A análise de tráfego é o processo de interceptar e examinar mensagens a fim de deduzir informações a partir de padrões na comunicação. Ela pode ser realizada mesmo quando as mensagens estão encriptadas. Em geral, quanto maior o número de mensagens observadas, maior a quantidade de informações que podem ser inferidas. A análise de tráfego pode ser realizada no contexto de inteligência militar, contra-inteligência ou análise de padrão de vida, sendo também uma preocupação na segurança de computadores.
As tarefas de análise de tráfego podem ser apoiadas por programas de software dedicados. Técnicas avançadas de análise de tráfego podem incluir várias formas de análise de redes sociais.
Historicamente, a análise de tráfego tem sido uma técnica vital na criptoanálise, especialmente quando a tentativa de quebra depende do sucesso em semear um ataque de texto claro conhecido, o que frequentemente exige um palpite inspirado baseado em como o contexto operacional específico pode influenciar o que um adversário comunica, podendo ser suficiente para estabelecer um pequeno "crib".
Quebrando o anonimato de redes Métodos de análise de tráfego podem ser usados para quebrar o anonimato de redes anônimas, como por exemplo, a rede Tor. Existem dois métodos de ataque de análise de tráfego: passivo e ativo.
No método de análise de tráfego passivo, o atacante extrai características do tráfego de um fluxo específico em um lado da rede e procura por essas mesmas características no outro lado da rede. No método de análise de tráfego ativo, o atacante altera os tempos dos pacotes de um fluxo de acordo com um padrão específico e busca por esse padrão no outro lado da rede; portanto, o atacante pode vincular os fluxos de um lado ao outro lado da rede e quebrar o seu anonimato. Foi demonstrado que, embora ruídos de temporização sejam adicionados aos pacotes, existem métodos de análise ativa de tráfego robustos contra tal ruído.
Na inteligência militar No contexto militar, a análise de tráfego é uma parte básica da inteligência de sinais e pode ser uma fonte de informação sobre as intenções e ações do alvo. Padrões representativos incluem:
Comunicações frequentes – podem denotar planejamento Comunicações curtas e rápidas – podem denotar negociações Ausência de comunicação – pode indicar falta de atividade ou a conclusão de um plano finalizado Comunicação frequente para estações específicas a partir de uma estação central – pode destacar a cadeia de comando Quem fala com quem – pode indicar quais estações estão "no comando" ou são a "estação de controle" de uma rede específica. Isso implica algo sobre o pessoal associado a cada estação Quem fala em que momento – pode indicar quais estações estão ativas em conexão com eventos, o que sugere algo sobre a informação transmitida e, talvez, sobre o acesso do pessoal associado a certas estações Quem muda de estação para estação, ou de meio para meio – pode indicar movimento ou medo de interceptação
Existe uma relação estreita entre a análise de tráfego e a criptoanálise (comumente chamada de quebra de código). Indicativos de chamada e endereços são frequentemente encriptados, exigindo assistência para identificá-los. O volume de tráfego pode ser um sinal da importância de um destinatário, fornecendo dicas sobre objetivos pendentes ou movimentos para os criptoanalistas.
Segurança do fluxo de tráfego Segurança do fluxo de tráfego é o uso de medidas que ocultam a presença e as propriedades de mensagens válidas em uma rede para evitar a análise de tráfego. Isso pode ser feito por procedimentos operacionais ou pela proteção resultante de recursos inerentes a alguns equipamentos criptográficos. As técnicas utilizadas incluem:
alterar os indicativos de chamada de rádio com frequência criptografia dos endereços de envio e recebimento da mensagem (mensagens codress) fazer com que o circuito pareça ocupado o tempo todo ou na maior parte do tempo através do envio de tráfego fictício (dummy traffic) enviar um sinal criptografado contínuo, independentemente de haver ou não tráfego sendo transmitido. Isso também é chamado de "mascaramento" ou "criptografia de enlace."
A segurança do fluxo de tráfego é um aspecto da segurança de comunicações.
Análise de metadados COMINT
A "Inteligência de metadados de comunicações" ou "metadados COMINT" é um termo na inteligência de comunicações (COMINT) que se refere ao conceito de produzir inteligência analisando apenas os metadados técnicos; portanto, é um excelente exemplo prático de análise de tráfego em inteligência.
Enquanto tradicionalmente a coleta de informações em COMINT deriva da interceptação de transmissões, grampeando as comunicações do alvo e monitorando o conteúdo das conversas, a inteligência de metadados não se baseia no conteúdo, mas em dados técnicos de comunicação.
A COMINT de não-conteúdo é geralmente usada para deduzir informações sobre o usuário de um determinado transmissor, como localizações, contatos, volume de atividade, rotina e suas exceções.
Exemplos Por exemplo, se um emissor é conhecido como o rádio transmissor de uma determinada unidade e, usando ferramentas de radiogoniometria (DF), a posição do emissor é localizável, a mudança de localização de um ponto para outro pode ser deduzida sem ouvir quaisquer ordens ou relatórios. Se uma unidade se reporta a um comando seguindo um certo padrão, e outra unidade se reporta ao mesmo comando com o mesmo padrão, as duas unidades provavelmente estão relacionadas. Essa conclusão baseia-se nos metadados das transmissões das duas unidades, não no conteúdo de suas transmissões.
O uso de todos os metadados disponíveis (ou o máximo possível) é comumente empregado para construir uma Ordem de Batalha Eletrônica (EOB), mapeando diferentes entidades no campo de batalha e suas conexões. Naturalmente, a EOB poderia ser construída ouvindo todas as conversas e tentando entender qual unidade está onde, mas o uso de metadados com uma ferramenta de análise automática permite uma construção de EOB muito mais rápida e precisa, o que, junto à interceptação, cria uma imagem muito melhor e mais completa.
Primeira Guerra Mundial Analistas britânicos durante a Primeira Guerra Mundial notaram que o indicativo de chamada do Vice-Almirante alemão Reinhard Scheer, comandante da frota hostil, havia sido transferido para uma estação terrestre. O Almirante da Frota David Beatty, ignorando a prática de Scheer de mudar os indicativos ao sair do porto, descartou a importância do fato e ignorou as tentativas dos analistas da Sala 40 de alertá-lo. A frota alemã partiu, e os britânicos chegaram atrasados para encontrá-los na Batalha da Jutlândia. Se a análise de tráfego tivesse sido levada mais a sério, os britânicos poderiam ter tido um desempenho melhor do que um "empate". A inteligência militar francesa, moldada pelo legado de Auguste Kerckhoffs, havia erguido uma rede de estações de interceptação na Frente Ocidental antes da guerra. Quando os alemães cruzaram a fronteira, os franceses desenvolveram meios rudimentares de radiogoniometria baseados na intensidade do sinal interceptado. O registro de indicativos de chamada e volumes de tráfego permitiu ainda que os franceses identificassem grupos de combate alemães e distinguissem a cavalaria veloz da infantaria mais lenta.
Segunda Guerra Mundial No início da Segunda Guerra Mundial, o porta-aviões estava evacuando pilotos e aviões da Noruega. A análise de tráfego produziu indícios de que os couraçados alemães e estavam se movendo para o Mar do Norte, mas o Almirantado descartou o relatório como não comprovado. O capitão do Glorious não manteve vigilância suficiente e foi subsequentemente surpreendido e afundado. Harry Hinsley, o jovem oficial de ligação de Bletchley Park junto ao Almirantado, disse mais tarde que seus relatórios de análise de tráfego passaram a ser levados muito mais a sério depois disso. Durante o planejamento e ensaios para o ataque a Pearl Harbor, pouquíssimo tráfego foi transmitido via rádio sujeito a interceptação. Os navios, unidades e comandos envolvidos estavam no Japão e em contato por telefone, mensageiro, lâmpada de sinalização ou mesmo bandeiras. Nenhum desse tráfego foi interceptado e não pôde ser analisado. O esforço de espionagem contra Pearl Harbor antes de dezembro não enviou um número incomum de mensagens; navios japoneses atracavam regularmente no Havaí e as mensagens eram levadas a bordo por pessoal consular. Pelo menos um desses navios transportava alguns oficiais de inteligência da Marinha Japonesa. Tais mensagens não puderam ser analisadas. Sugeriu-se, no entanto, que o volume de tráfego diplomático de e para certas estações consulares poderia ter indicado locais de interesse para o Japão, sugerindo onde concentrar esforços de análise e descriptografia. O Almirante Nagumo Chuichi navegou sob silêncio de rádio, com seus rádios fisicamente bloqueados. Não está claro se isso enganou os EUA, já que a inteligência da Frota do Pacífico não conseguiu localizar os porta-aviões japoneses nos dias imediatamente anteriores ao ataque a Pearl Harbor. A Marinha Imperial Japonesa realizou jogos de rádio para inibir a análise de tráfego com a força de ataque após sua partida no final de novembro. Operadores de rádio normalmente designados para porta-aviões, com uma "mão" (ritmo) característica de código Morse, transmitiam de águas internas japonesas, sugerindo que os porta-aviões ainda estavam perto do Japão. A Operação Quicksilver, parte do plano de decepção britânico para a Invasão da Normandia, forneceu à inteligência alemã uma combinação de informações verdadeiras e falsas sobre desdobramentos de tropas, o que levou os alemães a deduzir uma ordem de batalha que sugeria uma invasão em Pas-de-Calais, em vez da Normandia. As divisões fictícias criadas para a farsa foram equipadas com unidades de rádio reais que mantiveram um fluxo de mensagens consistente com o engano.
Em relações comerciais
De forma semelhante aos aspectos militares, as relações comerciais também podem ser vulneráveis à análise de tráfego. Embora os dados trocados sejam geralmente criptografados, o mero fluxo de dados pode ser informativo.
Sempre que as comunicações entre entidades comerciais passam por um terceiro — como um serviço de telecomunicações, um mediador, uma empresa de consultoria, um provedor de custódia (escrow) ou um "intermediário de confiança" para uma transação de dados — existe algum risco de o tráfego ser analisado para obter inteligência comercial. O aumento das comunicações de dados entre várias partes usando tecnologias como Dataspaces destacou esse risco mais uma vez.
Comparável aos exemplos militares citados acima, os exemplos comerciais incluem:
Comunicações frequentes – podem denotar planejamento, talvez para uma aquisição, fusão ou joint venture de algum tipo Comunicações rápidas e curtas – podem denotar negociações ou um relacionamento comercial muito próximo Uma desaceleração ou interrupção na comunicação – pode indicar a conclusão de um plano finalizado ou que uma joint venture planejada foi abandonada Comunicação frequente para várias organizações a partir de uma única organização – pode destacar uma cadeia informal de controle ou influência Quem fala quando – pode indicar quais organizações específicas estão ativas em conexão com eventos, o que implica algo sobre a informação transmitida e talvez algo sobre o pessoal/acesso daqueles associados a certas estações
Tudo isso pode fornecer inteligência valiosa para operadores de bolsa de valores, concorrentes e outros parceiros de negócios.
Esses riscos são bem compreendidos e levam à observação de que duas organizações comerciais apenas se comunicarão por meio de um terceiro (o que custa dinheiro) se pelo menos uma das partes confiar no intermediário mais do que confia na outra parte, o que é muito mais provável em relacionamentos de negócios novos ou temporários. Esse fato, por si só, pode ser informativo.