Senador dos EUA cobra da NSA diretriz clara sobre uso de VPN
Ron Wyden pediu à Agência de Segurança Nacional americana (NSA) que atualize suas orientações públicas sobre VPNs, alertando que serviços comerciais comuns podem não proteger contra vigilância estrangeira sofisticada.
Por Denise Sampaio · Repórter de Segurança
O que aconteceu
O senador norte-americano Ron Wyden (Partido Democrata) enviou um pedido formal à NSA — a Agência de Segurança Nacional dos Estados Unidos, responsável por inteligência de sinais e segurança cibernética do governo americano — cobrando a atualização das diretrizes públicas sobre uso de VPN (rede privada virtual). Segundo o gabinete do senador, uma análise do Congressional Research Service (o órgão de pesquisa não-partidário do Congresso dos EUA) encomendada por Wyden concluiu que um adversário com visibilidade ampla sobre o tráfego de internet pode correlacionar o momento e o volume de dados criptografados que entram e saem de um servidor de VPN — e assim ligar um usuário a um site de destino, mesmo sem quebrar a criptografia.
Quem é afetado
O alvo do alerta são as chamadas VPNs "single-hop" (salto único), modelo mais comum no mercado, em que o tráfego passa por um único servidor do provedor antes de chegar ao destino final. Segundo o documento do Congressional Research Service citado por Wyden, esse desenho "não oferece proteção essencial" contra um adversário capaz de comprometer ou obrigar legalmente aquele único provedor a entregar dados — diferente de arquiteturas "multi-hop" ou mixnet, em que um segundo servidor só enxerga o endereço IP do primeiro, dificultando a correlação.
Wyden pede que a orientação atualizada sirva para funcionários do governo americano, contratados de defesa, jornalistas, defensores de direitos humanos e outros grupos que costumam ser alvo de espionagem — não o público em geral, embora qualquer usuário de VPN comercial esteja sujeito ao mesmo tipo de risco técnico.
O que fazer agora
A NSA ainda não respondeu publicamente ao pedido; Wyden deu prazo até 14 de outubro para respostas não-classificadas. Enquanto isso, veja o que já está estabelecido e o que ainda é hipótese:
- Confirmado: VPNs single-hop, sozinhas, não impedem análise de tráfego por um adversário que monitore ou controle o servidor da VPN.
- Confirmado: arquiteturas multi-hop e mixnet reduzem esse risco ao dividir a rota entre servidores que não têm visão completa da conexão.
- Ainda em aberto: se e como a NSA vai revisar sua orientação pública, e se ela vai recomendar serviços ou padrões específicos.
Até lá, a recomendação prática para quem depende de VPN por motivos sensíveis é pesquisar se o serviço usado oferece opção multi-hop e não tratar uma VPN comercial comum como proteção absoluta contra vigilância de estados com grande capacidade de monitoramento.