Open Letter to the International Information Security Community – Help Brazilian Security Researchers

November 2nd, 2012 – Fortaleza, Brazil

Dear Information Security Professional, Student, Evangelist, Researcher, Aficionado, Business Person, or mere Sympathizer,

Brazil is a wonderful country that has many problems. When it comes to information security, many will recognize that Brazil has good and bad examples. We have no cybercrime law in Brazil and it is close to a consensus that we need one. It has been more than 10 years that our Congress is trying to pass laws on this regard with no success. This unsuccessful path is due mostly to a lack of proximity between politicians and the Brazilian information security community and internet freedom activists. Usually lawyers and law enforcement agents are the ones to provide the theoretical support for building these law proposals that end up facxing strong opposition from society for not seeing their true interests being held (e.g. Azeredo cybercrime law proposal, known as “AI5 Digital”). This political standoff between cybercrime law proposals and society rebellion has been broken last May/2012 when a well cherished Brazilian actress had her email account breached, leaking many intimate pictures depicting her nude body. That was the case of actress Carolina Dieckmann and because of her popularity Brazilian Congress has been pushed into action (and society into passive acceptance) to pass any cybercrime law, no matter how incorrect it was. Because of that Congress has been pushing forward without the due transparency and discussion a new cybercrime law proposal altering Brazilian Federal Penal Code in order to include the definition for the crime of breaching computer security. This proposal has already been approved by Brazilian House of Representatives under the code PL2793/2011 (http://www.camara.gov.br/proposicoesWeb/fichadetramitacao?idProposicao=529011), sent to and already approved by Brazilian Senate under the code PLC35/2012 (http://www.senado.gov.br/atividade/materia/detalhes.asp?p_cod_mate=105612), and sent back to the House for final approval. This letter is a cry for help to the international community to help us Brazilians change this law proposal, for it has been advancing inexplicably fast, already reaching its last legislative stage in less than six months (being voted definitely next November 6th 2012) and when passed into law it will criminalize the building and dissemination of any tool, computer software or hardware, that might be used as means of breaching computer security, no matter who uses it or if it will be used at all. You read it right: simply writing PoC’s, sniffers, scanners, payloads, etc; giving talks about them, selling them or simply giving them away will be a crime in Brazil after this law is in effect. Please, read on, it is important that you do.

Firstly, let me briefly review the law so my words are not the only interpretation of this problem. I will show the last version of the proposal, as approved by Senate in Portuguese/Brazilian and a free translation into English afterwards.

Invasão de dispositivo informático

Art. 154-A. Invadir dispositivo informático alheio, conectado ou não a rede de computadores, mediante violação indevida de mecanismo de segurança e com o fim de obter, adulterar ou destruir dados ou informações sem autorização expressa ou tácita do titular do dispositivo ou instalar vulnerabilidades:”

Pena – detenção, de 3 (três) meses a 1 (um) ano, e multa.

§1o Na mesma pena incorre quem produz, oferece, distribui, vende ou difunde dispositivo ou programa de computador com o intuito de permitir a prática da conduta definida no caput.

§2o Aumenta-se a pena de um sexto a um terço se da invasão resulta prejuízo econômico.

§ 3o Se da invasão resultar a obtenção de conteúdo de comunicações eletrônicas privadas, segredos comerciais ou industriais, informações sigilosas, assim definidas em lei, ou o controle remoto não autorizado do dispositivo invadido:

Pena – reclusão, de 6 (seis) meses a 2 (dois) anos, e multa, se a conduta não constitui crime mais grave.

§ 4o Na hipótese do § 3o, aumenta-se a pena de um a dois terços se houver divulgação, comercialização ou transmissão a terceiro, a qualquer título, dos dados ou informações obtidos.   

Translation:

Breach of Informatics Device

Art. 154-A. Breaching informatics device of others, connected or not to a computer network, through undue violation of security mechanism and with the intent of obtaining, tampering, or destroying data or information without express or tacit authorization or installing vulnerabilities.

Sentence – detention*, from 3 (three) months to 1 (one) year, and fine.

§1o. The same sentence will be applied to whom manufactures, offers, distributes, sells, or disseminates computer program or device with the intent of allowing the practice of the conduct defined in the beginning of this article.

§2o. The sentence will be increased from one sixth to one third if the breach results in economic losses.

§3o. If the breach results in the obtention of the contents of private electronic communications, commercial or industrial secrets, privileged information, therefore defined by law, or non-authorized remote control of the breached device:

Sentence – reclusion*, from 6 (six) months to 2 (two) years, and fine, only if the conduct does not constitute worse crime.

§4o. In the case of §3o, the sentence will be increased from one to two thirds if there is divulgation, commercialization, or transmission to a third party, in any way, of the obtained data or information.

* Translation Note: reclusion and detention are two different types of arrest covered by Brazilian Penal Process.

As we can see, the main problem lies in §1o that equals breaching computer security in an undue manner to writing computer software that enables such practice. Taking into comparison, if this law was applied to the locksmith industry, It would be like criminalizing lock picking tools production because they are used by home trespassers. Worse, it is like assigning a crime to the very profession of locksmiths. There is no intent to a tool, as the law wants us to believe. What is the intent of a hammer? Nailing? Killing? The intent is in the hands of the user, not in the tool. Manufacturing, offering, distributing, selling, or disseminating firearms (devices that are usually used for killing) in Brazil is not a crime. It is regulated, but definitely not a crime. Outrageously enough, after this cybercrime law is in effect, the same will not be true to a certain type of computer software that enables legitimate professionals, students, and researchers in the computer security industry to do theirs deeds. This law if passed will represent nothing but censorship, not only indirect but also the direct kind since books like “The shellcoder’s handbook” or “Hacking Exposed” will clearly be against the law as they present computer code and techniques that “disseminate computer programs” used for hacking. Sadly enough, even if this law existed when actress Carolina Dieckmann had her email account breached, no crime would have been committed and no one would have been put in jail, for this law proposal does not cover the social engineering based phishing techniques that made the actress simply give away her password to the perpetrators. Again you read it right, if there is no violation of a security mechanism, there is no crime according to this proposal and Phishing will remain permitted even after it is passed into law. There are other already existing types of crimes in Brazil that punish fraud, but phishing in the manner used against Dieckmann is not and will not be a crime, even if the cybercrime law is passed. Interestingly, this cybercrime law proposal is nicknamed “Law Carolina Dieckmann”.

The solution is simple: most of the problem would be taken care of by completely removing §1o. Unfortunately, politicians have manifested themselves in favor of keeping §1o arguing that it is important and serves only to protect against malware, in a clear lack of knowledge of how the information security lifecycle works. Whoever thinks malware distributors and producers will be affected by this law is naive, since there are so many other laws that can put them in jail already. Also, crime laws in Brazil are interpreted by the letter, making §1o a clear threat to security professionals, creators of security testing tools, bug hunters, proof of concept software developers, malware analysts, and so on. They will be at the mercy of misguided judges that will see no different between a virus and a PoC exploit. Because of this difficulty of simply removing §1o, I have helped proposing and alternate text adding §6o in order to provide a partial solution:

§6o Não constitui crime a prática do ato mencionado no parágrafo primeiro quando a produção, oferecimento, distribuição, venda ou difusão de dispositivo ou programa de computador tiver finalidades acadêmicas, ocorrer no contexto de testes de segurança ou for praticada com o objetivo de permitir a adequada e legítima proteção de sistemas computacionais.

Translation:

§6o The practice of the act mentioned in §1o does not constitute a crime when the production, offer, distribution, sale, or dissemination of the computer program or device has academic purposes, occurs in the context of security testing or is done with aims to allow the adequate and legitimate protection of computer systems.

This alteration proposal was offered while discussions were happening in Senate, but no mention of this text was ever done publicly nor officially by any politician, even though It is known for a fact that it was presented to decision makers who have committed themselves to including this proposal in the discussions.

As members of the information security community our professional actions are not restricted to our nations, but have effect in a global scale. A cybercrime law passed in Brazil might harm colleagues in China or France, fr instance. In fact a similar law passed in Germany has done exactly that (http://www.theregister.co.uk/2009/06/07/germany_hacker_tool_law/). There are no boundaries anymore. The security industry is a whole, every body is a target, everybody is an actor, everybody helps everybody. If you are not worried about a tool you might write because you are not physically in Brazil, at least Imagine the amount of contributions to world’s computer security that will be blocked in Brazil. Imagine if this kind of legislation gains strength and starts serving as a whole model so other countries start adopting it. We must stop it right now.

I urge you Information Security Community Member to help Brazil and yourself on this matter by exposing it as publicly as possible. It is incredible when the complaints in Brazil against this law proposal started to be heard by politicians when Brazilian press gave minimum attention (http://www1.folha.uol.com.br/tec/1092515-lei-de-crimes-ciberneticos-pode-punir-inocentes-se-aprovada-dizem-especialistas.shtml). If this PRESSure continues and happens internationally I am positive Brazilian Congress will respond appropriately and change will come.

The proposal is scheduled to be voted definitely next November 6th 2012 (http://www2.camara.leg.br/agencia/noticias/POLITICA/429234-CAMARA-PODE-VOTAR-ROYALTIES,-FIM-DA-TAXA-DE-TELEFONIA-E-MARCO-CIVIL-DA-INTERNET.html). It is little time until there, and a lot of work.

I am also listing in the end of the letter the names and email addresses of all the politicians that will vote the proposal. Feel free to drop them an email with your opinion, they understand English or have people that do.

Best Wishes,

Pablo Ximenes

Information Security Researcher and Internet Freedom Activist

Information Securty Research Team (http://insert.uece.br)

Ceara State Government Security Analyst (http://ww.etice.ce.gov.br)

Security Blogger (http://ximen.es)

pablo@ximen.es

pablo@etice.ce.gov.br

pablo@insert.uece.br

VOTING POLITICIANS

“DEPUTADO(A) ABELARDO CAMARINHA – PSB – SP” <dep.abelardocamarinha@camara.leg.br>,
“DEPUTADO(A) ABELARDO LUPION – DEM – PR” <dep.abelardolupion@camara.leg.br>,
“DEPUTADO(A) ACELINO POPO – PRB – BA” <dep.acelinopopo@camara.leg.br>,
“DEPUTADO(A) ADEMIR CAMILO – PSD – MG” <dep.ademircamilo@camara.leg.br>,
“DEPUTADO(A) ADRIAN – PMDB – RJ” <dep.adrian@camara.leg.br>,
“DEPUTADO(A) AELTON FREITAS – PR – MG” <dep.aeltonfreitas@camara.leg.br>,
“DEPUTADO(A) AFONSO FLORENCE – PT – BA” <dep.afonsoflorence@camara.leg.br>,
“DEPUTADO(A) AFONSO HAMM – PP – RS” <dep.afonsohamm@camara.leg.br>,
“DEPUTADO(A) ALBERTO FILHO – PMDB – MA” <dep.albertofilho@camara.leg.br>,
“DEPUTADO(A) ALBERTO MOURAO – PSDB – SP” <dep.albertomourao@camara.leg.br>,
“DEPUTADO(A) ALCEU MOREIRA – PMDB – RS” <dep.alceumoreira@camara.leg.br>,
“DEPUTADO(A) ALESSANDRO MOLON – PT – RJ” <dep.alessandromolon@camara.leg.br>,
“DEPUTADO(A) ALEX CANZIANI – PTB – PR” <dep.alexcanziani@camara.leg.br>,
“DEPUTADO(A) ALEXANDRE CARDOSO – PSB – RJ” <dep.alexandrecardoso@camara.leg.br>,
“DEPUTADO(A) ALEXANDRE LEITE – DEM – SP” <dep.alexandreleite@camara.leg.br>,
“DEPUTADO(A) ALEXANDRE ROSO – PSB – RS” <dep.alexandreroso@camara.leg.br>,
“DEPUTADO(A) ALEXANDRE SANTOS – PMDB – RJ” <dep.alexandresantos@camara.leg.br>,
“DEPUTADO(A) ALFREDO KAEFER – PSDB – PR” <dep.alfredokaefer@camara.leg.br>,
“DEPUTADO(A) ALFREDO SIRKIS – PV – RJ” <dep.alfredosirkis@camara.leg.br>,
“DEPUTADO(A) ALICE PORTUGAL – PCdoB – BA” <dep.aliceportugal@camara.leg.br>,
“DEPUTADO(A) ALINE CORREA – PP – SP” <dep.alinecorrea@camara.leg.br>,
“DEPUTADO(A) ALMEIDA LIMA – PPS – SE” <dep.almeidalima@camara.leg.br>,
“DEPUTADO(A) AMAURI TEIXEIRA – PT – BA” <dep.amauriteixeira@camara.leg.br>,
“DEPUTADO(A) ANDERSON FERREIRA – PR – PE” <dep.andersonferreira@camara.leg.br>,
“DEPUTADO(A) ANDRE FIGUEIREDO – PDT – CE” <dep.andrefigueiredo@camara.leg.br>,
“DEPUTADO(A) ANDRE MOURA – PSC – SE” <dep.andremoura@camara.leg.br>,
“DEPUTADO(A) ANDRE VARGAS – PT – PR” <dep.andrevargas@camara.leg.br>,
“DEPUTADO(A) ANDRE ZACHAROW – PMDB – PR” <dep.andrezacharow@camara.leg.br>,
“DEPUTADO(A) ANDREIA ZITO – PSDB – RJ” <dep.andreiazito@camara.leg.br>,
“DEPUTADO(A) ANGELO AGNOLIN – PDT – TO” <dep.angeloagnolin@camara.leg.br>,
“DEPUTADO(A) ANGELO VANHONI – PT – PR” <dep.angelovanhoni@camara.leg.br>,
“DEPUTADO(A) ANIBAL GOMES – PMDB – CE” <dep.anibalgomes@camara.leg.br>,
“DEPUTADO(A) ANTHONY GAROTINHO – PR – RJ” <dep.anthonygarotinho@camara.leg.br>,
“DEPUTADO(A) ANTONIA LUCIA – PSC – AC” <dep.antonialucia@camara.leg.br>,
“DEPUTADO(A) ANTONIO ANDRADE – PMDB – MG” <dep.antonioandrade@camara.leg.br>,
“DEPUTADO(A) ANTONIO BALHMANN – PSB – CE” <dep.antoniobalhmann@camara.leg.br>,
“DEPUTADO(A) ANTONIO BRITO – PTB – BA” <dep.antoniobrito@camara.leg.br>,
“DEPUTADO(A) ANTONIO BULHOES – PRB – SP” <dep.antoniobulhoes@camara.leg.br>,
“DEPUTADO(A) ANTONIO CARLOS MAGALHAES NETO – DEM – BA” <dep.antoniocarlosmagalhaesneto@camara.leg.br>,
“DEPUTADO(A) ANTONIO CARLOS MENDES THAME – PSDB – SP” <dep.antoniocarlosmendesthame@camara.leg.br>,
“DEPUTADO(A) ANTONIO IMBASSAHY – PSDB – BA” <dep.antonioimbassahy@camara.leg.br>,
“DEPUTADO(A) ANTONIO ROBERTO – PV – MG” <dep.antonioroberto@camara.leg.br>,
“DEPUTADO(A) ARACELY DE PAULA – PR – MG” <dep.aracelydepaula@camara.leg.br>,
“DEPUTADO(A) ARIOSTO HOLANDA – PSB – CE” <dep.ariostoholanda@camara.leg.br>,
“DEPUTADO(A) ARLINDO CHINAGLIA – PT – SP” <dep.arlindochinaglia@camara.leg.br>,
“DEPUTADO(A) ARMANDO ABILIO – PTB – PB” <dep.armandoabilio@camara.leg.br>,
“DEPUTADO(A) ARMANDO VERGILIO – PSD – GO” <dep.armandovergilio@camara.leg.br>,
“DEPUTADO(A) ARNALDO FARIA DE SA – PTB – SP” <dep.arnaldofariadesa@camara.leg.br>,
“DEPUTADO(A) ARNALDO JARDIM – PPS – SP” <dep.arnaldojardim@camara.leg.br>,
“DEPUTADO(A) ARNALDO JORDY – PPS – PA” <dep.arnaldojordy@camara.leg.br>,
“DEPUTADO(A) ARNON BEZERRA – PTB – CE” <dep.arnonbezerra@camara.leg.br>,
“DEPUTADO(A) AROLDE DE OLIVEIRA – PSD – RJ” <dep.aroldedeoliveira@camara.leg.br>,
“DEPUTADO(A) ARTHUR LIRA – PP – AL” <dep.arthurlira@camara.leg.br>,
“DEPUTADO(A) ARTHUR OLIVEIRA MAIA – PMDB – BA” <dep.arthuroliveiramaia@camara.leg.br>,
“DEPUTADO(A) ARTUR BRUNO – PT – CE” <dep.arturbruno@camara.leg.br>,
“DEPUTADO(A) ASDRUBAL BENTES – PMDB – PA” <dep.asdrubalbentes@camara.leg.br>,
“DEPUTADO(A) ASSIS CARVALHO – PT – PI” <dep.assiscarvalho@camara.leg.br>,
“DEPUTADO(A) ASSIS DO COUTO – PT – PR” <dep.assisdocouto@camara.leg.br>,
“DEPUTADO(A) ASSIS MELO – PCdoB – RS” <dep.assismelo@camara.leg.br>,
“DEPUTADO(A) ATILA LINS – PSD – AM” <dep.atilalins@camara.leg.br>,
“DEPUTADO(A) AUGUSTO CARVALHO – PPS – DF” <dep.augustocarvalho@camara.leg.br>,
“DEPUTADO(A) AUGUSTO COUTINHO – DEM – PE” <dep.augustocoutinho@camara.leg.br>,
“DEPUTADO(A) AUREO – PRTB – RJ” <dep.aureo@camara.leg.br>,
“DEPUTADO(A) BENEDITA DA SILVA – PT – RJ” <dep.beneditadasilva@camara.leg.br>,
“DEPUTADO(A) BERINHO BANTIM – PSDB – RR” <dep.berinhobantim@camara.leg.br>,
“DEPUTADO(A) BERNARDO SANTANA DE VASCONCELLOS – PR – MG” <dep.bernardosantanadevasconcellos@camara.leg.br>,
“DEPUTADO(A) BETO FARO – PT – PA” <dep.betofaro@camara.leg.br>,
“DEPUTADO(A) BETO MANSUR – PP – SP” <dep.betomansur@camara.leg.br>,
“DEPUTADO(A) BIFFI – PT – MS” <dep.biffi@camara.leg.br>,
“DEPUTADO(A) BOHN GASS – PT – RS” <dep.bohngass@camara.leg.br>,
“DEPUTADO(A) BONIFACIO DE ANDRADA – PSDB – MG” <dep.bonifaciodeandrada@camara.leg.br>,
“DEPUTADO(A) BRUNA FURLAN – PSDB – SP” <dep.brunafurlan@camara.leg.br>,
“DEPUTADO(A) BRUNO ARAUJO – PSDB – PE” <dep.brunoaraujo@camara.leg.br>,
“DEPUTADO(A) CAMILO COLA – PMDB – ES” <dep.camilocola@camara.leg.br>,
“DEPUTADO(A) CANDIDO VACCAREZZA – PT – SP” <dep.candidovaccarezza@camara.leg.br>,
“DEPUTADO(A) CARLAILE PEDROSA – PSDB – MG” <dep.carlailepedrosa@camara.leg.br>,
“DEPUTADO(A) CARLINHOS ALMEIDA – PT – SP” <dep.carlinhosalmeida@camara.leg.br>,
“DEPUTADO(A) CARLOS ALBERTO LEREIA – PSDB – GO” <dep.carlosalbertolereia@camara.leg.br>,
“DEPUTADO(A) CARLOS BRANDAO – PSDB – MA” <dep.carlosbrandao@camara.leg.br>,
“DEPUTADO(A) CARLOS EDUARDO CADOCA – PSC – PE” <dep.carloseduardocadoca@camara.leg.br>,
“DEPUTADO(A) CARLOS MAGNO – PP – RO” <dep.carlosmagno@camara.leg.br>,
“DEPUTADO(A) CARLOS SAMPAIO – PSDB – SP” <dep.carlossampaio@camara.leg.br>,
“DEPUTADO(A) CARLOS SOUZA – PSD – AM” <dep.carlossouza@camara.leg.br>,
“DEPUTADO(A) CARLOS ZARATTINI – PT – SP” <dep.carloszarattini@camara.leg.br>,
“DEPUTADO(A) CARMEN ZANOTTO – PPS – SC” <dep.carmenzanotto@camara.leg.br>,
“DEPUTADO(A) CELIA ROCHA – PTB – AL” <dep.celiarocha@camara.leg.br>,
“DEPUTADO(A) CELSO MALDANER – PMDB – SC” <dep.celsomaldaner@camara.leg.br>,
“DEPUTADO(A) CESAR COLNAGO – PSDB – ES” <dep.cesarcolnago@camara.leg.br>,
“DEPUTADO(A) CESAR HALUM – PSD – TO” <dep.cesarhalum@camara.leg.br>,
“DEPUTADO(A) CHICO ALENCAR – PSOL – RJ” <dep.chicoalencar@camara.leg.br>,
“DEPUTADO(A) CHICO D’ANGELO – PT – RJ” <dep.chicodangelo@camara.leg.br>,
“DEPUTADO(A) CHICO LOPES – PCdoB – CE” <dep.chicolopes@camara.leg.br>,
“DEPUTADO(A) CIDA BORGHETTI – PP – PR” <dep.cidaborghetti@camara.leg.br>,
“DEPUTADO(A) CLAUDIO CAJADO – DEM – BA” <dep.claudiocajado@camara.leg.br>,
“DEPUTADO(A) CLAUDIO PUTY – PT – PA” <dep.claudioputy@camara.leg.br>,
“DEPUTADO(A) CLEBER VERDE – PRB – MA” <dep.cleberverde@camara.leg.br>,
“DEPUTADO(A) COSTA FERREIRA – PSC – MA” <dep.costaferreira@camara.leg.br>,
“DEPUTADO(A) DALVA FIGUEIREDO – PT – AP” <dep.dalvafigueiredo@camara.leg.br>,
“DEPUTADO(A) DAMIAO FELICIANO – PDT – PB” <dep.damiaofeliciano@camara.leg.br>,
“DEPUTADO(A) DANIEL ALMEIDA – PCdoB – BA” <dep.danielalmeida@camara.leg.br>,
“DEPUTADO(A) DANILO FORTE – PMDB – CE” <dep.daniloforte@camara.leg.br>,
“DEPUTADO(A) DANRLEI DE DEUS HINTERHOLZ – PSD – RS” <dep.danrleidedeushinterholz@camara.leg.br>,
“DEPUTADO(A) DARCISIO PERONDI – PMDB – RS” <dep.darcisioperondi@camara.leg.br>,
“DEPUTADO(A) DAVI ALCOLUMBRE – DEM – AP” <dep.davialcolumbre@camara.leg.br>,
“DEPUTADO(A) DAVI ALVES SILVA JUNIOR – PR – MA” <dep.davialvessilvajunior@camara.leg.br>,
“DEPUTADO(A) DECIO LIMA – PT – SC” <dep.deciolima@camara.leg.br>,
“DEPUTADO(A) DELEGADO PROTOGENES – PCdoB – SP” <dep.delegadoprotogenes@camara.leg.br>,
“DEPUTADO(A) DEVANIR RIBEIRO – PT – SP” <dep.devanirribeiro@camara.leg.br>,
“DEPUTADO(A) DIEGO ANDRADE – PSD – MG” <dep.diegoandrade@camara.leg.br>,
“DEPUTADO(A) DILCEU SPERAFICO – PP – PR” <dep.dilceusperafico@camara.leg.br>,
“DEPUTADO(A) DIMAS FABIANO – PP – MG” <dep.dimasfabiano@camara.leg.br>,
“DEPUTADO(A) DOMINGOS DUTRA – PT – MA” <dep.domingosdutra@camara.leg.br>,
“DEPUTADO(A) DOMINGOS NETO – PSB – CE” <dep.domingosneto@camara.leg.br>,
“DEPUTADO(A) DOMINGOS SAVIO – PSDB – MG” <dep.domingossavio@camara.leg.br>,
“DEPUTADO(A) DR. ADILSON SOARES – PR – RJ” <dep.dr.adilsonsoares@camara.leg.br>,
“DEPUTADO(A) DR. ALUIZIO – PV – RJ” <dep.dr.aluizio@camara.leg.br>,
“DEPUTADO(A) DR. DILSON DRUMOND – PDT – RJ” <dep.dr.dilsondrumond@camara.leg.br>,
“DEPUTADO(A) DR. GRILO – PSL – MG” <dep.dr.grilo@camara.leg.br>,
“DEPUTADO(A) DR. JORGE SILVA – PDT – ES” <dep.dr.jorgesilva@camara.leg.br>,
“DEPUTADO(A) DR. PAULO CESAR – PSD – RJ” <dep.dr.paulocesar@camara.leg.br>,
“DEPUTADO(A) DR. ROSINHA – PT – PR” <dep.dr.rosinha@camara.leg.br>,
“DEPUTADO(A) DUARTE NOGUEIRA – PSDB – SP” <dep.duartenogueira@camara.leg.br>,
“DEPUTADO(A) DUDIMAR PAXIUBA – PSDB – PA” <dep.dudimarpaxiuba@camara.leg.br>,
“DEPUTADO(A) EDINHO ARAUJO – PMDB – SP” <dep.edinhoaraujo@camara.leg.br>,
“DEPUTADO(A) EDINHO BEZ – PMDB – SC” <dep.edinhobez@camara.leg.br>,
“DEPUTADO(A) EDIO LOPES – PMDB – RR” <dep.ediolopes@camara.leg.br>,
“DEPUTADO(A) EDIVALDO HOLANDA JUNIOR – PTC – MA” <dep.edivaldoholandajunior@camara.leg.br>,
“DEPUTADO(A) EDMAR ARRUDA – PSC – PR” <dep.edmararruda@camara.leg.br>,
“DEPUTADO(A) EDSON APARECIDO – PSDB – SP” <dep.edsonaparecido@camara.leg.br>,
“DEPUTADO(A) EDSON EZEQUIEL – PMDB – RJ” <dep.edsonezequiel@camara.leg.br>,
“DEPUTADO(A) EDSON PIMENTA – PSD – BA” <dep.edsonpimenta@camara.leg.br>,
“DEPUTADO(A) EDSON SANTOS – PT – RJ” <dep.edsonsantos@camara.leg.br>,
“DEPUTADO(A) EDSON SILVA – PSB – CE” <dep.edsonsilva@camara.leg.br>,
“DEPUTADO(A) EDUARDO AZEREDO – PSDB – MG” <dep.eduardoazeredo@camara.leg.br>,
“DEPUTADO(A) EDUARDO BARBOSA – PSDB – MG” <dep.eduardobarbosa@camara.leg.br>,
“DEPUTADO(A) EDUARDO CUNHA – PMDB – RJ” <dep.eduardocunha@camara.leg.br>,
“DEPUTADO(A) EDUARDO DA FONTE – PP – PE” <dep.eduardodafonte@camara.leg.br>,
“DEPUTADO(A) EDUARDO GOMES – PSDB – TO” <dep.eduardogomes@camara.leg.br>,
“DEPUTADO(A) EDUARDO SCIARRA – PSD – PR” <dep.eduardosciarra@camara.leg.br>,
“DEPUTADO(A) EFRAIM FILHO – DEM – PB” <dep.efraimfilho@camara.leg.br>,
“DEPUTADO(A) ELCIONE BARBALHO – PMDB – PA” <dep.elcionebarbalho@camara.leg.br>,
“DEPUTADO(A) ELEUSES PAIVA – PSD – SP” <dep.eleusespaiva@camara.leg.br>,
“DEPUTADO(A) ELI CORREA FILHO – DEM – SP” <dep.elicorreafilho@camara.leg.br>,
“DEPUTADO(A) ELIENE LIMA – PSD – MT” <dep.elienelima@camara.leg.br>,
“DEPUTADO(A) ELISEU PADILHA – PMDB – RS” <dep.eliseupadilha@camara.leg.br>,
“DEPUTADO(A) EMANUEL FERNANDES – PSDB – SP” <dep.emanuelfernandes@camara.leg.br>,
“DEPUTADO(A) EMILIANO JOSE – PT – BA” <dep.emilianojose@camara.leg.br>,
“DEPUTADO(A) ENIO BACCI – PDT – RS” <dep.eniobacci@camara.leg.br>,
“DEPUTADO(A) ERIKA KOKAY – PT – DF” <dep.erikakokay@camara.leg.br>,
“DEPUTADO(A) ERIVELTON SANTANA – PSC – BA” <dep.eriveltonsantana@camara.leg.br>,
“DEPUTADO(A) ESPERIDIAO AMIN – PP – SC” <dep.esperidiaoamin@camara.leg.br>,
“DEPUTADO(A) EUDES XAVIER – PT – CE” <dep.eudesxavier@camara.leg.br>,
“DEPUTADO(A) EVANDRO MILHOMEN – PCdoB – AP” <dep.evandromilhomen@camara.leg.br>,
“DEPUTADO(A) FABIO FARIA – PSD – RN” <dep.fabiofaria@camara.leg.br>,
“DEPUTADO(A) FABIO RAMALHO – PV – MG” <dep.fabioramalho@camara.leg.br>,
“DEPUTADO(A) FABIO SOUTO – DEM – BA” <dep.fabiosouto@camara.leg.br>,
“DEPUTADO(A) FABIO TRAD – PMDB – MS” <dep.fabiotrad@camara.leg.br>,
“DEPUTADO(A) FATIMA BEZERRA – PT – RN” <dep.fatimabezerra@camara.leg.br>,
“DEPUTADO(A) FATIMA PELAES – PMDB – AP” <dep.fatimapelaes@camara.leg.br>,
“DEPUTADO(A) FELIPE BORNIER – PSD – RJ” <dep.felipebornier@camara.leg.br>,
“DEPUTADO(A) FELIPE MAIA – DEM – RN” <dep.felipemaia@camara.leg.br>,
“DEPUTADO(A) FELIX MENDONCA JUNIOR – PDT – BA” <dep.felixmendoncajunior@camara.leg.br>,
“DEPUTADO(A) FERNANDO COELHO FILHO – PSB – PE” <dep.fernandocoelhofilho@camara.leg.br>,
“DEPUTADO(A) FERNANDO FERRO – PT – PE” <dep.fernandoferro@camara.leg.br>,
“DEPUTADO(A) FERNANDO FRANCISCHINI – PEN – PR” <dep.fernandofrancischini@camara.leg.br>,
“DEPUTADO(A) FERNANDO MARRONI – PT – RS” <dep.fernandomarroni@camara.leg.br>,
“DEPUTADO(A) FERNANDO TORRES – PSD – BA” <dep.fernandotorres@camara.leg.br>,
“DEPUTADO(A) FILIPE PEREIRA – PSC – RJ” <dep.filipepereira@camara.leg.br>,
“DEPUTADO(A) FLAVIA MORAIS – PDT – GO” <dep.flaviamorais@camara.leg.br>,
“DEPUTADO(A) FLAVIANO MELO – PMDB – AC” <dep.flavianomelo@camara.leg.br>,
“DEPUTADO(A) FRANCISCO ARAUJO – PSD – RR” <dep.franciscoaraujo@camara.leg.br>,
“DEPUTADO(A) FRANCISCO ESCORCIO – PMDB – MA” <dep.franciscoescorcio@camara.leg.br>,
“DEPUTADO(A) FRANCISCO FLORIANO – PR – RJ” <dep.franciscofloriano@camara.leg.br>,
“DEPUTADO(A) FRANCISCO PRACIANO – PT – AM” <dep.franciscopraciano@camara.leg.br>,
“DEPUTADO(A) GABRIEL CHALITA – PMDB – SP” <dep.gabrielchalita@camara.leg.br>,
“DEPUTADO(A) GABRIEL GUIMARAES – PT – MG” <dep.gabrielguimaraes@camara.leg.br>,
“DEPUTADO(A) GENECIAS NORONHA – PMDB – CE” <dep.geneciasnoronha@camara.leg.br>,
“DEPUTADO(A) GEORGE HILTON – PRB – MG” <dep.georgehilton@camara.leg.br>,
“DEPUTADO(A) GERALDO RESENDE – PMDB – MS” <dep.geraldoresende@camara.leg.br>,
“DEPUTADO(A) GERALDO SIMOES – PT – BA” <dep.geraldosimoes@camara.leg.br>,
“DEPUTADO(A) GERALDO THADEU – PSD – MG” <dep.geraldothadeu@camara.leg.br>,
“DEPUTADO(A) GIACOBO – PR – PR” <dep.giacobo@camara.leg.br>,
“DEPUTADO(A) GILMAR MACHADO – PT – MG” <dep.gilmarmachado@camara.leg.br>,
“DEPUTADO(A) GIOVANI CHERINI – PDT – RS” <dep.giovanicherini@camara.leg.br>,
“DEPUTADO(A) GIOVANNI QUEIROZ – PDT – PA” <dep.giovanniqueiroz@camara.leg.br>,
“DEPUTADO(A) GIROTO – PMDB – MS” <dep.giroto@camara.leg.br>,
“DEPUTADO(A) GIVALDO CARIMBAO – PSB – AL” <dep.givaldocarimbao@camara.leg.br>,
“DEPUTADO(A) GLADSON CAMELI – PP – AC” <dep.gladsoncameli@camara.leg.br>,
“DEPUTADO(A) GLAUBER BRAGA – PSB – RJ” <dep.glauberbraga@camara.leg.br>,
“DEPUTADO(A) GONZAGA PATRIOTA – PSB – PE” <dep.gonzagapatriota@camara.leg.br>,
“DEPUTADO(A) GORETE PEREIRA – PR – CE” <dep.goretepereira@camara.leg.br>,
“DEPUTADO(A) GUILHERME CAMPOS – PSD – SP” <dep.guilhermecampos@camara.leg.br>,
“DEPUTADO(A) GUILHERME MUSSI – PSD – SP” <dep.guilhermemussi@camara.leg.br>,
“DEPUTADO(A) HELENO SILVA – PRB – SE” <dep.helenosilva@camara.leg.br>,
“DEPUTADO(A) HELIO SANTOS – PSD – MA” <dep.heliosantos@camara.leg.br>,
“DEPUTADO(A) HENRIQUE AFONSO – PV – AC” <dep.henriqueafonso@camara.leg.br>,
“DEPUTADO(A) HENRIQUE EDUARDO ALVES – PMDB – RN” <dep.henriqueeduardoalves@camara.leg.br>,
“DEPUTADO(A) HENRIQUE FONTANA – PT – RS” <dep.henriquefontana@camara.leg.br>,
“DEPUTADO(A) HENRIQUE OLIVEIRA – PR – AM” <dep.henriqueoliveira@camara.leg.br>,
“DEPUTADO(A) HERMES PARCIANELLO – PMDB – PR” <dep.hermesparcianello@camara.leg.br>,
“DEPUTADO(A) HEULER CRUVINEL – PSD – GO” <dep.heulercruvinel@camara.leg.br>,
“DEPUTADO(A) HOMERO PEREIRA – PSD – MT” <dep.homeropereira@camara.leg.br>,
“DEPUTADO(A) HUGO LEAL – PSC – RJ” <dep.hugoleal@camara.leg.br>,
“DEPUTADO(A) HUGO MOTTA – PMDB – PB” <dep.hugomotta@camara.leg.br>,
“DEPUTADO(A) HUGO NAPOLEAO – PSD – PI” <dep.hugonapoleao@camara.leg.br>,
“DEPUTADO(A) INOCENCIO OLIVEIRA – PR – PE” <dep.inocenciooliveira@camara.leg.br>,
“DEPUTADO(A) IRACEMA PORTELLA – PP – PI” <dep.iracemaportella@camara.leg.br>,
“DEPUTADO(A) IRAJA ABREU – PSD – TO” <dep.irajaabreu@camara.leg.br>,
“DEPUTADO(A) IRINY LOPES – PT – ES” <dep.irinylopes@camara.leg.br>,
“DEPUTADO(A) IRIS DE ARAUJO – PMDB – GO” <dep.irisdearaujo@camara.leg.br>,
“DEPUTADO(A) ISAIAS SILVESTRE – PSB – MG” <dep.isaiassilvestre@camara.leg.br>,
“DEPUTADO(A) IVAN VALENTE – PSOL – SP” <dep.ivanvalente@camara.leg.br>,
“DEPUTADO(A) IZALCI – PSDB – DF” <dep.izalci@camara.leg.br>,
“DEPUTADO(A) JAIME MARTINS – PR – MG” <dep.jaimemartins@camara.leg.br>,
“DEPUTADO(A) JAIR BOLSONARO – PP – RJ” <dep.jairbolsonaro@camara.leg.br>,
“DEPUTADO(A) JAIRO ATAIDE – DEM – MG” <dep.jairoataide@camara.leg.br>,
“DEPUTADO(A) JANDIRA FEGHALI – PCdoB – RJ” <dep.jandirafeghali@camara.leg.br>,
“DEPUTADO(A) JANETE CAPIBERIBE – PSB – AP” <dep.janetecapiberibe@camara.leg.br>,
“DEPUTADO(A) JANETE ROCHA PIETA – PT – SP” <dep.janeterochapieta@camara.leg.br>,
“DEPUTADO(A) JANIO NATAL – PRP – BA” <dep.janionatal@camara.leg.br>,
“DEPUTADO(A) JAQUELINE RORIZ – PMN – DF” <dep.jaquelineroriz@camara.leg.br>,
“DEPUTADO(A) JEAN WYLLYS – PSOL – RJ” <dep.jeanwyllys@camara.leg.br>,
“DEPUTADO(A) JEFFERSON CAMPOS – PSD – SP” <dep.jeffersoncampos@camara.leg.br>,
“DEPUTADO(A) JERONIMO GOERGEN – PP – RS” <dep.jeronimogoergen@camara.leg.br>,
“DEPUTADO(A) JESUS RODRIGUES – PT – PI” <dep.jesusrodrigues@camara.leg.br>,
“DEPUTADO(A) JHONATAN DE JESUS – PRB – RR” <dep.jhonatandejesus@camara.leg.br>,
“DEPUTADO(A) JILMAR TATTO – PT – SP” <dep.jilmartatto@camara.leg.br>,
“DEPUTADO(A) JO MORAES – PCdoB – MG” <dep.jomoraes@camara.leg.br>,
“DEPUTADO(A) JOAO ANANIAS – PCdoB – CE” <dep.joaoananias@camara.leg.br>,
“DEPUTADO(A) JOAO ARRUDA – PMDB – PR” <dep.joaoarruda@camara.leg.br>,
“DEPUTADO(A) JOAO BITTAR – DEM – MG” <dep.joaobittar@camara.leg.br>,
“DEPUTADO(A) JOAO CAMPOS – PSDB – GO” <dep.joaocampos@camara.leg.br>,
“DEPUTADO(A) JOAO CARLOS BACELAR – PR – BA” <dep.joaocarlosbacelar@camara.leg.br>,
“DEPUTADO(A) JOAO DADO – PDT – SP” <dep.joaodado@camara.leg.br>,
“DEPUTADO(A) JOAO LEAO – PP – BA” <dep.joaoleao@camara.leg.br>,
“DEPUTADO(A) JOAO LYRA – PSD – AL” <dep.joaolyra@camara.leg.br>,
“DEPUTADO(A) JOAO MAGALHAES – PMDB – MG” <dep.joaomagalhaes@camara.leg.br>,
“DEPUTADO(A) JOAO MAIA – PR – RN” <dep.joaomaia@camara.leg.br>,
“DEPUTADO(A) JOAO PAULO CUNHA – PT – SP” <dep.joaopaulocunha@camara.leg.br>,
“DEPUTADO(A) JOAO PAULO LIMA – PT – PE” <dep.joaopaulolima@camara.leg.br>,
“DEPUTADO(A) JOAO PIZZOLATTI – PP – SC” <dep.joaopizzolatti@camara.leg.br>,
“DEPUTADO(A) JOAQUIM BELTRAO – PMDB – AL” <dep.joaquimbeltrao@camara.leg.br>,
“DEPUTADO(A) JONAS DONIZETTE – PSB – SP” <dep.jonasdonizette@camara.leg.br>,
“DEPUTADO(A) JORGE BOEIRA – PSD – SC” <dep.jorgeboeira@camara.leg.br>,
“DEPUTADO(A) JORGE CORTE REAL – PTB – PE” <dep.jorgecortereal@camara.leg.br>,
“DEPUTADO(A) JORGE TADEU MUDALEN – DEM – SP” <dep.jorgetadeumudalen@camara.leg.br>,
“DEPUTADO(A) JORGINHO MELLO – PSDB – SC” <dep.jorginhomello@camara.leg.br>,
“DEPUTADO(A) JOSE AIRTON – PT – CE” <dep.joseairton@camara.leg.br>,
“DEPUTADO(A) JOSE AUGUSTO MAIA – PTB – PE” <dep.joseaugustomaia@camara.leg.br>,
“DEPUTADO(A) JOSE CARLOS ARAUJO – PSD – BA” <dep.josecarlosaraujo@camara.leg.br>,
“DEPUTADO(A) JOSE CHAVES – PTB – PE” <dep.josechaves@camara.leg.br>,
“DEPUTADO(A) JOSE DE FILIPPI – PT – SP” <dep.josedefilippi@camara.leg.br>,
“DEPUTADO(A) JOSE GUIMARAES – PT – CE” <dep.joseguimaraes@camara.leg.br>,
“DEPUTADO(A) JOSE HUMBERTO – PHS – MG” <dep.josehumberto@camara.leg.br>,
“DEPUTADO(A) JOSE LINHARES – PP – CE” <dep.joselinhares@camara.leg.br>,
“DEPUTADO(A) JOSE MENTOR – PT – SP” <dep.josementor@camara.leg.br>,
“DEPUTADO(A) JOSE NUNES – PSD – BA” <dep.josenunes@camara.leg.br>,
“DEPUTADO(A) JOSE OTAVIO GERMANO – PP – RS” <dep.joseotaviogermano@camara.leg.br>,
“DEPUTADO(A) JOSE PRIANTE – PMDB – PA” <dep.josepriante@camara.leg.br>,
“DEPUTADO(A) JOSE ROCHA – PR – BA” <dep.joserocha@camara.leg.br>,
“DEPUTADO(A) JOSE STEDILE – PSB – RS” <dep.josestedile@camara.leg.br>,
“DEPUTADO(A) JOSIAS GOMES – PT – BA” <dep.josiasgomes@camara.leg.br>,
“DEPUTADO(A) JOSUE BENGTSON – PTB – PA” <dep.josuebengtson@camara.leg.br>,
“DEPUTADO(A) JOVAIR ARANTES – PTB – GO” <dep.jovairarantes@camara.leg.br>,
“DEPUTADO(A) JULIO CAMPOS – DEM – MT” <dep.juliocampos@camara.leg.br>,
“DEPUTADO(A) JULIO CESAR – PSD – PI” <dep.juliocesar@camara.leg.br>,
“DEPUTADO(A) JULIO DELGADO – PSB – MG” <dep.juliodelgado@camara.leg.br>,
“DEPUTADO(A) JUNIOR COIMBRA – PMDB – TO” <dep.juniorcoimbra@camara.leg.br>,
“DEPUTADO(A) JUNJI ABE – PSD – SP” <dep.junjiabe@camara.leg.br>,
“DEPUTADO(A) JUTAHY JUNIOR – PSDB – BA” <dep.jutahyjunior@camara.leg.br>,
“DEPUTADO(A) KEIKO OTA – PSB – SP” <dep.keikoota@camara.leg.br>,
“DEPUTADO(A) LAEL VARELLA – DEM – MG” <dep.laelvarella@camara.leg.br>,
“DEPUTADO(A) LAERCIO OLIVEIRA – PR – SE” <dep.laerciooliveira@camara.leg.br>,
“DEPUTADO(A) LAUREZ MOREIRA – PSB – TO” <dep.laurezmoreira@camara.leg.br>,
“DEPUTADO(A) LAURIETE – PSC – ES” <dep.lauriete@camara.leg.br>,
“DEPUTADO(A) LAZARO BOTELHO – PP – TO” <dep.lazarobotelho@camara.leg.br>,
“DEPUTADO(A) LEANDRO VILELA – PMDB – GO” <dep.leandrovilela@camara.leg.br>,
“DEPUTADO(A) LELO COIMBRA – PMDB – ES” <dep.lelocoimbra@camara.leg.br>,
“DEPUTADO(A) LEONARDO GADELHA – PSC – PB” <dep.leonardogadelha@camara.leg.br>,
“DEPUTADO(A) LEONARDO MONTEIRO – PT – MG” <dep.leonardomonteiro@camara.leg.br>,
“DEPUTADO(A) LEONARDO PICCIANI – PMDB – RJ” <dep.leonardopicciani@camara.leg.br>,
“DEPUTADO(A) LEONARDO QUINTAO – PMDB – MG” <dep.leonardoquintao@camara.leg.br>,
“DEPUTADO(A) LEOPOLDO MEYER – PSB – PR” <dep.leopoldomeyer@camara.leg.br>,
“DEPUTADO(A) LILIAM SA – PSD – RJ” <dep.liliamsa@camara.leg.br>,
“DEPUTADO(A) LINCOLN PORTELA – PR – MG” <dep.lincolnportela@camara.leg.br>,
“DEPUTADO(A) LIRA MAIA – DEM – PA” <dep.liramaia@camara.leg.br>,
“DEPUTADO(A) LOURIVAL MENDES – PTdoB – MA” <dep.lourivalmendes@camara.leg.br>,
“DEPUTADO(A) LUCI CHOINACKI – PT – SC” <dep.lucichoinacki@camara.leg.br>,
“DEPUTADO(A) LUCIANA SANTOS – PCdoB – PE” <dep.lucianasantos@camara.leg.br>,
“DEPUTADO(A) LUCIANO CASTRO – PR – RR” <dep.lucianocastro@camara.leg.br>,
“DEPUTADO(A) LUCIO VALE – PR – PA” <dep.luciovale@camara.leg.br>,
“DEPUTADO(A) LUCIO VIEIRA LIMA – PMDB – BA” <dep.luciovieiralima@camara.leg.br>,
“DEPUTADO(A) LUIS CARLOS HEINZE – PP – RS” <dep.luiscarlosheinze@camara.leg.br>,
“DEPUTADO(A) LUIS TIBE – PTdoB – MG” <dep.luistibe@camara.leg.br>,
“DEPUTADO(A) LUIZ ALBERTO – PT – BA” <dep.luizalberto@camara.leg.br>,
“DEPUTADO(A) LUIZ ARGOLO – PP – BA” <dep.luizargolo@camara.leg.br>,
“DEPUTADO(A) LUIZ CARLOS – PSDB – AP” <dep.luizcarlos@camara.leg.br>,
“DEPUTADO(A) LUIZ CARLOS SETIM – DEM – PR” <dep.luizcarlossetim@camara.leg.br>,
“DEPUTADO(A) LUIZ COUTO – PT – PB” <dep.luizcouto@camara.leg.br>,
“DEPUTADO(A) LUIZ FERNANDO FARIA – PP – MG” <dep.luizfernandofaria@camara.leg.br>,
“DEPUTADO(A) LUIZ FERNANDO MACHADO – PSDB – SP” <dep.luizfernandomachado@camara.leg.br>,
“DEPUTADO(A) LUIZ NISHIMORI – PSDB – PR” <dep.luiznishimori@camara.leg.br>,
“DEPUTADO(A) LUIZ NOE – PSB – RS” <dep.luiznoe@camara.leg.br>,
“DEPUTADO(A) LUIZ PITIMAN – PMDB – DF” <dep.luizpitiman@camara.leg.br>,
“DEPUTADO(A) LUIZ SERGIO – PT – RJ” <dep.luizsergio@camara.leg.br>,
“DEPUTADO(A) LUIZA ERUNDINA – PSB – SP” <dep.luizaerundina@camara.leg.br>,
“DEPUTADO(A) MAGDA MOFATTO – PTB – GO” <dep.magdamofatto@camara.leg.br>,
“DEPUTADO(A) MANATO – PDT – ES” <dep.manato@camara.leg.br>,
“DEPUTADO(A) MANDETTA – DEM – MS” <dep.mandetta@camara.leg.br>,
“DEPUTADO(A) MANOEL JUNIOR – PMDB – PB” <dep.manoeljunior@camara.leg.br>,
“DEPUTADO(A) MANOEL SALVIANO – PSD – CE” <dep.manoelsalviano@camara.leg.br>,
“DEPUTADO(A) MARA GABRILLI – PSDB – SP” <dep.maragabrilli@camara.leg.br>,
“DEPUTADO(A) MARCAL FILHO – PMDB – MS” <dep.marcalfilho@camara.leg.br>,
“DEPUTADO(A) MARCELO AGUIAR – PSD – SP” <dep.marceloaguiar@camara.leg.br>,
“DEPUTADO(A) MARCELO CASTRO – PMDB – PI” <dep.marcelocastro@camara.leg.br>,
“DEPUTADO(A) MARCELO MATOS – PDT – RJ” <dep.marcelomatos@camara.leg.br>,
“DEPUTADO(A) MARCIO BITTAR – PSDB – AC” <dep.marciobittar@camara.leg.br>,
“DEPUTADO(A) MARCIO FRANCA – PSB – SP” <dep.marciofranca@camara.leg.br>,
“DEPUTADO(A) MARCIO MACEDO – PT – SE” <dep.marciomacedo@camara.leg.br>,
“DEPUTADO(A) MARCIO MARINHO – PRB – BA” <dep.marciomarinho@camara.leg.br>,
“DEPUTADO(A) MARCIO REINALDO MOREIRA – PP – MG” <dep.marcioreinaldomoreira@camara.leg.br>,
“DEPUTADO(A) MARCO MAIA – PT – RS” <dep.marcomaia@camara.leg.br>,
“DEPUTADO(A) MARCO TEBALDI – PSDB – SC” <dep.marcotebaldi@camara.leg.br>,
“DEPUTADO(A) MARCON – PT – RS” <dep.marcon@camara.leg.br>,
“DEPUTADO(A) MARCOS MONTES – PSD – MG” <dep.marcosmontes@camara.leg.br>,
“DEPUTADO(A) MARCOS ROGERIO – PDT – RO” <dep.marcosrogerio@camara.leg.br>,
“DEPUTADO(A) MARCUS PESTANA – PSDB – MG” <dep.marcuspestana@camara.leg.br>,
“DEPUTADO(A) MARINA SANTANNA – PT – GO” <dep.marinasantanna@camara.leg.br>,
“DEPUTADO(A) MARINHA RAUPP – PMDB – RO” <dep.marinharaupp@camara.leg.br>,
“DEPUTADO(A) MARIO DE OLIVEIRA – PSC – MG” <dep.mariodeoliveira@camara.leg.br>,
“DEPUTADO(A) MARIO NEGROMONTE – PP – BA” <dep.marionegromonte@camara.leg.br>,
“DEPUTADO(A) MARLLOS SAMPAIO – PMDB – PI” <dep.marllossampaio@camara.leg.br>,
“DEPUTADO(A) MAURICIO QUINTELLA LESSA – PR – AL” <dep.mauricioquintellalessa@camara.leg.br>,
“DEPUTADO(A) MAURICIO TRINDADE – PR – BA” <dep.mauriciotrindade@camara.leg.br>,
“DEPUTADO(A) MAURO BENEVIDES – PMDB – CE” <dep.maurobenevides@camara.leg.br>,
“DEPUTADO(A) MAURO LOPES – PMDB – MG” <dep.maurolopes@camara.leg.br>,
“DEPUTADO(A) MAURO MARIANI – PMDB – SC” <dep.mauromariani@camara.leg.br>,
“DEPUTADO(A) MAURO NAZIF – PSB – RO” <dep.mauronazif@camara.leg.br>,
“DEPUTADO(A) MENDONCA FILHO – DEM – PE” <dep.mendoncafilho@camara.leg.br>,
“DEPUTADO(A) MENDONCA PRADO – DEM – SE” <dep.mendoncaprado@camara.leg.br>,
“DEPUTADO(A) MIGUEL CORREA – PT – MG” <dep.miguelcorrea@camara.leg.br>,
“DEPUTADO(A) MILTON MONTI – PR – SP” <dep.miltonmonti@camara.leg.br>,
“DEPUTADO(A) MIRIQUINHO BATISTA – PT – PA” <dep.miriquinhobatista@camara.leg.br>,
“DEPUTADO(A) MIRO TEIXEIRA – PDT – RJ” <dep.miroteixeira@camara.leg.br>,
“DEPUTADO(A) MISSIONARIO JOSE OLIMPIO – PP – SP” <dep.missionariojoseolimpio@camara.leg.br>,
“DEPUTADO(A) MOREIRA MENDES – PSD – RO” <dep.moreiramendes@camara.leg.br>,
“DEPUTADO(A) NATAN DONADON – PMDB – RO” <dep.natandonadon@camara.leg.br>,
“DEPUTADO(A) NAZARENO FONTELES – PT – PI” <dep.nazarenofonteles@camara.leg.br>,
“DEPUTADO(A) NEILTON MULIM – PR – RJ” <dep.neiltonmulim@camara.leg.br>,
“DEPUTADO(A) NELSON BORNIER – PMDB – RJ” <dep.nelsonbornier@camara.leg.br>,
“DEPUTADO(A) NELSON MARCHEZAN JUNIOR – PSDB – RS” <dep.nelsonmarchezanjunior@camara.leg.br>,
“DEPUTADO(A) NELSON MARQUEZELLI – PTB – SP” <dep.nelsonmarquezelli@camara.leg.br>,
“DEPUTADO(A) NELSON MEURER – PP – PR” <dep.nelsonmeurer@camara.leg.br>,
“DEPUTADO(A) NELSON PADOVANI – PSC – PR” <dep.nelsonpadovani@camara.leg.br>,
“DEPUTADO(A) NEWTON CARDOSO – PMDB – MG” <dep.newtoncardoso@camara.leg.br>,
“DEPUTADO(A) NEWTON LIMA – PT – SP” <dep.newtonlima@camara.leg.br>,
“DEPUTADO(A) NICE LOBAO – PSD – MA” <dep.nicelobao@camara.leg.br>,
“DEPUTADO(A) NILDA GONDIM – PMDB – PB” <dep.nildagondim@camara.leg.br>,
“DEPUTADO(A) NILSON LEITAO – PSDB – MT” <dep.nilsonleitao@camara.leg.br>,
“DEPUTADO(A) NILTON CAPIXABA – PTB – RO” <dep.niltoncapixaba@camara.leg.br>,
“DEPUTADO(A) ODAIR CUNHA – PT – MG” <dep.odaircunha@camara.leg.br>,
“DEPUTADO(A) ODILIO BALBINOTTI – PMDB – PR” <dep.odiliobalbinotti@camara.leg.br>,
“DEPUTADO(A) ONOFRE SANTO AGOSTINI – PSD – SC” <dep.onofresantoagostini@camara.leg.br>,
“DEPUTADO(A) ONYX LORENZONI – DEM – RS” <dep.onyxlorenzoni@camara.leg.br>,
“DEPUTADO(A) OSMAR JUNIOR – PCdoB – PI” <dep.osmarjunior@camara.leg.br>,
“DEPUTADO(A) OSMAR SERRAGLIO – PMDB – PR” <dep.osmarserraglio@camara.leg.br>,
“DEPUTADO(A) OSMAR TERRA – PMDB – RS” <dep.osmarterra@camara.leg.br>,
“DEPUTADO(A) OTAVIO LEITE – PSDB – RJ” <dep.otavioleite@camara.leg.br>,
“DEPUTADO(A) OTONIEL LIMA – PRB – SP” <dep.otoniellima@camara.leg.br>,
“DEPUTADO(A) OZIEL OLIVEIRA – PDT – BA” <dep.ozieloliveira@camara.leg.br>,
“DEPUTADO(A) PADRE JOAO – PT – MG” <dep.padrejoao@camara.leg.br>,
“DEPUTADO(A) PADRE TON – PT – RO” <dep.padreton@camara.leg.br>,
“DEPUTADO(A) PAES LANDIM – PTB – PI” <dep.paeslandim@camara.leg.br>,
“DEPUTADO(A) PASTOR EURICO – PSB – PE” <dep.pastoreurico@camara.leg.br>,
“DEPUTADO(A) PASTOR MARCO FELICIANO – PSC – SP” <dep.pastormarcofeliciano@camara.leg.br>,
“DEPUTADO(A) PAUDERNEY AVELINO – DEM – AM” <dep.pauderneyavelino@camara.leg.br>,
“DEPUTADO(A) PAULO ABI-ACKEL – PSDB – MG” <dep.pauloabiackel@camara.leg.br>,
“DEPUTADO(A) PAULO CESAR QUARTIERO – DEM – RR” <dep.paulocesarquartiero@camara.leg.br>,
“DEPUTADO(A) PAULO FEIJO – PR – RJ” <dep.paulofeijo@camara.leg.br>,
“DEPUTADO(A) PAULO FERREIRA – PT – RS” <dep.pauloferreira@camara.leg.br>,
“DEPUTADO(A) PAULO FOLETTO – PSB – ES” <dep.paulofoletto@camara.leg.br>,
“DEPUTADO(A) PAULO FREIRE – PR – SP” <dep.paulofreire@camara.leg.br>,
“DEPUTADO(A) PAULO MAGALHAES – PSD – BA” <dep.paulomagalhaes@camara.leg.br>,
“DEPUTADO(A) PAULO MALUF – PP – SP” <dep.paulomaluf@camara.leg.br>,
“DEPUTADO(A) PAULO PEREIRA DA SILVA – PDT – SP” <dep.paulopereiradasilva@camara.leg.br>,
“DEPUTADO(A) PAULO PIAU – PMDB – MG” <dep.paulopiau@camara.leg.br>,
“DEPUTADO(A) PAULO PIMENTA – PT – RS” <dep.paulopimenta@camara.leg.br>,
“DEPUTADO(A) PAULO RUBEM SANTIAGO – PDT – PE” <dep.paulorubemsantiago@camara.leg.br>,
“DEPUTADO(A) PAULO TEIXEIRA – PT – SP” <dep.pauloteixeira@camara.leg.br>,
“DEPUTADO(A) PAULO WAGNER – PV – RN” <dep.paulowagner@camara.leg.br>,
“DEPUTADO(A) PEDRO CHAVES – PMDB – GO” <dep.pedrochaves@camara.leg.br>,
“DEPUTADO(A) PEDRO EUGENIO – PT – PE” <dep.pedroeugenio@camara.leg.br>,
“DEPUTADO(A) PEDRO HENRY – PP – MT” <dep.pedrohenry@camara.leg.br>,
“DEPUTADO(A) PEDRO NOVAIS – PMDB – MA” <dep.pedronovais@camara.leg.br>,
“DEPUTADO(A) PEDRO PAULO – PMDB – RJ” <dep.pedropaulo@camara.leg.br>,
“DEPUTADO(A) PEDRO UCZAI – PT – SC” <dep.pedrouczai@camara.leg.br>,
“DEPUTADO(A) PENNA – PV – SP” <dep.penna@camara.leg.br>,
“DEPUTADO(A) PERPETUA ALMEIDA – PCdoB – AC” <dep.perpetuaalmeida@camara.leg.br>,
“DEPUTADO(A) PINTO ITAMARATY – PSDB – MA” <dep.pintoitamaraty@camara.leg.br>,
“DEPUTADO(A) POLICARPO – PT – DF” <dep.policarpo@camara.leg.br>,
“DEPUTADO(A) PROFESSOR SERGIO DE OLIVEIRA – PSC – PR” <dep.professorsergiodeoliveira@camara.leg.br>,
“DEPUTADO(A) PROFESSOR SETIMO – PMDB – MA” <dep.professorsetimo@camara.leg.br>,
“DEPUTADO(A) PROFESSOR VICTORIO GALLI – PMDB – MT” <dep.professorvictoriogalli@camara.leg.br>,
“DEPUTADO(A) PROFESSORA DORINHA SEABRA REZENDE – DEM – TO” <dep.professoradorinhaseabrarezende@camara.leg.br>,
“DEPUTADO(A) RAIMUNDAO – PMDB – CE” <dep.raimundao@camara.leg.br>,
“DEPUTADO(A) RAIMUNDO GOMES DE MATOS – PSDB – CE” <dep.raimundogomesdematos@camara.leg.br>,
“DEPUTADO(A) RAUL HENRY – PMDB – PE” <dep.raulhenry@camara.leg.br>,
“DEPUTADO(A) RAUL LIMA – PSD – RR” <dep.raullima@camara.leg.br>,
“DEPUTADO(A) REBECCA GARCIA – PP – AM” <dep.rebeccagarcia@camara.leg.br>,
“DEPUTADO(A) REGINALDO LOPES – PT – MG” <dep.reginaldolopes@camara.leg.br>,
“DEPUTADO(A) REGUFFE – PDT – DF” <dep.reguffe@camara.leg.br>,
“DEPUTADO(A) REINALDO AZAMBUJA – PSDB – MS” <dep.reinaldoazambuja@camara.leg.br>,
“DEPUTADO(A) REINHOLD STEPHANES – PSD – PR” <dep.reinholdstephanes@camara.leg.br>,
“DEPUTADO(A) RENAN FILHO – PMDB – AL” <dep.renanfilho@camara.leg.br>,
“DEPUTADO(A) RENATO MOLLING – PP – RS” <dep.renatomolling@camara.leg.br>,
“DEPUTADO(A) RENZO BRAZ – PP – MG” <dep.renzobraz@camara.leg.br>,
“DEPUTADO(A) RIBAMAR ALVES – PSB – MA” <dep.ribamaralves@camara.leg.br>,
“DEPUTADO(A) RICARDO BERZOINI – PT – SP” <dep.ricardoberzoini@camara.leg.br>,
“DEPUTADO(A) RICARDO IZAR – PSD – SP” <dep.ricardoizar@camara.leg.br>,
“DEPUTADO(A) RICARDO TRIPOLI – PSDB – SP” <dep.ricardotripoli@camara.leg.br>,
“DEPUTADO(A) ROBERTO BALESTRA – PP – GO” <dep.robertobalestra@camara.leg.br>,
“DEPUTADO(A) ROBERTO BRITTO – PP – BA” <dep.robertobritto@camara.leg.br>,
“DEPUTADO(A) ROBERTO DE LUCENA – PV – SP” <dep.robertodelucena@camara.leg.br>,
“DEPUTADO(A) ROBERTO FREIRE – PPS – SP” <dep.robertofreire@camara.leg.br>,
“DEPUTADO(A) ROBERTO SANTIAGO – PSD – SP” <dep.robertosantiago@camara.leg.br>,
“DEPUTADO(A) ROBERTO TEIXEIRA – PP – PE” <dep.robertoteixeira@camara.leg.br>,
“DEPUTADO(A) RODRIGO BETHLEM – PMDB – RJ” <dep.rodrigobethlem@camara.leg.br>,
“DEPUTADO(A) RODRIGO DE CASTRO – PSDB – MG” <dep.rodrigodecastro@camara.leg.br>,
“DEPUTADO(A) RODRIGO MAIA – DEM – RJ” <dep.rodrigomaia@camara.leg.br>,
“DEPUTADO(A) ROGERIO CARVALHO – PT – SE” <dep.rogeriocarvalho@camara.leg.br>,
“DEPUTADO(A) ROGERIO MARINHO – PSDB – RN” <dep.rogeriomarinho@camara.leg.br>,
“DEPUTADO(A) ROGERIO PENINHA MENDONCA – PMDB – SC” <dep.rogeriopeninhamendonca@camara.leg.br>,
“DEPUTADO(A) ROMARIO – PSB – RJ” <dep.romario@camara.leg.br>,
“DEPUTADO(A) ROMERO RODRIGUES – PSDB – PB” <dep.romerorodrigues@camara.leg.br>,
“DEPUTADO(A) RONALDO BENEDET – PMDB – SC” <dep.ronaldobenedet@camara.leg.br>,
“DEPUTADO(A) RONALDO CAIADO – DEM – GO” <dep.ronaldocaiado@camara.leg.br>,
“DEPUTADO(A) RONALDO FONSECA – PR – DF” <dep.ronaldofonseca@camara.leg.br>,
“DEPUTADO(A) RONALDO NOGUEIRA – PTB – RS” <dep.ronaldonogueira@camara.leg.br>,
“DEPUTADO(A) RONALDO ZULKE – PT – RS” <dep.ronaldozulke@camara.leg.br>,
“DEPUTADO(A) ROSANE FERREIRA – PV – PR” <dep.rosaneferreira@camara.leg.br>,
“DEPUTADO(A) ROSE DE FREITAS – PMDB – ES” <dep.rosedefreitas@camara.leg.br>,
“DEPUTADO(A) ROSINHA DA ADEFAL – PTdoB – AL” <dep.rosinhadaadefal@camara.leg.br>,
“DEPUTADO(A) RUBENS BUENO – PPS – PR” <dep.rubensbueno@camara.leg.br>,
“DEPUTADO(A) RUBENS OTONI – PT – GO” <dep.rubensotoni@camara.leg.br>,
“DEPUTADO(A) RUI PALMEIRA – PSDB – AL” <dep.ruipalmeira@camara.leg.br>,
“DEPUTADO(A) RUY CARNEIRO – PSDB – PB” <dep.ruycarneiro@camara.leg.br>,
“DEPUTADO(A) SABINO CASTELO BRANCO – PTB – AM” <dep.sabinocastelobranco@camara.leg.br>,
“DEPUTADO(A) SALVADOR ZIMBALDI – PDT – SP” <dep.salvadorzimbaldi@camara.leg.br>,
“DEPUTADO(A) SANDES JUNIOR – PP – GO” <dep.sandesjunior@camara.leg.br>,
“DEPUTADO(A) SANDRA ROSADO – PSB – RN” <dep.sandrarosado@camara.leg.br>,
“DEPUTADO(A) SANDRO ALEX – PPS – PR” <dep.sandroalex@camara.leg.br>,
“DEPUTADO(A) SANDRO MABEL – PMDB – GO” <dep.sandromabel@camara.leg.br>,
“DEPUTADO(A) SARAIVA FELIPE – PMDB – MG” <dep.saraivafelipe@camara.leg.br>,
“DEPUTADO(A) SARNEY FILHO – PV – MA” <dep.sarneyfilho@camara.leg.br>,
“DEPUTADO(A) SEBASTIAO BALA ROCHA – PDT – AP” <dep.sebastiaobalarocha@camara.leg.br>,
“DEPUTADO(A) SERGIO BARRADAS CARNEIRO – PT – BA” <dep.sergiobarradascarneiro@camara.leg.br>,
“DEPUTADO(A) SERGIO BRITO – PSD – BA” <dep.sergiobrito@camara.leg.br>,
“DEPUTADO(A) SERGIO GUERRA – PSDB – PE” <dep.sergioguerra@camara.leg.br>,
“DEPUTADO(A) SERGIO MORAES – PTB – RS” <dep.sergiomoraes@camara.leg.br>,
“DEPUTADO(A) SEVERINO NINHO – PSB – PE” <dep.severinoninho@camara.leg.br>,
“DEPUTADO(A) SIBA MACHADO – PT – AC” <dep.sibamachado@camara.leg.br>,
“DEPUTADO(A) SILAS CAMARA – PSD – AM” <dep.silascamara@camara.leg.br>,
“DEPUTADO(A) SILVIO COSTA – PTB – PE” <dep.silviocosta@camara.leg.br>,
“DEPUTADO(A) SIMAO SESSIM – PP – RJ” <dep.simaosessim@camara.leg.br>,
“DEPUTADO(A) STEPAN NERCESSIAN – PPS – RJ” <dep.stepannercessian@camara.leg.br>,
“DEPUTADO(A) SUELI VIDIGAL – PDT – ES” <dep.suelividigal@camara.leg.br>,
“DEPUTADO(A) TAKAYAMA – PSC – PR” <dep.takayama@camara.leg.br>,
“DEPUTADO(A) TAUMATURGO LIMA – PT – AC” <dep.taumaturgolima@camara.leg.br>,
“DEPUTADO(A) TERESA SURITA – PMDB – RR” <dep.teresasurita@camara.leg.br>,
“DEPUTADO(A) TIRIRICA – PR – SP” <dep.tiririca@camara.leg.br>,
“DEPUTADO(A) TONINHO PINHEIRO – PP – MG” <dep.toninhopinheiro@camara.leg.br>,
“DEPUTADO(A) VALADARES FILHO – PSB – SE” <dep.valadaresfilho@camara.leg.br>,
“DEPUTADO(A) VALDEMAR COSTA NETO – PR – SP” <dep.valdemarcostaneto@camara.leg.br>,
“DEPUTADO(A) VALDIR COLATTO – PMDB – SC” <dep.valdircolatto@camara.leg.br>,
“DEPUTADO(A) VALDIVINO DE OLIVEIRA – PSDB – GO” <dep.valdivinodeoliveira@camara.leg.br>,
“DEPUTADO(A) VALMIR ASSUNCAO – PT – BA” <dep.valmirassuncao@camara.leg.br>,
“DEPUTADO(A) VALTENIR PEREIRA – PSB – MT” <dep.valtenirpereira@camara.leg.br>,
“DEPUTADO(A) VANDER LOUBET – PT – MS” <dep.vanderloubet@camara.leg.br>,
“DEPUTADO(A) VANDERLEI MACRIS – PSDB – SP” <dep.vanderleimacris@camara.leg.br>,
“DEPUTADO(A) VANDERLEI SIRAQUE – PT – SP” <dep.vanderleisiraque@camara.leg.br>,
“DEPUTADO(A) VAZ DE LIMA – PSDB – SP” <dep.vazdelima@camara.leg.br>,
“DEPUTADO(A) VICENTE ARRUDA – PR – CE” <dep.vicentearruda@camara.leg.br>,
“DEPUTADO(A) VICENTE CANDIDO – PT – SP” <dep.vicentecandido@camara.leg.br>,
“DEPUTADO(A) VICENTE SELISTRE – PSB – RS” <dep.vicenteselistre@camara.leg.br>,
“DEPUTADO(A) VICENTINHO – PT – SP” <dep.vicentinho@camara.leg.br>,
“DEPUTADO(A) VIEIRA DA CUNHA – PDT – RS” <dep.vieiradacunha@camara.leg.br>,
“DEPUTADO(A) VILALBA – PRB – PE” <dep.vilalba@camara.leg.br>,
“DEPUTADO(A) VILSON COVATTI – PP – RS” <dep.vilsoncovatti@camara.leg.br>,
“DEPUTADO(A) VINICIUS GURGEL – PR – AP” <dep.viniciusgurgel@camara.leg.br>,
“DEPUTADO(A) VITOR PAULO – PRB – RJ” <dep.vitorpaulo@camara.leg.br>,
“DEPUTADO(A) VITOR PENIDO – DEM – MG” <dep.vitorpenido@camara.leg.br>,
“DEPUTADO(A) WALDENOR PEREIRA – PT – BA” <dep.waldenorpereira@camara.leg.br>,
“DEPUTADO(A) WALDIR MARANHAO – PP – MA” <dep.waldirmaranhao@camara.leg.br>,
“DEPUTADO(A) WALNEY ROCHA – PTB – RJ” <dep.walneyrocha@camara.leg.br>,
“DEPUTADO(A) WALTER FELDMAN – PSDB – SP” <dep.walterfeldman@camara.leg.br>,
“DEPUTADO(A) WALTER TOSTA – PSD – MG” <dep.waltertosta@camara.leg.br>,
“DEPUTADO(A) WANDENKOLK GONCALVES – PSDB – PA” <dep.wandenkolkgoncalves@camara.leg.br>,
“DEPUTADO(A) WASHINGTON REIS – PMDB – RJ” <dep.washingtonreis@camara.leg.br>,
“DEPUTADO(A) WELITON PRADO – PT – MG” <dep.welitonprado@camara.leg.br>,
“DEPUTADO(A) WELLINGTON FAGUNDES – PR – MT” <dep.wellingtonfagundes@camara.leg.br>,
“DEPUTADO(A) WELLINGTON ROBERTO – PR – PB” <dep.wellingtonroberto@camara.leg.br>,
“DEPUTADO(A) WILLIAM DIB – PSDB – SP” <dep.williamdib@camara.leg.br>,
“DEPUTADO(A) WILSON FILHO – PMDB – PB” <dep.wilsonfilho@camara.leg.br>,
“DEPUTADO(A) WLADIMIR COSTA – PMDB – PA” <dep.wladimircosta@camara.leg.br>,
“DEPUTADO(A) WOLNEY QUEIROZ – PDT – PE” <dep.wolneyqueiroz@camara.leg.br>,
“DEPUTADO(A) ZE GERALDO – PT – PA” <dep.zegeraldo@camara.leg.br>,
“DEPUTADO(A) ZE SILVA – PDT – MG” <dep.zesilva@camara.leg.br>,
“DEPUTADO(A) ZE VIEIRA – PR – MA” <dep.zevieira@camara.leg.br>,
“DEPUTADO(A) ZECA DIRCEU – PT – PR” <dep.zecadirceu@camara.leg.br>,
“DEPUTADO(A) ZENALDO COUTINHO – PSDB – PA” <dep.zenaldocoutinho@camara.leg.br>,
“DEPUTADO(A) ZEQUINHA MARINHO – PSC – PA” <dep.zequinhamarinho@camara.leg.br>,
“DEPUTADO(A) ZEZEU RIBEIRO – PT – BA” <dep.zezeuribeiro@camara.leg.br>,
“DEPUTADO(A) ZOINHO – PR – RJ” <dep.zoinho@camara.leg.br>,

Publicado em Security | 3 Comentários

Veja sua colocação no concurso CESPE/Câmara dos Deputados 2012

Caro Concurseiro,

Em homenagem aos milhares de brasileiros e brasileiras que estão esperando ansiosamente pelo resultado do concurso da Câmara dos Deputados, preparei essa pequena calculadora estatística que usa os dados (desvio padrão e média) do ranking SuperConcurseiros.com.br para estimar a colocação geral no concurso com base na pontuação do candidato e nos 26902 inscritos menos as prováveis abstenções.

Lembre que essa amostragem estatística do Super Concurseiros não é muito representativa, pois em geral são os melhores concurseiros que colocam suas notas nesses rankings, sem falar na falta de aleatoriedade. Portanto, não se grile muito se a sua colocação na calculadora não for boa, pois, provavelmente, a média real será mais baixa e o desvio padrão será outro fazendo sua colocação real ser bem melhor.

Se você quiser, também é possível fazer prognósticos com a calculadora, mudando-se a média, desvio padrão e o percentual de abstenção do concurso. Assim, você poderá “chutar” possíveis cenários com mais rigor estatístico,

Divirta-se e veja sua provável colocação abaixo:

Publicado em Outros | 3 Comentários

Nova Lei de Crimes Cibernéticos não puniria os transgressores do caso Carolina Dieckmann

Em maio deste ano, discutimos aqui no blog o Projeto de Lei 2793 de 2011 (PL2793/2011), conhecido como Lei de Crimes Cibernéticos. A discussão se pautou na ponderação a respeito de certas proibições trazidas pela lei que teriam impacto negativo na ciência e tecnologia nacionais. O objetivo deste artigo é continuar com  a série de críticas, desta vez questionando a urgência que tem se dado à tramitação deste projeto.

Existe em tramitação no Senado Federal o projeto do Novo Código Penal que, dentre outras inovações, cuida também de crimes cibernéticos de forma que a matéria tratada pelo PL2793 tornar-se-ía obsoleta depois de aprovado o novo código. Contudo, mesmo diante de duras críticas feitas por alguns senadores pela incomum pressa dada a tramitação do PL e por este ter matéria conicidente com a reforma do código penal, a tramitação seguiu adiante. A grande justificativa para tanto é que o novo código penal demoraria muito para ser aprovado e que a sociedade precisa com urgência de uma lei de crimes cibernéticos, tendo como caso exemplar dessa necesidade, a violação da intimidade da atriz Carolina Dieckmann. Vamos entender melhor essa urgência.

Como todos sabem, o legislativo passou mais de uma década discutindo o “Projeto de Lei Azeredo” que versava, dentre outras coisas, sobre os crimes de informátca. Contudo, essa morosidade legislativa foi trocada, como num passe de mágica,  pela pressa descabida, logo depois do início de um clamor midiático causadado pela publicação de fotos íntimas da atriz Carolina Dieckmann. Esse tema ganhou tanto destaque que até foi tratado aqui no blog e em vários outros lugares. A correlação entre o PL e o caso da atriz foi tão contundente que até chegou a ensejar o apelido “Lei Dieckmann”, que foi dado ao PL em tom humorístico. Ora, não me sinto à vontade com o fato de que uma única pessoa tenha tamanha influência sobre o Poder Legislativo de nosso país, mas se pelo menos a lei pudesse proteger as vítimas que, como a atriz, tiveram a sua intimidade violada no âmbito informático, já existiria algum ganho. Contudo, a pressa é realmente inimiga da perfeição, especialmente nesse caso.

Apesar de todos os esforços do legislativo para contemporizar com o clamor público obtido pela atriz e seu advogado, o PL2793, nova proposta de tipificação de crimes cibernéticos, sequer serviria para por na cadeia os malfeitores no caso de Carolina Dieckmann. É isso mesmo! Apesar de eu não ser jurista,  fica evidente que a conduta realizada por estes indivíduos não se enquadra no novo tipo penal definido pelo PL. Não acredita? Vejamos o trecho do PL, já com as modificações trazidas pelo senado:

Art. 154-A. Invadir dispositivo informático alheio, conectado ou não a rede de computadores, mediante violação indevida de mecanismo de segurança e com o fim de obter, adulterar ou destruir dados ou informações sem autorização expressa ou tácita do titular do dispositivo ou instalar vulnerabilidades:
Pena – detenção, de 3 (três) meses a 1 (um) ano, e multa.

Quem não lembra como se sucedeu o o caso, sugiro uma breve lida em meu artigo ‘A verdade sobre as “Técnicas de Invasão” usadas no caso Carolina Dieckmann’. Lá, descrevo que, na verdade, não houve sequer invasão nenhuma. O que realmente houve foi o envio de uma mensagem de email falsa para a atriz, alegando ser originada do provedor de internet dela. A mesagem pedia vários dados cadastrais de Carolina, inclusive a senha do correio eletrônico, sob o pretexto de melhrorar a segurança. Talvez por ingenuidade, Carolina informou todos os dados solicitados. Como a mensagem era falsa, a resposta de Carolina foi destinada ao malfeitor, que se valeu da senha da atriz para adentrar sua conta de email e copiar as fotos íntimas. Veja bem, Carolina cedeu, por vontade e consciência (ainda que mediante engodo), sua senha de email, que foi usada como deveria ser, para acessar as mensagens. Não houve servidor invadido, criptografia quebrada, tráfego interceptado, infecção por código malicioso ou nada desse tipo. Assim, não houve neste caso nenhuma “violação indevida de mecanismo de segurança” nem sequer “invasão de dispositivo informático alheio”.  O atacante apenas utilizou a senha, dada por Carolina, como de praxe.

Para compreender melhor, o direito penal brasileiro se orienta pelo princípio da estrita legalidade, o que significa que, para definirmos algo como crime, não podemos sequer fazer analogia, sendo a letra da lei definidora da conduta criminosa. Ou seja, se não está expresso claramente na lei, não é crime.  Assim, o que podemos concluir quando analisamos a conduta praticada contra Carolina frente ao tipo penal trazido pelo PL2793 é que, se dependesse apenas dele, não haveria crime nenhum nesse caso. Felizmente, a conduta em questão assemelha-se ao tipo penal de estelionato, o famoso “171” de nosso código penal, uma lei que já existe e é bem mais rigorosa que o PL de crimes cibernéticos. Veja:

Art. 171 – Obter, para si ou para outrem, vantagem ilícita, em prejuízo alheio, induzindo ou mantendo alguém em erro, mediante artifício, ardil, ou qualquer outro meio fraudulento:

Pena – reclusão, de um a cinco anos, e multa.

No caso Dieckmann, o atacante realizou o que conhecemos em segurança por phishing, que é a fraude eletrônica, geralmente feita por email, onde o fraudador se faz passar por alguma organização de conhecimento da vítima (banco, provedor, etc) com objetivo de obter indevidamente seus dados pessoais. Isso é a própria personificação do que está definido no tipo penal de estelionato já que o atacante: 1) usou de ardil (um email fraudulento) para manter em erro (Carolina pensava tratar-se do provedor) com vantagem ilícita (obtenção de dados pessoais) em prejuízo alheio (intimidade violada). Haveria ainda uma discussão de que a vantagem ilícita deveria ser de cunho patrimonial e a mera violação moral não seria suficiente para configurar o tipo, mas isso já é outra estória. A questão aqui é apenas uma: a nova lei trazida pelo PL de crimes cibernéticos não puniria ninguém no caso da Carolina Dieckmann.

Tudo isso nos leva a questionar se, de fato, o PL2793/11 merece tanta urgência assim. Principalmente porque essa urgência tem sido usada como pretexto para não envolver ativamente nas discussões do projeto, os setores da sociedade interessados, como, por exemplo, os profissionais da segurança da informação, da forma democrática que outros projetos exemplarmente fizeram (vide o Marco Civil da Internet). Qual a desculpa agora?

 

Publicado em Outros | Com a tag , , , , , , , , | 5 Comentários

Security Problem with Google’s 2-Step Authentication

Hi Folks,

A couple of months ago I tried to get one of my findings accepted to Google’s Security Reward program. This is my second try, my first one was accepted, but this time they found the report wasn’t eligible. Since the reward is off the table I am free to discuss my observations publicly and I feel more people should be aware of the issue.  So, let’s go.

Below there’s a copy of the conversation I had with Google regarding the flaw I pointed out. To sum it up, it’s about their 2-step authentication (aka OTP) scheme. They have implemented a design option that yields some security issues, some of with I have pointed out in my communications with Google.
I found out they have a time window of 10 minutes in which any of the 20 OTP passwords are valid. They do this in order to better assist users with out of sync (aka. late) watches. This means that, if you have a very precise watch, it’s likely that you will have 10 minutes before your generated OTP password gets invalidated. Also, whenever you enter a valid OTP password, the time window before it  gets invalidated altogether. This is done to avoid interception, in the sense that if you have been able to login, all past OTP passwords that were generated before the one you have just used are deemed useless in case they are intercepted by an attack. This protects you well unless the attacker can intercept OTP passwords in the future, which is impossible, or is it? As a correction, I have suggested invalidating all the time window (all the 20 OTPs), or at least they could synchronize accounts.google.com’s watch with the user’s at some point, like some banks do.

I’ve prepared a very simple PoC for Firefox to exemplify my point: http://ximen.es/gmail/

Google stated they think they have the right balance between security and usability, which I disagree. So, the PoC should be still working (since they haven’t change anything). In order to understand the PoC better, please refer to the contents of the conversation below.

Thanks,

Pablo Ximenes

 

CONVERSATION:

Vulnerability Report – Applying for Reward – 2-Step Authentication in accounts.google.com

Pablo Ximenes

Jun 5

to Google
Dear Google Security Team,I have stumbled on a vulnerability that can circumvent the Two-Way Authentication scheme used in accounts.google.com.As I am aware of, the mechanism is intended to give users the easy of mind, while authenticating themselves, that:1) If an attacker intercepts my password (using MITM, for instance) he will still be unable to login to my account, because he doesn´t own my 2-step auth token.
2) If the attacker captures my OTP, he will be unable to use it because whenever I use an OTP in asuccessfull login attempt, the OTP automatically invalidates itself (avoiding replay).
3) If an attacker pretends I entered the wrong OTP (again using MITM) and gives me an error message so I enter a second OTP so the first OTP, acquired by attacker, remains unused, I still can rely on the fact that by using the latest issued OTP,  all other issued OTPs will automatically be invalidated. This way the attacker will remain with an invalid OTP.
4) etcWell, though an informal investigation I was able to determine that your policy for timeframing the accepted OTPs is 10 minutes. This means that I issue an OTP, using a accurate watch, I have up to 10 minutes to use it before it becomes invalid. I can only imagine this policy is intended as a solution for late and advanced watches that are out of sync with precise atomic time.The problem with this policy is that by allowing the system to accept OTPs in the “future” (or in the past, depending on the reference point), the system creates an attack vector that can be used by malicious users.  Using any form of MITM, an attacker could intercept the user´s authentication request, capturing both password and OTP and issue an error mesage to the user saying the OTP is wrong. The user will enter a second attempt OTP. Instead of using the second attempt OTYP, the attacker will store the second attempt OTP and continue with user authentication through the firtly entered OTP. This will leave the attacker with an unsed OTP that is good for up to aproximately 9 minutes. This will break the premisse number 3 from the list I cited in the begining of this report and if applyied more than once in a roll, will give the attacker two valid OTPs that could be used to completely deactivate 2-Step verification in the victim´s account. I consider it severe.

I have taken the liberty of assembling a modest PoC in http://ximen.es/gmail that examplifies this problem. (please bear in mind that this example could be vastly improved if it were to be weaponized)

If the PoC isn´t clear enough, I am available for answering any questions.

A solution to this isssue would be changing the current policy for accepting OTPs. Instead of invalidating only OTPs that are timed before the one that was used, it would be a good practice to invalidade all the time frame, meaning all OTPs before + All OTPs in the next X minutes, where X would be 10 minutes for maximum security (as your timeframe is 10 minutes). X could be lower, but a save value is yet to be found. You guys could balance security and usability to find it.
Another simpler solution that would counter only the particular way to use MITM in my PoC (that uses Michal´s approache) is to extend the use of GALX cookie (together with GALX POST form variable) to https://accounts.google.com/SmsAuth as well (the page users enter their OTP).

So, I leave it to the judges to give me feedback on this. I supose this should be considered an authentication bypass vulnerability on accounts.google.com with regards to the Vulnerability Rewards Program, but I will wait for your feedback.

Thanks in advance for your consideration,

Pablo Ximenes

Google Security security@google.com

Jun 5

to me
Thanks for contacting Google’s security team. This is an automatic response to let you know that we’ve received your message. If you’ve identified a security vulnerability within any of Google’s services, systems, or networks, we’ll investigate as soon as possible and follow up with you shortly.If you aren’t reporting an application security vulnerability, you won’t receive a response and we’ll be unable to take action on your message. Here’s a few links that will hopefully help you find a solution to your issue:* For Android security issues, please contact security@android.com or visit http://developer.android.com/resources/faq/security.html#issue
* For Chrome security issues, please visit http://dev.chromium.org/Home/chromium-security/reporting-security-bugs
* For account hijackings, please go here (http://goo.gl/E3Ii3) for Youtube, and here  (http://goo.gl/Jb3at) for Google Accounts (including Gmail).
* Other problems with account security in Gmail (http://goo.gl/Jcac), Youtube (http://goo.gl/iIKAe) or Checkout (http://goo.gl/GPehn).
* Requests to remove content in Search (http://goo.gl/nhm6R), Streetview (http://goo.gl/JWwp), Maps (http://goo.gl/zys9l), Youtube (http://goo.gl/RuuQF), Orkut (http://goo.gl/YVAUU), Blogger (http://goo.gl/bBHrD), or any other product (http://www.google.com/security.html).
* Report malware (http://goo.gl/dR12) or phishing (http://goo.gl/6Q9Y) sites, or inappropriate or malicious advertisements (http://goo.gl/PKpIu).
* Scams, including fake lotteries and job offers (http://goo.gl/OhRr).
* You’ve received someone else’s email (http://goo.gl/GeCe).For anything else, please check the Google Support (http://www.google.com/support/) page.Regards,
The Google Team
Pablo Ximenes

Jun 5

to Google

I forgot to mention, the PoC was designed for firefox.

It might work on other browsers, but almost certain not chrome.

Regards,

Pablo
Em 05/06/2012 13:56, “Pablo Ximenes” <pablo@ximen.es> escreveu:

>
> Dear Google Security Team,
>
>
> I have stumbled on a vulnerability that can circumvent the Two-Way Authentication scheme used in accounts.google.com.
>
> As I am aware of, the mechanism is intended to give users the easy of mind, while authenticating themselves, that:
>
> 1) If an attacker intercepts my password (using MITM, for instance) he will still be unable to login to my account, because he doesn´t own my 2-step auth token.
> 2) If the attacker captures my OTP, he will be unable to use it because whenever I use an OTP in asuccessfull login attempt, the OTP automatically invalidates itself (avoiding replay).
> 3) If an attacker pretends I entered the wrong OTP (again using MITM) and gives me an error message so I enter a second OTP so the first OTP, acquired by attacker, remains unused, I still can rely on the fact that by using the latest issued OTP,  all other issued OTPs will automatically be invalidated. This way the attacker will remain with an invalid OTP.
> 4) etc
>
>

> Well, though an informal investigation I was able to determine that your policy for timeframing the accepted OTPs is 10 minutes. This means that if I issue an OTP, using a accurate watch, I have up to 10 minutes to use it before it becomes invalid. I can only imagine this policy is intended as a solution for late and advanced watches that are out of sync with precise atomic time.

Pablo Ximenes

Jun 6

to adammein, Google

Dear Adam,

Sorry to disturb you with this, but I haven’t heard anything as feedback to my report yet and Its been almost 24 hours (which is kindda long compared to my previois experience). Is there any problem?

I am very sorry If crossed any lines with this email.

Thanks for everything,

Pablo

Em 05/06/2012 18:53, “Pablo Ximenes” <pablo@ximen.es> escreveu:

Google Security Team security@google.com

Jun 6

to me, adammein
Hey Pablo,We got this and are looking into it! Sorry for the delay but we will get
back to you shortly!Regards,
KevinOriginal Message Follows:
————————
From: Pablo Ximenes <pablo@ximen.es>
Subject: Re: Vulnerability Report – Applying for Reward – 2-Step
Authentication in accounts.google.com
Date: Wed, 6 Jun 2012 12:36:12 -0300

Google Security Team security@google.com

Jun 7

to me, adammein
Ok Pablo,I investigated this and you are correct RE: the 10 minute window. I would
however term your attack as phishing rather them MITM as you are not
intercepting requests between the client and the legitimate server. I
would not consider this a security risk although I do appreciate you
bringing it up. It is something that we were aware of already and was a
design decision for reasons I can’t get into.

Regards,
KevinOriginal Message Follows:
————————

From: “Google Security Team” <security@google.com>
Subject: Re: [#1043898468] Vulnerability Report – Applying for Reward –
2-Step  Authentication in accounts.google.com
Date: Wed, 06 Jun 2012 18:31:05 -0000

Pablo Ximenes

Jun 7

to Google, adammein

Thanks for replying.

Phishig was only a way I used to implement some sort of request interception (aka MITM) in order to exemplify the vector. Any form of MITM would do: malware on the victms pc, dns hijacking, etc. I myself used Michals switching example.

Any way, my point of view is that there’s a correctable flaw. Maybe you were aware.of the design, but not of the security problem it causes. Adittionally, I proposed a viable solution which is to invalidate all the 20 (10 minutes times 2) OTPs after a successful login attempt instead of invalidating only the the OTP used to authenticate and the ones timed before it. That would require little effort, Id assume. I read somewhere that if you as little as open a bug request based on anything.from the report, the.reporter is at least credited in the HoF. Since there’s no mention of that from your part I’d assume you.dont.plan to change anything with regards to my report.

Well, since the reward is off the table, can I at least blog about it?

PS: Sorry for the typos, Im using a tablet. Android. 🙂

Em 07/06/2012 18:42, “Google Security Team” <security@google.com> escreveu:

Pablo Ximenes

Jun 7

to Google, adammein

PS: BTW, The OTP scheme is known as a way to counter exactly these kind of phishing attacks you saw on my example. “Dont worry so much about phishing, cause they can get your passwotd, but they will never get a usable OTP if you were able to login to your account.”

Timing is one big problem for offline token based OTP schemes, and Google’s solution to that causes a serious security problem.

Em 07/06/2012 19:28, “Pablo Ximenes” <pablo@ximen.es> escreveu:

Google Security Team security@google.com

Jun 8

to me, adammein
Pablo,Thank you for your note, I appreciate your concerns however we feel we
have the right balance between security and usability, unfortunately this
issue is not eligible for the VRP.

Regards,
Kevin

Original Message Follows:
————————

From: Pablo Ximenes <pablo@ximen.es>

Subject: Re: [#1043898468] Vulnerability Report – Applying for Reward –
2-Step
Authentication in accounts.google.com

Date: Thu, 7 Jun 2012 19:56:56 -0300

Pablo Ximenes

Jun 8

to Google

Ok, I got that. I wanna know about me.bloging about it. 🙂

Is that OK?

Em 08/06/2012 14:17, “Google Security Team” <security@google.com> escreveu:

Google Security Team security@google.com

Jun 8

to me

Sure, it’s a free world (ideally anyway) please feel free to publish
whatever you like.

Regards,
Kevin
Original Message Follows:
————————
From: Pablo Ximenes <pablo@ximen.es>
Subject: Re: [#1043898468] Vulnerability Report – Applying for Reward –
2-Step
Authentication in accounts.google.com

Date: Fri, 8 Jun 2012 14:18:54 -0300

 

Publicado em Security | 4 Comentários

Lei de crimes cibernéticos (PL2793/2011) precisa ser melhorada sob pena de prejudicar nossa defesa nacional.

O Projeto de Lei 2793 de 2011 (PL2793/2011), conhecido como Lei de Crimes Cibernéticos (ou de forma mais jocosa, Lei Dieckmann), em seu art. 2o., especificamente na porção que institui o novo tipo penal de invasão de computadores, através da adição a nosso código penal do Art. 154A e atravé dele criminaliza também a produção, difusão, venda e criação de programas de computador usados como ferramentas de ataque cibernético.  Vejamos a íntegra do disposito para melhor compreensão:

Art. 154-A. Devassar dispositivo informático alheio, conectado ou não a rede de computadores, mediante violação indevida de mecanismo de segurança e com o fim de obter, adulterar ou destruir dados ou informações sem autorização expressa ou tácita do titular do dispositivo, instalar vulnerabilidades ou obter vantagem ilícita:
Pena – detenção, de 3 (três) meses a 1 (um) ano, e multa.
§ 1º Na mesma pena incorre quem produz, oferece, distribui, vende ou difunde programa de computador com o intuito de permitir a prática da conduta definida no caput.

Inicialmente, vamos analisar a interpretação mais abrangente, onde a lei criminalizaria o uso qualquer ferramenta informática com o mero feito de esta ser usada em um ataque cibernético de invasão de computadores.  Tal interpretação é imprópria. É o mesmo que criminalizar o a Tramontina pode ter uma de suas facas usada em um assassinato. Imaginem um ataque que se vale de Windows XP como instrumento (o terminal de ataque, por exemplo): representantes da microsoft, distribuidores de licensas, professores de cursos de informática iriam para a cadeia? Imagino que essa interpretação extrema não se sustente e sucumba ao bom senso do judiciário, contudo com bem menos espaço interpretativo as autoridades já fizeram atrocidades em nosso país fazendo parecer que nosso judiciário se preocupa mais com a legalidade do que com a justiça.

Vamos à outra interpretação, que é a mais relevante à nossa discussão e que diz respeito a ferramentas de (in)segurança, aquelas que são usadas especificamente em ações de quebra de segurança.

Em primeiro lugar, grande parte de tais ferramentas não possuem propósito único. Podem ser usadas com diversos intuitos, fato que remonta ao argumento anterior. Por exemplo, uma ferramena de análise de tráfego do tipo sniffer pode ser usada tando para diagnosticar uma rede como para capturar senhas que trafegam sem criptografia. Em segundo lugar, mesmo as ferramentas que tenham sido especificamente criadas com o intuito de quebrar a segurança não podem deixar de existir livremente em nosso meio. Elas são muito importantes para a ciência e tecnologia de um país.

É imperativo conhecer as técnicas de ataque, com exemplos, provas de conceito, implementações práticas, discussões abertas, cursos, etc, para que sejamos capazes de, no mínimo, nos defender. Isso é uma máxima comum no meio da segurança da informação. Por exemplo, vários artigos são escritos demonstrando como um determinado protocolo de criptografia (ou sua implentação) é falho, muitos deles publicam programa exemplo que demonstra a falha. Com o desenrolar desta lei, inibiremos a atividade de muitos profissionais que é vital para a segurança da informação. A principal estratégia de prova de uma fragilidade de segurança é a criação de software que demonstra a sua quebra. Difundir essas ferramentas, com demonstrações práticas é o passo inicial reforçar a segurança de muitos sistemas. Em um exemplo pessoal, cito o início de meus estudos na antiga Escola Técnica Federal do Ceara (hoje IFCE). Logo no primeiro semestre peguei emprestado da biblioteca o livro entitulado “Vírus de Computador”. Era u livro com instruções de como desenhar estes estes prograsm e incluía, dentre ostras coisas, códigos fontes de vírus em várias linguagens. Minha curiosidade me fez estudar o livro com afinco, e este estudo foi uma das bases para o que o hoje conheço de segurança da informação. Um livro como esse seria classificado, no mínimo, como “difundir” (pois passava adiante a idéia) e “distribuir” (pois o livro possuía códigos fontes) programa de computador que permite a invasão de dispositivo informático. Este livro seria literalmente censurado e eu provavelmente não teria inciado meus estudos sobre softwares maliciosos. Imagine isso amplificado para toda a sociedade e para qualquer software que verse sobre insegurança de computadores.

Permitir a livre distribuição, criação,difusão e até venda é permitir que o conhecimento nessa área se difunda, cresça e se solidifique. Naõ vejo a CENSURA AO CONHECIMENTO como mecanismo eficaz de proteção social, pelo contrário (vide a ditadura militar). Não poderíamos ter mais CURSOS de metasploit, por exemplo, pois seria difusão de ferramenta usada com intuito de devassar computadores.

E agora o ponto que quebra por completo a linha de raciocício do PL: os principais KITs de software usados por criminosos não são adquiridos no Brasil, mas no exterior, muitos deles da Rússia. Vide o mais recente deles, o RedKit, que é extremamente fácil de usar e serve para criar e gerir botnets. Ou seja, essa proibição nem de perto dificultaria os principais esquemas criminosos que se valem de tais ferramentas. Em outras palavras, não traria nenhum benefício para nossa nação, deixando a lei inóqua.

Contudo, Criar essa proibição no Brasil é dilacerar a ciência e tecnologia na área da segurança da informação. Isso nos deixará, como País, órfãos, capengas em uma área estratégica para a segurança nacional. É importante entender que CiberGuerra saiu do campo da ficção e é de fato realidade. Vide o caso americano que recentemente estampou o prestigioso New York Times, onde uma ordem secreta do presidente Barack Obama fez dos EUA o principal criador do famigerado StuxNet, malware (um tipo de vírus de computador) desenhado como arma cibernética para desativar a planta nuclear Iraniana, mas que acabou invadindo computadores civis de todo o mundo. Não podemos ficar atrás. Temos muita gente talentosa que não pode ficar refém de uma lei, que apesar de bem intencionado, trará muitos prejuízos.

Fizeram algo semelhante na alemanha, em 2007, o que foi criticado internacionalmente. E olhe que o regime jurídico alemão permite uma maior liberdade na interpretação das leis que o regime Brasileiro. Na Alemanha, o texto de justificativa dos projetos de lei é sempre levado em conta pelos juízes na hora de proferir suas sentenças. No Brasil, apesar da doutrina da “intenção do legislador”, somos muito atrelados à exclusividade do texto legal, especialmente em matérias penais.

As profissões na área da Computação não são regulamentadas e isso trouxe inúmeras vantagens para nosso país em termos de crescimento tecnológico e econômico, através da liberdade dada ao conhecimento. Querem agora regulamentar (através de uma proibição penal) todas as atividades relacionadas a um tipo específico de software, antes de sequer a profissão estar regulamentada! Como se isso fosse trazer mais segurança. Isso tratá mais INSEGURANÇA e invializará um segmento econômico fundamental para a segurança nacional.

Sou contra este dispositivo e convido todos que também o sejam a criar uma força de oposição e protesto contra ele.

Publicado em Outros | Com a tag , , , , | 5 Comentários

A verdade sobre as “Técnicas de Invasão” usadas no caso Carolina Dieckmann

Várias especulações tem sido feitas a respeito de como atuaram tecnicamente os malfeitores por detrás do vazamento de 36 fotos ímtimas da atriz Carolina Dieckmann. A maior parte delas se mostrou errada e vamos ver aqui que na verdade o que foi feito não requer nenhuma inteligẽncia acima da média nem nenhum requinte de informática.

Inicialmente, acreditava-se que os técnicos da assistência autorizada Apple, que tinham consertado o MacBook de Carolina, teriam copiado as fotos durante o procedimento. Depois de desbancar essa hipótese através de perícia na loja da autorizada, a polícia encontrou, possivelmente através de escuta telemática, uma declaração que apontava para uma possibilidade alternativa. Um dos suspeitos, Diego Fernando Cruz, teria dito em conversa com outro envolvido: “Foi apenas invasão de email, não de PC. Acho que ele pegou nos enviados dela”, referindo-se a como um de seus comparsas teria obtido as fotos. Ou seja, as fotos teriam sido copiadas não do PC, mas sim da pasta “Ítens Enviados” ca conta de email de Carolina. A partir daí, a polícia trabalhou com a hipótese da instalação de software malicioso do tipo Remote Administration Tool (RAT) que teria sido instalado no computador de Carolina quando ela, inadvertidamente, clicou em um link enviado por email. Eu mesmo bloguei a respeito de tal ferramenta, já que é comum sua utilização por pretensos falsos “hackers” que se valem da simplicidade de uso deste tipo de software para fingirem-se ser gurus da informática e de quebra conseguir vantagens fraudulentas e criminosas pela internet. Com esse software instalado, um atacante tem diversas possibilidades, podendo desde copiar arquivos até registrar tudo o que é digitado na máquina. A polĩcia trabalhou com a idéia de que a senha do email de Carolina teria sido copiado dessa forma.

Contudo, o que mais causou espanto foi o último achado da polícia, que descobriu de vez como o crime fora cometido. De acordo com as investigações mais recentes, o principal suspeito, Leonan Santos, usou o que existe de mais simples para se quebrar a segurança de uma conta de email. O que ele fez foi simplesmente enviar um email se fingindo de representante do provedor de internet usado por Carolina, prometendo mais segurança nos acessos às mensagens eletrônicas, desde que a atriz fornecesse seus dados pessoais. Carolina Dieckmann forneceu todos os dados ao preencher um formulário e acabou enviando sua senha do email para Leonan. Esses emails são conhecidos pelo jargão técnico como “Phishing”, e se tratam de imitações fraudulentas (às vezes perfeitas, às vezes muito mal feitas) de correspondências eletrônicas de fontes legítimas como bancos, provedores de internet, órgãos públicas, etc.

No final das contas Leonan Santos não usou nenhum artifício avançado de informática, nem mesmo os super simples RATs (usados até por crianças). Moral da estória: não vamos chamar de “hacker” qualquer pessoa que apenas sabe contar uma mentira e Leonan aparentemente já é conhecido por ter essa habilidade.

Publicado em Security | Com a tag , , , , , , , , | 3 Comentários

Poison Ivy Rat, exemplo de software que pode ter sido usado para furtar fotos de Carolina DieckMann

Abaixo está um video tutorial do Poison Ivy, um Remote Administration Tool, ou apenas RAT, que foi usado em 2011 para invadir uma das maiores empresas de segurança do mundo, a RSA, e pode ter sido usado pelos malfeitores no caso Carolina Dieckmann.
Note a parte final do vídeo, onde são mostradas as funcionalidades do software: gravar tudo o que é digitado, copiar arquivos, executar comandos, etc.

Veja mais sobre o assunto, amanhã à tarde no Programa Tarde Livre da TV Diário, canal 22. Lá conversarei com a querida Carla Soraya sobre toda essa confusão e sobre como devemos lidar com a privacidade na Internet.

Publicado em Security | 1 Comentário

Participo das dicussões sobre o Marco Civil da Internet no Brasil, peço sugestões

Caros Amigos,

A convite do Deputado Federal Ariosto Holanda, estamos em discussão sobre o marco civil da Internet no Brasil, projeto de Lei que visa estabelecer direitos e deveres na utilização da Internet no Brasil e que atualmente tramita na Câmara dos Deputados sob o número PL 2126/2011.

A primeira Reunião foi segunda-feira passada e continuamos com as discussões hoje a tarde na ETICE. Basicamente, o Deputado Ariosto está recebendo contribuições técnicas de diversos pesquisadores na forma de emendas que serão propostas ao PL, ou seja, está nos dando a oportuniade de contribuir diretamente com o futuro de nossa nação em uma matéria tão importante.

Gostaria de compartilhar a oportunidade que recebi do deputado com quem acompanha meu blog e pedir sugestões e comentários que possam ser acrescentados às discussões.

Abraços!

 

Publicado em Outros | 2 Comentários

Veja sua colocação no Poscomp 2011

Muitos cadidatos a pós-graduação em computação depois de receber a sua nota do POSCOMP acabam quase sempre com a mesma pergunta: “Como saber se a minha nota do POSCOMP foi boa ou ruim?”

A resposta a esta pergunta pode ser obtida através de uma composição da sua nota com os dados de média e desvio padrão que são divulgados na sua folha de resultado. Bem, eu preparei um pequeno sistema em PHP que faz o cálculo aproximado de quantos porcento de todos os candidatos de um dado POSCOMP você superou.

Entre sua pontuação e veja seu desempenho:

Obs.: Em breve atualizarei o formulário para incluir edições anteriores do POSCOMP pois ainda não consegui todas as médias e desvios.

Publicado em Outros | Com a tag , , , , , , , , , , , , | 1 Comentário

Twitter URL spoofing still exploitable (Updated)

A couple of days ago ly_gs Security Blog has published an interesting post detailing how someone can subvert Twitter’s t.co URL shortening service in order to spoof URLs in a tweet. With ly_gs technique one could post a tweet with a link that, for instance, shows as Capital One’s web page, but when clicked redirects to an attacker’s web site instead. Ly_gs blog has stated that twitter has closed the hole, but a couple of hours ago, as I played around with the ty_gs’ discovery I found out that this isn’t completely true.

Ty_gs way of exploiting this flaw might have been patched, but tweaking it just a little bit makes spoofing URLs in twitter still possible. In other words, the flaw still exists. The following tweets are examples of spoofed URLs in twitter posted after twitter has alegedely corrected the flaw:

http://twitter.com/#!/pabloximenes/status/118496446264782848

http://twitter.com/#!/pabloximenes/status/118487078941102080

The first tweet shows CapitalOne’s url, but instead takes the user to my blog. The second tweet does the same for Banco do Brasil’s web page (a Brazilian bank).

Well, the technique to do this is very close to ly_gs’ and smart people will be able to figure it out just by taking a closer look at my example tweets. Since the vulnerability is already disclosed by ly_gs’ blog, I might eventually add the full details here for the lazy (when I have the time). The only thing I really wanted to point out here is that Twitter hasn’t really corrected the flaw yet.

Enjoy!

UPDATE 1 (09/27/2011):

Twitter has aparently taken notice of this problem and has issued a complete fix this time. Kudos to their response team! They might not tackle the whole thing at one, but they sure are fast.

Now my example tweets only show the original links I have used to exploit the flaw. Let me briefly try to explain what they did. Twitter’s t.co service has an interesting beavior. Whenever you post any URL in a tweet, twitter shortens it using t.co, but also do a sort of url spoofing of their own: the show you your original link, but when you click on it you’re actually clicking the t.co link (which will take you to the orinal url anyway). If you try to copy the t.co link embedded in the tweet and post it in a different tweet (the raw t.co link), twitter will replace it with the spoffed version regardless, so it again shows your original url but beneath the actual link is t.co’s version. Using ly_gs’ discovery with this twitter own spoofing scheme, you could spoof URLs even after twitter has corrected ly_gs version of the exploit. All you needed to do is to post the two URLs (the one you want to be showed and the one you want it to be the actual link), copy the t.co’s links for both, and apply ly_gs’ exploit using the t.co’s links (just like it shows in my example tweets as of now). For reference (and a little bit of amusement) purposes, I have posted a video of the actual live exploit using one of my example tweets before twitter’s correction, which you can see below.

UPDATE 2 (09/27/2011):
Aparently, Twitter’s fix for this issue was done by disbling their own t.co url spoofing. Ususally when someone posts a link in a tweet the link remains visually like the original, but beneath it is actually using t.co. According to twitter’s help center:

How the Link Service Works

  • Links shared on Twitter.com will be shortened to a http://t.co link.
  • You’ll see the message “link will appear shortened” next to the Tweet button; however, these links will display the site that a link directs to, instead of a t.co URL.
  • All links included in Direct Message notification emails already pass through our link service and are converted to a http://t.co link.
  • Please note: t.co links are neither private nor public. Anyone with the link will be able to view the content.

So, in order to fix the problem, twitter has disabled the part that displays the original URL instead of t.co’s. What should we do if we want to have their own URL displaying in a tweet? Post just the text without a link? And in terms of security that doesn’t help either. Now a user won’t be able to distinguish one URL from another (since everyone is htp://t.co/something). OK, there is still the mouseover thing that displays the end target, but how many user do you thing actully check that before clicking on a link.

Come one, twitter, give us that service back!

UPDATE 3 (09/27/2011):

Twitter is back to normal, urls are not showing as t.co’s links anymore and the spoffing thing is fixed also. But friend @ly_gs has found some pretty neat new tricks.

Publicado em Outros | Com a tag , , , , , , | 5 Comentários