Partilha segura de ficheiros para ativistas: mantenha-se seguro online

Os ativistas, jornalistas e trabalhadores de direitos humanos enfrentam um modelo de ameaça distinto: adversários ao nível do Estado, malware dirigido, vigilância de rede, apreensão de dispositivos e engenharia social contra contactos. A partilha segura de ficheiros para este público exige encriptação end-to-end onde as chaves nunca tocam qualquer servidor, transporte via Tor para derrotar o rastreamento ao nível do IP, eliminação de metadados, armazenamento com negação plausível e alternativas distribuídas quando os serviços principais são bloqueados. Ferramentas de série como o WeTransfer ou o Dropbox são inadequadas aqui porque retêm registos de IP, exigem contas e respondem a intimações judiciais nas suas jurisdições de origem. Abaixo está uma abordagem prática com o modelo de ameaça em primeiro lugar.

Comece com um modelo de ameaça escrito

Antes de escolher ferramentas, escreva contra quem se está a defender, o que querem e o que conseguem fazer. Um ativista climático em Lisboa a rastrear documentos de lobby enfrenta um adversário diferente de um jornalista bielorrusso a vazar documentos do regime. O guia Surveillance Self-Defense da Electronic Frontier Foundation sugere responder a cinco questões: o que quero proteger, de quem, quão grave é se falhar, qual a probabilidade da ameaça e quanto esforço estou disposto a despender.

Um ativista nacional numa democracia preocupa-se com descoberta civil, contra-vigilância corporativa e doxxing. Um ativista sob um regime autoritário preocupa-se com intelligence de sinais, confisco de dispositivos, buscas fronteiriças e bloqueio ao nível da rede de serviços como o Signal ou o Tor. As ferramentas que funcionam para um falham frequentemente para o outro.

O Tor Browser como base para o transporte

Para quem está sob vigilância ao nível da rede, os carregamentos devem ser feitos via Tor. O Tor Browser (construído sobre o Firefox ESR) encaminha o tráfego por três relays, pelo que o serviço de transferência vê apenas um nó de saída aleatório, não o IP real do utilizador que carregou. Para países que bloqueiam o Tor diretamente (China, Irão, Rússia em vários momentos), as bridges como obfs4 e meek-azure disfarçam o tráfego Tor como HTTPS comum.

O OnionShare merece uma menção direta porque foi construído exatamente para este caso de uso. Executa um serviço oculto Tor temporário no próprio computador do utilizador, gera um URL .onion e permite que o destinatário transfira diretamente. Sem servidor de terceiros, sem registos centrais, nada para intimar judicialmente. A contrapartida é que o remetente e o destinatário têm de estar online simultaneamente (a menos que o OnionShare esteja a correr num servidor persistente).

Signal para entrega de ligações, não para transferência de ficheiros

O Signal é o padrão de ouro para mensagens mas uma ferramenta medíocre para transferência de ficheiros. O seu limite de tamanho de anexo (100 MB no momento da escrita), armazenado brevemente nos servidores do Signal em forma encriptada, torna-o inadequado para qualquer coisa maior do que um pequeno conjunto de documentos. Use o Signal para entregar ligações de transferência e palavras-passe de decifração, nunca o mesmo canal para ambos. Uma ligação no Signal, a palavra-passe numa reunião presencial ou num canal Session separado, mantém as duas metades separadas se um endpoint for comprometido.

O Session (construído na rede Loki), o Briar (peer-to-peer via Tor e Bluetooth) e o Matrix com encriptação Olm/Megolm em servidores auto-hospedados são alternativas quando o próprio Signal está bloqueado ou quando o registo baseado em número de telefone é demasiado exposto.

Serviços com encriptação do lado do cliente

Para o próprio ficheiro, escolha serviços que encriptam no browser antes do carregamento:

• Cryptpad (francês, compatível com RGPD, zero-knowledge por design)
• HexaTransfer (AES-256-GCM do lado do cliente, sem conta, retenção máxima de 7 dias, limite de 10 GB)
• Tresorit Send (suíço, encriptação do lado do cliente, ligações protegidas por palavra-passe)
• Proton Drive Share (suíço, integrado com o ProtonMail)

A evitar: WeTransfer (apenas do lado do servidor), Google Drive (sujeito a processo legal dos EUA, analisa alguns tipos de conteúdo), iCloud (o mesmo), qualquer serviço que exija número de telefone para registo.

Verifique duas coisas em cada política de privacidade: o período de retenção de IP e a jurisdição. A Suíça e a Islândia têm proteções legais robustas; os EUA e o Reino Unido têm amplos poderes de pedido sem mandato ao abrigo do CLOUD Act e da Investigatory Powers Act, respetivamente.

Os metadados são frequentemente mais perigosos do que o conteúdo

Uma fotografia .jpg retirada de um telemóvel contém coordenadas GPS, modelo do dispositivo e por vezes identificadores derivados do número de série nos dados EXIF. Um ficheiro .docx incorpora o nome de utilizador do sistema operativo do autor. Um .pdf incorpora o software de criação e frequentemente o nome do autor. Antes de partilhar, elimine esses dados.

Para imagens: exiftool -all= foto.jpg limpa os EXIF no Linux e macOS. No Android, o Scrambled Exif é uma aplicação F-Droid de confiança. Para documentos: exporte para .pdf e execute "Limpar Documento" no Adobe Acrobat ou use a opção "Remover informações pessoais" do LibreOffice em Ferramentas > Opções > LibreOffice > Segurança. Para vídeos, o ffmpeg com -map_metadata -1 remove os metadados do contentor.

Renomeie os ficheiros antes de carregar. relatorio-rascunho-v3-ana.pdf dá aos investigadores três pontos de dados. ficheiro.pdf não dá nenhum.

Compartimentação de dispositivos e contas

Use um dispositivo dedicado ou máquina virtual para o trabalho de ativismo. Um arranque por USB Tails (com encaminhamento Tor, amnésico) não deixa rasto no computador hospedeiro. O Whonix executa duas VMs (gateway e estação de trabalho) que forçam todo o tráfego pelo Tor. O Qubes OS isola cada atividade na sua própria VM.

No lado das contas, cada atividade sensível tem o seu próprio e-mail, financiado de forma anónima se for necessário pagamento (cartões pré-pagos comprados a dinheiro para serviços VPS, Monero para qualquer coisa que exija cripto). O objetivo é que o comprometimento de uma conta ou dispositivo não se propague para os outros.

Dead drops e negação plausível

Por vezes a transferência mais segura é aquela que não parece uma transferência. Padrões de dead drop: carregar um ficheiro encriptado para um serviço de pasta pública com um nome aleatório, partilhar o URL e a chave de decifração por canais separados. Os volumes ocultos em contentores VeraCrypt permitem que um adversário que obrigue à divulgação de uma palavra-passe veja apenas ficheiros inocentes, enquanto o payload real permanece num volume oculto cuja existência pode ser negada.

Para trabalhos de maior risco, o SecureDrop (gerido pela Freedom of the Press Foundation, implementado pelo The Guardian, The New York Times, Washington Post e outros) fornece um sistema de submissão apenas via Tor onde as fontes carregam através de um serviço oculto e os jornalistas recuperam via estações de trabalho com air-gap. O SecureDrop foi construído especificamente para o padrão de fuga para jornalistas e vale a pena conhecer se for esse o caso de uso.

O que fazer se um dispositivo for apreendido

Parta do princípio de comprometimento quando um dispositivo sai do seu controlo físico. Em passagens de fronteira, antes de detenções ou após um ataque dirigido conhecido, os dispositivos devem ser considerados totalmente comprometidos. Passos práticos:

• Use um dispositivo descartável para viagens com apenas as aplicações e contas que pode expor
• Ative encriptação de disco completo (FileVault, BitLocker, LUKS) com uma frase-passe não reutilizada noutros serviços
• Desligue antes de cruzar fronteiras (as chaves de encriptação são eliminadas da RAM no arranque a frio)
• Tenha um sinal de coação pré-combinado com contactos de confiança (uma frase específica na próxima mensagem significa "conta comprometida, ignore mensagens anteriores")

Após a apreensão, mude todas as palavras-passe, revogue todas as sessões ativas (Signal: Definições > Dispositivos Ligados; Google: Segurança > Os Seus Dispositivos) e parta do princípio de que qualquer ficheiro transferido na semana anterior está nas mãos do adversário.

Recursos que valem a pena guardar

O Surveillance Self-Defense da Electronic Frontier Foundation (ssd.eff.org), a Digital Security Helpline da Access Now (accessnow.org/help), o Security in a Box da Tactical Tech e os materiais de formação da Freedom of the Press Foundation cobrem este tema em profundidade. Para ameaças específicas por região, as organizações locais de direitos digitais (Derechos Digitales na América Latina, APC globalmente, 7amleh na Palestina) publicam guias específicos de contexto.

Experimente em hexatransfer.com — gratuito, sem conta, até 10 GB.