Proteção de ficheiros para denunciantes: transferências anónimas seguras

O objetivo técnico de um denunciante é entregar documentos sem deixar qualquer rasto que os ligue à fuga. Isso significa Tor Browser ou Tails OS para anonimato de IP, SecureDrop ou OnionShare para o canal, metadados removidos de todos os ficheiros (EXIF, campos de autor de PDF, propriedades de documentos Office), e um dispositivo dedicado usado apenas para a divulgação. Acrescente encriptação do lado do cliente — AES-256-GCM com a chave no fragmento do URL — para que mesmo o serviço de transferência não consiga identificá-lo. As divulgações de Snowden em 2013, os Panama Papers em 2016, e dezenas de casos desde então foram possibilitados pelo SecureDrop. As ferramentas são maduras; a disciplina é o que varia.

O modelo de ameaça assimétrico único

Os denunciantes enfrentam um cálculo diferente dos utilizadores comuns. Uma pessoa comum sopesa conveniência contra um pequeno ganho de privacidade. Um denunciante sopesa um único erro contra anos de prisão ou pior. Cada escolha acumula:

A identidade da fonte deve permanecer desconhecida do destinatário inicialmente, muitas vezes permanentemente.
Metadados de infraestrutura — registos de IP, timestamps, hashes de ficheiros — podem reconstruir a cadeia de fuga muito depois dos factos.
Os próprios documentos contêm frequentemente impressões digitais identificadoras (formulações específicas, marcas de água, pontos de rastreamento, registos de acesso).
Exposição legal retroativa significa que provas preservadas agora podem ser intimadas anos mais tarde.

Reality Winner foi identificada em dias após a publicação da fuga de informação da NSA em 2017 porque micropontos de rastreamento de impressora na digitalização publicada revelaram a impressora exata usada. As ferramentas técnicas funcionaram; a preparação do documento não.

SecureDrop: o padrão de referência

O SecureDrop, tutelado pela Freedom of the Press Foundation, foi construído especificamente para submissões de denunciantes. Está implementado em mais de 80 redações, incluindo The Guardian, The New York Times, ProPublica, e The Intercept.

A arquitetura em linguagem simples:

As fontes acedem ao endereço .onion de uma redação apenas via Tor Browser.
Recebem um codinome aleatório para comunicação contínua, sem criação de conta.
As submissões são encriptadas no servidor com a chave GPG da redação.
Os jornalistas recuperam submissões através de uma estação de visualização com air-gap separada a correr Tails.
A infraestrutura ligada à rede nunca vê texto simples.

Por que funciona: o Tor oculta o IP da fonte, o air-gap previne que o malware contacte o exterior, o GPG garante que apenas o jornalista pretendido desencripta, e auditorias físicas periódicas detetam qualquer adulteração de hardware.

Limitações: requer uma implementação dedicada da redação, pelo que as divulgações individuais dependem de usar uma instância SecureDrop existente numa publicação disposta a relatar a história.

OnionShare para trocas diretas

Quando uma fonte e um jornalista já têm contacto e querem partilhar ficheiros diretamente, o OnionShare oferece partilha de ficheiros peer-to-peer sobre Tor.

O jornalista corre o OnionShare, que inicia um serviço oculto Tor temporário no seu portátil e gera um URL .onion. A fonte acede a esse URL a partir do Tor Browser, carrega o ficheiro, e o serviço encerra.

Vantagens:

Nenhum servidor de terceiros guarda o ficheiro, nem que seja brevemente.
Ambos os IPs estão ocultos pelo Tor.
O URL inclui um token de autenticação aleatório para prevenir descoberta.
De uso único por padrão; o serviço fecha quando a transferência está completa.

Pré-instalado no Tails. Para fontes sem Tails, instale o Tor Browser e o OnionShare separadamente numa máquina dedicada.

Tails OS: sem deixar rasto

O Tails (The Amnesic Incognito Live System) é uma distribuição Linux concebida para correr a partir de uma pen USB e não deixar nada no computador anfitrião. Cada arranque é novo; cada encerramento limpa a memória.

Funcionalidades principais:

Todo o tráfego de rede encaminhado automaticamente através do Tor.
Sem armazenamento persistente a menos que explicitamente ativado num volume encriptado separado.
Pré-instalado: Tor Browser, estação de trabalho SecureDrop, OnionShare, GPG, KeePassXC, Metadata Cleaner, LibreOffice.
Verificação de assinatura digital em cada arranque garante que a imagem Tails não foi adulterada.

As fontes com acesso a um portátil emprestado ou cibercafé podem arrancar o Tails, completar uma divulgação, e encerrar — sem deixar rasto local. As regras XKeyscore da NSA de 2014 alegadamente sinalizaram os descarregamentos do Tails como indicador de interesse, pelo que descarregar o próprio Tails é um ato visível. Mitigação: descarregue de uma rede diferente da que vai usar para a fuga.

Remova os metadados de todos os documentos

Os metadados matam o anonimato mais depressa do que os registos de IP. Todos os formatos de ficheiro carregam dados identificadores:

PDFs: autor, aplicação criadora, data de criação, histórico de modificações. exiftool -all= doc.pdf remove a maioria. qpdf --linearize limpa a estrutura interna.
Microsoft Office: autor, empresa, histórico de edições, último guardado por. Abra o ficheiro, vá a Ficheiro → Informações → Inspecionar Documento → Remover Tudo.
Imagens: dados EXIF incluindo GPS, números de série de câmaras, timestamps. exiftool -all= imagem.jpg ou ferramentas dedicadas como o ExifCleaner.
Documentos digitalizados: verifique micropontos de rastreamento de impressora sob luz azul. Use impressoras laser a preto e branco quando possível; o guia da EFF identifica quais as impressoras a cores que incorporam pontos de rastreamento.
Áudio/vídeo: metadados do dispositivo de gravação, por vezes localização. Recodifique com ffmpeg -map_metadata -1 para remover.

O Tails inclui o Metadata Cleaner, um envólucro GUI para estas ferramentas. Para trabalho em batch pela linha de comandos, o mat2 (Metadata Anonymisation Toolkit) trata da maioria dos formatos.

Marcas de água e impressões digitais

As organizações preocupadas com fugas marcam ativamente os documentos com marcas de água. As técnicas incluem:

Marcas de água visíveis: óbvias, removíveis com edição de imagem.
Marcas de água invisíveis: codificação do ID do visualizador ao nível de pixels.
Micropontos impressos: pontos amarelos em cada página codificando o número de série da impressora e o timestamp.
Variações de texto por utilizador: diferenças subtis de formulação ou espaçamento por destinatário, tornando cada cópia unicamente identificável.
Correlação de registos de acesso: comparando quais os utilizadores que visualizaram um documento perto da hora da fuga.

Contra-medidas: reescreva ou faça OCR e depois reescreva passagens sensíveis, parafraseie em vez de citar quando possível, use múltiplos documentos para diluir impressões digitais por utilizador, e esteja ciente de que qualquer digitalização ou fotografia publicada revela as marcas de água da cópia física.

Escolha cuidadosamente o destinatário da divulgação

Nem todas as redações têm a mesma postura de segurança. Antes de enviar, verifique:

Têm SecureDrop? (Verifique o seu site para um link .onion ou uma página de dicas dedicada.)
Têm uma política publicada de proteção de fontes?
Qual é o seu historial de proteção legal de fontes?
Os repórteres têm experiência com material sensível?

A Freedom of the Press Foundation mantém um diretório de organizações de notícias que correm o SecureDrop. Os órgãos sem fins lucrativos como o ProPublica, The Intercept, e Bureau of Investigative Journalism são especificamente construídos em torno de trabalho de investigação e frequentemente têm operações de segurança mais fortes do que os jornais diários.

A disciplina operacional importa mais do que as ferramentas

As ferramentas só funcionam se usadas de forma consistente. Erros comuns que desmascararam denunciantes:

Usar um e-mail pessoal para o contacto inicial, mesmo uma única vez.
Pesquisar o material vazado num computador de trabalho antes da divulgação.
Fotocopiar o documento na impressora do escritório.
Aceder ao SecureDrop a partir de uma rede doméstica ou de trabalho sem Tor.
Reutilizar um codinome entre plataformas.
Contar a alguém — cônjuge, amigo, terapeuta — antes de a divulgação estar completa.

O planeamento OPSEC de Edward Snowden demorou meses e ainda deixou rastos. O manuseamento pelo Intercept da submissão de Reality Winner expô-la em parte porque a própria digitalização continha os pontos de rastreamento identificadores. Cada erro acumula.

E2EE baseado em navegador como canal secundário

Para fontes que não conseguem correr Tails ou Tor Browser — por causa de restrições de dispositivos de trabalho, monitorização, ou falta de experiência técnica — um serviço de transferência encriptado do lado do cliente baseado em navegador é um recurso imperfeito mas funcional.

Requisitos mínimos:

AES-256-GCM do lado do cliente com a chave no fragmento do URL.
Sem criação de conta obrigatória.
Links com expiração (24 horas ou menos).
Proteção por palavra-passe por cima do link.
Acedido de um Wi-Fi público ou ponto de saída VPN, nunca de um IP doméstico ou de trabalho.
Perfil de navegador novo, modo privado, cookies limpos antes e depois.

Serviços que qualificam: HexaTransfer, SwissTransfer E2EE, Tresorit Send. Isto não é equivalente ao Tor — o serviço ainda vê o IP da fonte — mas é uma melhoria significativa face ao Gmail ou Dropbox.

As proteções legais variam

As proteções jurisdicionais diferem muito. O Whistleblower Protection Act dos EUA (1989) e o Dodd-Frank cobrem divulgações financeiras mas deixam material classificado exposto ao abrigo da Lei de Espionagem. A Diretiva da UE 2019/1937 vincula os Estados-Membros desde dezembro de 2021. O Public Interest Disclosure Act do Reino Unido de 1998 cobre divulgações de boa-fé. A proteção legal ajuda após o facto; a disciplina técnica previne que o facto aconteça.

Colocar em prática

Se está a considerar uma divulgação: comece por ler o guia Surveillance Self-Defense da EFF, descarregue o Tails para uma pen USB a partir de uma rede neutra, identifique uma redação com SecureDrop que cubra o seu tema, e pense cuidadosamente nas impressões digitais nos próprios documentos.

Experimente em hexatransfer.com — gratuito, sem conta, até 10 GB.