Casos especiais: fontes, fronteiras, e quando pedir ajuda

As aulas anteriores construíram um método geral: nomear o adversário, pesar probabilidade e impacto, escolher controles proporcionais. Algumas situações são comuns o suficiente entre jornalistas, advogados e funcionários de ONGs para merecerem atenção específica, e uma resposta específica para a pergunta que todo o curso vem construindo: quando você para de fazer isso sozinho?

Proteger uma fonte, antes mesmo de ela entrar em contato com você

A orientação da Freedom of the Press Foundation é direta sobre o momento certo: "o esforço para proteger suas fontes precisa começar antes de elas entrarem em contato com você". No momento em que uma fonte entra em contato, um número de telefone, um cabeçalho de e-mail, ou uma entrada em um aplicativo de contatos já pode existir em algum lugar fora do seu controle. Sua orientação prática inclui mover o primeiro contato sensível para o Signal, em vez de um canal baseado em número de telefone, ser deliberado sobre o que uma linha de denúncias ou uma página de contato coleta, e tratar sua própria agenda de contatos como um ativo em si — uma lista de "quem fala com este jornalista" já é sensível por si só, mesmo sem o conteúdo das mensagens. A mesma lógica se aplica a advogados que mantêm uma lista de clientes: quem você representa pode importar tanto quanto o que foi dito.

A confidencialidade do cliente é um modelo de ameaça, não só um dever

O dever ético de confidencialidade de um advogado e um modelo de ameaça de segurança descrevem o mesmo problema por dois ângulos. O adversário pode ser a contraparte buscando acesso antecipado à estratégia, um governo buscando provas de asilo de um cliente antes de serem apresentadas, ou simplesmente um computador de escritório compartilhado, onde o privilégio poderia ser perdido por acidente. Aplicar o método da aula anterior — qual é o ativo, quem o quer, como conseguiriam alcançá-lo — transforma "manter em confidencialidade" em passos concretos: armazenamento separado para os arquivos mais sensíveis, cuidado com qual serviço de nuvem os guarda (o curso de segurança na nuvem desta universidade cobre quem mais poderia acessar esses dados), e cautela antes de discutir um caso por um canal sem criptografia.

Revistas de dispositivos em fronteiras

O guia da Electronic Frontier Foundation sobre privacidade digital na fronteira dos EUA explica que agentes de fronteira atualmente reivindicam autoridade para revistar os dispositivos de viajantes "com ou sem suspeita individualizada", um poder mais amplo do que o que se aplica longe da fronteira e legalmente contestado. Seu conselho concreto de preparação inclui: minimizar o que você carrega, deixando dispositivos sensíveis em casa ou movendo dados para um armazenamento que você consegue acessar depois de chegar, em vez de dados fisicamente no dispositivo; ativar a criptografia total do disco com uma senha forte e memorizada, em vez de depender só de impressão digital ou reconhecimento facial na travessia; e desligar os dispositivos antes de chegar ao ponto de controle. Se um dispositivo é revistado ou um agente pede uma senha, a orientação da EFF é que suas opções dependem da sua cidadania e status migratório — um cidadão dos EUA não pode ter a entrada negada por recusar, mas pessoas que não são cidadãs podem enfrentar consequências diferentes — o que é exatamente o tipo de decisão que vale a pena planejar antes de estar diante do balcão, não durante.

Quando trazer ajuda especializada

O método de análise de risco deste curso serve bem para decisões cotidianas. Ele não pretende substituir ajuda especializada quando as apostas ultrapassam certo limite — um adversário em nível estatal, uma ameaça legal ativa, ou uma fonte cuja segurança depende de acertar isso na primeira tentativa. Três organizações existem especificamente para essa lacuna. A Access Now mantém uma Linha de Ajuda de Segurança Digital que, em sua própria descrição, oferece "resposta rápida para incidentes de segurança digital" em dez idiomas, com um tempo de resposta típico de duas horas, para grupos da sociedade civil, jornalistas e defensores de direitos humanos. A equipe de segurança digital da Freedom of the Press Foundation trabalha diretamente com redações e repórteres exatamente nas situações de proteção de fontes e reportagem em campo acima. O guia Surveillance Self-Defense da EFF é a referência da qual todo este curso partiu, e a própria EFF pode ser contatada diretamente (seu guia de fronteiras lista [email protected] para violações de direitos em uma travessia).

Uma regra prática

Se a resposta honesta para "quão ruins são as consequências se eu falhar", da primeira aula deste curso, é que alguém poderia se machucar, ser preso, ou perder seu caso de asilo — pare de depender de orientação geral, incluindo este curso, e procure uma das organizações acima. Nenhuma delas, nem nenhuma ferramenta, consegue prometer segurança total. O que elas conseguem trazer é conhecimento atual e específico da situação que um curso escrito para um público geral não consegue.