Hackers to Law: Lei Azeredo pode tornar inviável cultura e pesquisa hacker - José Milagre
13 Comentários	/ Perícia / 28 de junho de 2011 28 de junho de 2011
13 comentários em "Hackers to Law: Lei Azeredo pode tornar inviável cultura e pesquisa hacker"
28 de junho de 2011 em 22:21
Infelizmente, a abrangencia em relacao ao cumprimento das leis propostas fica totalmente a merce das autoridades. *perigo de abuso* na certa..
O que os pesquisadores de seguranca, entusiastas e afins tem que entender, eh que se aprovada, todo e qualquer acesso nao autorizado a sistema sera punido severamente independente de sua fe! Seja ele software assessment (static / dynamic analysis), fuzzing, testes de invasao e outros.
Gostaria de saber com qual apoio tecnico O Sr. Senador Azeredo escreveu esse PL (Projeto de Lixo) se me permitem.
Excelente artigo! Parabens Milagre compartilho de suas ideias e frustacoes.
28 de junho de 2011 em 23:19
O tom cômico mas não menos importante dessa frase é notável. Não sou letrado nas leis. Não conheço as profundezas do sistema jurídico e das regras que o compõem. Nessa área sou apenas usuário. Porém, de uma coisa simples eu tenho noção. A de enxergar muitas coisas erradas, mesmo avaliadas sob o fraca expressividade, no contexto humano, do significado de justiça. Embora seja uma das máximas das quais sempre quero acreditar que um dia será diferente, a frase de que em nosso país as Leis são para as parcelas da população composta pelos três "pês" é reafirmada todos os dias nos noticiários. As leis são como as API's de programação. Tem coisas ali dentro que é para um grupo seleto de pessoas.
Sem muito mais rodeio, quero dizer que muitas leis são criadas por quem não entende do assunto em pauta. Neste país tem tanta gente especializada, não só por formação, pela na vivência, tantas pessoas capacitadas e de boa índole. Por que não envolver mais a sociedade, ouvir mais opiniões, expandir a criação das leis para grupos voluntários de forma a termos leis concisas, bem fundamentadas e argumentadas, claras e de fácil aplicação pelo, na maioria das vezes, TIcnamente leigo Juiz? Vivemos em um regime que somos culpados, até que provemos o contrário. In dubio pro reo uma ova.
Tudo bem. Sei que estou sendo o termo "Sistema informatizado" descrito no artigo mas tudo que exponho aqui cabe perfeitamente para o PL 84/1999. Discursar aqui sobre uma legislação e termos que envolvam segurança da informação seria um abuso da minha parte. Não precisamos de mais uma lei votada na calada da noite, votada às pressas pra alguém sair bonito na foto. Está sendo assim com esse PL agora, é assim o código florestal e assim também o é com várias outras leis e regulamentações.
Por fim, parabéns pelos excelentes textos do seu blog. É bom saber, ou melhor, ver, que existem pessoas assim que lutam contra o lado obscuro e sombrio da força.
28 de junho de 2011 em 23:40
O Google seria o maior criminoso do país por acesso não trivial a sistemas informatizados, sem autorização expressa do titular, e ainda por cima faz uso e difusão das informações obtidas. Que ridícula essa lei hein.
29 de junho de 2011 em 00:02
É realmente chato saber que algo como um projeto de lei desses está em análise e possui grandes chances de ser aprovado compromentendo a carreira de muitos profissionais da área de segurança.
29 de junho de 2011 em 00:11
Exatamente. Um provedor de serviços que sem autorização coleta Ip, dados de conexão ou mesmo a geolocalização de um internauta, para depois fazer "adv" ou adword, estaria, na figura de seus mantenedores, praticando crime, pois, estão obtendo dado ou informação disponível em sistema informatizado, diga-se, do sistema do provedor de acesso que atribuiu os dados para que o usuário se conectasse à rede. Veja o problema!
Pingback: Legaltech / Pericia Digital — Digital Forensics Services — Blog » Hackers to Law: Lei Azeredo pode tornar inviável cultura e pesquisa hacker
29 de junho de 2011 em 11:28
A internet é livre. Deveriam criminalizar as instituicões que não implementam sistemas minimamente seguros, deveriam criminalizar projetos de software que não contemplam a seguranca da informacão (responsabilizando o programador pelo código que ele criou, assim como responsabiliza-se um engenheiro quando o projeto dele é falho).
Devemos sim criminalizar invasão, pichacão (defacing) e roubo de informacões sigilosas, mas mesmo nesses casos, as vítimas somos nós, usuários dos sistemas afetados, e não a empresa alvo. A empresa alvo deveria também responder por possibilitar o vazamento das informacões.
Não existe sistema seguro, mas não existem muitos hackers com más intencões capazes de invadir um sistema DESCOBRINDO as vulnerabilidades. O que mais existe é "hacker" que usa o que foi descoberto por outros, mas que é incapaz de quebrar as protecões de um sistema atualizado, bem projetado, e com foco em seguranca.
29 de junho de 2011 em 15:43
Venho aqui tentar desmistificar alguns pontos do PL 84/99. Dos textos abaixo, já com as supressões propostas pelo Dep. Eduardo Azeredo, ressalto os termos "não autorizado", "protegido por expressa restrição de acesso" e "sem autorização ou em desconformidade com autorização do legítimo titular".
Se alguém contrata determinado profissional para "investigar" a qualidade de segurança do um sistema, ele está recebendo autorização para "invadí-lo/testá-lo", portanto, não se aplica o tipo penal. Em outras palavras, não há crime. O racíocínio se aplica a todos os demais dispositivos do PL em que surja essa dúvida.
Ainda, haverá de verificar-se, caso a caso, o dano/prejuízo causado e se a ação foi realizada com dolo (ou seja, intenção de causar dano/prejuízo).
Na minha leitura, os novos tipos penais apenas admitem a conduta dolosa, ou seja, em que a violação de segurança se dá com intenção de acessar, obter ou transferir dados pessoais, empresariais ou profissionais de forma indevida (desde um perfil na internet, um simples e-mail, uma tese de mestrado, fotos pessoais com a família e amigos até um projeto industrial, dentre tantas outras possibilidades).
O mesmo raciocínio lógico se aplica ao código malicioso (art. 163-A), cujo conceito está claramente delineado no artigo 16: "IV – código malicioso: o conjunto de instruções e tabelas de informações ou qualquer outro sistema desenvolvido para executar ações DANOSAS ou obter dados ou informações de forma INDEVIDA;"
Ora, como entender que executar ação danosa ou obtenção de dado ou informação de forma indevida, possa ser caracterizada como uma ação de pesquisa? Invadir então seu computador, de trabalho ou pessoal, para obter ou danificar um arquivo contendo qualquer informação, pessoal ou profissional, deve ser visto e tratado como algo trivial?
Novamente: se me contrataram para alcançar tais objetivos, como forma de teste de um sistema, não se aplica o tipo penal. Ainda que não me contratem para tal fim, durante o processo de investigação verificar-se-á a veracidade dos argumentos relativos à pesquisa em andamento.
Esclareça-se que os tipos penais previstos nos arts. 285-A e 285-B dependem de representação da vítima, ou seja, sem que a vítima recorra às autoridades policiais, não haverá efeito prático na ação cometida. Imagino que uma empresa, órgão ou entidade que tenha seu sistema invadido, não vá aos órgãos policiais tornar isso público. Ao contrário, utilizará esse aprendizado para melhorar seus sistemas, seus produtos, seus equipamentos, em benefício próprio e de seus consumidores.
Por outro lado, não vejo, no mundo real, alguém registrando um boletim de ocorrência porque desbloqueou o seu iphone, seu aparelho de DVD etc. Aliás, diga-se, tais ações já são tipificadas como crimes na legislação sobre patentes e propriedade intelectual/industrial. Conhecem alguém que foi preso por isso?
Acesso NÃO AUTORIZADO a sistema informatizado.
Art. 285-A. Acessar, mediante VIOLAÇÃO de segurança, de sistema informatizado, protegido por EXPRESSA RESTRIÇÃO DE ACESSO:
Art. 285-B. Obter ou transferir, SEM AUTORIZAÇÃO ou em DESCONFORMIDADE COM AUTORIZAÇÃO do legítimo titular de sistema informatizado, PROTEGIDO por expressa restrição de acesso, dado ou informação neles disponível:
Art. 163-A. Inserir ou difundir código malicioso em sistema informatizado:
§ 1º Se do crime resulta destruição, inutilização, deterioração, alteração, dificultação do funcionamento, ou funcionamento desautorizado pelo legítimo titular de sistema informatizado:
VII – difunde, por qualquer meio, código malicioso com intuito de facilitar ou permitir acesso indevido a sistema informatizado.
IV – código malicioso: o conjunto de instruções e tabelas de informações ou qualquer outro sistema desenvolvido para executar ações danosas ou obter dados ou informações de forma indevida; (…)
Acredito que a sociedade, autoridades, advogados e juízes terão competência para distinguir os atos de pesquisa dos atos realmente criminosos que vem causando imensos danos a toda a sociedade. Basta uma rápida pesquisa na internet para se listar o volume financeiro e social dos danos que vem sendo causados pelos indivíduos mau intencionados.
Espero que esse debate, saudável e necessário, permita trazer esclarecimentos que rompam um pouco o estigma criado sobre esse PL.
Quanto tempo mais veremos verdadeiros criminosos obtendo milhões de reais às custas da sociedade: dinheiro esse que gera mais corrupção, pois, para voltar à circular, são despejados para a compra de armas, drogas, lavagem de dinheiro, corrupção de laranjas (pessoas que alugam suas contas para que esse dinheiro transite para ser legalizado) etc.
29 de junho de 2011 em 19:39
você se engana em algumas premissas. A central é a de que a falta da lei seja a condição para os crimes. De um lado, isso é errado porque as leis atuais permitem o combate, o que falta é o combate em si. Daí se pode perguntar "se existe lei e ela não dá conta, temos que melhorar a lei". Aí entra o outro lado da moeda. Sua premissa de que a falta de lei é um problema é errada, portanto, por outro lado, porque a lei não é instrumento de combate, ela não muda a realidade, basta ver que há uma norma que proíbe o assassinato e mesmo assim ele segue acontecendo.
A lei de cibercrimes não prevê apenas novos crimes, mas novas formas de investigar. O problema é que essas novas formas incluem violações sistemáticas de direitos, a pretexto de facilitar o combate a crimes sobre os quais não existem estatísticas consistentes. Há apenas um discurso do medo, repetido há tanto tempo que se fosse verdade a sociedade já teria se desintegrado (e aqui uso termos da fundamentação de uma das primeiras propostas de lei contra cibercrimes, o PLS 152/91).
Não se engane. Não precisamos de mais lei para combater cibercrimes. Esse projeto de lei não vai servir para isso. Nem que a redação dele seja melhorada.
Há outros pontos no que vc falou, mas fico por aqui. Pelo menos por hora.
29 de junho de 2011 em 22:59
Fica evidente o terror que essa lei coloca nos pesquisadores, ter seus atos sendo avaliados se são passivos de punição ou não por Juristas que não possuem conhecimentos técnicos para avaliar a situação. Espero que pelo menos tenhamos um juizado especial para esses casos. Por hora é só.
30 de junho de 2011 em 15:27
E isso é só a pontinha do monstro vermelho que está no senado. Mas brasileiro é assim mesmo: Masoquista e ignorante.
Pingback: PODCAST | 4ª Edição Podcast Direito Digital – José Milagre e Alexandre Atheniense (Ciberguerra, Hackativismo, Segurança da Informação e Lei Azeredo) – Parte 1 « Cyber investigation Notice | Global Information Assurance
29 de dezembro de 2012 em 09:20
No Brasil, é de praxe os políticos fazerem leis aleijadas. As leis que deveriam ser claras e beneficiar, acabam por atrapalhar e prejudicar a elucidação de crimes de quaisquer naturezas.