DEF CON 30 - Uma conversa informal sobre políticas com Jay Healey

[0:00] - Gostaríamos de dar as boas-vindas a Jay Healey, da equipe do CFP, e depois a Fahmida. Bem-vindos ao DEF CON. Eles darão uma conversa informal. Por favor, acompanhem suas programações e verão as informações mais recentes no aplicativo Hacker Tracker. Então, se estiverem seguindo quais horários e salas gostariam de ver, esse é o melhor lugar para encontrar informações atualizadas. Portanto, deem uma calorosa recepção aos nossos painelistas. (plateia aplaudindo) - [Jay] Fahmida.

[0:33] Sim. - Obrigada pelo lembrete, Jay. (Jay e Fahmida riem) Olá, sou Fahmida Rashid, editora-chefe de reportagens especiais na Dark Reading, e estou muito animada por ter a chance de... - [Jay] É, acho que não temos áudio para a Fahmida? - Ou devo apenas usar? Ok. Olá, está melhor assim? Aí vamos nós. - Eba! - Agora ouço a mim mesma. - Hackeando! (Fahmida ri) - Então, sou Fahmida Rashid, sou editora-chefe na Dark Reading, e é um prazer estar aqui no DEF CON para conversar com Jay Healey.

[1:09] Vamos falar um pouco sobre o passado, o presente e o futuro da segurança da informação, hacking, políticas, vamos abordar muitos tópicos diferentes. Então, Jay, muito obrigada por se juntar a mim hoje. - Obrigado, obrigado Fahmida, animado. - Sim. Então, acho que uma das coisas que eu estava ouvindo é que este é o DEF CON 30, mas acho que você me mencionou que também é o 50º aniversário da constatação - Sim. - de que os hackers quase sempre terão sucesso. - Sim. - Então o que isso lhe disse? Como isso fez você se sentir?

[1:40] - Sim, deixe-me voltar atrás para o que levou a essa pergunta. Estamos, obrigado àqueles que estão me dando o sinal universal de, estamos indo melhor nisso? Ok. - [Equipe] Levante o microfone até a boca. - Teste um, teste dois. Eu estava justamente nisso. Teste um, teste dois, testando, estou vestindo calça e camisa. - Não, não está. - Teste um, teste dois. Sim, obrigado. Estamos conectados.

[2:12] Ótimo ouvir você, ou ótimo que você possa me ouvir. Então, a introdução da Fahmida, ela estava falando sobre como não fizemos tanto quanto queremos como comunidade. Este é o DEF CON 30, certo? Se olharmos por que muitos hackers fazem o que fazem, certo, muito é por curiosidade, muito é porque somos impulsionados a isso, mas muito é para melhorar as coisas. Estamos fazendo isso com um propósito, muitos de nós. E me deparei com esta citação que diz: "Poucos, se algum, controles contemporâneos de segurança de computadores podem impedir uma equipe vermelha dedicada de acessar facilmente qualquer informação desejada."

[2:59] Então está dizendo que a equipe vermelha vai passar, certo? O hacker vai passar, o atacante tem a vantagem. Essa citação era de 1979. E encontrei citações reais que remontam a 1972 que dizem que a equipe vermelha vai passar. Então, tudo bem. Então, se estamos fazendo isso para tentar melhorar as coisas, está falhando. Usando a maneira normal como fazemos as coisas. E é por isso que fico feliz em ver todos aqui em políticas.

[3:30] Muito do que estamos tentando realizar com políticas é dizer: tudo bem, as coisas normais, como hackear coisas e contar às pessoas sobre isso, não estão levando ao sucesso em escala que queríamos, porque os atacantes, se algo, estão apenas ficando cada vez melhores. E se você ouviu, Chris Inglis e outros falaram sobre isso nesta sala. E então pense nisso, desde 1972, certo, pense em todas as patentes, todos os centenas de bilhões de dólares, todos os fins de semana trabalhados, todos os aniversários dos filhos perdidos que nós, como comunidade, fizemos em 50 anos.

[4:08] E não mudamos a dinâmica mais fundamental, porque as coisas não estão melhores agora. - Quer dizer, estou pensando de volta, e como você disse, é como todos aqueles fins de semana de trabalho, estamos pensando: "Ei, qual é o propósito de tudo isso?" Então fica um pouco desanimador. - Sim, e muito da mentalidade desta comunidade nos últimos 30 anos, eu comecei, venho desde o DEF CON 9, estive no conselho de revisão do CFP nos últimos seis ou sete anos, é que se nós estragarmos as coisas, certo?

[4:44] Se hackearmos o planeta, vai ser melhor, e não está funcionando assim. Estamos hackeando coisas e não está melhorando, pelo menos na velocidade e escala que queremos. Se alguém ouviu Dark Tangent aqui esta manhã, ele estava falando sobre como funcionou para a Election Village. Então podemos fazer melhor, certo? Podemos fazer com que, quando quebramos as coisas, isso realmente leve a melhores resultados do outro lado. - Então, antes mesmo de começarmos a descobrir, ok, o que vamos fazer de diferente?

[5:14] Por que não voltamos um pouco? Como eram os primeiros dias do hacking? Quer dizer, sei que alguns de nós já estamos por aí, mas sei que nem todos estavam por aí naquela época, então como foi? - Sim, é. Então eu não tenho as habilidades de hacking de muitos dos outros no conselho do CFP. Estou lá para ajudar nas palestras de políticas. Mas é realmente interessante ver como o DEF CON tem mudado como parte disso, certo?

[5:46] Quando começamos, você sabe, os primeiros anos no Alexis Park, certo? Era sobre travessuras. Havia hacks legais. Havia coisas sendo estragadas e hacks legais sendo feitos. Um dos meus amigos me disse uma manhã: "Oh Deus, quão bêbado eu estava ontem à noite?" "Oh cara, não sei, tipo, não achei que você estivesse tão bêbado. O que aconteceu?" "Oh, encontrei um recibo de caixa eletrônico no meu bolso do Alexis Park." Isso era considerado o auge da coisa estúpida que você poderia fazer, que era realmente usar o caixa eletrônico no Alexis Park, porque era o caixa eletrônico mais hackeado de Las Vegas, e provavelmente do mundo, e o DEF CON era absolutamente 100% uma conferência de hacking para hackers.

[6:32] E ainda é substancialmente agora, mas se alguém ouviu Jeff aqui hoje, desculpe, Dark Tangent, especialmente depois de Snowden e depois de Stuxnet, DT desconvidou agentes federais de virem à conferência. Ele disse: "Vocês não são mais bem-vindos em nossa conferência. Precisamos de um tempo longe." E isso foi por volta do DEF CON, alguém se lembra disso? Foi por volta do DEF CON 22? - 22. - Algo assim?

[7:05] E apenas veja como é diferente hoje, certo? Não apenas reparamos essa ruptura por enquanto, mas Jeff disse, DT disse, precisamos fazer melhor. Não estamos fazendo a diferença como uma comunidade de hackers apenas por conta própria, mas precisamos nos integrar melhor com os formuladores de políticas, não apenas nos Estados Unidos, mas em todo o mundo, para que tenhamos uma trilha de políticas real para tentar fazer mais diferença. Esta ainda é uma conferência de hackers, mas acho que você está vendo esse compromisso no DT de que precisamos começar a fazer melhor.

[7:37] Precisamos começar a tornar a defesa melhor que a ofensa. - Acho que esse é realmente o aspecto mais positivo que vimos. Tipo, hackers sempre estiveram um pouco à margem, um pouco fazendo suas próprias coisas. Mas agora, com o envolvimento político, estamos vendo um pouco mais, não necessariamente mainstream, mas a ideia de que nossas ideias importam. Então, o que você viu nos últimos anos, onde estava vendo esse tipo de solicitação de ideias da comunidade hacker?

[8:09] - Sim, e primeiro devo dizer, estou falando em minha capacidade pessoal agora, não com qualquer uma das minhas afiliações. E estamos começando a ver muito mais maneiras pelas quais os hackers podem se envolver. Só o fato de você estar aqui, de termos uma trilha de políticas aqui. Ouvimos algumas ótimas ideias esta manhã. Tivemos um painel e muitas pessoas envolvidas na Policy Village, e algumas ideias realmente ótimas surgiram disso. Ouvimos Mosfet, que é uma hacker fabulosa, e ela foi ao Congresso.

[8:40] Ela fazia parte do programa de bolsas TechCongress que foi ajudar membros do Congresso e suas equipes a aprender a fazer melhor, a ter melhores leis. Tivemos Monica Ruiz aqui, que estava ajudando, eu acho, algo chamado Digital Peace Now, que é um movimento global de jovens para dizer que estamos cansados de estados-nação hackeando, e todo mundo tendo que pagar a penalidade, e então o que podemos fazer para tentar ajudar a tornar os governos mais responsáveis?

[9:14] E eles são muito bem-intencionados. Alguém aqui é do Digital Peace Now? Alguém se inscreveu no Digital Peace Now? Super bem-intencionados, mas eles não entendem tanto de tecnologia quanto poderiam. E então, se isso parece algo de interesse para você, eles realmente podem usar sua ajuda em qualquer país em que você esteja. Tipo, conversando com o conselho da sua cidade. Há pessoas lá que precisam da sua ajuda como hacker para dizer: "Bom, sim, eu preciso de ajuda. Preciso de alguns conselhos sobre como podemos fazer melhor." Seja na sua vila, sua cidade, seu estado, sua região, o que quer que sejam.

[9:49] Tivemos Jack Cable aqui esta manhã, que estava por aqui, ele se envolveu no Hack the Pentagon, o primeiro programa de bug bounty contra o Departamento de Defesa. Foi assim que ele começou, encontrando esses bugs no Pentágono, e depois seguindo em frente, e então ele mudou para um emprego no governo para ajudar a fazer coisas como melhorar a segurança eleitoral nos Estados Unidos. E ele fez isso porque entrou pela porta da frente, apenas participando de um programa de bug bounty. Então esse é um exemplo dos EUA, mas estamos começando a ver esses "hack the blank" surgirem em todos os tipos de países.

[10:27] E o último que vou mencionar é o governo dos Estados Unidos, assim como outros governos, quando estão lançando uma nova regra, eles pedem contribuições. Então ouvimos esta manhã, Harley, que é ex-assessor do Congresso, disse: "Olha, a FTC está lançando uma nova regulamentação sobre como a segurança cibernética deve ser para ajudar a proteger os consumidores." Isso se encaixa perfeitamente nos tipos de coisas que estamos fazendo. E regulamentação parece chato, mas é assim que grandes coisas mudam ao longo do tempo.

[10:59] Não apenas nos Estados Unidos, mas em outros lugares. Então, qualquer que seja o seu contexto, seja lá o que for interessante para você, dê uma olhada nessas coisas, certo? Beau Woods dirige o I Am the Cavalry com Josh Corman e outros. Então dê uma olhada no I Am the Calvary. Eles fizeram isso provavelmente, quanto tempo faz? Seis anos, talvez? Sete anos? - Um pouco mais. Quer dizer, - Sim. - eles estavam por aí por pelo menos quatro ou cinco anos antes de tudo travar. - Oh uau, ok.

[11:29] E a mensagem do I Am the Calvary é que não podemos simplesmente hackear coisas e esperar que outra pessoa assuma a responsabilidade por isso. Se você hackear algo, você é responsável pelo resultado, quer seja corrigido ou não. Então o nome veio de que a cavalaria não vem, certo? Não há adultos que vão aparecer e dizer: "Obrigado por chamar nossa atenção para isso. Nós cuidamos daqui para frente." Isso não vai acontecer. Ou pelo menos não tem acontecido.

[12:00] Estamos tentando fazer melhor. Então todo esse movimento do I Am the Cavalry era para ajudar os hackers a assumir aquele momento de bem. Como podemos fazer melhor? Como podemos assumir os resultados? Não apenas por ferrar as coisas, mas por desferrar também, e garantir que elas permaneçam desferradas. Termo técnico. - Eu acho que isso é realmente, quando estávamos falando sobre tudo isso e enquanto você dizia isso, estou pensando que essa é a maior diferença, eu acho, os primeiros dias do hacking e agora, há um pouco de responsabilidade.

[12:31] Os hackers dizem: sim, estou fazendo todas essas coisas legais, mas deixe-me dizer como consertar. Ou mesmo se eu não souber como consertar, me dê alguém que possa sentar comigo e consertar. E esse nível de responsabilidade é, eu acho, um dos aspectos mais positivos do que fizemos. - Eu tive um momento realmente difícil depois, foi provavelmente por volta do DEF CON 22, porque alguém, qualquer pessoa envolvida com o conjunto de ferramentas da NSA e as pessoas que vinham fazer as palestras sobre o conjunto de ferramentas da NSA? Não se você estivesse realmente usando o conjunto de ferramentas da NSA, não levante a mão.

[13:01] E foi depois das revelações de Snowden, e foi um grupo de pesquisadores de segurança fabulosos que disseram: "Queremos fazer... Queremos olhar para as coisas que Snowden revelou sobre o que a NSA estava fazendo, e queremos tornar tão fácil", estas foram as palavras deles, "que uma menina de 10 anos pudesse fazer." Não sei por que eles precisaram especificar o gênero, mas. E eles estavam fazendo isso pela privacidade. Então o objetivo deles, lembro que eu estava dizendo, eles estavam hackeando a criptografia GSM e queriam tornar o hacking do GSM tão fácil, e iam fazer isso pela privacidade.

[13:32] E eu tive muita dificuldade em entender isso. Foi uma ótima palestra. Foi um ótimo objetivo. Mas quanto tempo, especialmente naquela época, esse processo de quebramos as coisas e então elas serão consertadas, não é uma relação causal direta. Desculpe, agora sou acadêmico. É disso que falamos, relações causais. Se você faz algo, você espera que isso realmente vá, que resultado isso realmente alcança? E é por isso que acho que melhoramos muito agora na comunidade, em olhar para essa relação causal.

[14:05] "Bom, tudo bem, se quebrarmos, vamos garantir que seja consertado." - E é até o fato de termos mais estrutura, de modo que mesmo se eu não puder fazer isso, ou não souber a quem recorrer, agora tenho fontes para onde ir, temos programas de bug bounty onde eles dizem: "Vou ajudar você a fazer essa conexão." Então acho que temos mais apoio infraestrutural. - E acho que a mídia, e acho que os jornalistas estão fazendo melhor também, certo? - Obrigado. - Sim. E se as pessoas ouviram Jeff no DEF CON, desculpe, Black Hat, ontem, apresentando Kim Zetter, sobre como nos primeiros dias os jornalistas apenas entravam e saíam e falavam sobre o cabelo maluco e usavam a comunidade para seus propósitos.

[14:50] Agora você tem a Dark Reading, você tem Kim Zetter, você tem tantos outros ótimos jornalistas que estão embutidos na comunidade como você, com profundo conhecimento técnico em segurança de aplicações, e então nos ajudem a contar histórias melhores, para que tenhamos mudanças melhores do outro lado. - A única coisa que eu queria realmente abordar, e você meio que insinuou, acho que muitas vezes quando as pessoas ouvem, ah, hacking e políticas, é, bem, eu não vou me candidatar a um cargo.

[15:22] Não sou advogado, então não conheço as leis. Então você mencionou como trabalhar com o conselho da cidade e tal. Como você até começa essa linguagem? Como você faz as pessoas nesta sala que estão curiosas entenderem que você não precisa ser um especialista jurídico para se envolver em políticas? - Certo, eles fazem isso, certo? Eles entendem o lado jurídico. Eles estão curiosos sobre o que você sabe, então apenas tenha a conversa, certo? Quer dizer, qualquer que seja o nível confortável para você, qualquer caminho que você tenha vai ser bom.

[15:53] Tem, confira a programação do TechCongress e do I Am the Cavalry. Há muito material bom sobre isso. Se você já foi a um BSides. O BSides Las Vegas geralmente é um lugar onde muitas dessas pessoas estão. Se você for até a trilha de políticas, procure Beau Woods, ele tem o, ele tem o, acho que o cabelo está azul hoje? - Acho que sim. - E apenas pergunte por aí. Haverá muitas pessoas que podem ajudar, não apenas ter ideias gerais, mas que já passaram por isso e ajudaram outros, qualquer que seja o contexto que você traga.

[16:25] Apenas algumas outras dicas: uma, tentar pelo menos, vai levar um tempo para você falar a língua, mas seja tolerante com a linguagem, certo? As pessoas na política, dizemos muito 'cyber'. Se você não puder nos perdoar por isso, (risos) vai ter dificuldade. Se você quer ser entendido, tem que ajudar a encontrar as pessoas no meio do caminho em como elas falam sobre as coisas. Então, no lado da política, a atribuição importa muito para nós, porque no final das contas, é sobre qual nação é responsável.

[16:55] Eu trabalhei na Casa Branca por alguns anos, certo? Eu não me importava com atribuição. Eu me importava com responsabilidade nacional. No final das contas, o presidente vai ter que pegar o telefone e ligar para algum primeiro-ministro, algum presidente e dizer: "Pare com isso ou haverá consequências." Isso não é atribuição. Então essas coisas importam em lugares como a Casa Branca e o Congresso ou no seu equivalente nacional. Então, novamente, se você não consegue superar o fato de que, não, atribuição é estúpida, no seu Threatbutt e Attribution Dice completos, tipo, essas coisas são engraçadas, e pode não importar muito no seu contexto, mas definitivamente importa quando você está pensando em alguns aspectos desta política de segurança nacional.

[17:40] Mas definitivamente seja você mesmo, certo? Se você está com raiva e irritado, não perca isso. (risos) Continue com raiva e continue irritado. Só, vamos manter isso canalizado e continuar energizados. - Sim, acho que temos um grande problema às vezes quando você fica com raiva, quando você está apenas irritado, frustrado, você pensa: "Ei, nada nunca vai mudar", que tendemos a ficar um pouco isolados. Então acho que esta trilha é a maneira perfeita de explicar, não se torne isolado. - E no decorrer de um ano, isso foi por volta de 2011, 2012, eu tive Jeff Moss, Dmitri Alperovitch, Richard Bejtlich e outros dizendo que não podemos, estamos frustrados porque não estamos fazendo a diferença que queríamos ter através da tecnologia, mas não sabemos como fazer isso acontecer na política.

[18:29] Eu estava trabalhando para um think tank na época, o Atlantic Council, desculpe. Então muitas pessoas já percorreram esse caminho de dizer: preciso fazer diferente, preciso descobrir outras maneiras de fazer minha voz ser ouvida e trazer meu conhecimento e habilidades para contribuir. Então este é um caminho bem trilhado. - Estamos falando muito sobre como estamos fazendo as coisas de maneira diferente agora, mas se você puder me dar até um exemplo de algo que estamos fazendo melhor.

[19:00] Não quero ser só pessimista dizendo que não fizemos nada melhor. - Então eu me considero uma pessoa de estratégia, certo? Faz muito tempo desde que meus dedos estavam no teclado de maneira significativa, ou que seria significativo para vocês, lembrem da maneira como eu disse, foi em 1972, estamos 50 anos em que não estamos tendo o efeito que queremos. E eu estava lendo um artigo de notícias talvez cinco anos atrás na "The Economist". E eles olharam para as mudanças climáticas e disseram: "Quais foram as intervenções que fizemos como espécie que mais retiraram dióxido de carbono equivalente da atmosfera?"

[19:40] E eles as classificaram de 1 a 30. E disseram: "Pelo que podemos perceber, nenhum idiota nunca fez essa pergunta dessa forma antes." Aqui está, uma das questões mais prementes enfrentadas pela humanidade, e ninguém nunca tinha dito: "O que fizemos que fez a maior diferença na maior escala e com o menor custo?" E então tive uma epifania de, (imita explosão) então o que é que nós como comunidade fizemos, que deu ao defensor a maior vantagem sobre os atacantes na maior escala e com o menor custo?

[20:15] E vamos fazer mais disso. O número, qualquer palpite, apenas grite, a coisa número um que achamos que fizemos em escala e custo como comunidade? Windows Update, sim, quem disse Windows Update? Com certeza. Porque em vez de fazer algo que afeta apenas uma única empresa, poderíamos criar o widget mais perfeito e ele recebe todo o dinheiro de VC porque é a coisa mais brilhante. Ainda temos que comprar um bilhão deles.

[20:46] Temos que integrá-lo à empresa ou às nossas redes domésticas. Temos que monitorá-lo. Temos que mantê-lo atualizado. Temos que treinar as pessoas para usar o widget. Temos que fazê-lo integrar com todas as outras ferramentas que temos e fazer isso um bilhão de vezes. Coisas como o Windows Update, a nuvem, a criptografia de ponta a ponta: você faz uma vez e um bilhão de dispositivos ou pessoas podem se beneficiar disso. É por isso que, especialmente muitos de nós na área de políticas, ficamos tão chateados com gente do governo querendo quebrar a criptografia de ponta a ponta.

[21:22] É uma das poucas coisas que ajuda os defensores em escala, facilmente, se for implementada corretamente. É realmente uma das poucas coisas que você pode obter e que realmente dificulta a vida dos adversários. - E é de fato uma dessas coisas que vimos se tornar mainstream, porque ficou mais fácil de usar. Tipo, o número de pessoas que eu conheço que dizem: "Ah, eu não sei nada sobre segurança", e usam o Signal, e eu digo: "Aí está! (Jay ri) Tipo, isso aí é uma coisa importante que você está fazendo." - E se eu pudesse insistir em uma área.

[21:53] Então, para mim, como parte dessa estratégia, nunca tivemos uma estratégia real. Qual era a estratégia dos EUA para a Guerra Fria? É uma única palavra: contenção. Desculpe, sou veterano, sabe, para as pessoas que estavam nas forças armadas, todo mundo sabia qual era a estratégia do General Petraeus para vencer. Era conquistar corações e mentes. Um general diferente teria uma estratégia diferente, tipo entrar em tiroteios e matar pessoas. Petraeus era muito simples. Não, queremos conquistar corações e mentes, mais ou menos.

[22:26] É uma estratégia que cabe em uma única folha pequena de papel, nesta frase. Então a minha, desde que li aquela citação de 1972 e 1979, era defensável. Temos que obter a maior vantagem do defensor sobre o atacante na maior escala e com o menor custo. Às vezes gosto de inverter e falar sobre uma internet sustentável. Assim como queremos que nossos netos tenham uma internet, tenham ar limpo e água limpa, melhores do que temos hoje, podemos pensar da mesma forma, certo?

[23:00] Vamos fazer com que nossos netos tenham uma internet que seja pelo menos tão incrível quanto a que temos hoje. Porque podemos ficar tão presos aos adversários e ao resto que não estamos pensando em todas as coisas incríveis que queremos fazer, e que queremos que as gerações futuras façam. - Já que estamos falando sobre o futuro, e como queremos que a internet esteja pelo menos disponível para nossos netos, meus filhos, mas há tantos novos tipos de tecnologias surgindo. Estamos mal arranhando a superfície no entendimento de como vamos usá-las, como vamos regulá-las.

[23:35] Quais são as implicações políticas que deveríamos estar considerando com as tecnologias emergentes? - Sim, pense só, sobre as emergentes, porque eu sei o que me importa: uma internet defensável que tenha defesa melhor que ataque. Sempre que me perguntam sobre um novo X, Y ou Z, eu sempre penso: tudo bem, isso vai ajudar preferencialmente o defensor ou o atacante? Quase todas as vezes que fizemos qualquer coisa, isso ajudou preferencialmente o atacante. Os atacantes conseguiram usar a escala da internet de forma mais eficaz do que os defensores, para adicionar escala às nossas operações e ao que queremos fazer.

[24:15] Então, sempre que me perguntam sobre quantum X, Y ou Z, ou o resto, é quase sempre: não, isso vai ajudar mais os atacantes. A nuvem, uma daquelas que definitivamente pode ajudar, Beau Woods, Josh Corman, ajudaram a falar sobre isso muito bem, que a internet original nunca foi projetada para ser segura. Adicionamos coisas a ela, e simplesmente colocamos curativos nelas. E agora temos cinco décadas de curativos por toda parte quando se trata da segurança da internet. A nuvem é uma dessas oportunidades em que podemos acertar desde o início, uma vez que treinemos as pessoas para isso.

[24:47] Realmente temos que ter pessoas mais treinadas para que possamos... - Há uma mudança definitiva de mentalidade que precisamos garantir que as pessoas não estejam apenas trazendo o mesmo erro, as mesmas ideias adiante. - E antes de mudarmos, sei que provavelmente vamos passar para a sessão de perguntas e respostas & em breve, tivemos um painel esta manhã e alguém perguntou: "Quem é sua hacker trans ou mulher favorita?" E tivemos muitas respostas ótimas, muitas que você esperaria, de Grace Hopper a Katie Mou, a Amelia Koran e outras.

[25:19] Quero mencionar uma mulher chamada, seu nome de casada era Hilda Mathieu. Alguém já ouviu falar de Hilda Mathieu? Ela está no Hall da Fama da NSA, porque Hilda teve a ideia, nos anos 80, de que a NSA, que essas novas redes de computadores davam à NSA essa incrível capacidade de fazer espionagem digital extraordinária. E ela estava fazendo isso como engenheira técnica mulher nos anos 80.

[25:50] Pense só como isso é raro. E foi ela que descobriu: sim, podemos, isso vai ser incrível, mas ela também percebeu que isso vai ser um problema real para os Estados Unidos, porque somos incrivelmente vulneráveis. Então eles já estavam entendendo isso em Fort Meade, nos anos 1980. E o que eu realmente gosto em Hilda não é apenas que ela percebeu isso e era essa engenheira mulher pioneira de quem nunca ouvimos falar, mas também que seu nome antes de se casar era Faust.

[26:24] Então aqui temos esse verdadeiro pacto faustiano de querer as duas coisas: que a NSA tenha as duas coisas, e que o governo dos EUA tenha as duas coisas, que possamos hackear as coisas e ainda assim proteger as coisas bem o suficiente. Que possamos hackear e os adversários não vão ver o que estamos fazendo e decidir que precisam nos copiar. Mas também para nós aqui nesta sala, e para as pessoas que vêm a Vegas todo mês de agosto há 30 anos, que possamos hackear as coisas e não precisarmos nos preocupar com como isso vai acabar.

[27:03] É o pacto faustiano original, (ri) em parte graças a grandes engenheiros como Hilda Faust-Mathieu. - Exatamente. Então, quero dizer, começamos toda essa conversa com você dizendo que temos feito isso repetidamente, e nada mudou. Agora estamos falando de uma estratégia de defensabilidade. Como vamos mudar? Quais são as coisas que podemos começar a dizer: ok, estas são as coisas que vamos fazer para que o time azul fique melhor que o vermelho?

[27:39] - Acho que você ouviu muito disso aqui hoje de manhã com Chris Inglis, certo? Quando olho para essa pergunta, então analisamos, fizemos este relatório através da Força-Tarefa de Cibersegurança de Nova York da Universidade de Columbia, e voltamos e dissemos: ok, quais foram as inovações reais que fizeram a maior diferença na maior escala e com o menor custo nas últimas cinco décadas, voltando às senhas originais? E olhamos para aquelas que tendem a operar dentro da empresa e aquelas que operam em todo o ciberespaço como um todo.

[28:14] E a grande maioria das coisas que mencionei estava aqui em cima, nas coisas técnicas dentro da empresa. Então, primeiro, realmente queríamos enfatizar aquelas coisas que podemos obter com a maior escala e o menor custo. Criptografia de ponta a ponta, nuvem, já falamos sobre isso. Também quero realmente enfatizar as inovações operacionais. Quando o Morris Worm atingiu a internet primitiva em 1988, derrubou 10% da internet primitiva. Agora, sim, eram só tipo 6,000 computadores ou algo assim, mas derrubou 10% da internet, porque não tinham ninguém lá para procurar vulnerabilidades e corrigi-las antes, e não tinham nenhum mecanismo de coordenação quando havia um desastre.

[28:56] O único mecanismo de coordenação que tinham era a própria internet. Então inventaram uma equipe de resposta a emergências de computadores. Tivemos que inventar um CERT. E agora, é claro, todo mundo tem um CERT, eles são considerados parte do ambiente. Tivemos que inventar o papel de um CISO, diretor de segurança da informação. Vladimir Levin, um hacker russo, tomou do Citibank cerca de $15 milhões em 1995. E tivemos que inventar um CISO. Tivemos que inventar um ISAC.

[29:29] Eu costumava ser o vice-presidente do FS-ISAC. Tivemos que inventar os ISACs em 1999 por uma diretiva presidencial. A estrutura MITRE ATT&CK, a Lockheed Martin Kill Chain. Essas coisas são, tipo a kill chain ou a estrutura cibernética, tipo, é quase de graça, certo? É uma doutrina. É uma ideia sobre como você faz as coisas. E pense só em todas as inovações defensivas que obtivemos com a estrutura MITRE ATT&CK, e como ela nos permitiu falar sobre as coisas em escala e implementar coisas que grudam.

[30:04] Então, enquanto você pensa em como podemos ter o maior impacto em escala, não é só tecnologia. É muito dessas inovações operacionais, de processo, organizacionais. Na verdade, talvez como a CISA, certo, que agora está fazendo o JCDC. - Sim. - O Colaborativo Conjunto de Defesa Cibernética. - Quero dizer, o que realmente me impressiona sobre o CERT, o ISAC, até a estrutura MITRE ATT&CK, é que é fundamentalmente colaboração. É tipo, ok, como eu trabalho com você? Não posso fazer isso sozinho.

[30:35] Preciso trazer outras pessoas comigo. E qual é a linguagem compartilhada? E eu adoro os exemplos que você deu, porque meio que volta ao que estávamos dizendo antes, que precisamos trabalhar com a comunidade. Precisamos nos engajar com a comunidade. - Tem um cara chamado Rob Knake que estava no Conselho de Relações Exteriores. Agora ele é o vice para estratégia no Escritório do Diretor Nacional de Cibersegurança. E ele tinha uma ótima frase para isso. Ele chamou de modelo Home Depot. (Fahmida ri) Você pode fazer, o governo pode, - Todos conhecemos a Home Depot, com certeza.

[31:06] - Você pode fazer, o governo pode ajudar. Porque quando olhei, como você se torna defensável? Não é através do governo. Não vamos chegar lá criando algum novo escritório do governo e contratando mais servidores públicos em qualquer país ou em todos os países. Pode ajudar. Mas a única mudança real para se tornar defensável vai acontecer através do setor privado. E isso, para o governo, para mim, é que você tem que capacitá-los, certo? Imagine, desculpe usar uma analogia esportiva, digamos que seja beisebol americano, certo?

[31:37] Você tem nove jogadores em campo. O que tínhamos com o General Alexander quando ele estava em Fort Meade, e ele tentou isso aqui, bem, ele tentou no Black Hat, certo? Ele corria e dizia: "Onde quer que a bola fosse rebatida, nós a pegávamos. Nós em Fort Meade, podemos fazer a jogada. Deixe o governo fazer isso. Setor financeiro, vocês estão fazendo um bom trabalho, mas deixe-me colocar meus sensores na sua rede para que possamos coletar para vocês." Mas na maioria das vezes, sempre que as bolas são rebatidas, é alguém do setor privado que está na posição de fazer a jogada.

[32:09] Agora, eles podem não conseguir ver a bola. Podem ter um equipamento antigo, e o governo tem que ajudá-los a ver a bola. Podem ter uma luva ruim, e podemos precisar ajudá-los com alguma capacidade. Podem ser como eu quando estava na Little League, e podem esquecer que estão no jogo até ouvirem o estalo da bola no bastão, e precisam ser lembrados. Outros não precisam da capacitação, precisam de encorajamento. Eles sabem que é um problema. Têm a capacidade, mas não estão se esforçando.

[32:41] E seus governos têm maneiras que podem ajudar. Não apenas o governo dos EUA, mas outros. E por último, no fim das contas, pode se resumir a aplicar a lei onde já acontece: setor financeiro, setor de energia, empresas de capital aberto. A aplicação já está acontecendo em muitos setores regulamentados. E dissemos pela primeira vez em 1998, diretivas presidenciais que diziam que se o mercado não funcionar, podemos precisar regulamentar. E então já se passaram 25 anos, então talvez estejamos chegando perto.

[33:11] - Uma coisa que eu quero abordar antes de irmos para as perguntas da plateia é que há muitas pessoas que não podem se envolver com o Congresso. Elas não podem se envolver com a FTC. E eu tenho ouvido muitos amigos que são advogados, eles falam sobre como são obrigados por seus escritórios de advocacia a fazer trabalho pro bono, meio que retribuir - Interessante. - para a comunidade. Como isso seria visto pela comunidade hacker? - É uma ótima, uau. Eu realmente não tinha pensado nisso. É uma ideia adorável, eu adoro essa ideia.

[33:42] Então imagine, pelo que a Fahmida está levantando aqui, certo? Se você está trabalhando, se você é CEO de uma empresa de tecnologia, e se importa com essas questões, digamos segurança eleitoral, ou está preocupado com a água, você sabe que a concessionária de água local provavelmente é insegura. Assim como um escritório de advocacia pode fazer pro bono, você está dizendo que pode dizer: "Ei, quer saber? Nós vamos lá e vamos ajudar a concessionária de água. E vamos fazer isso pro bono, porque somos uma empresa de tecnologia."

[34:13] E você pode imaginar isso funcionando não apenas para o CEO de uma empresa de tecnologia, mas é qualquer pessoa apenas dizendo: "Ei, estou aqui para ajudar." É uma ótima ideia. - Quer dizer, se você é um respondedor de incidentes indo até, você sabe, ei jornalistas, ativistas de direitos humanos, e dizendo: "Ei, vocês querem que a gente dê uma olhada?" Eu sinto que há tantas maneiras de usarmos nossas habilidades. - E, você sabe, e isso se conecta com muitas corporações preocupadas com seu ESG, certo? Seu ambiental, social e governança. E elas querem fazer o bem fazendo isso. E as empresas querem ajudar no ESG, e as pessoas se voluntariam.

[34:46] Então eu trabalhava para um banco, e nós saíamos e fazíamos Habitat for Humanity, ou limpávamos um parque, ou participávamos de uma corrida beneficente de 5 km. Por que não deveria haver um aspecto tecnológico nisso? E dizer: "Não, vamos reunir nosso incrível grupo de nerds, e vamos ajudar as pessoas." Tipo, uma comunidade em risco, como jornalistas, ou rohingyas, ou uigures. - Vá até a escola local e ajude seus professores. - (risos) Vá até a escola e ajude os professores. Sim, é uma ótima ideia pensar nisso como ESG, pensar nisso como trabalho pro bono que deveríamos fazer através de nossas empresas e sermos pagos por isso como parte de tornar o mundo um lugar melhor.

[35:26] Adoro, é uma ótima ideia. - Então tem, você está com o microfone para as perguntas e respostas&? Então se você tiver alguma pergunta para o Jason, por favor levante a mão, - Ou para a Fahmida. - (risos) e nós aceitamos qualquer pergunta aqui. Eu mal consigo ver. - Tem uma. Temos uma aqui. É por isso que uso um chapéu. Sim. - Tem alguém ali, e depois um cavalheiro de azul. - [Equipe] Aí está.

[36:02] - [Membro da plateia] Quer dizer, isso meio que remonta ao início do hacking e da segurança de computadores. Como ainda lidamos com a ideia de que direito você tem de verificar minhas portas? Sabe, se você andar pelo bairro tentando a porta de todo mundo, você vai ser preso. E há essa analogia com parte do que está acontecendo na comunidade hacker. Como nós... Ainda estamos lutando para justificar isso de uma perspectiva legal e de uma perspectiva de aceitação? Sabe, quem é você para verificar minhas portas? - Sim. É uma ótima, e para aqueles que não ouviram, quem é você para verificar minhas portas, certo?

[36:36] Quer dizer, muitas, e eu acho que nossas comunidades têm isso desde o início. Quem é você para me dizer para não verificar sua porta? Está disponível publicamente, por que eu não deveria poder escaneá-la? Eu não deveria nem conseguir entrar no seu computador porque você não o protegeu bem o suficiente. Isso faz parte do nosso legado de ser hackers e estar em Vegas nesta época do ano, certo? Mas também dizer que nós também nos importamos com privacidade e queremos fazer isso. Eu gostei de como o Chris Inglis colocou isso aqui em cima, pelo menos como o governo estava vendo, e dizendo que estamos todos juntos nisso, e só porque o seu lado do barco tem um vazamento, isso está afetando o resto de nós.

[37:14] E eu honestamente abordei isso. Falei sobre sustentabilidade, de como queremos que nossos filhos e netos tenham pelo menos tão bom quanto temos hoje. E isso levou a todos os tipos de normas e mentalidades de pensar globalmente, agir localmente. Mas também sabendo que as coisas que fazemos têm externalidades e que eu posso dizer, bom, tenho o direito de usar tanta água quanto quiser, ou posso ter uma empresa ou carro tão poluente quanto quiser. Mas a maneira como eu, falando pessoalmente, digo é que é meio que uma atitude de babaca.

[37:48] Tipo, sim, você tem o direito de fazer isso, mas você está impondo isso aos outros, e está tornando a situação pior para os outros. E então vamos ter que pensar mais sobre como isso nos afeta, que bom, seu sistema sem patch. Não é só você sendo hackeado, mas você está impondo isso aos outros porque você vai fazer parte de um DDoS. E Inglis fala sobre esse novo contrato social e o que devemos uns aos outros, que direitos e responsabilidades podemos exigir.

[38:18] Mas quais são as responsabilidades concomitantes que devemos aos outros? E eu acho que é uma ótima parte dessa conversa. E para realmente abordarmos isso de novo, porque é nisso que muita coisa está se resumindo. O que nos é devido? Mesmo se estivermos tendo sistemas sem patch versus, você sabe, o FBI entrando e aplicando patches em sistemas para eles como fizeram com o Cyclops Blink, certo? Vamos abordar isso. Acho que é uma ótima pergunta. - Ou o provedor de internet basicamente dizendo: "Vou escanear e vou tirar seu computador da rede porque você tem malware."

[38:52] - E é uma ótima, e eu sei que eles não vão acontecer. Lembro que houve uma ótima, foi uma, ou acho que foi a Arbor Networks que fez isso. E eles olharam para provedores de internet dizendo, quais, e isso talvez 10 anos atrás, provedores de internet vocês monitoram ataques de entrada? E tipo 90% monitoravam ataques de entrada. E eles disseram: "Vocês monitoram ataques de saída?" E metade deles nem se dava ao trabalho de monitorar ataques de saída, e aqueles que monitoravam, algo como metade deles não fazia nada a respeito. Eles apenas viam os ataques saindo.

[39:23] Eles diziam: "Não é meu problema." O que pensamos sobre isso? Quer dizer, isso é a clássica tragédia dos comuns, que eles ou não, metade dos entrevistados na época não sabia ou não se importava que estavam impondo problemas aos outros. Isso são externalidades. E no final das contas, é aí que, no contrato social normal, esperamos que o governo intervenha e diga: "Não, você não pode impor esses custos aos outros através da sua própria inação." - Sim, podemos ter a próxima pergunta? - Sim. - [Membro da plateia] Olá, boa tarde.

[39:54] Então eu tenho uma opinião meio impopular aqui, então isso pode ser agitador para algumas pessoas, mas eu acho que uma das razões pelas quais temos problemas com políticas, e é realmente essa a essência desta conversa, é que muitas pessoas focam nos hackers, então as pessoas que estão aqui. Mas se você realmente olhar para quando éramos bons em coisas como estratégia, foi a partir de estratégias de compensação. Tivemos uma primeira estratégia de compensação, nuclear. Tivemos uma segunda estratégia de compensação, ISR. Tentamos uma terceira estratégia de compensação de tecnologia.

[40:24] Ash Carter, Bob Work, e algumas outras pessoas, Jim Baker, e algumas outras pessoas que trabalhavam no prédio eram defensores disso. E então caiu de pé por algum motivo, por causa de uma sessão, vamos apenas chamar assim. Então, para mim, o maior problema que temos como nação, porque quero levar isso além do hacking, é realmente sobre segurança cibernética e como você protege as coisas. É que não temos uma estratégia de compensação definida. E a partir daí, é aí que vão sua tática operacional, suas operações e suas táticas.

[40:56] Minha pergunta para você é: haverá algum dia alguém que diga "Acorda, porra, e arruma uma estratégia de compensação." Acabou. - Sim, legal. E essa provavelmente será a última pergunta, a menos que você queira fazer mais uma e então eu respondo as duas? Não sei como estamos de tempo - [Equipe] Dois minutos. - Sim, você quer fazer mais uma pergunta e então podemos, sim. - Então ele tinha, o cavalheiro de azul, - Ótimo. você ainda tem uma pergunta? Você está bem? Ok, e então acho que o cavalheiro de preto com o cordão laranja, ele foi uma das primeiras pessoas a levantar a mão. - Obrigado, Mike, nos falamos depois.

[41:32] - [Equipe] Temos dois minutos restantes. Dois minutos, sem pressa. - [Membro da plateia] (risos) Obrigado. Ei, Jason, ótima palestra como sempre. Você mencionou antes sobre eficácia de controles, que por quase 50 anos, não vimos realmente avanços significativos na eficácia de controles. Eu estava curioso se, especialmente do ponto de vista de políticas, podemos fazer com que as empresas concordem em melhorar a higiene cibernética, o controle cibernético, as capacidades e a eficácia. Como você sugeriria medir a eficácia de controles e os limiares para essencialmente definir o que é bom.

[42:07] - Perfeito, obrigado. Então primeiro, o primeiro é uma estratégia muito do Departamento de Defesa dos EUA. Essa coisa chamada terceiras compensações. E as compensações eram uma estratégia militar para dizer, quais são as coisas que os Estados Unidos e aliados, que são super fáceis para os Estados Unidos e nossos aliados fazerem, mas são realmente difíceis para nossos adversários. Eu na verdade pensei nisso como um problema de criptografia, (risos) certo? Porque a criptografia está lá. É feita para ser realmente fácil em um sentido e realmente difícil no outro. E eu apenas levei isso para a estratégia militar. E então estávamos tentando isso nos últimos anos e as pessoas em D.C. diziam: "Cibernético é uma maneira de fazermos essa estratégia de compensação."

[42:49] E eu não tinha ideia do que eles estavam falando, porque é igualmente fácil, se não mais fácil, para nossos adversários terem capacidades cibernéticas ofensivas como é para nós. O que é realmente difícil para eles é trabalhar com o setor privado. Quando você olha para quase todos os grandes incidentes cibernéticos que já tivemos, em qualquer lugar do mundo, é quase sempre o setor privado que tem a agilidade, a expertise no assunto, e eles têm as mãos profundamente no ciberespaço, e podem consertar. Os governos carecem disso. Então precisamos fazer aquelas coisas que os russos, os chineses, os iranianos não podem fazer, que é trabalhar com o setor privado da maneira rica como fazemos no Ocidente.

[43:26] E então para encerrar sobre a medição, é uma pergunta fabulosa. Estou realmente interessado, não em medir controle por controle, mas como medimos se a defesa está ficando melhor que a ofensiva na maior escala da internet? Por exemplo, se estamos vendo tempos de invasão mais curtos, provavelmente não estamos fazendo nosso trabalho. Se vemos tempos de invasão mais longos, se vemos que eles estão levando mais tempo para entrar, essas são todas as coisas que poderíamos imaginar se a internet estiver se tornando mais defensável. - Isso pode ter que ser uma conversa no ano que vem.

[43:57] - Sim, exatamente. (risos) - Jay, muito obrigado por se juntar a nós hoje. - Obrigado. - E obrigado a todos. Obrigado pelas boas perguntas. - Sim. (plateia aplaude) Obrigado pelas perguntas. Obrigado por se importarem com políticas. Continuem bravos. Vão desfuder as coisas.