Encontrei esse artigo repostado pelo @LibertariaSal no Twitter (o post original está no fim deste artigo), senti a necessidade de compartilhar, mas queria fazer isso de forma descentralizada aqui no Nostr. Por se tratar de um tema no qual tenho grande interesse pessoal (segurança e privacidade) e também por ser uma das minhas áreas de atuação profissional dentro da tecnologia, acabei optando por não só compartilhar esse artigo, mas também fazer as minhas considerações pessoais.

Espero que não só gostem dessa leitura, mas como também consigam extrair dessas dicas o conhecimento necessário para dar os primeiros passos no controle da sua infomação.

O artigo original está completo aqui, sendo citado em quote (quando for trechos integros do original).

Como, por exemplo, hackers conseguem mandar conteúdo ilegal para a Internet enquanto continuam anônimos?

⚠️ Atenção: este artigo não encoraja ou aprova atividades ilegais, independente da sua natureza. Este artigo foi feito apenas para fins informativos e educacionais.

Antes de tudo, é importante saber duas coisas:

1. Não existe anonimato perfeito e infalível. O que se pode fazer é minimizar as chances de ser identificado usando várias camadas de proteção.

2. Nenhuma ferramenta sozinha vai fazer milagres. Como foi dito, uma combinação de métodos, técnicas e ferramentas serão usadas.

Logo de cara o autor já quebra a idéia de que existe uma "ferramenta mágica" que irá resolver todos os seus problemas de segurança e anonimato na internet. Não. Isso não existe. A segurança da informação demanda uma série de medidas em camadas que resultam em um determinado nível de eficiência a depender de como foram adotadas.

Com isto em mente, vamos ao que interessa.

1 - Sistemas operacionais anônimos

Começando pelo básico: o sistema operacional.

Primeiramente, esqueça o Windows. Seu código é fechado, fora a coleta de dados, as vulnerabilidades e a falta de funcionalidades voltadas para o anonimato. E, apesar de mais seguras, distros populares do Linux não são projetadas para o anonimato.

Windows? Tô fora, pego meu Qubes-Whonix e vou embora.

Isso me parece óbvio, mas por incrível que pareça, muitas pessoas do meio ainda não entenderam que não se deve utilizar sistemas operacionais da Microsoft (Windows). Sim, o Windows não é seguro! Além de não ser uma ferramenta segura, ele não é confiável em todos os seus aspectos, não sendo recomendado (na minha opinião) para nenhum tipo de usuário, nem mesmo o mais simples e comum. Dê sempre preferência aos SOs (sistemas operacionais) que sejam de código aberto e especialmente os que são voltados a segurança, como os exemplos dados pelo autor. Mas tenha em mente que sistemas Linux em geral costumam ser uma pedida melhor. Mesmo os mais comuns como Ubuntu ou Debian são opções muito mais confiáveis e poderosas que qualquer sistema já produzido pela Microsoft.

Como recomendação, o usuário pode escolher sistemas operacionais focados no anonimato e privacidade, como o Tails, o Qubes e o Whonix, cada um com suas especificidades.

• Tails: feito para ser executado via Live USB e não deixar rastros no seu computador. A cada reinicialização, todas as informações são perdidas.

• Whonix: feito para ser executado via máquina virtual (VM). Todo o tráfego de rede é passado pela rede Tor e sua configuração é relativamente simples.

• Qubes: sua segurança é baseada no isolamento e pode ser instalado como sistema operacional principal. Sua configuração é avançada mas é muito seguro.

Confesso que das três sugestões dadas pelo autor, eu só conhecia uma, mas é bem interessante conhecer as três opções. Aliás, elas parecem se complementar, te dando a possibilidade de ter controle sobre seu ambiente em diferentes situações. O autor explica isso melhor a seguir.

Eu acrescentaria apenas uma opção também para mobile, como o GrapheneOS que é um sistema operacional para mobile baseado em Android e completamente open source, feito com foco em privacidade.

Se quiserem conhecer outras opções de SOs para mobile, deem uma olhada neste artigo, ele dá ótimas opções com uma breve descrição de cada uma.

Whonix (esquerda), Tails OS (meio) e Qubes OS (direita). Fonte: 4n6lady

Se o computador do usuário tem os requisitos mínimos, uma boa opção é instalar o Qubes como sistema principal e configurar o Whonix em cima (Qubes-Whonix) usando o KVM.

• Guia de instalação do Qubes
• Guia de instalação do Whonix para KVM

Qual é o limite para o cuidado, não é mesmo? A resposta para essa pergunta é bastante pessoal e eu aconselho a você buscar dentro de si. Agora, caso esteja interessado na minha opinião, me parece ser um pouco de exagero (sem falar no desperdício de recurso computacional) montar um ambiente como o sugerido acima. Calma, eu explico. O Qubes OS por si só já utiliza como premissa o isolamento através de contêineres que são espécies de máquinas virtuais (assim como seria no KVM), ou seja, os componentes do Qubes já rodam de forma isolada e ele já garante um alto nível de segurança e privacidade. Rodar o KVM dentro do Qubes seria literalmente rodar uma VM (Virtual Machine) dentro de outra VM, o que exigira uma quantidade significativa de recurso computacional para ser algo utilizável. Isso aumentaria a segurança? Sim. Seria uma camada a mais para um possível invasor atravessar, mas a um custo que talvez não compense o possível benefício, mas deixo isso ao critério de cada um avaliar.

Mas calma lá, o autor cita o Qubes-Whonix, que tem até documentação oficial entre os dois sistemas e tudo mais. E aí? Bom, essa combinação de fato existe e a proposta feita pelos sistemas é de acrescentar Whonix na lista de "TemplateVMs", desta forma ele poderia ser rodado pelo Qubes em suas VMs assim como qualquer outra das suas opções (Fedora, Debian, Arch Linux e etc). Isso é ligeiramente diferente de você usar o Whonix no KVM dentro de uma VM no Qubes. Mas enfim...

Lembre sempre: A decisão é sua e a responsabilidade também.

Caso contrário, ele pode instalar uma distribuição do Linux mais leve e configurar o Whonix da mesma forma.

Ou se o usuário estiver usando um computador em que ele não pode deixar rastros, o Tails via Live USB é o melhor neste caso.

• Guia de instalação do Tails

Só uma observação sobre a dica do Tails: Esse "SO de bolso" é sem dúvidas uma mão na roda do caramba! Além de te dar um SO que não deixa rastros na máquina, você também tem uma ferramenta que pode te ajudar na recuperação de dados ou na análise de problemas de hardware (quem já teve que rodar qualquer Linux em modo live, sabe do que estou falando). Simplesmente fantástico, não é? Mas como tudo na vida, temos que tomar alguns cuidados para a coisa ser realmente efetiva. Se você visitar a página oficial do Tails eles já te alertam sobre isso. Apesar de o SO em si ser bastante seguro e não deixar rastros, você ainda precisa tomar cuidado quanto ao hardware que está usando. Então, não vai achando que basta plugar ele no PC da LAN house (Isso ainda existe? 🤔) que você já pode ir acessar sua carteira de Bitcoins sem preocupações. Hardwares maliciosos ainda podem conseguir roubar seus dados e além disso, se o Tails não tiver sido instalado de forma segura, pode ter suas características comprometidas. Então... cuidado!

2 - Tor, Proxy e VPN

Fonte: AVG

A rede Tor é um sistema projetado para manter seu anonimato enquanto o usuário navega pela Internet. Este sistema roteia os dados enviados através de uma série de servidores voluntários, dificultando a identificação do usuário e o rastreio das suas atividades. Em uma analogia simples, o Tor é uma espécie de túnel que esconde suas informações de terceiros.

Caminho feito pelos dados do cliente

Se você quer aprender mais sobre o Tor, recomendo o seguinte artigo:
Como pegar criminosos na rede Tor.

Para navegar pela rede Tor, é preciso usar um navegador especial chamado Tor Browser.

De fato, o Tor é uma ferramenta incrível, mas o autor se equivoca aqui ao afirmar que você "precisa" usar o Tor Browser para navegar usando a rede Tor. Na verdade existem outros browsers e softwares que te permitem utilizar a segurança da rede Tor. Um exemplo desses é o navegador Brave que já faz integração com o Tor nativamente, mas, além dele, temos várias aplicações voltadas a segurança e anonimato que também possuem suas próprias implementações e integrações com esse recurso. Outra boa opção para Android é o Orbot, um aplicativo que te permite tornar anônimo todo o trafego dos aplicativos do seu celular. Recomendo utilizar esse tipo de recurso sempre que quiser fugir de algum firewall ou esconder suas interações na web (o que deveria ser sempre que possível, afinal só interessa a você o que faz ou com quem interage na internet).

Além do Tor, existem os servidores proxy e as VPNs (Virtual Private Network), ou redes virtuais privadas. Assim como o primeiro, ambos atuam como intermediário entre seu dispositivo e o servidor de destino, dificultando o rastreio da sua identidade.

Conexão comum (topo), Proxy (meio) e VPN (embaixo). Fonte: excurl

Cada um dos três (Tor, VPN e Proxy) possui características próprias. Por exemplo, as principais diferenças entre VPN e servidores proxy são (Kaspersky):

1. As VPNs trabalham a nível de sistema operacional, assim todos os dados do dispositivo passam pela VPN. No caso de servidores proxy, apenas os dados das aplicações configuradas passam por eles.
2. As VPNs criptografam os dados, protegendo as informações de terceiros, como ISPs (provedores de Internet) e governos.

Combinando Tor, VPN e Proxy

Apesar de contraintuitivo, ⚠️ não é recomendado combinar Tor com VPN ou Proxy, com exceção de alguns casos específicos, porque dependendo da configuração, vulnerabilidades surgem.

A própria equipe do Tor não recomenda o uso do Tor com VPNs (Can I use a VPN with Tor?). Por isso, é bom pesquisar e conhecer bem sobre possíveis combinações e riscos antes de misturar as tecnologias. Seguem alguns links com informações sobre o assunto:

• TorPlusVPN (Tor Project)
• Whonix - Tunnels

Escolhendo VPNs e Proxies

Tela do IVPN

Ao escolher usar VPN ou proxy, o usuário precisa confiar em sua escolha devido à possibilidade de coleta de dados e à necessidade de pagamento (falaremos disso na segunda parte), o que pode levar à perda do anonimato.

Dentre as VPNs focadas em privacidade, existem o Mullvad e o IVPN. Sobre os servidores proxy, é interessante pesquisar sobre os servidores públicos e os privados e a confiabilidade das opções.

Bom, aqui o autor deixa claro que irá falar mais sobre esses temas na segunda parte. Mas adianto que independente de qual solução você escolha, é importante lembrar que sempre ao navegar na internet usando soluções que criam pontos intermediários entre você e o servidor final (o caso do Tor, proxy e VPN), você deve tomar o cuidado de garantir a criptografia dos dados trafegados de ponta-a-ponta. Entenda melhor como isso funciona aqui.

3 - Tor + obfs4

Tor Bridges (ou pontes). Fonte: Tor Project

O usuário pode configurar o obfs4, um protocolo que disfarça o tráfego Tor como tráfego criptografado comum e atrapalha provedores de Internet de descobrirem o uso da rede Tor.

Você encontra mais informações sobre o obfs4 e outras opções no site oficial do Tor Project:

• Tor Project - Bridges
• Tor Project - Get Bridges

4 - E-mails e telefones descartáveis

E-mails e/ou telefones descartáveis ajudam a manter o anonimato, pois podem ser facilmente criados e descartados sem vazar dados pessoais. Um exemplo de serviço de e-mail temporário temp-mail.org.

E-mails anônimos são indispensáveis para qualquer um que quiser manter sua privacidade e anonimato na internet. O Tempmail é uma das várias soluções de e-mail temporário que você acha na internet, assim como o Yopmail que é bem conhecido também e faz basicamente a mesma coisa. No entanto, essas soluções tem algumas limitações. A maior delas sem sombra de dúvidas é o fato de que só podem ser utilizadas para o recebimento de e-mails e não para o envio. O que pode ser bastante frustrante para algumas pessoas. Por essas e outras, recomendo também você fazer uso de soluções de e-mail seguras e anônimas como o Protonmail.

A Proton é uma empresa de tecnologia focada em soluções de privacidade como e-mail, VPN, Clouds e etc. Eles tem políticas de privacidade bem interessantes e te permitem criar um e-mail completamente funcional de forma anônima, ou seja, sem que tenha que informar nenhum dado pessoal! Além disso, eles tem uma versão ".onion" (sites nativos da rede onion, completamente anônimos que só podem ser acessados via Tor, veja mais) do seu site, o que mostra seu compromisso com a privacidade. Apesar de todas essas características, é importante lembrar de que se trata de um "terceiro confiável" que está sujeito as regras e leis do governo do país onde está sediado. Então, tenha atenção e cuidado.

Página do Temp-mail.org

Além disso, em alguns países, é possível comprar chips pré-pagos sem fornecer dados, ao contrário do Brasil, onde é necessário fazer um cadastro para ativar a linha.

Ta aí algo que gostaria de ter acesso no Brasil. Um recurso de linha telefônica temporária e descartável que fosse completamente anônima. Ainda não conheço nada do tipo na internet que funcione de verdade. Se você souber, comenta aí.

5 - Contas e atividades separadas

Outro ponto muito importante para o anonimato é criar contas separadas para cada site, fórum, atividade etc. e nunca misturar as informações ⚠️, principalmente sobre vida pessoal e “vida digital”. Quanto maior a separação, melhor.

Preciso dizer mais alguma coisa? Se você quer anonimato, então não misture com sua vida pessoal!

Assim como a água e o óleo, vida digital e pessoal não devem se misturar

É possível também ter dispositivos separados (por exemplo, um computador só para hackear) e conexões / redes separadas, o que traz ainda mais segurança.

Apesar do autor usar o termo "hackear", eu diria que ter dispositivos dedicados a atividades e tarefas que exigem maior sigilo, é uma ótima prática para a segurança e privacidade em geral.

Você pode até pensar: "Ah, mas eu não tenho dinheiro para comprar vários computadores super maneiros para manter meus dados completamente separados. O que eu faço?". Tá bom. Calma. Todos nós sabemos que isso é algo quase impraticável no Brasil, mas existem algumas formas "mais baratas" de você conseguir isolar seus ambientes. A eficiência disso, é claro, vai depender do seu nível técnico e criatividade. Explico...

Até aqui no artigo já foram dadas várias dicas úteis e se você pegou elas, já pode ter tido algumas ideias. Uma delas, por exemplo, é o Qubes OS. Com ele você poderia separar seus ambientes em VMs. Dessa forma, embora ainda esteja usando a mesma máquina física, para os ambientes seria como estar em máquinas diferentes.

Outra opção poderia ser utilizar máquinas velhas ou celulares velhos para determinadas atividades. Sabe aquele seu computador antigo? Ou o celular antigo do seu pai? Você poderia instalar um SO seguro em um equipamento desses e utilizar para atividades que exijam mais discrição, de forma a não misturar com suas atividades pessoais e profissionais do dia-a-dia.

6 - Gerenciador de senhas

Ao criar diversas contas, surge outro problema: senhas demais para se lembrar (reusar senhas é um grave erro). Mas isto é facilmente resolvido com gerenciadores de senhas.

Este é um tema muito importante e ao mesmo tempo um pouco polêmico (talvez nem tanto assim), já que o uso de gerenciadores de senhas é algo que divide opiniões. Vamos ver um pouco sobre isso.

Gerenciadores de senhas guardam diversas senhas em uma espécie de cofre criptografado, além de conseguirem gerar senhas fortes e únicas, armazenar outras informações sensíveis etc.

Gerenciador de senhas KeePass

Um ótimo exemplo de gerenciador de senhas open-source, offline e seguro é o KeePass (imagem acima).

Para configurar o KeePass é bem simples:

1. Baixe e instale o KeePass
2. Crie um banco de dados: vá em Novo e salve seu novo banco de senhas
3. Defina uma chave mestra: é recomendado usar a opção de senha padrão. Escolha uma senha que seja forte, única e que seja fácil de lembrar.

Pronto. Com estes três passos, é possível gerenciar contas e senhas de forma segura.

Parece bom não é? Um cofre criptográfico que te permite guardar senhas extremamente complexas e seguras, sem que você tenha a preocupação de ter que se lembrar de todas elas. Mas vamos ver alguns pontos juntos aqui.

Mas antes, um lembrete!

⚠️⚠️⚠️ Longe de mim querer te dizer como você deve gerenciar as suas senhas ou qual a forma mais segura e eficiente de você fazer isso. A questão aqui não é dar um caminho definitivo, mas apresentar prós e contras das opções mais comumente adotadas por pessoas interessadas na área.

No final, a decisão é completamente sua! ⚠️⚠️⚠️

Aviso dado, vamos adiante.

Essa é, sem sombra de dúvidas, uma das soluções preferidas de quem gerencia muitas contas com alto nível de sigilo e segurança. De fato, quando você encripta de forma correta seus dados (no caso, um banco de dados de senhas) se torna quase impossível para um eventual atacante conseguir ter acesso a aquela informação sem possuir a devida chave para decriptar as informações. Para as soluções como KeePass, essa seria a "chave mestra" citada pelo autor. Com ela você conseguiria decriptar os dados e ter acesso efetivo as informações ali contidas. E bom... É aí que mora o problema.

Quando você faz uso de um gerenciador de senhas, embora por um lado você passe a poder usar senhas extremamente fortes para suas necessidades, por outro você passa a ter um ponto de centralização de segurança, o que por definição, não é uma boa prática na segurança da informação.

Pensa comigo! Se você fosse um atacante objetivado em descobrir os segredos e dados de uma pessoa em específico, não seria mais interessante focar todo o seu esforço em tentar descobrir uma única senha (a chave mestra) do que tentar descobrir variadas senhas para os diversos serviços e dispositivos que aquela pessoa utiliza? Quer dizer, nem sempre o atacante sabe o que está procurando e isso é uma vantagem para você. A partir do momento em que ele conseguir (hipoteticamente) acessar seu banco de chaves, ele passa a ter acesso a todas as suas chaves e todos os seus segredos de uma única vez, podendo literalmente ser você no mundo digital.

Você acha que é esperto demais para deixar um hacker qualquer roubar sua chave mestra? Bom, vamos ver dois casos que podem ou não estar conectados, que nos leva a refletir sobre essa certeza:

O primeiro caso ocorreu em novembro de 2022, quando uma grande empresa de segurança teve um dos seus produtos hackeados. O gerenciador de senhas LastPass teve parte de seu código fonte roubado, juntamente com dados e até senhas de clientes, o que causou um grande pânico em seus usuários na época (e até hoje eu acredito que a situação seja delicada). Tem muitas notícias sobre o caso pela internet, mas você pode ver mais sobre isso aqui.

O segundo aconteceu já em janeiro desse ano (2023). Logo no comecinho do ano, um dos mais relevantes desenvolvedore do Bitcoin (que inclusive era famoso por seus conhecimentos em hacking e segurança) o LukeDashjr teve sua chave PGP juntamente com mais de 216 BTCs roubados por um hacker. Até hoje não se sabe muito sobre o caso, as notícias que achei foram todas da época, mas uma das hipóteses levantadas é que Luke poderia ser uma das vítimas do vazamento da LastPass. Uma matéria da época aqui explicando melhor o caso.

Bom, talvez esses dois casos em nada tenham a ver com a proposta apresentada aqui pelo autor, mas no mínimo nos leva a considerar que pontos centralizados de segredos são os alvos favoritos de hackers e que mesmo usuários avançados podem ter seus segredos roubados.

🚨 Mas lembre-se:

• Anotar a senha é uma vulnerabilidade enorme. Por isso é bom escolher senhas complexas mas que possam ser lembradas
• Se você esquecer a senha, não tem como acessar o banco, porque se isso fosse possível, o KeePass não seria seguro.

Após ter levantado tantas dúvidas sobre a questão de armazenamento de senhas, vou deixar aqui um breve vídeo que explica um pouco sobre um novo padrão criado por brasileiros e que pode ser que resolva esse nosso probleminha, o padrão Formosa.

⚠️ Não perca a parte 2, que sai dia 05/07, em que eu vou falar sobre conceitos e técnicas mais avançados e que são pouco falados como:

• OpSec
• Anti-forensics
• Spoofing e muito mais!

7 - Gerador de keys Nostr

⚠️Esse tópico é totalmente por minha conta e não faz parte do artigo original do autor.⚠️

Se você está lendo isso, provavelmente já conhece o Nostr e possivelmente sabe de suas características de segurança e privacidade. Então, não vou falar sobre isso aqui (pesquise e leia mais sobre o assunto por sua conta).

O que quero apresentar aqui é um aspecto que muitos usuários do Nostr negligenciam no início da sua jornada, o que pode comprometer significativamente sua segurança e anonimato no protocolo. Estou falando da geração segura da sua private key.

Uma forma segura de gerar sua identidade no Nostr.

Pensando nisso, eu iniciei um projeto chamado Secret Border que tem como objetivo te dar uma ferramenta segura e simples para gerar sozinho suas próprias keys e mantê-las guardadas em segurança.

Com essa ferramenta você terá acesso a recursos para uma geração segura e controlada da sua private key Nostr. Tais como:

• Utilização completamente offline.
• Algoritmo de geração cryptographically strong pseudo-random number generator (CSPRNG).
• Nenhum registro em disco do seu segredo (a menos que você solicite isso).
• Você pode fazer um backup do seu segredo em um arquivo criptografado com senha (que você define).
• Código completamente open source.
• Criptografia do arquivo de backup usando AES256.
• Entrada de entropia pelo usuário no processo de geração da chave (se você quiser).

Entre outras coisas.

O Secret Border ainda não tem uma documentação oficial explicando passo-a-passo, mas é extremamente simples e intuitivo, a interface é bem objetiva, e apesar de estar somente em inglês, você vai conseguir entender tudo que está acontecendo. Você pode visitar o projeto e obter ele aqui.

Ok. Você pode não querer usar a minha ferramenta por qualquer razão que seja, mas isso não muda o fato de que é necessário tomar os cuidados na geração da sua key. Então, te apresento uma solução alternativa que é utilizar o Openssl. Você pode ver um guia sobre como fazer isso aqui além de outras opções igualmente interessantes. O Dov do Bitconheiros fez um vídeo, sobre o assunto (você pode ver ele aqui). Aliás, eu cheguei a conversar com o Dov após esse vídeo, para pedir algumas sugestões para o Secret Border.

Bom, terminamos essa primeira parte do artigo.

Realmente o autor nos apresenta uma série de boas sugestões que efetivamente vão elevar o nível de segurança e privacidade de qualquer pessoa que as utilizar corretamente.

De fato, eu gostei muito de comentar cada dica e espero ter acrescentado informações relevantes para otimizar o seu aprendizado.

Agradeço pela paciência e sinta-se a vontade para comentar e me contatar se for o caso.

Obrigado.

Artigo original escrito por sql1njection.

Versão SAL no twitter: