Como o facto de ter conhecido o Jeff Goldblum em Roma me levou a enviar milhares de amostras de malware para o espaço

My viagem em família a Roma foi fantástica; afastar-me do escritório durante uma semana, explorar a cidade, passear por locais históricos, saborear a gastronomia e simplesmente estar com a minha família foi exatamente o que eu precisava.

Um dia, enquanto passeávamos por um beco pequeno e fresco, deparámo-nos com uma aula de confeção de massa e tiramisu. Parecia divertido e, como diz o ditado, «quando em Roma, faz como os romanos». Durante algumas horas, substituí o malware, a cibersegurança e as infraestruturas críticas por farinha, ovos, água, timing, pressão e paciência.

Quanto mais me fui adaptando à aula, mais percebi que até mesmo fazer massa é um processo sistemático. Parece simples à primeira vista, mas se nos preocupamos com o resultado, os pequenos detalhes fazem a diferença. Demasiada água altera a massa. Demasiada pressão altera a textura. Se apressarmos o processo, o resultado não ficará bem.

Isto aplica-se à alimentação, aos negócios e à cibersegurança.

No final da aula, aconteceu algo completamente inesperado: conheci o Jeff Goldblum.

Ele era caloroso, divertido, elegante e muito humano. Tal como a maioria das pessoas que o conhecem, pensei nos seus papéis icónicos no cinema, no piano de jazz e na sua capacidade única de ser famoso e, ainda assim, acessível. Isso foi antes de a minha mente de especialista em cibersegurança tomar conta de mim.

Não parava de pensar numa cena do filme «Independence Day», de 1996, em que a personagem dele, David Levinson, infeta a nave-mãe alienígena com malware.

O momento certo é importante neste caso. Parece que o setor espacial está a entrar num novo ciclo de expansão, indo além dos foguetões, da NASA e da entrada em bolsa da SpaceX.

O panorama geral é global. A Amazon Kuiper está a entrar na corrida pela banda larga por satélite. A Europa está a construir o IRIS² como uma constelação de conectividade segura e soberana para comunicações governamentais, resposta a crises, infraestruturas críticas e serviços encriptados. A China está a avançar de forma agressiva com grandes programas de constelações, como o «Thousand Sails» e o «Guowang». A Índia está a expandir as suas ambições no domínio espacial e dos satélites de defesa. O Japão está a investir mais na segurança espacial. Operadores como a Viasat, a OneWeb, a Planet, a Maxar, a Intelsat, a Iridium, a Eutelsat, a SKY Perfect JSAT e outros estão a desenvolver serviços de comunicações, imagiologia, navegação, defesa e dados em órbita.

A discussão está também a ir além dos satélites como infraestrutura de comunicações. Elon Musk falou sobre colocar centros de dados de IA em órbita, argumentando que a Terra tem limitações energéticas, enquanto o espaço dispõe de luz solar constante. No ano passado, a Starcloud lançou uma nave espacial equipada com um chip Nvidia H100 e demonstrou a execução de uma versão do modelo de IA Gemini do Google a partir do espaço. Além disso, o Google revelou o Projeto Suncatcher para explorar grupos de satélites equipados com TPUs e ligações óticas, bem como planos para lançar protótipos de satélites em 2027.

Trata-se de um tipo de economia espacial muito diferente.

O setor espacial está a evoluir dos transportes para as comunicações, das comunicações para os dados, dos dados para a computação e da computação para a IA. O setor espacial está a tornar-se uma camada de infraestrutura digital global que envolve Estados-nação, operadores comerciais, agências de defesa e cadeias de abastecimento multinacionais.

...e todas as camadas da infraestrutura digital acabam por se tornar alvos de ataques cibernéticos.

Muitos desses incidentes revelaram também as limitações de se basear principalmente em firewalls tradicionais e em sistemas de segurança baseados na deteção.

Na violação de segurança da NASA JPL em 2018, os atacantes comprometeram uma conta externa e deslocaram-se lateralmente através de redes mal segmentadas. As defesas perimetrais revelaram-se insuficientes assim que a confiança foi estabelecida. No ataque à Viasat KA-SAT em 2022, os atacantes acederam a uma rede de gestão de confiança através de um caminho VPN/firewall comprometido e emitiram comandos de gestão legítimos.

Mais uma vez, o problema não residia simplesmente na deteção de tráfego malicioso, mas sim na não utilização de um gateway unidirecional, que teria imposto o fluxo de dados num único sentido por definição, em vez de por política, impedindo assim que os atacantes chegassem aos sistemas críticos desde o início.

Depois de identificarmos o risco e as causas subjacentes aos incidentes comunicados, o que devemos fazer a esse respeito?

A cibersegurança no espaço tem muitas das mesmas causas subjacentes que a cibersegurança tradicional, mas acrescenta duas dimensões que mudam tudo: o tempo e o ambiente.

Na Terra, se algo correr mal, partimos do princípio de que podemos estabelecer ligação, inspecionar, aplicar correções, restaurar ou enviar alguém ao local. No espaço, muitas dessas suposições deixam de se verificar. A comunicação é mais lenta, mais cara, mais limitada e torna-se mais difícil à medida que nos afastamos da Terra.

A Lua está suficientemente próxima para que os sinais demorem pouco mais de um segundo em cada sentido, mas mesmo assim isso cria um atraso de ida e volta superior a dois segundos. Marte pode demorar entre cerca de 4 e 24 minutos num só sentido, dependendo da posição da Terra e de Marte nas suas órbitas. No caso das missões no espaço profundo, o problema agrava-se ainda mais. A Voyager está tão longe que a comunicação pode demorar quase um dia inteiro num só sentido.

Isso altera o modelo de cibersegurança.

As ferramentas de segurança modernas dependem cada vez mais de uma interação constante com a nuvem: consultas de reputação, verificações de hash, atualizações de assinaturas, atualizações de modelos de IA (uma dependência crescente à medida que os sistemas baseados em IA avançam para a órbita), envios para sandbox, transferências de telemetria e veredictos centralizados. Na Terra, isto funciona porque a conectividade é rápida e fiável. No espaço, torna-se perigoso partir do princípio de que o mesmo modelo irá funcionar.

Na Lua, parte disto ainda é tecnicamente possível, mas não é algo com que se deva contar. Cada consulta à nuvem acrescenta atraso. Cada envio para a sandbox tem de viajar até à Terra e voltar. Cada sessão de ambiente de trabalho remoto fica mais lenta. Cada grande transferência de dados forenses compete pela largura de banda da missão. Se a ligação à Terra estiver congestionada, com desempenho reduzido, bloqueada ou indisponível, a segurança baseada na nuvem torna-se pouco fiável.

Se isto já é difícil na Lua, torna-se drasticamente mais difícil em Marte e impossível de fazer em tempo real no espaço profundo.

O mesmo se aplica às atualizações. Se conduzir uma missão espacial durante muitos anos, não pode partir do princípio de que poderá atualizar a sua infraestrutura da mesma forma que faria com um computador portátil, um servidor ou uma carga de trabalho na nuvem. Uma nave espacial pode estar a operar com hardware antigo, memória limitada, processadores resistentes à radiação, largura de banda restrita, potência limitada e uma janela de comunicação muito reduzida.

Se a atualização estiver errada, se o comando estiver mal formulado ou se o software se comportar de forma diferente durante o voo do que na simulação, a recuperação pode ser difícil ou, pior ainda, tornar-se impossível.

A Voyager é um exemplo perfeito. A NASA lançou a Voyager 1 e a Voyager 2 em 1977, e a equipa continua a mantê-las quase cinco décadas depois. Atualizar ou corrigir o software numa nave espacial tão antiga e tão distante requer uma engenharia incrível. Mas isso também comprova que aplicar correções a uma nave espacial é um processo lento, arriscado e nada parecido com a aplicação de correções a sistemas na Terra.

O Galileo é outro exemplo útil. Após o seu lançamento, a antena de alto ganho do Galileo não conseguiu desdobrar-se totalmente, o que significava que a nave espacial não podia utilizar a ligação de comunicação de alta velocidade prevista. A NASA e o JPL conseguiram, ainda assim, obter importantes descobertas científicas através da compressão, de alterações de software e de um planeamento cuidadoso da missão. Isso revelou-se um ponto fundamental: no espaço, as limitações de comunicação definem as missões.

A questão da cibersegurança é simples: o que fazer quando não se pode contar com uma comunicação rápida, visibilidade constante, resposta baseada na nuvem ou o envio de alguém ao local? Sugiro três estratégias.

A deteção continua a ser útil, especialmente em sistemas terrestres, terminais e ambientes empresariais relacionados com a missão, mas pressupõe que é possível detetar o ataque e, em seguida, analisar, responder e recuperar rapidamente. No espaço, esse pressuposto é frágil, uma vez que a visibilidade pode ser limitada, a comunicação pode sofrer atrasos, a capacidade de computação pode ser restrita e a recuperação pode ser lenta ou impossível. Quando o problema for detetado, a missão poderá já estar em risco.

É por isso que a estratégia deve ser a prevençãoantes da confiança.

Todos os ficheiros, atualizações de software, modelos de IA, pacotes de carga útil, pacotes de comandos e dispositivos de armazenamento removíveis devem ser considerados não confiáveis até serem inspecionados, validados, desinfectados e aprovados. Recorra à análise múltipla, ao sandboxing, à desarmadura e reconstrução de conteúdos (CDR), à validação de esquemas, a atualizações assinadas, a listas de permissão, à validação de comandos e a registos de auditoria antes de qualquer elemento chegar ao ambiente de missão.

Não trate o controlo de missão como se fosse um departamento de TI empresarial normal, nem permita que os sistemas de engenharia interajam livremente com os sistemas operacionais. Assegure-se de que o acesso dos fornecedores seja restrito, temporário, registado e isolado, e separe rigorosamente as estações terrestres, as vias de comando, os sistemas de atualização de software, os ambientes de teste e as ferramentas de colaboração.

Nem um único computador portátil comprometido, credenciais roubadas, ficheiros infetados, atualizações defeituosas ou violações de segurança por parte de fornecedores devem poder afetar as operações de missão.

As firewalls são importantes, mas nos percursos de missão mais sensíveis, eu não confiaria apenas numa firewall. As firewalls são controladas por software, o que significa que podem ser mal configuradas, contornadas ou comprometidas. Um díodo de dados ou um gateway unidirecional é a melhor opção, porque impõe o fluxo unidirecional de dados por definição, e não apenas por política.

O lançamento de um MetaDefender Kiosk foi a nossa primeira missão espacial, não um golpe de marketing. Para mim, a missão Kiosk representa aquilo que considero ser a base da cibersegurança no espaço: computação independente, prevenção antes da confiança, segurança determinística de ficheiros e hardware capaz de continuar a funcionar em ambientes adversos.

Em primeiro lugar, trata-se de um sistema independente. Embora o tenhamos enviado para uma altitude extrema, não esteve ligado à nuvem durante a missão. Recorreu a computação local e funcionou num modelo «air-gapped». Pretendemos incluir um gateway de dados unidirecional ou um díodo de dados numa futura missão.

Em segundo lugar, o Kiosk a tecnologia Deep CDR™ para processar milhares de amostras de malware provenientes de uma USB durante a missão, num ambiente de teste controlado e isolado. A tecnologia Deep CDR™ é determinística, o que significa que não precisa de adivinhar se um ficheiro é malicioso. Parte do princípio de que o ficheiro pode ser malicioso, remove o conteúdo ativo de risco e regenera uma versão limpa. Se o processo for devidamente bloqueado, não são necessárias atualizações frequentes de assinaturas para prevenir muitas ameaças desconhecidas baseadas em ficheiros, uma vez que o Kiosk o ficheiro antes de confiar nele.

Por último, testámos o hardware num ambiente adverso. O Kiosk teve de enfrentar temperaturas extremas, baixa pressão, movimentos violentos, o rebentamento do balão, forças G elevadas durante a descida, rotações, quedas e até mesmo uma aterragem num rio. Continuou a funcionar durante algum tempo depois de tudo isso. Isto é importante porque a cibersegurança espacial é um problema tanto de software como de hardware.