| Esta discussão foi arquivada. Não se pode acrescentar nenhum comentário. | | | "É preciso é não esquecer que a encriptação só funciona realmente se fôr utilizada em todas as mensagens, não apenas as que contenham conteúdo sensível."
Porquê?
|
| | | | | | Provavelmente porque se só enviares um email encriptado, só é necessário desencriptar um email. Se enviares milhares, o trabalho de descodificação é milhares de vezes maior.
----
joao
nonio.com - ciência, tecnologia e cultura |
| | | | Partindo do principio que usas o GnuPG com chaves simétricas, se conseguires descobrir a chave decifras TODOS os emails que enviares (seja 1 ou 1 milhão) com igul facilidade. O difícil aqui é conseguir a chave privada e não decifrar os emails propriamente ditos.
Para além disso acho altamente improvavel que alguma entidade nacional consiga quebrar alguma chave simétrica - pelo menos sem ajuda externa ...
Cumprimentos
|
| | | | Talvez ele se referisse ao colectivo.
Se todos os utilizadores encriptassem toda e qualquer comunicação, então não seria possivel selecionar trafêgo suspeito, que de outra forma podia acontecer pelo simples facto de estar crypted.
Ou então sou urso.
"We a "We all know Linux is great... it does infinite loops in 5 seconds." --Linus Torvalds |
| | | | | Exactamente. Lendo de outra forma: "Provavelmente porque se só enviares um email encriptado, só é necessário desencriptar um email." : é difícil mas possível, para alguém suficientemente determinado e com bons recursos e/ou poder de processamento, decifrar uma mensagem. "Se enviares milhares, o trabalho de descodificação é milhares de vezes maior." : não sabendo à partida quais as mensagens que interessa descodificar, é na práctica impossível usar meios de detecção automática de conteúdo interessante.
"mudem de rumo, já lá vem outro carreiro" |
| | | | As coisas nao sao bem assim
Mandando um mail so encriptado, quem estiver a analisar as mensagens pode comecar a construir um padrao da maneira como escreves, numeros de letras e etc. E podem utilizar esta informacao vital na analise da mensagem encriptada.
Por outro lado tambem se mandares mensagens nao encriptadas e aquilo que consideras secreto mandas encriptado, e' como dizer aos "policias" "hei estou a mandar algo que nao quero que voces vejam!!!".
Mas mandando tudo encriptado, nao so os "policias" nao sabem quando devem olhar como teem a analise mais dificultada, bastante mais.
Para quebrar codigos comeca-se normalmente a analisar o que anda 'a volta da mensagem e nao propriamente a mensagem...
|
| | | | Mandando um mail so encriptado, quem estiver a analisar as mensagens pode comecar a construir um padrao da maneira como escreves, numeros de letras e etc. E podem utilizar esta informacao vital na analise da mensagem encriptada.
Se o algoritmo criptográfico utilizado fosse a cifra de vigenére, poderia ajudar. No caso de algoritmos assimétricos, como o RSA, a abordagem de criptanálise através do conhecimento parcial do conteúdo (por exemplo, saber estatisticamente que o "e" é a letra mais vulgar, que o "q" é sempre seguido do "u", etc...) é perfeitamente inutil.
A criptanálise passa sempre por abordagens mátematicas à factorização dos números utilizados para as chaves, recorrendo a Curvas Elípticas ou NFS.
Mas percebi a ideia inicial e que não tinha a ver com criptanálise...
|
| | | | Crente... A grande inovação desta proposta é o "skip" do tribunal, e a PJ passa a poder pedir directamente os dados aos ISP. Hoje em dia, os pedidos só podem ser "atendidos" se vierem de um Juiz, ou confirmados por um Juiz.
Há outras novidades menores, tipo a mandatoriedade de preservação dos dados (que já era mandatória em grande parte dos casos, por questões de facturação. O aparecimento massivo de serviços gratuitos é que veio desiquilibrar esta balança, e agora esta lei vem reequilibra-la). Tudo o resto (o provider não pode dizer ao cliente, a PJ ter acesso a dados de comunicações, as investigações existirem) já é velho.
Se achavas que isto não acontece já hoje em dia, desilude-te. Pergunta a qualquer pessoa que trabalhe no departamento jurídico de um ISP ou Telco.
|
| | | | | | Pergunta a qualquer pessoa que trabalhe no departamento jurídico de um ISP ou Telco. E eles podem falar? Ou terao que me matar depois?
--
Luís Bruno |
| | | | Até onde sei, não há nada de extraordinariamente secreto no facto de volta e meia aparecer uma ordem de tribunal a pedir "intercepção de comunicações". Não estejas é à espera de exemplos concretos :-)
|
| | | | Nao imaginava que fosse "volta e meia". Comentarios aqui no lab parecem indicar que sim, achavamos que tinhamos privacidade.
Bem, nada como um balde de agua fria para dar mais ouvidos aos apologistas da criptologia. Obrigado, spyder!
--
Luís Bruno |
| | | | | Bem, então considerem o título do artigo como "Big brother is watching you" e o melhor é mesmo que todos comecem já a utilizar encriptação nas suas comunicações.
"mudem de rumo, já lá vem outro carreiro" |
| | | | Isso é roçar a paranoia. Big Brother is not watching you.
O facto de uma entidade poder fazer alguma coisa não quer dizer que o faça, muito menos sem justificação plausível.
Sinceramente... Se é mandatório por lei que uma telco tenha forma de deixar as autoridades instalarem escutas telefónicas, o que há de tão extraordinário em considerar que queiram a mesma capacidade de intercepção em e-mail ou IM?
É quase exactamente a mesma situação: têm um caso concreto de um suspeito:
1 - Chegam à linha telefónica do suspeito, e instalam uma escuta.
2 - Chegam aos CTT, e inspeccionam as cartas e encomendas
3 - chegam à caixa de correio electrónico desse suspeito, e recebem uma cópia de todas as mensagens que ele receber
Partir deste cenário para um cenário de "eles andam aí a olhar para o que qualquer cidadão está a fazer" ou "Echelon à Portuguesa" é absurdo.
|
| | | | Que dados é que querem obrigar os ISPs a armazenar? Todas as entradas de logs habitualmente registadas, ou todo o tráfego IP? Será, sequer, exequível que todo o tráfego IP seja preservado? Quanto tempo até grandes unidades de armazenamento se esgotem?
|
| | | | "Será, sequer, exequível que todo o tráfego IP seja preservado?"
Are you fucking nuts? Isso nem se pergunta. Tinham que guardar uma boa milena de terabytes de storage para armazenar toda a tralha que passa pelos servidores de mail/web que andam por aí...
...para não falar da tolerância a redundância (imagina o mesmo email a ser enviado para dezenas/centenas de pessoas/com os headers ou o subject alterado um bocadinho a cada iteração)
(se ainda não encontrou a pessoa certa, não desespere: continue a comer a pessoa errada) |
| | | | Are you fucking nuts? Isso nem se pergunta. Já ouviste falar de retórica? :)
|
| | | | Nao e' exequivel armazenar trafego IP; mas e se podem identificar-se como agentes da autoridade e dizer-te: "quero uma copia de todos os emails entregues a lbruno-trapdoor@republico.estv.ipv.pt a partir deste momento"?
Totalmente exequivel, nao achas?
--
Luís Bruno |
| | | | Claro, mas como todo o email é anónimo excepto nos termos da lei da assinatura digital, então vão ter alguns problemas em apresentar provas de seja o que for, pois é mais exequível ainda falsificar um email incriminador... :)
De qualquer das formas parece-me que o objectivo é precismanete big brother encapotado.
|
| | | | Não ponhas muita fé nisso, também. Alguns deles (polícias, isto é) sabem ler headers (que sim, também são facilmente forjáveis), os headers têm o IP de origem, e o IP de origem pode apontar para a pessoa (principalmente se for um ISP).
Não é nada que seja complicado de contornar, mas é uma série de variáveis a ter em conta.
Se o e-mail tem o teu endereço na origem, se parece ter sido escrito por ti, se foi enviado por uma account de ISP subscrita em teu nome, e se o caller-ID usado para o acesso à rede é o teu, o mais provável é que tenhas sido tu ;)
|
| | | | | Desde que consigas provar que a conta foi subscrita pela pessoa em causa, o que nem sempre é possivél. Lembro-me de em tempos registar várias contas em ISP's sem assinar seja o que for.
«They that give up liberty to obtain a little temporary safety, deserve neither liberty nor safety» Benjamim Franklin (1706-1790) |
| | | | Quanto tempo até grandes unidades de armazenamento se esgotem?
Da forma que os ISPs de "broadband" em Portugal conseguem ser generosos, digamos que se o gajo tiver ADSL metem os 4 Gb de plafond mensal num DVD ;). Se tiver netcabo, pronto, são 5 DVDs.
Anyway... brincadeira à parte, acho que ninguém (providers) aceitaria fazer cópia completa de tráfego IP. Fora o investimento em equipamento, o investimento em storage seria qualquer coisa de assustador. Num cenário Orwelliano em que todo o tráfego do ISP tivesse que ser guardado, um ISP que tenha uns meros 50 Mbps de media de tráfego total encheria 1 Tb em cerca de 45 horas, ou um CD de dados a cada 100 segundos, ou aproximadamente 860 CDs por dia. Se o media fossem mesmo CDs, precisavas de 2 vítimas around-the-clock a queimar CDs (coitados :) ), e de espaço para armazenar 313 mil CDs por ano. Yay!
|
| | | | Oh si si carinho... Jabber ;) nmarques
--
With the lights out, it's less dangerous |
| | | | a parte do "sem mandado judicial" parece-me bastante anti-direitos humanos... e ridícula. Se uma entidade pode abusar, abusa. Ainda por cima a polícia, ou já te esqueceste dos inúmeros casos de corrupção que têm vindo a público?
A questão não é paranóia... que direito tem a polícia de decidir monitorar a vida de cada um? já vimos a palhaçada que foi no caso casa pia. Qq dia uma pessoa que seja contra o governo já não pode dizer um palavrão que passa logo em todos os noticiários possíveis.
bolas, pq raio tamos a andar para trás outra vez?
---
Que Bush vos abençoe. |
| | | | | No artigo do jornal está escrito: "As «escutas na Internet» vão permitir, de acordo com fonte contactada pelo DN, «localizar imediatamente um determinado conteúdo," (...) Ora, isto só pode ser feito de uma forma: "escuta" automática procurando conteúdos suspeitos, através da busca de palavras chave. É claro que sabemos que há já algum tempo que americanos e companhia vêm fazendo isso mesmo (não, não é paranóia, veja-se o link sobre o Echelon no artigo original), mas podemos ser levados a ter aquela falsa segurança que ninguém no mundo quer saber de nós, simples portugueses. Mas agora é o nosso governo que quer fazer o mesmo...
"mudem de rumo, já lá vem outro carreiro" |
| | | | Pelo amor de deus... Que filme!
A determinação de um conteúdo pode ser feita em tempo real, eu posso saber quem na minha rede esta' naquele preciso momento a aceder a uma página de pedofilia ou chat room pedofilo.
Relativamente ao localizar, sim, dá poderes para uma Telco ou ISP fornecer no momento os dados do cliente - TODOS os dados do cliente.
Mas agora é o nosso governo que quer fazer o mesmo...
Está apenas a aplicar uma lei assinada pelo governo socialista em 2001, no parlamento europeu.
//vd |
| | | | "As «escutas na Internet» vão permitir, de acordo com fonte contactada pelo DN, «localizar imediatamente um determinado conteúdo," (...) Mas, se eles querem encontrar um determinado conteúdo, porque é que não usam o google?
Jazzy |
| | | | Será que eu li bem? O Governo está a pensar em permitir que os policias façam "fishing expeditions"?
Hoje em dia, quem quiser (policia) um mandado para "escutar" telecomunicações consegue-o sem qualquer problemas (não havia uma noticia que dizia que no ano passado 5% dos telefones em PT estiveram sob escuta?).
Ora, se não é NADA dificil obter um mandado judicial para fazer escutas, a única razão que pode haver para ultrapassar essa "restrição" é poder fazer investigações sem qualquer fundamento - o chamado "atirar o barro à parede".
Sinceramente, tenho cada vez mais vontade de implementar IPSec a sério em todas as redes que administro...
Cumps, JB |
| | | | Essa é precisamente a parte de que não gosto. Pela minha experiência, todos os pedidos que a polícia se lembra de fazer acabam por ser assinados por um ou outro Juiz.
Se eles querem facilitar _ainda_ mais, só vejo 2 justificações:
- Aumentar a celeridade processual (o que me parece bem)
- O teu cenário: vamos à pesca, pode ser que morda!
Mesmo assumindo que eles estão a pensar apenas na hipótese 1, a probabilidade de termos pescarias aumenta consideravelmente, e isso é preocupante.
|
| | | | Se a Ministra tivesse dito:
Vamos autorizar que a polícia faça escutas sem mandato de um juíz Caia o Carmo e a Trindade
Como é da Internet, os maluquinhos que andam no "mIRC" a engatar virgens(?) frescas e a masturbar-se perante filmes de porno infantil é que são apanhados bem feita
Isto é um escândalo democrático e deveria ser tratado como tal.
|
| | | | | | Mas ainda há virgens?! E se há qual é a diferença entre uma virgem fresca e as outras?
Este comentário foi publicado ao abrigo de leis internacionais "How to handle a Troll". |
| | | | Exemplo de outra: o estereotipo da Professora de Matemática solteirona e nunca casada aos 50? :)
|
| | | | | tás fdd, não gostam de ti...
mas quem é q liga à moderação tb?
---
Que Bush vos abençoe. |
| | | | E' caso para dizer ... "onde estavas tu em Novembro de 2001"...
//vd |
| | | | Ajudando a preparar o que veio a ser a ANSOL?
|
| | | | Como é da Internet, os maluquinhos que andam no "mIRC"
A Tecnologia não comete crimes.
São as pessoas que os cometem, servindo-se desta como meio ou como alvo.
Até hoje, a tecnologia serve como fachada oculta para se poder cometer crimes livremente. Se na vida real, se consegue apanhar um criminoso, na vida virtual urge criar mecanismos de captura.
//vd |
| | | | Que parte de a crítica está na escuta sem necessidade de mandato é que não percebeste?
|
| | | | É tão bom ver como pessoas (Ministra da Justiça e "ajudantes") que mandam bitaites em coisas de que não percebem tecnicamente o mínimo podem cair nestes ridículos!
Devem andar a receber memorandos americanos de "segurança" e "anti-terrorismo" e a ver se pega por cá...
Será que algum dia estes iluminados vão perceber que este género de medidas não tem o mínimo de eficácia contra quem efectivamente pretender fazer algo de ilegítimo na Net? Será que ainda não perceberam o quão simples é para alguém, se quiser, poder transferir o que quiser "tunelizado" por SSL entre dois pontos? E cifrar o email? O que, vão fazer log de todos os pacotes IP que circulam na net? Se sim, quero ver esses datacenters! E os maquinões que vão tentar quebrar a cifra!
Nunca ouviram falar na FreeNet?
Mesmo que se trate da medida "pobrezinha" que eu vislumbro como sendo a única "exequível", que será a de os ISP serem obrigados a fornecer os logs dos proxies, quanto à questão dos conteúdos a questão fica resolvida com o HTTPS. Quanto a tentarem provar pelo nome dos ficheiros a que conteúdos alguém acede, e se forem CGIs? E se forem pedidos de SOAP com payload encriptada? Porque uma coisa é interceptar comunicações, outra é tomarem conta dos hosts que estão a "prevaricar", partindo do princípio que os conseguem descobrir, e ficar à espera de quem lá vá "buscar coisas". E se os servidores não estiverem cá em Portugal?
Meus senhores... vamos deixar de brincar com as pessoas e conferir-lhes efectivamente liberdade que as motive a que sejam elas próprias que vejam o seu benefício e acusem aqueles que acham que violam esse bem precioso. Agora assim não! Em última instância quem vai ser prejudicado são os "tristes" que usam de boa fé, não têm nada a esconder e não estão a fazer nada de ilegal, e cuja comunicação privada vai ser devassada.
|
| | | | | | Operadoras obrigadas a revelar comunicações electrónicas;
Na volta, ainda criam honeypots propositadamente para obterem algumas condenações demonstrando que a lei tinha razão de existir. >:D
Polícias passam a ter acesso a e-mails: As autoridades policiais vão passar a poder ter acesso a e-mails e bases de dados electrónicas dos operadores de comunicação e dos portais para controlar a criminalidade que opera na Internet. O Governo tem já pronto um diploma legal com esse objectivo que a ministra da Justiça, Celeste Cardona, quer ver já em vigor no primeiro trimestre deste ano.
(...)
A lei passa a consagrar que os dados de localização (onde a comunicação se efectua), tráfego (para onde se dirige), de base (a identidade da pessoa) e de conteúdo (que determinam a informação que passou) possam a ser acedidos pelas autoridades policiais.
Em termos práticos, e levado ao extremo, é aplicar o sistema que vigora para as escutas telefónicas ao www, alargando-o a vários ilícitos: criminalidade económica e financeira, combate à corrupção, crimes contra a paz e humanidade, escravidão sequestro e rapto, terrorismo, abuso sexual de crianças, crimes contra o Estado, discriminação racial e religiosa.
(...)
Fora de brincadeiras, parece que limitam-se a aplicar na Internet aquilo que é mal feito no offline. E que vão haver abusos, disso não dúvido. Agora que quem é instruído passará a tomar medidas para proteger a sua privacidade, disso tenho poucas dúvidas. Todas as grandes empresas o fazem e agora é a vez dos individuais.
Mas o mais engraçado é isto: Magistrados espiados através do sistema informático da Justiça... :P
Piratas informáticos têm vindo a espiar documentos confidenciais do Ministério Público (MP), demonstrando que o segredo de justiça também pode ser violado através do recurso a um mero computador. A notícia faz manchete na edição desta sexta-feira do Diário de Notícias.
(...)
O DN refere ainda o caso do magistrado que preside à procuradoria-geral de Lisboa, João Dias Borges, que, numa altura em que estava ao computador, a redigir a sua peça processual, perdeu o acesso ao documento, tendo descoberto posteriormente que alguém, acedendo não se sabe de onde, entrou no sistema informático do tribunal, acedendo ao que o magistrado acabara de escrever.
Não deram bandeira nenhuma...
G4mers
Forum-Zone |
| | | | "operadores e fornecedores de comunicações"
Isto preocupa-me. À primeira vista, pensamos em ISP e telcos, certo? Então e aqui o reles lbruno, responsavel pelo mailer do republico.estv.ipv.pt? Será que sou um operador ou fornecedor de comunicacoes?
--
Luís Bruno |
| | | | | | O IPV e' um fornecedor de comunicações. Tu és o técnico que vais dar a informação.
//vd |
| | | | Tu és o técnico que vais dar a informação.
O técnico deve sempre evitar dar a informação a qualquer coisa que não seja o departamento jurídico (ou análogo) da entidade que o emprega, se o tiver. Se der merda depois, a entidade já sabe do que se trata e está na posse de todos os dados. Idealmente, a comunicação com a autoridade é feita pelo jurídico, que vai pedir ao técnico os dados necessários e trata directamente da resposta.
|
| | | | Para os mais desatentos aconselho a leitura do livro "Leis do Cibercrime Vol1" da CentroAtlantico, da autoria de Pedro Verdelho (Ministério Público), Rogério Bravo (PJ) e Manuel Lopes Rocha.
A primeira parte e' toda relativa 'a Convenção sobre Cibercrime do Conselho da Europa, tendo Portugal assinado em 23 Novembro de 2001, obrigando-se a transpola para Portugal, que é exactamente o que se está a fazer! A Lei 109/91 ja' preve algumas coisas, ver aqui, as o texto da convenção encontra-se aqui completo.
Por outro lado a primeira parte pública da mudança foi anunciada aqui mesmo, há não muito tempo.
Ainda relativamente aos dados que os fornecedores de serviços devem guardar, a convenção não obriga aos "dados as it is", mas sim, registo de quem os efectua, de onde os efectua, horas, percursos e que tipo de dados são esses. O registo dos dados, podem ser contudo feitos em intercepção em tempo real.
//vd |
| | | | | | É claro que é sempre bom ignorar o 15 artigo, onde se diz claramente:
1. Each Party shall ensure that the establishment, implementation and application of the powers and procedures provided for in this Section are subject to conditions and safeguards provided for under its domestic law, which shall provide for the adequate protection of human rights and liberties, including rights arising pursuant to obligations it has undertaken under the 1950 Council of Europe Convention for the Protection of Human Rights and Fundamental Freedoms, the 1966 United Nations International Covenant on Civil and Political Rights, and other applicable international human rights instruments, and which shall incorporate the principle of proportionality.
|
| | | | Está contemplado no artigo 7º e 8º da lei 109/91 de 17 Agosto.
Contudo, se me falasses do ponto 2 desse mesmo artigo (15) ainda te daria razão.
//vd |
| | | | Estou a rebater a tua defesa (aparentemente cega) destas medidas com desculpas do género do "tem de ser" sem qualquer sentido de crítica.
De qualquer das formas parece-me que estás a querer insistir em confundir alhos com bogalhos, o que está em discussão são as medidas anunciadas e não essa lei de 1991.
|
| | | | Tentando responder aos três posts..
Que parte de a crítica está na escuta sem necessidade de mandato é que não percebeste?
E que tal esperar pelo projecto lei? Já ambos sabemos como são os jornalistas.
o que está em discussão são as medidas anunciadas e não essa lei de 1999
Correcto. Confundi com a intercepção ilegitima de comunicações.
Claro, mas como todo o email é anónimo excepto nos termos da lei da assinatura digital, então vão ter alguns problemas em apresentar provas de seja o que for, pois é mais exequível ainda falsificar um email incriminador.
Será que assim passa a haver base legal para incriminar alguem com estas provas digitais ? Assim o intuito das assinaturas digitais deixariam de ter tanto sentido.
//vd |
| | | | | Curiosamente, há uns tempos (e lembro-me de isso ser comentado aqui no Gildot, mas infelizmente não encontro o artigo) era a Maria José Morgado (talvez misturando, como é frequente, algum combate partidário com discussão jurídica) a clamar pela necessidade desta aberração legal. A ministra Celeste Cardona demonstrava na altura (e lembro-me bem de a elogiar aqui) uma posição muito mais cautelosa, sensata, e concordante com a Constituição. Aparentemente alguém conseguiu "convencê-la" do contrário. Do que me lembro deste tratado, estava mais em jogo do que a Internet. Estavam todos os "metadados" de comunicações, incluindo números de telefone em contacto e posições de telemóveis em células, por exemplo. Lembro-me também de artigos a favor desta coisa escritos por um certo advogado que tinha curiosamente história de trabalhar no campo da chamada "propriedade intelectual" para grandes grupos editoriais, o que sugere outro tipo de preocupações muito diferentes das habituais bandeiras "pedofilia"/"terrorismo"/"crime organizado". Dificilmente descartável como se fosse "teoria de conspiração" tendo em conta o que já são pretensões comuns de associações editoriais (RIAA e MPAA, nos EUA e não só) de terem acesso a dados sobre clientes dos ISPs, como uma espécie de força para-policial. Mais se estranha o à-vontade em que se descarta a necessidade de mandato numa terra em que mesmo com mandato as escutas telefónicas parecem estar em regime anárquico-abusivo, com a informação a escoar-se pelas fendas todas à medida de conveniências políticas (ou outras?) do momento. Seria bom que alguém se lembrasse do que o Bruce Schneier diz, mesmo que na versão original mais directamente em relação ao argumento "terrorismo": que o terrorismo (pelo menos em muitas das sociedades onde esta legislação é implementada) é raro, ao passo que o CRIME é extremamente comum e com este tipo de legislação se alarga imenso o potencial para uma interessante gama de crimes. Eu diria que o mesmo argumento pode ser estendido à pedofilia, e que provavelmente de pouco servirá no combate real ao que é "vendido" como motivação, enquanto são desprezados os riscos bem fortes de abuso da informação assim introduzidos. Por pouco conhecimento que tenha de direito, tenho dificuldade em conceber como legislação desta se pode conciliar com a nossa constituição. E se não for conciliável, seria interessante saber se quem assina estes tratados o faz de boa fé e por ignorância ou de má fé e sabendo muito bem o que está a fazer.
|
| | | | A cifra sozinha não resolve o problema, já que não elimina a informação sobre vários dos metadados da comunicação: que endereços IP, que endereços de email, que URLs, a que horas, que protocolos. E quantos serviços web estão disfarçados (e cifrados) dentro de outros protocolos, por exemplo?
|
| |
|
