Para as fontes, as apostas são ainda maiores: sua segurança e liberdade dependem de não serem identificadas como a fonte de uma história.

A mera revelação de que alguém dentro de uma empresa ou organização governamental conversou com um repórter pode ser tão prejudicial quanto o próprio conteúdo da conversa.

Imagine o seguinte: depois de receber uma denúncia anônima, uma grande publicação de notícias divulgou uma história sobre uma grande empresa de petróleo que estava encobrindo um acidente. No dia seguinte à divulgação da história, a empresa descobre que um funcionário trocou recentemente informações criptografadas com alguém da empresa de notícias. A corporação imediatamente dispara o vazamento, encerrando sua carreira, e ameaça o vazamento com um grande processo judicial.

Comunicações não registradas impedem que isso aconteça.

As comunicações não registradas protegem as fontes

“Off-the-record” (OTR) como um termo no jornalismo se refere a informações de fontes que oficialmente não existem ou conversas que “não aconteceram”. Essas informações podem, mas não precisam vir de fontes conhecidas do jornalista, assumindo a forma de qualquer coisa, desde uma denúncia anônima até informações de uma fonte confiável há muito tempo.

Embora muitas organizações de notícias respeitáveis ​​tenham uma política de não publicar informações compartilhadas off the record, essas informações ainda podem desempenhar um papel crítico em apontar os jornalistas na direção certa ou ajudar os jornalistas a encontrar fontes citáveis ​​com as mesmas informações.

Vamos dar uma olhada nas mensagens OTR e como elas funcionam.

OTR usa sigilo direto

Para entender os recursos do OTR, vamos primeiro dar uma olhada em Pretty Good Privacy (PGP) , que antecede o OTR em mais de 10 anos. PGP é um software de criptografia em que o remetente e o destinatário criam um par de chaves de criptografia que usam para criptografar mensagens e dados. É popular para e-mails e transferências de arquivos e também permite que os usuários assinem dados com uma chave pública estática para provar sua autenticidade. Essa chave é frequentemente divulgada no site do proprietário ou em diretórios e pode ser usada por um longo tempo por seu proprietário.

Embora o software de criptografia como PGP seja eficaz em manter o conteúdo dos dados comunicados em segredo, ele tem algumas desvantagens quando se trata de permanecer em contato com suas fontes. Se a sua chave de criptografia for exposta, um invasor poderá descriptografar todas as suas conversas anteriores, caso tenha interceptado e gravado as mensagens criptografadas.

OTR protege suas mensagens de serem descriptografadas praticando " sigilo de encaminhamento perfeito".

Sigilo direto significa que você tem sigilo hoje, mesmo se sua chave for comprometida no futuro. OTR fornece sigilo de encaminhamento usando uma chave diferente para cada sessão, que não é armazenada após o término da sessão.

A desvantagem de ter chaves diferentes para cada sessão é que você não pode recuperar seu histórico sem registrá-lo em texto não criptografado, o que pode comprometer você mais tarde. Além disso, não há como saber se a outra parte está registrando você, mas você não teria revelado sua identidade ou informações valiosas a ela se não confiasse nela para começar, certo?

OTR fornece autenticação e criptografia negáveis

Autenticação negável

No PGP, você pode usar a chave estática para assinar qualquer tipo de dado ou texto. Esta assinatura o autentica sem dúvida e mostra que você criou ou aprova certas mensagens. Mas, como essa assinatura é visível para qualquer observador, ela pode revelar as identidades das duas partes que se comunicam.

OTR pratica autenticação negável . Isso significa que é impossível para um intruso distinguir apenas pelas mensagens criptografadas quem está se comunicando com quem. Apenas os participantes obtêm informações sobre as identidades uns dos outros na forma de uma impressão digital.

Para verificar as identidades uns dos outros e garantir que ninguém esteja realizando um ataque man-in-the-middle, você pode divulgar suas impressões digitais ou trocá-las por meio de um canal alternativo, por exemplo, pessoalmente ou em seus perfis de mídia social. Essa troca de impressão digital é um recurso importante que torna o OTR significativamente mais anônimo do que o PGP.

Criptografia negável

Similarmente à autenticação, o PGP permite que um observador ou bisbilhoteiro veja qual chave privada desbloqueia um arquivo criptografado. Mesmo que o invasor não consiga obter essa chave privada, eles sabem quem a possui e podem pressionar a vítima ou suspeito de um crime para descriptografar o arquivo.

No OTR, é impossível ver quem possui a chave para uma conversa criptografada. Além disso, é possível que a chave tenha sido destruída imediatamente após o início da conversa. Isso é chamado de criptografia negável .

Embora a autenticação negável e a criptografia possam ser garantidas ou até mesmo importantes em alguns contextos, existem outras maneiras de vincular as chaves de duas partes às suas identidades reais, como por meio de canais de bate-papo, contas e endereços IP usados ​​em uma conversa.

Continue lendo para descobrir como proteger seu anonimato ao usar a comunicação OTR.

Requisitos básicos para OTR

Em teoria, usar OTR é semelhante ao PGP, mas você não precisa se preocupar em criar, publicar e compartilhar chaves manualmente, ou se preocupar com suas datas de expiração. Aqui estão as etapas básicas para usar o OTR.

Instale o software OTR. Como OTR é restrito a bate-papos, ele vem com uma variedade de software de bate-papo, mais notavelmente Pidgin (Windows, Linux), Adium (Mac OS X), Chat Secure (iOS, Android ) e Tor Messenger (plataforma cruzada, ainda em beta).

Configure uma conta de chat compatível com esses clientes de messenger. A conta deve suportar pelo menos protocolos como jabber / xmpp, um sistema aberto e descentralizado que funciona de forma semelhante ao e-mail. A maioria das contas do Gmail ou Google Apps também funcionam como contas jabber - sem nenhum custo extra. Existem também muitos serviços que permitem que você registre uma conta jabber de forma livre e anônima.

Adicione seus contatos como 'amigos' para bater um papo com eles. Digite o endereço jabber, que é semelhante ou idêntico ao endereço de e-mail.

Para iniciar uma mensagem OTR, clique em 'iniciar conversa privada' ou clique em um símbolo de cadeado, dependendo do software que você está usando.

Para verificar a identidade do seu amigo, compartilhe sua impressão digital com o outro. Você pode ver sua impressão digital clicando em 'verificação manual' na janela de bate-papo. Se você já estabeleceu um canal criptografado verificado, você pode verificar uns aos outros por meio dele. Você também pode listar sua impressão digital em seu site ou mídia social.

Como manter o anonimato no OTR

Embora o protocolo OTR em si seja bastante surpreendente para proteger sua privacidade e anonimato, é menos poderoso se você usar um canal que pode ser vinculado à sua identidade real. Ter negação criptográfica é ótimo em teoria, mas prejudica o propósito se você estiver se comunicando por meio de sua conta de trabalho do Google Apps, onde seu empregador, o Google e presumivelmente o governo podem ver para quem você está enviando mensagens. Freqüentemente, isso é suficiente para que eles tirem conclusões sobre as identidades de sua fonte e de seus colaboradores.

Veja como permanecer anônimo ao usar o OTR.

Etapa 1: use várias contas

A primeira etapa para aumentar sua privacidade é usar várias contas e estar ciente de quem você adiciona a cada conta. Você pode ir mais longe e criar uma nova conta para cada um de seus contatos. Para evitar a análise de correlação de quando e onde você faz login, você pode registrar essas contas em vários servidores e serviços.

Etapa 2: conectar ao OTR por VPN ou Tor

A segunda etapa é sempre se conectar a essas contas de bate-papo por meio de uma VPN ou até mesmo do Tor, especialmente quando você estiver se inscrevendo. Fazer login apenas uma vez no endereço IP de sua casa ou do trabalho é o suficiente para comprometer você.

Etapa 3: verifique a identidade do destinatário

A última etapa é a mais cansativa: verificar a identidade do destinatário. Isso é especialmente importante para garantir que nenhum terceiro esteja interceptando a troca no meio, substituindo as chaves OTR do seu contato pelas dele. Sua conexão parecerá segura e criptografada para você, mas na verdade pode não ser até que você verifique as chaves.

Para verificar a identidade do destinatário de maneira confiável, uma boa prática é transmitir sua impressão digital por meio de um canal confiável, como cartão de visita, site ou conta de mídia social . (Você pode encontrar sua impressão digital em "configurações" ou "verificar manualmente".)

Como permanecer anônimo ao compartilhar arquivos

Embora o protocolo jabber e muitos clientes teoricamente permitam o compartilhamento de arquivos ou anexos, ele raramente funciona e não usa criptografia.

Para compartilhar arquivos, Avance Network recomenda Onionshare, um serviço de compartilhamento de arquivos P2P construído através do Tor . Dessa forma, nenhuma das partes pode identificar a outra facilmente por meio de seu endereço IP, e o arquivo é criptografado em trânsito.

Como acontece com qualquer download, esteja ciente de que os arquivos podem conter código malicioso que pode desanimar você. Sua melhor aposta é se desconectar da internet antes de abrir os arquivos ou abrir os arquivos dentro de uma máquina virtual.

Tenha cuidado ao clicar em qualquer tipo de link, especialmente os encurtados, pois eles podem conter códigos de rastreamento que o tornam identificável para a outra parte. Se você deve abrir links suspeitos, abra-os apenas dentro do navegador Tor.