Spyware do Ubuntu: O Que Fazer?

por Richard Stallman

---

Desde o Ubuntu versão 16.04, o recurso spyware de pesquisa está agora desabilitado por padrão. Parece que a campanha de pressão lançada por esse artigo foi parcialmente bem-sucedida. Mesmo assim, oferecer o recurso spyware de pesquisa como uma opção ainda é um problema, como explicado abaixo. Ubuntu deve tornar a pesquisa na rede um comando que usuários podem executar de tempo em tempo, e não uma opção semipermanente para usuários habilitarem (e, provavelmente, esquecer).

Ainda que a situação fática descrita no restante desta página tenha sido parcialmente alterada, a página ainda é importante. Esse exemplo deve ensinar a nossa comunidade a não fazer esse tipo de coisa novamente, mas para que isso aconteça, devemos continuar a falar sobre isso.

Uma das maiores vantagens do software livre é que a comunidade protege os usuários contra software malicioso. Agora, o Ubuntu GNU/Linux tornou-se um contraexemplo. O que devemos fazer?

Software privativo está associado a tratamento malicioso do usuário: código para vigilância, algemas digitais (DRM ou Gestão Digital de Restrições) para restringir usuários e portas dos fundos [back doors] que podem fazer coisas detestáveis por controle remoto. Programas que fazem qualquer uma dessas coisas são malware e devem ser tratados como tal. Exemplos amplamente usados incluem Windows, os iCoisas e o Amazon “Kindle”, produto para queima virtual de livros¹, que fazem todas as três coisas; Macintosh e Playstation III, que impõem DRM; a maioria dos telefones portáteis, que praticam espionagem e contêm portas dos fundos; Adobe Flash Player, que faz espionagem e executa DRM; e uma grande quantidade de aplicativos para iCoisas e Android, que são culpáveis por uma ou mais dessas detestáveis práticas.

Software livre dá aos usuários a chance de se protegerem contra comportamentos maliciosos de softwares. Ainda melhor, usualmente a comunidade protege a todos, e a maioria dos usuários não precisa mover um músculo. Eis aqui como isso funciona.

De vez em quando, usuários que sabem programar descobrem que um programa livre tem código malicioso. Geralmente a próxima coisa que eles fazem é publicar uma versão corrigida do programa; com as quatro liberdades que definem software livre (veja https://www.gnu.org/philosophy/free-sw.html), eles são livres para fazer isso. Isso é chamado de um “fork” do programa. Em pouco tempo, a comunidade passa a usar o “fork” corrigido, e a versão maliciosa é rejeitada. A perspectiva de uma rejeição ignominiosa não é muito tentadora; daí, na maior parte das vezes, mesmo aqueles que não são contidos por suas consciências ou pela pressão social desistem de colocar recursos malignos em software livre.

Mas nem sempre. Ubuntu, uma distribuição de GNU/Linux amplamente usada e influente, instalou código para vigilância. Quando o usuário pesquisa seus próprios arquivos locais por uma palavra ou expressão, usando o desktop do Ubuntu, o Ubuntu envia o termo pesquisado para um dos servidores da Canonical. (Canonical é a companhia que desenvolve o Ubuntu.)

Isso é exatamente como a primeira prática de vigilância da qual tive notícia no Windows. Meu antigo amigo Fravia me disse que quando ele pesquisava por uma expressão nos arquivos do seu sistema Windows, um pacote era enviado para algum servidor, o que foi detectado pelo seu firewall. Dado aquele primeiro exemplo, eu prestei atenção e aprendi sobre a propensão de software privativo “conceituado” a ser malware. Talvez não seja por coincidência que Ubuntu envie a mesma informação.

Ubuntu usa informações sobre pesquisas para mostrar ao usuário anúncios para comprar várias coisas da Amazon. Amazon faz muitas coisas erradas; ao promover a Amazon, a Canonical contribui para isso. Contudo, os anúncios não são o cerne do problema. A questão principal é a espionagem. A Canonical diz que não repassa à Amazon quem pesquisou sobre o quê. No entanto, é tão ruim a Canonical coletar suas informações pessoais quanto seria se a Amazon as coletasse. A vigilância do Ubuntu não é anônima.

Com certeza, alguém fará uma versão modificada do Ubuntu sem essa vigilância. De fato, várias distros GNU/Linux são versões modificadas do Ubuntu. Quando elas se atualizarem para a última versão do Ubuntu como base, espero que elas removam isso. A Canonical certamente espera por isso, também.

A maioria dos desenvolvedores de software livre abandonaria um tal plano dada a perspectiva de uma mudança em massa para a versão corrigida feita por outrem. Mas a Canonical não abandonou o spyware do Ubuntu. Talvez a Canonical imagine que o nome “Ubuntu” tem tanto impulso e influência que ela pode evitar as consequências usuais e seguir em frente com a vigilância.

A Canonical diz que esse recurso pesquisa a internet de outras maneiras. Dependendo dos detalhes, isso pode ou não tornar o problema ainda maior, mas não menor.

Ubuntu permite que os usuários desativem a vigilância. Claramente, a Canonical pensa que muitos usuários de Ubuntu irão deixar essa configuração no estado original (ligado). E muitos podem fazer isso porque não lhes ocorre tentar fazer nada a respeito. Daí, a existência daquela possibilidade de configuração não torna o recurso de vigilância aceitável.

Mesmo se viesse originalmente desabilitado, o recurso ainda seria perigoso: “ativação de uma vez por todas” como uma prática arriscada, na qual o risco varia dependendo dos detalhes, é um convite ao descuido. Para proteger a privacidade dos usuários, sistemas devem facilitar a prudência: quando um programa de pesquisa local tem um recurso de rede, deve ser dada ao usuário a escolha de pesquisar na rede explicitamente a cada vez. Isso é fácil: tudo o que é preciso é ter botões separados para pesquisa na rede e pesquisa local, como ocorria nas versões anteriores do Ubuntu. Um recurso de pesquisa na rede também deve informar ao usuário claramente e concretamente quem irá receber qual informação pessoal dele, quando e se ele usar o recurso.

Se uma parte suficiente dos formadores de opinião de nossa comunidade enxergarem essa questão em termos pessoais apenas, se eles desativarem a vigilância para si mesmos e continuarem a promover o Ubuntu, a Canonical poderá mantê-la. Isso seria uma grande perda para a comunidade de software livre.

Nós que apresentamos software livre como uma defesa contra malware não dizemos que a defesa seja perfeita. Não se conhece nenhuma defesa perfeita. Nós não dizemos que a comunidade vai deter malware sem falhar. Daí, estritamente falando, o exemplo do malware do Ubuntu não significa que tenhamos que engolir nossas palavras.

Mas há mais coisas em questão aqui do que alguns de nós termos que engolir algumas palavras. O que está em questão é se nossa comunidade é efetivamente capaz de usar o argumento baseado no spyware privativo. Se nós pudermos apenas dizer “software livre não espiona você, exceto o Ubuntu,” isso será muito menos potente do que dizer “software livre não espiona você.”

Cumpre a nós dar à Canonical o rechaço que for necessário para fazê-la parar com isso. Qualquer desculpa que Canonical ofereça será inadequada; mesmo que ela usasse todo o dinheiro recebido da Amazon para desenvolver software livre, isso dificilmente compensaria o que o software livre vai perder se ele cessar de oferecer uma maneira efetiva de evitar abusos contra os usuários.

Sempre que você for recomendar ou redistribuir GNU/Linux, por favor remova Ubuntu da lista de distros que você recomenda ou redistribui. Se a prática do Ubuntu de instalar e recomendar software não livre não o convencer a parar, que isso o convença. Em seus festivais de instalação, em seus eventos para o Dia da Liberdade de Software [Software Freedom Day], em seus eventos do FLISOL, não instale nem recomende Ubuntu. Ao invés disso, diga às pessoas que Ubuntu deve ser evitado por espionagem.

Você também pode aproveitar a ocasião para dizer a elas que Ubuntu contém programas não livres e sugere outros programas não livres. (Veja http://www.gnu.org/distros/common-distros.html.) Isso vai contrapor a outra forma de influência negativa que Ubuntu exerce na comunidade de software livre: a legitimação de software não livre.

A presença de software não livre no Ubuntu é uma questão ética separada. Para que Ubuntu seja ético, isso também deve ser corrigido.