Análise de tráfego
A análise de tráfego é o processo de interceptar e examinar mensagens a fim de deduzir informações a partir de padrões na comunicação. Ela pode ser realizada mesmo quando as mensagens estão encriptadas. Em geral, quanto maior o número de mensagens observadas, maior a quantidade de informações que podem ser inferidas. A análise de tráfego pode ser realizada no contexto de inteligência militar, contra-inteligência ou análise de padrão de vida, sendo também uma preocupação na segurança de computadores.
Imagem: Assembleia Legislativa do Paraná (ALEP) · PDM · Openverse
Métodos de análise de tráfego podem ser usados para quebrar o anonimato de redes anônimas, como por exemplo, a rede Tor. Existem dois métodos de ataque de análise de tráfego: passivo e ativo.
Imagem: Assembleia Legislativa do Paraná (ALEP) · PDM · Openverse
No contexto militar, a análise de tráfego é uma parte básica da inteligência de sinais e pode ser uma fonte de informação sobre as intenções e ações do alvo. Padrões representativos incluem: Existe uma relação estreita entre a análise de tráfego e a criptoanálise (comumente chamada de quebra de código). Indicativos de chamada e endereços são frequentemente encriptados, exigindo assistência para identificá-los. O volume de tráfego pode ser um sinal da importância de um destinatário, fornecendo dicas sobre objetivos pendentes ou movimentos para os criptoanalistas.
Segurança do fluxo de tráfego
Segurança do fluxo de tráfego é o uso de medidas que ocultam a presença e as propriedades de mensagens válidas em uma rede para evitar a análise de tráfego. Isso pode ser feito por procedimentos operacionais ou pela proteção resultante de recursos inerentes a alguns equipamentos criptográficos. As técnicas utilizadas incluem: A segurança do fluxo de tráfego é um aspecto da segurança de comunicações.
Análise de metadados COMINT
A "Inteligência de metadados de comunicações" ou "metadados COMINT" é um termo na inteligência de comunicações (COMINT) que se refere ao conceito de produzir inteligência analisando apenas os metadados técnicos; portanto, é um excelente exemplo prático de análise de tráfego em inteligência. Enquanto tradicionalmente a coleta de informações em COMINT deriva da interceptação de transmissões, grampeando as comunicações do alvo e monitorando o conteúdo das conversas, a inteligência de metadados não se baseia no conteúdo, mas em dados técnicos de comunicação. A COMINT de não-conteúdo é geralmente usada para deduzir informações sobre o usuário de um determinado transmissor, como localizações, contatos, volume de atividade, rotina e suas exceções.
Imagem: Assembleia Legislativa do Paraná (ALEP) · PDM · Openverse
Por exemplo, se um emissor é conhecido como o rádio transmissor de uma determinada unidade e, usando ferramentas de radiogoniometria (DF), a posição do emissor é localizável, a mudança de localização de um ponto para outro pode ser deduzida sem ouvir quaisquer ordens ou relatórios. Se uma unidade se reporta a um comando seguindo um certo padrão, e outra unidade se reporta ao mesmo comando com o mesmo padrão, as duas unidades provavelmente estão relacionadas. Essa conclusão baseia-se nos metadados das transmissões das duas unidades, não no conteúdo de suas transmissões. O uso de todos os metadados disponíveis (ou o máximo possível) é comumente empregado para construir uma Ordem de Batalha Eletrônica (EOB), mapeando diferentes entidades no campo de batalha e suas conexões. Naturalmente, a EOB poderia ser construída ouvindo todas as conversas e tentando entender qual unidade está onde, mas o uso de metadados com uma ferramenta de análise automática permite uma construção de EOB muito mais rápida e precisa, o que, junto à interceptação, cria uma imagem muito melhor e mais completa.
Imagem: Assembleia Legislativa do Paraná (ALEP) · PDM · Openverse
De forma semelhante aos aspectos militares, as relações comerciais também podem ser vulneráveis à análise de tráfego. Embora os dados trocados sejam geralmente criptografados, o mero fluxo de dados pode ser informativo. Sempre que as comunicações entre entidades comerciais passam por um terceiro — como um serviço de telecomunicações, um mediador, uma empresa de consultoria, um provedor de custódia (escrow) ou um "intermediário de confiança" para uma transação de dados — existe algum risco de o tráfego ser analisado para obter inteligência comercial. O aumento das comunicações de dados entre várias partes usando tecnologias como Dataspaces destacou esse risco mais uma vez. Comparável aos exemplos militares citados acima, os exemplos comerciais incluem: Tudo isso pode fornecer inteligência valiosa para operadores de bolsa de valores, concorrentes e outros parceiros de negócios. Esses riscos são bem compreendidos e levam à observação de que duas organizações comerciais apenas se comunicarão por meio de um terceiro (o que custa dinheiro) se pelo menos uma das partes confiar no intermediário mais do que confia na outra parte, o que é muito mais provável em relacionamentos de negócios novos ou temporários. Esse fato, por si só, pode ser informativo.
Imagem: Assembleia Legislativa do Paraná (ALEP) · PDM · Openverse
A análise de tráfego também é uma preocupação na segurança de computadores. Um invasor pode obter informações importantes monitorando a frequência e o tempo dos pacotes de rede. Um ataque de tempo no protocolo SSH pode usar informações de tempo para deduzir informações sobre senhas, pois, durante uma sessão interativa, o SSH transmite cada pressionamento de tecla como uma mensagem. O tempo entre as mensagens de pressionamento de tecla pode ser estudado usando modelos ocultos de Markov. Song, et al. afirmam que isso pode recuperar a senha cinquenta vezes mais rápido do que um ataque de força bruta. Sistemas de roteamento cebola são usados para obter anonimato. A análise de tráfego pode ser usada para atacar sistemas de comunicação anônimos, como a rede de anonimato Tor. Adam Back, Ulf Möeller e Anton Stiglic apresentam ataques de análise de tráfego contra sistemas que fornecem anonimato. Steven J. Murdoch e George Danezis, da Universidade de Cambridge, apresentaram pesquisas mostrando que a análise de tráfego permite que adversários infiram quais nós retransmitem os fluxos anônimos. Isso reduz o anonimato fornecido pelo Tor. Eles mostraram que fluxos que de outra forma não teriam relação podem ser vinculados de volta ao mesmo iniciador.
Imagem: Assembleia Legislativa do Paraná (ALEP) · PDM · Openverse
É difícil derrotar a análise de tráfego sem criptografar as mensagens e mascarar o canal. Quando nenhuma mensagem real está sendo enviada, o canal pode ser mascarado enviando tráfego fictício (dummy traffic), semelhante ao tráfego criptografado, mantendo assim o uso da largura de banda constante. "É muito difícil esconder informações sobre o tamanho ou o tempo das mensagens. As soluções conhecidas exigem que Alice envie um fluxo contínuo de mensagens na largura de banda máxima que ela jamais usará... Isso pode ser aceitável para aplicações militares, mas não é para a maioria das aplicações civis." Os problemas do tipo militar versus civil se aplicam em situações onde o usuário é cobrado pelo volume de informações enviadas. Mesmo para o acesso à Internet, onde não há uma cobrança por pacote, os provedores de serviços de Internet (ISPs) fazem a suposição estatística de que as conexões dos locais dos usuários não estarão ocupadas 100% do tempo. O usuário não pode simplesmente aumentar a largura de banda do link, pois o mascaramento também a preencheria. Se o mascaramento, que muitas vezes pode ser incorporado em criptografadores de ponta a ponta, tornar-se uma prática comum, os ISPs terão que mudar suas suposições de tráfego.
