Caos evidencia fragilidade do ecossistema digital

Cheguei ao aeroporto de Roma na mesma hora em que o mundo parou. A ideia era fazer uma conexão rápida para outra cidade na Itália. Em vez disso, caos. Nos painéis, a indicação de que todos os voos haviam sido cancelados. Atendentes desesperados e passageiros mais ainda, sem saber o que fazer. As bagagens todas extraviadas. As pessoas brigando entre si e com os funcionários das empresas.

As hipóteses para uma situação como essa são poucas. O tempo estava bom em praticamente todo o continente. Poderia ser um vulcão que entrou em atividade de grandes proporções. Ou ainda, um ataque terrorista.

Foi então que saiu a primeira notícia explicando que se tratava de uma falha da empresa de cibersegurança CrowdStrike.

Muita gente nunca tinha ouvido esse nome. Mesmo assim, a silenciosa CrowdStrike é uma das 15 empresas que dominam o mercado de segurança na internet.

Suas ações são negociadas em Bolsa e compõem o prestigioso índice da Standard & Poors. Seus clientes são na maioria empresas de grande porte que prestam serviços críticos: saúde, transporte, finanças etc. São empresas que não podem falhar.

Todas pagam muito dinheiro para a CrowdStrike em troca de proteção contra ataques que possam afetar seus serviços. Só que o descuido veio justamente de quem deveria cuidar. Quando isso ocorreu, não havia plano B. Cada empresa estava sozinha para reparar o dano. E o caos se instalou.

É chocante um erro desse tipo por parte de uma empresa que tem uma responsabilidade do tamanho da CrowdStrike.

Ao atualizar seu software, mandou um pacote de atualização defeituoso para os seus clientes. Fez isso de uma vez só. O resultado foi que a atualização bloqueou serviços do sistema operacional Windows, que passou então a não funcionar. Como praticamente tudo roda em cima do Windows, nada mais funcionou também.

Empresas de cibersegurança como a CrowdStrike precisam de poderes praticamente absolutos sobre os computadores dos clientes para funcionar. Elas podem tudo: bloquear aplicações, instalar novos programas e têm prioridade sobre o comando das máquinas em que atuam. Mais que as próprias empresas.

É como entregar a chave da casa para um vigilante. Só que para proteger a família, ele passa a controlar tudo, o que entra e o que sai, a lista de compras, os horários e relacionamentos de cada pessoa. É um ditador onipotente e onisciente. Foi essa figura insólita que falhou.

Tudo isso revela uma questão preocupante. A internet que utilizamos todos os dias é uma rede fundada em cima do risco. Ela não foi construída tendo segurança como uma de suas premissas. Ao contrário, ela é um emaranhado de redes distintas, cada uma com seus problemas ou vantagens.

A ideia é que esse novelo poderia funcionar de forma aceitável por ser uma rede diversa. Se um caminho fosse derrubado, seria fácil encontrar outro. Se um serviço parasse, vários outros estariam disponíveis. É a robustez que surge a partir da diversidade.

Só que nos últimos anos tem havido uma concentração cada vez maior na internet. Serviços que eram para ser “só mais um” dentre vários outros estão se tornando grandes demais e ocupando posições dominantes, matando a concorrência.

Quando esses serviços falham, eles levam embora tudo que é construído em cima deles, sem que haja outros caminhos imediatos para substituí-los. É como na natureza. Um ecossistema é resistente na medida em que for diverso, com muitas espécies.

Uma lavoura onde predomina apenas um tipo de cultura é uma presa fácil para pragas e precisa investir o tempo todo em proteção para não colapsar. O caos da última sexta nos permite enxergar exatamente o lugar em que estamos.

Já era – uma internet diversa e descentralizada

Já é – uma internet que se aproxima cada vez mais de um conjunto de monoculturas

Já vem – a necessidade de investir cada vez mais em cibersegurança e de perguntar: “Quem vigia os vigilantes?”