[GTER] Solicitacao de Informacoes de usuarios por Autoridades Policiais

Mon Sep 21 09:55:18 -03 2020

Pessoal, não entreguem lista com nome e dados de assinantes para 
requisições que venham sem a porta de origem e o caso for de CGNAT. Isso 
é errado, muito errado !

Apenas respondam dizendo que sem a informação da porta de origem não é 
possível realizar a identificação, o que é verdade e irrefutável 
tecnicamente.
As autoridades precisam se acostumar a exigir dos provedores de 
aplicação a informação da porta de origem para só então repassarem o 
pedido aos provedores de acesso. Isso tem respaldo em jurisprudência em 
2º e 3º no judiciário Brasileiro que já reconhece em múltiplas decisões 
a obrigatoriedade de se armazenar também a informação de porta de 
origem, então isso não é um favor que o provedor de aplicação faz e a 
autoridade que está investigando deve exigir isso dele.
O reconhecimento do judiciário sobre este requisito vem da constatação 
da evolução tecnológica natural da Internet (adoção crescente do CGNAT 
devido à escassez de endereços IPv4) que impõe a necessidade desta 
informação como condição única para identificação de um usuário.

Entregando uma lista de clientes que estão atrás de um CGNAT sem 
informação de porta de origem você automaticamente torna suspeitas 
diversas pessoas que nada tem a ver com a investigação em curso.

Fernando

On 21/09/2020 08:57, Gondim wrote:
> Buenas,
>
> Em CGNAT sem portas de origem o máximo que vou entregar vai ser uma
> lista enorme de assinantes, o que não vai ajudar em nada a investigação.
>
> Eu já digo logo: se o assinante estava em CGNAT, só tenho como
> identificá-lo se tiver o log mínimo para isso: IP público, porta origem,
> data/hora e timezone do log.
>
> Em 18/09/2020 15:59, Marco escreveu:
>> Nunca façam isso.
>> A lei é clara a respeito da guarda dos logs de conexão, que devem ser
>> entregues somente mediante ordem judicial.
>> A colaboração legal e segura é apurar os dados (que não, nunca virão com
>> portas) o quanto antes e aguardar a ordem judicial.
>>
>> Em sex., 18 de set. de 2020 às 13:35, Elizandro Pacheco [ NextHop Solutions
>> ® ] <elizandro at pachecotecnologia.net> escreveu:
>>
>>> Ontem mesmo tive um caso, o velho bom e conhecido caso do TV com o
>>> NetFlix logado. O delegado civil apresentou seu próprio oficio contendo
>>> apenas o ipv4.
>>>
>>> Em uma conversa branda, expliquei pra ele a necessidade da porta de
>>> origem, e como ele deveria proceder para obter tal informação, e que
>>> somente assim seria possível eu realizar a identificação.
>>>
>>> Expliquei também, que precisaria do ofício para ter um resguardo legal
>>> caso o usuário se sinta "violado" e venha querer tirar aquele
>>> dinheirinho com um processo contra meu cliente.
>>>
>>> No final das contas, ele tinha o endereço e como um gesto de
>>> colaboração, entregamos os dados do assinante no referido endereço.
>>>
>>> O que eu tenho feito na maioria dos casos, ainda que eu não tivesse a
>>> obrigação legal de entregar os dados pra ele naquele momento, é ser
>>> colaborativo. Afinal de contas, mesmo que seja o delegado local e mesmo
>>> que ele não tenha todas as informações, ninguém quer bronca com polícia
>>> não é mesmo? Muito menos acobertar crimes simplesmente pelo usuário ser
>>> cliente.
>>>
>>> Então, eu geralmente explico essas situações ( e geralmente os delegados
>>> são leigos nesse nível técnico ) e assim temos uma colaboração de ambas
>>> as partes.
>>>
>>> No caso de ontem, ele se prontificou inclusive a fazer um documento
>>> específico sobre os dados que ele tava fornecendo e o que estava
>>> solicitando ( mas nesse caso ele tinha o endereço, acho que queria
>>> apenas uma confirmação ).
>>>
>>> Então, sendo obrigado ou não, particularmente recomendo sempre
>>> colaborar. Afinal de contas, o usuário em questão pode ser realmente um
>>> criminoso e não conheço algum caso em que esse tipo de entrega, de fato,
>>> tenha dado problema pro provedor.
>>>
>>> Acho que ainda há um longo caminho até podermos simplesmente dizer: -
>>> Sem isso ou sem ser um ofício do Juíz, não posso entregar.
>>>
>>> Principalmente, com jurisprudência para a argumentação, para que ao
>>> menos, o solicitante não se sinta ofendido ou sinta sua "autoridade"
>>> ferida.
>>>
>>> Eu, opto pela colaboração sempre.
>>>
>>> Mas é realmente um ponto que levanta muitas dúvidas em muitos
>>> profissionais e provedores, o que não vale mesmo é tentar usar esse tipo
>>> de desculpa pra acobertar uma falha interna sua ( Ex: Um provedor
>>> querendo utilizar esse tipo de informação simplesmente porque o
>>> CGNAT/ACCOUNTING tá mal implementado, ou é inexistente, e ele não quer
>>> expor isso ).
>>>
>>>
>>> Meus 50 cents,
>>>
>>> Elizandro Pacheco
>>> NextHop Solutions
>>>
>>> ------ Mensagem original ------
>>> De: "Fernando Frediani" <fhfrediani at gmail.com>
>>> Para: "Grupo de Trabalho de Engenharia e Operacao de Redes"
>>> <gter at eng.registro.br>
>>> Enviado(s): 18/09/2020 13:17:07
>>> Assunto: [GTER] Solicitacao de Informacoes de usuarios por Autoridades
>>> Policiais
>>>
>>>> Olá pessoal.
>>>>
>>>> Quero aproveitar a oportunidade para reforçar um assunto que já foi falado
>>>> aqui anteriormente e que acredito tem havido um aumento dessas
>>> solicitações
>>>> mais recentemente.
>>>>
>>>> Tenho recebido relatos de colegas de ofícios provenientes de Autoridades
>>>> Policiais (Delegado de Polícia Federal ou Polícia Civil) solicitando a
>>>> identificação e os dados cadastrais de usuários baseados no endereco IP.
>>>> Considerando que mesmo que o ofício venha com todos os dados necessários
>>>> (IPv4 + Porta de Origem ou IPv6), Data, Horário e Timezone existe um outro
>>>> problema que pode estar passando despercebido por muitas empresas.
>>>>
>>>> Muitos desses ofícios citam o Art. 17-B da Lei 12.683/12 que diz o
>>>> seguinte: "*A autoridade policial e o Ministério Público terão acesso,
>>>> exclusivamente, aos dados cadastrais do investigado que informam
>>>> qualificação pessoal, filiação e endereço, independentemente de
>>> autorização
>>>> judicial, mantidos pela Justiça Eleitoral, pelas empresas telefônicas,
>>>> pelas instituições financeiras, pelos provedores de internet e pelas
>>>> administradoras de cartão de crédito.*”
>>>>
>>>> No entanto o § 5º Art. 13 da Lei 12.965/14 (Marco Civil da Internet) que
>>>> diz: "*Em qualquer hipótese, a disponibilização ao requerente dos
>>> registros
>>>> de que trata este artigo deverá ser precedida de autorização judicial,
>>>> conforme disposto na Seção IV deste Capítulo.*"
>>>>
>>>> Perceba que no primeiro caso a autoridade policial *não possui ainda a
>>>> identificação do investigado* e está pedindo 2 coisas: 1) que provedor que
>>>> quebre o sigilo do usuário baseado no endereço IP e 2) que informe os
>>> dados
>>>> cadastrais.
>>>> No entanto a Lei de 2012 apenas assegura a Autoridade Policial o acesso
>>> aos
>>>> dados cadastrais (ou seja quando o nome do investigado já é previamente
>>>> conhecido) sem a necessidade de autorização judicial.
>>>>
>>>> Minha orientação é sempre levar esses casos para conhecido do jurídico da
>>>> empresa com essas informações citadas acima para que ela, caso tiver o
>>>> mesmo entendimento, responder a autoridade policia pedido a gentileza de
>>>> que seja requerido ao juiz a quebra do sigilo do usuário.
>>>>
>>>> Caso isso não seja feito corre-se o risco do investigado que teve os dados
>>>> informados sem autorização judicial questionar o provedor a respeito.
>>>>
>>>> Fernando Frediani
>>>> --
>>>> gter list    https://eng.registro.br/mailman/listinfo/gter
>>> --
>>> gter list    https://eng.registro.br/mailman/listinfo/gter
>>>
>> --
>> gter list    https://eng.registro.br/mailman/listinfo/gter