O que são mensagens off-the-record (OTR)?

Para jornalistas, a capacidade de proteger uma fonte é vital para a comunicação bem-sucedida com pessoas valiosas. Para as fontes, as apostas são ainda maiores: sua segurança e liberdade dependem de não serem identificadas como a fonte de uma história.

A mera revelação de que alguém dentro de uma corporação ou organização governamental conversou com um repórter pode ser tão prejudicial quanto o conteúdo da própria conversa.

Imagine o seguinte: depois de receber uma denúncia anônima, uma grande publicação de notícia conta uma história sobre uma grande companhia de petróleo encobrindo um acidente. No dia seguinte à história, a empresa descobre que um funcionário recentemente trocou informações criptografadas com alguém da empresa de notícias. A corporação imediatamente dispara o vazamento, encerrando sua carreira e ameaça o vazamento com um grande processo judicial.

Comunicações fora do registro ajudam a impedir que esses cenários se desenrolem.

“Off-the-record” (OTR) como termo no jornalismo refere-se a informações de fontes que não existem oficialmente ou a conversas que “não aconteceram”. Essas informações podem, mas não precisam, de fontes conhecidas ao jornalista, assumindo a forma de qualquer coisa, desde uma denúncia anônima até informações de uma fonte de longa data confiável.

Embora muitas organizações de notícias respeitáveis ​​tenham uma política de não publicar informações compartilhadas fora do registro, essas informações ainda podem desempenhar um papel crítico ao apontar os jornalistas na direção certa ou ajudar os jornalistas a encontrar fontes citáveis ​​com as mesmas informações.

Vamos dar uma olhada nas mensagens OTR e como elas funcionam.

OTR usa sigilo avançado

Para entender os recursos do OTR, vejamos primeiro a Pretty Good Privacy (PGP), que antecede o OTR há mais de 10 anos. PGP é um software de criptografia no qual o remetente e o destinatário criam um par de chaves de criptografia que eles usam para criptografar mensagens e dados. É popular para e-mails e transferências de arquivos e também permite que os usuários assinem dados com uma chave pública estática para provar sua autenticidade. Essa chave é frequentemente divulgada no site do proprietário ou em diretórios e pode ser usada por um longo tempo pelo proprietário..

Embora um software de criptografia como o PGP seja eficaz para manter em segredo o conteúdo dos dados comunicados, há algumas desvantagens em manter contato com suas fontes. Se sua chave de criptografia estiver exposta, um invasor poderá descriptografar todas as suas conversas anteriores se tiver interceptado e gravado as mensagens criptografadas.

OTR protege suas mensagens de serem descriptografadas praticando “sigilo direto perfeito”.

Encaminhar sigilo significa que você tem sigilo hoje, mesmo que sua chave seja comprometida no futuro. A OTR fornece sigilo avançado usando uma chave diferente para cada sessão, que não é armazenada após o término da sessão.

A desvantagem de ter chaves diferentes para cada sessão é que você não pode recuperar seu histórico sem registrá-lo em texto não criptografado, o que pode comprometer você mais tarde. Além disso, não há como saber se a outra parte está registrando você, mas você não teria revelado sua identidade ou informações valiosas se não confiasse nelas, certo??

OTR fornece autenticação e criptografia negáveis

Autenticação negável

No PGP, você pode usar a chave estática para assinar qualquer tipo de dado ou texto. Essa assinatura o autentica sem dúvida e mostra que você criou ou aprovou determinadas mensagens. Mas, como essa assinatura é visível a qualquer observador, pode revelar as identidades das duas partes que se comunicam..

Práticas OTR autenticação negável. Isso significa que é impossível para um bisbilhoteiro diferenciar apenas das mensagens criptografadas quem está se comunicando com quem. Somente os participantes obtêm informações sobre as identidades uns dos outros na forma de uma impressão digital.

Para verificar as identidades um do outro e garantir que ninguém esteja realizando um ataque intermediário, você pode divulgar suas impressões digitais ou trocá-las por um canal alternativo, por exemplo, pessoalmente ou em seus perfis de mídia social. Essa troca de impressões digitais é um recurso importante que torna o OTR significativamente mais anônimo que o PGP.

Criptografia negável

De maneira semelhante à autenticação, o PGP permite que um observador ou bisbilhoteiro veja qual chave privada desbloqueia um arquivo criptografado. Mesmo que o invasor não consiga se apossar dessa chave privada, eles sabem quem a possui e podem pressionar a vítima ou o suspeito de um crime para descriptografar o arquivo.

Na OTR, é impossível ver quem detém a chave de uma conversa criptografada. Além disso, é possível que a chave tenha sido destruída imediatamente após a conversa. Isso é chamado criptografia negável.

Embora a autenticação e a criptografia negáveis ​​possam garantir ou mesmo ser importantes em alguns contextos, existem outras maneiras de vincular novamente as chaves de duas partes às identidades reais, como através dos canais de bate-papo, contas e endereços IP usados ​​em uma conversa.

Continue lendo para descobrir como proteger seu anonimato ao usar a comunicação OTR.

Requisitos básicos para OTR

Em teoria, o uso do OTR é semelhante ao PGP, mas você não precisa se preocupar em criar, publicar e compartilhar manualmente chaves, nem em suas datas de validade. Aqui estão as etapas básicas para usar o OTR.

1. Instale o software OTR. Como o OTR é restrito a bate-papos, ele vem com uma variedade de softwares de bate-papo, principalmente o Pidgin (Windows, Linux), Adium (Mac OS X), Chat Secure (iOS, Android) e Tor Messenger (plataforma cruzada, ainda em beta).
2. Configure uma conta de bate-papo compatível com esses clientes do messenger. A conta deve pelo menos suportar protocolos como o jabber / xmpp, um sistema aberto e descentralizado que funciona de maneira semelhante ao email. A maioria das contas do Gmail ou do Google Apps também funciona como contas jabber – sem nenhum custo extra. Também existem muitos serviços que permitem que você registre uma conta jabber de forma livre e anônima.
3. Adicione seus contatos como “amigos” para conversar com eles. Digite o endereço jabber, semelhante ou idêntico ao endereço de e-mail.
4. Para iniciar uma mensagem OTR, clique em “iniciar conversa privada” ou clique em um símbolo de cadeado, dependendo do software que você está usando.
5. Para verificar a identidade do seu amigo, compartilhe sua impressão digital. Você pode ver sua impressão digital clicando em “verificação manual” na sua janela de bate-papo. Se você já estabeleceu um canal criptografado verificado, poderá verificar um ao outro através dele. Você também pode listar sua impressão digital em seu site ou mídia social.

Como manter o anonimato no OTR

Embora o próprio protocolo OTR seja bastante surpreendente para proteger sua privacidade e anonimato, ele é menos poderoso se você usar um canal que possa ser vinculado à sua identidade real. Ter negação criptográfica é ótimo em teoria, mas isso derrota o objetivo se você estiver se comunicando por meio da sua conta comercial do Google Apps, onde seu empregador, Google e, presumivelmente, o governo podem ver quem você está enviando mensagens. Muitas vezes, é suficiente para eles tirar conclusões sobre as identidades de sua fonte e colaboradores.

Veja como permanecer anônimo ao usar o OTR.

Etapa 1: usar várias contas

O primeiro passo para melhorar sua privacidade é usar várias contas e ter consciência de quem você adiciona em qual conta. Você pode criar uma nova conta para cada um de seus contatos. Para evitar a análise de correlação de quando e de onde você faz login, você pode registrar essas contas em vários servidores e serviços.

Etapa 2: conectar-se ao OTR por VPN ou Tor

A segunda etapa é sempre se conectar a essas contas de bate-papo por meio de uma VPN ou mesmo do Tor, especialmente quando você estiver se inscrevendo. O login apenas uma vez a partir do endereço IP de sua casa ou do trabalho é suficiente para comprometer você.

Etapa 3: verificar a identidade do destinatário

O último passo é o mais cansativo: verificar a identidade do destinatário. Isso é especialmente importante para garantir que nenhum terceiro intercepte a troca no meio, substituindo as chaves OTR do seu contato pelas deles. Sua conexão parecerá segura e criptografada para você, mas na verdade pode não ser até que você verifique as chaves.

Para verificar a identidade do seu destinatário de maneira confiável, uma boa prática é transmitir sua impressão digital por meio de um canal confiável, como cartão de visita, site ou conta de mídia social. (Você pode encontrar sua impressão digital em “configurações” ou “verificar manualmente”.)

Como permanecer anônimo ao compartilhar arquivos

Embora o protocolo jabber e muitos clientes permitam teoricamente o compartilhamento de arquivos ou anexos, ele raramente funciona e não usa criptografia.

Para compartilhar arquivos, o ExpressVPN recomenda o Onionshare, um serviço de compartilhamento de arquivos P2P criado pelo Tor. Dessa forma, nenhuma das partes pode identificar a outra facilmente por meio de seu endereço IP e o arquivo é criptografado em trânsito.

Como em qualquer download, lembre-se de que os arquivos podem conter código malicioso que pode ser anônimo em seu nome. Sua melhor aposta é desconectar-se da Internet antes de abrir os arquivos ou abrir os arquivos dentro de uma máquina virtual.

Cuidado ao clicar em qualquer tipo de link, especialmente o menor, pois eles podem conter códigos de rastreamento que o tornam identificável pela outra parte. Se você precisar abrir links suspeitos, abra-os apenas dentro do navegador Tor.

Clique aqui para saber como configurar uma conta Jabber anônima com criptografia OTR.

Imagem em destaque: Scott Griessel / Dollar Photo Club