Desde 2009, agentes de alfândega e proteção de fronteiras dos EUA foram autorizados a pesquisar dispositivos eletrônicos transportado pelos cidadãos ou não-cidadãos, quando atravessam a fronteira para os Estados Unidos a partir de outros países. Mais recentemente, o Secretário de Segurança Interna, John Kelly, sugeriu que essa verificação digital também deveria incluir coletando senhas de mídia social. A proposta de Kelly levou especialistas jurídicos e de tecnologia a responder com uma carta aberta Expressando profunda preocupação sobre qualquer política que exija que os indivíduos violem a “primeira regra de segurança online”: não compartilhe suas senhas.

Os próprios viajantes responderam também procurando maneiras de evitar a entrega de suas senhas de dispositivos aos agentes federais. Uma abordagem - o que podemos chamar de método "Nada a ver aqui" - tenta tornar um dispositivo não pesquisável apagando o disco rígido antes de viajar, desinstalar aplicativos de mídia social, deixar a carga da bateria do dispositivo acabar ou até mesmo limpar o dispositivo se senha de emergência ou "coação" foi introduzido.

A abordagem "Eu adoraria obedecer, mas não posso" envolve soluções exóticas como a instalação da autenticação de dois fatores no dispositivo ou na conta de mídia social e, em seguida, o segundo fator (como uma senha ou chave digital) disponível apenas em um local remoto. Recuperar o segundo fator exigiria um mandado e viajaria para fora da fronteira.

Esses métodos são perigosos porque colocam um viajante já estressado na posição de desafiar a aplicação da lei na fronteira, ambiente legal que é projetado para apoiar o governo e não o viajante. Seguir este conselho adequadamente também requer a execução cuidadosa das habilidades técnicas que a maioria dos viajantes não possui. E o grau de planejamento antecipado e a preparação exigida podem, em si, ser considerados um sinal de atividade suspeita, exigindo um exame mais profundo por parte dos funcionários da fronteira.

Mas é tentador imaginar: Cientistas da computação e designers de software como eu poderiam criar um sistema de senhas melhor? Podemos fazer "Eu adoraria obedecer, mas não posso" a única resposta possível para todos os viajantes? Em resumo, podemos criar senhas até mesmo seus donos não sabem?

A busca pela senha incognita

O desenvolvimento de senhas desconhecidas é uma área ativa de pesquisa de segurança. Em 2012, uma equipe da Universidade de Stanford, Northwestern University e do centro de pesquisa SRI desenvolveu um esquema para usar um jogo de computador similar ao “Guitar Hero” para treinar o cérebro subconsciente para aprender uma série de teclas. Quando um músico memoriza como tocar uma música, ela não precisa pensar em cada nota ou sequência. Torna-se uma reação enraizada e treinada, utilizável como senha, mas quase impossível até para o músico soletrar nota por nota, ou para o usuário divulgar letra por letra.

Além disso, o sistema é projetado para que, mesmo se a senha for descoberta, o invasor não consiga inserir as teclas digitadas com a mesma fluidez que o usuário treinado. A combinação de pressionamentos de teclas e facilidade de desempenho une a senha ao usuário, liberando o usuário de ter que lembrar-se de qualquer coisa conscientemente.

Infelizmente, em nosso cenário de viagens de fronteira, o agente pode exigir que o viajante desbloqueie o dispositivo ou aplicativo usando a senha subconsciente.

Uma equipe da Universidade Politécnica do Estado da Califórnia, Pomona, propôs uma solução diferente no 2016. Sua solução, chamada Chill-Pass, mede a resposta química singular do cérebro de um indivíduo enquanto ouve a escolha da música relaxante. Essa reação biométrica se torna parte do processo de login do usuário. Se um usuário estiver sob coação, ela será incapaz de relaxar o suficiente para corresponder ao estado de “relaxamento” anteriormente medido, e o login falhará.

Não está claro se os agentes da CBP seriam capazes de derrotar um sistema como o Chill-Pass fornecendo aos viajantes, digamos, cadeiras de massagem e tratamentos de spa. Mesmo assim, o estresse da vida cotidiana tornaria impraticável o uso desse tipo de senha regularmente. Um sistema baseado no relaxamento seria mais útil para as pessoas que realizam missões de alto risco onde temem a coerção.

E assim como com outros planos para tornar o escrutínio do PCH impossível, isso pode acabar atraindo mais atenção para um viajante, em vez de incentivar os policiais a desistir e passar para a próxima pessoa.

Você pode marcar a segurança?

Na 2015, o Google anunciou Projeto Abacus, outra solução para o problema "Eu adoraria obedecer, mas não posso". Ele substitui a senha tradicional por uma "pontuação de confiança", um coquetel exclusivo de características que o Google determinou para identificar você. A pontuação inclui fatores biométricos, como seus padrões de digitação, velocidade de caminhada, padrões de voz e expressões faciais. E isso pode incluir sua localização e outros elementos não especificados.

A calculadora Trust Score é executada constantemente em segundo plano de um smartphone ou outro dispositivo, atualizando-se com novas informações e recalculando a pontuação ao longo do dia. Se a Pontuação de confiabilidade cair abaixo de um certo limite, por exemplo, observando um padrão de digitação estranho ou um local desconhecido, o sistema exigirá que o usuário insira credenciais de autenticação adicionais.

Não está claro como uma autenticação de pontuação de confiança pode afetar uma pesquisa de borda. Um agente do CBP ainda pode exigir que um viajante desbloqueie o dispositivo e seus aplicativos. Mas, se a agência não puder desativar o sistema Trust Score, o proprietário do telefone deverá ter permissão para segurar o dispositivo e usá-lo durante a inspeção do agente. Se alguém tentasse usá-lo, a pontuação de confiança constantemente recalculada poderia cair, bloqueando um investigador.

Esse processo garantiria, pelo menos, que o proprietário de um telefone soubesse quais informações os agentes federais estavam recebendo do telefone. Isso não foi possível para alguns viajantes que chegam, incluindo Cidadãos dos EUA e até funcionários do governo.

Mas o sistema Trust Score coloca muito controle nas mãos do Google, uma corporação com fins lucrativos que pode decidir - ou poderia ser obrigado - fornecer ao governo uma maneira de contornar isso.

Então, agora?

Nenhuma dessas soluções tecnológicas para o problema da senha é perfeita, e nenhuma delas está comercialmente disponível hoje. Até que a pesquisa, a indústria e a inovação surjam com as melhores, o que um viajante da era digital deve fazer?

Primeiro, não minta para um agente federal. Aquilo é um crime e definitivamente atrairá mais atenção indesejada dos investigadores.

Em seguida, determine o quanto você está disposto a tolerar para permanecer em silêncio ou se recusar a obedecer. O descumprimento terá um custo: seus dispositivos podem ser apreendidos e sua viagem pode ser seriamente interrompida.

De qualquer maneira, se e quando você for solicitado por suas alças ou senhas de mídia social, ou para desbloquear seus dispositivos, preste atenção e lembre-se de tantos detalhes quanto puder. Então, se desejar, alerte um grupo de liberdades civis digitais de que isso aconteceu. A Electronic Frontier Foundation tem uma página web com instruções para como relatar uma pesquisa de dispositivo na fronteira.

Se você acredita que materiais confidenciais podem ter sido comprometidos na pesquisa, notifique os familiares, amigos e colegas que possam ser afetados. E - até descobrirmos uma maneira melhor - altere suas senhas.

Sobre o autor

Megan Squire, professora de ciências da computação, Elon University

Este artigo foi originalmente publicado em A Conversação. Leia o artigo original.

Livros relacionados

at InnerSelf Market e Amazon