SecureDrop

SecureDrop é uma plataforma open-source de entrega de documentos confidenciais por fontes anônimas. O sistema usa criptografia de forma a tornar a plataforma segura. Uma plataforma surge como uma ferramenta para tornar a comunicação entre jornalistas e “whistleblowers” mais segura. Whistleblower pode ser traduzido para o português como um delator ou dedo-duro. SecureDrop foi idealizado e implementado em sua primeira versão pelo falecido Aaron Swartz, sob o nome DeadDrop. A ONG Freedom of the Press Foundation adotou o projeto e o renomeou para SecureDrop.

O código da plataforma foi auditado duas vezes^[1] por diversos especialistas na área de segurança e criptografia, de forma a assegurar que a arquitetura da plataforma é segura. O relatório da auditoria, assim como o próprio site da Freedom of the Press Foundation, deixam bastante claros que a plataforma, apesar de tornar a comunicação jornalista-delator mais segura, não é sob hipótese alguma 100% segura. O relatório ressalta ainda a falta de usabilidade da plataforma para usuários não técnicos e sem expertise em criptografia. Esse foi exatamente o ponto que a Freedom of the Press tem atacado, tentando tornar a plataforma o mais usável possível, a fim de mitigar possíveis fontes de erros por parte dos usuários que possam tornar o uso da plataforma inseguro. A ONG oferece também auxílio técnico a organizações de imprensa que queiram usar o sistema, bem como treinamento para jornalistas sobre melhores práticas de segurança. Além disso, possuem um projeto de crowdfunding para financiar o hardware necessário para instalar o SecureDrop e doar a instituições que não possuem condições financeiras de obter tal hardware. Qualquer organização pode instalar o SecureDrop de forma gratuita e fazer modificações que satisfaçam suas necessidades específicas. Qualquer desenvolvedor interessado pode também ajudar a melhorar o código do SecureDrop, tendo em vista a sua natureza open-source. A Freedom of The Press Foundation realizou inclusive uma série de Hackathons para melhorar o código da plataforma. A natureza open-source desta segue o 2^o princípio de Kerckhoffs:

“O sistema não deve requerer que a sua arquitetura ou que os seus algoritmos criptográficos sejam mantidos em segredo para garantir a sua segurança.”[2] 

A plataforma SecureDrop foi desenvolvida para funcionar da seguinte forma:

1. Uma organização instala SecureDrop em seus servidores;
2. Indivíduos que desejam entrar em contato com jornalistas da organização (delatores) devem possuir uma versão atualizada do Tor Browser e visitar a página do SecureDrop da organização (cujo endereço possui extensão .onion);
3. O delator recebe quatro palavras-chave aleatórias ao visitar a página SecureDrop da organização. Essas palavras-chave devem ser memorizadas;
4. Ao delator é mostrada uma página, onde é possível enviar mensagens ou documentos aos jornalistas. Todas as informações enviadas são criptografadas de forma que apenas os jornalistas tenham acesso a estas.

Para recuperar os documentos postados por fontes anônimas, os jornalistas seguem os seguintes passos:

1. O jornalista acessa um site interno que o alerta da existência de novas mensagens. Os dados estão criptografados usando a chave GPG do jornalista;
2. O jornalista baixa os dados criptografados em um pendrive;
3. O jornalista transfere o pendrive para uma estação segura de visualização, onde este é inserido; e os dados são decriptados com a chave GPG do jornalista e analisados;
4. Após a análise, os dados decriptados são destruídos;
5. O jornalista retorna ao website interno e pode mandar uma mensagem de resposta para o delator. Esta é postada na caixa de mensagens anônima do receptor;
6. As mensagens deixadas por jornalistas são criptografadas e só podem ser visualizadas pelo delator usando as palavras-chave decoradas por ele.

Conceitualmente, SecureDrop cria caixas de email anônimas, que tanto a fonte (delator) quanto o jornalista podem usar para estabelecer comunicação. SecureDrop também usa uma série de técnicas para impedir que o jornalista descubra o endereço IP ou a localização geográfica do delator.

SecureDrop é um software livre: ele pode ser redistribuído e modificado, desde que de acordo com os termos da licença GNU Affero General Public, como publicado pela Free Software Foundation, seja na versão 3 ou superior da licença. O projeto SecureDrop é distribuído com o intuito de ser útil a diversos indivíduos. Porém, não oferece quaisquer garantias.

Há algumas formas possíveis de contribuir com o projeto:

1. Doar dinheiro para manter o projeto vivo, ajudando a pagar, por exemplo, o desenvolvimento e manutenção da plataforma;
2. Contribuir diretamente com o código, mantido na página do GitHub do projeto;
3. Participar de listas de discussão para sugerir mudanças que tornem a plataforma SecureDrop mais segura e eficiente.

A organização Freedom of the Press Foundation mantém em seu site uma lista de organizações que usam o SecureDrop.

Referências