O que é o PRISM?

Na noite de ontem, o Washington Post e o Guardian soltaram dois artigos bombásticos. O assunto foi o PRISM, uma colaboração secreta entre a Agência de Segurança Nacional dos Estados Unidos (NSA), FBI e quase todas as empresas de tecnologia que você confia diariamente. O PRISM forneceu ao governo dos Estados Unidos acesso sem precedentes às suas informações pessoais há pelo menos seis anos. Mas o que é isso, exatamente?

PRISM é um programa secreto governamental…

Por mais que PRISM pareça mais um tipo de antagonista dos quadrinhos para o S.H.I.E.L.D., é na verdade uma sigla para um programa real do governo dos Estados Unidos. De acordo com documentos vazados, ele entrou em ação em 2007, e só ganhou força desde então. Sua proposta é monitorar potenciais comunicações estrangeiras valiosas que podem passar pelos servidores dos Estados Unidos, mas parece que na prática seu alcance é bem maior.

Informações do PRISM, segundo o Post, são responsáveis por quase 1 em cada 7 relatórios de inteligência. Isso é impressionante.

…que dá à NSA acesso sem precedentes aos servidores de grandes empresas de tecnologia…

Microsoft. Yahoo. Google. Facebook. PalTalk. AOL. Skype. YouTube. Apple. Se você interagiu com qualquer uma destas empresas nos últimos seis anos, a informação é vulnerável nos termos do PRISM. Mas como?

Os relatos iniciais da noite passada sugeriam que o processo funcionava da seguinte maneira: as empresas anteriormente mencionadas (e talvez até outras) recebiam uma diretiva do procurador geral e do diretor de inteligência nacional. Elas davam acesso aos seus servidores – e aos extremamente ricos dados e comunicações que passam por eles todos os dias – para a Unidade de Tecnologia de Interceptação de Dados do FBI, que, por sua vez, retransmitia para a NSA.

E aí as coisas ficavam interessantes.

…para que a agência pudesse espionar cidadãos dos EUA sem que eles soubessem…

Parece impossível que a NSA, uma agência que por lei só é permitida a monitorar comunicações externas, tivesse tanto acesso à informações domésticas. E mais!

Ainda existem, como você deve imaginar, filtros para ajudar a lidar com a quantidade de dados recebidos diariamente, os trilhões de bits e bites que fazem sua identidade e vidaonline. Alguma coisa para garantir que apenas os caras maus estão sendo vigiados, e não os cidadãos honestos. Existe sim um filtro, e é ridículo: um analista da NSA precisa ter 51% de certeza de que um assunto é “externo”. Depois disso, carta branca.

É isso. É o único filtro. E é ineficiente: os slides de PowerPoint publicados pelo Post reconhecem que cidadãos domésticos são pegos na web, mas “não há nada para se preocupar”.

…com granularidade aterrorizante…

Há sim algo com o que se preocupar.

O que é mais preocupante sobre o PRISM não é a coleta de dados. É o tipo de dado coletado. De acordo com o artigo do Washington Post, isso inclui:

“…conversas por vídeo e áudio, fotografias, e-mails, documentos, e logs de conexão… [Skype] pode ser monitorado por áudio quando um dos lados da conversa é em um telefone convencional, e para qualquer combinação de “áudio, vídeo, chat, e transferência de arquivos” quando os usuários do Skype se conectam por um computador. As ofertas do Google incluem Gmail, chats de voz e vídeo, arquivos do Google Drive, biblioteca de fotos, e vigilância de termos de busca em tempo real.”

Conseguiu pegar tudo? Profundidade similar de acesso também se aplica ao Facebook, Microsoft e ao resto. Para ser claro: isso cobra praticamente qualquer coisa que você já tenha feito online, e ainda inclui pesquisas no Google enquanto você está digitando.

…o que é diferente e muito mais agressivo do que o escândalo da Verizon…

A notícia sobre o PRISM surgiu após um artigo separado, sobre a NSA ter acesso a registros de conversas de consumidores da Verizon – e, segundo a NBC, de todas as outras operadoras também. E, surpreendentemente, este é um programa completamente diferente! E o PRISM faz o escândalo da Verizon parecer algo pequeno.

Quando a NSA monitora registros de telefone, ela só coleta os metadados deles. Isso inclui quem e para quem a chamada foi feita, de onde elas foram feitas, e outras informações gerais. É importante entender que, até onde sabemos, o conteúdo das conversas não era monitorado.

Em contraste, o PRISM aparentemente permite acesso total não apenas ao fato de que um email foi enviado – ele também dá acesso ao conteúdo de emails e chats. De acordo com a fonte do Washington Post, eles podem “literalmente vigiá-lo enquanto você digita.” Eles podem estar fazendo isso agora mesmo.

…e tem cooperação total (mas contestada) de gigantes da tecnologia…

O primeiro parceiro corporativo do PRISM foi, supostamente, a Microsoft, que, de acordo com o Post e o Guardian, embarcou no projeto em 2007. Outras empresas se juntaram aos poucos, com a Apple sendo a mais recente delas. O Twitter, aparentemente, não colabora.

Mas por que essas empresas concordam com isso? Na maior parte das vezes porque elas não têm escolha. Não entregar dados de servidores deixam elas sujeitas a uma ação do governo, que pode ser extremamente prejudicial em formas menos quantificáveis — em outras palavras, elas perderiam pontos com o governo, podendo pagar o preço com regulamentações mais profundas sobre seus serviços. Além disso, elas recebem compensação para seus serviços; não estão fazendo por caridade. Elas são incentivadas a participar.

Eis onde as coisas ficam um pouco mais complicadas. Apple, Microsoft, Yahoo e Google têm negado veementemente qualquer envolvimento no PRISM. E essas negações não são apenas partes de estratégias de relações públicas.

…e, surpreendentemente, isso é totalmente legal.

O que é mais assustador sobre o PRISM é que não há nada tecnicamente ilegal sobre ele. O governo tem autoridade para isso há anos, e não há nenhum sinal de que perderá em breve.

Um pouco de história pode ajudar a contextualizar. Em 2007, a pressão pública forçou a administração Bush a abandonar o programa de vigilância sem mandado que tinha iniciado em 2001. Bem, abandonar pode ser uma palavra forte. O que o governo realmente fez foi encontrar um novo lar para ele.

O Ato de Proteção da América de 2007 tornou possível que alvos pudessem ser eletronicamente vigiados sem mandado caso fosse “razoavelmente acreditável” que eram externos. Eis onde os 51% entram. Ele foi seguido pelas emendas da FISA de 2008, que imunizou empresas de danos legais por colaborar ao entregar informações para o governo. E é aí que o PRISM ganhou suporte legal.

Tudo isso serve para dizer que o PRISM é uma terrível violação de direitos, mas é algo que não vai desaparecer tão cedo. O governo até agora não se mostra arrependido. E porque estaria? É bem fácil seguir a lei quando é você que escreve ela.

Slides de PowerPoint via Washington Post

Larry Page e Mark Zuckerberg reagem ao PRISM: não sabemos de nada

O PRISM foi divulgado ontem e pegou o mundo de surpresa. De uma hora para outra, ficamos sabendo que o governo dos Estados Unidos espiona praticamente tudo o que fazemos na internet. E se isso já não era ruim o suficiente, grandes empresas de tecnologia forneciam nossos dados pessoais para a Agência Nacional de Segurança (NSA).

Como assim? Então Google, Facebook, Microsoft, Apple e outras simplesmente entregavam nossos dados para o governo dos Estados Unidos? Um dia depois do escândalo estourar, ao menos duas dessas empresas vieram desmentir o fato. Larry Page, do Google, e Mark Zuckerberg, do Facebook, soltaram nota oficial (Page em um post no blog do Google e Zuck em um post no Facebook) negando conhecerem a existência do PRISM.

O impressionante é que ambas as declarações contam com muitas partes parecidas (a ênfase foi dada por nós para destacar as semelhanças):

Zuckerberg, do Facebook:

Eu quero responder pessoalmente às revoltantes notícias da imprensa sobre o PRISM.

O Facebook não faz e nunca fez parte de nenhum programa para dar ao governo dos Estados Unidos e a nenhum outro acesso direto aos nossos servidores. Nós nunca recebemos nenhum pedido ou ordem judicial de qualquer órgão do governo pedindo informações ou metadados em massa, como o que a Verizon teria recebido. E mesmo que tivéssemos, nós brigaríamos contra agressivamente. Não tínhamos sequer ouvido falar no PRISM antes de ontem.

Quando governos pedem dados ao Facebook, nós revisamos cada pedido cuidadosamente para ter certeza que sempre seguem processos corretos e todas as leis aplicáveis, e só então damos a informação caso seja exigida por lei. Nós continuaremos brigando agressivamente para manter as suas informações seguras.

Nós encorajamos governos a serem muito mais transparentes sobre todos os problemas que visam manter a segurança pública. É a única forma de proteger todas as liberdades civis e criar a sociedade livre e segura que queremos a longo prazo.

Larry Page, do Google, em carta assinada em conjunto com David Drummond, diretor jurídico da empresa:

Você já deve ter ficado sabendo das reportagens na imprensa que afirmam que empresas de internet se juntaram a um programa secreto do governo dos Estados Unidos chamado PRISM para dar à NSA acesso direto aos nossos servidores. Como CEO do Google e Chief Legal Officer, queremos que vocês saibam todos os fatos.

Primeiro, nós não entramos em nenhum programa que daria ao governo dos Estados Unidos – nem a nenhum outro governo – acesso direto aos nossos servidores. O governo dos Estados Unidos não tem acesso direto ou uma “backdoor” para as informações guardadas em nossos data centers. Nós não tínhamos ouvido falar em um programa chamado PRISM até ontem.

Em segundo lugar, nós fornecemos dados a governos apenas quando isso está de acordo com as leis. Nossa equipe jurídica revisa todos os pedidos, e frequentemente nega quando os pedidos são muito amplos ou não seguem o processo correto. Relatos na imprensa que sugerem que o Google está dando acesso aos dados dos nossos usuários são falsos, ponto final. Até as reportagens desta semana, nós nunca tínhamos ouvido falar em um pedido amplo como o que a Verizon recebeu – uma ordem que parece ter exigido que eles fornecessem gravações de ligações de milhões de usuários. Nós estamos muito surpresos ao saber que uma coisa assim exista. Qualquer sugestão de que o Google está fornecendo informações sobre as atividades na internet dos nossos usuários em tamanha escala é completamente falsa.

Finalmente, este episódio confirma o que há muito acreditamos – é preciso ter uma abordagem mais transparente. O Google trabalha duro, dentro das leis atuais, para ser aberto sobre o tipo de pedido de dados que recebemos. Nós postamos estas informações em nosso Relatório de Transparência sempre que possível. Nós fomos a primeira empresa a fazer isso. E, é claro, nós entendemos que o governo dos Estados Unidos e outros precisam fazer medidas para proteger a segurança dos cidadãos – incluindo algumas vezes o uso de vigilância. Mas o nível de segredo sobre os procedimentos legais atuais acabam com a liberdade que desejamos.

Apesar da negativa de Google e Facebook (e de todas as outras empresas), essa história ainda está muito estranha. Vemos duas possibilidades: a primeira é que o governo dos Estados Unidos realmente tinha (e tem) todos esses acessos sem que as empresas soubessem, e isso é terrível – Obama não negou nada até agora. A segunda possibilidade é que as empresas estão mentindo, e isso é péssimo da mesma forma. Ou seja, em ambos os cenários as coisas são horríveis para nós.

Essa história ainda vai ser muito discutida durante um bom tempo, mas é bom lembrar: até agora as coisas estão terríveis para todos os lados – seja o governo dos Estados Unidos, ou as empresas, ou a população que está sendo vigiada. [Em 2011  Obama e CEOs de gigantes de tecnologia: Facebook, Google, Apple, Yahoo!, Twitter, Netflix e Oracle tiveram um encontro na Casa Branca]