A Visão do Computador, Nós e os Presidenciáveis

Neste post vou abordar um assunto com o qual os leitores podem facilmente se identificar, pois o que vamos discutir está firmemente arraigado em nossa vida diária. Faça um esforço para ler até o fim. Você pode se surpreender e até gostar.

Arte: Vox Leone

Como já informei, aqui em nosso lab temos usado o incrível Jupyter Notebook, nas tarefas rotineiras de análise de dados, e também em pesquisas relacionadas à visão de computador e processamento de linguagem natural. Isso nos permite colaborar (trabalhar em rede), consolidar dados que serão usados em outras fases do trabalho e gerar as mais diversas visualizações, que são necessárias nas relações com clientes e o público geral.

Nas últimas semanas estive absorvido na tarefa de desenvolver nossa própria aplicação de reconhecimento facial, usando tecnologias populares na área, como Tensorflow, Computer Vision 2, Matplotlib e Pandas. Tudo orquestrado pela excelente biblioteca DeepFace, que disponibiliza oito modelos pré-treinados.

Os resultados que tivemos foram impressionantes. Animado com os experimentos, preparei este Notebook para demonstrar aos leitores como somos vistos pelos olhos digitais que pululam ao nosso redor (sempre em detrimento de nossa privacidade) e quais as tecnologias empregadas.

Os aeroportos resumem a experiência. Todos sabem que ao entrar nesse tipo de ambiente nós somos enquadrados de todos os ângulos imagináveis, por sensores cada vez mais sofisticados, entre os quais se destacam os onipresentes sensores óticos. Já discutimos neste blog – e vamos continuar – algumas questões éticas e legais a respeito do assunto, mas hoje quero demonstrar sucintamente como a análise facial é feita materialmente e quais as informações que os sistemas de vigilância podem obter bastando apenas voltar seu olhar em nossa direção.

A Tecnologia

Vou ter que usar um pouco de código, e algum jargão, mas você pode pular até o resultado da análise da imagem e discussão, mais abaixo.

Seguindo a tendência de grande parte da indústria, nossa aplicação – escrita em Python – é desenvolvida e executada dentro de um ambiente virtual Conda. O núcleo do ambiente é a versátil biblioteca DeepFace, desenvolvida pela Alphabet (Google), aqui instalada através do repositório pip. (*)ressalto que não é recomendado misturar os canais dos repositórios Conda e pip em um mesmo ambiente, mas neste experimento se torna necessário usar pip pelo fato de DeepFace ainda não estar disponível no repositório Conda.

Depois de ter instalado a DeepFace e suas dependências no ambiente virtual, iniciamos o script importando a DeepFace e outras bibliotecas das quais ela depende, como TensorFlow, CV2 e Matplotilb. TensorFlow é o motor da aplicação. CV2 é responsável pela visão de computador, neste caso digitalizando apropriadamente as imagens. Matplotlib é a responsável pela renderização das imagens (plotagem). Vou comentar o código com as explicações.

Análise dos resultados

Et voilà! Depois de alguns segundos temos o resultado da análise. O algoritmo, mesmo nesta configuração básica, é sensível o bastante para detectar sete variações emocionais, além da idade aparente e do gênero. Ele também é capaz de diferenciar seis etnicidades, um tanto arbitrárias, devo dizer, espelhando a classificação dos países anglo-saxões.

Eu anoto neste ponto que usamos a biblioteca DeepFace em sua configuração original, assim como o modelo de aprendizado de máquina pré-treinado em bancos de imagens com milhões de amostras. Não tivemos ainda tempo hábil para introduzir grandes modificações no código e treinar nossos próprios modelos, o que já está sendo feito – e será mostrado oportunamente.

Esta é a análise que os sistemas fazem sobre mim [sobre nós] no momento em que saio do táxi na porta do aeroporto.

É uma análise aparentemente trivial de uma imagem trivial. Contexto real da foto: acabei de chegar a uma chácara para uma festa de aniversário – alguns anos atrás.

A Análise

O algoritmo me interpreta como um homem branco de aparentes 37 anos – sendo agradavelmente generoso na avaliação etária. É interessante que ele me atribui uma certa negritude, como alternativa, muito mais do que seria esperado de minha ascendência mediterrânea, que fica relegada a um baixíssimo patamar de probabilidade. Minha expressão é calma, que o algoritmo traduz como neutra. Como indicam os números na tabela em inglês, posso estar também um pouco triste, e com um certo nojinho.

Contudo, o resultado me atribui uma significativa aparência de medo, como o segundo resultado mais provável. Por que eu estaria com medo nesta foto? Acabei de chegar a uma festa e a tarde de sábado parece promissora – no aeroporto isso acenderia uma luz amarela no centro de comando da segurança. Interrompo o teste e começo a tentar entender esse resultado aparentemente divergente.

Depois de algumas horas eu tive um insight que realmente me encantou. Eu entendi que, de fato, o algoritmo havia conseguido ver através da minha máscara social. Ele captou uma verdade íntima e bastante sutil: eu realmente sou ansioso em situações sociais, e sempre demoro um pouco a me adaptar aos ambientes – valentemente, com um sorriso no rosto. Mas a ansiedade – uma forma de medo – deve sulcar nossa face de uma maneira óbvia a sistemas de precisão, que conhecem dezenas de milhões de rostos que respondem sempre da mesma maneira; da mesma maneira humana demais. Minúsculos espasmos musculares, resultantes de nossas emoções, não importa quão sutis, deixam sua marca em nossa face, e em imagens de alta resolução nos desnudam de qualquer abrigo.

Ver o sistema em ação elevou em vários graus minha confiança na tecnologia [além de uma óbiva inquietação]. Depois de muitas rodadas do sistema, com imagens diferentes, eu tenho razões para crer que esse tipo de algoritmo é consistente na detecção de sinais e marcadores de emoções bastante sutis.

Revelando emoções ocultas

Existe uma atividade humana em que ser capaz de detectar as emoções alheias seria de muita utilidade: a política, por exemplo. Seria do maior interesse público tentar sondar os reais sentimentos daqueles que se apresentam para gerir a coisa pública. Nessa atividade em que a manipulação das emoções é tão corriqueira, seria interessante tentar ver através das máscaras.

Acontece que em abril de 2022 nós temos essas fantásticas ferramentas e estamos aprendendo a dominá-las. Vamos tentar, então, fazer a mesma análise que fiz acima, de mim mesmo, em imagens casuais dos principais políticos que se apresentam para a disputa presidencial deste ano. Vamos usar fotos tiradas da internet e submetê-las ao mesmo algoritmo.

Com certeza os candidatos não vão se importar, pois todos eles, com palavras ou atos, já se manifestaram apoiadores da vigilância eletrônica na vida do cidadão. É uma ironia deliciosa poder usar contra os representantes do sistema a mesma tecnologia que o sistema usa para nos oprimir delicadamente. Vai ser, no mínimo, divertido.

Nota: as imagens abaixo foram buscadas no site da Wikimedia Commons. Foram escolhidas por serem adequadas a este projeto. São apresentadas na ordem alfabética dos sobrenomes dos retratados.

Este Notebook é melhor visualizado em um desktop.

Bolsonaro, Jair

O perfil de Bolsonaro revela uma grande carga de emotividade. Uma mistura de raiva, medo e tristeza, indicando um rosto que quer esconder o que sente. O modelo também é generoso na atribuição da idade, desvio que foi notado em todas as imagens analisadas [creio que sei a razão para isso, que comento na conclusão do artigo].

Dória, João

Vamos concordar que a imagem não precisa de análise por AI. Embora o modelo opte pela etnicidade Latina, na verdade ele se mostra indeciso. Isso implica em um certo viés colorista. Comento na conclusão.

Gomes, Ciro

Uma expressão neutra com um forte sinal – isolado – de tristeza. Minha avaliação humana concorda.

Lula da Silva, Luiz Inácio

Tristeza generalizada, com um sinal de nojo/desconforto [talvez pela situação]. A idade também é grandemente descontada.

Moro, Sérgio

A raiva e a tristeza predominam. O desvio etário se mostra menor. Um autêntico Latino Hispânico.

Tebet, Simone

Embora não esteja exibindo um sorriso exuberante [como Dória], o modelo atribuiu à imagem um sinal de alegria muito sólido. Não há emoções conflitantes, indicando sinceridade e abertura. A discrepância etária também é menor aqui. Surpreendentemente o modelo não atribui um peso muito forte à herança árabe da senadora.

Conclusão e notas

Como eu disse anteriormente, o modelo Facenet, um dos oito implementados na biblioteca DeepFace, se comporta de forma muito satisfatória. É preciso lembrar que o modelo reflete a amostra com a qual foi treinado. A medida que mais iterações do processo de treinamento venham a incorporar mais e mais segmentos populacionais, a precisão deverá aumentar.

Deixo uma crítica à classificação étnica empregada pelo modelo. Ela reflete a abordagem do censo americano, mas claramente não é mais adequada. Uma revisão se impõe. Os desvios notados com relação à idade das pessoas analisadas, se devem, provavelmente, à baixa resolução das imagens, que nivela os valores dos pixels dando margem a um enganoso efeito de filtro. A discrepância parece ser diretamente proporcional à idade do analisado [quanto mais idoso, maior a discrepância]. Esse desvio é responsável também pelo ‘colorismo’ do software, que dá grande peso à palidez aparente da imagem na classificação étnica.

Vamos continuar experimentando e trabalhando para tornar o modelo mais fiel às nossas características.

Referências

Jupyter Notebook – https://jupyter.org/

Anaconda – https://anaconda.org/

DeepFace – https://github.com/serengil/deepface

TensorFlow – https://www.tensorflow.org/

A Miséria da Internet em 2022

Há muito tempo deixei de gostar dessa coisa absurda que internet se tornou. Posso talvez não ser o único, embora eu não encontre meus iguais nestas terras torturadas.

Imagem: Pexels

Mas, para além da desilusão, ainda gosto muito do meu trabalho em computação [agora em tempos de recomeço!]. Gosto de projetar e me deixar absorver pelos detalhes dos sistemas, hora a hora, minuto a minuto, e deixar as preocupações da vida de lado; gosto de pesquisar defeitos e descobrir o que está acontecendo de errado; gosto de aprender coisas novas; eu gosto muito dos insights sobre dados proporcionados por tecnologias como Python. Gosto até mesmo de web design, algumas vezes.

Mas aqui está a minha verdade: em algum lugar ao longo do caminho, eu perdi totalmente o interesse por essa web que as outras pessoas consomem, e principalmente pelas abjetas redes sociais.

Em 2022 eu: não assisto a vídeos em computadores; não ouço podcasts; não tenho o sócio-linfoma [o câncer mental induzido pelas redes anti-sociais]; não tenho Netflix nem Spotify; não uso Uber; não tenho nem quero uma Alexa [e tenho raiva de quem tem]; não quero meus interruptores de luz conectados à internet; nem minha geladeira; nem meu fogão; nem realmente qualquer coisa, exceto meu(s) computador(es).

As tecnologias que fazem a alegria dos corintianos e flamenguistas; que os fazem se sentir importantes e “acolhidos”; que dão aos idiotas fama e um desproporcional poder de fogo; que sequestram a capacidade crítica dos Josés e das Marias… essas coisas para mim não têm nenhuma graça. De fato as considero nefastas, considerando que não são, como outrora, tecnologias libertadoras.

A tecnologia de rede se tornou absolutamente desumana quando, por volta de 2003, passou a servir cada vez mais os interesses das oligarquias e dos governos ao se degradar em vigilância e controle mental das massas. Não é mais divertido. Não é bonito [a fealdade das pessoas e das coisas parece ser outra marca definitiva do século 21]. Não vou colaborar com esse sistema.

Computadores – incluindo celulares, tablets, o que for – não são meu “hobby”. Não paro de trabalhar e vou jogar na internet “para me distrair”. Eu geralmente paro de trabalhar e quero fazer algo que não envolva a internet. Eu gosto de ler. Eu gosto de ouvir Miles Davis. Gosto de comer fora, em restaurantes, à moda antiga. Eu gosto de dirigir meu carro e ir a lugares.

Um dos meus principais critérios para comprar coisas é se elas funcionam sem uma conexão de rede. Fora do trabalho eu uso computadores para… bem, ler coisas. Ou seja, realmente ler. Texto. Fotos também, se for preciso. Eu os uso para mergulhar em temas profundos e tentar ver além do que a visão me mostra.

Não é mais 1998. Não é o ano do “Linux no desktop” – nunca haverá o ano do Linux no desktop. Sequer será o ano do desktop. Hoje em dia computar é simplesmente o que eu faço. Porque é o que eu faço.

Minha história

Aprendi a programar Basic em um CP-300 (48k de RAM!) – um lixo gestado durante a infame reserva de mercado para computadores nacionais, da desditosa ditadura militar [que a malta inculta quer reviver, agora sob a liderança idiocrática do palhaço Javoltar Barrigonaro]. Passei por alguns sistemas menos limitados de 8 bits e aprendi FORTRAN alguns anos depois.

Depois trabalhei em uma companhia multinacional, onde lidar com computadores não era minha atividade-fim. Em 1999 eu finalmente consegui penetrar nos mistérios do Linux [SUSE, se me lembro]. De repente eu não precisava mais programar sozinho. Qualquer coisa era de código aberto. Eu apenas dava uma espiada no código- fonte, mudava alguma coisa e recompilava em algo novo. Aquilo era a vida!

Fiquei encantado com alguns desenvolvimentos realmente engenhosos. Adorei como a computação pareceu mais completa depois disso – pode ter sido minha imaginação, mas foi o que senti. Eu ainda era principalmente um usuário, mas senti que estava no controle e entendi muito bem o que estava por baixo do capô. E se não entendesse, eu sempre soube onde procurar a iluminação – e sempre havia um blog com a iluminação.

Muitos anos depois, já na primeira década do século, já empresário do ramo, eu realmente continuava a me aprofundar. Chegava a Web 2.0 e eu não percebi na época que eu era um dos últimos dinossauros. A excelência do código aberto começava a perder terreno para as plataformas “na nuvem”, baseadas em código proprietário e uso intensivo de dados capturados dos usuários – que mais tarde dariam origem ao atual sistema vicioso e predatório do capitalismo de vigilância.

Hoje quase nenhum usuário sabe como a tecnologia funciona. Quinze anos atrás ainda sabíamos apreciar a arte de uma applet Java, de uma library ou mesmo de um framework. Mas hoje quase ninguém mais. Tudo o que consumimos são produtos ruins com um pequeno ciclo de atualização antes que a obsolescência planejada entre em ação e você tenha que comprar a versão mais recente – e o melhor hardware – novamente. O software é na maioria das vezes escrito por algum chimpanzé que encara a programação apenas como um trabalho e acha que quanto mais linhas de código escrever melhor ele vai ficar com seu supervisor [que via de regra não é muito melhor que ele]. Existem exceções, mas esse é o balanço das coisas.

Marketing em lugar da Engenharia

Os departamentos de marketing [sociopatas de fala mansa, como Steve Jobs] substituíram a engenharia [pesquise “the curse of Boeing”] no controle do que chega ao mercado, e tudo indica que não vão abrir mão desse controle. Os técnicos cederam à pressão do time-to-market. Isso vale para qualquer smartphone, qualquer receptor, qualquer roteador. Muitos até rodam Linux, mas mesmo assim a maioria ainda é muito ruim. Mesmo o acesso básico à Internet hoje vem com termos de serviço com os quais realmente ninguém com uma mente sã poderia concordar.

Acho que o que desempenha um papel importante na falta de entusiasmo tecnológico atual [além do analfabetismo funcional de toda a sociedade, incluindo a sedizente “elite”] é que, em 1998, a perspectiva de uma rede livre rodando software livre em computadores cada vez mais poderosos nos os quais podíamos mexer, alterar, estender, etc, prometia um futuro lindo pela frente. Eu adorava estar a viver [uma saudação aos irmãos de Angola e da lusofonia!] nos míticos anos 2000.

Vinte anos se passaram, e que o que temos em vez da utopia tecnológica que produziria cientistas-filósofos é a desgraça deprimente das redes sociais, que transformou grande parte da humanidade em zumbis consumidores, depravados, alienados, incivilizados e animalescos. Os Mestres do Universo – banqueiros, nababos da mídia, ONG’s com relações incestuosas com o poder, capitalistas da vigilância e outros parasitas – se divertem ao ver a massa cada vez mais dócil, fotografando e compartilhando seu caminho rumo à obliteração. A vida feliz das ovelhas a caminho do abatedouro.

Eu queria não ter tomado a pílula vermelha.


(*) Tentei buscar referências sobre a reserva de mercado para computadores no Brasil da década de setenta e não encontrei. Isso comprova meu ponto sobre a futilidade, o atraso e o inaceitável baixo nível intelectual da Internet em português. Culpa do referido sócio-linfoma.

As Implicações da Escassez de Chips para a Segurança Digital Global

Uma nova preocupação no campo da segurança está surgindo e talvez você se interesse em ficar de olho no clima. Não é segredo que há uma escassez global de chips de silício, e onde há escassez, há oportunidades para bandidos e afins.

Imagem: Pexels

Como já mencionei no blog [aqui e aqui], uma cascata de eventos fez com que a fabricação de chips diminuísse de ritmo nos últimos anos. Em algumas áreas, como componentes analógicos para digitais, a quebra no fornecimento foi quase total para alguns dispositivos.

Mas para além dos dispositivos de entrada/saída existem outros dispositivos, como “System on a Chip” (SoC) e “Micro Controller Units” (MCU). Estes não usam os métodos mais modernos de impressão em escala nanométrica e tendem a ser feitos em fábricas de segunda ou terceira linha, onde as margens de lucro são muito baixas.

Bem, esta notícia, que foi reportada no ano passado – e amplamente ignorada, parece estar ficando mais insistente na grande mídia [The Register]. A consequência desse estado de coisas, que recebeu apenas uma menção passageira na parte inferior do artigo do The Register, é que há um buraco se abrindo na segurança das linhas de suprimento globais.

No início a escassez impulsionou os prazos de entrega de algumas semanas para alguns meses. Agora chegam a ultrapassar um ano. Alguns fabricantes estão cancelando novos projetos de design e eliminando recursos em projetos existentes, pois precisam refazer os projetos para aproveitar as peças inferiores ainda disponíveis.

Como em toda escassez, a manipulação de preços já começou, com alguns produtos agora custando cinco a dez vezes o preço que tinham há apenas um ano ou mais. O que significa que a oportunidade de lucrar de forma ilícita está de volta (não que algum dia tenha desaparecido). Os mais experientes talvez se lembrem do choque da mudança do padrão RS232 para USB “FTD-Chip”, quando a FTD mudou o driver do chip fornecido pela Microsoft e, da noite para o dia, centenas de milhares, senão milhões de mouses e produtos semelhantes para PC pararam de funcionar.

O motivo foi a “Grey Supply Line”, a infame “linha cinza” de imitações paralelas dos chips FTD, na época usados em milhões de PCs. O que estava acontecendo era que as peças não-FTD, muitas delas não-funcionais, foram feitas para parecer peças FTD reais e vendidas como “estoque recuperado” e similares, entrando, assim, na cadeia de suprimentos.

Se a história é um guia, devido à escassez e ao aumento dos preços as Grey Supply Lines entrarão em operação a qualquer momento novamente. Enquanto imitações são um problema por si só, pois na maioria das vezes são abaixo do padrão, elas também trazem um novo potencial vetor de ameaças.

Armas Cibernéticas do Mercado Cinza

Muitos chips Grey Supply passam pela China de uma maneira ou de outra, e provavelmente não passou despercebido pelas pessoas atentas que o barulho de sabres e tambores nos mares do sul da China fica cada dia pior.

Essa é uma das razões pelas quais o governo dos EUA vem pressionando o governo e os fabricantes de chips de alta qualidade de Taiwan para mudar as fábricas para os EUA (algo que os taiwaneses estão muito relutantes em fazer por várias razões óbvias). Bem, embora os chineses continentais não tenham fábricas de última geração, eles têm muita capacidade de segunda e terceira linhas. Assim, surge a oportunidade de injetar quantidades consideráveis de Grey Supply em produtos fabricados e vendidos em todo o mundo.

Mais cedo ou mais tarde, algumas peças Grey Supply serão consideradas deficientes ou abaixo do padrão, o que é de se esperar, como se viu no incidente do chip FTD. Mas a presente situação também abre a possibilidade de algo mais insidioso: a oportunidade de se incorporar armas cibernéticas nos chips Grey Supply. Esses chips não seriam totalmente abaixo do padrão, como de costume, mas teriam “um certo conteúdo extra embutido” – o qual seria como um mecanismo de disparo à espera do acionamento

Embora contaminação por malware possa ser realmente desagradável de se lidar, ela afeta as coisas principalmente no nível do software, onde fazer uma simples reinstalação completa a partir dos backups permite que você recupere a funcionalidade de seu sistema em um tempo relativamente curto. Agora considere que infestação por malware está acontecendo cada vez mais no nível de firmware, o nível mais básico, onde o usuário médio não pode fazer uma reinstalação do sistema operacional.

Mas vá um pouco mais longe e considere que o firmware está na verdade embutido nos chips, de uma maneira que muito poucas pessoas têm conhecimento para reinstalar o código operacional, e mesmo assim apenas de forma insatisfatória. Imagine o que aconteceria se não apenas computadores, mas dispositivos inteligentes e telefones de todos os tipos parassem de funcionar.

A nação mais atingida seria os EUA, na medida em que apenas um ou dois ataques recentes de ransomware demonstraram. Na sequencia viriam as nações do “primeiro mundo”, como grande parte da Europa Ocidental como também as nações da Ásia e Oriente Médio que “saltaram” uma geração de tecnologia no último quartel do século passado e início deste – tecnologia 1985-2010.

Na série de ficção científica “Fundação”, Isaac Asimov tem como enredo uma coalizão de mundos tecnicamente sofisticada, mas não militarmente poderosa, enfrentando uma guerra iniciada por uma população significativamente maior e fortemente militarizada, mas não tecnologicamente sofisticada. Em condições normais estes iriam perder. No entanto, em um plano pérfido, eles já haviam vendido muita coisa de sua tecnologia atrasada para a coalizão, em produtos domésticos e comerciais para o dia a dia.

Os produtos começaram a falhar e a coalizão descobriu que suas forças armadas eram, na verdade, fortemente dependentes desses produtos defeituosos, de tal forma que não tinham mais meios para contra-atacar à altura.

Neste mundo dos tempos modernos, o Ocidente é efetivamente a coalizão e a China o fornecedor de todos os produtos domésticos e comerciais de que tanto dependemos em um ou mais níveis. Com um pouco de imaginação, não é difícil ver como a China poderia, com base nestes pressupostos, facilmente construir um “Grande Interruptor Vermelho” no coração dos EUA, Europa, etc. com os infames produtos “Grey Supply Cyber Weaponized”.

Isso se já não o fez…

Cyberfront: Sabotagem Começa a Atingir o Software Open Source

O site Ars Technica reporta que um desenvolvedor foi pego adicionando código malicioso a um popular pacote de código aberto que apagou arquivos em computadores localizados na Rússia e na Bielorrússia como parte de um protesto que enfureceu muitos usuários e levantou preocupações sobre a segurança do software livre e de código aberto.

Imagem: Pexels

O aplicativo, node-ipc, adiciona a um sistema recursos de comunicação e redes neurais a outras bibliotecas de código aberto. Por ser uma dependência de outro programa, o node-ipc é baixado automaticamente e incorporado a outras bibliotecas, incluindo algumas como Vue.js CLI, que possui mais de 1 milhão de downloads semanais.

A atualização espúria do node-ipc é apenas um exemplo do que alguns pesquisadores estão chamando de protestware. Especialistas começaram a rastrear outros projetos de código aberto que também estão lançando atualizações chamando a atenção para a brutalidade da guerra da Rússia. Esta planilha lista 21 pacotes diferentes que são afetados.

Um desses pacotes é o es5-ext, que fornece código para a especificação da linguagem de script ECMAScript 6. Uma nova dependência chamada postinstall.js, que o desenvolvedor adicionou em 7 de março, verifica se o computador do usuário tem um endereço IP russo. Em caso positivo o código transmite uma “mensagem de paz”.

“Mensagem de paz”, que o sabotador codificou no aplicativo comprometido – Imagem da Internet

As pessoas que não trabalham no ramo talvez se surpreendam com a grande quantidade de software crítico que depende dos caprichos de programadores anônimos que mantêm bibliotecas de software de forma inconsistente, como hobby ou projeto secundário. Repetidas ocorrências estão transformando isso em uma vulnerabilidade séria. A Casa Branca anunciou no ano passado uma iniciativa para começar a resolver esse problema, declarando que vai passar a exigir uma “lista de materiais de software” para todo software encomendado pelo governo:

…o termo “Lista de Materiais de Software” ou “LMDS” significa um registro formal contendo os detalhes e relacionamentos da cadeia de suprimentos de vários componentes usados na construção de software. Desenvolvedores e fornecedores de software geralmente criam produtos montando e mesclando componentes de software comercial e de código aberto dos repositórios existentes. A LMDS enumera esses componentes em um determinado produto. É análogo a uma lista de ingredientes em embalagens de alimentos. Uma LMDS é útil para quem desenvolve ou fabrica software, para quem seleciona ou compra software e para quem opera software. Os desenvolvedores geralmente usam componentes de software de código aberto e de terceiros disponíveis para criar um produto; uma LMDS permite que o desenvolvedor certifique-se de que os componentes de terceiros usados em seus projetos estejam atualizados e responda rapidamente a novas vulnerabilidades. Por exemplo, os compradores podem usar uma LMDS para realizar análise de vulnerabilidade ou licença. Aqueles que operam software podem usar LMDSs para determinar facilmente se estão em risco potencial de uma vulnerabilidade recém-descoberta. Um formato LMDS universal, legível por máquina, que seja amplamente utilizado, permite maiores benefícios por meio da automação e integração de ferramentas. Os LMDSs ganham maior valor quando armazenados coletivamente em um repositório que pode ser facilmente consultado por outros aplicativos e sistemas. Compreender a cadeia de suprimentos de software, obter um LMDS e usá-lo para analisar vulnerabilidades conhecidas são cruciais no gerenciamento de riscos.

Fornecedores governamentais

Vários empreiteiros de defesa em todo o mundo usam recursos de código aberto em todos os tipos de aplicativos implantados em sistemas militares, desde comunicações, navegação, controle de voo, controle de fogo e aplicativos de missão crítica.

Grande parte do código que é modificado ou adicionado nos repositórios de código aberto está dentro do contexto de aplicativos seguros. A questão, porém, é qual o nível de exposição dos sistemas de missão crítica e outros sistemas vulneráveis a esse problema? Qual o componente de risco/recompensa mais aparente nessa escalada interminável de guerra de códigos? Talvez estejamos diante da necessidade de um acordo de não proliferação de armas cibernéticas entre estados-nações.

Bom começo

Uma LMDS é apenas uma boa prática. Os projetos de desenvolvimento bem executados sempre devem ter uma lista de requerimentos de sistema para gerenciar dependências e atualizações. Algumas licenças, a GPL e a LGPL em particular, exigem implicitamente uma licença parcial na medida em que exigem a identificação dos componentes GPL para o destinatário. Estabelecer uma lista de requerimentos que possa ser compartilhada não é um um problema complicado e é um bom começo.

...mas não suficiente

A dimensão do problema está muito além de uma Lista de Materiais. Um grande número de desenvolvedores executa muitos pacotes de software que são atualizados em massa, ou muitas vezes atualizados automaticamente a partir de uma ampla variedade de “fornecedores” em vários países.

No mundo do código aberto, instalamos chaves para os gerenciadores de repositórios (como o Ubuntu) que, em teoria, assinam os pacotes destinados ao download pelos usuários após verificá-los, mas na verdade não os verificam. Portanto, quando o desenvolvedor oficial autorizado de um pacote deseja inserir malware em seu pacote, pouco ou nada pode detê-lo. É uma violação de confiança que pode resultar em punição – uma punição que virá após o fato.

O desenvolvedor do qual falamos aqui atacou indiscriminadamente tanto civis como alvos legítimos em sua sanha de justiça – talvez tenha até cometido um crime de guerra. O que aconteceria se ele tivesse codificado seu programa para atingir alvos militares sensíveis no contexto geral das relações Leste-Oeste? E se fosse o próprio computador de Putin?

Nenhuma regra vai parar isso. Se o seu país estiver em uma guerra (uma que ele começou ou para a qual foi arrastado), você deve considerar que qualquer atualização de software em seu sistema vem de um adversário – ou de uma fonte que pode ser comprometida pelo seu adversário. Essa é a realidade da guerra.

A Guerra Cibernética que não Houve

Mesmo aqueles de que sempre foram céticos quanto à caracterização errônea dos riscos cibernéticos como armas catastróficas de destruição, em vez de ameaças certamente graves – mas bastante diferentes – de interrupção e desestabilização crônicas, ficaram surpresos com o quão pouco as operações cibernéticas apareceram até agora no conflito na Ucrânia.

Guerra Cibernética
Imagem: Pexels

Praticamente todos os pesquisadores de segurança do planeta alertaram sobre o risco de os Russos executarem ataques cibernéticos maciços durante e após a desditosa invasão. Nós também refletimos essas preocupações aqui no blog. Entretanto, as previsões iniciais ainda não se concretizaram, e os observadores agora se desdobram na tentativa de explicação da estratégia russa.

O site lawfare.blog comenta que

O punhado de ataques cibernéticos sérios do Kremlin à Ucrânia antes e por volta do início da invasão parecem representar apenas a continuidade de sua longa campanha de assédio cibernético ao país na última década, ao invés de uma séria escalada das hostilidades. Parece ter havido pouco esforço, por exemplo, para atingir o núcleo da infraestrutura de internet da Ucrânia. Em vez disso, os mísseis chovem e os soldados e tanques chegam. Da mesma forma, as ações de atores pró-ucranianos em desfigurar e derrubar sites russos podem envergonhar o Kremlin, mas dificilmente merecem o termo muito mal utilizado de “ciberguerra”. (Relatórios ainda não verificados de um vazamento maciço de dados pessoais de soldados russos seriam muito mais impactantes se verdadeiros).

Aumentam mas não inventam

O comentarista Steven J. Vaughn Nichols, do The Register [link], argumenta que previu que o grupo russo de hackers GRU Sandworm lançaria um ataque cibernético que arruinaria a rede elétrica da União Européia ou destruiria os principais sites da Internet dos EUA, como Google, Facebook e Microsoft – ou interromperia os serviços de celular.

“Eu estava errado. Pelo menos até agora, de qualquer maneira. Claro que, para surpresa de ninguém, a Rússia e seus fantoches lançaram ataques distribuídos de negação de serviço (DDoS) contra sites ucranianos.

Mas, onde estão os ataques maciços? Por que o sistema elétrico da Ucrânia ainda está funcionando? Por que, em vez de fechar as redes de TV da Ucrânia com ataques cibernéticos, eles tiveram que explodir uma torre de TV de Kiev? Será que acabamos por deixar a paranoia anular nosso bom senso?

Quem dera fosse isso.

Não é paranoia quando se vê que o presidente russo Vladimir Putin realmente está a fim da Ucrânia – e, pela maneira como ele fala, talvez de todos nós. Basta perguntar à Bulgária, República Tcheca, Estônia, Letônia, Lituânia, Polônia, Romênia e Eslováquia. Esses países acreditam que sua ‘integridade territorial, independência política ou segurança’ está ameaçada.

Eles têm boas razões para se sentir assim. E talvez essas razões sejam a chave para o motivo de ainda não termos visto um ataque cibernético russo em massa.

Domínio da Informação

O sofisticado hacker group GRUGQ avalia que “a salva cibernética de abertura da Rússia esteva claramente ligada ao seu planejamento de guerra. Eles parecem ter usado programas ‘limpadores’ [wipers] para derrubar sistemas governamentais, militares e de comunicações, a fim de degradar a capacidade de defesa da Ucrânia. E o ataque ao KA-SAT também está relacionado à capacidade militar ucraniana.

Esses tipos de ataques estão muito alinhados com o modelo tradicional de guerra cibernética. Foram ataques táticos exploratórios e direcionados. A resposta cibernética da Ucrânia tem sido de espectro completo [full spectrum]. A mais hábil foi a convocação de um exército global de hackers civis.

A resposta cibernética mais interessante da Ucrânia tem sido o domínio do espaço da informação. Certas pessoas continuam denegrindo esses esforços como fáceis “porque o Ocidente é simpático”, mas essa é uma análise de desdém muito superficial. A Ucrânia é muito experiente em suas operações de informação.

A Ucrânia cria narrativas complexas que ressoam com seu público-alvo. Internamente, suas mensagens são muito, muito diferentes do que eles compartilham com o público ocidental. Eles conseguiram acertar no apelo: os justos que podem perder se o apoio vacilar.

A Rússia falhou no domínio da informação. Eles não estavam preparados para uma guerra de longo prazo. Agora, seus recursos disponíveis para operações de informação estão bastante reduzidos e sob estresse.”

Finalmente

Se me é permitido, eu acrescentaria que o Kremlin criou um estressor além da capacidade de resistência de sua campanha de desinformação e manipulação.

Até agora, as mentiras domésticas e internacionais do Kremlin – na medida em que o conteúdo dizia respeito às relações externas da Rússia, e especialmente da Ucrânia – quase sempre concordavam. Isso era necessário, porque os canais de comunicação ainda estavam abertos, e um número suficiente de russos influentes tinha acesso às Mentiras para o Consumo Estrangeiro; uma grande divergência nas informações teria sido problemática.

A necessidade de “manter as histórias sincronizadas” pode ter sido um fator na tática bizarra (e talvez autodestrutiva) de insistir que a Rússia não tinha planos de invadir enquanto, de forma abrangente (e com grandes despesas), fazia todos os preparativos para invadir: para satisfazer o público doméstico, Putin teve que se passar por um bufão no cenário mundial.

Agora, os russos estão amplamente isolados de fontes de informação estrangeiras; a internet russa está progressivamente fechada, e o que está disponível está quase submerso pelo tsunami de desinformação do Kremlin.

Com a “operação de desinformação estrangeira” [mídias sociais do ocidente] efetivamente cortada, esmagada por crimes tão ofensivos que até os mais repugnantes babacas dificilmente poderiam defendê-los, justificativas grotescamente absurdas, como “desnazificação”, podem seguir seu curso.

Na Rússia, não há guerra; apenas uma missão humanitária em Donbas.