# O registro da divulgação: o que houve entre achar e dizer

> Todo caso deste catálogo tem um intervalo dentro - entre o momento em que alguém soube e o momento em que os outros souberam. Às vezes foram seis horas e às vezes foi uma década. Esta página reúne os casos em que esse intervalo decidiu o desfecho, e o que cada um estabeleceu sobre coordenar, reter, publicar e ser acreditado.

Source: https://ronutz.com/pt-BR/learn/the-disclosure-record  
Updated: 2026-09-09

---

## O intervalo

O [argumento de que não existe código perfeito](https://ronutz.com/pt-BR/learn/there-is-no-perfect-code) diz que os defeitos são a constante e a resposta é a variável. Esta página trata de um trecho dessa resposta: a distância entre alguém saber e todo mundo saber.

É a parte menos técnica do trabalho de segurança e a que mais frequentemente decide quanto do estrago cai sobre pessoas que não participaram da decisão. Os casos abaixo estão organizados pelo que cada um estabeleceu.

## Coordenação nessa escala é possível, e é rara

Oitenta fabricantes corrigiram uma falha de protocolo num único dia em julho de 2008, tendo sido informados em sigilo por meses, porque uma falha de resolvedor era grave o bastante para que nenhum deles pudesse consertá-la sozinho. A **[falha de Kaminsky](https://ronutz.com/pt-BR/learn/the-kaminsky-dns-flaw)** é o caso que a indústria cita quando quer provar que coordenação funciona, e é citado tantas vezes em parte por não ter sido repetido nessa escala.

Seu companheiro é o **[KRACK](https://ronutz.com/pt-BR/learn/krack-and-the-wifi-handshake)**: submetido a revisão em maio, fabricantes notificados por um órgão coordenador em agosto, público em outubro com as correções já distribuídas - e um conserto retrocompatível, de modo que um cliente corrigido ficava seguro num ponto de acesso não corrigido. Essa propriedade é a razão de a resposta ter funcionado, e nem sempre está disponível.

## Um embargo protege o intervalo antes do conserto, não depois

**Uma correção é uma descrição da vulnerabilidade.** Qualquer pessoa competente compara o código novo com o velho e trabalha de trás para frente. Pesquisadores extraíram uma senha embutida do **[ScreenOS da Juniper](https://ronutz.com/pt-BR/learn/there-is-no-perfect-code)** em seis horas depois de a correção ser pública. Um responsável da Microsoft disse o mesmo sobre o **[Conficker](https://ronutz.com/pt-BR/learn/the-worm-era)** dez anos depois: uma vez lançada a correção, muito mais gente consegue revertê-la. E o mês de silêncio de **[Kaminsky](https://ronutz.com/pt-BR/learn/the-kaminsky-dns-flaw)** entre a correção e a palestra nunca ia ser silencioso.

A consequência prática é que o relógio que o defensor corre depois de a correção sair é acertado por quem lê diferenças de código mais rápido, não pelo embargo.

## Reter não compra nada se outra pessoa pode achar

No GCHQ, a criptografia de chave pública fora concebida até 1970 e implementada em 1973. Nada disso chegou a ninguém, e portanto nada disso protegeu ninguém; o trabalho publicado em 1976 mudou tudo. O **[Diffie-Hellman](https://ronutz.com/pt-BR/learn/diffie-hellman-for-everyone)** é essa comparação num único dado.

O **[SATAN](https://ronutz.com/pt-BR/learn/satan-and-the-tool-release-argument)** é o mesmo argumento sobre ferramentas em vez de matemática. Um pesquisador foi demitido por publicar um scanner em 1995; a indústria então passou trinta anos adotando a posição dele como modelo de negócio. Se as objeções de 1995 eram irracionais é pergunta viva de novo, com a descoberta automatizada de vulnerabilidades, e o artigo diz isso - mas reter uma capacidade que outros podem construir ainda não foi o que protegeu ninguém.

## Consertar em silêncio tem prazo de validade

A Intel achou a falha aritmética internamente, julgou que nem errata era, revisou a circuitaria sem divulgar, e então pediu aos clientes que provassem estar afetados usando informação que a Intel não publicara. O **[defeito FDIV do Pentium](https://ronutz.com/pt-BR/learn/the-pentium-fdiv-bug)** custou cerca de 475 milhões de dólares, quase nada disso por causa do defeito.

A **[DigiNotar](https://ronutz.com/pt-BR/learn/rsa-and-diginotar-2011)** revogou certificados em silêncio por mais de um mês e foi descoberta por um cidadão comum fazendo uma pergunta num fórum, enquanto os certificados fraudulentos eram usados contra umas trezentas mil pessoas. Sua companheira, a **[RSA](https://ronutz.com/pt-BR/learn/rsa-and-diginotar-2011)**, disse aos clientes que houvera uma invasão sem dizer o que fora levado - então ninguém conseguia decidir se trocava tokens, mudava PINs ou isolava servidores administrativos.

Contra esses, o contraexemplo: a **[Juniper](https://ronutz.com/pt-BR/learn/there-is-no-perfect-code)** anunciou código não autorizado no próprio firmware, o que é quase a pior coisa que um fabricante de rede pode dizer de si mesmo, e foi amplamente elogiada por isso.

## Dizer às pessoas o que fazer é o produto

O scanner que importou não foi o que achou mais coisas; foi o que **explicava cada achado** - o que era o problema, o que ele podia causar, e qual das quatro coisas fazer a respeito. O **[SATAN](https://ronutz.com/pt-BR/learn/satan-and-the-tool-release-argument)** estabeleceu esse modelo em 1995 e um bom número de ferramentas modernas ainda o faz pior. Uma lista de achados cria trabalho; uma explicação cria capacidade.

A mesma distinção decide os avisos. A **[Fortinet](https://ronutz.com/pt-BR/learn/the-ssl-vpn-is-being-dismantled)** publicou um artefato nomeado e verificável - um link simbólico deixado depois da exploração - para que os clientes pudessem determinar se corrigir tinha bastado. A maioria dos fabricantes não faz isso, e o cliente fica sem poder responder à única pergunta que importa.

## Quem acha costuma ser um estranho que suspeitou de si primeiro

Um professor de matemática passou quatro meses culpando o próprio código antes de culpar o chip da Intel. Um usuário de Gmail em Teerã postou uma pergunta num fórum. Um departamento de estatística produziu **[um mapa](https://ronutz.com/pt-BR/learn/the-500-mile-email)**. Uma paciente insistiu que fora queimada por uma máquina que, segundo o fabricante, não podia queimar ninguém - e o **[Therac-25](https://ronutz.com/pt-BR/learn/therac-25-and-defence-in-depth)** é onde esse relato não acreditado custou vidas.

A instrução transferível é curta: um relato de incidente que contradiz seu modelo do sistema é dado sobre o seu modelo. O instinto de explicá-lo para longe é o modo de falha.

## Às vezes o registro não resolve

Dois casos aqui terminam sem resposta, e estão escritos assim de propósito. O **[ataque ao STJ](https://ronutz.com/pt-BR/learn/the-stj-ransomware-attack)** tem um relato oficial dizendo que os backups sobreviveram e a cobertura de segurança dizendo que foram destruídos; os dois estão no registro público e não podem ser os dois completos. A **[Silk Road](https://ronutz.com/pt-BR/learn/the-silk-road-and-the-operator-who-leaked)** tem um relato do governo sobre como o servidor foi achado, uma refutação técnica, e um tribunal que encerrou a questão por regra processual em vez de decidi-la.

Registrar uma contradição e dizer com todas as letras que ela está sem solução não é falha do texto. É o estado honesto da evidência, e o leitor é mais bem servido por ele do que por uma história limpa.

## Para onde isto leva

A outra metade do quadro - não o que foi dito, mas o que quebrou - é **[como os sistemas falham](https://ronutz.com/pt-BR/learn/how-systems-fail)**. O que os dois defendem, em práticas e não em casos, é **[decidido de antemão](https://ronutz.com/pt-BR/learn/decided-in-advance)**.