Guia OpSec

Modelo de ameaça

Antes de escolher software, defina o que precisa permanecer protegido, de quem, por quanto tempo e o que acontece se a proteção falhar.

Uma pessoa tentando reduzir publicidade, uma fonte jornalística e um dissidente sob vigilância estatal não têm o mesmo problema. Liste os dados, identidades e relações que importam, os adversários plausíveis, o acesso técnico, físico e legal de cada um, as consequências e os custos que você consegue sustentar.

Depois, escolha medidas proporcionais. Uma medida pode reduzir um risco e abrir outro. Manter tudo num aparelho simplifica o uso, mas deixa no mesmo lugar tudo que pode ser apreendido. Separar ambientes reduz o cruzamento entre identidades, mas aumenta a chance de entrar no ambiente errado. Modelo de ameaça não promete segurança perfeita. Ele deixa claros os limites e permite rever a decisão quando o contexto muda.

Referência: Threat Modeling Guide do W3C.

Segurança básica

Anonimato não compensa uma conta tomada, um sistema desatualizado ou uma cópia de segurança que nunca foi testada.

Atualize sistema, navegador, mensageiros e firmware por fontes oficiais. Use um gerenciador de senhas, uma credencial única e longa por serviço e autenticação resistente a phishing quando disponível. Chaves físicas são preferíveis para contas críticas. TOTP ainda é melhor do que depender só de senha. SMS pode ser aceitável quando é a única segunda etapa, mas continua ligado à linha telefônica.

Guarde códigos de recuperação fora do aparelho principal. Ative a criptografia de disco, use bloqueio forte e confirme o que permanece acessível com o dispositivo ligado ou desbloqueado. Mantenha ao menos uma cópia de segurança cifrada, fora da máquina, e restaure um arquivo de teste antes de confiar nela.

Essa camada protege disponibilidade e controle das contas. Ela também não cria anonimato. Um gerenciador sincronizado, uma chave de segurança ou um canal de recuperação podem estabelecer vínculos entre identidades se forem reutilizados sem considerar o modelo de ameaça.

Referência: orientações de segurança cotidiana da CISA.

Como você é observado

Em cada atividade comum, pergunte: quem pode observar, quais identificadores surgem, que registros podem ser ligados, o que a criptografia protege, o que ela não protege, como reduzir a exposição e o que ainda fica exposto.

Pix, cartão, boleto e contas em corretoras ligam contraparte, instituição, valor, horário, cadastro e, muitas vezes, aparelho. Uma chave aleatória evita divulgar CPF, e-mail ou telefone como chave à contraparte. O registro financeiro permanece. Veja O Que o Pix Revela.

Chamadas, SMS e dados móveis produzem dados do assinante, registros de rede, origem, destino, duração e volume. Mensageiros ponta a ponta podem proteger conteúdo sem esconder toda a atividade ao redor. Wi-Fi doméstico ou público deixa rastros de contrato ou cadastro, endereço IP, local e horário. Veja O Que um Celular Sabe Sobre Você.

Buscas, sites e aplicativos podem ligar login, cookies, endereço IP, aparelho e comportamento. Corridas, entregas, cartões de transporte, portarias, câmeras e placas ligam deslocamento ao mundo físico. Fotografias, documentos e serviços de nuvem também deixam rastros nos metadados, no conteúdo visual, no histórico de revisões, na conta e nos compartilhamentos.

Contas criadas com CPF, telefone ou e-mail de recuperação já ligam identidades de forma explícita. Pagamento, aparelho, contatos, horários e escrita produzem ligações menos visíveis. Leia o atlas Como Você É Rastreado e a análise Anatomia de uma Identidade Digital.

Compartimentalização

Separar identidades exige separar contas, aparelhos, redes, pagamentos, recuperação, arquivos, relações, linguagem, lugares e horários. Nomes diferentes, sozinhos, não bastam.

Defina uma finalidade para cada compartimento e reduza as ligações entre eles. Um pseudônimo persistente pode ter seu próprio qube, caixa de e-mail, senhas, contatos e rotina. Um ambiente de leitura descartável não precisa guardar nada. Quanto maior o risco, menos compartimentos devem dividir aparelho e local.

Não crie mais separações do que consegue operar. Área de transferência compartilhada, sincronização automática, notificações, arquivos no ambiente errado e recuperação pela conta pessoal costumam romper essa separação. Antes de agir, confirme o nome do perfil, qube, conta e rede. Ao terminar, confira o que foi fechado, apagado ou ficou gravado.

A compartimentalização limita o alcance de um erro. Ela não apaga uma ligação já registrada e não impede correlação quando os mesmos sinais aparecem em mais de um compartimento.

Protocolos por objetivo

Use procedimentos curtos, que você consiga conferir. Cada protocolo abaixo pressupõe que o modelo de ameaça foi definido antes.

Documentação: recebimento de arquivos no OnionShare e as seções deste guia sobre Tails, Qubes OS com Whonix e PGP.

Tails

Use Tails para uma tarefa e uma identidade por inicialização. Ao desligar, a sessão acaba.

Baixe a imagem do Tails no site oficial, confira a assinatura e grave-a num pendrive exclusivo. Se puder, reserve também um notebook só para isso. Inicie o sistema pelo pendrive.

Use o Tor Browser. Sem ponte, a rede sabe que você se conectou ao Tor. Se só esse fato for um risco, use uma ponte (bridge) e troque-a quando for preciso. Deixe a troca de MAC ativada e não ative a Persistência. Não defina senha de administração nem altere o Tor Browser. Suas intervenções também deixam rastros.

Crie a conta de e-mail, o nome de usuário e os meios de recuperação nessa sessão. Não use contas, números de telefone ou arquivos já ligados a você. Antes de enviar um arquivo, remova os metadados. Use OnionShare ou guarde apenas o arquivo final num volume criptografado.

Câmeras, presença no local, registros da rede, horário, volume de tráfego, escrita e metadados ainda podem ligar a sessão a você. Há formas de rastreamento no próprio hardware. Se seu modelo de ameaça exigir, pesquise firmware de código aberto para o modem. Ainda assim, com recursos suficientes, sobretudo quando o rastreio sai do digital, nenhum uso da internet garante anonimato pleno.

Se a máquina estiver comprometida, nada disso basta. Verifique dispositivos internos e externos cuja função você não conheça. Mesmo assim, um adversário com recursos pode procurar sinais no próprio equipamento. Se seu objetivo é apenas proteger dados, esse risco normalmente não é central. Se você é dissidente político num país autoritário, leve-o em conta.

Para reduzir sinais, reserve computador, local e conexão para essas atividades, deixe aparelhos pessoais longe, mantenha pouco tráfego, prefira comunicação assíncrona e evite horários ligados à sua rotina.

Documentação: avisos do Tails e instalação.

Qubes OS com Whonix

Use Qubes OS com Whonix quando precisar manter um pseudônimo sem misturá-lo à sua vida pessoal. Tails apaga a sessão a cada desligamento. Para uma identidade que precisa durar, isso pode atrapalhar. Qubes OS com Whonix oferece outro equilíbrio entre persistência e isolamento. A escolha depende do modelo de ameaça.

Comece com um computador compatível e criptografia de disco. Mantenha o dom0 sem acesso à rede e sem arquivos ou programas de trabalho. Atualize Qubes OS, Whonix Gateway e Whonix Workstation antes da sessão.

Mantenha um qube Whonix por pseudônimo e as senhas num qube sem rede reservado à mesma identidade. Abra o Tor Browser num Whonix descartável ligado ao sys-whonix. Antes de escrever, confira o nome do qube e a NetVM.

Abra anexos em outro descartável, sem rede. Transfira por qrexec apenas texto ou arquivos limpos. Ao terminar, feche o descartável, confirme que ele foi eliminado e desligue o sys-whonix.

Uma conta conhecida, um arquivo no qube errado, a NetVM errada, o horário ou vestígios no computador principal desfazem a separação. Dom0 ou uma máquina comprometida expõe todos os qubes. Se o risco justificar, separe também computador, local e conexão. Guarde segredos num qube sem rede e abandone qualquer máquina comprometida.

Documentação: instalação do Qubes OS e Whonix descartável.

Celular

Use um Google Pixel compatível com GrapheneOS, sem chip, conectado apenas ao Wi-Fi e usado com o Tor Browser.

Reserve o aparelho para uma única identidade e mantenha o telefone pessoal longe. Não instale SIM ou eSIM. Mantenha o modo avião ligado e religue somente o Wi-Fi.

Não vincule backups, conta Google, número conhecido, contatos pessoais ou Google Play ao perfil. Use uma rede sem cadastro pessoal e troque o endereço MAC a cada conexão.

Navegue somente pelo Tor Browser oficial. Use uma ponte se o uso do Tor precisar ficar oculto e os níveis Safer ou Safest quando possível.

Retire a permissão de rede dos outros aplicativos e nunca abra links em outro navegador.

A compra e a posse do aparelho deixam rastros, assim como câmeras, registros do Wi-Fi, horário, escrita e o uso de qualquer aplicativo fora do Tor. O Tor Browser para Android não tem Nova identidade. Diante de vigilância física, controle da rede, correlação ampla ou risco de apreensão com o aparelho aberto, passe para Tails ou Qubes OS com Whonix.

Documentação: rede celular, privacidade do Wi-Fi e uso seguro do Tor Browser.

PGP

Use OpenPGP com GnuPG para assinar arquivos e cifrar mensagens. PGP é o nome pelo qual o padrão ficou conhecido: Pretty Good Privacy.

Por exemplo, você pode cifrar uma mensagem usando a chave pública do seu destinatário. Assim, apenas quem detiver a chave privada associada àquela chave pública conseguirá decifrá-la. Seu provedor de email ou qualquer pessoa com acesso às suas mensagens não conseguirá ler o conteúdo.

A chave pública pode ser distribuída. A chave privada assina e decifra, e nunca deve sair do seu controle. Instale GnuPG, execute gpg --full-generate-key, escolha uma frase-senha longa e anote a impressão digital completa.

Exporte a chave pública com gpg --armor --export IMPRESSÃO_DIGITAL > chave.asc. Para usar a chave de outra pessoa, rode gpg --import chave.asc e gpg --fingerprint IMPRESSÃO_DIGITAL. Compare a impressão digital por outro canal antes de confiar nela.

Assine com gpg --armor --detach-sign arquivo e envie o original junto da assinatura .asc. Quem recebe verifica com gpg --verify arquivo.asc arquivo. Uma assinatura válida prova que aquela chave assinou aquele conteúdo. A conferência da impressão digital por outro canal é o que permite atribuir a chave a uma pessoa.

Cifre com gpg --armor --encrypt --recipient IMPRESSÃO_DIGITAL arquivo. A chave privada correspondente permite decifrar o arquivo com gpg --output arquivo --decrypt arquivo.asc.

Guarde a chave privada e um certificado de revogação em mídia cifrada fora da máquina e teste essa cópia. PGP protege o conteúdo, mas não oculta remetente, destinatário, assunto, horário, IP, tamanho ou aparelho. Se a máquina estiver comprometida, o texto e a chave privada ficam expostos.

Se você preferir uma interface gráfica, recomendo o Kleopatra.

Documentação: exemplos do GnuPG, comandos, OpenPGP e a chave do site.

Dinheiro

Para operações na blockchain que exijam mais privacidade, considere Monero.

No Bitcoin, valores, endereços e ligações entre transações são públicos. Quando um endereço é ligado a uma pessoa, seu histórico pode ser estudado. No Monero, as ring signatures ocultam quem paga, endereços descartáveis ocultam quem recebe e o RingCT oculta o valor.

Essas propriedades protegem mais dados na blockchain do que o Bitcoin, mas não tornam a operação anônima por si só. Uma unidade de XMR não carrega um histórico público das transações que a antecederam. Trate-o como meio de pagamento, não como promessa de investimento. O preço varia muito, e o uso por quem procura privacidade ainda é minoritário.

Use a GUI ou CLI oficial, confira o arquivo, mantenha a carteira num qube Whonix próprio e guarde a frase-semente fora da rede. Prefira um nó próprio, mesmo podado, ligado pelo Tor. Um nó remoto acessado fora do Tor vê seu IP e seus horários.

Crie um subendereço para cada pessoa ou serviço. Só compartilhe chaves de visualização ou de transação para provar um pagamento específico. A blockchain não protege o cadastro na corretora, o banco, a entrega, as conversas, o aparelho, um programa malicioso nem a correlação de horários.

Algumas corretoras e jurisdições barram moedas de privacidade. Na União Europeia, o Regulamento 2024/1624 passa a valer em 10 JUL 2027 para prestadores de serviços de criptoativos.

Monero existe desde 2014 e o protocolo continua mudando. Mantenha carteira e nó atualizados. Se surgir uma alternativa melhor para seu modelo de ameaça, avalie-a com cuidado. Procure referências técnicas, não slogans.

Documentação: Monero, especificação técnica, Bitcoin e Regulamento 2024/1624.

VPNs

VPNs ajudam a contornar barreiras geográficas e reduzem a exposição direta ao provedor de internet, mas não criam anonimato por si só.

Uma VPN reduz o que os sites veem do seu IP e desloca parte da confiança para outra empresa. Seu provedor ainda sabe que você se conectou à VPN e em quais horários. Algumas empresas afirmam não guardar registros e aceitam Monero, como a Mullvad. Ainda assim, você precisa confiar no que elas dizem sobre a coleta de dados.

Documentação: Tor com VPN e política de registros da Mullvad.

Mensageiros

Criptografia de ponta a ponta protege o conteúdo de uma conversa, mas não transforma o mensageiro em um canal anônimo.

Número de telefone, contatos, endereço IP, horários, backups, aparelho e padrões de comunicação podem continuar expostos. Contas podem ser recuperadas ou tomadas, aparelhos podem ser comprometidos e provedores estão sujeitos às leis das jurisdições onde operam. No Telegram, apenas os Chats Secretos usam criptografia de ponta a ponta.

Signal publica as especificações de seu protocolo. Matrix é um padrão aberto e pode usar criptografia de ponta a ponta, mas a segurança depende do cliente, da configuração e dos servidores envolvidos. Escolha conforme seu modelo de ameaça e verifique identidades por outro canal.

Documentação: Signal Protocol, criptografia no Matrix e Chats Secretos do Telegram.

Arquivos que denunciam

Um arquivo pode revelar origem por metadados, conteúdo, histórico e pelo sistema usado para criá-lo e transportá-lo.

Antes de enviar, examine nome do arquivo, autor, datas, software, comentários, histórico de revisões, miniaturas, coordenadas, modelo de câmera e identificadores gerados pela nuvem. Em imagens, confira também reflexos, telas, placas, horizonte, interior do local, padrão de recorte e outras informações visuais que a remoção do EXIF não elimina.

Não abra material não confiável no ambiente principal. Use uma máquina virtual descartável sem rede e converta para um formato mais simples quando a finalidade permitir. Mantenha o original isolado somente quando sua proveniência, assinatura ou valor probatório precisar ser preservado.

Reescrever texto remove alguns metadados e acrescenta outro risco: vocabulário, pontuação, erros, referências e ritmo podem permitir atribuição por estilometria. Não existe um botão universal de "anonimizar arquivo". O procedimento depende do formato, do que precisa ser preservado e de quem tentará atribuí-lo.

Ferramentas de inspeção devem ser usadas numa cópia e em ambiente isolado. Para recebimento, consulte a documentação e os alertas do OnionShare.

Falhas e contenção

Quando alguma coisa der errado, pare de ampliar o rastro, descubra o que vazou e só então escolha o que revogar, trocar ou abandonar.

Referência: NIST SP 800-61 Rev. 3 sobre preparação, resposta e recuperação.