Edition 06

É a pior notícia desta edição e deve provocar indignação. Retire-se o procedimento: mais eurodeputados votaram contra a reativação da análise massiva de mensagens do que a favor, e passou na mesma. O limiar para rejeitar uma posição do Conselho é deliberadamente elevado, uma maioria absoluta, mas a votação foi forçada por um procedimento de urgência e marcada para a última sessão antes do verão, quando grande parte do hemiciclo já tinha ido embora. A maioria disse não. O calendário disse sim.

Agora a parte que a maioria das análises erra, e que não deve errar. O que regressou é o 1.0, a análise voluntária de mensagens não cifradas, não a análise obrigatória do lado do cliente em aplicações cifradas. A exclusão da cifra foi aprovada, pelo que o Signal, o WhatsApp e o iMessage ficam formalmente fora desta versão. A versão perigosa, o 2.0, continua viva em trílogo e chega em setembro. A vitória para a cifra é real, mas estreita, e o combate que importa está a três meses de distância.

Se aconselha alguém que desenvolva um produto cifrado, ou uma equipa de política que acompanhe este dossier, marque setembro na agenda já. O precedente estabelecido esta semana é processual, não técnico. Mas o apetite é evidente, e quem quer analisar tudo acaba de aprender que pode ganhar uma votação que perdeu.

Leia esta notícia a seguir à anterior e o contraste resume toda a newsletter. A única lei da UE que obriga as organizações a defenderem-se concretamente, o NIS2, permaneceu por implementar em quatro países durante vinte meses, incluindo o meu. Bruxelas consegue acelerar um regime de análise em uma semana, mas a diretiva que protege hospitais e redes elétricas aguarda dois anos e uma citação judicial.

O ponto prático é direto, e faço-o em todas as formações. O atraso do seu governo não é um escudo. O prazo expirou em outubro de 2024. As obrigações, gestão do risco, reporte de incidentes, deveres na cadeia de fornecimento, são a direção do setor independentemente de quando Madrid ou Paris concluem a papelada. Se gere uma entidade regulada e tem aguardado a lei nacional como desculpa, tem estado a acumular dívida, e a fatura comprime-se no momento em que o texto entra em vigor.

E saboreie o momento. A Irlanda assumiu a presidência do Conselho da UE a 1 de julho e foi arrastada para o tribunal da própria UE a 8 de julho. Quem devia liderar em matéria de ciber não conseguiu implementar a lei de cibersegurança. Se precisava de prova de que sensibilização e execução são coisas diferentes, está aqui.

A mesma lição do bloqueador de anúncios de há umas semanas, com roupa nova. As pessoas instalam estas aplicações para estarem mais seguras e entregam o seu tráfego a quem escreveu o código. 2,4 mil milhões de instalações, e o básico está partido: fugas de DNS, ficheiros de configuração em claro, rastreadores por todo o lado, uma aplicação a enviar o GPS. O selo Verified não serviu de nada, porque um selo é um rótulo de marketing, não um controlo.

Para a sua organização, isto não é uma nota de rodapé de consumidor. É shadow IT nos endpoints que tocam nos seus dados. Alguém na sua equipa instala uma VPN gratuita no telemóvel que acede ao correio da empresa, e agora o seu tráfego passa por um operador que nunca avaliou, possivelmente em claro. As VPNs gratuitas não são uma ferramenta de privacidade. São um modelo de negócio, e você é o inventário.

O único filtro real é a proveniência. Uma auditoria independente recente, propriedade clara, um negócio pago com dinheiro em vez de com os seus dados. Tudo o resto, incluindo as declarações de zero registos, é um ponto de partida, não uma prova.

Ativo por predefinição, e nem sequer é informado quando acontece. Reflita nisso. A Meta vai pegar nas suas fotos públicas, deixar um desconhecido mencioná-lo com @, e gerar imagens suas, sendo que a primeira vez que ouve falar disso é nunca. Controlo, na versão da Meta, significa um botão que não sabia que existia, enterrado a três menus de profundidade, que não apaga nada do que já foi criado.

Este é o problema de consentimento que toda a indústria está a ultrapassar a alta velocidade. Opt-out por predefinição não é consentimento, é teatro de consentimento, e na UE isso não é um debate de UX, é um debate de GDPR. A Google fez o mesmo este mês com os seus conteúdos e a sua IA. O padrão é o indício: primeiro tomar, depois oferecer um botão escondido, notificar nunca.

Dois minutos de arrumação se utiliza o Instagram: Definições, Partilha e reutilização, desativar publicações e reels. Faça-o também para as contas públicas que gere. E lembre-se que só impede o próximo remix, não os que já existem.

Dois itens acima, as VPNs gratuitas estavam a expô-lo. Aqui está a versão mais difícil da mesma lição: mesmo uma VPN que funcione na perfeição não serve de nada se o próprio sistema operativo carimba um identificador permanente em tudo o que faz. O hacker usou proxies. Eram becos sem saída. O identificador Windows por baixo não era. O anonimato não é uma ferramenta única; é o elo mais fraco de toda a cadeia, e o sistema operativo é geralmente esse elo.

Ninguém chora por um membro dos Scattered Spider, e este identificador também serve à Microsoft para gerir licenciamento e fraude, o que são fins razoáveis. O que deve incomodar é a assimetria. A Apple e a Google protegem os identificadores de dispositivo com um pedido de consentimento e a possibilidade de reset. A Microsoft disponibiliza um sem qualquer pedido, sem reset, com uma frase de documentação pública, associado à sua conta e não a si enquanto pessoa, e o público só ficou a saber da sua existência porque um processo judicial o explicitou.

Para o seu modelo de ameaça, seja preciso sobre o que uma VPN lhe compra: oculta o caminho de rede, não a identidade da sua máquina. Se a identidade em si é o risco, jornalismo, ativismo, uma pessoa em situação de vulnerabilidade, a conversa é sobre conta local, Linux ou Tails, não sobre VPN. Para uma frota gerida, é mais uma razão pela qual a sua estratégia de identidade de endpoint não pode parar na camada de rede.