Mesmo Apelido em Todo Lugar: Ligando Contas a um Nome Real
O desafio
Uma conta anônima usa o apelido 'm_bianchi' mas nunca publica um nome real. Abra as fontes e correlacione-as: o mesmo apelido aparece em um repositório de código, uma conta social e um fórum, e um desses perfis se entrega. Encontre o nome real da pessoa e envie-o.
O que você vai aprender
- Pivotar um único username reutilizado entre múltiplas plataformas
- Confirmar que as contas pertencem à mesma pessoa por meio de avatares compartilhados e links cruzados
- Ler o campo de nome do autor de um commit git como vazamento do nome real
- Usar um Gravatar vinculado a um e-mail vazado para confirmar a ligação
- Entender por que a reutilização de apelido compromete o anonimato
Habilidades testadas
Pré-requisitos
- Familiaridade com perfis de redes sociais, repositórios e fóruns
- Entendimento básico de autoria de commits no git
Como funciona
Pessoas que querem permanecer anônimas costumam reutilizar um único apelido memorável em todos os sites que frequentam. Essa conveniência é exatamente o que um investigador explora: um nome de usuário é uma chave de busca, e encontrá-lo em uma segunda plataforma liga as duas contas. Depois que algumas contas são vinculadas - por um avatar compartilhado, um projeto compartilhado entre plataformas, ou uma assinatura de perfil apontando para outro site - a questão passa a ser qual dos perfis vinculados expõe acidentalmente um nome real.
Neste caso, o apelido m_bianchi aparece em um hospedeiro de código, uma conta social e um fórum, e os três estão ligados pelo mesmo repositório home-lab-scripts e por um avatar compartilhado. Nenhuma das biografias públicas mostra um nome real. O vazamento está no próprio git: um commit registra o nome do autor a partir do git config local de quem fez o commit, e aqui ele mostra Marco Bianchi. O e-mail nesse campo de autor, [email protected], tem um Gravatar que lista as mesmas contas e uma cidade natal, fechando o ciclo.
O painel de OSINT mostra cada perfil como um cartão. Nenhum cartão tem o campo 'nome real' preenchido - os campos de nome do social, do fórum e do Gravatar estão em branco. A resposta vem de correlacionar a identidade vinculada com o único artefato que o usuário não conseguiu deixar em branco facilmente: o autor do commit git. Eles resolvem para Marco Bianchi.
Erros comuns
- Enviar o apelido.
m_bianchié o nome de usuário, não o nome real que a pergunta pede. - Parar no perfil social ou do fórum. Os campos de nome de exibição deles estão propositalmente em branco; só o campo de autor do git vaza o nome.
- Não vincular as contas primeiro. É preciso o avatar compartilhado e o repositório para ter certeza de que o autor no GitHub é a mesma pessoa.
- Ignorar os metadados do commit. O nome de usuário e o nome do autor do commit são campos diferentes - leia os dois.
Como se proteger
Se você quer manter uma persona online separada da sua identidade, a disciplina começa com nunca reutilizar o mesmo apelido e nunca deixar que ferramentas gravem seu nome real em artefatos. O git é o culpado clássico porque registra silenciosamente qualquer nome que estiver na sua config.
- Use um nome de usuário distinto e não vinculável para cada persona, e um avatar diferente para cada uma.
- Defina um
git config user.namepseudônimo e um e-mail dedicado para commits públicos. - Não faça links cruzados entre suas contas em assinaturas, posts fixados ou no Gravatar.
- Audite sua própria exposição com ferramentas de busca de username, como faria um investigador.