Está a ser acusado de pornografia infantil pela PSP? É uma burla…

Joao Ptt says:

Com o furto frequente de bases de dados de empresas privadas e instituições públicas, mesmo vir referido o nome da pessoa e até informações como o número de identificação civil e data de nascimento não significa nada acerca da legitimidade da mensagem.

A mensagem vir escrita sem erros ortográficos também não significa que a mensagem seja autêntica, é fácil pagar a alguém que seja realmente português para que escreva a mensagem sem erros.

Mesmo indicar que o endereço é terminado em @psp.pt não significa que seja legítimo. Por um lado os sistemas da PSP podem ser afectados por programas malignos e enviar e-mails falsos (seja do próprio servidor ou dos terminais dos utilizadores). Por outro lado é possível a atacantes falsificar a origem já que os IP’s anunciados não estão protegidos de origem por um “Route authorisation (RPKI)”. Sem falar que muitos servidores aceitarão os e-mails mesmo que não passem no SPF e DKIM porque a política DMARC não é suficientemente restrita para indicar aos operadores que recebem e-mail para rejeitarem mensagens que não passem nos dois testes (SPF e DKIM).

E a PSP não tem os seus trabalhadores a assinar (S/MIME) as mensagens de correio electrónico que enviam com certificados digitais válidos, utilizando um cartão com chip ou uma pen USB com chip embutido para prevenir software maligno de extrair a chave privada e começar a enviar mensagens assinadas.
Na realidade a PSP não assina com certificado digital as mensagens de correio electrónico de todo.

Os remetentes da @pj.pt são mais difíceis de falsificar porque a PJ teve mais cuidado com a configuração dos e-mails. Têm coisas a melhorar como suportar algoritmos de segurança de comunicação mais avançados e impedir que clientes possam iniciar renegociações de ligação ao servidor para reduzirem ataques de negação de serviço.
Mas se os sistemas forem comprometidos por malware (servidor ou terminais) as pessoas poderão receber mensagens falsas na mesma.
E não sei se a PJ assina as mensagens que envia com certificados digitais (S/MIME), com recurso a cartão com chip ou pen USB com chip. Ou sequer se assinam as mensagens com S/MIME de todo. Se for como na PSP, não assinam.

Aliás, as policias deveriam assinar as mensagens de correio electrónico todas, por parte dos trabalhadores, e os servidores de e-mail deveriam rejeitar automaticamente mensagens não assinadas e devolver um erro. O Estado tem a sua própria autoridade certificadora ecce.gov.pt pelo que precisam de adquirir os cartões ou pens USB com chip e depois gerar os certificados dentro dos mesmos e assinar a chave pública resultante com um certificado intermediário atribuído a cada organização.

Além de todos os outros cuidados por parte das polícias para ser o mais difícil possível falsificar a origem como sendo deles, a pessoa ainda tinha uma última hipótese que era verificar o certificado digital da mensagem para ver quem assinou a mensagem, e analisar os certificados intermediários… se não a pessoa, pelo menos alguém que perceba minimamente de informática. Aliás, alguns serviços de e-mail colocam imediatamente a mensagem como suspeita se o certificado digital não emitido por uma entidade reconhecida.