As circunstâncias estranhas nas quais o programa TrueCrypt foi retirado do ar, juntamente com a página original, e teve seu desenvolvimento encerrado, deram margem a interpretações díspares e a toda sorte de teorias conspiratórias. Vejamos, antes de mais nada, aquilo que pode chegar a ser estabelecido como um
fato.
(
1) O sítio
www.truecrypt.org já não funciona. Quem tenta acessá-lo é redirecionado para outro endereço (
truecrypt.sourceforge.net).
(
2) O sítio sourceforge.net é bem conhecido por hospedar projetos de código aberto. No entanto, o TrueCrypt jamais esteve hospedado no
sourceforge.
(
3) As antigas versões (funcionais) do programa deixaram de ser oferecidas. Na página
truecrypt.sourceforge.net apenas a versão 7.2 – incapaz de fazer outra coisa além de ler os antigos arquivos e discos criptografados – é fornecida.
(
4) Essa nova versão mutilada do programa
está digitalmente assinada pelo autor do TrueCrypt, que sempre manteve o anonimato.
(
5) Na nova página hospedada no
sourceforge há claras advertências a respeito do caráter
inseguro do programa.
(
6) Nessa página há também uma espécie de tutorial para usuários que queiram passar a usar o
Bitlocker, programa de criptografia da Microsoft fornecido em algumas versões do Windows.
(
7) O TrueCrypt estava (e ainda está) passando,
com sucesso, por uma
auditoria de software. O programa tem uma ou outra falha, mas nenhuma dessas falhas é crítica. Ou seja, ele cumpre o que promete.
(
8)
Até aqui, não se descobriu no TrueCrypt nenhum
backdoor, ou seja, nenhum canal oculto pelo qual seria possível recuperar uma senha. Isso equivale a dizer que nenhuma empresa, nenhum governo e nenhum dos programadores do TrueCrypt seria capaz de quebrar a segurança do programa utilizando uma "porta" incluída no programa especialmente para esse fim. E é precisamente isso que o torna seguro.
(
9) O nome de domínio (e, muito provavelmente, a hospedagem do sítio) truecrypt.org está
pago até 22 de novembro de 2023.
(
10) O fim do suporte da Microsoft ao Windows XP é mencionado explicitamente na nova página como sendo a razão para o fim do desenvolvimento do TrueCrypt.
Passemos agora a enumerar as
circunstâncias estranhas envolvidas nos fatos acima.
(
A) Se o desenvolvedor do TrueCrypt desejava encerrar o desenvolvimento do programa, o mais provável é que ele o fizesse no próprio sítio onde o programa sempre esteve hospedado. E mesmo que a hospedagem do sítio não esteja paga até 2023 (como está pago o domínio), bastaria ter anunciado lá mesmo o endereço da nova página. Haveria tempo suficiente para que a notícia se espalhasse.
(
B) Quem passou 8 anos (de 2004 a 2012, data do lançamento da última versão funcional) desenvolvendo um programa que se tornou extremamente popular provavelmente escreveria uma nota de despedida ao seus milhões de usuários.
(
C) Os desenvolvedores não tinham razão para declarar
inseguro um programa que sempre se provou seguro, algo que uma auditoria independente (e não apenas ela) estava demonstrando.
(
D) É difícil explicar por que o fim do suporte ao Windows XP
seja mencionado logo no início do texto, dando a entender que essa seja a
causa do fim do TrueCrypt. Se é verdade que o usuário do XP não tinha
nenhuma opção de criptografia integrada ao sistema operacional, também é
verdade que várias versões do Windows 7 e do Windows 8 continuam não tendo essa
opção. Além disso, o TrueCrypt não era oferecido apenas para Windows, mas também para Linux e Mac. Não faz nenhum sentido.
(
D) Por fim, e este é o ponto mais comentado,
jamais o desenvolvedor de um programa independente e seguro como o TrueCrypt teria recomendado justamente um software da Microsoft, que não pode ser auditado (pois seu código não é aberto) e que, muito provavelmente, possui um
backdoor qualquer à disposição do governo americano.
Entremos agora no terreno da pura fantasia e vejamos algumas das
possíveis explicações para o fim do desenvolvimento do TrueCrypt. Nenhuma delas é de minha autoria. Estou apenas fazendo uma compilação pessoal, bastante resumida, do que já foi escrito a respeito.
(
a) O desenvolvedor do TrueCrypt simplesmente desistiu da tarefa e passou a dedicar-se a outros projetos.
Objeção: Nesse caso, por que teria ele agido de forma tão inusitada? Não teria sido suficiente comunicar sua decisão na página oficial e, possivelmente, lançar o código numa licença GPL para que continuasse sendo desenvolvido por outros programadores? Além disso, por que teria ele, de maneira tão intempestiva, declarado que seu programa
é inseguro? Não bastaria afirmar que o programa
poderia vir a tornar-se inseguro, já que seu desenvolvimento havia cessado?
(
b) O programador recebeu uma proposta de trabalho (para escrever um programa semelhante) sob a condição de retirar um forte concorrente (o programa original) de circulação. Essa hipótese seria ao menos capaz de explicar por que ele declarou que o programa é inseguro.
Objeção: Nesse caso, mesmo que o autor não quisesse revelar ao público o porquê de sua decisão, teria sido suficiente editar o sítio original.
(
c) O autor do programa estava gravemente doente e acabou falecendo. A serviço de alguém, hackers exploraram uma determinada falha de segurança no servidor Apache que hospedava o sítio e fizeram a única coisa que essa falha permitia: redirecionaram a página para outro servidor.
Objeção: esses hackers também tiveram acesso à chave privada do autor, com a qual assinaram a nova versão do programa? Será que ele mesmo não usava o TrueCrypt para guardar um arquivo importante como esse? Por outro lado, se os supostos hackers tivessem conseguido acesso a
todas as senhas e arquivos do autor, não teriam eles agido da forma mais discreta possível, modificando o sítio original do programa? Vale notar que
Steve Gibson não crê nessa hipótese.
(
d) Talvez a serviço de alguma potência oculta, o autor (ou um dos autores) do TrueCrypt teria, ele mesmo, introduzido um
backdoor no programa. E uma vez que essa "porta dos fundos" acabaria sendo descoberta na auditoria do software, o autor (ou um dos autores, que poderia ter descoberto a trama) resolveu acabar com a brincadeira e sair de cena.
Objeção: se realmente houvesse um
backdoor no programa, é muito improvável que ocorressem os
vários casos em que as ações do FBI foram frustradas. O governo americano ficaria mais do que feliz se pudesse demonstrar que a proteção oferecida pelo TrueCrypt pode ser "quebrada". Isso acabaria de vez com a credibilidade do programa.
(
e) Uma força poderosa (possivelmente uma agência de segurança do governo americano) deu um ultimato ao autor do programa. Este, vendo-se forçado a encerrar seu desenvolvimento e estando proibido de comunicar o que havia acontecido, fez a única coisa que podia: comportou-se de maneira discretamente incoerente, deixando, de forma deliberada, algumas pistas que indicassem o que realmente havia acontecido.
Steve Gibson, embora em nenhum momento tenha endossado essa última hipótese, declarou que a versão 7.1a do TrueCrypt ainda pode ser considerada segura. Essa afirmação contradiz frontalmente a advertência publicada na nova página do programa e já seria, por si mesma, um forte indício de que algo muito estranho aconteceu.
A verdade sobre esse caso misterioso provavelmente jamais virá à tona. Resta aguardar a segunda fase da
auditoria para eliminar de vez algumas das hipóteses mencionadas. Já foram lançadas várias iniciativas para prosseguir o desenvolvimento do TrueCrypt. A mais visível delas chama-se
TCnext e está localizada na Suíça.
É importante que se entenda que
a privacidade dos indivíduos não é negociável. O indivíduo não pode ficar à mercê de criminosos, e tampouco à mercê de governos.
Os indivíduos é que têm de fiscalizar e manter sob vigilância os governos, e não o contrário. Até porque o poder de Estado, desproporcional em relação ao poder dos indivíduos, sempre será um alvo preferencial para a infiltração de criminosos.
* * *
De acordo com o Houaiss, "encriptar" é um verbo datado de 1899 que significa "colocar em cripta ou em túmulo; sepultar". Faça um favor à língua portuguesa e jamais use esse termo como sinônimo da palavra (derivada do grego) "criptografar". Se quiser usar algo mais simples, use "cifrar" e "decifrar", ou mesmo os termos menos precisos "codificar" e "decodificar".
Os horrorosos termos "encriptar" e "decriptar", decalcados mecanicamente dos verbos ingleses
encrypt e
decrypt, não passam de neologismos preguiçosos. O mesmo vale para "encriptação", derivado de
encryption. Dê a essas aberrações o mesmo destino merecido por verbos esdrúxulos como "escanear" ou "customizar": encripte-os numa cova bem funda.