Por Lucas Teixeira

O miniLock é uma nova ferramenta para envio seguro de arquivos pela Internet. Ela promete criptografar arquivos – para anexar no e-mail, ou compartilhar no Dropbox, por exemplo – com a segurança dos algoritmos mais modernos, mas com simplicidade e usabilidade muito maiores que o OpenPGP, o software mais usado para isso hoje em dia.

Ela foi lançada oficialmente durante a conferência Hackers on Planet Earth (HOPE) por Nadim Kobeissi, criador do Cryptocat, um software de chat seguro também desenvolvido com foco na usabilidade.

O modo mais fácil de começar é instalar um plugin para o Google Chrome. Uma vez instalado e aberto, o miniLock pede que seja digitada uma senha forte, a partir da qual será gerado um “miniLock ID”, que você divulga para quem quer te enviar um arquivo. Quem quer que saiba esse ID pode proteger um arquivo para que seja decodificado somente por você, que tem a senha.

Por debaixo dos panos, é a velha criptografia de chave pública. A chave pública é o miniLock ID, e a privada é derivada da senha forte e não precisa ser conhecida pelo usuário – de fato, ela nunca é exibida. O software estimula a criação de boas senhas impedindo menos de 100 bits de entropia e cria senhas boas o suficiente, a partir de uma sequência aleatória de palavras de dicionário, se a pessoa falhar repetidamente.

Algumas outras funcionalidades do OpenPGP, como assinaturas digitais e a rede de confiança, se perdem. Em compensação, a curva de aprendizado diminui drasticamente, e a praticidade aumenta.

Em vez de ter de importar chaves secretas em cada computador que usar, uma pessoa só precisa levar a senha na cabeça e instalar o miniLock para abrir um arquivo protegido. Além disso, os pequenos ID’s gerados, que têm 44 caracteres, contrastam com as chaves públicas de outros sistemas, que costumam ter milhares de dígitos e letras. Uma jornalista ou um advogado que queira receber material confidencial pode então transmitir essa chave impressa em um cartão de visitas ou até dentro de um tweet.

A ferramenta já passou por uma auditoria realizada pela Cure53. Essa empresa, baseada em Berlim, tem um histórico de auditorias de ferramentas de criptografia e anonimato, como o Globaleaks, SecureDrop e o Mailvelope. O trabalho foi pago pela Open Technology Fund, que financia projetos que vão em direção à sua meta (EN) de “promover a liberdade global na Internet e combater a censura online”. O Tor Project, o Security In A Box, a Open WhisperSystems e o Vietnam Open Internet Project são algumas das organizações e projetos que já foram ajudados por esse fundo.

Na conclusão da auditoria, os três autores contam (EN) que não encontraram “nenhum erro grave”, e que o programa foi “escrito com cuidado e coerência, e bem estruturado”. A maior parte do relatório consiste em recomendações futuras e “pequenos erros que não têm implicações diretas de segurança”. (traduções nossas)

Auditorias de software não indicam, no entanto, que não há bugs. A ausência de evidência não é evidência de ausência.

A EFF recentemente publicou uma avaliação de softwares de mensagens, e um dos critérios de pontuação é se o software teve uma auditoria no último ano. A tentativa de tornar a questão binária gerou série de questionamentos, e a fundação publicou em seguida um artigo sobre “no que consiste uma boa auditoria de segurança”.

O que parece ser a maior fraqueza em potencial do miniLock é a plataforma onde opera: o navegador Google Chrome (ou sua versão livre, Chromium).

Por conta de vários fatores na história da web – a forma desenfreada e orientada a inovação com que as tecnologias foram desenvolvidas – os navegadores são enormes, cumprindo as mais variadas tarefas: renderizar imagens na tela, se comunicar com servidores web para pedir as páginas, armazenar senhas, tocar vídeos… sempre houve um grande incentivo para copiar rápido cada funcionalidade que os concorrentes inventavam e acrescentar novas; muitos softwares foram escritos e padrões inventados na pressa de chegar na frente.

Essas condições formam um péssimo cenário: qualquer bug em uma dessas mil e uma utilidades pode comprometer a segurança da plataforma, e com isso a do miniLock.

Por isso Silvio Rhatto, cypherpunk que atua há mais de 10 anos na comunidade brasileira de segurança, se mostra reticente sobre o software: ”[os navegadores] estão cravados de vulnerabilidades. É um stack muito grande e complexo pra basear aplicações de comunicação com segurança alta. Navegadores tem superfícies de ataque gigantescas“.

Ainda assim, os recursos e o esforço necessários para que uma pessoa ou organização se aproveite de uma dessas falhas faz com que o miniLock possa se tornar uma solução viável para pessoas que não precisem se proteger de um oponente tão poderoso quanto um estado-nação ou uma grande organização criminosa.

Para que qualquer software livre prospere, principalmente no meio da segurança, é necessário que uma comunidade – de programadores, criptógrafos, oficineiros… – se forme em torno da ferramenta. “Não sei se [o miniLock] suscitou muita discussão ou se já submergiu na montanha de aplicativos de segurança que surgiram”, diz Rhatto.

Se a discussão de fato ocorrer, e houver interesse do público, é de se esperar que surjam versões em outras plataformas menos expostas. Já temos o deadlock, um programa de terminal que pode ser usado intercambiavelmente com o plugin do navegador, pois implementa o mesmo protocolo da versão original de Nadim.

Para além do uso “sério”, a ferramenta é certamente uma ótima forma de dar os primeiros passos na criptografia:feedback rápido, simples, leve. Além disso, por ter especificações e código relativamente simples e abertos, é fácil aprender como tudo acontece por baixo dos panos.

Acesse outros conteúdos publicados na  “#Edição10 do boletim Antivigilância” acessando a tag “boletim10” abaixo.