Adversários e seus motivos

Conselhos de segurança que começam pelas ferramentas antes das pessoas geralmente dão errado. O guia Surveillance Self-Defense da Electronic Frontier Foundation coloca a pergunta certa primeiro: não "o que eu deveria instalar", mas "de quem eu quero proteger [minhas informações]". Um adversário é, em suas palavras, "uma pessoa ou entidade que representa uma ameaça aos seus ativos". Antes de escolher qualquer proteção, ajuda nomear contra quem você realmente está, porque um funcionário de ONG, um advogado de defesa e um jornalista investigativo raramente enfrentam o mesmo adversário.

O que separa um adversário do outro

A unidade de conhecimento em Ameaças Cibernéticas do NCAE-C organiza os agentes de ameaça em torno do que chama de modelo de adversário: seus recursos, capacidades, intenção, motivação, tolerância a risco, e o acesso que já possuem. Dois atacantes que ambos querem sua senha podem parecer completamente diferentes assim que você faz essas perguntas. Um ladrão de cartão de crédito tem dinheiro como objetivo, habilidades modestas, e vai passar para um alvo mais fácil no momento em que você parecer caro demais de atacar. Um serviço de inteligência governamental tem paciência, engenheiros, respaldo legal, e nenhum motivo para desistir.

Quatro adversários que pessoas em risco costumam enfrentar

Por que o mesmo comportamento significa risco diferente para pessoas diferentes

Uma ONG documentando abusos, um advogado com o processo de asilo de um cliente, e um jornalista protegendo uma fonte todos lidam com informações que prejudicariam alguém se vazassem, mas a pessoa que seria prejudicada e o adversário que as quer são diferentes. Para a ONG, um agente estatal ou um grupo local hostil pode querer a identidade de testemunhas. Para o advogado, a própria parte contrária do cliente ou um governo hostil pode querer o processo. Para o jornalista, o empregador da fonte ou um serviço de segurança estatal pode querer saber quem falou. A Access Now, que mantém uma Linha de Ajuda de Segurança Digital para "grupos da sociedade civil, jornalistas, blogueiros, defensores de direitos humanos e ativistas", vê esse padrão nos casos que atende: a ferramenta que importa é a que responde à ameaça específica, não uma lista genérica de "melhores práticas".

Pessoas internas e atacantes de baixa habilidade também importam

A unidade de conhecimento em Ameaças Cibernéticas também nomeia duas categorias fáceis de subestimar: a ameaça interna (alguém com acesso legítimo que o usa indevidamente) e o "script kiddie", um atacante com habilidade limitada rodando ferramentas construídas por outros. Um voluntário insatisfeito com acesso ao seu banco de dados de doadores, ou um ex-parceiro que ainda conhece seu código de desbloqueio, pode causar tanto dano quanto um agente mais sofisticado, e estatisticamente tem muito mais chances de ser quem realmente age.

Nomear o adversário muda o que você faz a seguir

O guia Surveillance Self-Defense da EFF coloca o benefício claramente: uma vez que você sabe de quem está protegendo uma informação, você consegue decidir "quanto trabalho você está disposto a ter" para defendê-la, e onde esse esforço é desperdiçado. Um advogado preocupado com a intimação de e-mails pela contraparte precisa de hábitos diferentes de um preocupado com um estado interceptando chamadas. A próxima aula deste curso acompanha o ataque de um adversário específico desde a primeira mensagem até o objetivo; a seguinte transforma "quem pode me mirar" em um processo repetível de pesar probabilidade e impacto.