O site Property of the People, graças a um pedido de Direito à Informação, publicou nos Estados Unidos, no final de novembro, uma lista que mostra quais dados os órgãos policiais podem obter – legalmente – de qual aplicativo de mensagens. O documento com o título “Acesso legal” data de 7 de janeiro de 2021.

O documento não contém nenhuma notícia interessante, mas fornece uma boa visão geral das diferenças entre WhatsApp, Signal, Threema & Cia. no relacionamento com o que os americanos chamam de Agências de Aplicação da Lei. Um total de nove aplicativos são listados – com a ausência do Meta Messenger. Graças ao uso generalizado de criptografia ponta a ponta, a maioria dos agentes do FBI e outras instituições policiais não têm acesso aos conteúdos, mas há exceções.

As informações mais importantes do documento, resumidas:

IMessage da Apple: Os dados básicos do usuário podem ser solicitados com uma intimação (“Subpoena“), e os dados sobre o uso nos últimos 25 dias também podem ser solicitados de acordo com outras leis. Se a “pessoa de interesse” for usuária da iCloud da Apple, as mensagens podem ser acessadas, bastando para isso um mandado de busca e apreensão.

Line: Outra grande fonte de informação para os agentes da lei, especialmente informações pessoais do usuário e informação de suporte ao cliente. Com um mandado de busca, o conteúdo das mensagens pode ser obtido, se a pessoa alvo não ativou a criptografia ponta a ponta. O provedor não libera apenas mídia enviada.

Signal: Este aplicativo libera apenas a data e a hora da última utilização. A criptografia de ponta a ponta não vem como configuração padrão, e precisa ser ativada pelo usuário.

Telegram: Em investigações de terrorismo este provedor poderá fornecer endereços IP e números de telefone às autoridades responsáveis – nada mais. Aqui também a criptografia precisa ser ativada pelo usuário.

Threema: O provedor suíço apenas fornece um número de telefone e o hash [um número hexadecimal] do endereço de e-mail, se isso tiver sido especificado no mandado. Além disso, pode fornecer também a chave de criptografia pública e um token para mensagens “push”, bem como os dados de configuração da conta e o último login.

Viber: Aqui há apenas dados para registro (incluindo o endereço IP usado) e uma linha do tempo das mensagens enviadas e recebidas – mas nenhum conteúdo.

WeChat: O provedor chinês só fornece dados sobre contas de pessoas não chinesas, incluindo nomes, números de telefone, endereços de e-mail e endereços IP.

WhatsApp: Dependendo da jurisdição da solicitação de fornecimento de dados, o mensageiro mais popular do mundo pode fornecer desde dados básicos do usuário, informações sobre contas bloqueadas, catálogos de endereços e possivelmente até a origem e o destino de cada mensagem. Se a “pessoa de interesse” usa um iPhone e ativou backups no iCloud, mais dados poderão ser obtidos, incluindo o conteúdo das mensagens.

Wickr: Este app não fornece o conteúdo das mensagens, mas, fora isso, disponibiliza uma série de dados incomuns. É possível determinar quando as contas foram configuradas, em quantos dispositivos uma conta foi usada e quando foi a última conexão. O número de mensagens, bem como o número de contas ligadas a elas [mas não sua identidade]. A imagem de avatar também poderá ser fornecida, bem como uma quantidade limitada de informações sobre as configurações do dispositivo.

Criptografia de ponta a ponta

A lista demonstra mais uma vez, para a alegria dos evangelistas da segurança, o quão difundida está a criptografia ponta a ponta [end-to-end encryption – E2E] e como é difícil para os policiais – nos EUA – obterem o conteúdo das contas dos usuários. A criptografia E2E introduzida recentemente para backups do WhatsApp deve restringir ainda mais o acesso dos órgãos policiais.

No entanto, o conteúdo da comunicação rigorosamente não é protegido em nenhum deles. A razão é que os provedores dos serviços estão espalhados por várias jurisdições, operando sob valores culturais diferentes. Por exemplo, o conteúdo do Telegram não é criptografado por padrão. Além disso, a lista trata apenas dos dados para os quais os investigadores dos EUA estão em contato direto com os provedores dos serviços.

O escândalo da NSA trouxe à mente o fato de que os serviços secretos têm muitas opções diferentes para seu trabalho. As revelações de Edward Snowden sobre as capacidades e procedimentos da NSA, no entanto, desempenharam um papel fundamental na ampla mudança em direção à criptografia de ponta a ponta como a que está disponível hoje em dia.

É no comportamento do usuário que o elo fraco da segurança está localizado. Mas isso é assunto para um outro post.