inseridas por vários sistemas de gestão de conteúdos.


Um exemplo recente de uma fuga de informação de uma gravação de uma reunião no Zoom que foi apanhada porque tinha uma marca de água: https://theintercept.com/2021/01/18/leak-zoom-meeting/ [Archive.org]


Estas marcas de água podem ser inseridas por vários produtos que utilizam esteganografia e podem resistir à compressão e à recodificação.


Estas marcas de água não são facilmente detectáveis e podem permitir a identificação da fonte apesar de todos os esforços.


Para além das marcas de água, a câmara utilizada para filmar (e, por conseguinte, o dispositivo utilizado para filmar) um vídeo também pode ser identificada através de várias técnicas, como a identificação da lente, o que pode levar à desanonimização.


Tenha muito cuidado ao publicar vídeos/imagens/arquivos de áudio de plataformas comerciais conhecidas, pois podem conter essas marcas de água invisíveis, para além de detalhes nas próprias imagens.

Impressão de marcas de água.


Sabia que a sua impressora provavelmente também o está a espiar? Mesmo que não esteja ligada a nenhuma rede? Este é um facto geralmente conhecido por muitas pessoas da comunidade de TI, mas poucas pessoas de fora.


Sim... As suas impressoras podem ser utilizadas para o desanonimizar, tal como explicado pela EFF aqui https://www.eff.org/issues/printers [Archive.org]


Com este vídeo (antigo, mas ainda relevante) da EFF a explicar como o fazer:
[Invidious]


Basicamente, muitas impressoras imprimem uma marca de água invisível que permite a identificação da impressora em cada página impressa. Não existe uma forma real de atenuar este problema, a não ser informar-se sobre a sua impressora e certificar-se de que esta não imprime qualquer marca de água invisível. Isto é obviamente importante se pretender imprimir anonimamente.


Aqui está uma lista (antiga, mas ainda relevante) de impressoras e marcas que não imprimem esses pontos de rastreio, fornecida pela EFF https://www.eff.org/pages/list-printers-which-do-or-do-not-display-tracking-dots [Archive.org]


Aqui estão também algumas dicas da documentação do Whonix(https://www.whonix.org/wiki/Printing_and_Scanning [Archive.org]):


Nunca imprima a cores, normalmente as marcas de água não estão presentes nos toners/cartuchos a cores.
 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,651
Solutions
2
Reaction score
1,769
Points
113
Deals
666

Informação pixelizada ou desfocada.


Alguma vez viu um documento com texto desfocado? Alguma vez gozou com aqueles filmes/séries em que eles "melhoram" uma imagem para recuperar informação aparentemente impossível de ler?


Bem, existem técnicas para recuperar informações de tais documentos, vídeos e imagens.


Aqui está, por exemplo, um projeto de código aberto que pode utilizar para recuperar texto de algumas imagens desfocadas: https://github.com/beurtschipper/Depix [Archive.org]
2021 07 22 17 15

Este é, obviamente, um projeto de código aberto disponível para todos utilizarem. Mas pode provavelmente imaginar que estas técnicas já foram utilizadas anteriormente por outros adversários. Estas técnicas podem ser utilizadas para revelar informações difusas de documentos publicados que podem depois ser utilizadas para retirar o seu anonimato.


Existem também tutoriais para a utilização destas técnicas com ferramentas de edição de fotografias, como o GIMP, por exemplo: https://medium.com/@somdevsangwan/unblurring-images-for-osint-and-more-part-1-5ee36db6a70b [Archive.org] seguido de https://medium.com/@somdevsangwan/deblurring-images-for-osint-part-2-ba564af8eb5d [Archive.org]

2021 07 22 17 15 1

Por fim, encontrará muitos recursos de remoção de borrões aqui: https://github.com/subeeshvasu/Awesome-Deblurring [Archive.org]


Alguns serviços online podem até ajudá-lo a fazer isto automaticamente até certo ponto, como a ferramenta de melhoramento do MyHeritage.com:


https://www.myheritage.com/photo-enhancer [Archive.org]


Aqui está o resultado da imagem acima:
2021 07 22 17 16

Claro que, neste momento, esta ferramenta é mais uma "adivinhação" do que uma verdadeira remoção de manchas, mas pode ser suficiente para o encontrar utilizando vários serviços de pesquisa de imagens invertidas.


Por este motivo, é sempre extremamente importante redigir e curar corretamente qualquer documento que pretenda publicar. A desfocagem não é suficiente e deve sempre ocultar/remover completamente quaisquer dados sensíveis para evitar qualquer tentativa de recuperação de dados por parte de qualquer adversário.
 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,651
Solutions
2
Reaction score
1,769
Points
113
Deals
666

As suas transacções de moedas criptográficas.


Ao contrário do que se pensa, as transacções de criptomoedas (como a Bitcoin e a Ethereum) não são anónimas. A maioria das criptomoedas pode ser rastreada com precisão através de vários métodos


Lembre-se do que dizem na sua própria página: https://bitcoin.org/en/you-need-to-know [Archive.org] e https://bitcoin.org/en/protect-your-privacy [Archive.org]:


"A Bitcoin não é anónima".


O principal problema não é configurar uma carteira de criptomoedas aleatória para receber alguma moeda atrás de um endereço VPN/Tor (neste ponto, a carteira é anónima). A questão coloca-se sobretudo quando se pretende converter dinheiro Fiat (euros, dólares...) em criptomoeda e depois quando se pretende trocar a criptomoeda. Terá poucas opções realistas a não ser transferi-las para uma bolsa (como a Coinbase/Kraken/Bitstamp/Binance). Estas bolsas têm endereços de carteiras conhecidos e manterão registos detalhados (devido aos regulamentos financeiros KYC) e podem então rastrear essas transacções criptográficas até si utilizando o sistema financeiro.


Existem algumas criptomoedas com a privacidade/anonimato em mente, como o Monero, mas mesmo essas têm alguns avisos a considerar.


Mesmo que utilize Mixers ou Tumblers (serviços especializados em "tornar anónimas" as criptomoedas, "misturando-as"), tenha em conta que se trata apenas de ofuscação e não de anonimato real. Não só são apenas ofuscação, como também podem colocá-lo em apuros, uma vez que pode acabar por trocar as suas criptomoedas por criptomoedas "sujas" que foram utilizadas em vários contextos questionáveis.


Isto não significa que não se possa utilizar a Bitcoin de forma anónima. Na verdade, pode utilizar a Bitcoin anonimamente, desde que não a converta em moeda real e utilize uma carteira Bitcoin de uma rede anónima segura. O que significa que deve evitar os regulamentos KYC/AML de várias bolsas e evitar usar a rede Bitcoin a partir de qualquer endereço IP conhecido. Ver Apêndice Z: Pagar anonimamente online com BTC.


De um modo geral, IMHO, a melhor opção para utilizar criptomoedas com razoável anonimato e privacidade continua a ser o Monero e, idealmente, não deve utilizar qualquer outra para transacções sensíveis, a menos que esteja ciente das limitações e riscos envolvidos. Por favor, leia este aviso de isenção de responsabilidade do Monero.
 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,651
Solutions
2
Reaction score
1,769
Points
113
Deals
666

Os seus serviços de sincronização/backups na nuvem.


Todas as empresas anunciam a utilização de encriptação de ponta a ponta (E2EE). Isto aplica-se a quase todas as aplicações de mensagens e sítios Web (HTTPS). A Apple e a Google anunciam a utilização de encriptação nos seus dispositivos Android e nos seus iPhones.


Mas e as suas cópias de segurança? Aquelas cópias de segurança automatizadas do iCloud/google drive que tem?


Bem, provavelmente deve saber que a maioria dessas cópias de segurança não são totalmente encriptadas de ponta a ponta e conterão algumas das suas informações prontamente disponíveis para terceiros. Verá as suas afirmações de que os dados estão encriptados em repouso e a salvo de qualquer pessoa... Exceto que, normalmente, eles próprios mantêm uma chave de acesso a alguns dos dados. Estas chaves são utilizadas para indexar o seu conteúdo, recuperar a sua conta e recolher várias análises.


Existem soluções forenses comerciais especializadas disponíveis (Magnet Axiom, Cellebrite Cloud) que ajudarão um adversário a analisar facilmente os seus dados na nuvem.


Exemplos notáveis:


  • Apple iCloud: https://support.apple.com/en-us/HT202303 [Archive.org]: "As mensagens no iCloud também usam encriptação de ponta a ponta. Se tiver a Cópia de Segurança do iCloud activada, a sua cópia de segurança inclui uma cópia da chave que protege as suas Mensagens. Isto garante que pode recuperar as suas Mensagens se perder o acesso ao Porta-chaves do iCloud e aos seus dispositivos de confiança. ".
  • Google Drive e WhatsApp: https://faq.whatsapp.com/android/chats/about-google-drive-backups/ [Archive.org]: "Os suportes e as mensagens dos quais faz uma cópia de segurança não estão protegidos pela encriptação de ponta a ponta do WhatsApp enquanto estiverem no Google Drive. ".
  • Dropbox: https://www.dropbox.com/privacy#terms [Archive.org]: "Para fornecer estas e outras funcionalidades, o Dropbox acede, armazena e analisa os seus dados. O utilizador dá-nos permissão para fazer isso, e essa permissão estende-se aos nossos afiliados e a terceiros de confiança com quem trabalhamos".
  • Microsoft OneDrive: https://privacy.microsoft.com/en-us/privacystatement [Archive.org]: Produtos de produtividade e comunicação, "Quando utiliza o OneDrive, recolhemos dados sobre a sua utilização do serviço, bem como sobre o conteúdo que armazena, para fornecer, melhorar e proteger os serviços. Os exemplos incluem a indexação do conteúdo dos seus documentos do OneDrive para que possa procurá-los mais tarde e a utilização de informações de localização para permitir a pesquisa de fotografias com base no local onde a fotografia foi tirada".

Não deve confiar os seus dados sensíveis (não previamente e localmente encriptados) aos fornecedores de serviços de computação em nuvem e deve desconfiar das suas alegações de privacidade. Na maioria dos casos, eles podem aceder aos seus dados e fornecê-los a terceiros, se assim o desejarem.


A única forma de atenuar esta situação é encriptar os seus dados e carregá-los apenas para esses serviços.
 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,651
Solutions
2
Reaction score
1,769
Points
113
Deals
666

Impressões digitais do seu navegador e dispositivo.


As impressões digitais do seu navegador e do seu dispositivo são um conjunto de propriedades/capacidades do seu sistema/navegador. São utilizadas na maioria dos sítios Web para rastreio invisível do utilizador, mas também para adaptar a experiência do utilizador do sítio Web em função do seu navegador. Por exemplo, os sítios Web podem proporcionar uma "experiência móvel" se o utilizador estiver a utilizar um navegador móvel ou propor uma língua/versão geográfica específica em função da sua impressão digital. A maioria destas técnicas funciona com navegadores recentes, como os baseados no Chromium (como o Chrome) ou o Firefox, exceto se forem tomadas medidas especiais.


Pode encontrar muitas informações pormenorizadas e publicações sobre este assunto nestes recursos:



Infelizmente, na maioria das vezes, essas impressões digitais serão únicas ou quase únicas para o seu navegador/sistema. Isto significa que mesmo que saia de um sítio Web e volte a entrar com um nome de utilizador diferente, a sua impressão digital pode permanecer a mesma se não tomar medidas de precaução.


Um adversário pode então utilizar essas impressões digitais para o seguir em vários serviços, mesmo que não tenha conta em nenhum deles e esteja a utilizar o bloqueio de anúncios. Estas impressões digitais podem, por sua vez, ser utilizadas para retirar o anonimato do utilizador se este mantiver a mesma impressão digital entre serviços.


Também é de salientar que, embora alguns navegadores e extensões ofereçam resistência às impressões digitais, esta resistência em si mesma também pode ser utilizada para obter impressões digitais, conforme explicado aqui https://palant.info/2020/12/10/how-...xtensions-tend-to-make-fingerprinting-easier/ [Archive.org]


Este guia atenuará esses problemas atenuando, ofuscando e randomizando muitos desses identificadores de impressões digitais usando a virtualização (consulte o Apêndice W: Virtualização) e usando navegadores resistentes a impressões digitais.
 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,651
Solutions
2
Reaction score
1,769
Points
113
Deals
666

Fugas de dados locais e análise forense.


A maioria de vós já deve ter visto dramas policiais suficientes na Netflix ou na televisão para saber o que é a ciência forense. Trata-se de técnicos (normalmente a trabalhar para as forças da ordem) que efectuam várias análises de provas. Isto, claro, pode incluir o seu smartphone ou portátil.


Embora estas análises possam ser feitas por um adversário quando já foi "queimado", também podem ser feitas aleatoriamente durante um controlo de rotina ou um controlo fronteiriço. Estes controlos não relacionados podem revelar informações secretas a adversários que não tinham conhecimento prévio de tais actividades.


As técnicas forenses são agora muito avançadas e podem revelar uma quantidade impressionante de informações dos seus dispositivos, mesmo que estes estejam encriptados. Estas técnicas são amplamente utilizadas pelas autoridades policiais em todo o mundo e devem ser tidas em conta.


Eis alguns recursos recentes que deve ler sobre o seu smartphone:



Também recomendo vivamente a leitura de alguns documentos na perspetiva de um examinador forense, tais como:



E, finalmente, eis este documento pormenorizado muito instrutivo sobre o estado atual da segurança IOS/Android da Universidade John Hopkins: https://securephones.io/main.html.


No que diz respeito ao seu computador portátil, as técnicas forenses são muitas e generalizadas. Muitos desses problemas podem ser atenuados através da utilização de encriptação total do disco, virtualização (Ver Apêndice W: Virtualização) e compartimentação. Este guia detalhará mais tarde essas ameaças e as técnicas para as mitigar.
 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,651
Solutions
2
Reaction score
1,769
Points
113
Deals
666

Má criptografia.


Há um adágio frequente na comunidade infosec: "Não faças a tua própria criptografia!".


E há razões para isso:


Pessoalmente, não gostaria que as pessoas fossem desencorajadas de estudar e inovar no domínio da criptografia por causa desse ditado. Por isso, em vez disso, recomendo que as pessoas sejam cautelosas com "Roll your own crypto", porque não é necessariamente uma boa criptografia.


  • Uma boa criptografia não é fácil e normalmente leva anos de investigação para ser desenvolvida e aperfeiçoada.
  • Uma boa criptografia é transparente e não é proprietária/fechada, pelo que pode ser analisada pelos seus pares.
  • A boa criptografia é desenvolvida com cuidado, lentamente e raramente sozinha.
  • A boa criptografia é normalmente apresentada e discutida em conferências e publicada em várias revistas.
  • A boa criptografia é extensivamente analisada por pares antes de ser libertada para utilização na natureza.
  • Utilizar e implementar corretamente a boa criptografia existente é já um desafio.

No entanto, isso não impede que alguns o façam de qualquer forma e publiquem várias aplicações/serviços de produção utilizando a sua própria criptografia ou métodos proprietários de código fechado.


  • Deve ter cuidado ao utilizar aplicações/serviços que utilizem métodos de encriptação de código fechado ou proprietários. Todas as boas normas de criptografia são públicas e revistas por pares e não deve haver qualquer problema em divulgar a que utiliza.
  • Deve ter cuidado com as aplicações/serviços que utilizam um método criptográfico "modificado" ou proprietário.
  • Por predefinição, não deve confiar em qualquer "Roll your own crypto" até que tenha sido auditado, revisto por pares, verificado e aceite pela comunidade criptográfica.
  • Não existe algo como "criptografia de nível militar".

A criptografia é um tópico complexo e uma má criptografia pode facilmente levar à sua desanonimização.


No contexto deste guia, recomendo que se mantenha a utilização de aplicações/serviços que utilizem métodos bem estabelecidos, publicados e revistos por pares.


Então, o que preferir e o que evitar a partir de 2021? Terá de procurar por si próprio os detalhes técnicos de cada aplicação e ver se estão a utilizar "criptografia má" ou "criptografia boa". Depois de obter os pormenores técnicos, pode consultar esta página para ver o que vale a pena: https://latacora.micro.blog/2018/04/03/cryptographic-right-answers.html [Archive.org]


Eis alguns exemplos:


  • Hashes:
    • Preferir: SHA256 (amplamente utilizado), SHA512 (preferido), ou SHA-3
    • Evitar: SHA-1, SHA-2, MD5 (infelizmente ainda muito utilizado, CRC, MD6 (raramente utilizado)
  • Encriptação de ficheiros/discos:
    • Preferir:
      • Acelerada por hardware: AES 256 Bits com HMAC-SHA-2 ou HMAC-SHA-3 (Isto é o que Veracrypt, Bitlocker, Filevault 2, KeepassXC e LUKS usam)
      • Não acelerado por hardware: O mesmo que o acelerado acima ou, se disponível, prefira o ChaCha20 ou o XChaCha20 (é possível usar o ChaCha20 com o Kryptor https://www.kryptor.co.uk, infelizmente ele não está disponível com o Veracrypt).
    • Evitar: Praticamente tudo o resto
  • Armazenamento de palavras-passe:
    • Preferir: argon2, scrypt, bcrypt, SHA-3 ou, se não for possível, pelo menos PBKDF2 (apenas como último recurso)
    • Evitar: SHA-2, SHA-1, MD5 nus
  • Segurança do navegador (HTTPS):
    • Preferir: TLS 1.3 (idealmente TLS 1.3 com suporte ECH/eSNI) ou pelo menos TLS 1.2 (amplamente utilizado)
    • Evitar: Qualquer outra coisa (TLS =<1.1, SSL =<3)
  • Assinatura com PGP/GPG:
    • Preferir ECDSA (ed25519)+ECDH (ec25519) ou RSA 4096 Bits*
    • Evitar: RSA 2048 bits
  • Chaves SSH:
    • ED25519 (preferido) ou RSA 4096 Bits*
    • Evitar: RSA 2048 bits
  • Aviso: Infelizmente, o RSA e o ED25519 não são vistos como "resistentes ao quantum" e, embora ainda não tenham sido quebrados, provavelmente serão quebrados algum dia no futuro. É provavelmente apenas uma questão de quando e não de se o RSA alguma vez será quebrado. Por isso, são preferidos nesses contextos devido à falta de uma opção melhor.

Aqui estão alguns casos reais de problemas de má criptografia:


 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,651
Solutions
2
Reaction score
1,769
Points
113
Deals
666

Políticas de não registo, mas de registo na mesma.


Muitas pessoas têm a ideia de que os serviços orientados para a privacidade, como os fornecedores de VPN ou de correio eletrónico, são seguros devido às suas políticas de não registo ou aos seus esquemas de encriptação. Infelizmente, muitas dessas mesmas pessoas esquecem-se de que todos esses fornecedores são entidades comerciais legais sujeitas às leis dos países em que operam.


Qualquer um desses fornecedores pode ser forçado a registar silenciosamente (sem o seu conhecimento (utilizando, por exemplo, uma ordem judicial com uma ordem de mordaça ou uma carta de segurança nacional) a sua atividade para o desanonimizar. Houve vários exemplos recentes:


  • 2021, servidores, registos e informações de contas da DoubleVPN apreendidos pelas autoridades policiais
  • 2021, o fornecedor de correio Tutanota, sediado na Alemanha, foi forçado a monitorizar contas específicas durante 3 meses
  • 2020, o fornecedor de correio Tutanota, sediado na Alemanha, foi forçado a implementar uma backdoor para intercetar e guardar cópias das mensagens de correio eletrónico não encriptadas de um utilizador (não desencriptaram a mensagem de correio eletrónico guardada).
  • 2017, a PureVPN foi forçada a divulgar informações de um utilizador ao FBI.
  • 2014, um utilizador da EarthVPN foi preso com base em registos fornecidos à polícia holandesa.
  • 2014, um utilizador do HideMyAss foi desanonimizado e os registos foram fornecidos ao FBI.
  • 2013, o fornecedor de correio eletrónico seguro Lavabit encerra as suas actividades depois de lutar contra uma ordem secreta de mordaça.

Alguns fornecedores implementaram a utilização de um Warrant Canary que permitiria aos seus utilizadores descobrir se foram comprometidos por tais ordens, mas, tanto quanto sei, ainda não foi testado.


Por último, sabe-se agora que algumas empresas podem ser patrocinadas por alguns adversários estatais (ver a história da Crypto AG e a história da Omnisec).


Por estas razões, é importante que não confie na sua privacidade a esses fornecedores, apesar de todas as suas afirmações. Na maioria dos casos, o utilizador será a última pessoa a saber se alguma das suas contas foi alvo de tais ordens e poderá nunca vir a saber.


Para atenuar esta situação, nos casos em que pretenda utilizar uma VPN, recomendarei a utilização de um fornecedor de VPN com pagamento em dinheiro/monopagamento em vez do Tor, para evitar que o serviço VPN conheça qualquer informação identificável sobre si.
 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,651
Solutions
2
Reaction score
1,769
Points
113
Deals
666

Algumas técnicas avançadas direccionadas.

Existem muitas técnicas avançadas que podem ser utilizadas por adversários qualificados para contornar as suas medidas de segurança, desde que já saibam onde se encontram os seus dispositivos. Muitas dessas técnicas estão descritas em pormenor em https://cyber.bgu.ac.il/advanced-cyber/airgap [Archive.org] (Air-Gap Research Page, Cyber-Security Research Center, Ben-Gurion University of the Negev, Israel) e incluem:


  • Ataques que requerem um malware implantado em algum dispositivo:
    • Exfiltração de dados através de um router infetado com malware:
      [Invidious]
    • Exfiltração de dados através da observação da variação de luz num teclado retroiluminado com uma câmara comprometida:
      [Invidious]
      • Exfiltração de dados através de uma câmara de segurança comprometida (que poderia primeiro usar o ataque anterior)
        [Invidious] (Invidioso)
      • Comunicação de um estranho para Câmaras de Segurança comprometidas através de sinais de luz IR:
        [Invidioso]
    • Exfiltração de dados a partir de um computador com ar condicionado comprometido através da análise acústica dos ruídos da ventoinha com um smartphone
      [Invidious]
    • Exfiltração de dados de um computador infetado com malware através de leds HD com um drone
      [Invidious]
    • Exfiltração de dados de um malware USB num computador com ar condicionado através de interferências electromagnéticas
      [Invidious]
    • Exfiltração de dados de uma unidade de disco rígido infetada com malware através de ruído acústico oculto
      [Invidious] (Invidioso)
    • Exfiltração de dados através de frequências GSM a partir de um computador com ar comprometido (com malware)
      [Invidious] (Invidioso)
    • Exfiltração de dados através de emissões electromagnéticas de um dispositivo de visualização comprometido
      [Invidious] (Invidioso)
    • Exfiltração de dados através de ondas magnéticas a partir de um computador com ar comprometido para um smartphone armazenado num saco de Faraday
      [Invidious] (Invidioso)
    • Comunicação entre dois computadores com ar comprometido utilizando ondas sonoras ultra-sónicas
      [Invidious]
    • Exfiltração da carteira Bitcoin de um computador com ar comprometido para um smartphone
      [Invidioso]
    • Exfiltração de dados de um computador com ar comprometido usando o brilho do ecrã
      [Invidious]
    • Exfiltração de dados de um computador com ar comprometido através de vibrações
      [Invidious] (Invidioso)
    • Exfiltração de dados de um computador com ar comprometido transformando a RAM num emissor de Wi-Fi
      [Invidious]
    • Exfiltração de dados de um computador comprometido com ar através de linhas eléctricas https://arxiv.org/abs/1804.04014 [Archive.org]
  • Ataques que não requerem malware:
    • Observar uma lâmpada à distância para ouvir o som na sala sem qualquer malware: Demonstração:
      [Invidious]

Aqui está também um bom vídeo dos mesmos autores para explicar esses tópicos: Black Hat, The Air-Gap Jumpers
[Invidious]


Realisticamente, este guia será de pouca ajuda contra esses adversários, pois esses malwares podem ser implantados nos dispositivos por um fabricante ou alguém no meio ou por qualquer pessoa com acesso físico ao computador com air-gap, mas ainda há algumas maneiras de mitigar essas técnicas:


  • Não realizar actividades sensíveis enquanto estiver ligado a uma linha eléctrica não fiável/não segura para evitar fugas na linha eléctrica.
  • Não utilize os seus dispositivos em frente a uma câmara que possa estar comprometida.
  • Utilize os seus dispositivos numa sala insonorizada para evitar fugas de som.
  • Utilize os seus dispositivos numa gaiola de faraday para evitar fugas electromagnéticas.
  • Não fale de informações sensíveis em locais onde as lâmpadas possam ser observadas do exterior.
  • Compre os seus dispositivos em locais diferentes/imprevisíveis/offline (lojas) onde a probabilidade de serem infectados com esse tipo de malware é menor.
  • Não permita que ninguém aceda aos seus computadores com ar condicionado, exceto pessoas de confiança.
 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,651
Solutions
2
Reaction score
1,769
Points
113
Deals
666

Alguns recursos bónus.


 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,651
Solutions
2
Reaction score
1,769
Points
113
Deals
666

Notas.


Se ainda não acha que essas informações podem ser utilizadas por vários actores para o localizar, pode ver algumas estatísticas relativas a algumas plataformas e ter em conta que estas apenas contabilizam os pedidos de dados legais e não contam coisas como o PRISM, o MUSCULAR, o SORM ou o XKEYSCORE explicados anteriormente:


 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,651
Solutions
2
Reaction score
1,769
Points
113
Deals
666

Preparações gerais.


Pessoalmente, no contexto deste guia, é também interessante dar uma vista de olhos ao seu modelo de segurança. E, neste contexto, só tenho um para recomendar:


Segurança Zero-Trust ("Nunca confie, verifique sempre").


Aqui estão alguns recursos sobre o que é a Segurança Zero-Trust:


 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,651
Solutions
2
Reaction score
1,769
Points
113
Deals
666

Escolher a sua rota.


Aqui está um pequeno diagrama UML básico que mostra as suas opções. Veja os detalhes abaixo.
2021 08 04 16 48
 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,651
Solutions
2
Reaction score
1,769
Points
113
Deals
666

Limitações de tempo.


  • Tem um tempo muito limitado para aprender e precisa de uma solução que funcione rapidamente:
    • A sua melhor opção é optar pela rota Tails (excluindo a secção de negação plausível persistente).
  • Tem tempo e, sobretudo, vontade de aprender:
    • Opte por qualquer via.
 
Top