Oferecido por
Não é exagero dizer que o mundo inteiro é construído em cima do Kernel Linux, embora a maioria das pessoas nunca tenha ouvido falar dele.
Ele é um dos primeiros programas que carregam quando a maioria dos computadores é ligada. Ele permite que o hardware que executa a máquina interaja com o software, governe o uso de recursos e atue como a base do sistema operacional.
É o componente básico de quase todo cloud computing, praticamente todos os supercomputadores, toda a Internet das Coisas (IoC), bilhões de smartphones e muito mais.
Mas o Kernel Linux também é de código aberto, o que significa que qualquer pessoa pode escrever, ler e usar seu código. E isso deixou os especialistas em segurança cibernética dentro das forças armadas dos EUA seriamente preocupados. Sua natureza de código aberto significa que o Kernel Linux, junto a uma série de outros softwares críticos de código aberto, está exposto à manipulação hostil de maneiras que ainda mal entendemos.
“As pessoas estão se dando conta que: espere um minuto, literalmente tudo o que fazemos é amparado pelo Linux”, diz Dave Aitel, pesquisador de segurança cibernética e ex-cientista de segurança de computadores da NSA. “Esta é uma tecnologia essencial para a nossa sociedade. Não entender a segurança do Kernel significa que não podemos proteger nossa infraestrutura crítica”.
Agora, a DARPA (em português: Agência de Projetos de Pesquisa Avançada de Defesa), o braço de pesquisa das forças armadas dos EUA, quer entender o choque entre código e comunidade que faz esses projetos de código aberto funcionarem, a fim de entender melhor os riscos que podemos enfrentar em relação a eles. O objetivo é ser capaz de reconhecer, efetivamente, os agentes mal-intencionados e impedi-los de interromper ou corromper o código-fonte aberto crucialmente importante antes que seja tarde demais.
O programa “SocialCyber” da DARPA é um projeto multimilionário de 18 meses de duração que combinará sociologia com avanços tecnológicos recentes em Inteligência Artificial para mapear, entender e proteger essas enormes comunidades de código aberto e suas criações. É diferente da maioria das pesquisas anteriores porque combina a análise automatizada do código e das dimensões sociais do software de código aberto.
“O ecossistema de código aberto é uma das maiores empresas da história da humanidade”, diz Sergey Bratus, gerente por trás do projeto do programa DARPA.
“Saiu de um espectro de entusiastas para um empreendimento global, formando a base da infraestrutura global, da própria Internet, de indústrias críticas e sistemas essenciais em praticamente todos os lugares”, diz ele. “Os sistemas que administram nossa indústria, redes elétricas, transporte, transporte”.
Ameaças ao código aberto
Grande parte da civilização moderna agora depende de um conjunto de código aberto em constante expansão porque economiza dinheiro, atrai talentos e facilita muito o trabalho.
Mas, embora o movimento de código aberto tenha gerado um ecossistema colossal do qual todos dependemos, não o entendemos completamente, argumentam especialistas como Aitel. Existem inúmeros projetos de software, milhões de linhas de código, inúmeros tópicos com listas de discussão e fóruns e um oceano de colaboradores cujas identidades e motivações são muitas vezes obscuras, tornando difícil responsabilizar-los por algo.
Isso pode ser perigoso. Por exemplo, hackers inseriram discretamente códigos maliciosos em projetos de código aberto várias vezes nos últimos anos. Os malware back doors podem escapar da detecção por muito tempo e, em cenários mais graves, projetos inteiros foram entregues a agentes mal-intencionados que aproveitaram a confiança que as pessoas depositam em comunidades e códigos de código aberto. Às vezes, há rupturas ou mesmo apropriações das próprias redes sociais das quais esses projetos dependem. Rastrear tudo isso tem sido sobretudo, embora não de maneira integral, um esforço manual, o que significa que não corresponde ao tamanho astronômico do problema.
Bratus argumenta que precisamos de machine learning para digerir e compreender o universo em expansão do código. Ou seja, truques úteis como descoberta automatizada de vulnerabilidades, bem como ferramentas para entender a comunidade de pessoas que escrevem, corrigem, implementam e influenciam esse código.
O objetivo final é detectar e neutralizar quaisquer campanhas maliciosas de envio de código corrompido, iniciar operações de influência, sabotar o desenvolvimento ou até mesmo assumir o controle de projetos de código aberto.
Para fazer isso, os pesquisadores usarão ferramentas como análise de sentimentos para estudar as interações sociais em comunidades de código aberto, como os grupos de discussão do Kernel Linux, que deve ajudar a identificar quem está sendo positivo ou construtivo e quem está sendo negativo e destrutivo.
Os pesquisadores querem saber quais tipos de eventos e comportamentos podem atrapalhar ou prejudicar as comunidades de código aberto, quais membros são confiáveis e se existem grupos específicos que justifiquem uma vigilância extra. Essas respostas são necessariamente subjetivas. Mas agora existem poucas maneiras de encontrá-las.
Os especialistas estão preocupados que os pontos cegos sobre as pessoas que executam o software de código aberto formem o cenário ideal para possíveis manipulações e ataques. Para Bratus, a principal ameaça é a perspectiva de um “código não confiável” rodando na infraestrutura crítica dos Estados Unidos, uma situação que pode atrair surpresas indesejadas.
Perguntas não respondidas
Veja como funciona o programa SocialCyber. A DARPA contratou várias equipes do que chama de “executores”, incluindo pequenos negócios de pesquisa de segurança cibernética com profundos conhecimentos técnicos.
Um desses é a Margin Research, com sede em Nova York (EUA), que reuniu uma equipe de respeitados pesquisadores para a tarefa.
“Há uma necessidade urgente de tratar comunidades e projetos de código aberto com um nível maior de cuidado e respeito”, disse Sophia d’Antoine, fundadora da empresa. “Uma boa parte da infraestrutura existente é muito frágil porque depende de código aberto, que assumimos que sempre estará lá porque sempre esteve lá. Essa confiança implícita que temos nas bases e softwares de código-fonte aberto está mudando.”
A Margin Research está focada no Kernel Linux em parte porque ele é tão grande e crítico que se obterem sucesso aqui, significa que podem obtê-lo em qualquer outro lugar. O plano é analisar tanto o código quanto a comunidade para visualizar e finalmente entender todo o ecossistema.
O trabalho da Margin Research mapeia quem está trabalhando em quais partes específicas de projetos de código aberto. Por exemplo, a Huawei é atualmente a maior colaboradora do Kernel Linux. Outro colaborador trabalha para a Positive Technologies, uma empresa russa de segurança cibernética que, como a Huawei, foi sancionada pelo governo dos EUA, diz Aitel. A Margin também mapeou código escrito por funcionários da NSA, muitos dos quais participam de diferentes projetos de código aberto.
“Esse assunto acaba comigo”, diz d’Antoine sobre a busca para entender melhor o movimento de código aberto, “porque, honestamente, até as coisas mais simples parecem novas para tantas pessoas importantes. O governo praticamente percebeu só agora que nossa infraestrutura crítica está operando um código que poderia estar literalmente sendo escrito por entidades condenadas. Só agora”.
Esse tipo de pesquisa também visa encontrar subinvestimento — softwares críticos operados inteiramente por um ou dois voluntários. É mais comum do que você imagina, tão comum que uma maneira usual de projetos de software atualmente medirem o risco é utilizando o “fator ônibus”: todo esse projeto desmorona se apenas uma pessoa for atropelada por um ônibus?
Embora a importância do Kernel Linux para os sistemas de computador do mundo possa ser a questão mais premente para o SocialCyber, ele também aborda outros projetos de código aberto. Certos executores se concentrarão em projetos como Python, uma linguagem de programação de código aberto usada em um grande número de projetos de inteligência artificial e machine learning.
A esperança é que uma maior compreensão facilite a prevenção de um desastre futuro, seja ele causado por atividade maliciosa ou não.
“Praticamente em todos os lugares que você olha, você encontra software de código aberto”, diz Bratus.
“Este é um problema crítico de infraestrutura”, diz Aitel. “Não temos controle sobre isso. Precisamos dar um jeito nisso. O impacto potencial é que hackers mal-intencionados sempre terão acesso a máquinas Linux. Isso inclui seu telefone. É simples assim”.
MIT Technology Review
