Em Exabeam, não estamos apenas interessados em desenvolver os mais recentes de segurança cibernética, também somos fascinado pelo o que podemos aprender com os mais velhos tecnologias de segurança. É por isso que recentemente criamos um histórico de calendário de segurança cibernética de 2019. Cada mês apresenta datas-chave na história da cibersegurança, juntamente com uma pergunta relacionada com trivialidades e outras coisas de interesse que ocorreram nesse mês durante anos passados.
este é o quarto de uma série de posts com o calendário de segurança cibernética onde olhamos para a ascensão e queda do chip Clipper. Vamos publicar mais história sobre as datas de segurança cibernética que pesquisamos ao longo do ano. Se você acha que perdemos uma data importante (ou algo errado), por favor nos avise. Você também pode compartilhar seu feedback conosco no Twitter.Como se sentiria se descobrisse que o seu telemóvel continha um chip especificamente concebido para entregar as suas comunicações privadas ao governo? Você provavelmente ficaria chocado e exigiria respostas do fabricante, no mínimo. Hoje em dia, as pessoas são ranqueadas por escutas comparativamente menores, como os comerciantes que usam o seu histórico de navegação no computador ou o GPS do seu telemóvel para lhes dar publicidade direccionada. Agora imagine como as pessoas se sentiram na década de 1990, quando o governo dos EUA desenvolveu e promoveu um chipset projetado com um backdoor embutido.
em 16 de abril de 1993, a Casa Branca anunciou o chamado “chip Clipper”. Oficialmente conhecido como MYK-78, ele foi destinado a ser usado em dispositivos de comunicação seguros como telefones criptográficos, que protegem as chamadas de interceptação usando algoritmos e chaves criptográficas para criptografar e descriptografar os sinais. O algoritmo criptográfico do chip, conhecido como Skipjack, foi desenvolvido pela Agência de Segurança Nacional (NSA), a agência de inteligência militar profundamente secreta responsável por interceptar comunicações governamentais estrangeiras e quebrar os códigos que protegem tais transmissões.
cada chip Clipper tinha uma chave de unidade secreta programada para ele durante a fabricação. Uma vez que cada chip tinha seu próprio número de série e unidade chave, cada dispositivo de comunicação seguro usando a tecnologia seria único.
mas no caso do chip Clipper, a parte “segura” realmente não se aplicava ao governo. Em um sistema de comunicação seguro como um telefone criptográfico, ter as chaves criptográficas certas permite que um telefone descriptografe sinais de voz para que o receptor possa ouvir a chamada. Com o chip Clipper, os fabricantes de dispositivos foram obrigados a entregar as chaves criptográficas para o governo. Obviamente, a intenção era permitir que agências de inteligência e aplicação da lei como a CIA e o FBI decifrassem chamadas de voz para fins de vigilância.
embora hoje não pareça algo que se possa anunciar publicamente, o conceito fez pelo menos uma tentativa de dar um ligeiro aceno aos direitos das pessoas à privacidade. Para fornecer alguma proteção contra o uso indevido por agências de execução, os desenvolvedores concordaram que a chave criptográfica de cada chip Clipper seria mantida em garantia conjunta por duas agências federais. Essencialmente, dividiram a chave da unidade em duas partes, e cada metade seria dada a uma das agências. Reconstruir a chave de unidade necessária para acessar o banco de dados de ambas as agências, e, em seguida, colocar as metades novamente juntos usando software especial.
defensores da privacidade e criptógrafos rapidamente se moveram para cortar as asas do chip
não surpreendentemente, um backlash logo seguiu o anúncio do chip Clipper. Organizações de direitos de privacidade, tais como a Electronic Frontier Foundation e o centro de informação de Privacidade Eletrônica se reprovaram na proposta de chip Clipper. Estes e outros opositores alegaram que iria sujeitar cidadãos comuns a vigilância governamental ilegal.
In a 1994 article, The New York Times went so far as to describe the backlash among Silicon Valley technologists as the first holy war of the information highway.
“os Cypherpunks consideram o Clipper a alavanca que o Big Brother está usando para bisbilhotar as conversas, mensagens e transações da era do computador. Esses Paul Reveres de alta tecnologia estão tentando mobilizar a América contra o portent maléfico de um “Estado policial do ciberespaço”, como um de seus jeremiads de Internet disse. Juntar-se a eles na batalha é uma força formidável, incluindo quase todas as indústrias de comunicações e computadores, muitos membros do Congresso e colunistas políticos de todas as faixas.”
por outro lado, a Casa Branca Clinton argumentou que o chip Clipper era uma ferramenta essencial para a aplicação da lei. Quando outros sugeriram que poderia ser uma ferramenta para terroristas, a administração disse que realmente aumentaria a segurança nacional, porque o governo poderia ouvir suas chamadas.
The cryptographic community also complained the Clipper chip’s encryption could not be properly evaluated by the public as the Skipjack algorithm was classified secret. Isto poderia tornar os dispositivos de equipamentos de comunicação seguros não tão seguros como anunciado, impactando empresas e indivíduos que confiariam neles.
In 1993, AT &T Bell produced the first and only telephone device based on the Clipper chip. Um ano mais tarde, Matt Blaze, um pesquisador da AT&T, publicou uma grande falha de design que poderia permitir que uma parte maliciosa adulterasse o software. Essa falha parecia ter sido o último prego no caixão da tecnologia. O dispositivo AT&T foi a primeira e única tecnologia de comunicação segura a usar o chip Clipper; em 1996, o chip já não existia.Olhando para a forte resposta ao chip Clipper e sua rápida morte, podemos aprender um pouco da história sobre a cibersegurança hoje. As tecnologias de cibersegurança têm que existir em um mundo para pessoas reais, e as pessoas hoje se preocupam muito com a privacidade pessoal. Quer as inovações venham do governo ou da indústria, elas precisam equilibrar a segurança com as preocupações pelo uso indevido da tecnologia. Afinal, a maioria das pessoas não são criminosos nem terroristas. Também construir tecnologias de segurança defeituosas em sistemas que são promovidos como “seguros” pode deixar os indivíduos e as empresas que confiam nestas ferramentas vulneráveis aos riscos.