Guillem Alsina Gonzàlez
As barreiras que, atualmente, separam países, culturas e continentes são tanto físicas como digitais. Entre as físicas, podemos destacar a fronteira entre as duas Coreias no paralelo 38, o muro que separa Israel da Cisjordânia (ou a faixa que separava Israel de Gaza até a atual guerra entre Israel e o Hamas), ou a cerca que separa Melilha do resto do continente africano, e que lembra a que durante muito tempo também cortou a passagem entre Espanha e Gibraltar.
Entre as barreiras digitais, a grande referência é, sem dúvida, o enorme firewall com o qual o governo chinês impõe a censura de conteúdos provenientes do exterior aos seus cidadãos, e que é habitualmente conhecido como Grande Firewall da China, numa clara alusão ao monumento da Grande Muralha, outra das grandes barreiras erguidas no mundo, esta proveniente da antiguidade, tal como a Muralha de Adriano.
Na passada quinta-feira, 11 de setembro, a Geedge Networks (uma das empresas que trabalha para esta grande infraestrutura tecnológica de censura) e o MESA Lab do Instituto de Engenharia da Informação da Academia Chinesa de Ciências sofreram a fuga de cerca de 500 GB de material, incluindo código-fonte, registos de trabalho ou comunicações, que revelam detalhes muito concretos sobre o desenvolvimento e funcionamento do firewall.
O laboratório de segurança digital InterSecLab começou a analisar esses documentos, publicando um extenso relatório que demonstra que a Geedge Networks comercializa e implementa capacidades comparáveis ao “Grande Firewall” para os governos do Cazaquistão, Etiópia, Paquistão e Mianmar, além de um quinto cliente não identificado. Dos quatro cujos nomes conhecemos, todos recebem a classificação de «regime autoritário» no índice anual elaborado pela The Economist Intelligence Unit (EIU).
Outra coisa que todos estes países têm em comum é que se encontram na região geográfica da Nova Rota da Seda (Belt and Road).
Os mais de cem mil documentos internos filtrados descrevem tecnologias de inspeção profunda de pacotes (DPI), monitorização em tempo real de assinantes móveis, controlo granular do tráfego e regras de censura ajustáveis por região.
O relatório conclui que, embora a Geedge Networks se apresente como um fornecedor de gestão de redes, a sua oferta permite tanto cortes de Internet em grande escala como vigilância e bloqueio direcionados a utilizadores específicos. Além da sua atividade internacional, é relatada a aparição de um modelo de firewall provincial dentro da China (por exemplo, em Xinjiang, Fujian e Jiangsu).
O grande volume de dados proveniente deste vazamento e suas amplas repercussões levam o InterSecLab a continuar analisando o material, e é possível que novas conclusões surjam deste trabalho.
O que o Geedge vende e como funciona
O núcleo técnico do Grande Firewall é o Tiangou Secure Gateway (TSG), um firewall e gestor de tráfego de âmbito nacional. De acordo com os documentos, o TSG analisa o tráfego IP, identifica e bloqueia aplicações e VPN, modifica sessões HTTP em tempo real e também pode filtrar ou manipular comunicações telefónicas (SIP).
Em criptografia TLS, combina desativação seletiva por meio de ataque man-in-the-middle — se o utilizador instalar um certificado local — e análise por DPI e aprendizagem automática sem descriptografia. O TSG adiciona funções de “throttling”, identificação individual de internautas atrás do CGNAT e bloqueio do tethering; além disso, atribui “pontuações de reputação” a cada assinante com base na sua atividade.
O pacote é completado com o TSG Galaxy (um armazém de dados à escala nacional, construído sobre processamento de fluxos e integrado com identificadores de rede do operador) e o Cyber Narrator, a interface de análise/OLAP que permite ao analista consultar por pessoa, ver padrões e localizar assinantes por células em tempo real; a isso somam-se o TSG-OS (sistema operativo próprio com implantação cloud-native), o packet broker Ether Fabric e a plataforma de monitorização de equipamentos Network Zodiac.
O design desta infraestrutura permite, por exemplo, consultar quais sites um usuário específico visitou e detetar padrões associados a ferramentas de evasão.
Para o bloqueio de VPN e ferramentas de evasão (incluindo Tor e Psiphon), a Geedge mantém um repositório de “pegadas” de serviços (AppSketch) e opera fazendas de dispositivos para refinar regras por fornecedor; quando o sistema não reconhece um aplicativo, ele pode marcar grandes fluxos criptografados como “suspeitos” e bloqueá-los após um período definido. O desenvolvimento do AppSketch Works visa gerar perfis de classificação automaticamente, embora os protótipos avaliados exigissem alto conhecimento técnico e apresentassem erros de classificação.
O relatório descreve ainda o módulo “DLL Active Defence”, que, sob aparência defensiva, habilitaria ataques DDoS de reforço a partir de infraestruturas abertas e equipamentos de utilizadores convertidos em botnet por meio de injeção em rota. Esta capacidade, realmente ofensiva, permitiria tornar inacessível um serviço para além das fronteiras do país que opera a firewall.
No plano operacional, as implementações são articuladas em «centros nacionais» e centros regionais localizados nos próprios operadores. O sistema pode ser instalado em modo passivo (tráfego espelhado), que não adiciona latência, mas não interrompe fluxos, exceto por injeção, ou em modo ativo online, que introduz latência e, em caso de falha, pode interromper a conectividade, em troca de um controlo total do tráfego.
Os equipamentos responsáveis pela operação são instalados nos centros de dados dos ISP locais, enquanto a gestão técnica é realizada principalmente à distância a partir da China; o acesso aos dados pelo pessoal da Geedge e a sua partilha com os estudantes do laboratório Mesalab constam da documentação, com implicações para a soberania dos dados.
A empresa enfatiza a interoperabilidade com hardware comercial e padrões abertos, o que facilita a operação em equipamentos existentes e reduz o impacto de sanções dirigidas a fornecedores específicos. O relatório também aponta para a cópia de produtos comerciais (como plataformas de inteligência de ameaças) e a incorporação de código aberto (de forma que poderia entrar em conflito com licenças), como tática para acelerar capacidades e manter a independência dos fornecedores.
