#

criptografia

(20 articles)

Democracia em erosão

## Da degradação do diálogo público às novas infraestruturas de liberdade ## Introdução — quando falar deixou de convencer As democracias liberais atravessam um paradoxo histórico. Nunca foi tão fácil falar, publicar e se expressar. Ainda assim, o diálogo público tornou-se mais pobre, mais agressivo e menos capaz de produzir consensos mínimos ou decisões legítimas. O problema central não é a escassez de vozes, mas a **erosão das condições que tornam a palavra politicamente eficaz**. Essa degradação não ocorre, na maior parte do Ocidente, por meio de golpes ou censura explícita. Ela avança de forma incremental, por meio de mudanças nos incentivos econômicos, na arquitetura tecnológica e nas normas sociais. Como alertava Hannah Arendt, regimes livres raramente colapsam quando a liberdade é abolida de uma vez; eles se esvaziam quando **pensar e discordar passam a ter custo social elevado**, mesmo sem coerção formal. --- ## I. O diálogo democrático no século XX: imperfeito, mas funcional Ao longo do século XX, especialmente no pós-guerra, as democracias liberais funcionaram apoiadas em um conjunto relativamente estável de mediações. O conflito político era intenso, mas institucionalizado. A imprensa comercial, financiada pela venda direta e pela publicidade local, tinha incentivos claros para entregar informação relevante ao leitor — inclusive informação incômoda para governos e elites. Casos emblemáticos, como a investigação do *Watergate* pelo *Washington Post*, só foram possíveis porque o modelo econômico permitia sustentar reportagens longas, caras e juridicamente arriscadas. O leitor financiava o jornal; o jornal prestava contas ao leitor. No Brasil, ainda que com limitações históricas, algo semelhante ocorreu em momentos como a cobertura do *escândalo do mensalão* e da *Operação Lava Jato*, quando grandes veículos investiram por anos em jornalismo investigativo contínuo[^1]. Raymond Aron via nesse arranjo um ponto crucial: o pluralismo democrático não dependia da tolerância moral dos atores, mas de **instituições que obrigavam a convivência com o adversário**. A discordância tinha custo político, mas não implicava exclusão moral total. --- ## II. A ruptura contemporânea: economia da atenção e colapso dos incentivos Esse equilíbrio começou a ruir com a digitalização da informação. No Brasil, como em outros países, a migração da publicidade para plataformas como Google e Meta destruiu o financiamento do jornalismo local e regional. Entre 2015 e 2023, centenas de veículos regionais fecharam ou perderam capacidade investigativa, criando verdadeiros “desertos de notícias”[^2]. Com isso, o leitor deixou de ser o principal financiador da imprensa. Em seu lugar, ganharam peso a publicidade institucional, grandes anunciantes, fundações e métricas de engajamento. O incentivo deixou de ser informar bem e passou a ser **engajar rápido**. O resultado é um jornalismo mais opinativo, mais reativo e menos investigativo — não por conspiração, mas por estrutura econômica. Investigar irregularidades em um município por seis meses custa caro; comentar um escândalo viral custa pouco e gera tráfego imediato. Paralelamente, as redes sociais introduziram uma nova forma de mediação: o algoritmo. Decisões sobre visibilidade, alcance e monetização passaram a ser tomadas por sistemas opacos, sem devido processo e sem possibilidade real de contestação. O bloqueio ou a redução de alcance de perfis tornou-se uma forma de poder político indireto[^3]. Ernst Nolte ajuda a compreender esse cenário como reação histórica. Muitos movimentos culturais contemporâneos emergem de injustiças reais, mas se radicalizam em um ambiente que recompensa choque moral, punição simbólica e simplificação maniqueísta. --- ## III. Censura informal e autoritarismo social No Brasil, a censura contemporânea raramente se apresenta como proibição legal direta. Ela opera, sobretudo, por **pressão social e jurídica indireta**. Decisões judiciais que determinam remoção de conteúdos, bloqueio de perfis ou suspensão de plataformas inteiras — como ocorreu no caso do bloqueio temporário do Telegram em 2022 — ilustram como o debate público pode ser afetado por medidas amplas e pouco proporcionais[^4]. Em ambientes acadêmicos e culturais, observa-se um fenômeno semelhante ao das universidades americanas: palestras canceladas, autocensura crescente e punições reputacionais por opiniões controversas, mesmo quando legais. O custo de errar ou divergir tornou-se alto. Hannah Arendt alertava que esse é o terreno onde a democracia se fragiliza: não quando o Estado prende opositores, mas quando a sociedade **abandona o exercício do julgamento individual** em favor de narrativas morais fechadas. Raymond Aron, por sua vez, ajuda a manter a precisão conceitual: isso não é totalitarismo clássico, mas um **autoritarismo social**, compatível com eleições, imprensa formalmente livre e direitos civis. --- ## IV. Riscos reais: erosão democrática sem ruptura Não vivemos sob regimes totalitários nos moldes do século XX. Faltam partido único, ideologia totalizante imposta pelo Estado e terror como princípio organizador. O risco atual é mais sutil: a **erosão silenciosa da substância democrática enquanto a forma permanece**. Esse processo se manifesta no crescimento da autocensura, na judicialização excessiva do debate político, na expansão de mecanismos de vigilância digital sob justificativas legítimas — como combate à desinformação ou proteção infantil — e na perda generalizada de confiança nas instituições mediadoras[^5]. Yuval Noah Harari observa que as democracias foram desenhadas para um mundo mais lento e previsível. Num ambiente de aceleração permanente, emoções circulam mais rápido que instituições. Sem amortecedores, o sistema reage por improviso, exceção e controle. --- ## V. Tecnologias como infraestruturas políticas ### Como software, criptografia, dinheiro e comunicação redefinem os limites do poder Ao longo da história, a democracia nunca dependeu apenas de ideias abstratas ou de textos constitucionais. Ela sempre dependeu de **infraestruturas materiais concretas**: meios de imprimir panfletos, financiar jornais, organizar partidos, manter correspondência privada e sustentar associações civis. No século XXI, essas infraestruturas tornaram-se digitais — e, em muitos casos, profundamente centralizadas. É nesse ponto que movimentos ligados ao **software livre**, à **criptografia**, ao **Bitcoin** e às **redes descentralizadas** deixam de ser nichos técnicos e passam a funcionar como **amortecedores democráticos estruturais**. Eles não prometem consenso nem virtude política; prometem algo mais básico: **limitar o poder quando instituições falham**. --- ### Software livre: soberania institucional, auditoria e continuidade O software livre é, talvez, o componente menos visível — e mais estrutural — da defesa democrática contemporânea. Em um mundo onde quase toda a vida política passa por sistemas digitais, **quem controla o código controla o processo**. No Brasil, boa parte da infraestrutura crítica do Estado depende de software livre. O Serpro e o Dataprev operam grandes sistemas públicos com Linux, PostgreSQL e outros componentes abertos. O Tribunal Superior Eleitoral, apesar das controvérsias recorrentes, mantém um programa formal de abertura de código das urnas para auditoria por partidos, universidades e especialistas independentes[^6]. Isso não elimina desconfianças, mas cria algo essencial: **possibilidade real de verificação externa**. Diferentemente de sistemas proprietários, onde a confiança é delegada a contratos e marcas, o software livre permite auditoria técnica direta e, sobretudo, **continuidade fora da vontade de um fornecedor específico**. À luz de **Hannah Arendt**, isso importa porque o totalitarismo começa quando **alternativas desaparecem silenciosamente**, não quando são proibidas explicitamente. O software livre mantém vivas alternativas técnicas, mesmo quando não são usadas ativamente. Ele preserva o direito de saída (*exit*), um conceito central do liberalismo político clássico. Para **Raymond Aron**, o software livre funciona como um freio institucional invisível. Ele não cria pluralismo, mas impede monopólios técnicos que tornam o pluralismo impossível. É uma tecnologia profundamente liberal no sentido estrutural: **limita o poder sem exigir virtude**. --- ### Criptografia: privacidade como pré-condição do pensamento político A criptografia costuma ser discutida em termos de segurança ou criminalidade. Politicamente, seu papel é mais fundamental: ela protege o **espaço privado necessário ao pensamento, à dissidência e à organização**. Em democracias do século XX, esse espaço era garantido por limitações materiais: vigilância era cara, escuta exigia mandado, correspondência era fisicamente protegida. No ambiente digital, esses custos caíram drasticamente. Sem criptografia forte, a vigilância deixa de ser exceção e se torna **ambiente permanente**. No Brasil, investigações jornalísticas de grande impacto — como a *Vaza Jato* — só foram possíveis porque fontes e jornalistas puderam usar comunicação criptografada ponta a ponta[^7]. Sem isso, o custo de falar se tornaria proibitivo, mesmo em um regime formalmente democrático. Arendt insistia que o pensamento político exige um espaço onde o indivíduo possa errar, testar hipóteses e discordar **sem exposição imediata**. A vigilância difusa destrói esse espaço antes mesmo da censura legal. Nesse sentido, a criptografia não garante verdade nem justiça; ela garante algo mais básico: **a possibilidade de pensar sem medo automático**. Estados frequentemente pressionam por *backdoors* ou enfraquecimento criptográfico em nome de causas legítimas (terrorismo, abuso infantil). O problema, como alertaria **Aron**, é que **poder concedido ao Estado não permanece limitado à intenção original**. A história mostra que capacidades técnicas tendem a se expandir para além do escopo inicial. --- ### Bitcoin: o dinheiro como campo de batalha político Se a criptografia protege a fala, o Bitcoin protege algo igualmente sensível: **a capacidade de financiar ação política, jornalismo e dissenso**. Historicamente, o controle do sistema financeiro sempre foi um dos instrumentos mais eficazes de poder político. Mesmo em democracias, o encerramento de contas bancárias, o bloqueio de pagamentos ou a exclusão por “risco reputacional” podem silenciar indivíduos e organizações **sem decisão judicial**. No Brasil, entre 2023 e 2024, jornalistas independentes, influenciadores e organizações civis relataram encerramentos unilaterais de contas por bancos e plataformas de pagamento[^8]. Internacionalmente, o congelamento de contas de apoiadores dos protestos de caminhoneiros no Canadá, sob a *Emergencies Act*, tornou explícito o sistema financeiro como ponto de estrangulamento político[^9]. O Bitcoin introduz uma ruptura histórica: um sistema monetário funcional, global, resistente à censura, que **não exige autorização, identidade ou intermediação**. Ele não diz o que deve ser financiado; apenas impede que alguém decida unilateralmente o que **não pode** ser financiado. Para **Raymond Aron**, isso seria visto como um limitador de poder, não como um projeto político. Para **Ernst Nolte**, o Bitcoin pode ser interpretado como resposta histórica à hipercentralização monetária e financeira do século XX, marcada por guerras, estados de exceção e controles de capital. Bitcoin não resolve desigualdade, não cria justiça distributiva e não substitui política fiscal. Seu papel é mais modesto — e mais perigoso para o poder estabelecido: **remove um veto histórico invisível**. --- ### Redes descentralizadas: quando não existe botão de desligar Se o século XX foi dominado por *gatekeepers* editoriais, o século XXI passou a ser controlado por *gatekeepers algorítmicos*. Plataformas centralizadas não censuram apenas removendo conteúdo; elas controlam visibilidade, alcance, monetização e, em última instância, **existência pública**. No Brasil, decisões judiciais já determinaram remoções em massa de perfis e conteúdos, frequentemente com efeitos colaterais amplos sobre o debate público[^10]. Mesmo quando legítimas, essas decisões evidenciam o grau de centralização do espaço comunicacional. Protocolos descentralizados introduzem uma mudança conceitual profunda: **ninguém controla o sistema como um todo**. A moderação continua existindo, mas é local, comunitária e fragmentada. O banimento não é sistêmico; é contextual. Isso não elimina desinformação, conflito ou radicalização. O que muda é que a censura estrutural se transforma em **competição entre narrativas e comunidades**, em vez de silêncio imposto. Hannah Arendt temia sistemas nos quais não existe “fora”. Protocolos descentralizados recriam o “fora” — não como exílio físico, mas como **continuidade comunicacional**. Harari alerta que sistemas digitais tendem à concentração cognitiva; redes abertas funcionam como antídoto parcial ao impedir monopólios narrativos globais. --- ## Conclusão — re-equipar a democracia A crise contemporânea da democracia liberal não é um colapso repentino, mas uma falha progressiva de mediação, incentivos e confiança. O desafio do século XXI não é escolher entre centralização ou caos, entre Estado ou tecnologia. É reconstruir amortecedores democráticos compatíveis com um mundo digital, acelerado e descentralizado. As tecnologias discutidas aqui não criam democracia, não garantem verdade e não substituem instituições. O que elas fazem é mais fundamental: **reduzem o custo do dissenso, eliminam pontos únicos de falha e limitam formas invisíveis de coerção**. Em termos arendtianos, protegem o espaço do pensamento. Em termos aronianos, funcionam como freios técnicos ao poder. Em termos noltianos, são respostas históricas à centralização excessiva. Em termos de Harari, tentam reequilibrar poder em um mundo de aceleração tecnológica. A democracia do século XXI não fracassará por falta de eleições, mas por falta de infraestruturas que permitam **discordar, financiar, organizar e falar sem pedir permissão constante**. Essas tecnologias não são o futuro da democracia. Elas são as **condições mínimas para que ainda exista política livre no futuro**. A democracia não precisa ser reinventada. Precisa ser re-equipada. E, historicamente, as democracias que sobrevivem são justamente aquelas capazes de limitar o poder — inclusive o seu próprio. --- ## Referências bibliográficas ARENDT, Hannah. *The Origins of Totalitarianism*. New York: Harcourt, Brace & Company, 1951. ARENDT, Hannah. *Between Past and Future*. New York: Penguin Books, 1961. ARON, Raymond. *Democracy and Totalitarianism*. New York: Free Press, 1965. ARON, Raymond. *The Opium of the Intellectuals*. New York: W. W. Norton, 1957. NOLTE, Ernst. *Der europäische Bürgerkrieg 1917–1945*. Frankfurt am Main: Propyläen, 1987. HARARI, Yuval Noah. *Homo Deus*. London: Harvill Secker, 2016. HARARI, Yuval Noah. *21 Lessons for the 21st Century*. New York: Spiegel & Grau, 2018. HABERMAS, Jürgen. *The Structural Transformation of the Public Sphere*. Cambridge: MIT Press, 1989. [^1]: Supremo Tribunal Federal. *Ação Penal 470 (Mensalão)*; Força-tarefa Lava Jato – cobertura histórica (diversos veículos). [^2]: Atlas da Notícia (Projor). “Desertos de notícias no Brasil”. https://www.atlas.jor.br [^3]: Facebook Oversight Board; relatórios de transparência do Twitter/X e Meta. [^4]: Supremo Tribunal Federal, Decisão na ADPF 403 e bloqueio do Telegram (2022). [^5]: Freedom House. *Freedom in the World*; Relatórios RSF – Brasil. [^6]: Tribunal Superior Eleitoral. *Programa de Transparência das Urnas*. https://www.tse.jus.br [^7]: The Intercept Brasil. Série *Vaza Jato*. [^8]: Relatos compilados por Instituto Millenium e imprensa econômica brasileira (2023–2024). [^9]: Governo do Canadá, *Emergencies Act* (2022); reportagens BBC e Reuters. [^10]: Decisões do STF sobre remoção de perfis e conteúdos em redes sociais (inquéritos 4781 e correlatos).

OpenKeychain é uma aplicação de criptografia de código aberto para Android, Ele usa a tecnologia PGP (Pretty Good Privacy) para criptografar e descriptografar informações.

Ele usa a tecnologia PGP (Pretty Good Privacy) para criptografar e descriptografar informações. O OpenKeychain Foi criado por Dominik Schürmann em 2011, com o objetivo de disponibilizar uma ferramenta de criptografia acessível e fácil de usar para usuários de Android. O openKeychain é uma das principais opções de criptografia de e-mail para usuários de Android em todo o mundo. Criptografia de e-mail é um processo de proteção das informações contidas em um e-mail, de forma que somente as pessoas autorizadas possam acessá-las. A criptografia envolve a codificação da mensagem original em uma sequência de caracteres ilegíveis, que só podem ser decodificados por alguém que possua a chave de criptografia correspondente.O objetivo da criptografia de e-mail é garantir a privacidade e segurança das informações enviadas por e-mail, especialmente quando se trata de informações confidenciais ou sensíveis. Isso ajuda a prevenir que informações privadas sejam interceptadas ou lidas por pessoas não autorizadas durante a transmissão do e-mail. ## Tutorial OpenKeychain 1. Baixar no F-droid https://f-droid.org/app/org.sufficientlysecure.keychain Ao abrir o OpenKeychain pela primeira vez, você verá uma tela inicial indicando que ainda não há chaves configuradas. Nesse ponto, você terá três opções: 1. Criar uma nova chave PGP diretamente no OpenKeychain: Ideal para quem está começando e precisa de uma solução simples para criptografia em comunicações diárias. 2. Usar um token de segurança (como Fidesmo, Yubikey, NEO, ou Sigilance) Se você busca uma segurança ainda maior, pode optar por armazenar sua chave privada em um token de segurança. Com essa configuração, a chave privada nunca é salva no dispositivo móvel. O celular atua apenas como uma interface de comunicação, enquanto a chave permanece protegida no token, fora do alcance de possíveis invasores remotos. Isso garante que somente quem possui o token fisicamente possa usar a chave, elevando significativamente o nível de segurança e controle sobre seus dados. 3. Importar uma chave PGP existente: Você pode importar uma chave PGP que já tenha sido gerada anteriormente, seja por meio de um arquivo no dispositivo ou por outro meio ler na área de transferência. https://image.nostr.build/51fdd924df4843ab73faa02a505c8fb17794f1789396ed89b154348ebb337f07.jpg ## 1. CRIANDO UMA NOVA CHAVE PGP. Para iniciantes, recomendamos criar uma nova chave diretamente no aplicativo. abordaremos o uso do OpenKeychain em modo online, que é mais comum para comunicações diárias. Passo 1: Clique em “Criar minha chave”. https://image.nostr.build/235f5cfdf4c3006ca3b00342741003f79a5055355c2a8ee425fc33c875f51e49.jpg Passo 2: Criando sua chave PGP. Para criar sua chave, você precisará fornecer algumas informações Os campos 'Nome' e 'Endereço de e-mail' são apenas formas convenientes para identificar a sua chave PGP. - Nome: Escolha um nome ou um pseudônimo. https://image.nostr.build/de3fe3ddbde0c7bf084be6e4b8150fdb8612365550622559b0ee72f50f56a159.jpg - E-mail: Associe um endereço de e-mail à chave, seja ele pessoal ou um e-mail relacionado ao pseudônimo. https://image.nostr.build/aff62baaeafe2c9a429ef10435a6f99dea36d6cfd7494e2bb882421dc8ed0f4e.jpg ## 2. REVISANDO E PERSONALIZANDO A CRIAÇÃO DA CHAVE. Passo 3: Antes de criar sua chave PGP, verifique se os dados inseridos estão corretos. https://image.nostr.build/a8ec09ef3d9b4f557b0c4e380e7ca45d0fdbfa33fe80becea03ed0e5f5eedd24.jpg Você também pode personalizar as configurações de segurança clicando nos três pontos no canto superior direito. https://image.nostr.build/1ce615555cea9a979ea951472052a219e77f4e1ebaaf5fcbbe9e91ea4f852bce.jpg Ao cliclar em ' nova subchave ' pode alterar a data de expiração e pode mudar a criptografia usado na chave cliclando opção ed2255/cv255. https://image.nostr.build/b3224ff3dbe48ff78c4a2df8b001926b6d3eef1e33ef677a73b0d281791073da.jpg https://image.nostr.build/7763c7847e062cdcf71aafedbc2ef4c38056fd66aeb162ef3a1c30c028a14376.jpg https://image.nostr.build/5d3e20ade460dd5e89cc001ebdc062a36aff2c0e1573584ca3c0d1cb34bddcce.jpg Neste tutorial, utilizaremos as configurações padrão do aplicativo. Passo 4: Clique em "Criar chave" para concluir o processo. https://image.nostr.build/a8ec09ef3d9b4f557b0c4e380e7ca45d0fdbfa33fe80becea03ed0e5f5eedd24.jpg ## 3. Como Compartilhar sua Chave PGP Pública Após criar sua chave PGP, você pode compartilhá-la para que outras pessoas possam enviar mensagens criptografadas para você. Veja o passo a passo de como exibir e compartilhar sua chave pública: Passo 1: Acesse sua chave pública Abra o OpenKeychain e selecione a chave que deseja compartilhar. Clique na chave para visualizar os detalhes. https://image.nostr.build/689c5237075317e89e183d2664630de973b09b68aaf8f3e3033654e987b781be.jpg https://image.nostr.build/4001610109579f27535628932258087b3b06c1f86b05f4f85537b6585c12a10b.jpg Passo 2: Copiar sua chave pública Nos detalhes da chave, você verá a opção "Copiar para a Área de Transferência". Clique nessa opção para copiar o código da sua chave pública. https://image.nostr.build/01ab3efa5e997e1910a2f8f7a888e6ad60350574cca4ca0214eee5581797f704.jpg A chave PGP copiada terá o seguinte formato: -----BEGIN PGP PUBLIC KEY BLOCK----- mDMEZwsLHRYJKwYBBAHaRw8BAQdA6NRLlJIWnTBJtYwZHlrMbTKRbYuXmjsMn8MB 7etV3HK0JERhbmllbCBGcmFnYSAgPGRhbmllbGZyYWdhQG1haWwuaTJwPohyBBMW CAAaBAsJCAcCFQgCFgECGQEFgmcLCx0CngECmwMACgkQFZf+kMeJWpR4cwEA8Jt1 TZ/+YlHg3EYphW8KsZOboHLi+L88whrWbka+0s8A/iuaNFAK/oQAlM2YI2e0rAjA VuUCo66mERQNLl2/qN0LuDgEZwsLHRIKKwYBBAGXVQEFAQEHQEj/ZfJolkCjldXP 0KQimE/3PfO9BdJeRtzZA+SsJDh+AwEIB4hhBBgWCAAJBYJnCwsdApsMAAoJEBWX /pDHiVqUo/oA/266xy7kIZvd0PF1QU9mv1m2oOdo7QSoqvgFiq6AmelbAP9lExY5 edctTa/zl87lCddYsZZhxG9g2Cg7xX/XsfrnAA== =TniY -----END PGP PUBLIC KEY BLOCK----- Dica: Se ocorrer algum erro ao compartilhar sua chave pública com um amigo, peça para que ele a criptografe para ele mesmo. Isso permitirá que ele adicione a chave corretamente. Caso a chave pública ainda não esteja no dispositivo, ao clicar em "Backup de chave", aparecerá a opção para importá-la. Se a chave já estiver no dispositivo, essa ação irá recarregá-la. https://image.nostr.build/cd12abf07c93473db95483fe23112325f89d3eb02977e42756708bbd043f8bcf.jpg  https://image.nostr.build/537aeae38d229ee2cc78e18f412237b659c059e1c74fd7f0deecfe37f15713c9.jpg  https://image.nostr.build/16c8a3db5966c7c06904ee236655f47a6464ae0c1b5af6af27b28c61611d2bbe.jpg Passo 3: Compartilhar sua chave PGP Você pode colar a chave pública em e-mails, assinaturas, perfis de redes sociais ou outros meios para compartilhá-la facilmente. Para facilitar a visualização, você também pode exibi-la em seu perfil de redes sociais. Para acessar mais opções de compartilhamento, clique nos três pontos no canto superior direito e selecione a opção "Avançado". https://image.nostr.build/0d4a13b7bd9a4794017247d1a56fac082db0f993a2011a4dd40e388b22ec88f5.jpg https://image.nostr.build/4ac2a7bc9fa726531a945221cf7d10e0e387deba68100ccf52fdedfcd17cbd59.jpg Na seção "Compartilhar", você verá sua Key ID e terá a opção de publicar sua chave PGP em um servidor de chaves. https://image.nostr.build/1e972cc211a6d8060cdbd4a8aa642dd1a292810c532f178d3ddb133d1b9bca76.jpg Passo 4: Como compartilhar sua chave pública PGP no formato .asc. no OpenKeychain 1. Acesse sua chave Abra o OpenKeychain e toque na chave que você deseja compartilhar. Isso abrirá a tela com os detalhes da chave. https://image.nostr.build/c080f03d2eb7a9f7833fec0ff1942a5b70b97e4f7da7c6bc79ca300ef9ace55d.jpg 2. Compartilhe o arquivo .asc Toque no ícone de compartilhamento, como indicado na imagem abaixo. O aplicativo abrirá a janela para que você escolha por qual app deseja compartilhar sua chave pública no formato .asc. Nesse exemplo, usei o SimpleXChat , mas você pode usar qualquer aplicativo de sua preferência. 1. Botão de compartilhar. https://image.nostr.build/8da74bdb04737a45df671a30bba1dd2e7980841fa0c2d751d6649630e7c25470.jpg 2. Selecionar o aplicativo para compartilhamento. https://image.nostr.build/5444f4e9d3fa5aef6b191bb6f553f94c6e49d30ead874c9ee435bca3218fd6c8.jpg 3. Enviando via SimpleXChat. https://image.nostr.build/e5d1ca04cbc69e1e8ac5caf1ab2a4b9b695500861c1ae9c55cea679cce349214.jpg Sugestão para compartilhar nas redes sociais: Você pode exibir sua chave de forma simples, por exemplo: PGP: 1597 FE90 C789 5A94 ## Importar a chave pública usando a fingerprint Passo 1:Clique no ícone "+" para começar. https://image.nostr.build/ca6e6e569b4be60165eaf60c7ba1e6e3ec781b525e467c72b4f3605837e6b5ec.jpg Passo 2: Selecione a opção "Buscar Chave". https://image.nostr.build/87e27d9435e6e3ef78063b9f15799a8120ead4637cd06c89c0220b48327573ae.jpg Passo 3: Digite a fingerprint da chave em letras minúsculas, sem espaços. A chave correspondente aparecerá para ser adicionada. https://image.nostr.build/33e6819edd4582d7a8513e8814dacb07e1a62994bb3238c1b5b3865a46b5f234.jpg Além disso, você pode compartilhar sua chave pública em formato QR Code, facilitando a troca de chaves em eventos ou conversas rápidas. Como Assinar Mensagens para Confirmar a Autenticidade da Sua Rede Social Você pode autenticar sua conta em redes sociais utilizando sua chave PGP. Ao assinar uma mensagem com sua chave, você demonstra que realmente possui essa conta. Siga o passo a passo abaixo para assinar uma mensagem: Passo 1: Clique na sua chave PGP.  https://image.nostr.build/ffacce1bfb293c9a0888cd5efe340a63d96b293f4c010f8626105c7b212d8558.jpg Passo 2: Clique no ícone indicado pela seta para abrir o campo de texto.  https://image.nostr.build/4e992a2553810e2583b9d190280ce00a52fc423600a75eca48cbf541cf47d3c2.jpg Passo 3: Deixe a opção "Encriptar para:" vazio. Em "Assinar com:", selecione sua chave PGP e digite a mensagem que deseja enviar, como o nome da sua rede social.  https://image.nostr.build/a4a2a8d233d186e3d8d9adddccc445bcb3ca3ed88de0db671a77cede12323a75.jpg Passo 4: Clique no ícone indicado pela seta para copiar o texto assinado. Uma mensagem aparecerá informando: "Assinado/Encriptado com Sucesso".  https://image.nostr.build/a076dfc90e30a495af0872005bf70f412df57b7a0e1c2e17cf5aee9e9b3e39aa.jpg A mensagem copiada terá o seguinte formato: -----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 Minha rede social NOSTR é Danielfraga oficial. -----BEGIN PGP SIGNATURE----- iIQEARYIACwlHERhbmllbCBGcmFnYSAgPGRhbmllbGZyYWdhQG1haWwuaTJwPgUC ZxBBLgAKCRAVl/6Qx4lalGeNAPwP71rpsbhRnZhoWZsTDOFZY8ep/d0e5qYx5iPx HV26dwD/fKyiir1TR8JwZvEbOTYS0+Dn4DFlRAAfR3lKVTC96w4= =37Lj -----END PGP SIGNATURE----- Com isso, você pode facilmente demonstrar a autenticidade da sua conta nas redes sociais. ## 4. PROTEGENDO SUA CHAVE COM UMA SENHA. Passo 5: Após a criação da chave, é fundamental definir uma senha (ou passphrase) para adicionar uma camada extra de segurança. Recomendamos usar senhas longas (com mais de 20 caracteres) e de alta entropia para evitar ataques de força bruta. Ferramentas como KeePassDX ou Bitwarden podem ajudá-lo a gerar e gerenciar essas senhas. Para definir a senha, clique na sua chave PGP, acesse o menu no canto superior direito e selecione "Alterar senha". https://image.nostr.build/689c5237075317e89e183d2664630de973b09b68aaf8f3e3033654e987b781be.jpg https://image.nostr.build/f28ecaa9890a8827f93cac78846c4b2ef67f86ccfc3501fdadf1d1c4874b0041.jpg https://image.nostr.build/919c277fbec63c397402abdd60f915cb239a674c317855cbda63a38edef80789.jpg Agora basta adicionar uma senha forte. https://image.nostr.build/eb378219fbb1780f89663a474ce43b8d8ebb13beeb538f2a16279b056e5d9645.jpg https://image.nostr.build/cdfa3f9c6c4045841341da789deabb6318107812d5ba195529418572ab352aaf.jpg ## 5. CRIPTOGRAFAR E DESCRIPTOGRAFAR MENSAGENS E ARQUIVOS COM SUA CHAVE PGP ### Criptografar Mensagens Você pode criptografar mensagens para garantir que apenas o destinatário, que possui sua chave pública, possa lê-las. Siga os passos abaixo para criptografar um texto: Passo 1: Abra o menu lateral clicando no ícone no canto superior esquerdo. https://image.nostr.build/13ac93b38dd1633118ae3142401c13e8a089caabdf4617055284cc521a45b069.jpg Passo 2: Selecione a opção "Encriptar/Descriptar". https://image.nostr.build/8cd905d616b53968f0551c071d9acc2f47bbe8434c2c7e1a33076a504342de48.jpg Passo 3: Clique na opção "Encriptar Texto". https://image.nostr.build/405a730a6c774759d7913f92f59059d43146db4afb28451a6f8833f94e99437f.jpg Passo 4: Preencha os seguintes campos: https://image.nostr.build/7dc5eba39ff82a321195dbf46b8113818632e3ef41175991d58e799a8e9d2751.jpg 1. Encriptar para: Selecione o destinatário da mensagem, ou seja, a pessoa para quem você está enviando o texto criptografado. https://image.nostr.build/1e8c8cba6d3c3136d9857512e2794a81ceb7434eccdfb0f7d26cdef008b2e6d2.jpg 2. Assinar com: Escolha sua chave PGP para assinar a mensagem. https://image.nostr.build/d25b228c35b132d396d01c354ef093b43b3565578fbc0d6ff7b9de4e41619855.jpg 3. Digitar o texto: No campo de texto, escreva a mensagem que deseja criptografar. https://image.nostr.build/8537271dfa4445e60cb4c3cdb5d97571dc0ff5ee8acd6ed89a8c81e4bd8736c2.jpg Passo 5: Depois de preencher os campos, você pode copiar o texto criptografado de duas formas: 1. Copiar para a área de transferência: Clique na opção para copiar o texto criptografado e cole-o em um aplicativo de mensagens para enviá-lo. https://image.nostr.build/a5cb8e2c538a38db3972e7f3ac9aa9f602cda6b62848ff0c4b99928a67dcd486.jpg 2. Compartilhar diretamente: Utilize a opção de compartilhamento para enviar o texto criptografado diretamente através de seus aplicativos de mensagens. https://image.nostr.build/2b79cb564d623788a0de1111a067e0eb496f743389d465d4f4e8f6e65f0d08a7.jpg https://image.nostr.build/ff59e52bc8ab54ff377980a6ba5d1c4743d3298de11e5daa187ab7d45163a7be.jpg ### Criptografar arquivos. Passo 1: Abra o menu lateral clicando no ícone no canto superior esquerdo. https://image.nostr.build/13ac93b38dd1633118ae3142401c13e8a089caabdf4617055284cc521a45b069.jpg Passo 2: Selecione a opção "Encriptar/Descriptar". https://image.nostr.build/8cd905d616b53968f0551c071d9acc2f47bbe8434c2c7e1a33076a504342de48.jpg Passo 3 : clique na opção "Encriptar arquivos ". https://image.nostr.build/3fcae48ee38e7f4079ebccfd3eafb9ab0ad3559221d2c3560cdfe60e29f56a15.jpg Passo 4 : os passos a seguir são os mesmo que você seguiu pra encriptar a mensagem texto. Ítens "Encriptar para:" "Assinar com:" https://image.nostr.build/4d6599b9d3a9fdfae0964daaa9dae513d5ce277a7b61930fa2937d534f72ed40.jpg Passo 5 : clilcar na opção " Adicionair arquivo(s)" Vai abrir na memória interna do celular selecione o arquivo que deseja encriptar. https://image.nostr.build/09e3b9b54a1406426114926aab19011c36b98886ebae6fcf556cfea83bb2c2f4.jpg https://image.nostr.build/af422e243b36762dd66111ec7c848a1352c100ca3040dc21792c923f80aef74d.jpg https://image.nostr.build/ebebbdb273b4bca58d901852aec1c60e4799aa77e9d12a31f992b0cf8f73e753.jpg Passo 6: Depois de preencher os campos, você pode compartilhar o arquivo criptografado de duas formas: 1. Salvar na memória do celular: A primeira opção salva o arquivo criptografado no armazenamento do seu dispositivo. Você terá a opção de editar o nome do arquivo antes de salvar. https://image.nostr.build/0a47c1e9f0003541f47091b2c2e8ce6b8d1533d95463e331b218070bae964ac8.jpg https://image.nostr.build/95a7a2b67356eb5ded5b217bab38a19bdeba5af7befd105834e413e0aec45462.jpg https://image.nostr.build/66cb3d22b271f3b73b7015613c72711a3ffbf5e1070d43153f9d1f3fcf35001c.jpg https://image.nostr.build/f9624d86f7592fe7ffad932b7805762dc279d9e8ff410222108155438a2c970f.jpg 2. Compartilhar diretamente: Utilize a opção de compartilhamento para enviar o arquivo criptografado diretamente por meio dos seus aplicativos de mensagens. https://image.nostr.build/85541e466c7755c65bd6ba0208a6d8612beaa5298712b6d92f53865167695a38.jpg https://image.nostr.build/bf1e0f0aeb60cafbdf82af4b3b598288519e85b396bd3f9e00e61f65b89ea9f8.jpg https://image.nostr.build/fb090339898f37cdbb020828689b142ca601ca3ee549f67ddf6b2e094df9ab9f.jpg https://image.nostr.build/50c249ced06efe465ba533fef15207b0dcd1a725e9b2c139e8d85c13fd798276.jpg ### Descriptografar Mensagens e Arquivos Para ler uma mensagem ou arquivo criptografado que você recebeu, utilize sua chave privada. Siga os passos abaixo: ### Descriptografar Mensagens Passo 1: Copie a mensagem criptografada que você recebeu. https://image.nostr.build/c37754b12a458e0176b9137ae0aa9e8209f853bf9d9292c0867fd8b0606d53c4.jpg Passo 2: Clique na opção "Ler da área de transferência" para descriptografar o texto. https://image.nostr.build/d83c7dad2ee1cb6267779863bc174ee1a8f3cc3c86b69063345321027bdde7b5.jpg https://image.nostr.build/c0fae86e6ab1fe9dcee86753972c818bed489ea11efdd09b7e7da7422a9c81eb.jpg ### Descriptografar Arquivos Passo 1: Clique na opção "Selecionar arquivo de entrada". https://image.nostr.build/9c276c630311d19a576f2e35b5ba82bac07360476edae3f1a8697ff85df9e3c9.jpg Passo 2: Selecione o arquivo criptografado que deseja descriptografar. https://image.nostr.build/6b6c2a3284ba96e7168fc7bd0916020c4f1bed7b77dfca48227fc96d6929e15a.jpg https://image.nostr.build/9945aad644af2e2020e07e55f65f11a0958d55e8fc9e13c862e6b9ca88b4f4d9.jpg ## 6. BACKUP E RESTAURAÇÃO DE CHAVE PGP. Realizar o backup das suas chaves PGP é fundamental para evitar a perda de acesso às suas mensagens e dados criptografados. O OpenKeychain facilita esse processo, permitindo que você faça um backup completo e seguro. Recomendamos que você armazene o backup em um local seguro, como um HD externo ou pendrive conectado via cabo OTG, sempre protegendo-o com senha. ## PASSOS PARA REALIZAR O BACKUP: Passo 1: Abra o menu lateral clicando no ícone no canto superior esquerdo. https://image.nostr.build/13ac93b38dd1633118ae3142401c13e8a089caabdf4617055284cc521a45b069.jpg Passo 2: Selecione a opção Backup/restaurar. https://image.nostr.build/6fa8fd14e23b47c6c924bc0d900646663f2124a93d8172ae79fdf43b5c7d4490.jpg Passo 3: Escolha a primeira opção: Backup completo (criptografado). https://image.nostr.build/4875fb27b6d04c3cb838b4fb9f308ef9194edc35ba1254ba965b7f0db2544170.jpg Passo 4: O backup será protegido por um código de backup gerado automaticamente. Anote esse código em um papel e guarde local seguro, pois sem ele você não conseguirá recuperar suas chaves PGP. Após anotar o código, marque a opção “Anotei o código” e clique em Salvar Backup. Obs: todas as vezes que você for fazer o backup da sua chave PGP vai ser criado um novo código aleatório. https://image.nostr.build/72a317ef5e59a01c03c36f1d04a91d42c418a478cc82e372acf21bb8302daa00.jpg Passo 5: Escolha o local onde deseja salvar o backup (HD externo, pendrive, etc.), confirme sua escolha e clique em OK. Você verá uma mensagem de confirmação indicando que o backup foi salvo com sucesso. https://image.nostr.build/d757e8bdf429371320daa44be8a48a0dbeb2324129f4254327f0f0383e70ede4.jpg https://image.nostr.build/f3ad80ceb8a191b4d1b40722b1d0d4f85bf183d412e7d7d901b25d19b2dfe0e3.jpg ## Importação da Chave PGP Caso você precise restaurar suas chaves PGP a partir de um backup, o OpenKeychain também facilita o processo de importação. Siga os passos abaixo para restaurar sua chave PGP: Passo 1: Selecione a opção "Selecionar arquivo de entrada" Abra o OpenKeychain, acesse o menu lateral no canto superior esquerdo e escolha a opção "Selecionar arquivo de entrada" para localizar o arquivo de backup que você deseja importar. https://image.nostr.build/a06ddc1c1e6c50519097e614aa25b14311e49c0ca4d4607e42ebdcca3a6641c4.jpg Passo 2: Selecione o arquivo de backup Navegue até o local onde você salvou o arquivo de backup (HD externo, pendrive, etc.) e selecione-o. Em seguida, o OpenKeychain solicitará que você insira o código de recuperação que foi gerado no momento do backup. https://image.nostr.build/9d5649c04a98ec8b0a29355d9068e48313b1c5dc36cd965961f4d33f22d10046.jpg Passo 3: Digite o código de recuperação Insira o código de recuperação que você anotou anteriormente. É importante digitar o código corretamente para garantir o sucesso da restauração. Passo 4: Depois de inserir o código corretamente, o OpenKeychain irá restaurar suas chaves PGP, e uma mensagem de confirmação será exibida, indicando que a recuperação foi concluída com sucesso. Agora suas chaves estão restauradas e você pode continuar usando o OpenKeychain para gerenciar suas comunicações criptografadas de maneira segura. https://www.openkeychain.org/ https://github.com/open-keychain/open-keychain https://youtu.be/fptlAx_j4OA

Como funciona o PGP.

Como funciona o PGP. GP 6.5.1. Copyright © 1990-1999 Network Associates, Inc. Todos os direitos reservados. -O que é criptografia? -Criptografia forte -Como funciona a criptografia? -Criptografia convencional -Cifra de César -Gerenciamento de chaves e criptografia convencional -Criptografia de chave pública -Como funciona o PGP - Chaves • Assinaturas digitais -Funções hash • Certificados digitais -Distribuição de certificados -Formatos de certificado •Validade e confiança -Verificando validade -Estabelecendo confiança -Modelos de confiança • Revogação de certificado -Comunicar que um certificado foi revogado -O que é uma senha? -Divisão de chave Os princípios básicos da criptografia. Quando Júlio César enviou mensagens aos seus generais, ele não confiou nos seus mensageiros. Então ele substituiu cada A em suas mensagens por um D, cada B por um E, e assim por diante através do alfabeto. Somente alguém que conhecesse a regra “shift by 3” poderia decifrar suas mensagens. E assim começamos. Criptografia e descriptografia. Os dados que podem ser lidos e compreendidos sem quaisquer medidas especiais são chamados de texto simples ou texto não criptografado. O método de disfarçar o texto simples de forma a ocultar sua substância é chamado de criptografia. Criptografar texto simples resulta em um jargão ilegível chamado texto cifrado. Você usa criptografia para garantir que as informações sejam ocultadas de qualquer pessoa a quem não se destinam, mesmo daqueles que podem ver os dados criptografados. O processo de reverter o texto cifrado ao texto simples original é chamado de descriptografia . A Figura 1-1 ilustra esse processo. https://image.nostr.build/0e2fcb71ed86a6083e083abbb683f8c103f44a6c6db1aeb2df10ae51ec97ebe5.jpg Figura 1-1. Criptografia e descriptografia O que é criptografia? Criptografia é a ciência que usa a matemática para criptografar e descriptografar dados. A criptografia permite armazenar informações confidenciais ou transmiti-las através de redes inseguras (como a Internet) para que não possam ser lidas por ninguém, exceto pelo destinatário pretendido. Embora a criptografia seja a ciência que protege os dados, a criptoanálise é a ciência que analisa e quebra a comunicação segura. A criptoanálise clássica envolve uma combinação interessante de raciocínio analítico, aplicação de ferramentas matemáticas, descoberta de padrões, paciência, determinação e sorte. Os criptoanalistas também são chamados de atacantes. A criptologia abrange tanto a criptografia quanto a criptoanálise. Criptografia forte. "Existem dois tipos de criptografia neste mundo: a criptografia que impedirá a sua irmã mais nova de ler os seus arquivos, e a criptografia que impedirá os principais governos de lerem os seus arquivos. Este livro é sobre o último." --Bruce Schneier, Criptografia Aplicada: Protocolos, Algoritmos e Código Fonte em C. PGP também trata deste último tipo de criptografia. A criptografia pode ser forte ou fraca, conforme explicado acima. A força criptográfica é medida no tempo e nos recursos necessários para recuperar o texto simples. O resultado de uma criptografia forte é um texto cifrado que é muito difícil de decifrar sem a posse da ferramenta de decodificação apropriada. Quão díficil? Dado todo o poder computacional e o tempo disponível de hoje – mesmo um bilhão de computadores fazendo um bilhão de verificações por segundo – não é possível decifrar o resultado de uma criptografia forte antes do fim do universo. Alguém poderia pensar, então, que uma criptografia forte resistiria muito bem até mesmo contra um criptoanalista extremamente determinado. Quem pode realmente dizer? Ninguém provou que a criptografia mais forte disponível hoje resistirá ao poder computacional de amanhã. No entanto, a criptografia forte empregada pelo PGP é a melhor disponível atualmente. Contudo, a vigilância e o conservadorismo irão protegê-lo melhor do que as alegações de impenetrabilidade. Como funciona a criptografia? Um algoritmo criptográfico, ou cifra, é uma função matemática usada no processo de criptografia e descriptografia. Um algoritmo criptográfico funciona em combinação com uma chave – uma palavra, número ou frase – para criptografar o texto simples. O mesmo texto simples é criptografado em texto cifrado diferente com chaves diferentes. A segurança dos dados criptografados depende inteiramente de duas coisas: a força do algoritmo criptográfico e o sigilo da chave. Um algoritmo criptográfico, mais todas as chaves possíveis e todos os protocolos que o fazem funcionar constituem um criptossistema. PGP é um criptossistema. Criptografia convencional. Na criptografia convencional, também chamada de criptografia de chave secreta ou de chave simétrica , uma chave é usada tanto para criptografia quanto para descriptografia. O Data Encryption Standard (DES) é um exemplo de criptossistema convencional amplamente empregado pelo Governo Federal. A Figura 1-2 é uma ilustração do processo de criptografia convencional. https://image.nostr.build/328b73ebaff84c949df2560bbbcec4bc3b5e3a5163d5fbb2ec7c7c60488f894c.jpg Figura 1-2. Criptografia convencional Cifra de César. Um exemplo extremamente simples de criptografia convencional é uma cifra de substituição. Uma cifra de substituição substitui uma informação por outra. Isso é feito com mais frequência compensando as letras do alfabeto. Dois exemplos são o Anel Decodificador Secreto do Capitão Meia-Noite, que você pode ter possuído quando era criança, e a cifra de Júlio César. Em ambos os casos, o algoritmo serve para compensar o alfabeto e a chave é o número de caracteres para compensá-lo. Por exemplo, se codificarmos a palavra "SEGREDO" usando o valor chave de César de 3, deslocaremos o alfabeto para que a terceira letra abaixo (D) comece o alfabeto. Então começando com A B C D E F G H I J K L M N O P Q R S T U V W X Y Z e deslizando tudo para cima em 3, você obtém DEFGHIJKLMNOPQRSTUVWXYZABC onde D=A, E=B, F=C e assim por diante. Usando este esquema, o texto simples, "SECRET" é criptografado como "VHFUHW". Para permitir que outra pessoa leia o texto cifrado, você diz a ela que a chave é 3. Obviamente, esta é uma criptografia extremamente fraca para os padrões atuais, mas, ei, funcionou para César e ilustra como funciona a criptografia convencional. Gerenciamento de chaves e criptografia convencional. A criptografia convencional tem benefícios. É muito rápido. É especialmente útil para criptografar dados que não vão a lugar nenhum. No entanto, a criptografia convencional por si só como meio de transmissão segura de dados pode ser bastante cara, simplesmente devido à dificuldade de distribuição segura de chaves. Lembre-se de um personagem do seu filme de espionagem favorito: a pessoa com uma pasta trancada e algemada ao pulso. Afinal, o que há na pasta? Provavelmente não é o código de lançamento de mísseis/fórmula de biotoxina/plano de invasão em si. É a chave que irá descriptografar os dados secretos. Para que um remetente e um destinatário se comuniquem com segurança usando criptografia convencional, eles devem chegar a um acordo sobre uma chave e mantê-la secreta entre si. Se estiverem em locais físicos diferentes, devem confiar em um mensageiro, no Bat Phone ou em algum outro meio de comunicação seguro para evitar a divulgação da chave secreta durante a transmissão. Qualquer pessoa que ouvir ou interceptar a chave em trânsito poderá posteriormente ler, modificar e falsificar todas as informações criptografadas ou autenticadas com essa chave. Do DES ao Anel Decodificador Secreto do Capitão Midnight, o problema persistente com a criptografia convencional é a distribuição de chaves: como você leva a chave ao destinatário sem que alguém a intercepte? Criptografia de chave pública. Os problemas de distribuição de chaves são resolvidos pela criptografia de chave pública, cujo conceito foi introduzido por Whitfield Diffie e Martin Hellman em 1975. (Há agora evidências de que o Serviço Secreto Britânico a inventou alguns anos antes de Diffie e Hellman, mas a manteve um segredo militar - e não fez nada com isso. [JH Ellis: The Possibility of Secure Non-Secret Digital Encryption, CESG Report, January 1970]) A criptografia de chave pública é um esquema assimétrico que usa um par de chaves para criptografia: uma chave pública, que criptografa os dados, e uma chave privada ou secreta correspondente para descriptografia. Você publica sua chave pública para o mundo enquanto mantém sua chave privada em segredo. Qualquer pessoa com uma cópia da sua chave pública pode criptografar informações que somente você pode ler. Até mesmo pessoas que você nunca conheceu. É computacionalmente inviável deduzir a chave privada da chave pública. Qualquer pessoa que possua uma chave pública pode criptografar informações, mas não pode descriptografá-las. Somente a pessoa que possui a chave privada correspondente pode descriptografar as informações. https://image.nostr.build/fdb71ae7a4450a523456827bdd509b31f0250f63152cc6f4ba78df290887318b.jpg Figura 1-3. Criptografia de chave pública O principal benefício da criptografia de chave pública é que ela permite que pessoas que não possuem nenhum acordo de segurança pré-existente troquem mensagens com segurança. A necessidade de remetente e destinatário compartilharem chaves secretas através de algum canal seguro é eliminada; todas as comunicações envolvem apenas chaves públicas e nenhuma chave privada é transmitida ou compartilhada. Alguns exemplos de criptossistemas de chave pública são Elgamal (nomeado em homenagem a seu inventor, Taher Elgamal), RSA (nomeado em homenagem a seus inventores, Ron Rivest, Adi Shamir e Leonard Adleman), Diffie-Hellman (nomeado, você adivinhou, em homenagem a seus inventores). ) e DSA, o algoritmo de assinatura digital (inventado por David Kravitz). Como a criptografia convencional já foi o único meio disponível para transmitir informações secretas, o custo dos canais seguros e da distribuição de chaves relegou a sua utilização apenas àqueles que podiam pagar, como governos e grandes bancos (ou crianças pequenas com anéis descodificadores secretos). A criptografia de chave pública é a revolução tecnológica que fornece criptografia forte para as massas adultas. Lembra do mensageiro com a pasta trancada e algemada ao pulso? A criptografia de chave pública o tira do mercado (provavelmente para seu alívio). Como funciona o PGP. O PGP combina alguns dos melhores recursos da criptografia convencional e de chave pública. PGP é um criptossistema híbrido. Quando um usuário criptografa texto simples com PGP, o PGP primeiro compacta o texto simples. A compactação de dados economiza tempo de transmissão do modem e espaço em disco e, mais importante ainda, fortalece a segurança criptográfica. A maioria das técnicas de criptoanálise explora padrões encontrados no texto simples para quebrar a cifra. A compressão reduz esses padrões no texto simples, aumentando assim enormemente a resistência à criptoanálise. (Arquivos que são muito curtos para compactar ou que não são compactados bem não são compactados.) O PGP então cria uma chave de sessão, que é uma chave secreta única. Esta chave é um número aleatório gerado a partir dos movimentos aleatórios do mouse e das teclas digitadas. Esta chave de sessão funciona com um algoritmo de criptografia convencional rápido e muito seguro para criptografar o texto simples; o resultado é texto cifrado. Depois que os dados são criptografados, a chave da sessão é criptografada na chave pública do destinatário. Essa chave de sessão criptografada com chave pública é transmitida junto com o texto cifrado ao destinatário. ![image]( https://image.nostr.build/e98768e035971318a4118c465a8ffa650f0118c4517a7ecc44041af43939941b.jpg) Figura 1-4. Como funciona a criptografia PGP A descriptografia funciona ao contrário. A cópia do PGP do destinatário usa sua chave privada para recuperar a chave de sessão temporária, que o PGP usa para descriptografar o texto cifrado criptografado convencionalmente. ![image]( https://image.nostr.build/96aa9e90208f422663e3b3c732fe9fd3f72a4a4550bd8658741c7158e0f010b9.jpg) Figura 1-5. Como funciona a descriptografia PGP A combinação dos dois métodos de criptografia combina a conveniência da criptografia de chave pública com a velocidade da criptografia convencional. A criptografia convencional é cerca de 1.000 vezes mais rápida que a criptografia de chave pública. A criptografia de chave pública, por sua vez, fornece uma solução para problemas de distribuição de chaves e transmissão de dados. Usados ​​em conjunto, o desempenho e a distribuição de chaves são melhorados sem qualquer sacrifício na segurança. Chaves. Uma chave é um valor que funciona com um algoritmo criptográfico para produzir um texto cifrado específico. As chaves são basicamente números muito, muito, muito grandes. O tamanho da chave é medido em bits; o número que representa uma chave de 1024 bits é enorme. Na criptografia de chave pública, quanto maior a chave, mais seguro é o texto cifrado. No entanto, o tamanho da chave pública e o tamanho da chave secreta da criptografia convencional não têm nenhuma relação. Uma chave convencional de 80 bits tem a força equivalente a uma chave pública de 1.024 bits. Uma chave convencional de 128 bits é equivalente a uma chave pública de 3.000 bits. Novamente, quanto maior a chave, mais segura, mas os algoritmos usados ​​para cada tipo de criptografia são muito diferentes e, portanto, a comparação é como a de maçãs com laranjas. Embora as chaves pública e privada estejam matematicamente relacionadas, é muito difícil derivar a chave privada dada apenas a chave pública; no entanto, derivar a chave privada é sempre possível, desde que haja tempo e capacidade computacional suficientes. Isto torna muito importante escolher chaves do tamanho certo; grande o suficiente para ser seguro, mas pequeno o suficiente para ser aplicado rapidamente. Além disso, você precisa considerar quem pode estar tentando ler seus arquivos, quão determinados eles estão, quanto tempo têm e quais podem ser seus recursos. Chaves maiores serão criptograficamente seguras por um longo período de tempo. Se o que você deseja criptografar precisar ficar oculto por muitos anos, você pode usar uma chave muito grande. Claro, quem sabe quanto tempo levará para determinar sua chave usando os computadores mais rápidos e eficientes de amanhã? Houve um tempo em que uma chave simétrica de 56 bits era considerada extremamente segura. As chaves são armazenadas de forma criptografada. O PGP armazena as chaves em dois arquivos no seu disco rígido; um para chaves públicas e outro para chaves privadas. Esses arquivos são chamados de chaveiros. Ao usar o PGP, você normalmente adicionará as chaves públicas dos seus destinatários ao seu chaveiro público. Suas chaves privadas são armazenadas em seu chaveiro privado. Se você perder seu chaveiro privado, não será possível descriptografar nenhuma informação criptografada nas chaves desse anel. Assinaturas digitais. Um grande benefício da criptografia de chave pública é que ela fornece um método para empregar assinaturas digitais. As assinaturas digitais permitem ao destinatário da informação verificar a autenticidade da origem da informação e também verificar se a informação está intacta. Assim, as assinaturas digitais de chave pública fornecem autenticação e integridade de dados. A assinatura digital também proporciona o não repúdio, o que significa que evita que o remetente alegue que não enviou realmente as informações. Esses recursos são tão fundamentais para a criptografia quanto a privacidade, se não mais. Uma assinatura digital tem a mesma finalidade de uma assinatura manuscrita. No entanto, uma assinatura manuscrita é fácil de falsificar. Uma assinatura digital é superior a uma assinatura manuscrita porque é quase impossível de ser falsificada, além de atestar o conteúdo da informação, bem como a identidade do signatário. Algumas pessoas tendem a usar mais assinaturas do que criptografia. Por exemplo, você pode não se importar se alguém souber que você acabou de depositar US$ 1.000 em sua conta, mas quer ter certeza de que foi o caixa do banco com quem você estava lidando. A maneira básica pela qual as assinaturas digitais são criadas é ilustrada na Figura 1-6 . Em vez de criptografar informações usando a chave pública de outra pessoa, você as criptografa com sua chave privada. Se as informações puderem ser descriptografadas com sua chave pública, elas deverão ter se originado em você. ![image]( https://image.nostr.build/b6215191621e50721c712e46d8a4bc5eafb65116a27f087aafda50194ebe3fc1.jpg) Figura 1-6. Assinaturas digitais simples Funções hash. O sistema descrito acima apresenta alguns problemas. É lento e produz um enorme volume de dados – pelo menos o dobro do tamanho da informação original. Uma melhoria no esquema acima é a adição de uma função hash unidirecional no processo. Uma função hash unidirecional recebe uma entrada de comprimento variável – neste caso, uma mensagem de qualquer comprimento, até mesmo milhares ou milhões de bits – e produz uma saída de comprimento fixo; digamos, 160 bits. A função hash garante que, se a informação for alterada de alguma forma – mesmo que por apenas um bit – seja produzido um valor de saída totalmente diferente. O PGP usa uma função hash criptograficamente forte no texto simples que o usuário está assinando. Isso gera um item de dados de comprimento fixo conhecido como resumo da mensagem. (Novamente, qualquer alteração nas informações resulta em um resumo totalmente diferente.) Então o PGP usa o resumo e a chave privada para criar a “assinatura”. O PGP transmite a assinatura e o texto simples juntos. Ao receber a mensagem, o destinatário utiliza o PGP para recalcular o resumo, verificando assim a assinatura. O PGP pode criptografar o texto simples ou não; assinar texto simples é útil se alguns dos destinatários não estiverem interessados ​​ou não forem capazes de verificar a assinatura. Desde que uma função hash segura seja usada, não há como retirar a assinatura de alguém de um documento e anexá-la a outro, ou alterar uma mensagem assinada de qualquer forma. A menor alteração em um documento assinado causará falha no processo de verificação da assinatura digital. ![image]( https://image.nostr.build/e5939ad15ac0e3cfd8261f01f4747f03b622665a1df62719030281826d50bff1.jpg) Figura 1-7. Assinaturas digitais seguras As assinaturas digitais desempenham um papel importante na autenticação e validação de chaves de outros usuários PGP. Certificados digitais. Um problema com os criptosistemas de chave pública é que os usuários devem estar constantemente vigilantes para garantir que estão criptografando com a chave da pessoa correta. Num ambiente onde é seguro trocar chaves livremente através de servidores públicos, os ataques man-in-the-middle são uma ameaça potencial. Neste tipo de ataque, alguém publica uma chave falsa com o nome e ID de usuário do destinatário pretendido. Os dados criptografados – e interceptados por – o verdadeiro proprietário desta chave falsa estão agora em mãos erradas. Em um ambiente de chave pública, é vital que você tenha certeza de que a chave pública para a qual você está criptografando os dados é de fato a chave pública do destinatário pretendido e não uma falsificação. Você pode simplesmente criptografar apenas as chaves que foram entregues fisicamente a você. Mas suponha que você precise trocar informações com pessoas que nunca conheceu; como você pode saber se tem a chave correta? Os certificados digitais, ou certs, simplificam a tarefa de estabelecer se uma chave pública realmente pertence ao suposto proprietário. Um certificado é uma forma de credencial. Exemplos podem ser sua carteira de motorista, seu cartão de previdência social ou sua certidão de nascimento. Cada um deles contém algumas informações que identificam você e alguma autorização informando que outra pessoa confirmou sua identidade. Alguns certificados, como o seu passaporte, são uma confirmação importante o suficiente da sua identidade para que você não queira perdê-los, para que ninguém os use para se passar por você. Um certificado digital são dados que funcionam como um certificado físico. Um certificado digital é uma informação incluída na chave pública de uma pessoa que ajuda outras pessoas a verificar se uma chave é genuína ou válida. Os certificados digitais são usados ​​para impedir tentativas de substituir a chave de uma pessoa por outra. Um certificado digital consiste em três coisas: ● Uma chave pública. ● Informações do certificado. (Informações de "identidade" sobre o usuário, como nome, ID do usuário e assim por diante.) ● Uma ou mais assinaturas digitais. O objetivo da assinatura digital em um certificado é afirmar que as informações do certificado foram atestadas por alguma outra pessoa ou entidade. A assinatura digital não atesta a autenticidade do certificado como um todo; ele atesta apenas que as informações de identidade assinadas acompanham ou estão vinculadas à chave pública. Assim, um certificado é basicamente uma chave pública com uma ou duas formas de identificação anexadas, além de um forte selo de aprovação de algum outro indivíduo confiável. ![image]( https://image.nostr.build/e4b82b9ac10b387e1dc5a65befbab2d3ab693f67d3a81c0cbe0040f7b05cb59c.jpg) Figura 1-8. Anatomia de um certificado PGP Distribuição de certificados. Os certificados são utilizados quando é necessário trocar chaves públicas com outra pessoa. Para pequenos grupos de pessoas que desejam se comunicar com segurança, é fácil trocar manualmente disquetes ou e-mails contendo a chave pública de cada proprietário. Esta é a distribuição manual de chave pública e é prática apenas até certo ponto. Além desse ponto, é necessário implementar sistemas que possam fornecer os mecanismos necessários de segurança, armazenamento e troca para que colegas de trabalho, parceiros de negócios ou estranhos possam se comunicar, se necessário. Eles podem vir na forma de repositórios somente de armazenamento, chamados Servidores de Certificados, ou sistemas mais estruturados que fornecem recursos adicionais de gerenciamento de chaves e são chamados de Infraestruturas de Chave Pública (PKIs). Servidores de certificados. Um servidor de certificados, também chamado de servidor certificado ou servidor de chaves, é um banco de dados que permite aos usuários enviar e recuperar certificados digitais. Um servidor certificado geralmente fornece alguns recursos administrativos que permitem que uma empresa mantenha suas políticas de segurança – por exemplo, permitindo que apenas as chaves que atendam a determinados requisitos sejam armazenadas. Infraestruturas de Chave Pública. Uma PKI contém os recursos de armazenamento de certificados de um servidor de certificados, mas também fornece recursos de gerenciamento de certificados (a capacidade de emitir, revogar, armazenar, recuperar e confiar em certificados). A principal característica de uma PKI é a introdução do que é conhecido como Autoridade Certificadora,ou CA, que é uma entidade humana — uma pessoa, grupo, departamento, empresa ou outra associação — que uma organização autorizou a emitir certificados para seus usuários de computador. (A função de uma CA é análoga à do Passport Office do governo de um país.) Uma CA cria certificados e os assina digitalmente usando a chave privada da CA. Devido ao seu papel na criação de certificados, a CA é o componente central de uma PKI. Usando a chave pública da CA, qualquer pessoa que queira verificar a autenticidade de um certificado verifica a assinatura digital da CA emissora e, portanto, a integridade do conteúdo do certificado (mais importante ainda, a chave pública e a identidade do titular do certificado). Formatos de certificado. Um certificado digital é basicamente uma coleção de informações de identificação vinculadas a uma chave pública e assinadas por um terceiro confiável para provar sua autenticidade. Um certificado digital pode ter vários formatos diferentes. O PGP reconhece dois formatos de certificado diferentes: ● Certificados PGP ● Certificados X.509 Formato do certificado PGP. Um certificado PGP inclui (mas não está limitado a) as seguintes informações: ● O número da versão do PGP — identifica qual versão do PGP foi usada para criar a chave associada ao certificado. A chave pública do titular do certificado — a parte pública do seu par de chaves, juntamente com o algoritmo da chave: RSA, DH (Diffie-Hellman) ou DSA (Algoritmo de Assinatura Digital). ● As informações do detentor do certificado — consistem em informações de “identidade” sobre o usuário, como seu nome, ID de usuário, fotografia e assim por diante. ● A assinatura digital do proprietário do certificado — também chamada de autoassinatura, é a assinatura que utiliza a chave privada correspondente da chave pública associada ao certificado. ● O período de validade do certificado — a data/hora de início e a data/hora de expiração do certificado; indica quando o certificado irá expirar. ● O algoritmo de criptografia simétrica preferido para a chave — indica o algoritmo de criptografia para o qual o proprietário do certificado prefere que as informações sejam criptografadas. Os algoritmos suportados são CAST, IDEA ou Triple-DES. Você pode pensar em um certificado PGP como uma chave pública com um ou mais rótulos vinculados a ele (veja a Figura 1.9 ). Nessas 'etiquetas' você encontrará informações que identificam o proprietário da chave e uma assinatura do proprietário da chave, que afirma que a chave e a identificação andam juntas. (Essa assinatura específica é chamada de autoassinatura; todo certificado PGP contém uma autoassinatura.) Um aspecto único do formato de certificado PGP é que um único certificado pode conter múltiplas assinaturas. Várias ou muitas pessoas podem assinar o par chave/identificação para atestar a sua própria garantia de que a chave pública pertence definitivamente ao proprietário especificado. Se você procurar em um servidor de certificados público, poderá notar que certos certificados, como o do criador do PGP, Phil Zimmermann, contêm muitas assinaturas. Alguns certificados PGP consistem em uma chave pública com vários rótulos, cada um contendo um meio diferente de identificar o proprietário da chave (por exemplo, o nome do proprietário e a conta de e-mail corporativa, o apelido do proprietário e a conta de e-mail residencial, uma fotografia do proprietário — tudo em um certificado). A lista de assinaturas de cada uma dessas identidades pode ser diferente; as assinaturas atestam a autenticidade de que um dos rótulos pertence à chave pública, e não que todos os rótulos da chave sejam autênticos. (Observe que 'autêntico' está nos olhos de quem vê - assinaturas são opiniões, e diferentes pessoas dedicam diferentes níveis de devida diligência na verificação da autenticidade antes de assinar uma chave.) ![image]( https://image.nostr.build/c23f59013fff5b5e8f8335c9fd7298888d3a4a59bf18a5cdf61a2a259e272afe.jpg) Figura 1-9. Um certificado PGP Formato de certificado X.509. X.509 é outro formato de certificado muito comum. Todos os certificados X.509 estão em conformidade com o padrão internacional ITU-T X.509; assim (teoricamente) os certificados X.509 criados para um aplicativo podem ser usados ​​por qualquer aplicativo compatível com X.509. Na prática, porém, diferentes empresas criaram suas próprias extensões para certificados X.509, e nem todas funcionam juntas. Um certificado exige que alguém valide que uma chave pública e o nome do proprietário da chave andam juntos. Com os certificados PGP, qualquer pessoa pode desempenhar o papel de validador. Com certificados X.509, o validador é sempre uma Autoridade Certificadora ou alguém designado por uma CA. (Tenha em mente que os certificados PGP também suportam totalmente uma estrutura hierárquica usando uma CA para validar certificados.) Um certificado X.509 é uma coleção de um conjunto padrão de campos contendo informações sobre um usuário ou dispositivo e sua chave pública correspondente. O padrão X.509 define quais informações vão para o certificado e descreve como codificá-lo (o formato dos dados). Todos os certificados X.509 possuem os seguintes dados: O número da versão X.509 — identifica qual versão do padrão X.509 se aplica a este certificado, o que afeta quais informações podem ser especificadas nele. A mais atual é a versão 3. A chave pública do titular do certificado — a chave pública do titular do certificado, juntamente com um identificador de algoritmo que especifica a qual sistema criptográfico a chave pertence e quaisquer parâmetros de chave associados. O número de série do certificado — a entidade (aplicação ou pessoa) que criou o certificado é responsável por atribuir-lhe um número de série único para distingui-lo de outros certificados que emite. Esta informação é usada de diversas maneiras; por exemplo, quando um certificado é revogado, seu número de série é colocado em uma Lista de Revogação de Certificados ou CRL. O identificador exclusivo do detentor do certificado — (ou DN — nome distinto). Este nome pretende ser exclusivo na Internet. Este nome pretende ser exclusivo na Internet. Um DN consiste em múltiplas subseções e pode ser parecido com isto: CN=Bob Allen, OU=Divisão Total de Segurança de Rede, O=Network Associates, Inc., C=EUA (Referem-se ao nome comum, à unidade organizacional, à organização e ao país do sujeito .) O período de validade do certificado — a data/hora de início e a data/hora de expiração do certificado; indica quando o certificado irá expirar. O nome exclusivo do emissor do certificado — o nome exclusivo da entidade que assinou o certificado. Normalmente é uma CA. A utilização do certificado implica confiar na entidade que assinou este certificado. (Observe que em alguns casos, como certificados de CA raiz ou de nível superior , o emissor assina seu próprio certificado.) A assinatura digital do emitente — a assinatura utilizando a chave privada da entidade que emitiu o certificado. O identificador do algoritmo de assinatura — identifica o algoritmo usado pela CA para assinar o certificado. Existem muitas diferenças entre um certificado X.509 e um certificado PGP, mas as mais importantes são as seguintes: você pode criar seu próprio certificado PGP; ● você deve solicitar e receber um certificado X.509 de uma autoridade de certificação ● Os certificados X.509 suportam nativamente apenas um único nome para o proprietário da chave ● Os certificados X.509 suportam apenas uma única assinatura digital para atestar a validade da chave Para obter um certificado X.509, você deve solicitar a uma CA a emissão de um certificado. Você fornece sua chave pública, prova de que possui a chave privada correspondente e algumas informações específicas sobre você. Em seguida, você assina digitalmente as informações e envia o pacote completo – a solicitação de certificado – para a CA. A CA então realiza algumas diligências para verificar se as informações fornecidas estão corretas e, em caso afirmativo, gera o certificado e o devolve. Você pode pensar em um certificado X.509 como um certificado de papel padrão (semelhante ao que você recebeu ao concluir uma aula de primeiros socorros básicos) com uma chave pública colada nele. Ele contém seu nome e algumas informações sobre você, além da assinatura da pessoa que o emitiu para você. ![image]( https://image.nostr.build/9a680abd66493e0ad9feb529e46487da4c2d3ae77c0bcab7419afe9f65392d71.jpg) Figura 1-10. Um certificado X.509 Provavelmente, o uso mais visível dos certificados X.509 atualmente é em navegadores da web. Validade e confiança Cada usuário em um sistema de chave pública está vulnerável a confundir uma chave falsa (certificado) com uma chave real. Validade é a confiança de que um certificado de chave pública pertence ao seu suposto proprietário. A validade é essencial em um ambiente de chave pública onde você deve estabelecer constantemente se um determinado certificado é autêntico ou não. Depois de ter certeza de que um certificado pertencente a outra pessoa é válido, você pode assinar a cópia em seu chaveiro para atestar que verificou o certificado e que ele é autêntico. Se quiser que outras pessoas saibam que você deu ao certificado seu selo de aprovação, você pode exportar a assinatura para um servidor de certificados para que outras pessoas possam vê-la. Conforme descrito na seção Infraestruturas de Chave Pública , algumas empresas designam uma ou mais Autoridades de Certificação (CAs) para indicar a validade do certificado. Em uma organização que usa uma PKI com certificados X.509, é função da CA emitir certificados aos usuários — um processo que geralmente envolve responder à solicitação de certificado do usuário. Em uma organização que usa certificados PGP sem PKI, é função da CA verificar a autenticidade de todos os certificados PGP e depois assinar os bons. Basicamente, o objetivo principal de uma CA é vincular uma chave pública às informações de identificação contidas no certificado e, assim, garantir a terceiros que algum cuidado foi tomado para garantir que esta ligação das informações de identificação e da chave seja válida. O CA é o Grand Pooh-bah da validação em uma organização; alguém em quem todos confiam e, em algumas organizações, como aquelas que utilizam uma PKI, nenhum certificado é considerado válido, a menos que tenha sido assinado por uma CA confiável. Verificando validade. Uma maneira de estabelecer a validade é passar por algum processo manual. Existem várias maneiras de fazer isso. Você pode exigir que o destinatário pretendido lhe entregue fisicamente uma cópia de sua chave pública. Mas isto é muitas vezes inconveniente e ineficiente. Outra forma é verificar manualmente a impressão digital do certificado. Assim como as impressões digitais de cada ser humano são únicas, a impressão digital de cada certificado PGP é única. A impressão digital é um hash do certificado do usuário e aparece como uma das propriedades do certificado. No PGP, a impressão digital pode aparecer como um número hexadecimal ou uma série das chamadas palavras biométricas, que são foneticamente distintas e são usadas para facilitar um pouco o processo de identificação da impressão digital. Você pode verificar se um certificado é válido ligando para o proprietário da chave (para que você origine a transação) e pedindo ao proprietário que leia a impressão digital de sua chave para você e compare essa impressão digital com aquela que você acredita ser a verdadeira. Isso funciona se você conhece a voz do proprietário, mas como verificar manualmente a identidade de alguém que você não conhece? Algumas pessoas colocam a impressão digital de sua chave em seus cartões de visita exatamente por esse motivo. Outra forma de estabelecer a validade do certificado de alguém é confiar que um terceiro indivíduo passou pelo processo de validação do mesmo. Uma CA, por exemplo, é responsável por garantir que, antes de emitir um certificado, ele ou ela o verifique cuidadosamente para ter certeza de que a parte da chave pública realmente pertence ao suposto proprietário. Qualquer pessoa que confie na CA considerará automaticamente quaisquer certificados assinados pela CA como válidos. Outro aspecto da verificação da validade é garantir que o certificado não foi revogado. Para obter mais informações, consulte a seção Revogação de certificado . Estabelecendo confiança. Você valida certificados. Você confia nas pessoas. Mais especificamente, você confia nas pessoas para validar os certificados de outras pessoas. Normalmente, a menos que o proprietário lhe entregue o certificado, você terá que confiar na palavra de outra pessoa de que ele é válido. Introdutores meta e confiáveis. ​​Na maioria das situações, as pessoas confiam completamente na CA para estabelecer a validade dos certificados. Isso significa que todos os demais dependem da CA para passar por todo o processo de validação manual. Isso é aceitável até um certo número de usuários ou locais de trabalho e, então, não é possível para a AC manter o mesmo nível de validação de qualidade. Nesse caso, é necessário adicionar outros validadores ao sistema. Um CA também pode ser um meta- introdutor. Um meta-introdutor confere não apenas validade às chaves, mas também confere a capacidade de confiar nas chaves a outros. Semelhante ao rei que entrega seu selo a seus conselheiros de confiança para que eles possam agir de acordo com sua autoridade, o meta-introdutor permite que outros atuem como introdutores de confiança. Esses introdutores confiáveis ​​podem validar chaves com o mesmo efeito do meta-introdutor. Eles não podem, entretanto, criar novos introdutores confiáveis. Meta-introdutor e introdutor confiável são termos PGP. Em um ambiente X.509, o meta-introdutor é chamado de Autoridade de Certificação raiz ( CA raiz) e os introdutores confiáveis ​​são Autoridades de Certificação subordinadas . A CA raiz usa a chave privada associada a um tipo de certificado especial denominado certificado CA raiz para assinar certificados. Qualquer certificado assinado pelo certificado CA raiz é visto como válido por qualquer outro certificado assinado pela raiz. Este processo de validação funciona mesmo para certificados assinados por outras CAs no sistema — desde que o certificado da CA raiz tenha assinado o certificado da CA subordinada, qualquer certificado assinado pela CA será considerado válido para outras pessoas dentro da hierarquia. Este processo de verificação de backup por meio do sistema para ver quem assinou cujo certificado é chamado de rastreamento de um caminho de certificação ou cadeia de certificação. Modelos de confiança. Em sistemas relativamente fechados, como em uma pequena empresa, é fácil rastrear um caminho de certificação até a CA raiz. No entanto, os usuários muitas vezes precisam se comunicar com pessoas fora do seu ambiente corporativo, incluindo algumas que nunca conheceram, como fornecedores, consumidores, clientes, associados e assim por diante. É difícil estabelecer uma linha de confiança com aqueles em quem sua CA não confia explicitamente. As empresas seguem um ou outro modelo de confiança, que determina como os usuários irão estabelecer a validade do certificado. Existem três modelos diferentes: Confiança Direta. Confiança Hierárquica Uma teia de confiança Confiança direta A confiança direta é o modelo de confiança mais simples. Neste modelo, um usuário confia que uma chave é válida porque sabe de onde ela veio. Todos os criptosistemas usam essa forma de confiança de alguma forma. Por exemplo, em navegadores da Web, as chaves raiz da Autoridade de Certificação são diretamente confiáveis ​​porque foram enviadas pelo fabricante. Se houver alguma forma de hierarquia, ela se estenderá a partir desses certificados diretamente confiáveis. No PGP, um usuário que valida as chaves e nunca define outro certificado para ser um introdutor confiável está usando confiança direta. ![image]( https://image.nostr.build/3f71be907247ee1d4ff9ad318a22aa964d725c98aa93d1f8c32bbd4dbe7a6791.jpg) Figura 1-11. Confiança direta Confiança Hierárquica. Em um sistema hierárquico, há vários certificados "raiz" a partir dos quais a confiança se estende. Esses certificados podem certificar eles próprios certificados ou podem certificar certificados que certificam ainda outros certificados em alguma cadeia. Considere isso como uma grande “árvore” de confiança. A validade do certificado "folha" é verificada rastreando desde seu certificador até outros certificadores, até que um certificado raiz diretamente confiável seja encontrado. ![image]( https://image.nostr.build/0c196651313ec03594689b904f432195d6c14e08ecf76d943a32dc64c4c1bc9b.jpg) Figura 1-12. Confiança hierárquica Teia de Confiança. Uma teia de confiança abrange ambos os outros modelos, mas também acrescenta a noção de que a confiança está nos olhos de quem vê (que é a visão do mundo real) e a ideia de que mais informação é melhor. É, portanto, um modelo de confiança cumulativa. Um certificado pode ser confiável diretamente ou confiável em alguma cadeia que remonta a um certificado raiz diretamente confiável (o meta-introdutor) ou por algum grupo de introdutores. Talvez você já tenha ouvido falar do termo seis graus de separação, que sugere que qualquer pessoa no mundo pode determinar algum vínculo com qualquer outra pessoa no mundo usando seis ou menos outras pessoas como intermediários. Esta é uma teia de introdutores. É também a visão de confiança do PGP. PGP usa assinaturas digitais como forma de introdução. Quando qualquer usuário assina a chave de outro, ele ou ela se torna o introdutor dessa chave. À medida que esse processo avança, ele estabelece uma rede de confiança. Em um ambiente PGP, qualquer usuário pode atuar como autoridade certificadora. Qualquer usuário PGP pode validar o certificado de chave pública de outro usuário PGP. No entanto, tal certificado só é válido para outro usuário se a parte confiável reconhecer o validador como um introdutor confiável. (Ou seja, você confia na minha opinião de que as chaves dos outros são válidas apenas se você me considerar um apresentador confiável. Caso contrário, minha opinião sobre a validade das outras chaves é discutível.) Armazenados no chaveiro público de cada usuário estão indicadores de ● se o usuário considera ou não uma chave específica válida ● o nível de confiança que o usuário deposita na chave que o proprietário da chave pode servir como certificador das chaves de terceiros Você indica, na sua cópia da minha chave, se acha que meu julgamento conta. Na verdade, é um sistema de reputação: certas pessoas têm a reputação de fornecer boas assinaturas e as pessoas confiam nelas para atestar a validade de outras chaves. Níveis de confiança no PGP. O nível mais alto de confiança em uma chave, a confiança implícita , é a confiança em seu próprio par de chaves. O PGP assume que se você possui a chave privada, você deve confiar nas ações da sua chave pública relacionada. Quaisquer chaves assinadas pela sua chave implicitamente confiável são válidas. Existem três níveis de confiança que você pode atribuir à chave pública de outra pessoa: ● Confiança total ● Confiança marginal ● Não confiável (ou não confiável) Para tornar as coisas confusas, também existem três níveis de validade: ● Válido ● Marginalmente válido ● Inválido Para definir a chave de outra pessoa como um introdutor confiável, você 1. Comece com uma chave válida, que seja. - assinado por você ou - assinado por outro apresentador confiável e então 2. Defina o nível de confiança que você acha que o proprietário da chave tem direito. Por exemplo, suponha que seu chaveiro contenha a chave de Alice. Você validou a chave de Alice e indica isso assinando-a. Você sabe que Alice é uma verdadeira defensora da validação de chaves de outras pessoas. Portanto, você atribui a chave dela com confiança total. Isso faz de Alice uma Autoridade Certificadora. Se Alice assinar a chave de outra pessoa, ela aparecerá como Válida em seu chaveiro. O PGP requer uma assinatura Totalmente confiável ou duas assinaturas Marginalmente confiáveis ​​para estabelecer uma chave como válida. O método do PGP de considerar dois Marginais iguais a um Completo é semelhante a um comerciante que solicita duas formas de identificação. Você pode considerar Alice bastante confiável e também considerar Bob bastante confiável. Qualquer um deles sozinho corre o risco de assinar acidentalmente uma chave falsificada, portanto, você pode não depositar total confiança em nenhum deles. No entanto, as probabilidades de ambos os indivíduos terem assinado a mesma chave falsa são provavelmente pequenas. Revogação de certificado. Os certificados só são úteis enquanto são válidos. Não é seguro simplesmente presumir que um certificado é válido para sempre. Na maioria das organizações e em todas as PKIs, os certificados têm uma vida útil restrita. Isso restringe o período em que um sistema fica vulnerável caso ocorra um comprometimento do certificado. Os certificados são assim criados com um período de validade programado: uma data/hora de início e uma data/hora de expiração. Espera-se que o certificado seja utilizável durante todo o seu período de validade (seu tempo de vida ). Quando o certificado expirar, ele não será mais válido, pois a autenticidade do seu par chave/identificação não estará mais garantida. (O certificado ainda pode ser usado com segurança para reconfirmar informações que foram criptografadas ou assinadas dentro do período de validade – no entanto, ele não deve ser confiável para tarefas criptográficas futuras.) Existem também situações em que é necessário invalidar um certificado antes da sua data de expiração, como quando o titular do certificado termina o contrato de trabalho com a empresa ou suspeita que a chave privada correspondente do certificado foi comprometida. Isso é chamado de revogação. Um certificado revogado é muito mais suspeito do que um certificado expirado. Os certificados expirados são inutilizáveis, mas não apresentam a mesma ameaça de comprometimento que um certificado revogado. Qualquer pessoa que tenha assinado um certificado pode revogar a sua assinatura no certificado (desde que utilize a mesma chave privada que criou a assinatura). Uma assinatura revogada indica que o signatário não acredita mais que a chave pública e as informações de identificação pertencem uma à outra, ou que a chave pública do certificado (ou a chave privada correspondente) foi comprometida. Uma assinatura revogada deve ter quase tanto peso quanto um certificado revogado. Com certificados X.509, uma assinatura revogada é praticamente igual a um certificado revogado, visto que a única assinatura no certificado é aquela que o tornou válido em primeiro lugar – a assinatura da CA. Os certificados PGP fornecem o recurso adicional de que você pode revogar todo o seu certificado (não apenas as assinaturas nele) se você achar que o certificado foi comprometido. Somente o proprietário do certificado (o detentor da chave privada correspondente) ou alguém que o proprietário do certificado tenha designado como revogador pode revogar um certificado PGP. (Designar um revogador é uma prática útil, pois muitas vezes é a perda da senha da chave privada correspondente do certificado que leva um usuário PGP a revogar seu certificado - uma tarefa que só é possível se alguém tiver acesso à chave privada. ) Somente o emissor do certificado pode revogar um certificado X.509. Comunicar que um certificado foi revogado. Quando um certificado é revogado, é importante conscientizar os usuários potenciais do certificado de que ele não é mais válido. Com certificados PGP, a maneira mais comum de comunicar que um certificado foi revogado é publicá-lo em um servidor de certificados para que outras pessoas que desejem se comunicar com você sejam avisadas para não usar essa chave pública. Em um ambiente PKI, a comunicação de certificados revogados é mais comumente obtida por meio de uma estrutura de dados chamada Lista de Revogação de Certificados, ou CRL, que é publicada pela CA. A CRL contém uma lista validada com carimbo de data e hora de todos os certificados revogados e não expirados no sistema. Os certificados revogados permanecem na lista apenas até expirarem e, em seguida, são removidos da lista — isso evita que a lista fique muito longa. A CA distribui a CRL aos usuários em algum intervalo programado regularmente (e potencialmente fora do ciclo, sempre que um certificado é revogado). Teoricamente, isso impedirá que os usuários usem involuntariamente um certificado comprometido. É possível, no entanto, que haja um período de tempo entre as CRLs em que um certificado recentemente comprometido seja usado. O que é uma senha? A maioria das pessoas está familiarizada com a restrição de acesso a sistemas de computador por meio de uma senha, que é uma sequência única de caracteres que um usuário digita como código de identificação. Uma senha longa é uma versão mais longa de uma senha e, em teoria, mais segura. Normalmente composta por várias palavras, uma frase secreta é mais segura contra ataques de dicionário padrão, em que o invasor tenta todas as palavras do dicionário na tentativa de determinar sua senha. As melhores senhas são relativamente longas e complexas e contêm uma combinação de letras maiúsculas e minúsculas, caracteres numéricos e de pontuação. O PGP usa uma senha para criptografar sua chave privada em sua máquina. Sua chave privada é criptografada em seu disco usando um hash de sua senha como chave secreta. Você usa a senha para descriptografar e usar sua chave privada. Uma senha deve ser difícil de esquecer e difícil de ser adivinhada por outras pessoas. Deve ser algo já firmemente enraizado na sua memória de longo prazo, em vez de algo que você invente do zero. Por que? Porque se você esquecer sua senha, você estará sem sorte. Sua chave privada é total e absolutamente inútil sem sua senha e nada pode ser feito a respeito. Lembra-se da citação anterior neste capítulo? ![image]( https://image.nostr.build/5ddb5aa694be419715144c93501d20b38ce779cfe106d13a3d753f141e6cc253.jpg) PGP é a criptografia que manterá os principais governos fora dos seus arquivos. Certamente também o manterá fora de seus arquivos. Tenha isso em mente quando decidir alterar sua senha para a piada daquela piada que você nunca consegue lembrar. Divisão de chave. Dizem que um segredo não é segredo se for conhecido por mais de uma pessoa. Compartilhar um par de chaves privadas representa um grande problema. Embora não seja uma prática recomendada, às vezes é necessário compartilhar um par de chaves privadas. Chaves de assinatura corporativa, por exemplo, são chaves privadas usadas por uma empresa para assinar – por exemplo – documentos legais, informações pessoais confidenciais ou comunicados de imprensa para autenticar sua origem. Nesse caso, vale a pena que vários membros da empresa tenham acesso à chave privada. No entanto, isto significa que qualquer indivíduo pode agir plenamente em nome da empresa. Nesse caso, é aconselhável dividir a chave entre várias pessoas, de modo que mais de uma ou duas pessoas apresentem um pedaço da chave para reconstituí-la em condições utilizáveis. Se poucas peças da chave estiverem disponíveis, a chave ficará inutilizável. Alguns exemplos são dividir uma chave em três partes e exigir duas delas para reconstituir a chave, ou dividi-la em duas partes e exigir ambas as peças. Se uma conexão de rede segura for usada durante o processo de reconstituição, os acionistas da chave não precisam estar fisicamente presentes para aderirem novamente à chave.

O Element Messenger é um aplicativo de chat criptografado de ponta a ponta baseado na tecnologia Matrix, que permite que os usuários se comuniquem de forma segura e privada.

O protocolo Matrix é um sistema de comunicação descentralizado de código aberto que fornece uma plataforma para mensageiros descentralizados. O Element foi lançado em 2014 como uma implementação do protocolo Matrix, originalmente conhecido como Riot.im , A ideia do Element nasceu quando Matthew Hodgson e Amandine Le Pape, dois desenvolvedores de software, decidiram criar uma plataforma de comunicação aberta e segura, que permitisse aos usuários terem total controle sobre suas informações. Eles acreditavam que a internet deveria ser um lugar onde as pessoas pudessem se comunicar livremente, sem se preocupar com a privacidade de suas informações. O Element é um aplicativo de chat gratuito e de código aberto disponível em várias plataformas, incluindo desktop, web e aplicativos móveis. Ele oferece criptografia de ponta a ponta, o que significa que as mensagens são protegidas e só podem ser lidas pelo remetente e pelo destinatário. Além disso, o Element é descentralizado, o que significa que ele não é controlado por uma única entidade, mas sim por uma rede global de servidores. O Element é amplamente utilizado por indivíduos e empresas que desejam ter uma comunicação segura e privada. É frequentemente usado por equipes de projetos, organizações sem fins lucrativos e grupos ativistas que precisam compartilhar informações confidenciais e se comunicar de forma segura. O Element também é conhecido por seu recurso de salas públicas, que permite que os usuários se juntem a grupos de discussão sobre vários tópicos de interesse. Uma das principais vantagens do Element é sua arquitetura descentralizada. Ao contrário das plataformas de mensagens convencionais que centralizam os dados em seus próprios servidores, o Element utiliza uma rede descentralizada, distribuindo as informações em diversos servidores espalhados pelo mundo. Isso significa que os dados dos usuários são menos suscetíveis a ataques cibernéticos e invasões, já que não são centralizados em um único ponto vulnerável. Para usar o Element, normalmente os usuários precisam se registrar em um servidor Matrix. Existem várias opções disponíveis, incluindo servidores públicos e privados. No entanto, outra opção é criar um servidor próprio para usar o Element. O Element também utiliza criptografia de ponta a ponta para proteger as mensagens e arquivos trocados entre os usuários. Isso significa que apenas o remetente e o destinatário das mensagens podem ler o conteúdo, garantindo que as informações permaneçam seguras e privadas. Outra vantagem do Element é sua ampla variedade de recursos, incluindo videochamadas criptografadas, compartilhamento de tela e integração com outros serviços, como calendários e aplicativos de produtividade. Isso torna o Element uma plataforma completa de comunicação e colaboração, adequada para uso pessoal e empresarial. O Element também é fácil de usar e possui uma interface intuitiva e personalizável. Os usuários podem personalizar a aparência do aplicativo e acessar diferentes configurações e recursos com apenas alguns cliques. https://element.io/ https://github.com/vector-im/element-android

Cwtch Infraestrutura de preservação de privacidade para aplicativos assíncronos, descentralizados e resistentes a metadados.

O que é Cwtch? Cwtch (/kʊtʃ/ - uma palavra galesa que pode ser traduzida aproximadamente como “um abraço que cria um lugar seguro”) é um protocolo de mensagens multipartidário descentralizado, que preserva a privacidade, que pode ser usado para construir aplicativos resistentes a metadados. Como posso pronunciar Cwtch? Como "kutch", para rimar com "butch". Descentralizado e Aberto : Não existe “serviço Cwtch” ou “rede Cwtch”. Os participantes do Cwtch podem hospedar seus próprios espaços seguros ou emprestar sua infraestrutura para outras pessoas que buscam um espaço seguro. O protocolo Cwtch é aberto e qualquer pessoa é livre para criar bots, serviços e interfaces de usuário e integrar e interagir com o Cwtch. Preservação de privacidade : toda a comunicação no Cwtch é criptografada de ponta a ponta e ocorre nos serviços cebola Tor v3. Resistente a metadados : O Cwtch foi projetado de forma que nenhuma informação seja trocada ou disponibilizada a ninguém sem seu consentimento explícito, incluindo mensagens durante a transmissão e metadados de protocolo Uma breve história do bate-papo resistente a metadados Nos últimos anos, a conscientização pública sobre a necessidade e os benefícios das soluções criptografadas de ponta a ponta aumentou com aplicativos como Signal , Whatsapp e Wire. que agora fornecem aos usuários comunicações seguras. No entanto, essas ferramentas exigem vários níveis de exposição de metadados para funcionar, e muitos desses metadados podem ser usados ​​para obter detalhes sobre como e por que uma pessoa está usando uma ferramenta para se comunicar. Uma ferramenta que buscou reduzir metadados é o Ricochet lançado pela primeira vez em 2014. Ricochet usou os serviços cebola Tor v2 para fornecer comunicação criptografada segura de ponta a ponta e para proteger os metadados das comunicações. Não havia servidores centralizados que auxiliassem no roteamento das conversas do Ricochet. Ninguém além das partes envolvidas em uma conversa poderia saber que tal conversa está ocorrendo. Ricochet tinha limitações; não havia suporte para vários dispositivos, nem existe um mecanismo para suportar a comunicação em grupo ou para um usuário enviar mensagens enquanto um contato está offline. Isto tornou a adoção do Ricochet uma proposta difícil; mesmo aqueles em ambientes que seriam melhor atendidos pela resistência aos metadados, sem saber que ela existe. Além disso, qualquer solução para comunicação descentralizada e resistente a metadados enfrenta problemas fundamentais quando se trata de eficiência, privacidade e segurança de grupo conforme definido pelo consenso e consistência da transcrição. Alternativas modernas ao Ricochet incluem Briar , Zbay e Ricochet Refresh - cada ferramenta procura otimizar para um conjunto diferente de compensações, por exemplo, Briar procura permitir que as pessoas se comuniquem mesmo quando a infraestrutura de rede subjacente está inoperante, ao mesmo tempo que fornece resistência à vigilância de metadados. O projeto Cwtch começou em 2017 como um protocolo de extensão para Ricochet, fornecendo conversas em grupo por meio de servidores não confiáveis, com o objetivo de permitir aplicativos descentralizados e resistentes a metadados como listas compartilhadas e quadros de avisos. Uma versão alfa do Cwtch foi lançada em fevereiro de 2019 e, desde então, a equipe do Cwtch dirigida pela OPEN PRIVACY RESEARCH SOCIETY conduziu pesquisa e desenvolvimento em cwtch e nos protocolos, bibliotecas e espaços de problemas subjacentes. Modelo de Risco. Sabe-se que os metadados de comunicações são explorados por vários adversários para minar a segurança dos sistemas, para rastrear vítimas e para realizar análises de redes sociais em grande escala para alimentar a vigilância em massa. As ferramentas resistentes a metadados estão em sua infância e faltam pesquisas sobre a construção e a experiência do usuário de tais ferramentas. https://nostrcheck.me/media/public/nostrcheck.me_9475702740746681051707662826.webp O Cwtch foi originalmente concebido como uma extensão do protocolo Ricochet resistente a metadados para suportar comunicações assíncronas de grupos multiponto por meio do uso de infraestrutura anônima, descartável e não confiável. Desde então, o Cwtch evoluiu para um protocolo próprio. Esta seção descreverá os vários riscos conhecidos que o Cwtch tenta mitigar e será fortemente referenciado no restante do documento ao discutir os vários subcomponentes da Arquitetura Cwtch. Modelo de ameaça. É importante identificar e compreender que os metadados são omnipresentes nos protocolos de comunicação; é de facto necessário que tais protocolos funcionem de forma eficiente e em escala. No entanto, as informações que são úteis para facilitar peers e servidores também são altamente relevantes para adversários que desejam explorar tais informações. Para a definição do nosso problema, assumiremos que o conteúdo de uma comunicação é criptografado de tal forma que um adversário é praticamente incapaz de quebrá-lo veja tapir e cwtch para detalhes sobre a criptografia que usamos, e como tal nos concentraremos em o contexto para os metadados de comunicação. Procuramos proteger os seguintes contextos de comunicação: • Quem está envolvido em uma comunicação? Pode ser possível identificar pessoas ou simplesmente identificadores de dispositivos ou redes. Por exemplo, “esta comunicação envolve Alice, uma jornalista, e Bob, um funcionário público”. • Onde estão os participantes da conversa? Por exemplo, “durante esta comunicação, Alice estava na França e Bob estava no Canadá”. • Quando ocorreu uma conversa? O momento e a duração da comunicação podem revelar muito sobre a natureza de uma chamada, por exemplo, “Bob, um funcionário público, conversou com Alice ao telefone por uma hora ontem à noite. Esta é a primeira vez que eles se comunicam.” *Como a conversa foi mediada? O fato de uma conversa ter ocorrido por meio de um e-mail criptografado ou não criptografado pode fornecer informações úteis. Por exemplo, “Alice enviou um e-mail criptografado para Bob ontem, enquanto eles normalmente enviam apenas e-mails de texto simples um para o outro”. • Sobre o que é a conversa? Mesmo que o conteúdo da comunicação seja criptografado, às vezes é possível derivar um contexto provável de uma conversa sem saber exatamente o que é dito, por exemplo, “uma pessoa ligou para uma pizzaria na hora do jantar” ou “alguém ligou para um número conhecido de linha direta de suicídio na hora do jantar”. 3 horas da manhã." Além das conversas individuais, também procuramos defender-nos contra ataques de correlação de contexto, através dos quais múltiplas conversas são analisadas para obter informações de nível superior: • Relacionamentos: Descobrir relações sociais entre um par de entidades analisando a frequência e a duração de suas comunicações durante um período de tempo. Por exemplo, Carol e Eve ligam uma para a outra todos os dias durante várias horas seguidas. • Cliques: Descobrir relações sociais entre um grupo de entidades que interagem entre si. Por exemplo, Alice, Bob e Eva se comunicam entre si. • Grupos vagamente conectados e indivíduos-ponte: descobrir grupos que se comunicam entre si através de intermediários, analisando cadeias de comunicação (por exemplo, toda vez que Alice fala com Bob, ela fala com Carol quase imediatamente depois; Bob e Carol nunca se comunicam). • Padrão de Vida: Descobrir quais comunicações são cíclicas e previsíveis. Por exemplo, Alice liga para Eve toda segunda-feira à noite por cerca de uma hora. Ataques Ativos Ataques de deturpação. O Cwtch não fornece registro global de nomes de exibição e, como tal, as pessoas que usam o Cwtch são mais vulneráveis ​​a ataques baseados em declarações falsas, ou seja, pessoas que fingem ser outras pessoas: O fluxo básico de um desses ataques é o seguinte, embora também existam outros fluxos: •Alice tem um amigo chamado Bob e outro chamado Eve • Eve descobre que Alice tem um amigo chamado Bob • Eve cria milhares de novas contas para encontrar uma que tenha uma imagem/chave pública semelhante à de Bob (não será idêntica, mas pode enganar alguém por alguns minutos) • Eve chama essa nova conta de "Eve New Account" e adiciona Alice como amiga. • Eve então muda seu nome em "Eve New Account" para "Bob" • Alice envia mensagens destinadas a "Bob" para a conta falsa de Bob de Eve Como os ataques de declarações falsas são inerentemente uma questão de confiança e verificação, a única maneira absoluta de evitá-los é os usuários validarem absolutamente a chave pública. Obviamente, isso não é o ideal e, em muitos casos, simplesmente não acontecerá . Como tal, pretendemos fornecer algumas dicas de experiência do usuário na interface do usuário para orientar as pessoas na tomada de decisões sobre confiar em contas e/ou distinguir contas que possam estar tentando se representar como outros usuários. Uma nota sobre ataques físicos A Cwtch não considera ataques que exijam acesso físico (ou equivalente) à máquina do usuário como praticamente defensáveis. No entanto, no interesse de uma boa engenharia de segurança, ao longo deste documento ainda nos referiremos a ataques ou condições que exigem tal privilégio e indicaremos onde quaisquer mitigações que implementámos falharão. Um perfil Cwtch. Os usuários podem criar um ou mais perfis Cwtch. Cada perfil gera um par de chaves ed25519 aleatório compatível com Tor. Além do material criptográfico, um perfil também contém uma lista de Contatos (outras chaves públicas do perfil Cwtch + dados associados sobre esse perfil, como apelido e (opcionalmente) mensagens históricas), uma lista de Grupos (contendo o material criptográfico do grupo, além de outros dados associados, como apelido do grupo e mensagens históricas). Conversões entre duas partes: ponto a ponto https://nostrcheck.me/media/public/nostrcheck.me_2186338207587396891707662879.webp Para que duas partes participem de uma conversa ponto a ponto, ambas devem estar on-line, mas apenas uma precisa estar acessível por meio do serviço Onion. Por uma questão de clareza, muitas vezes rotulamos uma parte como “ponto de entrada” (aquele que hospeda o serviço cebola) e a outra parte como “ponto de saída” (aquele que se conecta ao serviço cebola). Após a conexão, ambas as partes adotam um protocolo de autenticação que: • Afirma que cada parte tem acesso à chave privada associada à sua identidade pública. • Gera uma chave de sessão efêmera usada para criptografar todas as comunicações futuras durante a sessão. Esta troca (documentada com mais detalhes no protocolo de autenticação ) é negável offline , ou seja, é possível para qualquer parte falsificar transcrições desta troca de protocolo após o fato e, como tal - após o fato - é impossível provar definitivamente que a troca aconteceu de forma alguma. Após o protocolo de autenticação, as duas partes podem trocar mensagens livremente. Conversas em Grupo e Comunicação Ponto a Servidor Ao iniciar uma conversa em grupo, é gerada uma chave aleatória para o grupo, conhecida como Group Key. Todas as comunicações do grupo são criptografadas usando esta chave. Além disso, o criador do grupo escolhe um servidor Cwtch para hospedar o grupo. Um convite é gerado, incluindo o Group Key, o servidor do grupo e a chave do grupo, para ser enviado aos potenciais membros. Para enviar uma mensagem ao grupo, um perfil se conecta ao servidor do grupo e criptografa a mensagem usando a Group Key, gerando também uma assinatura sobre o Group ID, o servidor do grupo e a mensagem. Para receber mensagens do grupo, um perfil se conecta ao servidor e baixa as mensagens, tentando descriptografá-las usando a Group Key e verificando a assinatura. Detalhamento do Ecossistema de Componentes O Cwtch é composto por várias bibliotecas de componentes menores, cada uma desempenhando um papel específico. Algumas dessas bibliotecas incluem: - abertoprivacidade/conectividade: Abstração de rede ACN, atualmente suportando apenas Tor. - cwtch.im/tapir: Biblioteca para construção de aplicativos p2p em sistemas de comunicação anônimos. - cwtch.im/cwtch: Biblioteca principal para implementação do protocolo/sistema Cwtch. - cwtch.im/libcwtch-go: Fornece ligações C para Cwtch para uso em implementações de UI. TAPIR: Uma Visão Detalhada Projetado para substituir os antigos canais de ricochete baseados em protobuf, o Tapir fornece uma estrutura para a construção de aplicativos anônimos. Está dividido em várias camadas: • Identidade - Um par de chaves ed25519, necessário para estabelecer um serviço cebola Tor v3 e usado para manter uma identidade criptográfica consistente para um par. • Conexões – O protocolo de rede bruto que conecta dois pares. Até agora, as conexões são definidas apenas através do Tor v3 Onion Services. • Aplicativos - As diversas lógicas que permitem um determinado fluxo de informações em uma conexão. Os exemplos incluem transcrições criptográficas compartilhadas, autenticação, proteção contra spam e serviços baseados em tokens. Os aplicativos fornecem recursos que podem ser referenciados por outros aplicativos para determinar se um determinado peer tem a capacidade de usar um determinado aplicativo hospedado. • Pilhas de aplicativos - Um mecanismo para conectar mais de um aplicativo, por exemplo, a autenticação depende de uma transcrição criptográfica compartilhada e o aplicativo peer cwtch principal é baseado no aplicativo de autenticação. Identidade. Um par de chaves ed25519, necessário para estabelecer um serviço cebola Tor v3 e usado para manter uma identidade criptográfica consistente para um peer. InitializeIdentity - de um par de chaves conhecido e persistente:i,I InitializeEphemeralIdentity - de um par de chaves aleatório: ie,Ie Aplicativos de transcrição. Inicializa uma transcrição criptográfica baseada em Merlin que pode ser usada como base de protocolos baseados em compromisso de nível superior O aplicativo de transcrição entrará em pânico se um aplicativo tentar substituir uma transcrição existente por uma nova (aplicando a regra de que uma sessão é baseada em uma e apenas uma transcrição). Merlin é uma construção de transcrição baseada em STROBE para provas de conhecimento zero. Ele automatiza a transformação Fiat-Shamir, para que, usando Merlin, protocolos não interativos possam ser implementados como se fossem interativos. Isto é significativamente mais fácil e menos sujeito a erros do que realizar a transformação manualmente e, além disso, também fornece suporte natural para: • protocolos multi-round com fases alternadas de commit e desafio; • separação natural de domínios, garantindo que os desafios estejam vinculados às afirmações a serem provadas; • enquadramento automático de mensagens, evitando codificação ambígua de dados de compromisso; • e composição do protocolo, usando uma transcrição comum para vários protocolos. Finalmente, o Merlin também fornece um gerador de números aleatórios baseado em transcrição como defesa profunda contra ataques de entropia ruim (como reutilização de nonce ou preconceito em muitas provas). Este RNG fornece aleatoriedade sintética derivada de toda a transcrição pública, bem como dos dados da testemunha do provador e uma entrada auxiliar de um RNG externo. Conectividade Cwtch faz uso do Tor Onion Services (v3) para todas as comunicações entre nós. Fornecemos o pacote openprivacy/connectivity para gerenciar o daemon Tor e configurar e desmontar serviços cebola através do Tor. Criptografia e armazenamento de perfil. Os perfis são armazenados localmente no disco e criptografados usando uma chave derivada de uma senha conhecida pelo usuário (via pbkdf2). Observe que, uma vez criptografado e armazenado em disco, a única maneira de recuperar um perfil é recuperando a senha - como tal, não é possível fornecer uma lista completa de perfis aos quais um usuário pode ter acesso até inserir uma senha. Perfis não criptografados e a senha padrão Para lidar com perfis "não criptografados" (ou seja, que não exigem senha para serem abertos), atualmente criamos um perfil com uma senha codificada de fato . Isso não é o ideal, preferiríamos confiar no material de chave fornecido pelo sistema operacional, de modo que o perfil fosse vinculado a um dispositivo específico, mas esses recursos são atualmente uma colcha de retalhos - também notamos, ao criar um perfil não criptografado, pessoas que usam Cwtch estão explicitamente optando pelo risco de que alguém com acesso ao sistema de arquivos possa descriptografar seu perfil. Vulnerabilidades Relacionadas a Imagens e Entrada de Dados Imagens Maliciosas O Cwtch enfrenta desafios na renderização de imagens, com o Flutter utilizando Skia, embora o código subjacente não seja totalmente seguro para a memória. Realizamos testes de fuzzing nos componentes Cwtch e encontramos um bug de travamento causado por um arquivo GIF malformado, levando a falhas no kernel. Para mitigar isso, adotamos a política de sempre habilitar cacheWidth e/ou cacheHeight máximo para widgets de imagem. Identificamos o risco de imagens maliciosas serem renderizadas de forma diferente em diferentes plataformas, como evidenciado por um bug no analisador PNG da Apple. Riscos de Entrada de Dados Um risco significativo é a interceptação de conteúdo ou metadados por meio de um Input Method Editor (IME) em dispositivos móveis. Mesmo aplicativos IME padrão podem expor dados por meio de sincronização na nuvem, tradução online ou dicionários pessoais. Implementamos medidas de mitigação, como enableIMEPersonalizedLearning: false no Cwtch 1.2, mas a solução completa requer ações em nível de sistema operacional e é um desafio contínuo para a segurança móvel. Servidor Cwtch. O objetivo do protocolo Cwtch é permitir a comunicação em grupo através de infraestrutura não confiável . Ao contrário dos esquemas baseados em retransmissão, onde os grupos atribuem um líder, um conjunto de líderes ou um servidor confiável de terceiros para garantir que cada membro do grupo possa enviar e receber mensagens em tempo hábil (mesmo que os membros estejam offline) - infraestrutura não confiável tem o objetivo de realizar essas propriedades sem a suposição de confiança. O artigo original do Cwtch definia um conjunto de propriedades que se esperava que os servidores Cwtch fornecessem: • O Cwtch Server pode ser usado por vários grupos ou apenas um. • Um servidor Cwtch, sem a colaboração de um membro do grupo, nunca deve aprender a identidade dos participantes de um grupo. • Um servidor Cwtch nunca deve aprender o conteúdo de qualquer comunicação. • Um servidor Cwtch nunca deve ser capaz de distinguir mensagens como pertencentes a um grupo específico. Observamos aqui que essas propriedades são um superconjunto dos objetivos de design das estruturas de Recuperação de Informações Privadas. Melhorias na Eficiência e Segurança Eficiência do Protocolo Atualmente, apenas um protocolo conhecido, o PIR ingênuo, atende às propriedades desejadas para garantir a privacidade na comunicação do grupo Cwtch. Este método tem um impacto direto na eficiência da largura de banda, especialmente para usuários em dispositivos móveis. Em resposta a isso, estamos ativamente desenvolvendo novos protocolos que permitem negociar garantias de privacidade e eficiência de maneiras diversas. Os servidores, no momento desta escrita, permitem o download completo de todas as mensagens armazenadas, bem como uma solicitação para baixar mensagens específicas a partir de uma determinada mensagem. Quando os pares ingressam em um grupo em um novo servidor, eles baixam todas as mensagens do servidor inicialmente e, posteriormente, apenas as mensagens novas. Mitigação de Análise de Metadados Essa abordagem permite uma análise moderada de metadados, pois o servidor pode enviar novas mensagens para cada perfil suspeito exclusivo e usar essas assinaturas de mensagens exclusivas para rastrear sessões ao longo do tempo. Essa preocupação é mitigada por dois fatores: 1. Os perfis podem atualizar suas conexões a qualquer momento, resultando em uma nova sessão do servidor. 2. Os perfis podem ser "ressincronizados" de um servidor a qualquer momento, resultando em uma nova chamada para baixar todas as mensagens. Isso é comumente usado para buscar mensagens antigas de um grupo. Embora essas medidas imponham limites ao que o servidor pode inferir, ainda não podemos garantir resistência total aos metadados. Para soluções futuras para esse problema, consulte Niwl. Proteção contra Pares Maliciosos Os servidores enfrentam o risco de spam gerado por pares, representando uma ameaça significativa à eficácia do sistema Cwtch. Embora tenhamos implementado um mecanismo de proteção contra spam no protótipo do Cwtch, exigindo que os pares realizem alguma prova de trabalho especificada pelo servidor, reconhecemos que essa não é uma solução robusta na presença de um adversário determinado com recursos significativos. Pacotes de Chaves Os servidores Cwtch se identificam por meio de pacotes de chaves assinados, contendo uma lista de chaves necessárias para garantir a segurança e resistência aos metadados na comunicação do grupo Cwtch. Esses pacotes de chaves geralmente incluem três chaves: uma chave pública do serviço Tor v3 Onion para o Token Board, uma chave pública do Tor v3 Onion Service para o Token Service e uma chave pública do Privacy Pass. Para verificar os pacotes de chaves, os perfis que os importam do servidor utilizam o algoritmo trust-on-first-use (TOFU), verificando a assinatura anexada e a existência de todos os tipos de chave. Se o perfil já tiver importado o pacote de chaves do servidor anteriormente, todas as chaves são consideradas iguais. Configuração prévia do aplicativo para ativar o Relé do Cwtch. No Android, a hospedagem de servidor não está habilitada, pois essa opção não está disponível devido às limitações dos dispositivos Android. Essa funcionalidade está reservada apenas para servidores hospedados em desktops. No Android, a única forma direta de importar uma chave de servidor é através do grupo de teste Cwtch, garantindo assim acesso ao servidor Cwtch. Primeiro passo é Habilitar a opção de grupo no Cwtch que está em fase de testes. Clique na opção no canto superior direito da tela de configuração e pressione o botão para acessar as configurações do Cwtch. Você pode alterar o idioma para Português do Brasil.Depois, role para baixo e selecione a opção para ativar os experimentos. Em seguida, ative a opção para habilitar o chat em grupo e a pré-visualização de imagens e fotos de perfil, permitindo que você troque sua foto de perfil. https://pomf2.lain.la/f/eprhj0u3.mp4 Próximo passo é Criar um perfil. Pressione o + botão de ação no canto inferior direito e selecione "Novo perfil" ou aberta no botão + adicionar novo perfil. - Selecione um nome de exibição - Selecione se deseja proteger este perfil e salvo localmente com criptografia forte: Senha: sua conta está protegida de outras pessoas que possam usar este dispositivo Sem senha: qualquer pessoa que tenha acesso a este dispositivo poderá acessar este perfil. Preencha sua senha e digite-a novamente Os perfis são armazenados localmente no disco e criptografados usando uma chave derivada de uma senha conhecida pelo usuário (via pbkdf2). Observe que, uma vez criptografado e armazenado em disco, a única maneira de recuperar um perfil é recuperando a chave da senha - como tal, não é possível fornecer uma lista completa de perfis aos quais um usuário pode ter acesso até inserir um senha. https://pomf2.lain.la/f/7p6jfr9r.mp4 O próximo passo é adicionar o FuzzBot, que é um bot de testes e de desenvolvimento. Contato do FuzzBot: 4y2hxlxqzautabituedksnh2ulcgm2coqbure6wvfpg4gi2ci25ta5ad. Ao enviar o comando "testgroup-invite" para o FuzzBot, você receberá um convite para entrar no Grupo Cwtch Test. Ao ingressar no grupo, você será automaticamente conectado ao servidor Cwtch. Você pode optar por sair do grupo a qualquer momento ou ficar para conversar e tirar dúvidas sobre o aplicativo e outros assuntos. Depois, você pode configurar seu próprio servidor Cwtch, o que é altamente recomendável. https://pomf2.lain.la/f/x4pm8hm8.mp4 Agora você pode utilizar o aplicativo normalmente. Algumas observações que notei: se houver demora na conexão com outra pessoa, ambas devem estar online. Se ainda assim a conexão não for estabelecida, basta clicar no ícone de reset do Tor para restabelecer a conexão com a outra pessoa. Uma introdução aos perfis Cwtch. Com Cwtch você pode criar um ou mais perfis . Cada perfil gera um par de chaves ed25519 aleatório compatível com a Rede Tor. Este é o identificador que você pode fornecer às pessoas e que elas podem usar para entrar em contato com você via Cwtch. Cwtch permite criar e gerenciar vários perfis separados. Cada perfil está associado a um par de chaves diferente que inicia um serviço cebola diferente. Gerenciar Na inicialização, o Cwtch abrirá a tela Gerenciar Perfis. Nessa tela você pode: - Crie um novo perfil. - Desbloquear perfis. - Criptografados existentes. - Gerenciar perfis carregados. - Alterando o nome de exibição de um perfil. - Alterando a senha de um perfil Excluindo um perfil. - Alterando uma imagem de perfil. Backup ou exportação de um perfil. Na tela de gerenciamento de perfil: 1. Selecione o lápis ao lado do perfil que você deseja editar 2. Role para baixo até a parte inferior da tela. 3. Selecione "Exportar perfil" 4. Escolha um local e um nome de arquivo. 5.confirme. Uma vez confirmado, o Cwtch colocará uma cópia do perfil no local indicado. Este arquivo é criptografado no mesmo nível do perfil. Este arquivo pode ser importado para outra instância do Cwtch em qualquer dispositivo. Importando um perfil. 1. Pressione o +botão de ação no canto inferior direito e selecione "Importar perfil" 2. Selecione um arquivo de perfil Cwtch exportado para importar 3. Digite a senha associada ao perfil e confirme. Uma vez confirmado, o Cwtch tentará descriptografar o arquivo fornecido usando uma chave derivada da senha fornecida. Se for bem-sucedido, o perfil aparecerá na tela Gerenciamento de perfil e estará pronto para uso. OBSERVAÇÃO Embora um perfil possa ser importado para vários dispositivos, atualmente apenas uma versão de um perfil pode ser usada em todos os dispositivos ao mesmo tempo. As tentativas de usar o mesmo perfil em vários dispositivos podem resultar em problemas de disponibilidade e falhas de mensagens. Qual é a diferença entre uma conexão ponto a ponto e um grupo cwtch? As conexões ponto a ponto Cwtch permitem que 2 pessoas troquem mensagens diretamente. As conexões ponto a ponto nos bastidores usam serviços cebola Tor v3 para fornecer uma conexão criptografada e resistente a metadados. Devido a esta conexão direta, ambas as partes precisam estar online ao mesmo tempo para trocar mensagens. Os Grupos Cwtch permitem que várias partes participem de uma única conversa usando um servidor não confiável (que pode ser fornecido por terceiros ou auto-hospedado). Os operadores de servidores não conseguem saber quantas pessoas estão em um grupo ou o que está sendo discutido. Se vários grupos estiverem hospedados em um único servidor, o servidor não conseguirá saber quais mensagens pertencem a qual grupo sem a conivência de um membro do grupo. Ao contrário das conversas entre pares, as conversas em grupo podem ser conduzidas de forma assíncrona, para que todos num grupo não precisem estar online ao mesmo tempo. Por que os grupos cwtch são experimentais? Mensagens em grupo resistentes a metadados ainda são um problema em aberto . Embora a versão que fornecemos no Cwtch Beta seja projetada para ser segura e com metadados privados, ela é bastante ineficiente e pode ser mal utilizada. Como tal, aconselhamos cautela ao usá-lo e apenas o fornecemos como um recurso opcional. Como posso executar meu próprio servidor Cwtch? A implementação de referência para um servidor Cwtch é de código aberto . Qualquer pessoa pode executar um servidor Cwtch, e qualquer pessoa com uma cópia do pacote de chaves públicas do servidor pode hospedar grupos nesse servidor sem que o operador tenha acesso aos metadados relacionados ao grupo . https://git.openprivacy.ca/cwtch.im/server https://docs.openprivacy.ca/cwtch-security-handbook/server.html Como posso desligar o Cwtch? O painel frontal do aplicativo possui um ícone do botão "Shutdown Cwtch" (com um 'X'). Pressionar este botão irá acionar uma caixa de diálogo e, na confirmação, o Cwtch será desligado e todos os perfis serão descarregados. Suas doações podem fazer a diferença no projeto Cwtch? O Cwtch é um projeto dedicado a construir aplicativos que preservam a privacidade, oferecendo comunicação de grupo resistente a metadados. Além disso, o projeto também desenvolve o Cofre, formulários da web criptografados para ajudar mútua segura. Suas contribuições apoiam iniciativas importantes, como a divulgação de violações de dados médicos em Vancouver e pesquisas sobre a segurança do voto eletrônico na Suíça. Ao doar, você está ajudando a fechar o ciclo, trabalhando com comunidades marginalizadas para identificar e corrigir lacunas de privacidade. Além disso, o projeto trabalha em soluções inovadoras, como a quebra de segredos através da criptografia de limite para proteger sua privacidade durante passagens de fronteira. E também tem a infraestrutura: toda nossa infraestrutura é open source e sem fins lucrativos. Conheça também o Fuzzytags, uma estrutura criptográfica probabilística para marcação resistente a metadados. Sua doação é crucial para continuar o trabalho em prol da privacidade e segurança online. Contribua agora com sua doação https://openprivacy.ca/donate/ onde você pode fazer sua doação em bitcoin e outras moedas, e saiba mais sobre os projetos. https://openprivacy.ca/work/ Link sobre Cwtch https://cwtch.im/ https://git.openprivacy.ca/cwtch.im/cwtch https://docs.cwtch.im/docs/intro https://docs.openprivacy.ca/cwtch-security-handbook/ Baixar #CwtchDev cwtch.im/download/ https://play.google.com/store/apps/details?id=im.cwtch.flwtch

SimpleXChat é uma plataforma de mensagens revolucionárias que redefinem a privacidade, sendo o primeiro mensageiro sem IDs de usuário.

O aplicativo permite que os usuários se comuniquem com outras pessoas sem ter que fornecer identificadores de usuário, como números de telefone ou endereços de e-mail. é 100% privado e seguro, Por design, garantindo que suas mensagens nunca sejam rastreadas ou armazenadas. O SimpleXChat possui recursos como bate-papo em grupo, envio de arquivos e uma interface amigável para dispositivos móveis, desktop, CLI. O SimpleXChat é um dos aplicativos construídos sobre a plataforma SimpleX, que também serve como um exemplo e aplicativo de referência. O SimpleX Messaging Protocol (SMP) é um protocolo que permite enviar mensagens em uma direção para um destinatário, usando um servidor intermediário. As mensagens são entregues por meio de filas unidirecionais criadas pelos destinatários. O SMP é executado em um protocolo de transporte (TLS), que fornece integridade, autenticação do servidor, confidencialidade e vinculação do canal de transporte. A Rede SimpleX é o coletivo de servidores SimpleX que facilitam o SMP. As bibliotecas SimpleX Client falam SMP para SimpleX Servers e fornecem uma API de baixo nível, geralmente não destinada a ser usada por aplicativos. O aplicativo permite que os usuários se comuniquem com outras pessoas sem ter que fornecer identificadores de usuário, como números de telefone ou endereços de e-mail. O SimpleXChat possui recursos como bate-papo em grupo, envio de arquivos e uma interface amigável para dispositivos móveis. O SimpleX tem como objetivo fornecer uma infraestrutura de mensagens distribuídas que seja segura, privada, confiável, com entrega assíncrona e baixa latência. Ele visa oferecer melhor privacidade de metadados e segurança contra invasores de rede ativos e servidores mal-intencionados em comparação com soluções alternativas de mensagens instantâneas, ao mesmo tempo em que prioriza a experiência do usuário, especialmente em dispositivos móveis. Por que o SimpleX é único 1. Privacidade total de sua identidade, perfil, contatos e metadados Ao contrário de outras plataformas de mensagens, o SimpleX não possui identificadores atribuídos aos usuários . Ele não depende de números de telefone, endereços baseados em domínio (como e-mail ou XMPP), nomes de usuário, chaves públicas ou mesmo números aleatórios para identificar seus usuários - não sabemos quantas pessoas usam nossos servidores SimpleX Para entregar mensagens, o SimpleX usa endereços anônimos emparelhados de filas de mensagens unidirecionais, separadas para mensagens recebidas e enviadas, geralmente por meio de servidores diferentes. Usar o SimpleX é como ter um e-mail ou telefone “gravador” diferente para cada contato e sem problemas para gerenciá-los. Esse design protege a privacidade de quem você está se comunicando, ocultando-a dos servidores da plataforma SimpleX e de quaisquer observadores. Para ocultar seu endereço IP dos servidores, você pode se conectar aos servidores SimpleX via Tor . 2. A melhor proteção contra spam e abuso Como você não possui um identificador na plataforma SimpleX, ninguém pode entrar em contato com você, a menos que você compartilhe um endereço de usuário único ou temporário, como um código QR ou um link. Mesmo com o endereço de usuário opcional, embora possa ser usado para enviar solicitações de contato de spam, você pode alterá-lo ou excluí-lo completamente sem perder nenhuma de suas conexões. 3. Propriedade, controle e segurança de seus dados O SimpleX Chat armazena todos os dados do usuário apenas em dispositivos clientes usando um formato de banco de dados criptografado portátil que pode ser exportado e transferido para qualquer dispositivo compatível. As mensagens criptografadas de ponta a ponta são mantidas temporariamente em servidores de retransmissão SimpleX até serem recebidas e, em seguida, são excluídas permanentemente. Ao contrário dos servidores de redes federadas (e-mail, XMPP ou Matrix), os servidores SimpleX não armazenam contas de usuários, apenas retransmitem mensagens, protegendo a privacidade de ambas as partes. Ao contrário dos servidores de redes federadas (e-mail, XMPP ou Matrix), os servidores SimpleX não armazenam contas de usuários, apenas retransmitem mensagens, protegendo a privacidade de ambas as partes. Não há identificadores ou texto cifrado em comum entre o tráfego do servidor enviado e recebido - se alguém estiver observando, não poderá determinar facilmente quem se comunica com quem, mesmo que o TLS esteja comprometido. 4. Totalmente descentralizado — os usuários são proprietários da rede SimpleX Você pode usar o SimpleX com seus próprios servidores e ainda se comunicar com pessoas que usam os servidores pré-configurados fornecidos por nós. A plataforma SimpleX usa um protocolo aberto e fornece SDK para criar bots de bate-papo , permitindo a implementação de serviços com os quais os usuários podem interagir por meio de aplicativos de bate-papo SimpleX. A rede SimpleX é totalmente descentralizada e independente de qualquer criptomoeda ou qualquer outra plataforma, exceto a Internet. Você pode usar o SimpleX com seus próprios servidores ou com os servidores fornecidos por nós. Características SimpleXchat • Mensagens criptografadas por E2E com remarcação e edição • Imagens e arquivos criptografados por E2E • Grupos secretos descentralizados apenas os usuários sabem que eles existem • Mensagens de voz criptografadas por E2E • Mensagens desaparecidas • Chamadas de áudio e vídeo criptografadas com E2E • Banco de dados criptografado portátil — mova seu perfil para outro dispositivo • Modo de navegação anônima exclusivo do SimpleX Chat O que torna o SimpleX privado https://nostr.build/i/nostr.build_4e6fa7bc41d22d7a9672fa23b04b7aa6d69938d7013ac1ea31212a854e6d1e97.jpg Identificadores par a par anônimos temporários O SimpleX usa endereços emparelhados anônimos temporários e credenciais para cada contato do usuário ou membro do grupo. Ele permite entregar mensagens sem identificadores de perfil de usuário, fornecendo melhor privacidade de metadados do que alternativas. Troca de chaves fora de banda Muitas plataformas de comunicação são vulneráveis ​​a ataques MITM por servidores ou provedores de rede. Para evitar que os aplicativos SimpleX passem chaves únicas fora de banda, quando você compartilha um endereço como um link ou um código QR. https://nostr.build/i/nostr.build_9065e2600cf42d0bcf7bb89deb674eb0630c590bd043b1f8c92272011ec7a2ec.jpg 2 camadas de criptografia de ponta a ponta Protocolo de catraca dupla — mensagens OTR com sigilo de encaminhamento perfeito e recuperação de invasão. Criptobox NaCL em cada fila para evitar a correlação de tráfego entre as filas de mensagens se o TLS estiver comprometido. https://nostr.build/i/nostr.build_defe978ea10526b657bf35e6809f4385c82c7eca58b91ae3a0e81447dbf0bda3.jpg Verificação da integridade da mensagem Para garantir a integridade as mensagens são numeradas sequencialmente e incluem o hash da mensagem anterior. Se alguma mensagem for adicionada, removida ou alterada, o destinatário será alertado. https://nostr.build/i/nostr.build_debf9317b88a015af37f8c610d4e1671bc495d1a80c2b6ea090d202fb332ba84.jpg Camada adicional de criptografia do servidor Camada adicional de criptografia do servidor para entrega ao destinatário, para evitar a correlação entre o tráfego do servidor recebido e enviado se o TLS estiver comprometido. https://nostr.build/i/nostr.build_13793f89276380e221bd15f6173fe1221f550993a0902a249b5ba86e5fe1d237.jpg Mistura de mensagens para reduzir a correlação Os servidores SimpleX atuam como nós de mistura de baixa latência — as mensagens recebidas e enviadas têm ordem diferente. https://nostr.build/i/nostr.build_1c7146ca7b3871ff1de184be78785e9e0c45cf2567f6147b260009d9c74925ed.jpg Transporte TLS autenticado seguro Somente o TLS 1.2/1.3 com algoritmos fortes é usado para conexões cliente-servidor. A impressão digital do servidor e a ligação do canal evitam ataques MITM e de repetição. A retomada da conexão é desativada para evitar ataques de sessão. https://nostr.build/i/nostr.build_515af3c35a729f3dd47619965f76e3a8499ad1fe7694f2bbab14404cf5a77f6a.jpg Acesso opcional via Tor Para proteger seu endereço IP, você pode acessar os servidores via Tor ou alguma outra rede de sobreposição de transporte. Para usar o SimpleX via Tor, instale o aplicativo Orbot e habilite o proxy SOCKS5 (ou VPN no iOS ). https://nostr.build/i/nostr.build_0c8f651db74c9ae2ab4d4424972b21d64af8dab2aa5364d4b140898bebfc42b0.jpg Filas de mensagens unidirecionais Cada fila de mensagens passa mensagens em uma direção, com diferentes endereços de envio e recebimento. Ele reduz os vetores de ataque, em comparação com os corretores de mensagens tradicionais e os metadados disponíveis. https://nostr.build/i/nostr.build_a7b6103be59dbffb242e6b5d371767f6df3219a1cad2a0f05a278cfb7596ad3d.jpg Várias camadas de preenchimento de conteúdo SimpleX usa preenchimento de conteúdo para cada camada de criptografia para frustrar ataques de tamanho de mensagem. Faz mensagens de tamanhos diferentes parecerem iguais para os servidores e observadores de rede. https://nostr.build/i/nostr.build_6ac8491d3e0236460bb914ea5dc1a23fea03e6c598cef6643949eea38e5fad44.jpg A rede SimpleX diferente de outras redes P2P ao ser composta por clientes e servidores sem depender de um componente centralizado. Ele usa filas de mensagens unidirecionais redundantes (simplex) para comunicação, eliminando a necessidade de endereços exclusivos globalmente. As solicitações de conexão são protegidas contra ataques man-in-the-middle e as filas de mensagens simples são usadas pelos clientes para criar cenários de comunicação mais complexos. Os servidores não armazenam nenhuma informação do usuário e os usuários podem mudar de servidor com interrupção mínima. Rede SimpleX Simplex Chat fornece a melhor privacidade combinando as vantagens de redes P2P e federadas. https://nostr.build/i/nostr.build_062b212b3c43e9cab9e7290e6a052012c54acabadfeb962190ffe9783647f356.jpg Ao contrário das redes P2P Todas as mensagens são enviadas pelos servidores, proporcionando melhor privacidade de metadados e entrega de mensagens assíncronas confiáveis, evitando muitos problemas de redes P2P . 1. As redes P2P dependem de alguma variante do DHT para rotear mensagens. Os projetos DHT precisam equilibrar a garantia de entrega e a latência. O SimpleX tem melhor garantia de entrega e menor latência do que o P2P, pois a mensagem pode ser passada de forma redundante por vários servidores em paralelo, utilizando os servidores escolhidos pelo destinatário. Em redes P2P a mensagem é passada por nós O(log N) sequencialmente, usando nós escolhidos pelo algoritmo. 2. O design SimpleX, ao contrário da maioria das redes P2P, não possui identificadores globais de usuário de qualquer tipo, mesmo temporários, e usa apenas identificadores temporários emparelhados, fornecendo melhor anonimato e proteção de metadados. 3. O P2P não resolve o problema do ataque MITM e a maioria das implementações existentes não usa mensagens fora de banda para a troca inicial de chaves. O SimpleX usa mensagens fora de banda ou, em alguns casos, conexões seguras e confiáveis ​​pré-existentes para a troca inicial de chaves. 4. As implementações P2P podem ser bloqueadas por alguns provedores de Internet (como BitTorrent ). O SimpleX é agnóstico de transporte - ele pode funcionar sobre protocolos da Web padrão, por exemplo, WebSockets. 5. Todas as redes P2P conhecidas podem ser vulneráveis ​​ao ataque Sybil , porque cada nó é detectável e a rede opera como um todo. As medidas conhecidas para mitigá-lo exigem um componente centralizado ou uma prova de trabalho cara . A rede SimpleX não tem capacidade de descoberta de servidor, é fragmentada e opera como várias sub-redes isoladas, impossibilitando ataques em toda a rede. 6. As redes P2P podem ser vulneráveis ​​a ataques DRDoS , quando os clientes podem retransmitir e amplificar o tráfego, resultando em negação de serviço em toda a rede. Os clientes SimpleX apenas retransmitem o tráfego de conexão conhecida e não podem ser usados ​​por um invasor para amplificar o tráfego em toda a rede. Ao contrário das redes federadas Os servidores de retransmissão SimpleX NÃO armazenam perfis de usuário, contatos e mensagens entregues, NÃO se conectam entre si e NÃO há diretório de servidores. https://nostr.build/i/nostr.build_abadeb8361026101dc2e5888217cd7620d7cf01233a7961071bb07c49f7f9f0e.jpg os servidores fornecem filas unidirecionais para conectar os usuários, mas não têm visibilidade do grafo de conexão de rede — somente os usuários têm. https://nostr.build/i/nostr.build_0f281d6b89e96efcc9334384ae9f251c529feb136748dd0846e249a715e2a5e3.jpg Simplex explicado 1. O que os usuários experimentam https://nostr.build/i/nostr.build_157aa796dd3953b830e5643a5e98bb07b09d1ab8737a4f8b39d26e3637902ae8.jpg Você pode criar contatos e grupos e ter conversas bidirecionais, como em qualquer outro messenger. Como trabalhar com filas unidirecionais e sem identificadores de perfil de usuário? 2. Como funciona https://nostr.build/i/nostr.build_fda66ead74bed1a72139cf9ce9cbe96eea7a09b9007151a576124f8cab39952d.jpg Para cada conexão, você usa duas filas de mensagens separadas para enviar e receber mensagens por meio de servidores diferentes. Os servidores passam mensagens apenas de uma maneira, sem ter uma imagem completa da conversa ou das conexões do usuário. 3. O que os servidores veem https://nostr.build/i/nostr.build_e95db233e71ef8ff53590e740095429338c8aba8fba846431d81112ffba01932.jpg Os servidores possuem credenciais anônimas distintas para cada fila e não têm conhecimento da identidade dos usuários. A implementação Roteamento de Mensagens Privadas na Rede SimpleX é um marco significativo na evolução do Protocolo de Mensagens SimpleX, elevando a privacidade dos usuários a outro patamar! https://image.nostr.build/f77c4336cb335cb87dab6645bbac7a8f6a99d8b8e7a787511918c740558b5be7.jpg Qual é o problema? https://image.nostr.build/4ad92ca6d702155c97849fce854f6c3101ac979b21781620500edd357ab6d7a3.jpg Design da rede Simplex sempre se concentrou na proteção da identidade do usuário no nível do protocolo de mensagens - não há identificadores de perfil de usuário de qualquer tipo no design do protocolo, nem mesmo números aleatórios ou chaves criptográficas. Porém, até este lançamento, a rede SimpleX não tinha proteção integrada de identidades de transporte de usuários - endereços IP. Como anteriormente os usuários só podiam escolher quais retransmissores de mensagens usar para receber mensagens, esses retransmissores poderiam observar os endereços IP dos remetentes e, se esses retransmissores fossem controlados pelos destinatários, os próprios destinatários também poderiam observá-los - seja modificando o código do servidor ou simplesmente rastreando todos os endereços IP conectados. Para contornar essa limitação, muitos usuários se conectaram a retransmissores de rede SimpleX via Tor ou VPN – para que os retransmissores dos destinatários não pudessem observar os endereços IP dos usuários quando eles enviassem mensagens. Ainda assim, foi a limitação mais importante e mais criticada da rede SimpleX pelos usuários. O que é roteamento de mensagens privadas e como funciona? O roteamento de mensagens privadas é um marco importante para a evolução da rede SimpleX. É um novo protocolo de roteamento de mensagens que protege os endereços IP dos usuários e as sessões de transporte dos retransmissores de mensagens escolhidos por Seus contatos. O roteamento de mensagens privadas é, efetivamente, um protocolo de roteamento cebola de 2 saltos inspirado no design do Tor, mas com uma diferença importante - o primeiro retransmissor (encaminhamento) é sempre escolhido pelo remetente da mensagem e o segundo (destino) - pelo destinatário da mensagem. Desta forma, nenhum lado da conversa pode observar o endereço IP ou a sessão de transporte do outro. Ao mesmo tempo, os retransmissores escolhidos pelos clientes remetentes para encaminhar as mensagens não conseguem observar para quais conexões (filas de mensagens) as mensagens são enviadas, devido à camada adicional de criptografia ponta a ponta entre o remetente e o retransmissor de destino, semelhante ao funcionamento do roteamento cebola na rede Tor, e também graças ao design do protocolo que evita quaisquer identificadores repetidos ou não aleatórios associados às mensagens, que de outra forma permitiriam correlacionar as mensagens enviadas para diferentes conexões como enviadas pelo mesmo usuário. Cada mensagem encaminhada para o retransmissor de destino é adicionalmente criptografada com uma chave efêmera única, para ser independente das mensagens enviadas para diferentes conexões. O protocolo de roteamento também evita a possibilidade de ataque MITM pelo retransmissor de encaminhamento, que fornece ao certificado as chaves de sessão do servidor de destino para o cliente remetente que são assinadas criptograficamente pelo mesmo certificado que está incluído no endereço do servidor de destino, para que o cliente possa verifique se as mensagens são enviadas para o destino pretendido e não interceptadas. O diagrama abaixo mostra todas as camadas de criptografia usadas no roteamento de mensagens privadas: https://image.nostr.build/c238546e47b00dfea742ab1fc008ff51811240025a603dfbcc94b5bc14b5aa88.jpg e2e - duas camadas de criptografia ponta a ponta entre clientes remetentes e receptores, uma das quais usa algoritmo de catraca dupla E2EE Post-quantum. Essas camadas de criptografia também estão presentes na versão anterior do protocolo de roteamento de mensagens. s2d - criptografia entre o cliente remetente e o retransmissor de destino do destinatário . Essa nova camada de criptografia oculta os metadados da mensagem (endereço de conexão de destino e sinalizador de notificação de mensagem) da retransmissão de encaminhamento. f2d - nova camada de criptografia adicional entre retransmissores de encaminhamento e destino , protegendo contra correlação de tráfego caso o TLS seja comprometido - não há identificadores ou texto cifrado em comum entre o tráfego de entrada e saída de ambos os retransmissores dentro da conexão TLS. d2r - camada de criptografia adicional entre o retransmissor de destino e o destinatário, protegendo também da correlação de tráfego caso o TLS seja comprometido. TLS - criptografia de transporte TLS 1.3. Para que o roteamento privado funcione, tanto a retransmissão de encaminhamento quanto a de destino devem suportar o protocolo de mensagens atualizado - ele é compatível com a versão 5.8 das retransmissões de mensagens. https://image.nostr.build/2edbb7721c3ccf8a21274e96e25ee076c3522323870d92b73dbd1f6bda66fce8.jpg Passo a passo do aplicativo nostr:nprofile1qqsvnx99ww0sfall7gpv2jtz4ftc9v6wevgdd7g4hh7awkpfvwlezugpzdmhxue69uhhqatjwpkx2urpvuhx2ue0chkv5c Backup e Recuperação de Dados: - instalação do aplicativo. - Exportação do banco de dados Backup. - Importação do Backup do banco de dados. 1. Baixe e Instale o Aplicativo: - baixar o SimpleXchat no F-droid ou Obtainium. F-droid https://simplex.chat/fdroid/ https://f-droid.org/packages/chat.simplex.app/ Obtainium. https://github.com/simplex-chat/simplex-chat - Faça o download e instale o aplicativo em seu dispositivo móvel. Criando seu perfil: 1. Criar perfil: - Clique em “CRIE SEU PERFIL”, contatos e mensagens são armazenados localmente em seu dispositivo. https://image.nostr.build/e109c9fd5ea327640f0af2d6396aaa7e7d85594c6b20fd6ed426a558195a0021.jpg 2. Nome de Exibição exemplo: Alex teste :-) - Toque em "Criar" para configurar seu perfil e começar a usar o SimpleXchat. https://image.nostr.build/96a1c59d370d554ada31e91301857825af7975b29eb82fe8fcb5cbba9d40bf23.jpg 3. Endereço SimpleX: - Clique no nome “Criar endereço SimpleX “ - clicar em " continuar " Ou Clicar em " Não criar endereço " pode criá-lo mais tarde. https://image.nostr.build/cb91c0c1d43ce6c1a310cf2547cc88510529db3c2a5ce17ca79ec5d9269cb58e.jpg https://image.nostr.build/47595ab6c17183c267fab2892a8d188b2e9fe29f067c8d96afec2ddbb9feda95.jpg 4. Notificação privadas - Escolha o tipo de notificação que prefere 3 opções. Escolha a opção aberta em “ USAR BATE- PAPO “ https://image.nostr.build/96027dc0c47bdcb8a9c5017592bd6828f8e2d752883c826c08105aec340f1d81.jpg • Backup e Recuperação de Dados: - Cópia de segurança. “Clicar no canto superior lado esquerdo na foto de perfil“ Selecione a opção “Senha e Exportação de Banco de Dados“ https://image.nostr.build/7918c90aec373af57ccdcb1194e9277ab85aabadf83ac1d35065ec2a9f2b0aef.jpg Desabilite a opção “O bate-papo está em execução ” Clique em “parar” https://image.nostr.build/8473fac2cef41d35451abcf8b40101630caf92b30f01e51767df1cc428dd8a70.jpg https://image.nostr.build/bdd691b738712f98107c7da404d693d9cccce58c2afb89a2d6f649190e13a3e2.jpg Seu banco de dados de bate-papo tem 4 opções. - Senha do banco de dados - Exportar banco de dados - Importar banco de dados - Excluir banco de dados Clique na primeira opção " Senha do banco de dados " - O Banco de Dados tem seus contatos e grupos e é protegido por sua senha que criptografa o banco de dados. Recomenda-se trocar essa senha padrão. https://image.nostr.build/91859f269fbca9d02009652f2f9b3f76abcaa9de8647b48b5d20bee291e32ba3.jpg Clicar na primeira opção " Senha de banco de dados " Lembre-se de usar uma senha forte. Após adicionar senha clique em “Atualizar senha do banco de dados” https://image.nostr.build/3d84eb9954080589ea79050420300baa7e095f1dfc37c925ec4abf7abb047675.jpg Vai aparecer um aviso. Alterar senha do banco de dados? A senha de criptografia do banco de dados será atualizada e armazenada no keystore. Guarde a senha em um local seguro, você NÃO poderá alterá-la se a perder. https://image.nostr.build/61dcdfdb82764df8855ef9e15c453b42d9c87fd23ea9e797ea066ad31f94fd61.jpg Só clique em “Atualizar” demora 1 minuto aparece a mensagem “banco de dados criptografado!” Só clique em “ok” https://image.nostr.build/8c303857ae63b803792f71273b4891f7adcfdbc3d0a428ecde2abbfef168781d.jpg • Clique na opção 2. Exportar banco de dados. https://image.nostr.build/91859f269fbca9d02009652f2f9b3f76abcaa9de8647b48b5d20bee291e32ba3.jpg Tem duas poções para salvar na memória do Celular, Pendrive, componentes externos de sua preferência. - Por padrão Vai abrir a memória do celular para salvar o arquivo backup criptografado na pasta de sua escolha. - Pra guardei no pendrive é necessário um cabo OTG para salvar o backup criptografado. Conecte um cabo OTG no celular, alguns celulares já confirmam automaticamente e entram diretamente na pasta do seu pendrive outros aparece um aviso pra aceitar pendrive. Depois basta selecionar o pendrive e salvar o backup. https://image.nostr.build/c3bd4ca72270d651f4ea7125ac697cd11cb47316e4f0d18e8dfef732579ae77b.jpg • Clique na opção 3. Importar banco de dados. https://image.nostr.build/91859f269fbca9d02009652f2f9b3f76abcaa9de8647b48b5d20bee291e32ba3.jpg - Caso você perca seu celular, você não tem acesso ao backup. Mas se você tiver salvo no pendrive ou componentes externos, basta seguir as etapas a seguir. - Faça a instalação do aplicativo e crie uma nova conta, selecione a opção "Senha e Exportação de Banco de Dados" e desabilite a opção "Chat em Execução". Isso permitirá que você faça a importação do backup. Clique na opção Importar banco de dados. Selecione o artigo do backup no pendrive ou na pasta dentro do novo celular só basta clicar no arquivo. https://image.nostr.build/47cac70f4ba0520c060da98b4b3559f621757d98b4f963b1b1fd2cc522eafa45.jpg Vai aparecer um aviso. Importa banco de dados de Chat? Seu banco de dados do Chat atual será EXCLUÍDO ou SUBSTITUÍDO pelo importado. Essa ação não pode ser desfeita - Seu perfil, contatos, mensagens e arquivos serão perdidos de forma irreversível. Só clique em "importar" https://image.nostr.build/fdfa5e4ba2b6cd1a2b9116633da3f8a7cf91f41dd6d5739582f4e112ae384f7a.jpg Vai aparecer um aviso. Banco de dados de chat Importado. Reinicie o aplicativo para usar o banco de dados do chat Importado. Só clique em "ok" Depois Habilite a opção "o bate-papo está parado" https://image.nostr.build/1f261f36262d5a6cf593b5cb09abdb63ace7bf63f0e66bee7b949850972b3f92.jpg A senha do banco de dados é necessária para abrir o Chat. Digite a senha do seu banco de dados. Depois é só clicar em "salvar senha e abrir Chat" Pronto foi feita a recuperação de todos os meus dados, incluindo contatos, mensagens e grupos✅️ https://image.nostr.build/28f13ac654c68c890495cbf9689d09946b7af1ecc00a796b9ffd6d64059f4516.jpg https://image.nostr.build/aae866f7577995bda6735e0a5e4683770bac2af845ae8b552da6526c4f589f08.jpg Protegendo sua Privacidade no SimpleX Chat. https://image.nostr.build/88fe0bf337105a3be94754c64bedfbe17d35c586714aa225d0179a379f9a1f71.jpg Recentemente, tive uma experiência interessante ao explorar as opções de privacidade e segurança no SimpleX Chat. Uma funcionalidade que me chamou a atenção foi a opção de senha de auto destruição, que oferece uma camada adicional de proteção aos dados sensíveis. Ao configurar o SimpleX Chat para usar senha de auto destruição, percebi o quão poderosa essa ferramenta pode ser para proteger minha privacidade. Após ativar essa opção, qualquer tentativa de acessar meu perfil precisa da senha escolhida por mim. E, se alguém tentasse forçar a abertura do aplicativo, eu posso simplesmente digitar a senha de auto destruição seria apresentado um perfil vazio, sem histórico de conversas. Essa função e bem útil em situações extremas. A configuração da senha de auto destruição é simples mas poderosa. Basta acessar as configurações de privacidade e segurança. https://image.nostr.build/4fb6166656b544c645f316dfc4dad3b9e787b280745992dab30786b0bd0c2ee5.jpg Aberta na opção de bloqueio SimpleX. https://image.nostr.build/b866d08644b64884101aae6d011248a3557ac80bcc6e442ae8f62bdb3ee69776.jpg mudar para a opção de senha. Em seguida, é possível escolher se deseja ativar a senha de auto destruição e inserir a senha desejada. https://image.nostr.build/867d375825640721ee888e524455fb539df50be87df901dcf0ccfa19f2267576.jpg Só basta adicionar a senha. https://image.nostr.build/5bfb500816f814eab189283a64086ad47f32671d8e42558f3f911676ff4df741.jpg https://image.nostr.build/59323fa6900d4f3b27b39b032f7c2cffdbf379a77c53ed9180c0ace0ca903950.jpg Pronto. Está Ativado a senha de auto destruição. https://image.nostr.build/511f82832d1e72d0363cfc5b7b201aaba56f65cfa00360d1c1f4d8d188bb3cdf.jpg Uma vez configurada, a senha de auto destruição garante que todos os dados, incluindo backups, sejam eliminados permanentemente se a senha de auto destruição for inserida ao desbloquear o aplicativo. Tenha um backup no pendrive ou em outro local guardado. https://image.nostr.build/dfbbc5ef805194cc00a09fb690fc76896ada9a9d3f98e8b141f52c72342e2625.jpg https://image.nostr.build/32a771a0ba2bae47f45f900fc765ffbeae0374724a1a0140c0f2cef83a2e5c2f.jpg Essa funcionalidade oferece uma tranquilidade adicional ao utilizar o SimpleX Chat, pois sei que meus dados estão protegidos contra acesso não autorizado. Além disso, a capacidade de criar um perfil vazio para ocultar a identidade real é uma ferramenta valiosa em situações críticas , proteger meus dados sensíveis e manter minha privacidade intacta. https://medium.com/@alexemidio/o-simplexchat-%C3%A9-uma-plataforma-de-mensagens-revolucion%C3%A1rias-que-redefinem-a-privacidade-sendo-o-4690f2a1b2d4 Podcast muito bom no @optoutpod com o criador @epoberezkin https://youtu.be/LrLsS7-woN0 Site : https://simplex.chat/ Protocolo de bate-papo: https://github.com/simplex-chat/simplex-chat/blob/stable/docs/protocol/simplex-chat.md Whitepaper, incluindo modelagem de ameaças: https://github.com/simplex-chat/simplexmq/blob/stable/protocol/overview-tjr.md Execute seu próprio servidor SimpleX SMP: https://github.com/simplex-chat/simplexmq https://play.google.com/store/apps/details?id=chat.simplex.app Como auto-hospedar servidor Simplexchat https://youtu.be/p1NF68KIt7M?si=Nhwa8ZajmAvke6lW https://youtu.be/p1NF68KIt7M?si=uZqOtVu0sLWLXBJX https://simplex.chat/docs/server.html https://github.com/simplex-chat/simplexmq

Entendendo e usando a rede I2P - Introdução

## Tutorial feito por Grom Mestre⚡ Poste original Abaixo. Part 1: http://xh6liiypqffzwnu5734ucwps37tn2g6npthvugz3gdoqpikujju525yd.onion/229987/tutorial-entendendo-e-usando-a-rede-i2p-introdu%C3%A7 Part 2: http://xh6liiypqffzwnu5734ucwps37tn2g6npthvugz3gdoqpikujju525yd.onion/230035/tutorial-instalando-e-configurando-o-roteador-i2p?show=230035#q230035 Part 3: http://xh6liiypqffzwnu5734ucwps37tn2g6npthvugz3gdoqpikujju525yd.onion/230113/tutorial-conectando-se-ao-xmpp-pela-i2p?show=230113#q230113 Boa tarde, camaradas do meu coeur! Depois de muito tempo, e com o retorno da minha serotonina aos níveis basais, estou dando início a essa nova série de tutoriais. Espero que tirem muito proveito das informações passadas aqui para amplicarem o seu conhecimento da deepweb. Esta postagem trará antes algumas considerações iniciais que podem ser úteis para quem possui pouco ou nenhum contato prévio com outras tecnologias ou tenha um entendimento torto a respeito da deepweb. Aconselho a estes que deem um boa lida antes de partirem para os tópicos do tutorial, mas saibam que ele não é um pré requisito para ele. Dito isso, vamos prosseguir. TÓPICOS: Introdução Instalando e configurando o roteador e o navegador Conectando-se a serviços na I2P Configurações avançadas ## 1. Introdução ### 1.1 Definindo a DeepWeb. Muitos devem imaginar erroneamente que a deepweb se restrinja apenas à rede onion, mais precisamente aos seus hidden services, já que o Tor possui como uma das suas funções primárias proteger e burlar restrições governamentais e proteger o seus usuários através de métodos sofisticados de roteamento de pacotes e criptografia. Entretanto, ela é mais ampla do que se imagina dependendo da forma como a classificamos.  Os ditos "profissionais" usam uma definição extremamente vaga e imprecisa do que seria a deepweb e a sua verdadeira abrangência. Para isso, criei uma definição um pouco melhor para ela: redes comunitárias, sobrepostas, anônimas e criptografadas.  Vamos aos pontos individualmente: > São Comunitárias, pois os pontos de roteamento de pacotes na rede (relays ou routers) muitas vezes são mantidos de forma voluntária por usuários comuns. Não é necessário nenhuma infraestrutura sofisticada para ser um contribuinte na rede, basta ter um computador com acesso à internet e conhecimentos básicos para fazer a configuração. > São sobrepostas porque não estão acima ou abaixo da rede tradicional (diferente do que muitos imaginam). Os pacotes na DW trafegam entre os dados da surface e não em meios distintos (algo que não faz o menor sentido). Sabe aquele papo de camadas da DW ou aquela abobrinha da Mariana's Web? Então, tudo um monte de bosta derivado de Youtubers sensacionalistas iletrados em informática. Elitismo da minha parte? Quem sabe... > São anônimas porque não é simples determinar a origem e o destino dos pacotes entre nodes intermediários dado a natureza do roteamento. Em geral, aos menos para a rede onion, há pelo menos 3 relays entre você e o servidor, sendo que esse número duplica para hidden services (3 seus e 3 do serviço). A imagem abaixo ilustra bemocoteamento dos pacotes na onio. https://image.nostr.build/aea96f41d356157512f26b479ea8db5bce8693dd642f2bce0258d8e4b0dac053.jpg > Por fim, são criptografadas porque as conexões são fortemente protegidas por algoritmos sofisticados de criptografia. Além de não sabermos a origem dos dados, sequer podemos saber com facilidade o conteúdo dessas mensagens mesmo que os protocolos das camadas superiores (HTTP, HTTPS, FTP) sejam inseguros, dado que a criptografia da própria rede já as protege. Por isso é tão comum que sites da DW não usem HTTPS, pois as autoridades de certificados não os assinam para domínios da onion e certificados autoassinados vão disparar avisos no navegador. A imagem abaixo ilustra bem como é o roteamento onion usado pelo Tor. Perceba que o contéudo da mensagem está enrolado em 3 camadas de criptografia (como a de uma cebola), de modo que para revelar o contéudo original seria preciso quebrar, no pior dos casos, 3 camadas. Como mencionado antes, o método usado para isso é a criptografia assimétrica, muito similar ao PGP, porém com a sua própria implementação. https://image.nostr.build/7bfaaf29211c11b82049ef8425abb67738d085c41558e9339ec13cf49ea5b548.jpg Observação: Por mais que dentro da rede o encapsulamento proteja as mensagens internamente, entenda muito bem que isso não se aplica a sites da surface acessados pela onion. Ao desempacotar a última camada, a mensagem original é completamente exposta no exit node. Se ela não estiver protegida por uma camada adicional como TLS, seus pacotes estarão completamente expostos, algo que representa um sério risco de segurança. As redes que caem em ao menos três dessas definições (anonimato, sobreposição e criptografia) podem ser classificadas como deepwebs. Podemos citar: • Lokinet • Zeronet • Freenet • I2P • Tor • Gnunet  Porém, há alguns casos interessantes que não caem diretamente nessa regra . A Yggdrasil ( https://yggdrasil-network.github.io/ ), uma rede de topologia mesh com foco em escalabilidade e eficiência de roteamento, possui três dessas características: comunitária, sobreposta e segura. Entretanto, os nodes não são anônimos e muitas vezes podem estar desprotegidos, já que se conectar à Yggdrasil é que equivalente a ligar o seu computador diretamente na rede sem a presença de um NAT/CGNAT, correndo o risco de expor portas de serviços da sua máquina caso elas não estejam protegidas por um firewall. A Yggdrasil na prática é exposta como um dispositivo de camada 3 (tipo um VPN), mas diferente de um, apenas endereços IPv6 dentro de uma faixa bem específica de IP são roteados por ela, o que permite que ela coexista com outros dispositivos sem haver conflitos de roteamento. Há quem argumente que a Yggdrasil é uma deepweb dado a sua sobreposição em relação à surface; outros podem argumentar que dado a falta de anonimato ela não se enquadraria nessa categoria. Independentemente disso é uma tecnologia muito interessante com ampla gama de aplicações, como encapsular tráfego de outras redes, como a I2P, e melhorar a eficiência de roteamento. Por fim, vamos desmitificar alguns mitos da DeepWeb muito difundidos. Não existem camadas da DW. Os pacotes da DW são sobrepostos e navegam juntos aos pacotes da surface. DeepWeb e DarkWeb não são coisas diferentes. São termos genéricos para a mesma coisa. DarkWeb não é o seu provedor de e-mail ou serviço de banco. Se eles não se enquadram nas categorias de um deepweb, então estão na surface. Você não é irrastreável na DW. Adversários motivados podem foder com você com facilidade (leia a respeito de ataques de Timing, correlação e fingerprinting). Mesmo que não seja possível ver o conteúdo de uma mensagem pela deepweb, é possível ao menos saber que você a acessou. ISPs podem ver esse tipo de tráfego como suspeito. Você não é um hacker só porque instalou o TorBrowser, mas pode ser considerado um se expor o IP de um hidden service. ## Instalando e configurando o roteador I2P Segue agora a seção 2 do tutorial do I2P. Mas antes apenas queria falar um pouco do projeto I2P. Apesar do foco do tutorial não ser para tratar da sua história, gostaria ao menos de fazer uma breve introdução sobre ela. O projeto I2P (Invisible Internet Protocol) é uma rede P2P descentalizada, anônima e segura para estabelecer a comunicação entre os usuários e serviços. Na I2P é possível usar serviços como mensageiros IRC, XMPP, web services, e-mail e até mesmo torrents. A I2P nasceu de um fork da Freenet no ano de 2003, porém possui diferenças drásticas em relação a ela. Há similaridades entre a I2P e o Tor, porém vale destacar algumas de suas vantagens. Sendo elas: • Garlic routing ( https://geti2p.net/en/docs/how/garlic-routing ) • Modelo P2P • Todos os participantes da rede contribuem para ela • Fechado na rede - não é possível acessar a surface através da I2P • Otimizado para hidden services Apesar disso, vale lembrar que o projeto é pequeno, desenvolvido por menos voluntários se comparado ao Tor e possui menos movimentação e financiamento para o seu desenvolvimento. Além disso, o Tor é um projeto muito mais maduro e bem documentado, algo que atrai mais usuários e desenvolvedores e torna a tarefa de encontrar e corrigir bugs mais fácil de ser realizada.  Esses são pontos importantes que devemos levar em conta ao escolher a tecnologia para as nossas necessidades. Nem sempre há tecnologias ruins, as vezes apenas as empregamos as ferramentas erradas na resolução de certos problemas. Referências: • https://geti2p.net/en/comparison/tor • https://geti2p.net/en/docs/how/garlic-routing • https://geti2p.net/en/about/intro • https://i2pd.readthedocs.io/en/latest/ ### 2. Instalando e configurando o roteador Antes da criação do I2PBrowserBundle ( https://github.com/PurpleI2P/i2pdbrowser/releases/tag/1.3.3 ) , a única forma de se conectar à I2P era pela configuração manual de proxy no navegador. Muita gente ou não sabe ou tem MUUUUUITA preguiça de fazer isso e ficam resistentes de entrar na I2P dada essa restrição. Como eu quero ser um bom tutor eu farei do jeito mais "difícil", pois tanto eu desejo que vocês aprendam as nuances do processo como eu sei que vocês são inteligentes o suficiente para fazer isso. ### 2.1 Instalação do router Atualmente nós temos duas implementações do I2P: Uma em Java e outra em C++ (i2pd). Usaremos nesse tutorial a versão em C++ dado o seu baixo uso de recursos e facilidade de instalação. O I2Pd está disponível para Windows, Linux, MacOS e Android e possui binários pré-compilados nas releases ( https://github.com/PurpleI2P/i2pd/releases/tag/2.50.2 ) do projeto no Github. Usuários de Linux podem instalá-lo através do respectivo gerenciador de pacotes da sua distribuição, porém algumas distros não oferecem o pacote diretamente nos reposítórios oficiais, necessitando do uso de PPAs (Ubuntu), COPR (Fedora/RHEL) e afins. Vocês podem conferir as instruções oficiais para cada sistema nessa página ( https://i2pd.readthedocs.io/en/latest/user-guide/install/ ). Apesar desse tutorial ser voltado a usuários de desktop, o I2Pd também está disponível na loja do F-droid. Infelizmente poucos navegadores em Android permitem a configuração de proxies, porém na seção de Serviços na I2P eu tratarei brevemente de como se conectar a servidores de XMPP usando o ConversationI2P. Para usuários de Windows, segue abaixo os binários para instalação. • Versão 32bits ( https://github.com/PurpleI2P/i2pd/releases/download/2.50.2/i2pd_2.50.2_win32_mingw.zip ) • Versão 64bits ( https://github.com/PurpleI2P/i2pd/releases/download/2.50.2/i2pd_2.50.2_win64_mingw.zip ) • Versão para Windows XP (pois é, kk) ( https://github.com/PurpleI2P/i2pd/releases/download/2.50.2/i2pd_2.50.2_winxp_mingw.zip ) A instalação é simples e direta. Após ela apenas abram o I2Pd para que o router inicie a operação de busca e conexão com os peers. Para usuários de Linux, vocês precisam ativar o serviços através do comando 'sudo systemctl start i2pd'. Se vocês desejam que o I2Pd inicie junto com o sistema usem o comando 'sudo systemctl enable --now i2pd'. Se tudo estiver funcionando corretamente, vocês serão capazes de abrir o webconsole do I2Pd no navegador através do endereço: 127.0.0.1:7070.  https://image.nostr.build/ab205ae1071a2b705279e5ce2d6e912d8d11cc7d6dd0dc8a26b76724a27bd94b.jpg https://image.nostr.build/fa17e14600737ccfc92a415cec2fbfba226b950b2b97af7475927ae65abdbe11.jpg ### 2.2 Instalação e configuração do navegador Apesar de  qualquer navegador ser capaz de usar a I2P não é recomendado que usem qualquer um, especialmente o navegador que você usam no seu dia-a-dia. Recomendo que usem um navegador próprio para usar na I2P ou isolem suas atividades em um perfil separado. Em navegadores baseado no Firefox isso é relativamente simples, bastando adicionar a opção '--profile' e o caminho do perfil que vocês desejam usar. Nesse tutorial eu vou mostrar como criar um perfil novo no Librewolf e configurar no lançador para iniciar o perfil e abrir em uma janela anônima. Essas instruções são análogas para todos os sistemas, excetuando aquelas configurações mais exóticas. ### 2.2.1 Escolhendo o navegador Como citado, usarei o Librewolf como exemplo. Vocês podem baixar o instalador direto do site ou usar o gerenciador de pacotes do seu sistema no caso de Linux. Como é uma tarefa trivial eu não vou detalhar esse processo, pois todas as instruções estão em detalhes no site do navegador ( https://librewolf.net/installation/ ) ### 2.2.2 Criando um perfil e configurando o lançador Abram o navegador e digitem 'about:profiles' na barra de endereço. Criem um novo perfil clicando em 'Create New Profile' https://image.nostr.build/fa17e14600737ccfc92a415cec2fbfba226b950b2b97af7475927ae65abdbe11.jpg Coloquem um nome no seu perfil e cliquem em Finalizar https://image.nostr.build/62059e375000940f11b27ae77b9ec011f9baadbb5a84afc910d41841ce73e82d.jpg Perfis novos recém criados são iniciados por padrão. Se você deseja usar outro perfil por padrão deve mudar isso na seção 'about:profiles' do navegador. Agora vamos configurar o lançador do LibreWolf para iniciar o perfil do i2p e em uma janela anônima. Usarei o XFCE como referência para essa tarefa, mas saibam que o processo é análogo em sistemas como Windows ou DEs como KDE. Se quiserem também podem lançar via terminal através do comando 'librewolf --profile caminho_do_perfil --private-window'. Cliquem com o botão direito no ícone do Librewolf e abram as propriedades do atalho. Na guia lançador, no campo Comando, adicionem no final a opção '--private-window' e a opção '--profile caminho_do_perfil'. O caminho do perfil é aquele mostrado na seção 'about:profiles' do Librewolf. https://image.nostr.build/a7d6515d7825cb3bdcb681ecf71a97318dccba81eea7cc87fc5377ecc06065ee.jpg 2.2.3 Configurando o proxy Com o lançador configurado, abra o navegador nesse perfil. Vamos configurar o proxy para se conectar ao I2P agora. Abra as configurações digitando 'about:preferences' na barra de endereço. Na seção 'Geral' abra as configurações de rede (Network Settings) https://image.nostr.build/f37157bebf15ada616914f403e756cf9fcee4c9aaaa353196c9cc754ca4d7bc5.jpg Configure o seu proxy como na figura abaixo. https://image.nostr.build/41ebd05255a8129d21011518d400689308d9c0320408967003bf296771e0b96f.jpg Fecha as configurações. Se o seu proxy foi configurado corretamente tente abrir algum desses eepsites. • http://identiguy.i2p • http://notbob.i2p • http://reg.i2p Se tudo ocorreu como conforme, a página será carregada. https://image.nostr.build/ce29ae44743f06cfed591f082208c9612c59b3429ab46d90db48131b3bc3e99d.jpg OBSERVAÇÃO: A busca pelos peers é um pouco demorada, levando de 2 a 5 minutos para que um número mínimo necessário de peers sejam encontrados para estabelecer uma conexão estável. Você pode ver a lista de inbound e outbound tunnels na seção Tunnels do WebConsole (localhost:7070) https://image.nostr.build/285a0d765eaf5f33409f975cd720d0efa68ecc40a9da20bfd9cde0cd1f59a7b6.jpg IMPORTANTE: Apesar do Librewolf possuir defaults seguros, eu recomendo que vocês instalem as seguintes extensões para aumentar ainda mais a sua proteção. • noScript • JShelter Lembrem-se que vocês precisam desativar o proxy para acessar a clearnet. Depois disso reativem-no nas configurações. Outro detalhe: Se vocês tentarem digitar um endereço .i2p na barra de endereços do navegador sem especificar o protocolo (http), ao invés do Librewolf ir ao endereço ele vai realizar uma pesquisa. Para corrigir esse problema, vocês precisam adicionar a seguinte configuração do tipo boolean em 'about:config' como mostrado na imagem. https://image.nostr.build/4518ab817b131f7efe542b2d919b926099dce29a7b59bdd3c788caf53dbd071e.jpg Reiniciem o navegador e testem. Se tudo deu certo vocês não precisam especificar o protocolo ao digitar um endereço .i2p, bastando apenas digitar o endereço simplificado. Por fim, terminamos essa parte do tutorial. Na próximo parte trataremos de como podemos nos conectar a serviços hospedados na I2P como XMPP ## [TUTORIAL] Conectando-se ao XMPP pela I2P Essa é a terceira parte da série de tutoriais. Agora vamos tratar de algumas operações na rede, sendo uma delas conectando-se a um servidor de XMPP na I2P. Não se esqueça de ligar o router e manter ele ligado por alguns minutos antes de iniciar essas operações. O router demora um pouco para encontrar os peers e estabelecer uma conexão estável.  ### 3.1 Escolhendo o cliente XMPP Existem diversos clientes XMPP capazes de se conectar usando um proxy. Um dos melhores é o Gajim, um cliente escrito em Python com diversas funcionalidades como criptografia OMEMO e PGP, workspaces separados, extensibilidade via plugins e uma interface bonita e organizada. Assim como ocorreu com o router, o Gajim está disponível por padrão na maioria das distros Linux. Use o seu gerenciador de pacotes para instala-lo. Em Windows você pode baixar o Gajim através desse link ( https://gajim.org/download/ ) ### 3.2 Criando uma conta Vamos primeiro criar uma conta no servidor. No nosso exemplo usarei o servidor oficial do projeto i2pd, o xmpp.ilita.i2p. Há diversos outros servidores XMPP no diretório de links notbob.i2p caso queiram explorar mais. Para criar uma conta, siga os passos abaixo: Abra o Gajim. Na barra de tarefas vá em Contas -> Adicionar Conta. Na nova janela que aparecer, clique em Adicionar Conta https://image.nostr.build/01413e7c6d00c238420e3b0c769dd8d7f7d6522754d2135d3e98a22944f79a27.jpg https://image.nostr.build/9f015861f33990871d96f03d5ec78036a65e3ad9f8ff6a38da18c5b27d31f6d5.jpg Na janela de adicionar contas, clique diretamente em Inscrever-se. Não precisa colocar as suas credencias como mostra a imagem (falha minha, ksksk) https://nostrcheck.me/media/c8411a22946e97467e0ee197ef7a0205ba05f2c67bde092041481ccc2cbbc66d/81938c8d278ce0562c2240341e203f3b70f51ee2db06ceb453f8a178df37fa84.webp Digite o nome do servidor no campo abaixo. Não esqueça de marcar a opção 'Configurações Avançadas' antes de clicar em Inscrever-se https://image.nostr.build/5ee4305a6a23e5c064446b0ce7a4cbc7e790c1ba237bd2495d0237b86a4df07f.jpg Vamos adicionar um novo proxy para essa conta. Para isso clique no botão 'Gerenciar proxies', ao lado do campo Proxy nas Configurações Avançadas https://image.nostr.build/daceb5436def55401d3974ce48d85771e5ebcec4e3f90eb1001df4609112ec12.jpg Adicione um novo proxy clicando no sinal de '+' abaixo da lista de proxies. Preencha os campos de acordo com a imagem abaixo e em seguida feche a janela. https://image.nostr.build/140b34c4e46e9295c073311d483d206201d9339a75f613fe4e829c14f3257bfe.jpg https://image.nostr.build/d365a63d81a14d763bffceb50b30eb53d81959623f8fe812175358a41b1fba53.jpg No campo de Proxy, selecione o proxy I2P. Preencha o restante dos campos de acordo com a imagem abaixo. Em seguida clique em 'Inscrever-se'. https://image.nostr.build/d06c11d9c6d19728bf5a58af2dd3e14d8ca0021456da09792a345ac0bfc90ad0.jpg Nesse momento uma mensagem pode aparecer pedindo para abrir uma exceção para o certificado TLS. Isso acontece porque trata-se de um certificado autoassinado que não foi validado por uma autoridade oficial. Apenas abra a exceção e prossiga (não há imagem para isso porque eu já abri essa exceção no meu cliente). Uma nova janela vai aparecer solicitando-lhe para inserir as suas credenciais. Tome cuidado aqui, pois não é para inserir o nome completo com o domínio, apenas o seu nome de usuário (ex: descartavel). https://image.nostr.build/dde2a6736bd00080fbeeb8076754e226971a412710b370d5559f7f4d5414f8b3.jpg Se tudo der certo, uma nova janela vai aparecer confirmando a sua inscrição. Coloque um nome e uma cor para a sua conta e clique em Conectar para concluir o processo. https://image.nostr.build/74934d3f1f3f4232eacee8e78e707936227f816c50ac6b52da5c81ec17557e69.jpg Para finalizar, nos detalhes da sua conta, modifique as suas configurações de privacidade para diminuir o fingerprint. Na seção de 'Privacidade', desligue as seguintes opções: • Tempo ocioso • Hora de Sistema Local • Sistema Operacional • Reprodução de Mídia https://image.nostr.build/d2ed5852a104c770b50c7b053d518d8af0b6289ced6b3ad4187492208c7ca649.jpg ### 3.3 Procurando por salas de bate-papo públicas Após criar a sua nova conta, vamos descobrir alguns serviços que o servidor oferece. Para isso, vá para Contas -> Descobrir serviços https://image.nostr.build/54928d1dd0e48365858b24c72097a9fabf677794e13f329fc0568211eefbe559.jpg Na seção 'Bate-papo em Grupo', selecione Chatrooms e clique em 'Navegar'. Ao fazer isso uma lista de chatroom públicos presentes no servidor vai aparecer. Fique a vontade para explorar, porém saiba que alguns servidores são moderados e não te permitem mandar mensagens sem sua conta ser aprovada pelo moderador (familiar?). https://image.nostr.build/1936bef51d58a1f6cfdf8bf8d84bfa64adc2a09b9c0fb1623b93a327f0b8cdd8.jpg https://image.nostr.build/89e8013b1cea1df0f80f6833bd6771c33101f404b0099b2d7330a5e57607baff.jpg ### 3.4 Adicionando contatos Para adicionar contatos à sua lista, clique no símbolo de '+' ao lado do campo de pesquisa e selecione 'Add Contact'. https://image.nostr.build/d3cadea27591355f674fba93765c3815282d112b2e80a592bb77a442c13dd4f4.jpg Coloque o endereço completo da conta que você deseja adicionar. Usarei a minha conta oficial nesse exemplo. Você tem a opção de anexar uma mensagem qualquer antes de enviar o convite. Clique em 'Adicionar Contato' para prosseguir. https://image.nostr.build/ff95b7aec2377c58d4253c5b7b3aabf141a92dd5f3e97f6e1f01ecb32a215d38.jpg https://image.nostr.build/6562e680e28c321ebbd009b5ade513f8a279aea33bc16aa9fb251f3507eb04af.jpg Se tudo ocorrer normalmente, o novo contato vai aparecer na sua lista. Dê dois-cliques na conta para abrir o chat. Não se esqueça de ativar a criptografia OMEMO antes de enviar qualquer mensagem. Agora você está pronto para conversar de forma segura :) https://image.nostr.build/ef7f783a311ad0f68a5408137f75dc2bc6c38f6e9656dc0d68d3267f5012f658.jpg E com isso terminamos a terceira parte da série de tutoriais. ## [TUTORIAL] Criando e conectando-se a um servidor XMPP na I2P e clearnet. Como configurar o seu próprio servidor XMPP. https://youtube.com/watch?v=Ot_EmQ8xdJwy Criando contas e conectando clientes Pidgin http://i2pd.readthedocs.io/en/latest/tutorials/xmpp/#creating-accounts-and-connecting-clients BONUS: Conectando-se facilmente à I2P. https://youtube.com/watch?v=wGIh5tQcw68

The Invisible Internet Project (I2P)

I2P é uma rede anônima, oferecendo uma camada simples que aplicativos sensíveis à identidade podem usar para se comunicar com segurança. Todos os dados são agrupados com várias camadas de criptografia e a rede é distribuída e dinâmica, sem partes confiáveis. O Invisible Internet Project começou em 2002. A visão do projeto, conforme descrito em uma entrevista com Lance James, era que a rede I2P "oferecesse total anonimato, privacidade e segurança no mais alto nível possível. Internet descentralizada e ponto a ponto significa não se preocupe mais com seu ISP controlando seu tráfego. Isso permitirá que (as pessoas) realizem atividades contínuas e mudem a maneira como vemos a segurança e até a Internet, utilizando criptografia de chave pública, esteganografia de IP e autenticação de mensagens. A Internet que deveria ter sido, será em breve." Desde então, o I2P evoluiu para especificar e implementar um conjunto completo de protocolos de rede capazes de fornecer um alto nível de privacidade, segurança e autenticação para uma variedade de aplicativos. A rede I2P. A rede I2P é uma rede de sobreposição ponto a ponto totalmente criptografada. Um observador não pode ver o conteúdo, origem ou destino de uma mensagem. Ninguém pode ver de onde vem o tráfego, para onde está indo ou qual é o conteúdo. Além disso, os transportes I2P oferecem resistência ao reconhecimento e bloqueio por parte dos censores. Como a rede depende de pares para rotear o tráfego, o bloqueio baseado em localização é um desafio que cresce com a rede. Cada roteador na rede participa de tornar a rede anônima. Exceto nos casos em que seria inseguro, todos participam do envio e recebimento do tráfego de rede. Como funciona o I2P? O I2P usa criptografia para obter uma variedade de propriedades para os túneis que constrói e as comunicações que transporta. Os túneis I2P usam transportes, NTCP2 e SSU2, para ocultar o tráfego que está sendo transportado por eles. As conexões são criptografadas de roteador para roteador e de cliente para cliente (ponta a ponta). Forward-secrecy é fornecido para todas as conexões. Como o I2P é endereçado criptograficamente, os endereços de rede I2P são auto-autenticados e pertencem apenas ao usuário que os gerou. A rede é composta por pares ("roteadores") e túneis virtuais unidirecionais de entrada e saída. Os roteadores se comunicam entre si usando protocolos construídos em mecanismos de transporte existentes (TCP, UDP), passando mensagens. As aplicações cliente possuem seu próprio identificador criptográfico ("Destino") que permite enviar e receber mensagens. Esses clientes podem se conectar a qualquer roteador e autorizar a alocação temporária ("lease") de alguns túneis que serão utilizados para envio e recebimento de mensagens pela rede. O I2P possui seu próprio banco de dados de rede interna (usando uma modificação do Kademlia DHT) para distribuir roteamento e informações de contato com segurança. Sobre a Descentralização e a Rede I2P A rede I2P é quase totalmente descentralizada, com exceção dos chamados Reseed Servers. Isso é para lidar com o problema de bootstrap DHT (Distributed Hash Table). Basicamente, não há uma maneira boa e confiável de deixar de executar pelo menos um nó de inicialização permanente que os participantes que não são da rede possam encontrar para começar. Uma vez conectado à rede, um roteador só descobre pares construindo túneis "exploratórios", mas para fazer a conexão inicial, um host reseed é necessário para criar conexões e integrar um novo roteador à rede. Os servidores reseed podem observar quando um novo roteador baixou um reseed deles, mas nada mais sobre o tráfego na rede I2P. Recursos do I2P O I2P oferece uma série de recursos para proteger a privacidade do usuário. Alguns desses recursos incluem: Ocultação do endereço IP: O I2P oculta o endereço IP do usuário, tornando impossível que alguém rastreie a atividade do usuário na rede. Comunicação segura: Todas as comunicações dentro da rede I2P são criptografadas de ponta a ponta, garantindo a privacidade do usuário. Anonimato: O I2P permite que os usuários se comuniquem de forma anônima, o que significa que sua identidade não é exposta durante a comunicação. Sites ocultos: O I2P permite que os usuários criem e acessem sites ocultos, que só podem ser acessados dentro da rede I2P. Vantagens do uso do I2P O I2P oferece várias vantagens para os usuários que desejam proteger sua privacidade online. Algumas dessas vantagens incluem: Proteção contra vigilância governamental: O I2P ajuda a proteger os usuários contra a vigilância governamental, tornando impossível rastrear o endereço IP do usuário. Anonimato em redes públicas: O I2P ajuda a proteger os usuários contra ataques de hackers em redes Wi-Fi públicas. Acesso a sites censurados: O I2P permite que os usuários acessem sites que estão bloqueados em sua região ou país. O I2P é uma rede anônima de comunicação que oferece recursos de privacidade avançados para proteger a privacidade do usuário. Ele permite que os usuários se comuniquem de forma anônima e segura e cria uma solução eficaz para usuários que valorizam a privacidade e a segurança online. Se você está preocupado com sua privacidade online, o I2P pode ser uma ótima escolha. https://github.com/i2p

VeraCrypt é um software de criptografia de disco completo, que permite criar e gerenciar volumes criptografados em seu computador ou dispositivo de armazenamento externo.

VeraCrupt foi lançado em 2013 como um fork do projeto TrueCrypt descontinuado. Desde então, o VeraCrypt tem passado por diversas atualizações e melhorias de segurança, incluindo a correção de problemas identificados por auditorias de código do TrueCrypt. O VeraCrypt inclui implementações otimizadas de funções criptográficas de hash e cifras, o que aumenta o desempenho em CPUs modernas. O software permite criar e gerenciar volumes criptografados em computadores ou dispositivos de armazenamento externo, com suporte para vários algoritmos de criptografia e recursos adicionais, como proteção contra ataques de keylogger e ocultação de volumes , tem opção de segurança robusta para proteger seus dados. Quando você cria um volume criptografado no VeraCrypt, o software cria um arquivo virtual que funciona como um disco rígido criptografado. Esse arquivo é montado como uma unidade lógica no seu sistema operacional e pode ser acessado como qualquer outro disco rígido. Antes que você possa acessar o volume criptografado, você precisa fornecer a senha correta. A senha é usada para desbloquear o arquivo virtual criptografado e permitir que o sistema operacional acesse o conteúdo. O VeraCrypt suporta vários algoritmos de criptografia, incluindo AES, Serpent e Twofish, que podem ser selecionados pelo usuário ao criar o volume criptografado. O VeraCrypt também oferece recursos adicionais de segurança, como proteção contra keyloggers, que podem registrar as teclas digitadas no teclado para capturar senhas. Ele faz isso fornecendo uma interface virtual para digitar senhas, o que impede que os keyloggers capturem a senha real. O VeraCrypt também permite ocultar volumes criptografados dentro de outros volumes criptografados, o que fornece uma camada adicional de segurança. O veracrypt proteger informações confidenciais armazenadas em dispositivos de armazenamento, como discos rígidos, unidades flash USB e cartões de memória, contra acesso não autorizado. Se um usuário estiver executando o Tails a partir de uma unidade flash USB, e o disco rígido estiver criptografado com o VeraCrypt, o Tails não terá acesso ao conteúdo do disco rígido, a menos que o usuário monte o volume criptografado do VeraCrypt e forneça a senha correta. No entanto, é importante lembrar que a criptografia do disco rígido por si só não garante a segurança completa do sistema. Os usuários também devem tomar outras medidas de segurança, como manter o sistema operacional e o software atualizados, usar senhas fortes e não compartilhá-las com ninguém, e tomar cuidado com o acesso físico ao computador ou dispositivo de armazenamento externo. https://veracrypt.fr https://github.com/veracrypt/VeraCrypt/

O Standard Notes é um aplicativo de gerenciamento de informações pessoais de código aberto, que utiliza criptografia de ponta a ponta para proteger seus dados de acesso não autorizado.

Ele oferece a opção de utilizar autenticação de dois fatores para aumentar ainda mais a segurança. O aplicativo foi desenvolvido em 2016 pelo americano Mo Bitar para oferecer um lugar seguro para armazenar informações pessoais sem a preocupação de que seus dados sejam coletados ou expostos a terceiros. O Standard Notes é um cofre de aço para seus dados mais confidenciais, que protege suas anotações e arquivos com criptografia de ponta a ponta líder do setor e auditada 4x. Armazene com segurança todos os seus dados confidenciais em um só lugar e acesse-os de todos os seus dispositivos, com a certeza de que seus dados estarão sempre protegidos pelos mais altos padrões de segurança. Ao contrário de outros serviços de anotações, o Standard Notes apresenta medidas de segurança avançadas e controles de privacidade que protegem seus dados contra hacks, violações de dados, acesso do governo e até mesmo acesso de funcionários. Ele defende a privacidade dos usuários e apresenta políticas revisadas por pares e auditáveis. O Standard Notes utiliza criptografia de ponta a ponta para proteger todos os dados, que são criptografados sempre que tocam um disco, como em seus servidores ou no dispositivo do usuário. Auditorias independentes são realizadas periodicamente em sua criptografia, aplicativo e código do servidor para garantir que os dados estejam protegidos. O código aberto do Standard Notes permite que os usuários tenham clareza sobre como seus dados estão sendo tratados em cada etapa do caminho. Ele não coleta ou armazena informações do usuário, como endereço IP ou agente do usuário, para proteger a privacidade. 1. Acesse a F-droid ou Google Play Store em seu dispositivo Android. 2. siga as instruções para criar uma conta ou fazer login em uma conta existente. 3. Comece a criar suas notas e armazenar outras informações importantes com a tranquilidade de que seus dados estão seguros e protegidos. https://github.com/standardnotes

O KeePassXC é um gerenciador de senhas de código aberto que oferece uma forma segura e conveniente de armazenar e gerenciar suas senhas.

Lançado em 2016 como uma versão atualizada e aprimorada do KeePassX, o KeePassXC (Cross-Platform Community Edition) foi desenvolvido por um grupo de desenvolvedores com o objetivo de melhorar a experiência do usuário, adicionar recursos, corrigir bugs e fortalecer a segurança do gerenciador de senhas. Uma das principais melhorias introduzidas pelo KeePassXC foi a implementação de recursos de segurança avançados. O programa utiliza criptografia AES-256 para proteger o banco de dados, tornando-se um padrão de criptografia amplamente reconhecido. Além disso, foram adicionados recursos como autenticação de dois fatores, suporte a chave de arquivo e melhorias no gerador de senhas. A interface também passou por atualizações, incluindo novos ícones, layouts e melhorias de usabilidade, como recursos de pesquisa avançada, filtragem personalizada e a capacidade de criar entradas personalizadas. O KeePassXC funciona como um gerenciador de senhas, permitindo que você armazene, organize e acesse suas senhas de forma segura. Aqui está uma explicação simplificada de como ele funciona: 1. Criação do banco de dados: Ao iniciar o KeePassXC, você pode criar um banco de dados onde todas as suas senhas serão armazenadas. Esse banco de dados é um arquivo criptografado e protegido por uma senha mestra. 2. Armazenamento das senhas: Você pode adicionar suas senhas ao banco de dados do KeePassXC. Isso pode ser feito manualmente, inserindo as informações da senha (como nome do site, nome de usuário e senha) em uma entrada específica. O KeePassXC também possui um gerador de senhas que pode criar senhas fortes e únicas para você. 3. Acesso às senhas: Para acessar suas senhas armazenadas, você precisa fornecer a senha mestra. Essa senha é usada para desbloquear o banco de dados criptografado e permitir o acesso às senhas. Certifique-se de escolher uma senha forte e exclusiva para garantir a segurança do seu banco de dados. 4. Preenchimento automático: Uma das principais vantagens do KeePassXC é o recurso de preenchimento automático de senhas. Quando você visita um site ou aplicativo que requer uma senha, o KeePassXC pode preencher automaticamente as informações de login para você, tornando o processo mais conveniente e seguro. 5. Sincronização e backup: O KeePassXC permite que você sincronize seu banco de dados de senhas entre diferentes dispositivos. Isso pode ser feito através de serviços de armazenamento em nuvem seguros, como Dropbox ou Google Drive. Além disso, é recomendado fazer backup regularmente do seu banco de dados para evitar a perda de suas senhas. 6. Segurança avançada: O KeePassXC utiliza criptografia avançada para proteger suas senhas. O algoritmo AES-256 é usado para criptografar o banco de dados, garantindo que apenas você possa acessar as senhas. Além disso, o KeePassXC suporta recursos de segurança adicionais, como autenticação de dois fatores e chave de arquivo. 7. Integração com navegadores: O KeePassXC pode ser integrado aos navegadores da web, permitindo que você acesse suas senhas diretamente dos formulários de login dos sites. Isso facilita o preenchimento automático e evita a necessidade de copiar e colar manualmente as senhas. O KeePassXC resolve vários problemas relacionados à segurança de senhas e oferece benefícios significativos para os usuários: 1. Gerenciamento de senhas seguro: O KeePassXC permite que você armazene todas as suas senhas em um único local seguro. Você não precisa mais se preocupar em lembrar várias senhas diferentes para diferentes serviços. Todas as suas senhas são armazenadas no banco de dados criptografado do KeePassXC, protegido por uma senha mestra. 2. Criptografia avançada: O KeePassXC utiliza criptografia de nível avançado para proteger suas senhas. O algoritmo AES-256, amplamente reconhecido como um dos mais seguros, é usado para criptografar o banco de dados do KeePassXC. Isso garante que suas senhas permaneçam seguras e não sejam acessíveis a pessoas não autorizadas. 3. Senhas fortes e únicas: O KeePassXC possui um gerador de senhas integrado que pode criar senhas fortes e únicas para você. Isso ajuda a evitar o uso de senhas fracas e fáceis de adivinhar, tornando suas contas mais seguras contra ataques de hackers. 4. Autenticação de dois fatores: O KeePassXC suporta autenticação de dois fatores, o que significa que você pode adicionar uma camada adicional de segurança ao fazer login no gerenciador de senhas. Isso pode ser feito por meio de um aplicativo de autenticação no seu smartphone ou utilizando dispositivos de segurança como chaves USB. 5. Segurança offline: O KeePassXC é uma solução offline, o que significa que todas as suas senhas são armazenadas localmente no seu dispositivo. Isso reduz o risco de exposição de dados sensíveis em ataques online e violações de segurança em serviços baseados na nuvem. 6. Portabilidade: O KeePassXC é um programa de código aberto e multiplataforma. Isso significa que você pode instalá-lo e utilizá-lo em diferentes sistemas operacionais, como Windows, macOS e Linux. Você pode até mesmo transferir seu banco de dados de senhas entre diferentes dispositivos, permitindo acesso fácil e seguro às suas senhas em qualquer lugar. 7. Auditoria e transparência: Sendo um projeto de código aberto, o KeePassXC permite que qualquer pessoa examine seu código-fonte e verifique sua segurança. Isso garante uma maior transparência e confiança na integridade do gerenciador de senhas. É importante ressaltar que o KeePassXC é uma solução offline, o que significa que suas senhas são armazenadas localmente no seu dispositivo, em vez de serem enviadas para a nuvem. Isso ajuda a proteger suas informações contra ataques cibernéticos e violações de segurança. O KeePassXC funciona como um cofre seguro para suas senhas. Ele armazena e protege suas senhas com criptografia avançada, permitindo o acesso conveniente através do preenchimento automático. Com recursos de segurança adicionais e a capacidade de sincronizar e fazer backup do banco de dados, o KeePassXC oferece uma solução confiável para o gerenciamento de senhas. https://keepassxc.org/ https://github.com/keepassxreboot/keepassxc

Joplin: O Aplicativo de Anotações Focado em Privacidade e Flexibilidade.

O Joplin é um aplicativo gratuito e de código aberto que permite a criação e organização de notas, tarefas e listas, e está disponível para as plataformas Windows, macOS, Linux, Android e iOS. Com ele, você pode organizar suas notas em cadernos, categorizá-las com tags e sincronizá-las entre dispositivos de forma segura. Seu diferencial é o foco em privacidade e flexibilidade. O Joplin garante que suas notas estejam sempre acessíveis, mesmo offline, e permite que você sincronize seu conteúdo com serviços de nuvem de forma criptografada, garantindo que ninguém além de você tenha acesso aos dados. Principais Recursos 1. Suporte Multiplataforma O Joplin está disponível para todas as principais plataformas de desktop e dispositivos móveis, o que permite que você leve suas notas para onde for. Além disso, ele oferece um Web Clipper para capturar páginas da web diretamente do navegador (compatível com Firefox e Chrome), facilitando o arquivamento de conteúdos importantes da internet. 2. Organização e Formato Markdown As notas no Joplin são salvas no formato Markdown, uma linguagem de marcação simples que permite criar textos formatados de maneira intuitiva. Isso torna a edição e formatação de notas mais flexível e prática, além de facilitar a exportação para outros formatos. As notas podem ser organizadas em cadernos e subcadernos, e você pode adicionar tags para facilitar a pesquisa e a categorização de informações. 3. Importação de Notas do Evernote Para quem está pensando em migrar do Evernote, o Joplin permite a importação direta de notas exportadas no formato ENEX, preservando o conteúdo formatado, anexos (imagens, PDFs, etc.) e até mesmo os metadados, como a localização geográfica e datas de criação/modificação. Se você deseja importar suas notas do Evernote, o Joplin oferece um guia passo a passo para fazer a migração sem complicações. https://joplinapp.org/help/apps/import_export/ 4. Sincronização com Criptografia de Ponta a Ponta O Joplin permite que você sincronize suas notas de forma segura utilizando serviços de armazenamento em nuvem como Nextcloud, Dropbox, OneDrive e o serviço próprio, o Joplin Cloud. A grande vantagem aqui é a criptografia de ponta a ponta (E2EE), o que significa que suas notas são criptografadas localmente antes de serem enviadas para a nuvem, garantindo que ninguém, nem mesmo o serviço de nuvem, tenha acesso aos seus dados. 5. Offline First Um dos principais recursos do Joplin é que ele foi desenvolvido com a filosofia "offline first". Isso significa que você sempre tem uma cópia completa e funcional das suas notas no seu dispositivo, permitindo que você acesse e edite suas informações, mesmo sem uma conexão com a internet. Quando a sincronização está habilitada, o Joplin sincroniza as mudanças automaticamente assim que a conexão for restaurada. 6. Busca de Texto Completo O Joplin oferece uma poderosa funcionalidade de busca de texto completo, permitindo que você encontre rapidamente qualquer informação dentro das suas notas, independentemente do volume de dados armazenados. 7. Personalização e Plugins Além das funcionalidades padrão, o Joplin permite uma ampla personalização. Você pode ajustar a interface com temas e estender as funcionalidades por meio de plugins. Se você tem conhecimentos de programação, pode até desenvolver seus próprios plugins para adaptar o Joplin às suas necessidades específicas. Privacidade em Foco Um dos grandes diferenciais do Joplin em relação a outras ferramentas populares de anotações, como o Evernote e o OneNote, é o foco na privacidade do usuário. Com o Joplin, você controla seus dados completamente, sem depender de servidores de terceiros que possam explorar suas informações. A criptografia de ponta a ponta garante que suas notas estejam seguras e que somente você tenha as chaves para desbloqueá-las. Isso é um grande atrativo para quem está preocupado com a privacidade online, especialmente em tempos em que muitos serviços coletam dados de seus usuários para fins de publicidade ou marketing. Casos de Uso: Quem Deve Usar o Joplin? O Joplin é uma ferramenta extremamente versátil, sendo ideal para diversos tipos de usuários: - Estudantes: Para organização de notas de aula e pesquisa. - Profissionais: Para gerenciamento de tarefas, anotações de reuniões e documentação de projetos. - Desenvolvedores: Graças ao suporte nativo para Markdown, o Joplin é uma excelente opção para quem precisa documentar código ou gerenciar projetos de desenvolvimento. - Jornalistas ou escritores: Que precisam de uma ferramenta segura para organizar suas notas e ideias. - Usuários preocupados com a privacidade: Que querem uma ferramenta de anotações robusta sem abrir mão da segurança e controle total sobre seus dados. Como Começar a Usar o Joplin Iniciar com o Joplin é simples. Basta baixar o aplicativo para a sua plataforma preferida, seja desktop ou móvel, diretamente do site oficial. A partir daí, você pode começar a criar suas notas, configurar cadernos e sincronizar seus dados. A interface intuitiva facilita o aprendizado, e o suporte a Markdown oferece grande flexibilidade na criação e edição de conteúdo. O Joplin é muito mais do que um simples aplicativo de anotações. Com seu foco em privacidade, sincronização segura, suporte offline e ampla personalização, ele se destaca como uma das melhores opções disponíveis para quem busca controlar completamente suas informações, sem abrir mão de funcionalidades avançadas. Seja você um estudante, profissional ou simplesmente alguém que deseja organizar suas ideias com segurança, o Joplin é uma escolha confiável e flexível. Com sua filosofia de código aberto, o Joplin continua a evoluir e melhorar com contribuições da comunidade global. Se você ainda não experimentou o Joplin, agora é um excelente momento para dar o próximo passo e transformar a maneira como você gerencia suas anotações e tarefas. https://joplinapp.org/ https://github.com/laurent22/joplin/

TUTORIAL Instalando o Kleopatra e criando seu primeiro par de chaves PGP.

Tutorial feito por Grom Mestre ⚡ Poste original Abaixo. Part 1: http://xh6liiypqffzwnu5734ucwps37tn2g6npthvugz3gdoqpikujju525yd.onion/index.php/227366/tutorial-instalando-kleopatra-criando-primeiro-chaves-parte?show=227366#q227366 Part 2: http://xh6liiypqffzwnu5734ucwps37tn2g6npthvugz3gdoqpikujju525yd.onion/index.php/227377/tutorial-importando-exportando-chaves-p%C3%BAblicas-kleopatra Part 3: http://xh6liiypqffzwnu5734ucwps37tn2g6npthvugz3gdoqpikujju525yd.onion/index.php/227397/tutorial-criptografando-descriptografando-kleopatra-parte Parte 4: http://xh6liiypqffzwnu5734ucwps37tn2g6npthvugz3gdoqpikujju525yd.onion/index.php/227406/tutorial-fazendo-ba TUTORIAL DE PGP USANDO O KLEOPATRA. Instalação do Kleopatra O Kleopatra, como citado no post anterior, está disponivel para Linux e Windows. Em Linux ele pode ser instalado facilmente através do respectivo gerenciador de pacotes da sua distribuição. Alguns exemplos de comandos para algumas distros são: ArchLinux : sudo pacman -S kleopatra Debian : sudo apt install kleopatra Fedora : sudo dnf install kleopatra O Kleopatra também está disponível como pacote em Flatpak, porém nos meus testes eu tive problemas na sua utilização. Portanto, para esse tutorial estarei usando a versão empacotada pelo Debian 12. Em Windows o Kleopatra se encontra disponível no pacote Gpg4win, o qual contém, além do Kleopatra, o GnuPG e outros utilitários que podem ser úteis. No nosso caso nós só precisaremos mesmo do dois primeiros. O link para download do Gpg4win se encontra aqui https://www.gpg4win.org/download.html CRIANDO O SEU PRIMEIRO PAR DE CHAVES Ao iniciar o Kleopatra pela primeira vez a seguinte tela será mostrada caso nenhuma chave esteja presente no seu sistema. Nesse caso apenas clique em 'Novo Par de Chaves' ou acesse a opção em Arquivo -> Novo Par de Chaves OpenPGP https://image.nostr.build/26a5a8b057ade36bc2957d714cb19fc1172cf5a8d844f37f52996064019386a3.jpg  Ao clicar nessa opção a seguinte janela será aberta: https://image.nostr.build/28d2a94c44f8bd2b90eb057a3e7b603a57ce483fe24dd1c9ba8ed416d0a9b93c.jpg Os campos 'Nome' e 'Endereço de e-mail' são apenas formas convenientes de identificar a chave. A outra forma seria decorar o fingerprint da chave, o que é algo bem inviável de ser fazer. Marque a opção 'Proteger a chave gerada com uma senha' para que ao utilizar a sua chave ou tentar importar a chave secreta uma senha seja solicitada. É extremamente recomendado que você use senhas muito longas (+20 caracteres) com uma alta entropia para inviabilizar ataques de força bruta. Use ferramentas como o gerador de senhas do KeePassXC https://keepassxc.org/download/ para isso caso você deseje. Clicando na botão 'Configurações Avançadas' você pode selecionar qual é o algoritmo que será usado para a criação das chaves. Nesse tutorial usaremos o algorítmo de curva eliptica, pois se trata de um método mais avançado, que gera chaves menores e computacionalmente mais eficientes. https://image.nostr.build/bdee90a538fb9923b0d325e77d1a0275261319309554d40340cc7f96c38a4d34.jpg Nas configurações avançadas, marque as seguintes opções: • Material da Chave : ECDSA/EdDSA usando curva ed25519 • '+ ECDH' (Elliptic Curve Diffie-Hellman) usando cv25519 • Assinatura : Necessário caso você deseje gerar assinaturas digitais A validade da sua chave é arbitrária, mas na dúvida coloque por um périodo de dois anos a partir da data da sua criação. Se você quiser inclusive você pode configurar para que ele nuca expire. Isso pode ser alterado depois caso você deseje. Após isso, clique em OK para fechar as configurações avançadas e em OK para iniciar a geração das suas chaves. Uma caixa de diálogo vai solicitar a inserção da senha para proteger a sua chave. Depois de inserí-la e clicando em OK aguarde alguns instantes. Se tudo ocorrer como conforme uma mensagem vai aparecer sinalizando que a chave foi gerada com sucesso. https://image.nostr.build/07ca42b77ef9dd29dabef930083e99eb16e6b2562952d930f469a5fb210b0326.jpg Sua chave agora vai aparecer na listagem de certificados do Kleopatra. https://image.nostr.build/2fbbc351937200dc32fce7d6a44c025385da4b06d6b86edd37fbaa8f71815bae.jpg IMPORTANDO E EXPORTANDO CHAVES PÚBLICAS NO KLEOPATRA. 2.1 Importando chaves públicas. Agora vamos aprender como importar as chaves públicas de outros usuários presentes na internet. Para esse exemplo eu usarei a chave pública do usuário nostr:npub1rc56x0ek0dd303eph523g3chm0wmrs5wdk6vs0ehd0m5fn8t7y4sqra3tk presente em seu perfil. Uma informações importante de comentar é que as chaves públicas podem ser exportadas de duas formas: como um binario ou codificada em base64. Nesse tutorial usaremos as chaves codificadas em b64, porém saibam também que elas podem estar em outro formato perfeitamente reconhecível pelo Kleopatra. Para isso vamos abrir o Bloco de Notas do Kleopatra, um seção do programa que nos permite criptografar rapidamente pequenos trechos de texto e importar as chaves em base64. Abra o Bloco de Notas do Kleopatra clicando no ícone de paineis do Kleopatra. https://image.nostr.build/d4ffb93f7cb034a9946d9fc62e33953b1bc9ab9ad6737e47f3f03c90a7eb96bb.jpg Copie e cole a chave pública no campo de texto e clique em seguida em 'Importar um Bloco de Notas' https://image.nostr.build/10817763d82b4f7f9dfffb81e351ff93539214a09e2e80aa68fa7eb6a8c52b0a.jpg Uma nova janela vai abrir nos solicitando o reconhecimento do certificado do usuário. Como nós usamos o eficiente método chamado "Confia", apenas clique em Importar para dar prosseguimento. https://image.nostr.build/b9724052f9215dfbd44cd80e45b8755c24e1db6c96a674195d538d43b11b83e6.jpg Na janela seguinte vamos certificar a chave do Ms.Lilith usando a nossa chave privada criada anteriormente, bastando selecioná-la no campo 'Certificar com:' e clicar em 'Certificar'. Se tudo ocorrer como previsto uma caixa de mensagem vai aparecer indicando que a operação foi um sucesso. Você pode ver que agora a chave do Ms.Lilith aparece no painel de certificados do Kleopatra. https://image.nostr.build/b2bba7b0fe957f050bd4a30300d3cedce7dd2d9a42000c9bc976e578f820d7ef.jpg https://image.nostr.build/f2ec4c6efc0b5f85474f7f6350b5ae1795db226e055856f516479d8c89b7bb3c.jpg https://image.nostr.build/de42e6b1007d9bde17becd35d6c3b43c70dd6f0b0dedd6f6d195ffc7cf99f952.jpg 2.2 Exportando a nossa chave públlica Como dito anteriormente, as chaves podem se apresentar tanto no formato binário como base64. Vamos agora exportar a nossa chave de modo que ela possa ser facilmente compartilhada em um site ao estilo pastebin. Para isso, no painel de Certificados, clique com o botão direito na sua chave e selecione 'Detalhes' https://image.nostr.build/2ed1c1ab468ae4ddc9b572a8212d28d489888817be05952143508cc4125ade94.jpg Na nova janela, clique em Exportar, a qual vai mostrar a sua chave em formato texto que poderá ser facilmente copiada e colada no local adequado. https://image.nostr.build/99fe855e2c4915272f9f66da9cd2ee8078588bc78d13b413a7033bdc23a0bf30.jpg https://image.nostr.build/adc99c06f25d5068231f9c7ddaea37ce6d42739741d8d8405f72c0ef72fa5abc.jpg CRIPTOGRAFANDO E DESCRIPTOGRAFANDO NO KLEOPATRA. 3.1 Criptografando e assinando arquivos A criptografia e a assinatura de arquivos e textos usando o Kleopatra é extremamente simples e intuitiva. No nosso exemplo eu vou criptografar e assinar um arquivo de imagem usando a minha própria chave, já que usando a chave pública de outra pessoa me impossibilitaria de descriptografa-la depois. Lembre-se que você também pode usar o Bloco de Notas do Kleopatra para criptografar e assinar rapidamente textos curtos e copiá-los em formato base64. Clique na opção 'Assinar / Criptografar'. O gerenciador de arquivos será aberto para selecionar um ou mais arquivos que você deseja criptografar. No nosso caso eu vou criptografar o arquivo de imagem do meu avatar. https://image.nostr.build/4887157ace62d508760f322c42bf457edcad7c0d86048aa8d048d8d60b87ada4.jpg https://image.nostr.build/be69a6689618b2ec42ac8fe19de3d6d8e0f1eddb67abc852251701a69e111e4e.jpg Uma janela abrirá perguntando pelas chaves que você deseja usar para assinar e criptografar. Usarei nesse cenário a mesma chave para ambos os processos, porém em situações onde se almeja a segurança das informações entre as partes marque apenas a opção 'Criptografar para outros' e selecione as chaves das pessoas em questão. Feito as devidas seleções clique em 'Assinar / Encriptar'. Uma janela será mostrada confirmando o sucesso da operação. Verifique o arquivo gerado no diretório do arquivo original 3.2 - Criptografando textos pelo Bloco de Notas As mesmas operações que foram feitas com um arquivo podem ser repetidas facilmente através do Bloco de Notas. As figuras a seguir ilustram esse processo. Primeiro escreva o texto que você pretende cifrar e em seguida clique na aba 'Destinatários' Na aba 'Destinatários' marque a opção 'Assinar' e selecione a sua chave; desmarque a opção 'Criptografar para mim' e marque a opção 'Criptografar para outros'; clique no botão a direita do campo de endereços e selecione a chave do destinatário; clique em OK e em seguida em 'Assinar/Encriptar o Bloco de Notas'; se tudo ocorreu corretamente uma mensagem de aviso vai aparecer confirmando a operação. https://image.nostr.build/36413d5411ccdef78f79a2192e157df04fde9a52193da71484450370a3169dcc.jpg https://image.nostr.build/502182e96066e186ec2858fb5f302e413b873386b891737b4af8a61678108b6e.jpg Verifique o arquivo gerado no diretório do arquivo original https://image.nostr.build/d99b16e664a60040965c5c6fea99b2565781f4a0530b6f20950d344958fc1751.jpg 3.2 - Criptografando textos pelo Bloco de Notas As mesmas operações que foram feitas com um arquivo podem ser repetidas facilmente através do Bloco de Notas. As figuras a seguir ilustram esse processo. Primeiro escreva o texto que você pretende cifrar e em seguida clique na aba 'Destinatários' https://image.nostr.build/05641dcc33576aedce283de7cfc7328597136bee6018670d334178cf1ea21a0c.jpg Na aba 'Destinatários' marque a opção 'Assinar' e selecione a sua chave; desmarque a opção 'Criptografar para mim' e marque a opção 'Criptografar para outros'; clique no botão a direita do campo de endereços e selecione a chave do destinatário; clique em OK e em seguida em 'Assinar/Encriptar o Bloco de Notas'; se tudo ocorreu corretamente uma mensagem de aviso vai aparecer confirmando a operação. https://image.nostr.build/b3c811ace9e16e90c9d17d6e6e9cbdc22679712eb56a11998d6030c88e10bc50.jpg https://image.nostr.build/e9c0485087fdbb475965ab8782f76be0c56748383f1125c0362bc5824a88e2c8.jpg https://image.nostr.build/9b167f2e4868ef125ec9f4cde87edee56e0c10e582563282c78ac7e30776a672.jpg Descriptografar é basicamente o processo inverso, bastando copiar o bloco de mensagem PGP no Bloco de Notas e clicar em 'Descriptografar/Verificar bloco de notas' Descriptografar é basicamente o processo inverso, bastando copiar o bloco de mensagem PGP no Bloco de Notas e clicar em 'Descriptografar/Verificar bloco de notas' 3.3 - Descriptografando arquivos Descriptografar é tão simples quanto criptografar arquivos e textos, bastando clicar na opção Descriptografar / Verificar e selecionar os arquivos em questão. Só lembrando que todas essas operações podem ser executadas a partir do Bloco de Notas do Kleopatra para a sua conveniência. https://image.nostr.build/dc9d62a58e28dd192f937be33b4e0a487bb22a340f8dc1b34108b8a345eae0b2.jpg https://image.nostr.build/50ab5e3b0166513f2b0d0277b929c3c5501e19adf579abc7b8c6978b7d99e93d.jpg https://image.nostr.build/2bd0eb41988d2035de7680ca5055d86b7f72c7cf7b8dd674f6b24bfcada3c1a0.jpg FAZENDO BACKUP DAS CHAVES SECRETAS E CHECKSUMS. 4.1 - Fazendo backup da sua chave privada AVISOS! 1 - É de suma importância que você tenha ao menos duas cópias de backup da sua chave privada devidamente protegida em mídias de tipos distintos. Um exemplo seria ter uma cópia em um pendrive e outra no seu celular dentro de um contêiner criptografado com LUKS2, Veracrypt ou até mesmo chaveiros do KeePassXC. 2 - Em hipótese alguma coloque as suas chaves na nuvem em texto plano, pois já é de conhecimento público que Google, Microsoft, Apple e afins, por mais que criptografem seus dados nos servidores, possuem cópias da chave e usam-nas para diversos fins como análise de tráfego, indexação de conteúdo, coleta de analytics e entre outros. Vocês podem conferir detalhes dessa brecha para o OneDrive abaixo: Microsoft OneDrive: https://privacy.microsoft.com/en-us/privacystatement [Archive.org]: Productivity and communications products, “When you use OneDrive, we collect data about your usage of the service, as well as the content you store, to provide, improve, and protect the services. Examples include indexing the contents of your OneDrive documents so that you can search for them later and using location information to enable you to search for photos based on where the photo was taken”. Feito as considerações iniciais, vamos dar prosseguimento ao tutorial. Abra o painel de certificados do Kleopatra, clique com o botão direito na sua chave e seleciona a opção 'Backup das chaves secretas'. https://image.nostr.build/c395ac3e1a0c079ac0fd9df505e1192fa323c67073c17cc984bef707dfa87214.jpg Selecione o nome do arquivo de destino e clique em Salvar https://image.nostr.build/820b4d1eade32f4d5d985b91a0e76b083bb2e4c255f5dfd3c310036c87a33366.jpg https://image.nostr.build/a06c64da448deec7d159730a772b74149c738a79560add5586f7ae3e5282c1f1.jpg Eventualmente a senha da sua chave poderá ser solicitada, mas nesse caso ela não foi pois a senha dela estava armazenada em cache. Reforçando: não coloque suas chaves secretas em um local inseguro. 4.2 - Checksum de arquivos Operações de checksum são de suma importância quando desejamos verificar a integridade de um arquivo enviado pela internet ou verificar se os arquivos foram modificados durante o processo de transferência. Pense em casos no qual adversários realizam a interceptação dos seus arquivos pela rede e trocam-no por arquivos maliciosos contendo um malware. A checagem de checksum nos permite verificar essas alterações através de algoritmos de hash, que geram um número de tamanho fixo que muda mesmo que um único bit seja alterado no arquivo original. Por padrão o Kleopatra usa o sha256sum, o que é forte o suficiente para evitar colisões de hash, mas há algoritimos mais modernos como sha512sum que podem ser mais adequados. Gerar um checksums no Kleopatra é muito simples. Basta selecionar a opção 'Arquivo -> Criar os arquivos de soma de verificação', selecionar o arquivo do qual você deseja gerar um checksum e salvar. https://image.nostr.build/dc17d84a2135b75154f05df0bdc2c42f4b3e2dafc944bf5476456aa2356389bc.jpg https://image.nostr.build/ee12b502148c2a49885d0989a3514a8c8fe65c85834dc8e98c8fa78c9efbb271.jpg https://image.nostr.build/17adbfa0ec4ad2b6ea116bf2796c734d7bfda22e8f6b48439b1eff4a57c779dc.jpg Para verificar o checksum, basta ir em 'Arquivo -> Verificar arquivos de soma de verificação', selecionar o arquivo sha256sum.txt. Se a soma estiver correta o Kleopatra irá retornar um sinal positivo. https://image.nostr.build/3f6c0c537adb56490190cc00034ad911e7ea10c9cc0991ec8c93b48492080d09.jpg https://image.nostr.build/328823bfeae98a8c423371fe4bb484a85c2f9fdd6bae8b7c750af2f58781ab74.jpg https://image.nostr.build/62f7b644993677149f2a6b0320df3b9b01f9d07178222c8684542dbbb0e84108.jpg Um processo que também é realizado em paralelo ao processo de checksum é a geração da sua assinatura digital, já que esse também pode e será alterado por um agente malicioso para evitar suspeitas. É muito comum que desenvolvedores de distros Linux forneçam além do checksum a assinatura desse checksum para evitar essas falsificações. 4.4 Considerações finais Com isso eu finalizo esse breve tutorial de uso do PGP através do Kleopatra. Espero que façam bom uso dos conhecimentos adquidos aqui e busquem conhecer mais dessa ferramenta. Alguns recursos como smart cards, publicação de chaves públicas em keyservers e outros não serão citados aqui. Deixo isso para vocês pesquisarem por conta própria por não serem triviais. Espero em breve ver mais usuários do fórum conscientes da importância dessa ferramenta na internet em geral. Até a próxima. Пока Пока Grom.

PGP (Pretty Good Privacy)

A criptografia é uma técnica que permite proteger informações e manter a privacidade dos dados. É como uma fechadura para suas informações, garantindo que apenas pessoas autorizadas possam acessá-las. A história da criptografia remonta a tempos antigos, quando a criptografia era usada para proteger mensagens militares e diplomáticas. Durante as guerras, a criptografia foi amplamente utilizada para proteger as comunicações militares e confundir o inimigo. Durante a Segunda Guerra Mundial, a criptografia teve um papel crucial no conflito, especialmente na Batalha do Atlântico, onde os Aliados usaram a criptografia para quebrar o código dos nazistas e ganhar vantagem estratégica. Nos anos 90, quando a criptografia estava sendo limitada pelo governo dos EUA, o programador Phil Zimmermann criou o PGP (Pretty Good Privacy), um programa de criptografia de e-mail para ajudar a proteger a privacidade das pessoas. O PGP usa um algoritmo de criptografia assimétrica que usa duas chaves diferentes para codificar e decodificar informações. A primeira chave é conhecida como chave pública e é usada para criptografar a mensagem. A segunda chave é conhecida como chave privada e é usada para decodificar a mensagem. Isso significa que a pessoa que envia a mensagem pode usar a chave pública do destinatário para criptografar a mensagem e enviá-la com segurança. O PGP tornou-se popular rapidamente, tornando-se uma das ferramentas de criptografia mais conhecidas e confiáveis do mundo. É importante porque ajuda a proteger suas informações pessoais contra o roubo de identidade e outras formas de invasão de privacidade online. Quando você envia uma mensagem criptografada com PGP,só quem possui a chave privada correspondente poderá descriptografá-la e ler o conteúdo. Isso significa que, mesmo que outras pessoas interceptem suas mensagens, elas não serão capazes de ler ou roubar suas informações pessoais. Para usar o PGP, você precisa primeiro criar um par de chaves, que consiste em uma chave pública e uma chave privada. Você pode fazer isso usando um software de criptografia como o GPG (GNU Privacy Guard). Depois de criar as chaves, você precisa compartilhar sua chave pública com as pessoas com quem deseja se comunicar. Eles podem usar sua chave pública para criptografar as mensagens que desejam enviar para você. OpenKeychain é um software PGP (Pretty Good Privacy) que permite criptografar, assinar e verificar mensagens e arquivos no seu celular Android. Para utilizar o OpenKeychain, siga os seguintes passos: 1. Baixe e instale o aplicativo OpenKeychain na Aurora Store. https://play.google.com/store/apps/details?id=org.sufficientlysecure.keychain 2. Abra o aplicativo e crie uma nova chave PGP seguindo as instruções fornecidas pelo aplicativo. Você deve escolher um nome de usuário e uma senha forte para proteger sua chave privada. 3. Com a chave PGP criada, você pode assinar, verificar e criptografar mensagens e arquivos. Para assinar uma mensagem, selecione a opção de assinatura e digite a mensagem. O aplicativo adicionará sua assinatura digital à mensagem e a salvará em seu celular. 4. Para verificar a assinatura de uma mensagem, selecione a opção de verificação e insira a mensagem. O aplicativo verificará a assinatura e informará se ela é válida ou não. 5. Para criptografar uma mensagem ou arquivo, selecione a opção de criptografia e insira o arquivo ou mensagem que deseja criptografar. Em seguida, escolha a chave PGP do destinatário e o aplicativo criptografará o conteúdo. 6. Para descriptografar uma mensagem ou arquivo criptografado, selecione a opção de descriptografia e insira o arquivo ou mensagem que deseja descriptografar. Em seguida, digite a senha da sua chave privada para descriptografar o conteúdo. Lembre-se de manter sua chave privada segura e protegida com uma senha forte. Também é importante compartilhar sua chave pública com outras pessoas de maneira segura, para que elas possam enviar mensagens criptografadas para você. https://youtu.be/fptlAx_j4OA https://en.m.wikipedia.org/wiki/PGP_word_list

O MANIFESTO CRIPTOANARQUISTA - Timothy C. May – 1992.

Um espectro está assombrando o mundo moderno. A ciência da computação está a ponto de fornecer a grupos e indivíduos a capacidade de se comunicar e interagir uns com os outros de maneira totalmente anônima. Duas pessoas podem trocar mensagens, conduzir negócios e realizar contratos digitais sem nunca conhecer o verdadeiro nome ou a identidade legal da outra parte. Interações em rede serão irrastreáveis através do extensivo reencaminhamento de pacotes criptografados e caixas invioláveis, que implementam protocolos criptográficos com garantia quase perfeita contra qualquer adulteração.A reputações será de importância central, se tornando muito mais importante nas negociações do que as análises de crédito de hoje. Esses desenvolvimentos irão alterar completamente a natureza da regulamentação governamental, a capacidade de taxar e controlar as interações econômicas, a capacidade de manter as informações em segredo e até mesmo alterar a natureza da confiança e da reputação. A tecnologia para essa revolução – que certamente será tanto uma revolução social quanto econômica – já existia, em teoria, durante a última década. Os métodos são baseados em criptografia de chave pública, sistemas de zero-knowledge interativos e vários protocolos de software para interação, autenticação e verificação. O foco, até agora, tem sido em conferências acadêmicas na Europa e nos EUA, conferências estas que são monitoradas de perto pela Agência de Segurança Nacional (NSA).Mas só recentemente as redes de computadores e computadores pessoais atingiram velocidade suficiente para tornar as ideias realizáveis na prática. E os próximos dez anos trarão a velocidade necessária para tornar as ideias economicamente viáveis e essencialmente imbatíveis. Redes de alta velocidade, caixas invioláveis, cartões inteligentes, satélites, transmissores, computadores pessoais e chips criptográficos, que estão agora em desenvolvimento, serão algumas das tecnologias facilitadoras. O estado tentará, é claro, desacelerar ou deter a disseminação destas tecnologias, citando preocupações com a segurança nacional, o uso da tecnologia por traficantes de drogas e sonegadores de impostos, e temores de desintegração social. Muitas dessas preocupações serão válidas; a criptoanarquia permitirá que segredos nacionais sejam vendidos livremente e permitirá que materiais ilícitos e roubados sejam comercializados. Um mercado informatizado e anônimo se tornará um possível abominável mercado para assassinatos e extorsões. Vários elementos criminosos e estrangeiros serão usuários ativos da CriptoNet.Mas isso não vai parar a propagação da criptoanarquia. Assim como a tecnologia da impressão alterou e reduziu o poder das guildas medievais e a estrutura do poder social, os protocolos criptográficos também vão alterar fundamentalmente a natureza das corporações e as interferências do governo nas transações econômicas. Combinado com mercados de informação emergentes, a criptoanarquia criará um mercado líquido para todo e qualquer material que possa ser colocado em palavras e imagens.E assim, como uma invenção aparentemente insignificante, como o arame farpado tornou possível o cercamento de vastas fazendas e territórios, alterando para sempre os conceitos de terra e direitos de propriedade na fronteira ocidental, também, a descoberta aparentemente menor de um ramo arcano da matemática se tornará o cortador de arame que desmontará o arame farpado em torno da propriedade intelectual. Ergam-se, vocês não têm nada a perder a não ser as cercas de arame farpado! https://activism.net/cypherpunk/crypto-anarchy.html

Por que eu escrevi PGP

Philip Zimmermann Parte do Guia do Usuário PGP Original de 1991 (atualizado em 1999) "Tudo o que você fizer será insignificante, mas é muito importante que você o faça." -Mahatma Gandhi É pessoal. É privado. E não é da conta de ninguém, apenas sua. Você pode estar planejando uma campanha política, discutindo seus impostos ou tendo um caso ilícito. Ou você pode estar se comunicando com um dissidente político em um país repressor. Seja o que for, você não quer que seu correio eletrônico privado (e-mail) ou documentos confidenciais sejam lidos por mais ninguém. Não há nada de errado em afirmar sua privacidade. A privacidade é tão fácil quanto a Constituição. O direito à privacidade está implícito na Declaração de Direitos. Mas quando a Constituição dos Estados Unidos foi elaborada, os Pais Fundadores não viram necessidade de especificar explicitamente o direito a uma conversa privada. Isso teria sido bobo. Duzentos anos atrás, todas as conversas eram privadas. Se alguém estivesse ao alcance da voz, você poderia simplesmente ir atrás do celeiro e conversar lá. Ninguém poderia ouvir sem o seu conhecimento. O direito a uma conversa privada era um direito natural, não apenas no sentido filosófico, mas no sentido da lei da física, dada a tecnologia da época. Mas com a chegada da era da informação, começando com a invenção do telefone, tudo isso mudou. Agora, a maioria de nossas conversas é conduzida eletronicamente. Isso permite que nossas conversas mais íntimas sejam expostas sem o nosso conhecimento. Chamadas de telefone celular podem ser monitoradas por qualquer pessoa com um rádio. O correio eletrônico, enviado pela Internet, não é mais seguro do que as chamadas de telefone celular. O e-mail está substituindo rapidamente o correio postal, tornando-se a norma para todos, não a novidade que era no passado. Até recentemente, se o governo quisesse violar a privacidade dos cidadãos comuns, eles tinham que gastar uma certa quantia de dinheiro e trabalho para interceptar, abrir e ler a correspondência em papel. Ou eles tinham que ouvir e possivelmente transcrever conversas telefônicas faladas, pelo menos antes que a tecnologia de reconhecimento automático de voz se tornasse disponível. Esse tipo de monitoramento trabalhoso não era prático em larga escala. Isso só foi feito em casos importantes, quando parecia valer a pena. É como pegar um peixe de cada vez, com linha e anzol. Hoje, o e-mail pode ser verificado rotineira e automaticamente em busca de palavras-chave interessantes, em grande escala, sem detecção. Isso é como pescar com rede de deriva. E o crescimento exponencial no poder do computador está tornando a mesma coisa possível com o tráfego de voz. Talvez você pense que seu e-mail é legítimo o suficiente para que a criptografia seja injustificada. Se você realmente é um cidadão cumpridor da lei, sem nada a esconder, por que não envia sempre sua correspondência em cartões postais? Por que não se submeter a testes de drogas sob demanda? Por que exigir um mandado para buscas policiais em sua casa? Você está tentando esconder alguma coisa? Se você esconde sua correspondência dentro de envelopes, isso significa que você deve ser um subversivo ou um traficante de drogas, ou talvez um maluco paranóico? Os cidadãos cumpridores da lei precisam criptografar seus e-mails? E se todos acreditassem que cidadãos cumpridores da lei deveriam usar cartões-postais como correspondência? Se um inconformista tentasse afirmar sua privacidade usando um envelope para sua correspondência, isso atrairia suspeitas. Talvez as autoridades abram sua correspondência para ver o que ele está escondendo. Felizmente, não vivemos nesse tipo de mundo, porque todos protegem a maior parte de suas correspondências com envelopes. Portanto, ninguém levanta suspeitas afirmando sua privacidade com um envelope. Há segurança nos números. Analogamente, seria bom se todos usassem rotineiramente a criptografia para todos os seus e-mails, inocentes ou não, para que ninguém levantasse suspeitas afirmando a privacidade de seu e-mail com criptografia. Pense nisso como uma forma de solidariedade. O Projeto de Lei 266 do Senado, um projeto de lei anticrime abrangente de 1991, tinha uma medida inquietante enterrada nele. Se essa resolução não vinculante tivesse se tornado lei real, teria forçado os fabricantes de equipamentos de comunicação segura a inserir "alçapões" especiais em seus produtos, para que o governo pudesse ler as mensagens criptografadas de qualquer pessoa. Ele diz: "É o entendimento do Congresso que os provedores de serviços de comunicações eletrônicas e os fabricantes de equipamentos de serviços de comunicações eletrônicas devem garantir que os sistemas de comunicações permitam ao governo obter o conteúdo de texto simples de voz, dados e outras comunicações quando devidamente autorizado por lei ." Foi esse projeto de lei que me levou a publicar o PGP eletronicamente gratuitamente naquele ano, O Communications Assistance for Law Enforcement Act (CALEA) de 1994 determinou que as empresas de telefonia instalassem portas de escuta remota em seus comutadores digitais do escritório central, criando uma nova infraestrutura de tecnologia para escutas telefônicas "apontar e clicar", para que os agentes federais não precisassem mais ir para fora e anexar clipes jacaré às linhas telefônicas. Agora eles poderão se sentar em seu quartel-general em Washington e ouvir suas ligações. Claro, a lei ainda exige uma ordem judicial para uma escuta telefônica. Mas enquanto as infraestruturas tecnológicas podem persistir por gerações, as leis e políticas podem mudar da noite para o dia. Uma vez consolidada uma infraestrutura de comunicações otimizada para vigilância, uma mudança nas condições políticas pode levar ao abuso desse novo poder. As condições políticas podem mudar com a eleição de um novo governo, Um ano após a aprovação da CALEA, o FBI divulgou planos para exigir que as companhias telefônicas construíssem em sua infraestrutura a capacidade de grampear simultaneamente 1% de todas as chamadas telefônicas em todas as principais cidades dos Estados Unidos. Isso representaria um aumento de mais de mil vezes em relação aos níveis anteriores no número de telefones que poderiam ser grampeados. Nos anos anteriores, havia apenas cerca de mil escutas telefônicas ordenadas pelo tribunal nos Estados Unidos por ano, nos níveis federal, estadual e local combinados. É difícil ver como o governo poderia contratar juízes suficientes para assinar ordens de escuta telefônica suficientes para grampear 1% de todas as nossas ligações, muito menos contratar agentes federais suficientes para sentar e ouvir todo esse tráfego em tempo real. A única maneira plausível de processar essa quantidade de tráfego é um aplicativo orwelliano massivo de tecnologia de reconhecimento de voz automatizado para filtrar tudo, procurando palavras-chave interessantes ou a voz de um falante específico. Se o governo não encontrar o alvo na primeira amostra de 1%, os grampos podem ser transferidos para um 1% diferente até que o alvo seja encontrado, ou até que a linha telefônica de todos tenha sido verificada quanto a tráfego subversivo. O FBI disse que precisa dessa capacidade para planejar o futuro. Este plano provocou tanta indignação que foi derrotado no Congresso. Mas o simples fato de o FBI ter pedido esses amplos poderes é revelador de sua agenda. Para encontrar o alvo na primeira amostra de 1%, os grampos podem ser alterados para um 1% diferente até que o alvo seja encontrado ou até que a linha telefônica de todos tenha sido verificada quanto a tráfego subversivo. O FBI disse que precisa dessa capacidade para planejar o futuro. Este plano provocou tanta indignação que foi derrotado no Congresso. Mas o simples fato de o FBI ter pedido esses amplos poderes é revelador de sua agenda. Para encontrar o alvo na primeira amostra de 1%, os grampos podem ser alterados para um 1% diferente até que o alvo seja encontrado ou até que a linha telefônica de todos tenha sido verificada quanto a tráfego subversivo. O FBI disse que precisa dessa capacidade para planejar o futuro. Este plano provocou tanta indignação que foi derrotado no Congresso. Mas o simples fato de o FBI ter pedido esses amplos poderes é revelador de sua agenda. Os avanços da tecnologia não permitirão a manutenção do status quo, no que diz respeito à privacidade. O status quo é instável. Se não fizermos nada, as novas tecnologias darão ao governo novas capacidades de vigilância automática com as quais Stalin jamais poderia ter sonhado. A única maneira de manter a privacidade na era da informação é uma criptografia forte. Você não precisa desconfiar do governo para querer usar criptografia. Sua empresa pode ser grampeada por rivais comerciais, crime organizado ou governos estrangeiros. Vários governos estrangeiros, por exemplo, admitem usar sua inteligência de sinais contra empresas de outros países para dar vantagem competitiva às suas próprias corporações. Ironicamente, as restrições do governo dos Estados Unidos à criptografia na década de 1990 enfraqueceram as defesas corporativas dos Estados Unidos contra a inteligência estrangeira e o crime organizado. O governo sabe o papel fundamental que a criptografia está destinada a desempenhar no relacionamento de poder com seu povo. Em abril de 1993, o governo Clinton revelou uma nova e ousada iniciativa de política de criptografia, que estava em desenvolvimento na Agência de Segurança Nacional (NSA) desde o início do governo Bush. A peça central dessa iniciativa foi um dispositivo de criptografia construído pelo governo, chamado chip Clipper, contendo um novo algoritmo de criptografia classificado pela NSA. O governo tentou encorajar a indústria privada a incluí-lo em todos os seus produtos de comunicação segura, como telefones seguros, faxes seguros e assim por diante. A AT&T colocou o Clipper em seus produtos de voz seguros. O problema: no momento da fabricação, cada chip Clipper é carregado com sua própria chave exclusiva, e o governo fica com uma cópia, colocada sob custódia. Não se preocupe, embora - o governo promete que usará essas chaves para ler seu tráfego somente "quando devidamente autorizado por lei". Obviamente, para tornar o Clipper completamente eficaz, o próximo passo lógico seria proibir outras formas de criptografia. O governo inicialmente alegou que o uso do Clipper seria voluntário, que ninguém seria forçado a usá-lo em vez de outros tipos de criptografia. Mas a reação do público contra o chip Clipper foi forte, mais forte do que o governo esperava. A indústria de computadores proclamou monoliticamente sua oposição ao uso do Clipper. O diretor do FBI, Louis Freeh, respondeu a uma pergunta em uma entrevista coletiva em 1994, dizendo que se Clipper não conseguisse obter apoio público e as escutas telefônicas do FBI fossem bloqueadas por criptografia não controlada pelo governo, seu escritório não teria escolha a não ser buscar alívio legislativo. . Mais tarde, após a tragédia de Oklahoma City, o Sr. O governo tem um histórico que não inspira confiança de que nunca abusará de nossas liberdades civis. O programa COINTELPRO do FBI tinha como alvo grupos que se opunham às políticas governamentais. Eles espionaram o movimento antiguerra e o movimento pelos direitos civis. Eles grampearam o telefone de Martin Luther King. Nixon tinha sua lista de inimigos. Depois, houve a confusão de Watergate. Mais recentemente, o Congresso tentou ou conseguiu aprovar leis restringindo nossas liberdades civis na Internet. Alguns elementos da Casa Branca de Clinton coletaram arquivos confidenciais do FBI sobre funcionários públicos republicanos, possivelmente para exploração política. E alguns promotores excessivamente zelosos mostraram vontade de ir até os confins da Terra em busca de expor as indiscrições sexuais de inimigos políticos. Ao longo da década de 1990, percebi que, se quisermos resistir a essa tendência inquietante do governo de proibir a criptografia, uma medida que podemos aplicar é usar a criptografia o máximo que pudermos agora, enquanto ainda é legal. Quando o uso de criptografia forte se torna popular, é mais difícil para o governo criminalizá-la. Portanto, usar o PGP é bom para preservar a democracia. Se a privacidade for proibida, apenas os criminosos terão privacidade. Parece que a implantação do PGP deve ter funcionado, juntamente com anos de constante protesto público e pressão da indústria para relaxar os controles de exportação. Nos últimos meses de 1999, o governo Clinton anunciou uma mudança radical na política de exportação de tecnologia criptográfica. Eles basicamente jogaram fora todo o regime de controle de exportação. Agora, finalmente podemos exportar criptografia forte, sem limites superiores de força. Foi uma longa luta, mas finalmente vencemos, pelo menos na frente de controle de exportação nos EUA. Agora devemos continuar nossos esforços para implantar criptografia forte, para atenuar os efeitos do aumento dos esforços de vigilância na Internet por vários governos. E ainda precisamos consolidar nosso direito de usá-lo domesticamente, apesar das objeções do FBI. O PGP permite que as pessoas tomem sua privacidade em suas próprias mãos. Tem havido uma crescente necessidade social para isso. Foi por isso que o escrevi. Philip R. Zimmermann Boulder, Colorado, junho de 1991 (atualizado em 1999) https://www.philzimmermann.com/EN/essays/WhyIWrotePGP.html

Operations security (OPSEC)

Segurança Operacional (OPSEC) é um termo originado no contexto militar dos Estados Unidos durante a Guerra do Vietnã. Trata-se de um processo que busca identificar informações críticas para determinar se as ações de uma entidade podem ser observadas pela inteligência inimiga, avaliar se as informações obtidas pelo adversário são úteis para ele e, em seguida, executar ações selecionadas que eliminam ou reduzem a exploração adversa dessas informações. O objetivo é garantir que uma operação militar, por exemplo, possua o nível adequado de segurança e impeça que o oponente obtenha conhecimento sobre disposições, capacidades, intenções e vulnerabilidades das forças amigas. De forma mais geral, a OPSEC envolve a proteção de dados individuais que, quando agrupados, podem fornecer uma imagem mais completa. Trata-se de proteger informações críticas consideradas essenciais para missões militares, comandantes, líderes de alto escalão, gerentes ou outros órgãos de tomada de decisão. Esse processo resulta no desenvolvimento de contramedidas, que incluem medidas técnicas e não técnicas, como o uso de criptografia de e-mails, precauções contra interceptação e espionagem, atenção especial a detalhes nas fotos tiradas (como itens no plano de fundo) e evitar divulgar abertamente informações críticas sobre atividades ou organização de uma unidade em mídias sociais. "O inimigo está escutando; ele quer saber o que você sabe; guarde para você." A OPSEC é um processo iterativo composto por cinco etapas que auxilia uma organização a identificar informações específicas que requerem proteção e a adotar medidas para protegê-las: 1. Identificação de informações críticas: são informações sobre intenções, recursos e atividades amigas que permitem que um adversário planeje interromper efetivamente as operações. Essa etapa resulta na criação de uma lista de informações críticas (CIL), permitindo que a organização concentre seus recursos nas informações vitais em vez de tentar proteger todas as informações classificadas ou confidenciais não classificadas. Exemplos de informações críticas incluem agendas de implantação militar, informações internas da organização e detalhes de medidas de segurança. 2. Análise de ameaças: uma ameaça pode ser proveniente de um indivíduo ou grupo que possa tentar interromper ou comprometer atividades amigas. A ameaça é dividida em adversários com intenção e capacidade. Quanto maior a combinação da intenção e capacidade do adversário, maior é a ameaça. Nessa etapa, são utilizadas fontes como atividades de inteligência, aplicação da lei e informações de código aberto para identificar possíveis adversários de uma operação planejada e priorizar seu grau de ameaça. 3. Análise de vulnerabilidades: examinando todos os aspectos da operação planejada para identificar indicadores OPSEC que poderiam revelar informações críticas. Esses indicadores são então comparados com os recursos de coleta de inteligência do adversário identificados na etapa anterior. A ameaça pode ser considerada como a força do adversário, enquanto a vulnerabilidade pode ser vista como a fraqueza da organização amiga. 4. Avaliação de risco: Na etapa de avaliação de risco, os planejadores analisam cuidadosamente as vulnerabilidades identificadas anteriormente e determinam as medidas específicas de OPSEC que devem ser implementadas. O processo envolve a avaliação do potencial impacto caso ocorra a divulgação de informações críticas e a análise da probabilidade desse evento com base na capacidade e intenção do adversário. Com base nessa análise de risco, são selecionadas as medidas adequadas de OPSEC para mitigar os riscos identificados. Isso pode incluir a implementação de protocolos de segurança mais rigorosos, restrições de acesso a informações sensíveis, treinamento e conscientização dos envolvidos, bem como outras ações destinadas a reduzir a exposição de informações críticas aos adversários. É fundamental destacar que a avaliação de risco deve ser um processo contínuo e estar sujeita a revisões periódicas. À medida que surgem novas ameaças ou as condições mudam, é necessário adaptar e atualizar as medidas de OPSEC para garantir sua eficácia contínua na proteção das informações. 5. Aplicação de medidas de OPSEC apropriadas: Nesta etapa, as medidas de OPSEC selecionadas na avaliação de risco são colocadas em prática. Isso envolve a execução das ações planejadas, a adoção das práticas de segurança recomendadas e a incorporação das medidas técnicas e não técnicas identificadas. Além disso, é fundamental monitorar constantemente a eficácia das medidas de OPSEC na proteção das informações contra as ameaças relevantes. A aplicação das medidas de OPSEC deve ser um processo abrangente e contínuo, envolvendo todos os membros da organização. A conscientização sobre a importância da segurança operacional e o treinamento adequado são essenciais para garantir a conformidade com as medidas de proteção de informações críticas. Além disso, é recomendável realizar avaliações regulares de OPSEC para identificar novas vulnerabilidades, atualizar as contramedidas existentes e manter um ambiente seguro. https://arstechnica.com/information-technology/2017/07/how-i-learned-to-stop-worrying-mostly-and-love-my-threat-model/

Esses oito livros abrangem uma ampla gama de tópico relacionados à criptografia,hackers, privacidade,tecnologia da informação e ficção científica , Cyberpunk. Cada um deles oferece perspectivas únicas e informações valiosas dentro de suas respectivas áreas.

https://nostrcheck.me/media/public/nostrcheck.me_2784056465836057271705780424.webp Cypherpunks: Liberdade e o Futuro da Internet" é um livro escrito por Julian Assange, Jacob Appelbaum, Andy Müller-Maguhn e Jérémie Zimmermann, lançado em 2012. Nesta obra, os autores, que são ativistas e especialistas em tecnologia, exploram questões cruciais relacionadas à privacidade, vigilância e liberdade no contexto da era digital. Os "cypherpunks" são indivíduos que advogam pelo uso da criptografia e de tecnologias de anonimato para proteger a privacidade e a liberdade na Internet. Ao longo do livro, os autores discutem os perigos representados pela vigilância em massa, seja por governos ou por grandes corporações, e enfatizam a importância da privacidade como um elemento fundamental da liberdade individual e da sociedade em geral. os autores abordam as implicações políticas e sociais da era digital, destacando o poder da informação e o papel dos cidadãos na defesa de seus direitos e liberdades. Eles oferecem uma análise crítica sobre o futuro da Internet, delineando estratégias para que os indivíduos resistam à crescente vigilância e defendam a privacidade online. O livro é uma chamada à ação, ressaltando a necessidade de conscientização e mobilização coletiva para garantir um futuro da Internet que seja livre, aberto e que respeite a privacidade dos usuários. Os autores compartilham sua visão de um mundo em que a privacidade e a liberdade são preservadas, instigando os leitores a se engajarem ativamente na defesa desses valores em nossa sociedade cada vez mais conectada. https://nostrcheck.me/media/public/nostrcheck.me_7274457873344200511705780708.webp Little Brother ou Pequeno Irmão , escrito por cory doctorow lançado em 2011. Marcus, um adolescente de 17 anos, é um especialista em contornar os sistemas de segurança invasivos da escola e um hábil hacker na internet. Ele vive em um futuro próximo, onde a vigilância governamental é onipresente, mas sua astúcia o permite evitar a detecção. Conhecido pelo pseudônimo "w1n5t0n", ele está confiante em suas habilidades e conhecimentos. No entanto, a vida de Marcus muda drasticamente quando ele e seus amigos são pegos em meio a um devastador ataque terrorista em São Francisco. Presos pelo Departamento de Segurança, são submetidos a interrogatórios implacáveis em uma prisão secreta. Após serem finalmente libertados, Marcus descobre que a cidade está em estado de lei marcial, com todos os cidadãos tratados como potenciais terroristas. Para piorar, suas atividades são constantemente monitoradas pelo Departamento. Desacreditado e sem ninguém em quem confiar, Marcus decide tomar medidas drásticas para desafiar o sistema. Ele está determinado a derrubar o aparato de vigilância e restaurar a liberdade individual. Utilizando suas habilidades em hacking e a ajuda de outros ativistas, Marcus embarca em uma arriscada missão para expor as violações dos direitos civis e conscientizar a população sobre os perigos da vigilância em massa. Em sua jornada, Marcus confronta desafios emocionantes e dilemas éticos, enfrentando a escolha entre a segurança e a liberdade. "O Pequeno Irmão" retrata um futuro distópico próximo, abordando temas como privacidade, liberdade individual e a luta contra a opressão governamental. Marcus se torna um símbolo de resistência, defendendo a importância dos direitos civis e o poder das ações individuais para desafiar um sistema opressor. https://nostrcheck.me/media/public/nostrcheck.me_3284662619648645131705781007.webp Fantasma no Sistema , escrito por Kevin Mitnick e publicado em 2013, é um livro fascinante que nos leva às experiências do autor como hacker e fugitivo, oferecendo uma visão detalhada do mundo da cibersegurança, com ênfase nas técnicas de hacking, engenharia social e façanhas de Mitnick. A edição brasileira do livro conta com um prefácio exclusivo escrito por Wanderley STORM Abreu Junior, especialista em Criptografia & Segurança de Computadores formado pelo Massachusetts Institute of Technology. Esse prefácio ressalta a importância e a relevância do conteúdo de "Fantasma no Sistema" para os tempos atuais, em que exércitos utilizam as redes de computadores como uma frente de batalha e revoluções são organizadas por meio eletrônico. Mitnick compartilha histórias emocionantes de suas proezas no mundo do hacking, revelando detalhes impressionantes, como a clonagem de celulares e a escuta de conversas alheias por meio dos aparelhos OKI 900. Ele mergulha nas intricadas artimanhas que utilizou para se passar por seu perseguidor, aplicando as próprias técnicas descritas em seu guia sobre o uso desses dispositivos. O livro também nos transporta para a época em que a internet estava em seus estágios iniciais no Brasil, com a chegada dos primeiros provedores de internet, como IBASE, Alternex, Mandic e Inside. Mitnick descreve vividamente como a internet estava apenas engatinhando naquela época e como ele e sua geração de hackers desbravaram esse mundo novo e sem fronteiras, em busca de informação livre e ilimitada. Ao longo da obra, Mitnick reflete sobre a ética dos jovens que ansiavam pela liberdade da informação, contrapondo-a às burocracias invisíveis que permeiam quase todos os aspectos de nossas vidas. Ele destaca a facilidade com que um hacker habilidoso e persuasivo pode subverter essas engrenagens e desafiar governos poderosos e grandes corporações. Fantasma no Sistema é um livro emocionante e envolvente que proporciona aos leitores uma visão detalhada das experiências de Kevin Mitnick como hacker e fugitivo. A obra explora as técnicas de hacking, a engenharia social e o contexto da época em que Mitnick atuava, enfatizando a importância da ética, da busca por informação livre e da segurança cibernética no mundo digital contemporâneo. É uma leitura essencial para aqueles interessados em cibersegurança, histórias cativantes e a evolução da tecnologia. https://nostrcheck.me/media/public/nostrcheck.me_7180310666415108911705781403.webp Future Crimes: Tudo Está Conectado, Todos Somos Vulneráveis e o que Podemos Fazer Sobre Isso" é um livro escrito por Marc Goodman lançado em 2018 , que explora os perigos e desafios da era digital em que vivemos. O autor argumenta que, embora a tecnologia tenha trazido inúmeros benefícios, também abriu caminho para uma ampla gama de crimes cibernéticos e ameaças à segurança. O livro abrange uma série de tópicos relacionados à segurança digital e crimes do futuro. Goodman discute os diferentes tipos de cibercrimes, incluindo roubo de identidade, hacking, espionagem cibernética, extorsão online e terrorismo digital. Ele explora como esses crimes estão interconectados e como os criminosos estão se aproveitando das vulnerabilidades dos sistemas digitais para obter vantagens. Goodman destaca a rápida evolução da tecnologia e como isso tem impactado a segurança. Ele discute os perigos da Internet das Coisas (IoT), em que dispositivos cotidianos estão se tornando cada vez mais conectados à internet, tornando-se potenciais pontos de entrada para ataques cibernéticos. Ele também explora o crescimento do crime organizado digital, onde grupos criminosos estão se tornando altamente sofisticados em suas operações online. Além de descrever os desafios e perigos, o autor também fornece orientações sobre como indivíduos, empresas e governos podem se proteger melhor contra os crimes digitais. Ele explora a importância da conscientização, da educação e da implementação de medidas de segurança robustas. Ele destaca a necessidade de colaboração entre diferentes setores da sociedade para combater efetivamente os crimes cibernéticos. Future Crimes é um livro que explora os riscos e desafios enfrentados na era digital. Marc Goodman destaca a interconexão de todos os aspectos de nossas vidas com a tecnologia e a importância de estar ciente das ameaças digitais. O livro oferece informações valiosas e orientações práticas sobre como proteger-se contra crimes cibernéticos e promover uma sociedade mais segura no mundo digital. O Livro dos Códigos: Ciência do Sigilo - Do Antigo Egito à Criptografia Quântica" escrito por Simon Singh lançado em 2001. é uma exploração abrangente da história da criptografia e do poder do sigilo ao longo dos séculos. O autor mergulha na história e nas histórias por trás dos códigos secretos, revelando como eles foram usados para proteger informações e comunicações importantes. Simon Singh aborda os desafios enfrentados pelos criptógrafos ao longo da história e explora as técnicas que eles desenvolveram para superar esses desafios. O livro revela a importância vital da criptografia em momentos cruciais, como a Segunda Guerra Mundial e a Guerra Fria, onde a comunicação segura e a decodificação de mensagens desempenharam papéis fundamentais. Com clareza e acessibilidade, o autor apresenta explicações técnicas e matemáticas, permitindo que os leitores compreendam as complexidades por trás dos códigos e cifras. Além disso, o livro retrata as notáveis personalidades que escreveram e quebraram os códigos mais difíceis do mundo, destacando a genialidade e a persistência desses criptógrafos ao longo da história. Desde o Antigo Egito até os avanços modernos da criptografia, incluindo a criptografia quântica, "O Livro dos Códigos" proporciona uma visão fascinante da importância da segurança da informação e da proteção da privacidade. Essa obra envolvente e informativa mudará para sempre a visão dos leitores sobre a história e o poder do sigilo, levantando questionamentos sobre a privacidade em nossas comunicações diárias. https://nostrcheck.me/media/public/nostrcheck.me_6573283782088705521705781773.webp Quando o Google Encontrou o Wikileaks é um livro escrito por Julian Assange e colaboração do jornalista David Leigh, lançado em 2015. O livro relata os bastidores da colaboração entre o WikiLeaks e o Google durante os eventos que levaram à divulgação de informações confidenciais do governo americano em 2010. O livro começa apresentando o surgimento do WikiLeaks como uma plataforma que busca promover a transparência e a liberdade de informação. Julian Assange compartilha sua visão de divulgar documentos secretos para desafiar o poder institucional e revelar a verdade oculta ao público. O ponto central da história é o vazamento de centenas de milhares de documentos diplomáticos e militares dos Estados Unidos por Chelsea Manning, ex-analista de inteligência do Exército americano. Esses documentos revelaram uma série de segredos, como operações militares questionáveis, diplomacia confidencial e informações sensíveis sobre governos estrangeiros. Assange descreve sua busca por um parceiro de mídia que pudesse auxiliar na análise e divulgação desses documentos. Nesse contexto, ele encontra o Google, uma das empresas de tecnologia mais influentes do mundo, representada por Eric Schmidt, então CEO, e Jared Cohen, diretor de políticas públicas. O livro explora os encontros e desentendimentos entre Assange e os representantes do Google. Assange destaca a tensão entre a filosofia do WikiLeaks, baseada na total transparência, e a abordagem mais cautelosa adotada pelo Google, preocupado com os riscos de segurança e as possíveis consequências geopolíticas das revelações. Ao longo da narrativa, o livro também aborda as implicações políticas e legais do vazamento dos documentos e as ações do governo americano para prender Assange, acusando-o de espionagem e conspiração. Quando o Google Encontrou o Wikileaks" oferece uma perspectiva única dos bastidores da colaboração entre o WikiLeaks e o Google, revelando os conflitos ideológicos, as tensões e os desafios enfrentados pelos envolvidos no vazamento e na divulgação dessas informações confidenciais. Além disso, o livro apresenta um encontro entre Julian Assange e Eric Schmidt, presidente do Google, no qual discutem os problemas políticos enfrentados pela sociedade contemporânea, desde a Primavera Árabe até o Bitcoin, e as respostas tecnológicas geradas pela rede global para esses dilemas. Julian Assange aborda as consequências da acumulação de poder pelo Google no século XXI, evidenciando as divergências de opiniões entre ele e Schmidt sobre o destino do mundo e das novas tecnologias. Assange destaca que as tecnologias de informação e comunicação não são neutras, alertando para a natureza ambivalente dessas ferramentas. Ele ressalta que o Google, assim como outras empresas de tecnologia, acumula poder político e integra o sistema de controle, vigilância e expansão do poder do Estado norte-americano. Quando o Google Encontrou o Wikileaks" é um livro fascinante e alarmante, que revela os polos opostos em que Assange e Schmidt se encontram, destacando a disputa ideológica acirrada sobre o futuro da internet. A obra recebeu destaque na imprensa internacional, sendo noticiada em jornais como The Guardian e The Independent, fazendo parte da empreitada de Assange para revolucionar as formas de acesso à informação. Ao explorar os encontros e desentendimentos entre Assange e os representantes do Google, o livro revela os debates acalorados sobre a liberdade de informação, a privacidade dos usuários e o poder das grandes empresas de tecnologia. A visão de Assange de uma internet livre e descentralizada contrasta com a visão mais cautelosa do Google, considerando questões de política externa e as relações entre governo e empresas. A obra também analisa as implicações políticas e legais do vazamento dos documentos, expondo as ações do governo americano para prender Assange e as acusações de espionagem e conspiração. Nesse contexto, o livro traz à tona o debate sobre o equilíbrio entre a segurança nacional, a liberdade de imprensa e os direitos individuais. https://nostrcheck.me/media/public/nostrcheck.me_6564907436436036761705782013.webp Crypto: How the Code Rebels Beat the Government—Saving Privacy in the Digital Age. escrito por Steven Levy lançado em 2001. Narra a história fascinante de um grupo de indivíduos conhecidos como rebeldes cripto. Esses rebeldes incluíam nerds, visionários e defensores da privacidade, que se uniram para lutar pela proteção dos dados pessoais e pela privacidade na Internet. Através de uma narrativa envolvente, Levy explora como esses indivíduos pioneiros se tornaram combatentes da liberdade, desafiando as tentativas governamentais de controlar e restringir a criptografia, que é essencial para a segurança das comunicações digitais e da privacidade online. Ao longo do livro, Levy mergulha nas histórias e nos casos emblemáticos que moldaram a batalha entre os defensores da privacidade e o Big Brother digital. Ele explora como a criptografia se tornou um ponto focal dessa luta, permitindo que as pessoas protegessem suas informações pessoais e se comunicassem de forma segura na era digital. O autor destaca a convergência de interesses corporativos nessa batalha. À medida que as empresas se tornavam cada vez mais dependentes da criptografia para proteger seus dados comerciais e a confiança de seus clientes, elas se juntaram aos "rebeldes cripto" na defesa da privacidade e contra as ameaças à segurança cibernética. Através da combinação de narrativa histórica e análise atualizada, Levy apresenta uma história cativante que parece saída de um romance futurista. Ele destaca como os esforços coletivos desses indivíduos e organizações, unidos por um objetivo comum, tiveram um impacto significativo na proteção da privacidade na era digital. O livro Crypto oferece uma visão aprofundada de como os "rebeldes cripto" se uniram a interesses corporativos para superar os desafios do governo e garantir a privacidade na Internet. É uma leitura envolvente que revela a importância da criptografia e dos defensores da privacidade na era digital. https://nostrcheck.me/media/public/nostrcheck.me_7774691173064056751705782211.webp A Trilogia do Sprawl, composta pelos livros "Neuromancer", "Count Zero" e "Mona Lisa Overdrive", escritos por William Gibson, "Neuromancer" foi publicado em 1984, o que o torna o primeiro livro da trilogia. "Count Zero" foi lançado em 1986, e "Mona Lisa Overdrive" em 1988. Esses três livros foram escritos durante a década de 1980 é considerada uma das precursoras do gênero cyberpunk. Essas três obras compartilham a mesma linha do tempo e estão conectadas por personagens e temas que se entrelaçam ao longo da trilogia. "Neuromancer" é o primeiro livro da trilogia e se passa em um futuro distópico onde a alta tecnologia e a interconexão entre seres humanos e computadores são elementos centrais. O protagonista, Case, é um hacker brilhante que, após perder sua habilidade de se conectar à matriz (o ambiente virtual da internet), é recrutado por uma misteriosa mulher chamada Molly para realizar um último grande golpe. Em "Count Zero", o segundo livro, Gibson apresenta novos personagens, mas mantém o cenário futurista e a temática cibernética. A história gira em torno de Bobby Newmark, um jovem contador que acaba se envolvendo com uma conspiração corporativa perigosa ao ser contratado para realizar uma tarefa aparentemente simples. "Mona Lisa Overdrive" fecha a trilogia, trazendo novamente personagens conhecidos e introduzindo novas figuras. O livro explora temas como inteligência artificial avançada, manipulação genética e a relação entre humanos e máquinas. A trama segue as histórias entrelaçadas de três protagonistas: uma jovem artista, um mercenário e uma garota prodígio de computação. Uma das contribuições mais significativas de Gibson para a ficção científica foi a introdução do conceito de "cyberspace" (ciberespaço) em "Neuromancer". Ele descreve um ambiente virtual imersivo, onde os usuários podem acessar informações e interagir por meio de interfaces neurais. Esse conceito teve um impacto significativo no imaginário popular e influenciou a forma como a internet foi concebida posteriormente. A Trilogia do Sprawl também serviu de inspiração para os irmãos Wachowski na criação da trilogia de filmes "Matrix". Muitos dos temas e conceitos explorados nos filmes, como a realidade virtual, a manipulação da percepção e a luta contra sistemas opressivos, têm suas raízes nas ideias de Gibson. Em resumo, a Trilogia do Sprawl de William Gibson, composta por "Neuromancer", "Count Zero" e "Mona Lisa Overdrive", é uma série de romances cyberpunk que se passam em um futuro distópico e exploram temas como tecnologia avançada, interconexão entre humanos e computadores, e a relação entre a realidade e o virtual. Essas obras influenciaram significativamente a ficção científica e deram origem a conceitos amplamente difundidos, como o cyberspace, além de terem inspirado a trilogia de filmes "Matrix". https://nostrcheck.me/media/public/nostrcheck.me_2438863696681795231705782377.webp "O Livro dos Códigos: Ciência do Sigilo - Do Antigo Egito à Criptografia Quântica" escrito por Simon Singh lançado em 2001. é uma exploração abrangente da história da criptografia e do poder do sigilo ao longo dos séculos. O autor mergulha na história e nas histórias por trás dos códigos secretos, revelando como eles foram usados para proteger informações e comunicações importantes. Simon Singh aborda os desafios enfrentados pelos criptógrafos ao longo da história e explora as técnicas que eles desenvolveram para superar esses desafios. O livro revela a importância vital da criptografia em momentos cruciais, como a Segunda Guerra Mundial e a Guerra Fria, onde a comunicação segura e a decodificação de mensagens desempenharam papéis fundamentais. Com clareza e acessibilidade, o autor apresenta explicações técnicas e matemáticas, permitindo que os leitores compreendam as complexidades por trás dos códigos e cifras. Além disso, o livro retrata as notáveis personalidades que escreveram e quebraram os códigos mais difíceis do mundo, destacando a genialidade e a persistência desses criptógrafos ao longo da história. Desde o Antigo Egito até os avanços modernos da criptografia, incluindo a criptografia quântica, "O Livro dos Códigos" proporciona uma visão fascinante da importância da segurança da informação e da proteção da privacidade. Essa obra envolvente e informativa mudará para sempre a visão dos leitores sobre a história e o poder do sigilo, levantando questionamentos sobre a privacidade em nossas comunicações diárias.

Utilizar O PGP (Pretty Good Privacy) em conversas oferece segurança e privacidade, algo não garantido por plataformas como WhatsApp, Telegram, Instagram e Twitter.

Com o PGP, as mensagens são criptografadas de ponta a ponta, garantindo que apenas o remetente e o destinatário possam acessar o conteúdo. Isso protege contra bisbilhoteiros, hackers e até mesmo contra as próprias plataformas que podem acessar as mensagens. Enquanto as plataformas mencionadas podem oferecer criptografia, elas também têm acesso às chaves de criptografia e podem ser suscetíveis a vazamentos de dados ou acessos não autorizados. Usar o PGP em conversas garante a privacidade e a segurança das comunicações. O PGP é um sistema de criptografia de chave pública que funciona da seguinte forma: 1. Chaves públicas e privadas: Cada usuário possui um par de chaves: uma pública e uma privada. A chave pública é compartilhada para criptografar mensagens, enquanto a chave privada é mantida em segredo e usada para descriptografar mensagens recebidas. 2. Criptografia assimétrica: O PGP utiliza um algoritmo de criptografia assimétrica, onde a chave usada para criptografar é diferente da chave usada para descriptografar, garantindo que apenas o destinatário possa ler a mensagem. 3. Assinaturas digitais: Além de criptografar mensagens, o PGP permite assinar digitalmente comunicações, garantindo autenticação e integridade. 4. Web of Trust (Rede de Confiança): O PGP inclui um conceito chamado "Web of Trust", onde os usuários podem verificar e validar as chaves públicas uns dos outros, estabelecendo confiança na autenticidade das chaves e na identidade dos usuários. O PGP protege as comunicações digitais garantindo confidencialidade, autenticidade e integridade das mensagens. https://medium.com/@alexemidio/pgp-pretty-good-privacy-a-criptografia-%C3%A9-uma-ferramenta-essencial-para-proteger-informa%C3%A7%C3%B5es-e-1d71236e8331 OpenKeychain https://medium.com/@alexemidio/openkeychain-%C3%A9-uma-aplica%C3%A7%C3%A3o-de-criptografia-de-c%C3%B3digo-aberto-para-android-ele-usa-a-tecnologia-5c35420491ca?source=post_page-----1d71236e8331-------------------------------- PGP https://medium.com/@alexemidio/pgp-pretty-good-privacy-eadd0072433f?source=post_page-----1d71236e8331-------------------------------- Por que escrevi PGP. https://medium.com/@alexemidio/philip-zimmermann-7730fc37f6f1?source=post_page-----1d71236e8331-------------------------------- Essa documentação é um verdadeiro Mini curso sobre PGP. https://medium.com/@alexemidio/como-funciona-pgp-9247f89e3c8e Vídeo sobre PGP OpenKeychain com bitdov. https://youtu.be/fptlAx_j4OA?si=Z7tdspN-LqeQCOTA