A rede de internet do Palácio do Planalto foi usada para alterar os perfis, no site Wikipédia, de dois jornalistas renomados, Miriam Leitão e Carlos Alberto Sardenberg, incluindo calúnias e difamações. O fato ocorreu em maio de 2013, mas só agora foi tornado público. Em um primeiro momento, o Palácio do Planalto disse ser “tecnicamente impossível” identificar em sua rede o computador que fez a solicitação de acesso à enciclopédia virtual. E as alegações para tal impossibilidade acabaram chamando a atenção do público para um problema sobre os qual peritos digitais vêm alertando, desde o início das discussões do Marco Civil da Internet: conhecer o IP não é garantia de se chegar ao autor do delito.
Como? Há casos em que é impossível identificar o autor de um crime cometido na Internet? A verdade, nua e crua, é que sim, há. A questão é saber se o ocorrido no Planalto se encaixa ou não entre as exceções. Até porque, espera-se que a rede que serve à Presidência da República siga as boas práticas de mercado que recomendam preservar os registros para identificação inequívoca.
“O Planalto deveria ter pelo menos um proxy server, firewall, filtro de conteúdo ou mesmo, na pior das hipóteses, um roteador para que as pessoas conectadas a esse IP saíssem para a internet”, comenta Leandro Bennaton, executivo de segurança do Grupo Telefónica.
Nesse caso, seria possível identificar a máquina que fez o acesso por correlação de eventos, através do equipamento que gravou os registros (IP da rede interna) de acesso à página da Wikipédia naquele período de tempo e confrontar o DHCP server para identificar para qual estação estava atribuído e ao Active Directory para saber quem estava autenticado na estação.
Na opinião de Bennaton, mesmo que os logs tivessem sido apagados, seria possível descobrir quem os apagou e através de uma perícia forense tentar recuperar os dados, ou pelo menos parte deles. Aqueles que apontam o acesso à Wikipédia. Mas isso leva tempo.
O próprio servidor de rede deveria ser capaz de identificar o endereço físico do computador, conhecido como mac address. Uma prática muito comum, lembrada em entrevista à Globonews por Carlos Affonso Souza, diretor do Instituto de Tecnologia e Sociedade. Mas para isso, é preciso que esta informação seja preservada nos registros de log.
Impossibilidade de identificaçãoInicialmente, o Planalto chegou a alegar que a identificação seria impossível porque, até julho deste ano, os conteúdos da rede de internet eram armazenados por, no máximo, seis meses.
Também segundo o Planalto, o número IP do Palácio é o mesmo também para rede WiFi de acesso público. Ou seja, qualquer pessoa, mesmo que estivesse em visita ao Planalto, poderia ter realizado as alterações.
Dois problemas que, há muito, vêm preocupando os peritos e profissionais de segurança, sobretudo após a aprovação do Marco Civil da internet.
Nas últimas três semanas, participei de dois seminários sobre cibersegurança onde esses temas foram abordados. Em um deles, promovido pela PPP Treinamentos, os participantes discutiram muito o formato e o prazo obrigatório para a guarda de logs. O Marco Civil, já em vigor, obriga a guarda de logs por provedores de conexão (por 1 ano, portanto prazo inferior aos três anos estabelecidos pelo Código Civil) e provedores de conteúdo (por 6 meses).
Nas discussões aparece sempre a mesma dúvida. Empresas ou entidades que ofereçam acesso para funcionários e também para visitantes, estão sujeitas às mesmas regras dos provedores de conexão? O administrador da rede de uma empresa ou órgão público que ofereça acesso WiFi gratuito para clientes/visitantes, a partir da sua rede, é um provedor de conexão? Se sim, está impedido de bloquear, monitorar, filtrar ou analisar o conteúdo dos pacotes de dados?
Mais do que uma discussão penal ou civil, como fica o aspecto segurança, se alguém pode entrar na rede da empresa ou do órgão público (Planalto) para fazer algo que o administrador de rede não controla, não filtra, não monitora, não analisa?
Discussões à parte, as alegações do Planalto deixam algumas dúvidas no ar. Em nota, o governo afirma que só após a entrada em vigor da Lei 12.965 (Marco Civil), passou a ser obrigatório para todos os gestores de serviço de acesso à internet o armazenamento dos registros de conexão.
Isso significa que os logs de maio de 2013 já não existem mais? E, como estamos em agosto, não existiriam mesmo após a entrada em vigor do Marco Civil?
E quanto ao uso do Wifi? Quem usa a rede sem fio do Planalto não precisa se autenticar, identificar? Informações que permitissem o rastreamento do mac address não estariam mais disponíveis?
Possibilidades de identificação
Em entrevista à rádio CBN, na noite desta sexta-feira, Giuliano Giova, diretor do Instituto Brasileiro de Peritos, diz não acreditar que a rede do Planalto não tenha os logs de acesso de maio de 2013. Até porque, trata-se da mesma época das denúncias de Edward Snowden sobre a vigilância do governo americano da presidente Dilma Rousseff.
De acordo com o governo, a Secretaria de Administração da Presidência da República vai investigar o ocorrido, a partir de elementos colhidos pela Diretoria de Tecnologia. O procedimento tem prazo de 60 dias para sua conclusão. Tempo suficiente para seguir os passos descritos por Giova durante a entrevista, na opinião do próprio perito.
De acordo com Giova, a investigação desse caso deveria partir da identificação mais recente dos usuários da rede do Planalto que fazem acessos regulares à Wikipédia para fazer atualizações de verbetes (os registros de consulta e publicação são diferentes), e ir avançando no tempo, mais remotamente, até maio de 2013, ou até enquanto existirem registros. Outro caminho possível para a identificação do autor do delito é o exame de cada computador do Planalto que tenha feito acessos estranhos às suas atividades institucionais como alterar páginas na Wikipedia, já que os computadores costumam guardar históricos de acesso de mais de dois anos. Tarefa bem mais complexa e demorada, dependendo da quantidade de computadores existentes no Palácio.
“Vale lembrar que o Código Civil estabelece responsabilidade por 3 anos. Penso que isso se aplica também à Presidência da República, assim não bastam 6 meses”, lembrou Giova em conversa por por e-mail. “E que uma coisa é Internet outra é a segurança da rede interna doa Presidência da república, não é aceitável confundir a questão como se fossem a mesma coisa”.
Além de tudo isso, a operadora Oi é a empresa responsável pelo controle de incidentes do IP do Planalto. Possivelmente a própria Oi tenha um registro destes acessos, lembra o perito.
Hoje, Giova voltou a falar a respeito em entrevista para a Globonews.
Apuração
Nessa sexta-feira, 8/8, o secretário-geral da Presidência da República, ministro Gilberto Carvalho, classificou as alterações nos perfis dos profissionais de imprensa como um ato “abominável” e garantiu que o fato será apurado.
“Da nossa parte, nós faremos todo o possível para procurar encontrar um responsável e o punir duramente, porque isso não é aceitável na democracia, contra qualquer cidadão, e sobretudo contra profissionais de imprensa que são expostos. Apurar nos interessa, porque uma situação dessa só faz mal para nós”, acrescentou o ministro.
Hoje (9/8), a presidente Dilma também condenou o uso da rede do Planalto para alteração de perfis de jornalistas na Wikipédia.
A presidente determinou à Casa Civil uma investigação com a participação do Instituto Nacional de Tecnologia da Informação (ITI), do Ministério da Justiça, da Polícia Federal, da Secretaria-Geral da Presidência e da Controladoria-Geral da União (CGU).
“Eu, particularmente, acho, pela experiência que a gente sabe que existe, que é possível descobrir. Não vou chegar e falar ‘vai ser descoberto’, mas acho que é possível descobrir”, acrescentou.
Muita gente com quem conversei concorda que, em tese, é possível sim, decoibrir o responsável, especialmente em uma rede controlada como deve ser a do Planalto.
NAT e CGNAT
A propósito, outra situação muito comum hoje, que dificulta a vida dos peritos forenses digitais, é a de condomínios, empresariais ou residenciais, com redes unificadas, na qual se tem um IP e NAT distribuído para todo os condôminos. Nesses casos, a identificação do terminal que foi utilizado para a prática criminosa pode ser muito difícil. A identificação do IP, pura a simplesmente, serve para muito pouco. É preciso conhecer também a porta utilizada durante a conexão.
Ouvi queixas de peritos forenses sobre o uso de NAT tanto no seminário da PPP Treinamentos, quanto no VI Congresso Fecomercio de Crimes Eletrônicos e Formas de Proteção realizado pela FecomercioSP. Especialmente diante do uso generalizado do Carrier Grade NAT (CGNAT) pelas empresas de telecomunicações.
Como bem lembra Everson Probst, em texto publicado no blog “Queira o Sr. Perito”, o Marco Civil não obriga os provedores de conexão a adicionarem aos registros de conexões a informação sobre a porta utilizada, embora seja esperado que o façam. A questão é que “mesmo que a empresa de telecomunicação guarde junto com os registros de conexão a porta utilizada, se somente o endereço IP com data e hora for informado em um processo de quebra de sigilo, a empresa de telecomunicações pode ser incapaz de cumprir com a obrigação de informar o usuário da conexão”.
Responsabilidades
Há ainda mais uma questão que também tem sido muito debatida: na impossibilidade de identificação inequívoca, o dono do IP responde pelo delito cometido através da sua rede? Em alguns casos, a lei é clara em prever que a responsabilidade é do responsável pela conexão à Internet (empresa ou usuário doméstico). Mas não é bem assim quando se ingressa no campo penal.
O dono do IP pode ser responsabilizado na esfera cível por negligência em relação aos cuidados que deveria ter tomado em sua rede de Internet sem fio, que acabou sendo utilizada para fins ilícitos. Mas até essa discussão envolve uma série de questões, segundo o advogado Paulo Sá Elias.
“Quando se fala em crime, há necessidade de se levar em conta as diferenças de tratamento que são dadas à verdade no processo penal. Há que procurar pela verdade processualmente válida, ou seja, a existência material do fato, do nexo de causalidade e todos os elementos que são indispensáveis para se atribuir um fato criminoso a alguém. Tanto é verdade, que a decisão na esfera penal prevalece sobre decisões cíveis e/ou administrativas. Como dizia o jurista Luiz Vicente Cernicchiaro, O processo penal, ao contrário do processo civil, não transige com o princípio da verdade real’”, explica Elias.
Na opinião do advogado, esse episódio só poderá gerar os efeitos penais que estão sendo ventilados pela imprensa, no tocante aos crimes contra a honra, se realmente for provado o nexo de causalidade, ou seja, que determinada conduta, gerou tal resultado e a autoria seja realmente identificada.
“A responsabilidade civil pode até cair sobre o responsável por uma rede de Internet sem fio desprotegida (por conta da negligência do proprietário), mas jamais será possível ver a responsabilidade criminal recair sobre ele sem que se tenha certeza da autoria, nexo de causalidade, etc”, afirma Elias.
Segundo o advogado, até mesmo a responsabilidade civil por negligência em relação aos cuidados que se deve tomar na disponibilização de uma rede de Internet sem fio gera uma série de discussões. A falha de acesso que a possibilitou prática de ato ilícito pode ter ocorrido em decorrência de um defeito de hardware e software, por exemplo. “Lembro-me de roteadores de uma determinada marca, que mesmo após o usuário ter configurado a senha para acesso, o roteador apresentava um defeito e voltava às configurações originais de fábrica, abrindo a rede sem fio sem exigência de senha, contra a vontade do proprietário que nesse caso não foi negligente, nem imprudente e nem apresentou imperícia. Seguiu todos os passos corretamente, mas a falha do equipamento gerou o problema. O proprietário pode ser responsabilizado sozinho até nesses casos? Eu não aceitaria uma tese como essa”, explica Elias.
Definitivamente, há muito o que se debater a respeito.