Centro de cibersegurança português deixa password afixada na parede

Uma publicação do Estado Maior General das Forças Armadas a propósito da adesão do nosso país ao Centro de Ciberdefesa da NATO, revela uma foto daquele que será o nosso centro de ciberdefesa... com uma password exposta na parede.

A foto foi publicada em Abril de 2018 e tem-se mantido visível desde então no site do EMGFA. No entanto, nos últimos dias houve quem chamasse a atenção para um pequeno detalhe que parece ter passado despercebido: de entre as muitas coisas que é possível ver na foto, destacam-se umas folhas afixadas que indicam a password daquilo que aparenta ser a rede WiFi.

Embora a password não esteja completamente legível - ao contrário do que acontece com o endereço IP da uma impressora na rede, que também já constitui "informação a mais" - é suficiente para que se percebam alguns dos caracteres e se fique com uma ideia aproximada dos restantes (e possivelmente seria possível melhorar a imagem recorrendo a processamento; embora não ao nível dos famosos "enhance" do CSI!)

Poderá dar-se o caso de, tratando-se do centro especializado em cibersegurança, esta password e demais dados visíveis na foto sejam meramente desinformação, propositadamente deixada visível com o intuito de baralhar quem os tentar utilizar (eventualmente até servindo como sinal de alerta, no caso de alguém utilizar esta password ou tentar aceder ao IP da suposta impressora). Mas, seguindo a lógica... é bem mais provável que tenha sido um mero deslize... e que mostra que até mesmo nos centros dedicados à cibersegurança, se deixam passwords afixadas na parede.

... Ao menos desta vez não foi um post-it colado no monitor... :)


Actualização: Fomos contactos pelo EMGFA para dar o seguinte esclarecimento.

A foto que teve o trabalho de destacar no seu artigo é na realidade referente à preparação para o exercício “Locked Shields 2018”, que decorreu na altura em tempo-real, com duração de 3 dias, e que previa a exploração de redes wi-fi.

A rede que ali aparece reflectida, como enuncia, é uma rede de cenário criada de propósito em ambiente simulado de CyberRange, (treino) em ambiente fechado, que foi estabelecida para efeitos de treino da Blue Team (“Forças amigas”) tendo em vista a sua proteção face aos ataques da Red Team (“adversários”).

A sua afixação na parede foi intencional para servir de referência aos diversos utilizadores externos – como tal não acreditados ao Centro de Ciberdefesa, mas que estavam na altura naquela sala para “jogar o exercício”, no contexto da “equipa de geometria variável”. Esta situação ficou sem efeito logo após o exercício, reiterando, que decorreu em ambiente simulado de exercício.

Portanto, não tinha qualquer risco, nem representava qualquer ameaça quando se colocou à vista para consulta dos utilizadores externos ao Centro, à data do exercício ou mesmo depois do exercício ter terminado.

Por não representar qualquer risco é que a foto está pública no nosso portal internet, e onde permanecerá inalterada.

Registamos com entusiasmo que aquilo que é um dos nossos primeiros objectivos surtiu efeito: darmos a conhecer que o Centro de Ciberdefesa existe, está a trabalhar, e que o ciberespaço deve ser uma área de especial atenção e preocupação, transversal a todos os sectores de atividade para além dos relacionados com a Defesa Nacional.