Palm Vein Reconstruction From Electromagnetic Side-Channel Emissions: Public Perceptions of Privacy Risks

Imagine que seu corpo detém um conjunto de chaves que nunca se desgastam, nunca se perdem e não podem ser esquecidas. Esta é a promessa da tecnologia biométrica, onde sistemas utilizam traços físicos únicos, como impressões digitais ou os padrões de veias dentro de sua mão, para verificar quem você é. Ao contrário de uma senha, que você pode alterar se um hacker a roubar, as características do seu corpo são permanentes. Se um bloqueio digital for violado, você pode simplesmente mudar o código; se um sistema biométrico for comprometido, você não pode trocar sua mão ou seu rosto. Essa diferença fundamental faz com que a segurança desses sistemas seja uma questão de profunda consequência pessoal. Embora os engenheiros tenham focado há muito tempo em tornar esses sensores mais difíceis de enganar, uma nova linha de pesquisa descobriu que os próprios dispositivos podem vazar informações de maneiras inesperadas. Assim como uma estação de rádio transmite sinais que podem ser captados por um receptor, alguns scanners biométricos emitem ondas eletromagnéticas tênues que, em um ambiente de laboratório, poderiam teoricamente ser usadas para reconstruir os próprios padrões de veias que deveriam ler.

Uma equipe de pesquisadores partiu para entender não a mecânica deste potencial vazamento, mas como o público reagiria se tal risco fosse revelado. Eles não construíram um dispositivo para roubar dados, nem testaram nenhum scanner específico. Em vez disso, fizeram uma pergunta diferente: qual é o humor atual do público em relação à privacidade, confiança e controle? Para descobrir isso, eles analisaram uma vasta coleção de dados de pesquisas de vinte e sete países europeus, coletados em 2010. Este conjunto de dados, embora antigo, oferece um retrato claro de como as pessoas se sentiam sobre suas vidas digitais antes da era atual da inteligência artificial e do domínio das redes sociais. Os pesquisadores trataram a ideia de um vazamento de veias da palma da mão como um cenário para testar contra essas atitudes existentes, perguntando se as pessoas se sentiriam seguras, no controle ou traídas se soubessem que seus dados corporais poderiam ser roubados através de sinais invisíveis.

O estudo começou analisando o quanto as pessoas estavam preocupadas em serem observadas online. Os resultados mostraram um público dividido. Quarenta por cento das pessoas pesquisadas expressaram preocupação de que seu comportamento na internet estivesse sendo registrado, enquanto o restante se sentia menos incomodado ou não se importava. Essa preocupação não estava distribuída uniformemente; adultos jovens e aqueles nos seus trinta e quarenta anos eram mais propensos a estar preocupados do que aqueles com mais de cinquenta e cinco anos. No entanto, a preocupação sozinha não conta a história toda. Os pesquisadores também examinaram se as pessoas sentiam que tinham o poder de interromper esse registro ou gerenciar a informação uma vez que ela estivesse exposta. Entre aqueles que haviam compartilhado detalhes pessoais em sites sociais ou de compartilhamento, apenas vinte e seis por cento sentiam que tinham controle total sobre essa informação. Uma parcela significativa, vinte por cento, sentia que não tinha controle algum. Essa lacuna entre sentir-se preocupado e sentir-se impotente sugere que, se uma nova ameaça surgisse, as pessoas provavelmente se sentiriam ansiosas, mas indefesas, incapazes de resolver o problema com uma simples mudança de configuração.

A confiança desempenhou um papel igualmente crítico no cenário. Quando questionadas sobre quem confiavam para manter suas informações pessoais seguras, as pessoas traçaram uma linha nítida entre diferentes tipos de organizações. Instituições de saúde e médicas foram as mais confiáveis, com setenta e oito por cento dos respondentes sentindo confiança na capacidade delas de proteger os dados. Bancos e autoridades públicas também desfrutavam de altos níveis de confiança. Em forte contraste, empresas de internet eram confiadas por apenas vinte e dois por cento das pessoas pesquisadas. Esse achado é crucial para entender como um risco biométrico seria recebido. Se o scanner de um hospital apresentasse uma falha, o público poderia vê-la com um certo grau de compreensão ou paciência, dado o alto nível de confiança no cuidado médico. Mas se uma empresa de tecnologia ou uma plataforma online enfrentasse o mesmo problema, a reação seria de profundo ceticismo e indignação, pois o público já duvida da capacidade dessas entidades de guardar segredos pessoais.

Os pesquisadores também observaram como as pessoas realmente se comportam quando tentam se proteger. Cerca de metade das pessoas que usavam sites sociais tentou alterar suas configurações de privacidade padrão, mostrando uma disposição para agir. No entanto, as ações específicas que as pessoas tomavam focavam principalmente em coisas que elas podiam ver e tocar, como excluir cookies ou procurar por selos de segurança em sites. Esses são hábitos úteis para gerenciar um navegador web, mas são inúteis contra um sinal oculto vazando de um hardware. O estudo descobriu que as pessoas sentiam que tinham algum controle sobre seus perfis online, mas não possuíam as ferramentas para inspecionar as máquinas que liam seus corpos. Isso cria um descompasso perigoso: o público é solicitado a gerenciar riscos que existem muito além de sua capacidade de influência.

Talvez o achado mais revelador tenha sido como as pessoas viam a proteção de dados relacionados ao corpo. Quando questionadas se informações genéticas, como o DNA, deveriam receber proteção especial, oitenta e oito por cento, de forma esmagadora, disseram que sim. Isso sugere que as pessoas entendem intuitivamente que a informação ligada ao corpo é diferente de um nome de usuário ou um número de cartão de crédito. É vista como algo que merece cuidado extra. Os pesquisadores observaram que, embora as veias da palma da mão não sejam o código genético, o instinto do público de tratar dados ligados ao corpo como altamente sensíveis provavelmente se estenderia a elas. Se uma empresa tentasse descartar um vazamento de veias da palma da mão como uma falha técnica menor, o público provavelmente rejeitaria essa explicação, vendo a violação como uma transgressão de algo profundamente pessoal.

O estudo concluiu que uma divulgação técnica sobre vazamento biométrico não chegaria a um ambiente neutro. Ela chegaria a um mundo onde uma grande parte do público já está preocupada em ser observada, onde a confiança nas empresas de internet é baixa e onde as pessoas sentem que carecem de poder para interromper a coleta de dados. Os pesquisadores argumentaram que dizer às pessoas para "terem mais cuidado" ou "mudarem suas configurações" não funcionaria, porque o problema reside no design das máquinas e nas políticas das organizações, não nos hábitos dos usuários. A solução, sugeriram eles, deve vir das próprias instituições. Empresas e governos devem assumir total responsabilidade pela segurança do hardware, ser transparentes sobre os riscos e oferecer alternativas reais para aqueles que não desejam usar sistemas biométricos. O público não precisa de um manual sobre como interromper um sinal; precisa de uma garantia de que o sinal não será enviado, em primeiro lugar.

Ao final, esta pesquisa destaca que a segurança não é apenas um quebra-cabeça para engenheiros resolverem com um código melhor. É um contrato social que depende da confiança e do sentimento de controle. Quando um sistema utiliza uma parte do seu corpo para identificá-lo, os riscos são maiores do que com qualquer outro tipo de senha. Se esse sistema falhar, você não pode resetar sua mão. O estudo sugere que, para que essas tecnologias sejam aceitas, as pessoas que as constroem e operam devem conquistar a confiança do público por meio de ações que correspondam ao alto valor que as pessoas atribuem à sua própria identidade física. Sem essa confiança, mesmo a tecnologia mais segura parecerá um risco para as pessoas que ela se propõe a servir.