Partilha segura de ficheiros para jornalistas: proteja as suas fontes

Proteger uma fonte começa antes de o primeiro documento ser partilhado. O modelo de ameaça do jornalista inclui divulgação compulsória, intimações, apreensão de dispositivos nas fronteiras, vigilância ao nível estatal, e o simples risco de que os metadados de uma fonte — endereços IP, hashes de ficheiros, timestamps de sessão — sobrevivam muito depois da história ser publicada. Ferramentas práticas: SecureDrop para receção anónima, Signal com mensagens a desaparecer para conversa contínua, um serviço de transferência de conhecimento zero como HexaTransfer ou OnionShare para documentos, e Tails OS ou Qubes para o dispositivo de manuseamento. O Committee to Protect Journalists documentou 363 jornalistas presos globalmente em 2023 — a proteção de fontes não é abstrata.

O modelo de ameaça base

A maioria dos jornalistas não vai enfrentar o GCHQ ou o MSS, mas toda a gente enfrenta algo. Três níveis para planear:

• Risco de intimação cível. Procuradores e litigantes civis a procurar registos de comunicações. Afeta todos os jornalistas em jurisdições democráticas. As intimações do Departamento de Justiça norte-americano de 2021 ao New York Times, Washington Post, e CNN para registos telefónicos de repórteres tornaram a ameaça concreta.
• Vigilância direcionada. Um ator específico a tentar ativamente identificar a sua fonte. Exige disciplina operacional: dispositivos separados, VPN ou Tor, mensageiros encriptados, higiene cuidadosa de metadados.
• Vigilância de estado-nação. Rara mas real para reportagem de segurança nacional, direitos humanos, e cobertura transfronteiriça. O spyware Pegasus foi implementado contra 45+ jornalistas confirmados pelo Citizen Lab.

As decisões de ferramentas escalam com o nível. Um repórter de tribunal local precisa de encriptação básica; um correspondente estrangeiro a cobrir um regime autoritário precisa de Tails, revisão com air-gap, e dispositivos compartimentados.

SecureDrop para receção anónima

O SecureDrop, mantido pela Freedom of the Press Foundation, é o padrão profissional para submissão anónima de fontes. Usado pelo The Guardian, New York Times, Washington Post, ProPublica, The Intercept, e mais de 80 redações.

Como funciona:

1. As fontes acedem ao endereço .onion da redação via Tor Browser.
2. Geram um codinome aleatório e submetem ficheiros ou mensagens.
3. Os jornalistas acedem às submissões de uma estação de visualização com air-gap separada a correr Tails.
4. Os ficheiros são desencriptados apenas na estação de visualização, que nunca toca na internet.

O que o torna robusto: o Tor oculta o IP da fonte, o air-gap previne a exfiltração por malware, a encriptação GPG significa que não há texto simples do lado do servidor, e a eliminação automática após recuperação limita o rasto forense.

A instalação não é trivial — requer hardware dedicado e uma semana de configuração cuidadosa — mas para qualquer redação que aceite submissões sensíveis, é a única opção credível.

OnionShare para trocas diretas

Quando o SecureDrop é desnecessário, o OnionShare (desenvolvido por Micah Lee) oferece partilha de ficheiros mais simples baseada em Tor. Corre um serviço oculto de uso único na sua própria máquina, dá um URL .onion, e encerra após o descarregamento.

Propriedades que os jornalistas valorizam:

• Nenhum servidor de terceiros guarda o ficheiro.
• O Tor oculta os IPs de ambos os endpoints.
• O URL contém um token de autenticação aleatório, pelo que o ficheiro não está listado publicamente.
• Funciona no macOS, Windows, e Linux; incluído no Tails.

Melhor para trocas únicas com uma fonte que consiga instalar o Tor Browser. Não é ideal quando a fonte está num portátil de trabalho com restrições de software — nesse caso, os serviços baseados em navegador tornam-se necessários.

E2EE baseado em navegador quando o Tor não é opção

Algumas fontes não conseguem correr Tails ou Tor. Têm um computador de trabalho, um portátil emprestado, ou estão numa situação onde instalar novo software parece suspeito. Para elas, um serviço encriptado ponta a ponta baseado em navegador é a escolha pragmática.

O que procurar:

• Encriptação AES-256-GCM do lado do cliente no navegador.
• Chave no fragmento do URL (após #), nunca enviada ao servidor.
• Links com expiração com TTL configurável (24 horas ou menos).
• Proteção por palavra-passe por cima do link.
• Sem registo obrigatório — o próprio registo gera metadados.

Serviços que qualificam: HexaTransfer, SwissTransfer E2EE, Tresorit Send, ligações partilhadas do Proton Drive. Serviços que não qualificam: WeTransfer standard, Google Drive, ligações de partilha do Dropbox — todos eles dão ao fornecedor visibilidade sobre o conteúdo dos ficheiros.

Signal para a conversa

Os ficheiros raramente chegam sem contexto. A conversa sobre "o que é isto" e "como verifico" precisa do seu próprio canal.

O Signal, mantido pela organização sem fins lucrativos Signal Foundation, é o padrão para jornalistas:

• E2EE por padrão com o Signal Protocol (Double Ratchet, X3DH).
• Mensagens a desaparecer com temporizadores configuráveis (5 segundos a 4 semanas).
• Não é necessário número de telemóvel para enviar mensagens uma vez que tenha um nome de utilizador (desde início de 2024).
• Elimina mensagens em ambos os dispositivos quando o temporizador expira.
• Cópias de segurança protegidas por PIN, sem cópia de segurança na nuvem a menos que configurado explicitamente.

Evite o iMessage para trabalho com fontes. A Apple consegue ver os metadados, e a sincronização de Mensagens do iCloud significa que podem existir cópias de segurança nos servidores da Apple sujeitas a processo legal.

Os metadados são o assassino

O caso Reality Winner de 2017 n'The Intercept é o exemplo canónico: os pontos de rastreamento de impressora num documento vazado, combinados com o manuseamento da redação, levaram à identificação da fonte em dias. Metadados a remover antes de publicar ou partilhar:

• EXIF nas imagens — exiftool -all= foto.jpg remove GPS, número de série da câmara, timestamps.
• Metadados de PDF — nome do autor, data de criação, software de edição. exiftool -all= doc.pdf mais qpdf --linearize por precaução.
• Metadados do Microsoft Office — Ficheiro → Informações → Inspecionar Documento → Remover Tudo.
• Micropontos de impressora — visíveis sob luz azul em muitas impressoras laser a cores. Imprima com air-gap para laser a preto e branco, ou use o guia de deteção da EFF.
• Timestamps de ficheiros — altere para um horário neutro antes de partilhar se for relevante.

Para documentos que devem preservar autenticidade (provas legais), faça hash do original, trabalhe a partir de uma cópia, e preserve uma cadeia de custódia.

Higiene de dispositivos para reportagem de alto risco

Hardware dedicado para trabalho sensível vale a pena na primeira vez que um portátil é apreendido. Stack recomendada:

• Dispositivo de trabalho: Mac ou ThinkPad bloqueado com FileVault/LUKS, atualizações do SO dentro de 7 dias, sem software pessoal, sem sincronização para contas pessoais.
• Dispositivo de revisão: USB Tails para revisão de documentos com air-gap. Arranca a partir de USB, não deixa rasto.
• Dispositivo pessoal: completamente separado, nunca usado para trabalho com fontes, não sincroniza com nada no dispositivo de trabalho.
• Telemóveis descartáveis para viagens em jurisdições de alto risco, limpos no regresso.

O Pegasus e spyware semelhante exploram vulnerabilidades zero-click no iMessage e WhatsApp. Mantenha o iOS e Android atualizados; ative o Modo de Bloqueio no iPhone para sujeitos visados.

Atravessar fronteiras

Os jornalistas a cruzar fronteiras enfrentam buscas a dispositivos. A CBP dos EUA tem autoridade legal para inspecionar dispositivos na entrada. Os funcionários de fronteira britânicos podem compelir divulgação ao abrigo da Cédula 7 da Lei do Terrorismo. A resposta prática:

• Viaje com um dispositivo limpo — sem material de fontes, sem histórico do Signal, sem cookies de sessão no navegador.
• Envie os materiais necessários para uma nuvem segura (Proton Drive, Tresorit) encriptada com uma palavra-passe não guardada na keychain do dispositivo, e recupere na chegada.
• Considere um segundo dispositivo enviado separadamente.
• Conheça as regras da sua jurisdição — alguns países tratam a recusa de desbloquear como crime, outros não.

A Freedom of the Press Foundation publica guias atualizados para travessia de fronteiras. Reveja antes de viajar.

Um fluxo de trabalho de reportagem que resiste

Uma rotina que funciona para a maioria das histórias sensíveis:

1. Contacto inicial via Signal de um número de trabalho dedicado, ou através do SecureDrop.
2. Verificar a identidade fora de banda se possível — registos públicos, contacto mútuo, trabalho anterior.
3. Mudar para HexaTransfer, OnionShare, ou Tresorit para troca de documentos com expiração de 24 horas e palavra-passe de um segredo partilhado.
4. Rever documentos no Tails ou num Mac com air-gap. Nunca num dispositivo em rede para material de alta sensibilidade.
5. Remover metadados antes de qualquer cópia sair do ambiente de revisão.
6. Eliminar a thread do Signal e as chaves partilhadas após publicação, com uma política de retenção acordada com os editores.
7. Documentar o seu próprio processo para proteção de lei de escudo e editorial.

Colocar em prática

Se está a começar: instale o Signal, configure um gestor de palavras-passe, ative o FileVault ou BitLocker, e escolha um serviço de transferência E2EE baseado em navegador para partilha de rotina. Progrida para SecureDrop e Tails à medida que a sua reportagem o exigir. O fosso entre "seguro o suficiente para a maioria das histórias" e "seguro o suficiente para adversários de estados-nação" é amplo mas aprendível.

Experimente em hexatransfer.com — gratuito, sem conta, até 10 GB.