Guia OpSec

Modelo de ameaça

Antes de escolher software, defina o que precisa permanecer protegido, de quem, por quanto tempo e o que acontece se a proteção falhar.

Uma pessoa tentando reduzir publicidade, uma fonte jornalística e um dissidente sob vigilância estatal não têm o mesmo problema. Liste os dados, identidades e relações que importam, os adversários plausíveis, o acesso técnico, físico e legal de cada um, as consequências e os custos que você consegue sustentar.

Depois, escolha medidas proporcionais. Uma mitigação pode reduzir uma ameaça e criar outra. Manter tudo num aparelho facilita a operação, mas concentra a apreensão. Separar muitos ambientes reduz a mistura, mas aumenta o risco de usar o ambiente errado. Modelo de ameaça não promete segurança perfeita. Ele torna explícitos os limites e permite revisar a decisão quando o contexto muda.

Referência: Threat Modeling Guide do W3C.

Segurança básica

Anonimato não compensa uma conta tomada, um sistema desatualizado ou uma cópia de segurança que nunca foi testada.

Atualize sistema, navegador, mensageiros e firmware por fontes oficiais. Use um gerenciador de senhas, uma credencial única e longa por serviço e autenticação resistente a phishing quando disponível. Chaves físicas são preferíveis para contas críticas. TOTP ainda é melhor do que depender só de senha. SMS pode ser aceitável quando é a única segunda etapa, mas continua ligado à linha telefônica.

Guarde códigos de recuperação fora do aparelho principal. Ative a cifra de disco, use bloqueio forte e confirme o que permanece acessível com o dispositivo ligado ou desbloqueado. Mantenha ao menos uma cópia de segurança cifrada, fora da máquina, e restaure um arquivo de teste antes de confiar nela.

Essa camada protege disponibilidade e controle das contas. Ela também não cria anonimato. Um gerenciador sincronizado, uma chave de segurança ou um canal de recuperação podem estabelecer vínculos entre identidades se forem reutilizados sem considerar o modelo de ameaça.

Referência: orientações de segurança cotidiana da CISA.

Como você é observado

Toda atividade comum deve ser examinada pelos observadores, identificadores, correlações, proteção criptográfica, exposição residual e redução possível.

Pix, cartão, boleto e contas em exchanges ligam contraparte, instituição, valor, horário, cadastro e, muitas vezes, aparelho. Uma chave aleatória reduz o dado entregue ao recebedor. O registro financeiro permanece. Veja O Que o Pix Revela.

Chamadas, SMS e dados móveis produzem registros de assinatura, rede, origem, destino, tempo e volume. Mensageiros ponta a ponta podem proteger conteúdo sem esconder toda a atividade ao redor. Wi-Fi doméstico e público acrescenta contrato ou cadastro, IP, endereço local, lugar e horário. Veja O Que um Celular Sabe Sobre Você.

Buscas, sites e aplicativos podem relacionar login, cookies, endereço IP, aparelho e comportamento. Corridas, entregas, cartões de transporte, portarias, câmeras e placas ligam deslocamento ao mundo físico. Fotografias, documentos e nuvens acrescentam metadados, conteúdo visual, revisão, conta e compartilhamento.

Contas criadas com CPF, telefone ou email de recuperação contêm pontes explícitas. Pagamento, aparelho, contatos, horários e escrita criam pontes implícitas. Leia o atlas Como Você É Rastreado e a análise Anatomia de uma Identidade Digital.

Compartimentalização

Identidades são separadas por contas, aparelhos, redes, pagamentos, recuperação, arquivos, relações, linguagem, lugares e horários. Nomes diferentes, sozinhos, não bastam.

Defina uma finalidade para cada compartimento e reduza as pontes entre eles. Um pseudônimo persistente pode ter seu próprio qube, caixa de email, senhas, contatos e rotina. Um ambiente de leitura descartável não precisa guardar nada. Quanto mais forte a ameaça, mais fronteiras precisam sair do mesmo aparelho e do mesmo local.

Não crie mais separações do que consegue operar. Clipboard compartilhado, sincronização automática, notificações, arquivos movidos para o ambiente errado e recuperação pela conta pessoal são falhas previsíveis. Antes de agir, confirme o nome do perfil, qube, conta e rede. Ao terminar, confirme o que foi fechado, apagado ou persistido.

A compartimentalização limita o alcance de um erro. Ela não apaga uma ligação já registrada e não impede correlação quando os mesmos sinais reaparecem dos dois lados.

Protocolos por objetivo

Use fluxos curtos e verificáveis. Cada protocolo abaixo pressupõe que o modelo de ameaça foi definido antes.

Documentação: recebimento de arquivos no OnionShare e as seções deste guia sobre Tails, Qubes OS com Whonix e PGP.

Tails

Use Tails para uma tarefa e uma identidade por inicialização. Ao desligar, a sessão acaba.

Baixe a imagem do Tails de seu site oficial, confira a assinatura do arquivo e grave-a num pendrive exclusivo para este fim. Recomendo usar um notebook também exclusivamente para este fim. Inicie o computador com o pendrive do Tails e dê boot no sistema.

Use o Tor. Sem ponte, a rede sabe que houve conexão ao Tor. Se a mera conexão com o Tor trouxer riscos, use uma bridge e troque-a por outra quando oportuno. Mantenha a troca de endereço MAC ligada e a persistência fechada. Não defina senha de administração nem altere o Tor Browser. Qualquer intervenção sua é um registro rastreável.

Crie um email, o nome de usuário e os meios de recuperação nessa sessão. Não use contas, números de telefone ou arquivos já ligados a você. Antes de enviar um arquivo, remova os metadados. Use OnionShare ou grave somente o resultado num volume de disco criptografado.

Câmeras, presença no local, registros da rede, horário, volume de tráfego, escrita e metadados ainda podem ligar a sessão a você. Existem formas de rastreamento em nível de hardware. Você pode pesquisar firmwares open source para seu modem caso seu OpSec exija, mas tenha consciência de que, com recursos suficientes, especialmente se o rastreio for além do digital, você nunca estará conectado à internet e plenamente anônimo.

Se a máquina estiver comprometida, nada disso basta. Sempre cheque dispositivos internos e externos cuja função você não conheça exatamente. Mesmo assim, modelos de espionagem sofisticados podem ligar sua atividade a CPUs específicas. Se você só quer proteger seus dados, não precisa se preocupar com isso. Se você é um dissidente político em um país autoritário, mantenha isto em mente.

Para reduzir sinais, separe computador, local e conexão exclusivos para fins de segurança, deixe aparelhos pessoais longe, mantenha pouco tráfego, prefira comunicação assíncrona e evite horários ligados à sua rotina.

Documentação: avisos do Tails e instalação.

Qubes OS com Whonix

Use Qubes OS com Whonix quando precisar reutilizar um pseudônimo sem misturá-lo à sua vida pessoal. A qualidade amnésica do Tails pode ser um engasgo operacional. A combinação de Qubes OS com Whonix também pode ser ainda mais segura, dependendo do seu nível de risco.

Comece com um computador compatível e o disco cifrado. Mantenha o dom0 sem acesso à rede e sem arquivos ou programas de trabalho. Atualize Qubes OS, Whonix Gateway e Whonix Workstation antes da sessão.

Mantenha um qube Whonix por pseudônimo e as senhas num qube sem rede reservado à mesma identidade. Abra o Tor Browser num Whonix descartável ligado ao sys-whonix. Antes de escrever, confira o nome do qube e a NetVM.

Abra anexos em outro descartável, sem rede. Transfira por qrexec apenas texto ou arquivos limpos. Ao terminar, feche o descartável, confirme que ele foi eliminado e desligue o sys-whonix.

Uma conta conhecida, um arquivo no qube errado, a NetVM errada, o horário ou vestígios no computador principal desfazem a separação. Dom0 ou uma máquina comprometida expõe todos os qubes. Se o risco justificar, separe também computador, local e conexão. Guarde segredos num qube sem rede e abandone qualquer máquina comprometida.

Documentação: instalação do Qubes OS e Whonix descartável.

Celular

Use um Google Pixel compatível com GrapheneOS, sem chip, ligado apenas ao Wi-Fi e ao Tor Browser.

Reserve o aparelho para uma única identidade e deixe o telefone pessoal de fora. Não instale SIM ou eSIM. Mantenha o modo avião ligado e religue somente o Wi-Fi.

Não associe ao perfil backups, conta Google, número conhecido, contatos pessoais ou Google Play. Use uma rede sem cadastro pessoal e troque o endereço MAC a cada conexão.

Navegue apenas pelo Tor Browser oficial, com uma ponte se o uso do Tor precisar ficar oculto e nível Safer ou Safest quando possível.

Retire a permissão de rede dos outros aplicativos e nunca abra links noutro navegador.

A compra e a posse do aparelho, câmeras, registros do Wi-Fi, horário, escrita e qualquer aplicativo fora do Tor continuam visíveis. O Tor Browser para Android não tem Nova identidade. Diante de vigilância física, controle da rede, correlação ampla ou risco de apreensão com o aparelho aberto, passe para Tails ou Qubes OS com Whonix.

Documentação: rede celular, privacidade do Wi-Fi e uso seguro do Tor Browser.

PGP

Use OpenPGP por meio do GnuPG para assinar arquivos e cifrar mensagens. PGP é o nome pelo qual o padrão ficou conhecido, Pretty Good Privacy.

Por exemplo, você pode cifrar uma mensagem usando a chave pública do seu destinatário. Assim, apenas quem detiver a chave privada associada àquela chave pública conseguirá decifrá-la. Seu provedor de email ou qualquer pessoa com acesso às suas mensagens não conseguirá ler o conteúdo.

A chave pública pode ser distribuída. A chave privada assina e decifra, e nunca deve sair do seu controle. Instale GnuPG, execute gpg --full-generate-key, escolha uma frase-senha longa e anote a impressão digital completa.

Exporte a chave pública com gpg --armor --export IMPRESSÃO_DIGITAL > chave.asc. Para usar a chave de outra pessoa, rode gpg --import chave.asc e gpg --fingerprint IMPRESSÃO_DIGITAL. Compare a impressão digital por outro canal antes de confiar nela.

Assine com gpg --armor --detach-sign arquivo e envie o original junto da assinatura .asc. Quem recebe verifica com gpg --verify arquivo.asc arquivo. Uma assinatura válida prova que aquela chave assinou aquele conteúdo. O vínculo com uma pessoa depende da conferência da impressão digital.

Cifre com gpg --armor --encrypt --recipient IMPRESSÃO_DIGITAL arquivo. A chave privada correspondente abre o resultado com gpg --output arquivo --decrypt arquivo.asc.

Guarde a chave privada e um certificado de revogação em mídia cifrada fora da máquina e teste essa cópia. PGP protege o conteúdo, mas não oculta remetente, destinatário, assunto, horário, IP, tamanho ou aparelho. Se a máquina estiver comprometida, o texto e a chave privada ficam expostos.

Se você preferir uma interface gráfica, recomendo o Kleopatra.

Documentação: exemplos do GnuPG, comandos, OpenPGP e a chave do site.

Dinheiro

Para pagamentos digitais privados, use Monero.

No Bitcoin, valores, endereços e ligações entre transações são públicos. Quando um endereço é ligado a uma pessoa, seu histórico pode ser estudado. No Monero, as ring signatures ocultam quem paga, endereços descartáveis ocultam quem recebe e o RingCT oculta o valor.

Isso torna o XMR fungível por ausência de histórico ou contexto. Uma unidade não carrega um passado público e vale o mesmo que qualquer outra. Trate-o como meio de pagamento. É o padrão usado por gente que corre risco de vida e precisa transacionar anonimamente, e também a moeda-franca do mercado negro digital. O preço varia muito, e o grande público não possui interesse em privacidade via de regra. Guardar XMR esperando valorização é outro assunto.

Use a GUI ou CLI oficial, confira o arquivo, mantenha a carteira num qube Whonix próprio e guarde a frase-semente fora da rede. Prefira um nó próprio, mesmo podado, ligado pelo Tor. Um nó remoto alcançado pela internet aberta vê seu IP e seus horários.

Crie um subendereço para cada pessoa ou serviço. Só compartilhe chaves de visualização ou de transação para provar um pagamento específico. Cadastro da corretora, banco, entrega, conversa, aparelho, programa malicioso e correlação de horários ficam fora da proteção da blockchain.

Algumas corretoras e jurisdições barram moedas de privacidade. Na União Europeia, o Regulamento 2024/1624 passa a valer em 10 JUL 2027 para prestadores de serviços de criptoativos.

Hoje, Monero é o padrão-ouro do pagamento digital privado. Existe desde 2014 e superou inúmeras batalhas técnicas e ataques regulatórios, mas o protocolo muda. Mantenha carteira e nó atualizados e troque de ferramenta se surgir algo melhor. Verifique o que usam pessoas que de fato correm risco.

Documentação: Monero, especificação técnica, Bitcoin e Regulamento 2024/1624.

VPNs

VPNs ajudam a contornar barreiras geográficas e reduzem a exposição direta ao provedor de internet, mas não criam anonimato por si só.

Uma VPN apenas troca o provedor de internet usual por outra empresa que conhece seu IP, sua conta e seus horários. Existem companhias que não coletam logs e aceitam Monero como pagamento, como a Mullvad VPN, porém você estará confiando que nenhum dado rastreável é coletado.

Documentação: Tor com VPN e política de registros da Mullvad.

Mensageiros

Criptografia de ponta a ponta protege o conteúdo de uma conversa, mas não transforma o mensageiro em um canal anônimo.

Número de telefone, contatos, endereço IP, horários, backups, aparelho e padrões de comunicação podem continuar expostos. Contas podem ser recuperadas ou tomadas, aparelhos podem ser comprometidos e provedores respondem às leis das jurisdições onde operam. No Telegram, apenas os Chats Secretos usam criptografia de ponta a ponta.

Signal publica as especificações de seu protocolo. Matrix é um padrão aberto e pode usar criptografia de ponta a ponta, mas a segurança depende do cliente, da configuração e dos servidores envolvidos. Escolha conforme seu modelo de ameaça e verifique identidades por outro canal.

Documentação: Signal Protocol, criptografia no Matrix e Chats Secretos do Telegram.

Arquivos que denunciam

Um arquivo pode revelar origem por metadados, conteúdo, histórico e pelo sistema usado para criá-lo e transportá-lo.

Antes de enviar, examine nome do arquivo, autor, datas, software, comentários, revisão, miniaturas, coordenadas, modelo de câmera e identificadores gerados pela nuvem. Em imagens, confira também reflexos, telas, placas, horizonte, interior do local, padrão de recorte e outras informações visuais que a remoção de EXIF não toca.

Não abra material não confiável no ambiente principal. Use uma máquina virtual descartável sem rede e converta para um formato mais simples quando a finalidade permitir. Mantenha o original isolado somente quando sua proveniência, assinatura ou valor probatório precisar ser preservado.

Reescrever texto remove alguns metadados e acrescenta outro risco: vocabulário, pontuação, erros, referências e ritmo podem ligar autores por estilometria. Não existe um botão universal de "anonimizar arquivo". O procedimento depende do formato, do que precisa ser preservado e de quem tentará atribuí-lo.

Ferramentas de inspeção devem ser usadas numa cópia e em ambiente isolado. Para recebimento, consulte a documentação e os alertas do OnionShare.

Falhas e contenção

Quando alguma coisa der errado, pare de ampliar o rastro, descubra o que vazou e só então escolha o que revogar, trocar ou abandonar.

Referência: NIST SP 800-61 Rev. 3 sobre preparação, resposta e recuperação.