.webp){kind=small}
O senador Ron Wyden, democrata do Oregon, está pressionando o governo. Trump a corrigir uma falha de criptografia que poderia permitir que adversários estrangeiros rastreassem visitas a sites governamentais sensíveis, incluindo o portal de denúncias do FBI e uma linha de apoio a veteranos em crise, de acordo com uma carta enviada à Agência de Segurança Cibernética e de Infraestrutura (CISA) e ao Escritório de Administração e Orçamento (OMB) na segunda-feira, e vista inicialmente pelo Nextgov/FCW.
Wyden solicitou à CISA e ao OMB que exigissem que as agências implementassem um padrão de segurança web que ocultasse o nome do site que o usuário está visitando. O protocolo, conhecido como Encrypted Client Hello, protege o nome do site quando o navegador do usuário se conecta a ele e é suportado pelos principais navegadores e alguns provedores de infraestrutura web desde 2023.
O gabinete de Wyden identificou 350 endereços web federais que não possuem a especificação de criptografia. Entre eles, estão sites que facilitam candidaturas a emprego na comunidade de inteligência, serviços de imigração, informações de saúde e sites diplomáticos dos EUA em todo o mundo.
Essa visibilidade poderia levar a espiões maliciosos a identificar denunciantes, traçar perfis de funcionários federais com autorização de segurança, rastrear americanos que buscam apoio em situações de crise e mapear interações entre agências”, escreveu Wyden ao diretor interino da CISA, Nick Andersen, e ao vice-diretor federal de informações, Thomas Flagg.
Ele também solicitou ao OMB, em colaboração com a CISA e o Gabinete do Diretor Nacional de Segurança Cibernética, que exigisse que os provedores de nuvem e de rede oferecessem suporte à tecnologia para se qualificarem para contratos federais. Ele solicitou respostas até 20 de novembro.
A Nextgov/FCW solicitou comentários da CISA e do OMB.
Os sites federais geralmente criptografam as informações que as pessoas leem ou enviam, embora os hackers ainda possam descobrir quais sites elas visitam monitorando seu tráfego de internet.
A carta destaca dois serviços cujos visitantes podem ser particularmente vulneráveis.
De acordo com a carta, a plataforma da Linha de Crise para Veteranos do Departamento de Assuntos de Veteranos utiliza a Amazon Web Services, que atualmente não oferece suporte ao ECH (Early Hazard Computing) para o site. Wyden alertou que essa exposição poderia ajudar adversários estrangeiros a identificar veteranos que buscam assistência em saúde mental. Além disso, o site tips.fbi.gov do FBI utiliza o Cloudflare, um provedor que oferece suporte ao ECH, mas o portal ainda não o habilitou, acrescentou o senador, argumentando que a configuração atual poderia colocar em risco a identificação de pessoas que contatam o FBI.
A possível exposição do FBI também ocorre após um prolífico grupo de hackers criminosos ter roubado recentemente uma grande quantidade de informações confidenciais de funcionários ligadas ao portal de empregos da agência.
A lista de sites sem o protocolo também inclui hotline.oig.dhs.gov, a linha direta para denúncias do inspetor-geral do DHS; civilrights.justice.gov, o portal de denúncias de direitos civis do Departamento de Justiça; e apply.intelligencecareers.gov, um site de recrutamento da comunidade de inteligência. Sites federais de informações sobre HIV, incluindo hivinfo.nih.gov e clinicalinfo.hiv.gov, também estão listados.
Para elaborar a lista, a equipe de Wyden testou endereços web federais usando provedores de rede terceirizados para verificar se o ECH conseguia ocultar com sucesso quais sites específicos estavam sendo visitados, disse um porta-voz ao Nextgov/FCW. A proteção pareceu funcionar apenas em sites que utilizavam o plano gratuito do Cloudflare, acrescentou o porta-voz.
A carta não comprova que os adversários tenham rastreado visitantes em qualquer um dos endereços listados.
Wyden argumentou que o governo pode sanar essas lacunas usando tecnologia já suportada pelos principais navegadores e implementada em milhões de sites. Para as agências cujos provedores oferecem suporte ao ECH, habilitá-lo pode ser tão simples quanto alterar uma configuração, afirmou.
As práticas modernas de cibersegurança de confiança zero federais dependem de software de proteção instalado diretamente nos dispositivos da agência, portanto, habilitar o [Encrypted Client Hello] melhoraria significativamente a cibersegurança das redes federais”, escreveu Wyden.
A iniciativa surge na sequência do seu apelo, em setembro, para que a NSA atualizasse as suas recomendações sobre redes privadas virtuais. Uma análise do Serviço de Pesquisa do Congresso, solicitada pelo seu gabinete na altura, alertava que serviços de inteligência estrangeiros com ampla visibilidade do tráfego de internet poderiam potencialmente conectar utilizadores de VPN a websites, comparando padrões de tráfego.
.jpg)
.webp)
.jpeg)
.webp)
