Carlos Eduardo da Paixão Borges investigou por um mês o sistema da instituição até achar a falha.
Carlos Eduardo da Paixão Borges, de 18 anos, realizou um sonho pessoal de ser reconhecido pela NASA (Administração Nacional da Aeronáutica e Espaço) por identificar uma falha no sistema cibernético da instituição.
O desejo do jovem surgiu quando ele viu o caso de um brasileiro homônimo que havia sido reconhecido pela NASA, e então sua meta passou a ser também receber o reconhecimento.
“Quando eu vi a repercussão de um pesquisador brasileiro chamado Carlos Eduardo, que ganhou destaque mundial na cibersegurança. Ter o mesmo nome que ele me deu um estalo imediato: se um Carlos Eduardo conseguiu, eu também colocaria o meu nome e o de Mato Grosso do Sul nesse mapa”.
A primeira barreira que o jovem precisou superar foi a falta de tempo, uma vez que o jovem cursa duas faculdades ao mesmo tempo, uma de Análise e Desenvolvimento de Sistemas e outra de Defesa Cibernética. A solução foi dedicar as madrugadas à leitura do código-fonte do sistema da instituição.
O trabalho não foi simples; o jovem escolheu um relatório da NASA, o Centro de Voos Espaciais Goddard, e atuou como um detetive, analisando cada linha do código-fonte em busca de alguma pista que tivesse passado despercebida.
“Após dias analisando, encontrei um ponto fraco no uso de um módulo do Python chamado pickle. Para um leigo, parece apenas uma forma prática de salvar arquivos, mas para quem estuda Defesa Cibernética, aquilo é uma porta entreaberta. Percebi que, se um invasor enviasse um arquivo de “cache” malicioso, o sistema da Nasa não apenas leria os dados, mas executaria comandos diretamente no servidor deles, o que chamamos de RCE (Execução Remota de Código), o nível mais crítico de invasão, pois dá o controle total do ambiente ao atacante”.
Após encontrar o problema, o jovem encaminhou para a NASA um relatório do problema, mas a primeira resposta que recebeu foi negativa; o erro identificado no código-fonte foi considerado como não reproduzível pela equipe de triagem.
A solução encontrada pelo jovem foi comprovar que o seu ponto estava certo. Ele desenvolveu um código de demonstração, chamado de Prova de Conceito, que comprovou como seria possível assumir o controle do ambiente cibernético por meio da falha.
“Só então a gravidade foi reconhecida como P1 (Crítica), o topo da escala de risco da agência. O resultado foi gratificante; a NASA não apenas corrigiu o erro seguindo minhas sugestões técnicas, migrando para formatos de dados seguros como o Excel, mas me incluiu no Hall da Fama e me enviou uma carta de agradecimento. Saber que, aos 18 anos, saindo de Campo Grande entre o trabalho e as aulas, ajudei a proteger dados de pesquisas espaciais globais é a prova de que a persistência e a técnica superam qualquer barreira geográfica”.
De acordo com o jovem, o reconhecimento representa a certeza de que ele está no caminho certo, além de o incentivar a continuar estudando e aperfeiçoando os seus conhecimentos.
