Privacidade on Arpokrat

A geolocalização permanente: como o seu telemóvel o segue mesmo quando julga tê-lo impedido

Sun, 02 Aug 2026 00:00:00 +0000

Em 2024, dois investigadores da Universidade do Maryland interrogaram repetidamente o serviço de posicionamento Wi-Fi da Apple, sem privilégios especiais nem equipamento específico, e reconstituíram num ano a posição precisa de mais de dois mil milhões de pontos de acesso Wi-Fi em todo o mundo. O artigo que publicaram, Surveilling the Masses with Wi-Fi-Based Positioning Systems , mostra o que esse mapa permite: seguir material que entra e sai da Ucrânia, observar a deslocação das populações após os incêndios de Maui, localizar uma pessoa através do seu router doméstico.

Nenhum destes aparelhos tinha o GPS ativado. A posição vinha de outro lado.

É o ponto cego mais comum em matéria de privacidade móvel: a convicção de que existe um interruptor de localização e de que, uma vez desligado, o telemóvel deixa de saber onde está. Essa convicção é falsa a sete níveis diferentes.

A localização não é uma funcionalidade que o seu telemóvel ativa. É uma propriedade daquilo que ele é.

O GPS, ou o vetor menos problemático

O único mecanismo que toda a gente identifica é também aquele que menos deveria preocupá-lo.

O GNSS, termo genérico que agrupa o GPS americano, o Galileo, o GLONASS e o BeiDou, funciona por escuta. Os satélites emitem continuamente sinais com marca temporal, o recetor capta vários e calcula a sua posição a partir das diferenças de tempo de propagação. Precisão corrente ao ar livre e sem obstáculos: três a cinco metros, muitas vezes várias dezenas de metros na cidade, onde as fachadas refletem os sinais.

O ponto decisivo é que este cálculo é passivo. O telemóvel não emite nada em direção aos satélites, nenhum operador de satélite sabe que existe. Se o GNSS fosse o único elemento em jogo, desligar o GPS bastaria.

Existe, no entanto, uma nuance. Para acelerar o primeiro cálculo, os telemóveis usam o A-GPS: descarregam as efemérides dos satélites a partir de um servidor, através do protocolo SUPL . Para obter os dados corretos, o telemóvel transmite a esse servidor o identificador da célula de rede à qual está ligado. O GNSS puro não o trai, mas o acelerador que lhe enxertaram trai.

A rede móvel: o que o operador sabe por construção

Para que uma chamada lhe possa chegar, a rede tem de saber em que zona se encontra. Não é uma opção que se ative, é a condição de existência do serviço. O seu telemóvel assinala-se permanentemente à antena mais próxima, e esse registo deixa rasto do lado do operador. Nenhuma aplicação instalada, nenhuma permissão concedida: basta um cartão SIM ativo.

A precisão depende do método:

Identificador de célula apenas: de 200 metros em meio urbano denso a mais de 30 quilómetros em zona rural, onde uma antena cobre um raio muito amplo.
Cell ID enriquecido, que acrescenta o setor da antena (a maioria dos sítios está dividida em três setores de 120 graus) e a potência do sinal: de 100 metros a alguns quilómetros.
Timing advance, que mede o tempo de ida e volta entre o telemóvel e a antena: na ordem dos 550 metros em GSM, cerca de 78 metros em LTE.
Multilateração sobre três antenas ou mais: 50 a 300 metros em LTE urbano.

O 5G muda a escala por duas razões cumulativas. A densidade, primeiro: as células 5G cobrem raios muito mais curtos, pelo que a simples ligação já é uma informação fina. A normalização, depois: desde a Release 16, o 3GPP integra sinais de posicionamento nativos. Os objetivos comerciais apontam para menos de 3 metros no interior e menos de 10 metros no exterior para 80 % dos terminais, e a Release 18 desce ao centímetro para certas utilizações industriais.

A infraestrutura que o liga torna-se assim um sistema de posicionamento de qualidade comparável à do GPS, sem que tenha ativado o que quer que seja. Estes dados são conservados segundo regras nacionais e acessíveis às autoridades por procedimentos variáveis. É o mesmo debate de fundo que o tratado a propósito da jurisdição aplicável aos dados alojados : proteção técnica e proteção jurídica não se sobrepõem.

O Wi-Fi: um mapa do mundo feito de endereços de hardware

Cada ponto de acesso Wi-Fi difunde permanentemente um identificador de hardware único, o BSSID. Estes identificadores são fixos e geograficamente estáveis: um router doméstico fica anos no mesmo sítio.

A Apple, a Google e alguns atores especializados mantêm bases que associam cada BSSID a coordenadas, construídas pelos telemóveis dos seus próprios utilizadores, que reportam a lista de pontos visíveis ao mesmo tempo que uma posição GNSS. A operação inverte-se depois: um telemóvel que vê quatro pontos conhecidos deixa de precisar de um único satélite. Em zona urbana densa, a precisão atinge correntemente algumas dezenas de metros, e desce abaixo disso no interior.

Duas propriedades tornam este mecanismo difícil de neutralizar. Primeiro, o telemóvel procura redes mesmo quando o Wi-Fi parece desativado: desde o Android 4.3, o sistema mantém uma varredura periódica destinada a melhorar a localização, independentemente do interruptor do painel rápido. Este comportamento depende de uma definição distinta, enterrada nos serviços de localização, que a quase totalidade dos utilizadores nunca abriu.

Segundo, a base pode ser interrogada do exterior. É a falha explorada por Rye e Levin: as interfaces de posicionamento devolvem não só a posição pedida mas também a de pontos de acesso vizinhos, o que permite colher o mapa sem nunca se aproximar fisicamente dos locais.

Bluetooth e BLE: localizado pelos telemóveis dos outros

O Bluetooth Low Energy acrescenta uma camada de proximidade, com um alcance de alguns metros a algumas dezenas de metros, portanto de uma granularidade bem mais fina do que a rede móvel. Coexistem duas utilizações. As balizas comerciais, instaladas em lojas, aeroportos ou centros comerciais, emitem um identificador que as aplicações presentes no telemóvel reconhecem, o que revela diante de que prateleira parou e durante quanto tempo. E as redes de localização colaborativas, das quais o Find My da Apple é o modelo, retomado desde então pela Google e pela Samsung.

Este segundo mecanismo inverte uma hipótese implícita. A análise de referência, Who Can Find My Devices? , publicada nas atas do PETS 2021 por investigadores da Universidade Técnica de Darmstadt, reconstituiu o protocolo da Apple por engenharia inversa. Um aparelho sem ligação emite um sinal BLE, qualquer aparelho Apple nas imediações capta-o, junta-lhe a sua própria posição e transmite-a cifrada aos servidores da Apple, sem o conhecimento nem do seu portador nem do portador do aparelho localizado.

A consequência é estrutural: um aparelho sem cartão SIM, sem Wi-Fi, sem ligação de rede de qualquer espécie permanece localizável, desde que um desconhecido passe por perto com um telemóvel no bolso. O seu isolamento já não depende das suas definições, mas das dos transeuntes.

Os sensores inerciais: localizar sem permissão de localização

Um telemóvel contém um acelerómetro, um giroscópio, um magnetómetro e frequentemente um barómetro. Estes sensores pertencem a uma categoria de permissões distinta da localização: uma aplicação pode lê-los sem nunca ter perguntado onde está.

Investigadores de Princeton demonstraram-no com o PinMe . A sua aplicação parte do endereço IP e do fuso horário para uma posição grosseira, e lê depois os sensores: o acelerómetro dá o perfil de aceleração e travagem, o giroscópio a sequência das curvas, o magnetómetro o rumo, o barómetro as variações de altitude. Uma rede neuronal identifica o modo de transporte, a pé, automóvel, comboio ou avião, e o trajeto é ajustado sobre dados públicos de cartografia, altimetria e meteorologia. Resultado: uma trajetória com uma precisão comparável à do GPS, sem permissão de localização. O método tem limites, que os autores documentam, já que falha nas zonas sem estradas e degrada-se nas malhas quadriculadas uniformes, onde numerosos trajetos produzem a mesma assinatura. Continua a ser a demonstração de que uma permissão recusada não é uma porta fechada.

O barómetro acrescenta ainda a dimensão que o GNSS trata mal, a vertical. As exigências americanas para as chamadas de emergência impõem uma precisão ao nível do piso de mais ou menos 3 metros para 80 % das chamadas feitas no interior. Saber em que piso alguém se encontra é de outra natureza do que saber em que quarteirão está.

O mercado dos dados: o vetor mais banal

Os mecanismos anteriores descrevem como uma posição é calculada. Falta saber para onde ela vai, e é aí que se joga o essencial do risco quotidiano.

Milhares de aplicações integram SDK publicitários, componentes de software fornecidos por terceiros que um programador acrescenta para monetizar o seu trabalho ou medir a sua audiência. Esses componentes herdam as permissões da aplicação anfitriã: uma aplicação de meteorologia que legitimamente precisa da sua posição transmite-a a atores cujo nome nunca leu. A isso somam-se os fluxos de leilões publicitários, onde a sua posição aproximada é difundida a dezenas de compradores potenciais a cada exibição de um banner, incluindo àqueles que não compram nada e se limitam a escutar.

Esta matéria-prima alimenta uma indústria. A Electronic Frontier Foundation documentou o caso da Fog Data Science , que reivindicava milhares de milhões de pontos de dados sobre mais de 250 milhões de aparelhos, vendidos a polícias locais americanas. Brian Krebs descreveu o Locate X , um produto que permite traçar um polígono num mapa e visualizar o histórico dos aparelhos que entraram e saíram dessa zona.

Este vetor não exige nenhuma proeza técnica, apenas que alguém aceite pagar. O preço é modesto.

Os IMSI catchers: a localização ativa

Os mecanismos vistos até aqui exploram um funcionamento normal. Existe também uma localização ativa, conduzida por um terceiro que intervém sobre a rede.

Um IMSI catcher, ou simulador de célula, é um equipamento que se faz passar por uma antena legítima. Os telemóveis ao alcance ligam-se-lhe, revelando o seu identificador de assinante e a sua presença num perímetro restrito.

O 5G deveria fechar essa porta, substituindo o identificador permanente em claro por um identificador cifrado, o SUCI. O fecho é parcial. Os trabalhos apresentados sob o título 5G SUCI-catchers: still catching them all? documentam ataques de ligação que permitem voltar a correlacionar sessões apesar da cifragem. Sobretudo, a proteção cai por completo se o atacante forçar o terminal a recuar para uma geração anterior, o 2G em particular, cuja autenticação é unilateral. Um telemóvel 5G permanece vulnerável a um ataque concebido para uma rede dos anos 1990, porque continua a aceitar descer até lá.

As contramedidas e a sua eficácia real

Cada medida abaixo faz alguma coisa. Nenhuma faz tudo, e a distância entre o que fazem e o que lhes é atribuído produz as más decisões.

O modo de voo

O modo de voo corta a emissão do modem celular, do Wi-Fi e do Bluetooth. É real, e é o melhor resultado para um esforço tão reduzido.

O que não faz: não para os sensores inerciais, não elimina as posições já em cache, que partirão na reconexão, e permite na maioria dos aparelhos reativar o Wi-Fi ou o Bluetooth separadamente sem sair dele. É, por fim, um estado de software, não um corte de alimentação: a sua fiabilidade depende da integridade do sistema que o aplica.

Um pormenor subestimado: a desativação e a reativação da ligação à rede são elas próprias acontecimentos com marca temporal do lado do operador. Um telemóvel que desaparece às 21 h numa célula e reaparece às 23 h noutra produziu uma informação, não um silêncio.

A aleatorização do endereço MAC

Os sistemas móveis emitem hoje endereços MAC aleatórios durante as varreduras, para impedir o seguimento de um local para outro. A intenção é boa, o resultado incompleto. Os trabalhos de referência, entre os quais Why MAC Address Randomization is not Enough , mostram que o conteúdo das tramas de descoberta basta muitas vezes para reidentificar o aparelho: o número de elementos de informação, os seus valores e a sua ordem formam uma impressão digital. A isso juntam-se os números de sequência, incrementais e portanto encadeáveis, e a assinatura temporal própria de cada modelo. Alguns estudos relatam um seguimento correto de metade dos aparelhos durante pelo menos vinte minutos.

Limite conceptual, por fim: a aleatorização só diz respeito à fase de descoberta. Assim que se liga a uma rede, o endereço utilizado é estável para essa rede, por conceção, para que a ligação funcione. O café onde vai todas as manhãs reconhece-o.

Cortar verdadeiramente as varreduras

É a definição mais rentável e a mais ignorada. No Android, a pesquisa Wi-Fi e a pesquisa Bluetooth são duas opções distintas, situadas nos serviços de localização, independentes dos interruptores do painel rápido. Enquanto estiverem ativas, desligar o Wi-Fi a partir do painel não chega: a varredura continua.

Desativá-las suprime uma camada inteira de recolha, sem outro custo que um primeiro cálculo de posição um pouco mais lento. Para a maioria dos leitores, é a melhor relação entre o esforço despendido e o resultado obtido.

As permissões das aplicações

Revogar a permissão de localização às aplicações que manifestamente não precisam dela continua a ser útil, e os sistemas recentes oferecem três graduações: a autorização pontual, a autorização limitada à utilização ativa e a localização aproximada, que apenas transmite uma zona na ordem do quilómetro.

Isso não protege, em contrapartida, nem dos SDK alojados numa aplicação com uma razão legítima para aceder à sua posição, nem dos sensores inerciais, nem das camadas de rede, que não passam por permissão nenhuma.

O que a VPN não protege

Ponto a esclarecer, porque a crença contrária é muito difundida: uma VPN não oculta a sua posição. Oculta o seu endereço IP público, pelo que falseia a geolocalização por IP, que é de qualquer forma o mecanismo mais grosseiro da lista.

Uma VPN não toca no recetor GNSS, nem na varredura Wi-Fi, nem no Bluetooth, nem nos sensores. Não muda nada daquilo que o seu operador sabe, uma vez que o túnel cifrado transita pelas antenas dele e a ligação à célula continua a ser-lhe visível. Não impede uma aplicação com permissão de localização de transmitir coordenadas exatas dentro do túnel. A VPN protege o conteúdo e o destino das suas comunicações numa rede não fiável, e isso já é muito. A localização não está no seu perímetro.

Os limites físicos

Uma bolsa de Faraday funciona no sentido literal: bloqueia emissões e receções. A remoção da bateria também, quando ainda é possível. O aparelho dedicado, ou deixar o telemóvel noutro sítio, continua a ser a medida mais robusta.

Estas soluções partilham um defeito que é preciso encarar de frente: produzem uma anomalia. Um telemóvel que se cala duas horas todas as terças à noite diz alguma coisa. Contra um adversário que analisa padrões em vez de posições instantâneas, a ausência é um dado.

Três adversários, três estratégias

É a distinção mais importante deste artigo, e aquela que menos se lê.

Contra um anunciante ou um corretor de dados, o combate é ganhável. Disciplina de permissões, desativação das varreduras, sistema sem serviços de localização proprietários, reposição do identificador publicitário: o conjunto reduz fortemente o volume recolhido. Este adversário procura volume a baixo custo, não o seu caso particular.

Contra o seu operador, nenhuma configuração basta. A localização celular é a condição do serviço. As únicas variáveis reais são jurídicas, aquilo que a lei autoriza a conservar e a transmitir, e materiais: que aparelho, que cartão SIM, em nome de quem, ligado onde.

Contra um adversário estatal dirigido, o raciocínio muda outra vez, já que combina o acesso legal aos dados do operador, a localização ativa por simulador de célula, a requisição junto das plataformas e, se for caso disso, o comprometimento do terminal. As contramedidas de software reduzem a superfície, mas o objetivo realista não é o desaparecimento: é saber com precisão o que permanece exposto.

A abordagem do ArpokratOS

O ArpokratOS responde a este panorama com uma escolha que decorre da distinção acima: aquilo que deve ser neutralizado é-o ao nível do sistema, não num menu.

No GNSS, o controlador de hardware é removido. O aparelho comporta-se como se o chip não existisse, tanto para as aplicações como para o próprio sistema. A diferença face a um interruptor nas definições não é cosmética. Um interruptor é uma política: é aplicado por uma camada que pode ser contornada por um componente suficientemente privilegiado, reativada por uma atualização ou ignorada por um sistema comprometido. Retirar o caminho de código elimina a questão, uma vez que já não há nada para ativar.

O Bluetooth é tratado ao nível Core, com a mesma lógica. Um Bluetooth desativado nas definições deixa na prática a pilha de software viva em muitos aparelhos, para alimentar os serviços de proximidade e as redes de localização colaborativas. Ausente ao nível do sistema, não pode dialogar com uma baliza de loja, nem participar numa rede do tipo Find My, nem servir de superfície de ataque sem interação.

É preciso dizer claramente o que isto não faz. O ArpokratOS não torna um telemóvel indetetável. Enquanto um cartão SIM estiver ativo, o operador conhece a célula de ligação, e nenhum sistema operativo muda isso, nem sequer com a totalidade do tráfego encaminhada por Tor. O encaminhamento protege o conteúdo e o destino, não a geometria rádio. Quem promete a invisibilidade vende uma história.

O que uma arquitetura destas traz é mais modesto: a supressão das camadas aplicacionais e de proximidade, por onde passa a esmagadora maioria da recolha real, e um modelo de ameaça explícito sobre aquilo que subsiste. É o raciocínio aplicado à escolha de um sistema de secretária, detalhado no nosso comparativo dos sistemas operativos : a questão útil não é saber se uma ferramenta protege, mas de que protege e a que preço.

Conclusão

Este artigo não fornece um método para desaparecer. Esse método não existe, e os textos que pretendem o contrário produzem sobretudo falsa confiança, mais perigosa do que a ausência de proteção porque leva a correr riscos.

O objetivo era substituir uma pergunta binária, sou localizável ou não, por uma pergunta útil: por quem, com que precisão, a que custo para eles, e isso importa-me? A resposta difere para um jornalista que protege uma fonte, um dirigente em deslocação numa jurisdição sensível, um advogado cujos encontros revelam uma estratégia, ou um particular irritado por um anunciante conhecer os seus hábitos.

O que deveria reter a atenção não é, aliás, o desempenho de cada um destes mecanismos tomado isoladamente, mas o facto de se cruzarem. Uma posição com cinquenta metros de margem não é muito interessante. Uma posição com cinquenta metros de margem, de quinze em quinze minutos, durante dois anos, desenha um domicílio, um local de trabalho, uma confissão religiosa, um estado de saúde, uma ligação amorosa, uma fonte. O dado de localização é o metadado que torna todos os outros legíveis, e é por essa razão que vale caro.

Fontes

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems , IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System , PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World , IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms , AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all? , ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police , 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data , 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking , Surveillance Self-Defense

Qual sistema operativo para a sua segurança e privacidade? Windows, macOS, Linux, Tails, Whonix e Qubes OS comparados

Mon, 22 Jun 2026 00:00:00 +0000

A escolha de um sistema operativo não é apenas uma questão de preferência de interface ou de compatibilidade de software. É também, e cada vez mais, uma decisão de segurança e privacidade. Cada OS recolhe dados de forma diferente, expõe superfícies de ataque distintas e oferece um nível de controlo muito variável ao utilizador. Este comparativo analisa os principais sistemas do mercado exclusivamente sob este ângulo, dos mais utilizados aos mais especializados.

O critério central: quem controla o seu sistema?

Antes de entrar em detalhe sobre cada OS, um princípio estruturante: a segurança de um sistema operativo depende fundamentalmente de quem detém o código e de que decisões arquitetónicas foram tomadas na conceção. Um OS proprietário de código fechado (Windows, macOS) delega essa confiança ao seu editor. Um OS open source delega essa confiança à comunidade que audita o código. Um OS concebido para a segurança compartimentada (Qubes OS) parte do princípio de que nenhum componente do sistema deve ser inteiramente digno de confiança.

Windows 11

Recolha de dados e telemetria

O Windows 11 é o OS de secretária mais utilizado no mundo e também um dos que recolhe mais dados por defeito. A Microsoft divide a sua telemetria em duas categorias oficiais:

Dados obrigatórios (não desativáveis nas edições Home e Pro): configuração de hardware, identificadores de dispositivo, relatórios de erros e estabilidade, dados de atualização e de controladores. Estes dados são transmitidos à Microsoft independentemente das preferências do utilizador.

Dados opcionais: comportamento de utilização, interações com aplicações, dados de personalização. Desativáveis nas definições, mas reativados automaticamente durante certas atualizações principais.

O Windows 11 24H2 introduziu várias novas camadas de recolha relacionadas com a IA:

Windows Recall: tira uma captura de ecrã a cada cinco segundos para criar uma linha do tempo consultável de tudo o que fez na sua máquina. Desativável, mas ativado por defeito e ligado a permissões de acesso extensíveis por outras aplicações
Copilot: cada pedido é transmitido para os servidores da Microsoft, incluindo capturas de ecrã, texto selecionado e o contexto das aplicações abertas
Defender Cloud Protection: envia hashes de ficheiros suspeitos e dados comportamentais para a cloud da Microsoft para análise

A conclusão documentada por numerosas fontes técnicas independentes é inequívoca: é impossível desativar completamente a telemetria do Windows 11 nas edições Home e Pro. A única forma de o conseguir é utilizar uma edição Enterprise ou Education, aplicar políticas de grupo específicas, ou recorrer a ferramentas de terceiros como O&O ShutUp10++ ou WPD, com os riscos de instabilidade que isso pode acarretar.

Superfície de ataque e segurança

O Windows 11 é o alvo da grande maioria dos malwares, ransomwares e exploits disponíveis no mundo, proporcionalmente à sua quota de mercado. A Microsoft introduziu mecanismos de segurança significativos (TPM 2.0 obrigatório, Secure Boot, VBS, Credential Guard), mas estes operam num modelo monolítico: uma comprometimento do kernel ou de um serviço de sistema privilegiado afeta todo o ambiente.

Veredicto segurança/privacidade: sistema mais exposto do comparativo, telemetria não desativável na totalidade, modelo de confiança inteiramente delegado à Microsoft e à jurisdição americana.

macOS

Recolha de dados e telemetria

A Apple construiu parte da sua imagem de marketing em torno da privacidade. A realidade técnica é mais matizada.

O macOS recolhe muito menos dados do que o Windows por defeito, mas a recolha continua real e parcialmente não desativável:

Gatekeeper e verificação OCSP: a cada abertura de uma aplicação, o macOS efetua uma verificação online junto dos servidores da Apple para confirmar que a aplicação não foi revogada. Este pedido transmite informações sobre a aplicação aberta e o endereço IP do dispositivo. Nenhuma definição nativa permite desativar estas verificações sem quebrar a cadeia de segurança
Análise do macOS: recolha de dados sobre a utilização do sistema, desativável em Preferências do Sistema > Privacidade > Análise
Telemetria das aplicações Apple: Maps, Siri, App Store e as outras aplicações Apple integradas mantêm cada uma a sua própria recolha, com identificadores rotativos, independentemente da definição de análise do sistema

Para ir mais longe, os especialistas em segurança recomendam a utilização de uma firewall de aplicação (Little Snitch ou LuLu, open source e gratuito) para monitorizar e bloquear as ligações de saída aplicação por aplicação.

Superfície de ataque e segurança

O macOS beneficia de vários mecanismos de segurança sólidos: System Integrity Protection (SIP) que protege os ficheiros de sistema em modo de leitura apenas, Kernel Integrity Protection ao nível do hardware nos chips Apple Silicon, sandboxing das aplicações da App Store e Secure Enclave nas máquinas mais recentes. A relação com um Apple ID é o principal vetor de recolha de dados pessoais.

Veredicto segurança/privacidade: melhor do que o Windows na telemetria por defeito, mas ainda sujeito às verificações OCSP não desativáveis, à jurisdição americana e ao modelo fechado da Apple. Difícil de auditar de forma independente.

Linux (distribuições generalistas)

O Linux não é um sistema operativo único, mas um kernel sobre o qual distribuições muito diferentes são construídas. Do ponto de vista da segurança e privacidade, partilham uma base comum mas divergem em vários pontos.

O Ubuntu é a distribuição mais popular para iniciantes. Em 2012, gerou polémica ao enviar pesquisas locais para servidores da Amazon, comportamento entretanto removido. O Ubuntu mantém a sua própria recolha de dados de utilização (whoopsie, ubuntu-report), desativável, e integra estreitamente os seus repositórios Snap controlados pela Canonical Ltd.

O Debian é a base sobre a qual o Ubuntu é construído, sem as camadas adicionadas pela Canonical. Governado por um projeto comunitário sem fins lucrativos, com um compromisso estrito com o software livre, não recolhe qualquer telemetria por defeito. A sua política de atualizações conservadora é geralmente preferível em termos de superfície de ataque.

O Fedora, patrocinado pela Red Hat (filial da IBM), é tecnicamente moderno com um ciclo de atualizações rápido. Sem telemetria por defeito, mas a relação com a Red Hat/IBM introduz uma dependência corporativa a notar.

O Linux Mint, derivado do Ubuntu, foi concebido para utilizadores vindos do Windows. Removeu os componentes mais controversos do Ubuntu (o Snap está ausente por defeito) e não introduz telemetria própria.

O Arch Linux destina-se a utilizadores avançados com uma filosofia minimalista: o utilizador instala apenas o que necessita. Sem telemetria, atualizações contínuas (rolling release), total liberdade de personalização.

O que o Linux oferece fundamentalmente

Código fonte aberto e auditável: qualquer investigador em segurança pode inspecionar o código do kernel e dos componentes principais
Ausência de telemetria imposta: nenhuma distribuição principal força uma recolha de dados não desativável
Modelo de permissões mais estrito por defeito: utilização de uma conta root separada das ações quotidianas
Superfície de ataque reduzida: o Linux é menos visado por malwares de massa

Veredicto segurança/privacidade: nitidamente superior ao Windows e ao macOS na recolha de dados. Nenhuma distribuição generalista protege contra a comprometimento de uma aplicação que se propague a todo o sistema.

Tails OS

Filosofia: a amnésia como proteção

O Tails, acrónimo de The Amnesic Incognito Live System, é um sistema operativo baseado no Debian que se fundiu com o Tor Project em 2024. A sua filosofia é radicalmente diferente de todos os outros OS: em vez de tentar proteger um ambiente persistente, elimina toda a persistência por defeito. O Tails só existe durante o tempo de uma sessão.

Arquitetura técnica

O Tails executa-se inteiramente a partir de uma pen USB (mínimo 8 GB) e funciona integralmente em RAM. Quando o desliga, não fica qualquer vestígio na máquina anfitriã: nem ficheiro temporário, nem histórico, nem credencial, nem artefacto forense no disco rígido do PC utilizado. Mesmo que esse PC esteja comprometido ao nível do software: o Tails nunca escreve no seu disco.

Tor por defeito e sem exceção

Todo o tráfego de rede do Tails é sistematicamente encaminhado através da rede Tor. Se uma aplicação tentar estabelecer uma ligação direta contornando o Tor, o Tails bloqueia-a. Não é possível usar o Tails para navegar sem Tor, mesmo por engano.

O armazenamento persistente cifrado (opcional)

Por defeito, o Tails esquece tudo a cada encerramento. Para os utilizadores que precisam de conservar certos dados entre sessões, o Tails oferece um Persistent Storage: um volume cifrado (LUKS) criado na própria pen USB, protegido por uma frase-passe. O utilizador escolhe precisamente o que aí é armazenado: certos ficheiros, configurações de aplicações, chaves PGP, etc. Este armazenamento persistente não altera a natureza amnésica do Tails em relação à máquina anfitriã; afeta apenas o que é conservado na pen USB entre duas sessões.

Ferramentas pré-instaladas

O Tails é fornecido com um conjunto de ferramentas pré-configuradas: Tor Browser, cliente de mensagens cifradas, ferramenta de cifragem de ficheiros (Kleopatra/GnuPG), clientes de mensagens seguras e LibreOffice para produtividade. Não é necessário instalar software adicional para uma utilização corrente de alta segurança.

Nota técnica 2026: O Tails 7.7 adicionou uma notificação para certificados Secure Boot obsoletos, pois as chaves Microsoft de 2011 começam a expirar em junho de 2026. Os utilizadores cujo firmware UEFI não esteja atualizado podem deixar de conseguir arrancar o Tails em certas máquinas.

O que o Tails protege e o que não protege

Ameaça	Proteção Tails
Forense do disco anfitrião após apreensão	Total: o disco anfitrião nunca é tocado
Vigilância de rede (IP, sites visitados)	Forte via Tor, mas depende da robustez do Tor
Malware persistente na máquina anfitriã	Contornada: o Tails não usa o sistema instalado
Malware de BIOS/UEFI (firmware comprometido)	Nula: o Tails não pode proteger contra o firmware da máquina utilizada
Erro humano (ligação a uma conta pessoal)	Nula: se se ligar ao Gmail no Tails, deanonimiza a sessão
Comprometimento de um software na sessão	Limitada à sessão em curso, destruída ao encerramento

Limites honestos

O Tails não é adequado para uso quotidiano: a ausência de persistência implica reconfigurar o ambiente a cada arranque
Um malware do tipo BIOS ou firmware (como um implante ao nível UEFI) pode potencialmente comprometer uma sessão Tails, pois o Tails não controla a camada de firmware da máquina em que corre
Ligar-se a uma conta pessoal (email, rede social) anula o anonimato da sessão, independentemente do Tor

Para quem?

Jornalistas que trabalham com fontes via SecureDrop, ativistas sob vigilância em regimes repressivos, qualquer pessoa que necessite de uma sessão pontual de alta sensibilidade em hardware não controlado. Utilizado por Glenn Greenwald e Laura Poitras para tratar os documentos Snowden, recomendado pela EFF, pela Freedom of the Press Foundation e pelo Tor Project.

Veredicto: ferramenta de primeira escolha para sessões pontuais de alta sensibilidade. Não é um OS principal para uso quotidiano.

Whonix

Filosofia: o anonimato estrutural via isolamento de rede

O Whonix responde a uma questão diferente da do Tails: em vez de eliminar todos os vestígios após a sessão, assegura que um malware a correr no ambiente de trabalho não pode estruturalmente conhecer o verdadeiro endereço IP do utilizador, mesmo que disponha de direitos root na máquina virtual de trabalho.

O Whonix é baseado no Debian (via KickSecure, uma versão reforçada do Debian desenvolvida pela mesma equipa) e funciona dentro de um hipervisor de tipo 2 (VirtualBox, KVM) em qualquer OS anfitrião, ou nativamente no Qubes OS como tipo 1.

A arquitetura com duas VMs

O princípio central do Whonix é uma separação estrita entre a camada de rede e a camada aplicacional, implementada através de duas máquinas virtuais distintas:

O Whonix-Gateway é a primeira VM. Executa o daemon Tor e serve exclusivamente de gateway de rede. É a única VM com acesso à Internet. Não contém nenhuma aplicação de utilizador. O seu único papel é interceptar todo o tráfego de rede de entrada e saída e forçá-lo a transitar pelo Tor.

O Whonix-Workstation é a segunda VM. É o ambiente de trabalho: navegador, mensagens, processamento de ficheiros, desenvolvimento. Está ligada à Internet apenas através da rede virtual interna que aponta para o Whonix-Gateway. Não tem qualquer acesso direto à Internet, nem capacidade de ligação que contorne o Gateway.

Eis o que acontece durante um pedido de rede a partir da Workstation:

A aplicação emite um pedido de rede
A Workstation transmite-o através da sua interface de rede interna para o Gateway
O Gateway interceta o pedido e redireciona-o via Tor (três relés sucessivos)
A resposta regressa pelo mesmo caminho em sentido inverso
A Workstation recebe a resposta sem nunca ter tido conhecimento do verdadeiro endereço IP de saída

A garantia fundamental: mesmo que um malware comprometa a Workstation com direitos root, não pode conhecer o verdadeiro endereço IP do utilizador, pois a própria Workstation nunca tem acesso a ele. A Workstation apenas vê o endereço IP interno do Gateway.

Os mecanismos de segurança adicionais

Stream isolation: o Whonix utiliza circuitos Tor distintos para diferentes aplicações (o navegador não usa o mesmo circuito que o cliente de email, etc.), o que impede a correlação de tráfego entre diferentes atividades.

Boot clock randomization: o relógio de sistema da Workstation é ligeiramente desfasado de forma aleatória a cada arranque para prevenir ataques de temporização baseados na hora exata do sistema.

sdwdate: o Whonix utiliza o seu próprio daemon de sincronização de tempo (sdwdate) que obtém a hora via Tor a partir de servidores onion, em vez do NTP clássico que poderia vazar o endereço IP.

AppArmor: perfis AppArmor reforçam o sandboxing das aplicações críticas como o Tor Browser ao nível do sistema.

VMs descartáveis: o Whonix suporta Workstations descartáveis (Whonix-Workstation DispVM no Qubes-Whonix) para tarefas pontuais sem persistência, semelhantes à abordagem Tails mas num ambiente de outra forma persistente.

Os três modos de implementação

Whonix no VirtualBox ou KVM (Tipo 2): o modo mais acessível. As duas VMs correm num OS anfitrião existente (Windows, Linux, macOS). Prático, mas introduz uma camada de confiança adicional no OS anfitrião: se o anfitrião for comprometido, a proteção do Whonix pode ser contornada.

Qubes-Whonix (Tipo 1, recomendado): o Whonix está integrado nativamente no Qubes OS como templates. O Gateway torna-se um ProxyVM (sys-whonix) e a Workstation um AppQube (anon-whonix). Esta é a configuração mais robusta pois o isolamento assenta no hipervisor Xen bare-metal em vez de num hipervisor de tipo 2 a correr sobre um OS anfitrião potencialmente vulnerável. É a combinação recomendada pelos dois projetos.

Isolamento físico (modo avançado): o Gateway e a Workstation correm em duas máquinas físicas distintas, ligadas por um cabo Ethernet. A Workstation não tem nenhuma placa de rede exceto a ligada ao Gateway. Este modo reduz drasticamente a base de confiança mas requer duas máquinas dedicadas.

O que o Whonix protege e o que não protege

Ameaça	Proteção Whonix
Fuga de endereço IP a partir da Workstation	Estruturalmente impossível por arquitetura
DNS leaks	Impossível: todo o DNS passa pelo Tor via Gateway
Malware root na Workstation que procura o IP real	Nula: não o encontrará
Comprometimento do próprio Gateway	Parcial: se o Gateway for comprometido, o IP pode vazar
Comprometimento do OS anfitrião (em modo Tipo 2)	Nula: um anfitrião comprometido pode observar as duas VMs
Deanonimização pelo comportamento do utilizador	Nula: o Whonix não protege contra erros humanos
Forense do disco após apreensão	Parcial: o Whonix é persistente por defeito, exceto VMs descartáveis

Limites honestos

O Whonix não elimina os vestígios no disco: é persistente por defeito (ao contrário do Tails). Se a sua máquina for apreendida e a cifragem do disco anfitrião estiver ausente ou for fraca, os dados das VMs são recuperáveis
Em modo Tipo 2 (VirtualBox/KVM num OS anfitrião), a segurança do Whonix é limitada pela segurança do OS anfitrião. Um anfitrião comprometido pode potencialmente observar o tráfego entre as duas VMs
O desempenho é impactado pela dupla virtualização e pelo encaminhamento via Tor: as ligações são lentas, os descarregamentos volumosos difíceis no quotidiano

Para quem?

Qualquer pessoa que necessite de um ambiente de trabalho persistente com anonimato de rede estrutural: desenvolvimento de software sensível, investigação sob pseudónimo prolongado, gestão de várias identidades digitais distintas, servidores onion. A combinação Qubes-Whonix é considerada por muitos especialistas em segurança como o ambiente de trabalho anónimo mais robusto atualmente disponível para uso quotidiano.

Veredicto: o OS de referência para o anonimato de rede estrutural num ambiente persistente. Complementar ao Tails (que gere as sessões pontuais), não concorrente.

Qubes OS

Filosofia: a segurança por compartimentação

O Qubes OS representa uma abordagem fundamentalmente diferente de todos os sistemas anteriores. Enquanto os outros OS tentam impedir as comprometimentos, o Qubes parte de um postulado radicalmente diferente: a comprometimento de certos componentes é inevitável. O objetivo é assegurar que não se pode propagar.

Criado em 2012 pela investigadora em segurança Joanna Rutkowska, o Qubes OS é publicamente recomendado por Edward Snowden, entre outros profissionais de segurança.

A arquitetura técnica

O hipervisor Xen como camada de base

O Qubes não é uma distribuição Linux no sentido clássico. Utiliza o hipervisor Xen, um software de virtualização bare-metal que se executa diretamente no hardware, sem OS anfitrião intermediário, para criar máquinas virtuais ligeiras chamadas qubes. O isolamento entre os qubes é enforced ao nível do hardware, através das tecnologias Intel VT-x/VT-d e AMD-Vi (IOMMU), que impedem as VMs de aceder à memória ou aos periféricos de outras VMs sem permissão explícita.

dom0: o domínio de confiança máxima

No topo da hierarquia encontra-se o dom0, um domínio privilegiado a partir do qual o gestor de ambiente de trabalho é executado. O dom0 gere a apresentação de todas as janelas dos outros qubes. Por segurança, o dom0 não tem nenhuma ligação de rede e não executa nenhuma aplicação de utilizador. Serve apenas para orquestrar a apresentação e a gestão dos domínios.

Os qubes: compartimentos estanques

O utilizador define tantos qubes quantos necessários, cada um correspondendo a um contexto de confiança:

Um qube “trabalho” para as aplicações profissionais
Um qube “pessoal” para emails e redes sociais
Um qube “banco” dedicado exclusivamente às transações financeiras
Um qube “não fiável” para abrir anexos suspeitos
Qubes descartáveis que desaparecem integralmente ao fechar

Cada qube dispõe da sua própria pilha de rede, do seu próprio espaço de memória e dos seus próprios processos. Um malware que comprometa o qube “não fiável” fica confinado a esse qube. Não pode aceder aos ficheiros do qube “trabalho”, nem atravessar para outros domínios.

O código de cores visual

Cada janela exibe uma margem colorida correspondente ao domínio de confiança do seu qube: vermelho para domínios não fiáveis, verde para domínios isolados de alta segurança, amarelo para domínios semi-fiáveis. Este sistema visual simples permite saber permanentemente em que contexto cada ação decorre.

Os templates e a gestão centralizada

Os qubes não contêm a sua própria instalação completa de OS: partilham templates (Fedora, Debian e Whonix por defeito). As atualizações de segurança são aplicadas ao template, e todos os qubes baseados nesse template beneficiam delas automaticamente.

PCI passthrough e isolamento de hardware

Enquanto os OS clássicos fazem funcionar os drivers de hardware no mesmo espaço que as aplicações de utilizador, o Qubes atribui cada periférico físico (placa de rede, controlador USB) a um qube dedicado via PCI passthrough. Um driver de rede comprometido não pode aceder aos dados dos outros qubes.

Integração Whonix

O Qubes integra nativamente o Whonix como templates, permitindo encaminhar o tráfego de qualquer qube via Tor de forma transparente. É a configuração Qubes-Whonix descrita na secção anterior.

O que o Qubes protege realmente

Cenário de ataque	OS clássico	Qubes OS
Malware num anexo PDF	Acesso potencial a todo o sistema	Confinado ao qube “não fiável”, destruído ao fechar
Exploração de um navegador web	Acesso ao perfil do utilizador, aos ficheiros	Confinado ao qube do navegador
Comprometimento de um driver de rede	Acesso à memória do sistema	Confinado ao qube de rede via PCI passthrough
Chave PGP roubada	Se o software de assinatura for comprometido, sim	Não, se a chave estiver num qube dedicado sem rede
Fuga entre aplicações	Possível via IPC, memória partilhada	Impossível entre qubes distintos

Limites honestos

O Qubes não protege contra uma comprometimento do dom0: se o próprio hipervisor Xen for comprometido, o isolamento pode ser quebrado (boletim QSB-115 de 9 de junho de 2026, referente a uma vulnerabilidade XSA-491)
Sem isolamento dentro do mesmo qube: duas aplicações no mesmo qube não estão isoladas uma da outra
Requisitos de hardware significativos: processador com suporte a VT-x/VT-d, mínimo de 16 GB de RAM (32 GB recomendados), 32 GB de armazenamento. As máquinas Apple Silicon não são suportadas
Curva de aprendizagem real: copiar e colar entre qubes requer uma ação consciente, a instalação de software passa pelos templates

Para quem?

O Qubes OS é concebido para perfis cujo modelo de ameaça inclui adversários sérios: jornalistas que trabalham com fontes sensíveis, advogados que gerem processos confidenciais, investigadores em segurança, profissionais que lidam com segredos industriais ou diplomáticos.

Veredicto: o padrão de referência para a segurança de um posto de trabalho pessoal face a adversários capazes. A combinação Qubes + Whonix é considerada o ambiente mais robusto atualmente disponível.

Como estes sistemas se combinam

É importante compreender que estes OS não são exclusivamente alternativos: respondem a necessidades diferentes e combinam-se frequentemente.

Qubes + Whonix: a combinação mais robusta para uso quotidiano de alta segurança. O Qubes gere a compartimentação, o Whonix gere o anonimato de rede dentro de certos qubes
Qubes + Tails: certos utilizadores avançados usam o Qubes como OS principal e arrancam o Tails a partir de um qube dedicado para sessões pontuais particularmente sensíveis
Linux + Whonix em VMs: uma entrada acessível no anonimato de rede estrutural sem a complexidade completa do Qubes

Tabela resumo

Critério	Windows 11	macOS	Linux (Debian)	Tails	Whonix	Qubes OS
Telemetria por defeito	Importante, não desativável na totalidade	Moderada, parcialmente não desativável	Nula	Nula	Nula	Nula
Código fonte auditável	Não	Não	Sim	Sim	Sim	Sim
Persistência dos dados	Permanente	Permanente	Permanente	Nula por defeito	Permanente (VMs)	Permanente por qube
Anonimato de rede	Nulo	Nulo	Nulo	Forte (Tor forçado)	Estrutural (Tor forçado)	Via integração Whonix
Isolamento entre aplicações	Fraco	Moderado	Fraco	Moderado	Moderado	Forte (hipervisor)
Resistência à comprometimento	Fraca	Moderada	Moderada	Elevada (amnésica)	Elevada (isolamento de rede)	Elevada (compartimentação)
Facilidade de utilização	Elevada	Elevada	Média	Média	Baixa a média	Baixa
Hardware necessário	Standard	Mac apenas	Standard	Standard + USB	Standard + RAM	x86-64 com VT-d, 16+ GB RAM
Perfil adequado	Uso geral	Uso geral	Perfil intermédio	Sessões pontuais sensíveis	Anonimato de rede persistente	Alta segurança quotidiana

A escolha de um OS em função da segurança não é uma decisão binária. É um alinhamento entre um modelo de ameaça real e os compromissos aceitáveis em termos de compatibilidade e conforto de utilização. Para a grande maioria dos utilizadores, uma distribuição Linux bem configurada oferece já um nível de proteção radicalmente superior ao Windows 11 ou ao macOS. Para os perfis de alta sensibilidade, o Tails , o Whonix e o Qubes OS representam três abordagens complementares, cada uma otimizada para um modelo de ameaça distinto.

Arpokrat Swap: troque as suas criptomoedas sem deixar rasto

Tue, 16 Jun 2026 00:00:00 +0000

Temos a convicção de que o ato de trocar valor não deveria deixar rasto. Hoje, concretizamos essa convicção com o lançamento do Arpokrat Swap : uma plataforma de troca de criptomoedas concebida desde a raiz para a confidencialidade absoluta.

Uma infraestrutura que não o conhece

A grande maioria das plataformas de troca, mesmo as que se autoproclamam «privadas», recolhe dados por defeito: endereço IP, cookies de sessão, impressões digitais do navegador (fingerprinting), registos de transações. Estes metadados, frequentemente subestimados, constituem um perfil comportamental explorável — por terceiros, por reguladores, ou por agentes maliciosos em caso de fuga de dados.

O Arpokrat Swap é construído sobre um princípio inverso: não podemos identificá-lo porque não tentamos fazê-lo.

Nenhum cookie — nem de sessão, nem de rastreio, nem analíticos
Nenhum registo de IP — o seu endereço de rede não é registado nem transmitido
Nenhum registo — nenhuma conta, nenhum endereço de e-mail, nenhum KYC
Nenhum fingerprinting — sem JavaScript de terceiros, sem scripts de recolha

Acessível via Tor

Para os utilizadores que pretendam uma camada de proteção adicional ao nível da rede, o Arpokrat Swap está integralmente disponível através do nosso endereço .onion:

arpokrat4asurnhw7v3s6rinjqgcwo2fx54fq7zlacawc2xuq7wppsad.onion

Acessível a partir do navegador Tor ou via Orbot, esta interface é funcionalmente idêntica à versão clearnet — sem compromissos nas funcionalidades, sem degradação da experiência.

As criptomoedas de privacidade em primeiro lugar

O Arpokrat Swap suporta mais de 350 ativos digitais em todas as principais blockchains. Prestamos especial atenção às criptomoedas com confidencialidade reforçada, que constituem o núcleo da nossa filosofia:

Monero (XMR) — transações opacas por defeito, o padrão de referência em matéria de confidencialidade on-chain
Zcash (ZEC) — pagamentos blindados via protocolo zk-SNARKs
Bitcoin (BTC) — nas redes principais e Lightning
Ethereum (ETH) — bem como o conjunto dos tokens ERC-20
Litecoin (LTC), Dogecoin (DOGE), Cardano (ADA), Solana (SOL)
Avalanche (AVAX), Polkadot (DOT), Chainlink (LINK), Uniswap (UNI)
Tether (USDT) e USD Coin (USDC) em Ethereum, Tron, BSC e Polygon
XRP, Stellar (XLM), Cosmos (ATOM), Algorand (ALGO)
Toncoin (TON), Near (NEAR), Aptos (APT), Sui (SUI)
Shiba Inu (SHIB), Pepe (PEPE) e os principais tokens memecoins
Dai (DAI), FRAX e os stablecoins descentralizados
E centenas de outros tokens e pares cross-chain

Conselho OPSEC: Para trocas que envolvam ativos rastreáveis, recomendamos utilizar Monero como intermediário — por exemplo BTC → XMR → ETH em vez de uma troca direta BTC → ETH. Isto quebra a ligação on-chain entre os dois endereços.

xStocks: ações tokenizadas, trocáveis sem corretora

O Arpokrat Swap integra também os xStocks — ações e ETF americanos tokenizados, ancorados 1:1 ao ativo subjacente detido por um depositário regulado. Cada token representa exatamente uma parte da empresa correspondente, com liquidação imediata on-chain e disponibilidade 24h/24, 7 dias/7, sem horários de bolsa.

Entre os xStocks disponíveis:

Tecnologia AAPLx Apple · MSFTx Microsoft · NVDAx NVIDIA · GOOGLx Alphabet · METAx Meta · AMZNx Amazon · TSLAx Tesla · AMDx AMD · ADBEx Adobe · ACNx Accenture · APPx Applovin · AMATx Applied Materials · APLDx Applied Digital

Finanças & Cripto-adjacente COINx Coinbase · HOODx Robinhood · MSTRx MicroStrategy · CRCLx Circle · AMBRx Amber

Saúde & Farmacêutica MRKx Merck · AZNx AstraZeneca · ABTx Abbott · ABBVx AbbVie

Consumo & Outros MCDx McDonald’s · NFLXx Netflix · GMEx GameStop

ETF & Índices SPYx S&P 500 · QQQx Nasdaq-100 · GLDx Ouro · PALLx Paládio · PPLTx Platina

E muitos outros — a lista completa ultrapassa os 131 ativos (100 ações, 27 ETF e 4 ativos especializados), disponível diretamente na plataforma.

Os xStocks não conferem direitos de voto nem dividendos diretos. Os dividendos são automaticamente reinvestidos no saldo de tokens. Restrições geográficas aplicáveis — não disponíveis para residentes dos Estados Unidos, Canadá, Reino Unido e Austrália.

Um agregador de rotas, não um único fornecedor

O Arpokrat Swap não é uma plataforma de troca própria: é um agregador. Quando inicia uma troca, consultamos simultaneamente vários fornecedores parceiros e apresentamos-lhe as melhores opções disponíveis segundo dois critérios transparentes:

1. As taxas mais baixas A taxa apresentada já inclui a totalidade das taxas — taxas de rede e comissão do fornecedor. Não paga nada adicional por utilizar o nosso agregador: a nossa comissão é deduzida diretamente da do fornecedor, sem impacto na sua taxa.

2. A classificação KYC do fornecedor Cada rota está associada a uma classificação de privacidade que estabelecemos através da leitura dos termos e condições e políticas de privacidade de cada parceiro, da sua interpelação direta sobre as suas práticas, e tendo em conta o seu historial:

Classificação	Significado
✅ A	Nunca solicita verificação de identidade
🟡 B	Raramente solicita KYC, reembolsa em caso de recusa
🟠 C	Solicita KYC raramente, reembolso em poucos dias
🔴 D	Pode solicitar KYC e potencialmente bloquear fundos

Recomendamos privilegiar as rotas classificadas com A ou B, em particular para volumes elevados ou trocas que envolvam criptomoedas com confidencialidade reforçada.

Por que razão isto muda as coisas

A maioria dos agregadores redireciona-o para a taxa mais vantajosa sem o informar sobre os riscos de privacidade associados ao fornecedor subjacente. Uma troca pode apresentar uma excelente taxa ao mesmo tempo que pratica uma política KYC agressiva que bloqueará a sua transação a posteriori e reterá os seus fundos.

O Arpokrat Swap é a única plataforma onde o custo e o risco KYC são apresentados em conjunto, permitindo-lhe fazer uma escolha informada em vez de uma arbitragem às cegas.

Aceder ao Arpokrat Swap →

O Arpokrat Swap é um serviço não-custodial. Em nenhum momento temos acesso aos seus fundos. As trocas são executadas diretamente entre a sua carteira e o fornecedor parceiro selecionado.

O Silêncio que Grita: O que é um Warrant Canary e por que o seu desaparecimento deve preocupá-lo?

Mon, 01 Jun 2026 00:00:00 +0000

No fundo das minas de carvão do século XIX, os mineiros levavam consigo canários em gaiolas. Estes pequenos pássaros, extremamente sensíveis a gases tóxicos como o monóxido de carbono, sucumbiam muito antes de os mineiros se aperceberem do perigo. Serviam assim como um sistema de alerta precoce silencioso, mas formidavelmente eficaz.

No nosso mundo digital moderno, este pássaro renasceu sob a forma do « Warrant Canary » (Canário de Mandado).

O que é um Warrant Canary?

Trata-se de uma declaração pública, publicada e atualizada regularmente por um prestador de serviços (mensagens, VPN, alojamento), afirmando que, até essa data exata, não recebeu nenhum pedido legal secreto que o obrigue a comprometer os dados dos seus utilizadores — como uma National Security Letter (NSL) americana ou uma ordem emitida por um tribunal FISA.

Toda a subtileza — e a gravidade — do canário reside no que acontece quando ele desaparece.

Se um serviço que exibia todos os meses a menção “Não recebemos ordens secretas” deixa de repente de a atualizar, o utilizador informado deduz o óbvio: o canário morreu.

A empresa foi alvo de uma medida de vigilância acompanhada de uma ordem de mordaça (gag order), que a proíbe legalmente de revelar a existência desse pedido. Não podendo dizer que foram comprometidos, simplesmente deixam de dizer que não estão.

A era da vigilância invisível e o contornar do silêncio

Numa época em que legislações extraterritoriais como o CLOUD Act e a FISA permitem ao governo americano aceder aos dados alojados por empresas sem nunca informar os visados, o Warrant Canary constitui um dos raros mecanismos para contornar este silêncio forçado.

Com o CLOUD Act, a barreira geográfica deixou de existir: se os dados estão sob o “controlo” de uma empresa americana, o governo dos Estados Unidos reivindica o direito de aceder a eles, mesmo que esses servidores estejam fisicamente localizados na Europa. O canário torna-se então o último sinal de alerta antes de a soberania digital de um utilizador ser silenciosamente sacrificada.

É por isso que os principais intervenientes na esfera da Privacy adotaram esta ferramenta como um padrão de transparência:

Proton : O serviço suíço de correio e mensagens publica um relatório de transparência que inclui um rigoroso Warrant Canary.
Riseup : O coletivo de comunicação segura para ativistas mantém um dos canários mais célebres e vigiados da web.
Arpokrat : O nosso próprio ecossistema mantém um Warrant Canary público, atualizado criptograficamente, para garantir transparência absoluta à nossa comunidade.

A análise jurídica: O direito de não mentir

A própria existência do Warrant Canary repousa sobre um dos pilares mais fascinantes do direito constitucional: a doutrina do compelled speech (discurso forçado) e a sua colisão com o segredo de justiça.

A base jurídica assenta num princípio simples: se o Estado tem o poder de lhe impor o silêncio (através de uma ordem de mordaça), não tem o poder constitucional de o forçar a mentir.

Ao abrigo da Primeira Emenda da Constituição dos Estados Unidos (e de princípios análogos na Europa), o governo não pode obrigar uma empresa a produzir uma declaração factualmente falsa. Assim, quando uma empresa remove o seu canário, não viola a ordem de silêncio — uma vez que não anuncia explicitamente ter recebido um mandado. Exerce simplesmente o seu direito fundamental de deixar de fazer uma declaração que já não é verdadeira.

O conflito com o direito europeu

A relevância do canário é hoje reforçada pelo artigo 32.º do Data Act (Regulamento UE 2023/2854). Esta disposição exige que os prestadores implementem medidas técnicas e legais para impedir o acesso aos dados por autoridades de países terceiros quando isso contraria o direito europeu. A morte de um canário sinaliza imediatamente este conflito de leis: o prestador está provavelmente a ser forçado a contornar as garantias europeias para satisfazer um mandado estrangeiro.

A abordagem da Arpokrat: Soberania by design

No ecossistema da Arpokrat, operando sob a jurisdição da LPD suíça (Lei Federal de Proteção de Dados - RS 235.1), o canário assume uma dimensão ainda mais poderosa. Inscreve-se numa abordagem holística de soberania digital: o Zero-Knowledge.

A arquitetura foi concebida de tal forma que a empresa cria uma impossibilidade técnica e matemática de obedecer a uma ordem. O Estado ou uma agência de inteligência pode emitir as ordens que quiser, a resposta será a mesma: não existem chaves privadas, não existem identidades (Zero-ID) e não existem metadados centralizados para entregar.

Neste contexto, o canário já não é apenas um alerta de comprometimento; é a prova pública contínua de que a infraestrutura permaneceu tecnicamente inviolável e fiel aos seus princípios.

Conclusão

Em suma, o Warrant Canary é a peça de agilidade jurídica que complementa a agilidade criptográfica necessária para enfrentar o horizonte das ameaças modernas (como a computação pós-quântica). Numa infraestrutura onde os dados são soberanos desde a sua conceção, o canário não é apenas um simples pássaro numa mina: é o guardião silencioso da sua fortaleza digital.

Utiq: O novo 'Super-Cookie' das operadoras de telecomunicações que ameaça a sua privacidade

Mon, 01 Jun 2026 00:00:00 +0000

O fim programado dos cookies de terceiros nos navegadores web desencadeou uma verdadeira corrida ao armamento na indústria da publicidade direcionada. Enquanto a Google tenta impor os seus próprios padrões (como o Privacy Sandbox), outro ator inesperado decidiu apoderar-se de uma fatia do bolo: o seu Fornecedor de Serviços de Internet (ISP).

Foi assim que nasceu o Utiq (anteriormente conhecido como projeto TrustPid), uma joint-venture fundada por gigantes europeus das telecomunicações. Vendido ao público em geral como uma solução “transparente e respeitosa”, o Utiq é, na realidade, o que os especialistas em cibersegurança mais temem: um “supercookie” que funciona ao nível da rede.

O que é o Utiq e como funciona?

Tradicionalmente, o rastreio publicitário (cookies) é gerido pelo seu navegador web (Chrome , Firefox , Safari ). Podia bloqueá-lo utilizando extensões (como o uBlock Origin ) ou um navegador orientado para a privacidade (como o Brave ).

O Utiq desloca o problema um passo atrás: ao nível da sua ligação de rede.

Eis como a armadilha se fecha:

A interceção da rede: Quando navega na internet através da sua ligação móvel (4G/5G) ou da sua caixa de fibra, o Utiq utiliza o seu endereço IP e os dados da sua subscrição de telecomunicações para o identificar.
O consentimento (a falsa escolha): Ao chegar a um site parceiro, uma janela pop-up pede-lhe que aceite o Utiq. Com a fadiga associada aos banners de cookies (Consent Fatigue), milhões de utilizadores clicam em “Aceitar” sem ler.
O “Network Signal”: Uma vez dado o consentimento, o Utiq contacta diretamente o seu operador de telecomunicações. Este gera um token de identificação único e pseudonimizado (o sinal de rede) que transmite aos anunciantes.

Agora é rastreável de site em site, não por um ficheiro armazenado no seu computador, mas pela própria infraestrutura que lhe fornece a internet.

Por que motivo o Utiq é um pesadelo para a privacidade (OPSEC)?

A iniciativa levanta graves problemas para a soberania digital e a confidencialidade dos seus dados:

O rastreio na origem: Ao contrário dos cookies clássicos, não pode simplesmente “limpar o seu histórico” ou “esvaziar a sua cache” para se livrar do Utiq. O token de identificação é gerado pelo seu ISP.
A centralização de perfis: Os operadores de telecomunicações já conhecem o seu nome, a sua morada física, os seus dados bancários e a sua localização em tempo real. Ao ligarem o seu histórico de navegação web através do Utiq a isto, criam uma definição de perfis comportamentais de uma precisão assustadora.
A falha da pseudonimização: O Utiq defende-se por não partilhar o seu nome em texto simples, afirmando utilizar tokens “encriptados”. No entanto, no mundo da cibersegurança, está provado que a pseudonimização é reversível. O cruzamento destes tokens com outras bases de dados permite que os indivíduos sejam facilmente reidentificados.

Quais os operadores que utilizam o Utiq?

O Utiq foi fundado por uma aliança dos quatro maiores operadores europeus. Se é cliente de um deles (ou de uma das suas filiais low-cost), a sua ligação é potencialmente já “compatível” com este rastreio.

A dica OPSEC: Embora o Utiq ofereça um portal centralizado de gestão de consentimento (consenthub.utiq.com ) para revogar o acesso, a melhor defesa continua a ser a tecnológica.

A abordagem Zero-Trust para combater o Utiq

A filosofia da soberania digital, impulsionada por ecossistemas como a Arpokrat, baseia-se num princípio simples: nunca confiar na infraestrutura de rede.

Para neutralizar tecnicamente sistemas como o Utiq, a solução é ocultar o seu tráfego ao seu próprio fornecedor de serviços de internet:

Utilização de uma VPN soberana: Ao encriptar o seu tráfego assim que sai do seu dispositivo, o seu ISP vê apenas um fluxo de dados ilegível direcionado a um servidor VPN. Já não pode injetar nem ler tokens Utiq.
A rede Tor (Orbot ): O onion routing impede qualquer identificação de ponta a ponta.
Encriptação DNS (DoH/DoT): Impede o seu operador de saber quais os websites que solicita visitar.

Em suma, o Utiq é a prova de que os fornecedores de serviços de internet já não se contentam em ser meros “tubos”; querem tornar-se corretores de dados. Mais do que nunca, encriptar o seu tráfego já não é uma opção de segurança, mas uma necessidade absoluta para preservar o seu silêncio digital.