Privacidade

Telegram protege criminosos, não a liberdade de expressão, ao recusar colaboração com a Justiça

41

No despacho em que determinou o bloqueio do Telegram em todo o território brasileiro, o juiz federal Wellington Lopes da Silva, do Espírito Santo, afirmou que o aplicativo “se limitou a negar o fornecimento dos dados requisitados sob alegação genérica de que ‘o grupo já foi deletado’”.

Desde a noite de quinta-feira (26), o aplicativo está inoperante no país. A medida é extrema, mas não é ilegal. Ela é prevista no Marco Civil da Internet (MCI), no artigo 11, III.

(mais…)

3

A Mullvad VPN, da Suécia, avisou ter recebido em seu escritório “pelo menos seis policiais” do Departamento de Operações Nacional, da polícia sueca, com um mandado de busca e apreensão. O objetivo era apreender computadores com dados dos usuários.

A investida das autoridades foi frustrada, segundo a empresa. A Mullvad VPN diz não guardar dados dos seus clientes.

Argumentamos que eles não tinham motivos para esperar encontrar o que estavam procurando e, portanto, quaisquer apreensões seriam ilegais sob a lei sueca. Depois de demonstrar que é realmente assim que nosso serviço funciona e de terem consultado o promotor, eles saíram sem pegar nada e sem nenhuma informação dos clientes.

Segundo a empresa, foi a primeira vez em 14 anos que eles receberam a visita de autoridades no escritório, que fica em Gotemburgo, na costa oeste da Suécia. Via Mullvad VPN (em inglês).

3

O pessoal da VPN Mullvad juntou forças com o do Projeto Tor para lançar um novo navegador web com foco em privacidade, o Mullvad Browser (baixe-o aqui). Ele foi “projetado para ser usado com uma VPN confiável em vez da Rede Tor” e, apesar dessa recomendação, pode ser usado sem VPN também.

O Mullvad Browser é gratuito e está disponível para Linux, macOS e Windows. Via Mullvad Blog (em inglês).

Passaporte digital e biometria em aeroportos; A linha de ajuda em segurança digital da MariaLab

Neste episódio do Guia Prático, Jacqueline Lafloufa e Rodrigo Ghedin conversam sobre a ideia de um passaporte digital e a identificação por biometria em aeroportos do mundo inteiro — parece ficção científica, mas o debate já começou.

No segundo bloco, Ghedin recebe a Paty Mori, da MariaLab, para uma conversa a respeito da Maria D’Ajuda, a primeira linha de ajuda em segurança digital feita por feministas do Brasil voltada a mulheres, pessoas não binárias, LGBTQIAP+ e organizações da América Latina.

Apoie o Guia Prático

Gosta do podcast? Se puder, apoie o nosso trabalho e ajude a mantê-lo no ar. A assinatura custa apenas R$ 9 por mês, ou menos de R$ 0,30 por dia. Se preferir, assine com desconto no plano anual por Pix, a partir de R$ 99.

Indicações culturais

  • Ghedin: O filme Assédio sexual [HBO Max], de Barry Levinson.
  • Jacque: O livro The truth will set you free, but first it will piss you off! [sem edição no Brasil], de Gloria Steinem.

Créditos

16

O fim iminente dos cookies de terceiros, ferramenta amplamente usada pela indústria para rastrear usuários entre sites, chega num momento conveniente, quando eles já não são mais necessários.

Existem soluções melhores de “fingerprinting”, jargão do meio que significa, literalmente, “impressão digital”: empresas digitais conseguem detectar que você é você entre vários sites analisando uma série de características da sua conexão, computador e navegador.

O Fingerprint Pro oferece esse serviço. Ele tem uma demonstração gratuita bem interessante: clique no botão View Live Demo, e o site gerará um identificador único.

Tente, agora, limpar os dados do seu navegador e abrir o site novamente ou fazê-lo pelo modo “anônimo”. É bem provável que o Fingerprint Pro mostre o mesmo identificador, ou seja, saiba que você é você.

Mesmo em navegadores focados em privacidade, como Safari e Firefox, o Fingerprint Pro consegue fazer o rastreamento. Ele só falha no Tor e no Firefox com uma configuração obscura ativada (privacy.resistFingerprinting). Via Bitestring’s Blog (em inglês).

Meta só garante privacidade de usuários europeus do WhatsApp

5

Nesta segunda (6), a Meta chegou a um acordo com a União Europeia (UE) acerca da política de privacidade do WhatsApp.

A confusão começou em janeiro de 2021, quando o WhatsApp atualizou a sua política de privacidade para abrir uma brecha na criptografia de ponta a ponta em conversas entre usuários pessoas físicas e empresas.

Na Europa, a Meta se comprometeu a permitir que os usuários do WhatsApp declinem da nova política (e de futuras atualizações) sem serem importunados “ad infinitum”. (Até hoje, mais de dois anos depois, tenho que descartar o popup pedindo para aceitar aquela política de privacidade todo santo dia.)

A Meta também garantiu à UE que não compartilha dados pessoais de cidadãos europeus que usam o WhatsApp com empresas de fora nem com as suas (Facebook e Instagram) para fins de publicidade.

Tudo muito bonito, ainda que tardio, mas e o resto do mundo?

(mais…)

1

Tendo a Meta como grande expoente — a dona do Facebook e autora de práticas abusivas e continuadas de extração de dados pessoais dos usuários —, a privacidade em ambientes de realidade virtual (~metaverso) passa a ser um tema relevante.

Pesquisadores da Universidade de Stanford conseguiram identificar pessoas no mundo real a partir de dados extraídos de sessões curtas de realidade virtual, que não chegam a somar cinco minutos. Dos 511 participantes, 95% foram identificados. (Link para o paper, em inglês.)

Meta e HTC (fabricante do headset Vive) reservam a si mesmas o direito de compartilhar dados “anonimizados” com terceiros. Isso acende um alerta, pois de anônimos esses dados não têm nada, como demonstra o estudo.

Trata-se de mais um estudo que coloca em xeque as técnicas e garantias de anonimização, artifício usado de forma recorrente por empresas de tecnologia para repassarem dados dos usuários a terceiros. Via TechDirt (em inglês).

6

Quando você troca de número de celular, o Telegram não remove automaticamente o número antigo. Paula Gomes, chapa deste Manual do Usuário, descobriu isso da pior maneira possível.

Ela trocou de número de celular e, um tempo depois, alguém que comprou um chip que seu número antigo, “reciclado” pela operadora, ganhou acesso à sua conta no Telegram. A pessoa “saiu de uns grupos, entrou em outros e adicionou contatos”, relatou no Twitter.

O Telegram menciona esse cenário, da troca de número, em sua documentação. O texto é confuso. Há três possibilidades: descartar o número antigo, mantê-lo enquanto outro é usado temporariamente (durante uma viagem internacional, quando o usuário troca o seu chip por um local) e continuar usando ambos os números.

Aparentemente (não entendi muito bem), se você se autentica com o novo número em sua conta antiga, os dois números, antigo e novo, ficam vinculados à mesma conta. Para remover o antigo, é preciso acessar as configurações e removê-lo manualmente.

Como o login não depende necessariamente do número de telefone, muitas pessoas não se atentam a isso. Talvez achem que a lógica do WhatsApp, que não vincula mais de um número à mesma conta e exclui contas antigas vinculadas a números desativados depois de feita a migração para o novo, valha para o Telegram também, o que não é verdade.

(O modelo do Telegram, que prioriza a disponibilidade em múltiplos dispositivos, abre algumas brechas do tipo. Deltan Dalagnol que o diga…)

Bom, fica a dica. Outra medida útil para evitar situações como a que a Paula passou é ativar a senha do Telegram (autenticação em dois fatores). Nesse caso, mesmo que alguém herde seu número antigo e ele ainda esteja vinculado à sua conta no Telegram, essa pessoa não conseguirá acessá-la sem a senha.

A Apple enviou ao AppleInsider um posicionamento a respeito da suspeita de que aplicativos como o iFood poderiam ter explorado uma falha no iOS e acessado a localização do iPhone sem autorização.

A empresa negou esse cenário e deu mais detalhes da falha corrigida no iOS 16.3. Segundo a Apple, ela só podia ser explorada em aplicativos fora da “sandbox” no macOS, mas foi propagada para os outros sistemas da casa mesmo assim, ainda que “eles nunca tenham estado em risco”.

Segue abaixo o comunicado oficial (tradução minha):

Na Apple, acreditamos firmemente que os usuários devem escolher quando compartilhar seus dados e com quem. Semana passada, emitimos um alerta para uma vulnerabilidade de privacidade que só poderia ser explorada a partir de aplicações “unsandboxed” no macOS. A base de código que corrigimos é compartilhada pelo iOS e iPadOS, tvOS e watchOS, portanto a correção e o alerta foram propagados para esses sistemas operacionais também, apesar do fato de que eles nunca estiveram em risco.

A sugestão de que esta vulnerabilidade poderia ter permitido que aplicativos burlassem os controles do usuário no iPhone é falsa.

Um relato também sugeriu incorretamente que um aplicativo iOS estava explorando esta ou outra vulnerabilidade para burlar o controle do usuário sobre os dados de localização. Nossa investigação concluiu que o aplicativo não estava burlando os controles do usuário através de nenhum mecanismo.

Só fica a dúvida do que aconteceu no iPhone do Guilherme. Terá sido um “glitch” (uma falha na interface do iOS)?

Via AppleInsider (em inglês).

Atualização (11/2): A Apple emitiu um posicionamento ao AppleInsider negando que a falha mencionada abaixo tenha sido explorada e que o iFood tenha burlado os controles de privacidade do iOS.

O leitor Guilherme Teixeira notou algo estranho em seu iPhone no início de janeiro: o aplicativo do iFood estava acessando a localização do aparelho sem ter permissão para tal.

Quando Guilherme compartilhou essa curiosidade no nosso grupo do Telegram (para apoiadores), ficamos intrigados. Outro leitor respondeu: “iFood passando a perna na Apple.” Parece loucura. Mas… será?

Dois prints do iOS mostrando o aplicativo do iFood acessando a localização do aparelho mesmo sem permissão para tal.
Imagens: Guilherme Teixeira/Reprodução.

É uma hipótese reforçada pelas notas de lançamento do iOS 16.3, liberado pela Apple no dia 23 de janeiro. Entre outras, ela lista a falha CVE-2023-23503, submetida por um pesquisador anônimo, que permitia que um aplicativo conseguisse “ignorar as preferências de privacidade [do Maps]”.

A falha está em modo “reservado” no banco de dados do sistema CVE, ou seja, os detalhes ainda não foram publicados.

Guilherme disse que, depois que reiniciou o iPhone, o aplicativo do iFood voltou ao normal, ou seja, antes do iOS 16.3 ser disponibilizado.

Pode ter sido outra coisa? Uma falha pontual? Um erro de exibição do iOS? Pode. Mas que é uma estranha coincidência, isso é.

O Manual do Usuário entrou em contato com a assessoria de imprensa do iFood pedindo um posicionamento. Eles receberam a demanda, pediram mais detalhes e mais prazo, que foi concedido, mas o posicionamento ainda não havia chegado até a publicação desta nota. O post será atualizado assim que ele chegar.

Atualização (1/2, às 17h30): Segue o posicionamento do iFood na íntegra:

O iFood reforça que a segurança de dados é prioridade em seu negócio e na relação com os consumidores, entregadores e restaurantes. Os dados coletados são utilizados apenas para as finalidades previstas em nossa Declaração de Privacidade.

Neste caso, após análise minuciosa pela equipe de tecnologia, não foi identificado nenhum código no aplicativo iFood que permite o acesso a localização do usuário sem autorização, mas ainda assim, a empresa permanece à disposição para esclarecer qualquer dúvida referente ao assunto ou qualquer suposta falha, de modo a contribuir para trazer mais segurança à plataforma.

Presente em mais de 1700 cidades no Brasil e referência em delivery online, o iFood realiza investimentos constantes em segurança, tecnologia e monitoramento para identificação e correção de possíveis falhas e melhoria contínua do aplicativo.

Não acho que [a API de tópicos] seja a respeito dos cookies de terceiros — é sobre vigilância na web e rastreamento. Se removermos os cookies de terceiros e substitui-los com algo que tem os mesmos problemas, então não é ok.

— Amy Guy, do Grupo de Arquitetura Técnica do W3C.

A API de tópicos é a última aposta do Google para substituir os cookies de terceiros no Chrome como aparato de vigilância para o seu negócio de publicidade segmentada. O W3C, em reunião realizada em 10 de janeiro, analisou e rejeitou a proposta. O Google se pronunciou; disse que seguirá em frente mesmo com o revés.

Quando uma empresa de publicidade desenvolve um navegador web, não surpreende que a prioridade seja usá-lo para devassar a privacidade dos usuários. Felizmente o W3C e outros navegadores (WebKit/Safari, Firefox) estão combatendo com afinco essa aberração. Via Insider (em inglês).

3

Privacidade é ok

9

por Tim Bray

Nota do editor: Vez ou outra alguém sugere criar exceções à criptografia de ponta a ponta de aplicativos como Signal e WhatsApp a fim de combater a criminalidade. É uma ideia bem ruim. O texto abaixo é a resposta de Tim Bray a mais um desses pedidos inócuos. Mesmo parte de um debate norte-americano, achei-a bem embasada e válida no nosso contexto, por isso a trouxe para cá.

Detesto escrever um artigo apenas para dizer que Alguém Está Errado na Internet, mas o de Reid Blackman, “Signal e o perigo da privacidade a todo custo” (em inglês, no New York Times), não está apenas errado: ele é, também, perigosamente enganoso. Ainda não vi uma explicação breve do porquê, então aqui vai uma.

(mais…)

Extensão Privacy Redirect para Safari

8

“Sair do Twitter” não significa ignorá-lo por completo. Na cobertura do Manual e até mesmo em trocas de mensagens com amigos e familiares, vez ou outra aparece um link para lá.

Foi numa dessas situações que lembrei da extensão Privacy Redirect, que redireciona links de redes sociais comerciais para front-ends alternativos focados em privacidade. No caso do Twitter, o Nitter.

Se você usa Chrome ou Firefox, ótimo: a extensão é gratuita, só instalar e apontar quais serviços deseja que sejam redirecionados.

No caso do Safari, desconhecia alternativa. Aí fiz uma pesquisa e descobri que, em agosto de 2021, alguém lançou uma versão da Privacy Redirect para o navegador da Apple. Custa R$ 10,90, mas… né, o que não custa alguns reais nas plataformas da Apple?

1

Para começar bem o ano, a Meta foi multada pela União Europeia (UE) em € 390 milhões (~R$ 2,25 bilhões) e obrigada a, em três meses, obter o consentimento dos usuários do bloco para continuar exibindo publicidade segmentada baseada em dados pessoais.

As decisões (duas, uma para o Facebook, outra para o Instagram) decorrem de reclamações feitas em 2018 pela noyb, uma organização europeia sem fins lucrativos de direitos digitais, representando a Áustria e a Bélgica. Foi justo quando o GDPR, lei de proteção de dados pessoais da UE, passou a valer.

A Meta, na ocasião, inseriu uma cláusula referente à publicidade em seus termos de uso atualizados a fim de burlar a obrigação, imposta pelo GDPR, de obter o consentimento dos usuários para usar seus dados pessoais na segmentação de publicidade.

Agora, o Conselho de Proteção de Dados da Europa (EDPB, na sigla em inglês), decidiu que a manobra foi ilegal. Por isso, além da multa, a Meta terá que obter o consentimento explícito dos usuários para continuar exibindo publicidade baseada em seus dados pessoais.

A decisão reverte uma mais branda tomada anteriormente pela Comissão de Dados Pessoais (DPC) da Irlanda, onde fica a sede europeia da Meta. As multas somavam pouco mais de € 60 milhões (~R$ 350 milhões).

E pode piorar (ou melhorar, né?): segundo a noyb, há uma terceira decisão pendente, referente ao WhatsApp, feita em nome da Alemanha. Ela deve ser divulgada na semana que vem.

A Meta disse em nota que discorda das decisões e que vai recorrer. Via noyb (em inglês).

7

A SPTrans deu um presentão de Natal a 13 milhões de usuários do sistema de transporte público da capital paulista. Na última sexta (23), a responsável pelo sistema do Bilhete Único avisou que os dados pessoais de toda essa gente vazaram.

Vazaram nome, nome social, data de nascimento, CPF, RG, endereço, número de telefone, filiação, PIS, matrícula de aluno, estado civil, naturalidade, sexo, e-mail, além de login e senha do portal de serviços da SPTrans na internet.

O evento ocorreu em abril de 2020, mas só agora, dois anos e meio depois, foi descoberto após a troca da equipe de segurança. De acordo com a SPTrans, o vazamento decorreu de um “crime cibernético”. A empresa comunicou a ANPD e a Polícia Civil de São Paulo, e, segundo uma advogada especializada em LGPD ouvida pelo Diário do Transporte, terá que provar que não contribuiu ou deu brecha à invasão.

Como mitigações, a SPTrans está avisando os usuários afetados por e-mail e “orienta” a troca de senhas. Os bilhetes continuam valendo e não há necessidade dos usuários procurarem postos de atendimento. Via Diário do Transporte (2).