El espía en la caja: electrodomésticos, teléfonos y otras formas de saber qué es lo que estás haciendo

(Publicado en Brújula, de la Asociación de Egresados PUCP, marzo 2017).

Las recientes revelaciones sobre la capacidad de espionaje de la CIA usando electrodomésticos han causado una natural sorpresa. Si bien se refiere a aparatos relativamente antiguos, y en algunos casos con fallas corregidas por sus fabricantes, esta situación nos recuerda también revelaciones que en 2014 hizo Edward Snowden, de herramientas similares usadas por otra agencia de espionaje de EEUU, la NSA. Estamos ante casos de lo que se conoce como MASINT, o inteligencia de mediciones y reconocimiento, en donde se usa las características de un equipo para determinar ciertos comportamientos o datos. Esta complementa una forma mucho más tradicional de inteligencia, la llamada SIGINT o inteligencia de señales, que captura datos entre dispositivos con el fin de penetrar redes o computadoras. 

Entre lo más llamativo está un programa muy especifico Weeping Angel, desarrollado con la inteligencia británica y cuyo nombre es referencia a la serie de televisión de la BBC Doctor Who, donde se usa smart TVs para capturar imágenes usando la cámara que tiene el aparato. Aunque esto solo funciona con ciertos televisores Samsung y nada indica que uno actual tenga la vulnerabilidad específica que hace posible que Weeping Angel funcione, la idea que el televisor que tenemos en casa permita que un tercero nos vea es por lo menos inquietante. 

Esto es lo más interesante para el ciudadano de a pie. Pocos de nosotros seremos sujetos de vigilancia de un servicio de inteligencia con herramientas como estas, pero lo cierto es que hay muchas empresas internacionales que tienen acceso, formal o no, a estas herramientas, y que pueden usarlas para sus propios fines. Cada vez más aparatos domésticos están conectados a la Internet, y la seguridad de estos equipos es baja cuando existe; por lo tanto no es inverosímil que un actor privado, criminal o no, pueda espiarnos mediante electrodomésticos o dispositivos digitales. 

Por ejemplo, hace poco en Alemania se sacó de circulación la muñeca Cayla, que podía conversar con los niños y contaba con una cámara; se detectó que era fácil de hackear, y que todo tipo de persona podía obtener imágenes y videos de aquellos que jugaran con ella. Por otra parte, empresas como Hacking Team, de Italia, han vendido servicios a politicos en Mexico para espiar y hostigar a sus rivales, sin que sea posible detectar cómo ocurrió este abuso. Solo la atención de activistas permitió descubrir estos casos de privatización del espionaje, sin que el estado se enterara de nada en cada caso. Errores básicos de seguridad por parte de los usuarios facilitan el espionaje, como pasó con miembros del equipo de Hillary Clinton durante las elecciones de EEUU 2016. 

Es la privatización del espionaje, junto con la fragilidad de la seguridad digital en general, lo que hace necesario estar alertas. Saber qué está pasando en este campo y qué se puede hacer para evitar ser objeto de espionaje es tan urgente como saber como evitar que nos hackeen el correo, o que nos roben las cuentas bancarias. Las comodidades de la vida digital vienen con sus costos, y en este caso se trata de ser vigilantes con la vigilancia. 

2015, o los varios futuros

Cuando comienza un año se puede intentar hacer predicciones, lo que en realidad es una perdida de tiempo, o se puede identificar tendencias, lo que es más práctico porque sirve para protegerse en caso que las predicciones fallen: la tendencia cambió...

Entonces, y como ejercicio para volver al blog, quiero indicar nueve tendencias que el 2015 puede que se afirmen, como quizá no; al menos se puede decir que en este momento, son válidas y posiblemente viables.

1. La lentitud en la penetración de los "wearables", los dispositivos tecnológicos que se usan como prenda de vestir o accesorio, continuará, en la medida que no se logra definir todavía qué deben hacer; y que dependen casi por completo de un teléfono móvil para tener sentido. Es posible que alguien invente una aplicación que cambie el panorama, pero los wearables son todavía muy singulares, dependientes y caros para significar algo importante.
2. Los móviles seguirán perdiendo interés: en realidad esta observación es válida para todas las formas de tecnologías digitales. Es posible comprar por 250 soles un smartphone casi tan capaz como un iPhone: este último tiene varias cosas mejores pero realmente, ¿justifican estas la diferencia mínima de más de 1000 soles? Cada vez menos. No niego la calidad y solidez de los smartphones de rango mayor, pero eso no impide concluir que un dispositivo simplón es ahora tan capaz, que la distancia no es muy grande, y seguirá acortándose.
3. La computadora seguirá desapareciendo como objeto de consumo. Una computadora es necesaria, sin duda, pero para funciones que cada vez se parecen más a los años ochenta. Producir documentos en serio, manipular data, realizar trabajos profesionales, y quizá jugar (aunque las consolas son cada vez más potentes y útiles para eso). Como herramientas de consumo están dejando su lugar, y es posible pensar que en unos años la computadora sea nuevamente sinónimo de trabajo y una generación de dispositivos digitales que vaya de las tabletas al wearable, o por lo menos el teléfono, reemplace los usos de consumo y comunicación por completo.
4. La globalización de la oferta cultural seguirá creciendo. Aunque no siempre la hace bien (Marco Polo es un Game of Thrones hecho por Frecuencia Latina con plata, la verdad), Netflix tiene la intención de servir como "cord-cutter", es decir sacarnos de la necesidad de tener cable. HBO Go también lo intenta. En la medida que estas ofertas crezcan, cada vez más las condiciones permitirán que la producción local más atractiva pase a estos servicios globales, de los cuales hay varios que todavía no conocemos y otros, como Crackle, que no terminan de encontrar su ruta. Ya ha sucedido, para todo efecto práctico, con el fútbol: la oferta local no desaparece sino que se descapitaliza y pasa a un segundo plano frente a la oferta global. Lo local seguirá siendo producido, pero luego del maltrato que America Television dio a El Evangelio de la Carne el 3 de enero (según reportó su director, Eduardo Mendoza, en FB), solo la difusión generalizada sirve como incentivo para no dar exclusivas a servicios como Netflix, que respetan el producto y ofrecen inmensa flexibilidad.
5. A nivel global, los diarios seguirán en problemas. Los hábitos de consumo siguen cambiando, y solo queda el refugiarse en nichos: el diario global, el diario local especializado y partidario, el diario barato. Los diarios globales o cuasi globales (como El País) tienen que encontrar la manera de volverse viables antes que las inversiones que tienen que realizar para ser globales los terminen de hundir, como podría pasarle al Guardian y en menor medida, al mismísimo New York Times, que ha tenido que volver a despedir personal. Los diarios locales especializados se vuelven cada vez más partidarios, más pegados a un grupo al que responden ideológicamente, incluso para los diarios temáticos como los deportivos (y como siempre fue el caso de los diarios económicos, que son fuente de información y de status en partes iguales, para la elite económica de sus países o del mundo). ¿El lado positivo? Está claro que los diarios globales pueden cobrar decentemente por suscripciones y que habrá suficiente gente interesada para pagarlas.
6. A nivel local, los diarios seguirán en problemas, pero en otros problemas: la calidad de todos los diarios peruanos es dispareja en el mejor de los casos; pero sobre todo choca la opción por disociar el diario impreso del sitio web, hasta el punto que son ridículamente distintos. El riesgo es que la falta de seriedad y el populismo barato de los sitios web se filtre al diario mismo, y a mediano plazo, que las audiencias también se disocien conforme los que deberían comprar el diario en papel prefieran seguir solo con las banalidades digitales, y busquen seriedad en diarios globales. Ojalá se tratara de la "buzzfeedización" de los medios, eso sería mejor que la colección de contenidos aleatorios que se sueltan todos los días sin más criterio que la cantidad de clicks. Triste... porque al final si se trata de competir con Buzzfeed, la versión criolla (Utero.pe) muy probablemente ganará. Obviamente, la pregunta es si hay una élite lo suficientemente interesada en un buen diario (o revista) local y dispuesta a pagar por él, como para sostener periodismo industrial decente. Creo que la respuesta cada vez más, es no.
7. La trayectoria ascendente de los ciber conflictos continuará. Desde que en 2007 (¡hace siete años! ¡qué bestia como pasa el tiempo!) escribí sobre el primer caso realmente serio, la "ciberinvasión" rusa a Estonia, estamos en las mismas: agentes dispersos, muchas veces simpatizantes de un estado, atacan a otro país; la respuesta es muy pero muy opaca y no deja en claro quién cómo y por qué se realizan los contraataques. Esto lleva inevitablemente a preguntarnos, ¿cómo está el Perú en ciberseguridad? Que no tengamos conflictos militares a la vista no impide que nos preocupemos por la defensa, y lo mismo se aplica a la ciberdefensa. Me gustaría que el tema se discuta públicamente.
8. Los conflictos sobre la gobernanza de la Internet continuarán... esto es como bien especializado así que lo dejo para un post dedicado al tema, más adelante.
9. Las campañas electorales del 2016 comenzarán en la web y en Facebook el 2015, y mucho serán seducidos por los que les prometen ser el nuevo Obama. Para variar, esas campañas tendrán poco impacto porque se seguirá creyendo que FB es un medio publicitario y no un mecanismo de movilización, y no se logrará aprovechar esas ventajas en favor de ningún candidato. Incluso si algún asesor de campaña insiste en usarlo como movilizador, el candidato se negará porque no quiere bases a las que luego tenga que responder, y FB crea en las bases la impresión de que importan, de que son criticas y de que es posible cobrarle los favores a los que se comprometieron casi personalmente con ellos al movilizarlos.

El tema de las movilizaciones juveniles lo dejo para más adelante...

La Yapa: la salida de Burga no cambiará el fútbol peruano. No se hagan ilusiones.

2010, cuando comenzó el cambio

El año comenzó con un intento, poco exitoso, de motivar la discusión sobre los derechos digitales; el año termina con los derechos digitales en primer plano.

La declaración que promovimos no logró despegar, más allá del interés de una cantidad respetable de personas, creo por falta de conexión entre el discurso propuesto, de derechos y demandas, con la percepción de la realidad digital, en donde predomina el caos, el individualismo y cierto sensacionalismo. Se asume que el sistema no funciona, como asumimos en general los peruanos que ningún sistema funciona; por eso no es necesario, para afirmar nuestra posibilidad de consumo digital o de calidad de servicio, proponer derechos, que finalmente implican aceptar un sistema de defensa de los mismos. Es mejor que todo siga igual, más bien desordenado.

No digo que sea la única razón, pero creo que sí aflora cuando se reivindica el derecho a "consumir todo lo que quiera", es decir a bajarme contenidos protegidos sin límite alguno, como se notó en algunas protestas contra la nueva estrategia comercial de Telefónica sobre el uso de la banda ancha domiciliaria. Lo que hizo Telefónica no fue, per se, atentatorio contra la neutralidad de red, porque el principio fundamental es que la discriminación es por volumen y no por contenido, precisamente lo que implicaban estas nuevas tarifas.

Dicho de otro modo: proponer neutralidad de red no significa que podamos contratar un servicio y que no haya límites; tampoco significa que no existan restricciones por derechos de autor, ni que los derechos de autor sean inherentemente malo o irrelevantes. Significa que debemos garantizar que no haya abusos de parte de ninguno de los actores.

Algo parecido ocurre con Wikileaks, donde el valor de la transparencia se ha convertido en lo único que importa, más allá de la relevancia o de la pertinencia de ciertas revelaciones. ¿Es posible realizar acciones diplomáticas en la total transparencia? No. La premisa que todo debe revelarse, que nace de una noción casi hobbesiana de un estado que solo puede ser opresor, contrastada con un anarco-individualismo para el que el ciudadano del "quinto estamento" es el único realmente libre, ha creado un entorno que, más allá de los excesos de canonización de Assange, reclama ignorar lo práctico y hasta lo conveniente en función de un principio, que además no afecta la vida cotidiana de los activistas.

Lo que yo reclamo, lo que creo la Declaración plantea, es equilibrio. Como creador, siquiera de libros académicos, reclamo control sobre mis creaciones y la posibilidad que, si no hacer plata yo con ellas, que nadie medre con mi trabajo; como consumidor, que pueda bajarme una canción o hasta una película, especialmente si como pasa con la música, ya la compré, incluso como 45, en el pasado lejano; pero reconozco que si varias partes de la ecuación hacen plata con mis bajadas (el operador de telecomunicaciones, que no me vendería banda ancha solo para ver mis correos; el sitio web que aloja los contenidos, que pone publicidad; el sitio en el que anuncio mis contenidos, que también pone publicidad), deberían portarse y darle parte de esa plata a aquellos creadores culturales que quieran pedirla, pero no ciegamente a conglomerados mediáticos que finalmente aplastan la creatividad para su beneficio inmediato.

Creo, finalmente, que la Internet es el mayor espacio de innovación cultural desde la imprenta, y que hay que cuidarla. Y esto implica asumir que es de todos, no solo de cierto grupo de consumidores, ni tampoco de los operadores, ni de los conglomerados mediáticos, ni de los activistas con agendas propias, ni de los anarquistas en red al estilo de Anonymous o 4chan. De todos. Considerar el beneficio de cada uno y las desventajas que uno le causa al otro, y tratar de balancearlas.

Este año no hemos hecho eso. Algunas batallas ganadas, como aquella contra la ley Sinde en España, pueden ser contraproducentes, porque son completamente unilaterales; otras, como las controversias de Wikileaks, no son realmente relevantes más allá del chisme y la novedad de ciertas minucias, pero pueden implicar respuestas agresivas, hasta peligrosas, de los poderes estatales y empresariales.

¿Qué pasará el 2011? No lo sé, ni siquiera tengo una idea clara. Sé que los periodistas, los marketeros y los publicistas seguirán obsesionados con Twitter y Facebook para las elecciones presidenciales, sin evidencia empírica o siquiera anecdótica que sustente que estos medios sean realmente importantes; sé que Assange seguirá actuando como mártir; sé que ACTA será aprobado, y con ello la noche caerá a pesar de éxitos como el fracaso de la ley Sinde; no sé que pasará en el Perú, donde seguimos sin discutir estos temas en serio.

En todo caso, aquí estaré. Seguiremos conversando.
-

Stuxnet, el conflicto por venir

Varias veces he hablado de las ciberguerras. Stuxnet ha sido una versión de baja intensidad y alta localización de la ciberguerra, y es un ejemplo de cómo puede ir cambiando el panorama.

La idea es fácil, la implementación complicada: un virus (técnicamente un gusano) dirigido no a computadoras sino a un controlador lógico programable, el tipo de hardware que se encuentra en una máquina industrial y que dirige sus procesos. Normalmente, los PLC no están conectados a la Internet de la misma forma que lo hacen las computadoras, es decir a través de aplicativos que pueden ser controlados por el usuario, sino que usan la Internet para enviar y recibir data de equipos similares o para diagnósticos, de maneras muy precisas y sin intervención de usuarios no entrenados. En otras palabras, los PLC son seguros.

Pero muchas veces en las plantas industriales, se cuenta con computadoras que permiten monitorear el trabajo de los PLC y extraer data para seguimiento de procesos. Stuxnet fue diseñado para que cuando estuviera en una computadora, cualquiera esta fuera, buscara conexiones con un PLC preciso, diseñado por Siemens, que se sabía Irán había comprado para manejar sus centrifugadoras de material nuclear. Este virus cambiaba el funcionamiento de la centrifugadora, ocultando su acción, y así modificando el proceso industrial hasta hacerlo inútil.

Al parecer, Stuxnet fue creado por una agencia gubernamental, por su sofisticación; existen indicios que habría sido Israel, a través de su Unidad 8200, la creadora de este gusano; lo que no solo tiene sentido sino que es casi una excelente noticia, porque con un virus habrían logrado lo que antes requería un bombardeo. Lo interesante no yace aquí, sino en su conexión con el concepto mismo de ciberguerra.

No se trata de hacer escándalo, porque nada indica que los países vecinos estén interesados en forma alguna de guerra contra nosotros, sino más bien de destacar que es relativamente simple para un agente no oficial hacerse de herramientas para ataques informáticos. Los casos discutidos anteriormente, y el caso mismo de Wikileaks en estos días, sujeta a constantes ataques DDS, no necesariamente provenientes de agencias estatales, sirven como ejemplos. Pero la existencia de herramientas que permiten ataques tan sofisticados como el de Stuxnet llevan inevitablemente a pensar cuánto tomará para que caigan en manos de terceros.

Aunque todo indica que el caso de Stuxnet es el resultado de un descuido (alguien que metió el USB equivocado en el puerto indebido), es casi imposible impedir que haya errores como estos, en donde alguien simplemente mete la pata y permite un ataque al dejar una rendijita abierta. Basándose en este principio, los ciberatacantes solo tienen que confiar en que alguien cometerá un error para lograr su objetivo, que es penetrar la línea de seguridad y hacer que una red o sistema colapse. El resultado puede ser peor que un ataque convencional, porque hace un daño comparable pero no permite saber de dónde vino, o cómo se hizo, o cómo evitarlo.

Lecciones para ir preparándonos: las ciberguerras no son ni poca cosa ni algo para el futuro.

Addenda: una explicación técnica más detallada, otra más, en formato de pregunta y respuesta.

Mientras tanto, el mundo sigue girando

La mejor prueba es que los temas siguen siendo los mismos: ¿cómo enfrentar las ciberguerras? ¿tiene sentido para los diarios y la prensa cobrar en la Web?

En el primer tema, la cobertura impecable del New York Times tiene un excelente artículo a partir de la crisis generada por los ataques a Google, sobre los cuales se ha llegado a un punto en el que Marco Sifuentes y Mirko Lauer han escrito. En este caso, lo que más me impactó fue un comentario de Joseph Nye, que sabe de qué está hablando:

We are now in the phase that we found ourselves in during the early 1950s, after the Soviets got the bomb

¿El ciberpánico reemplazará a la bomba? Feo...

Y ya que es la vieja señora gris la fuente, vale la pena recoger lo que dice un opositor declarado a los planes de cobrar por los contenidos en la Web, las llamadas paywalls. El director del Guardian ha declarado que es perder el tiempo y que es perjudicial, "a 'sleepwalk into oblivion'". Vale la pena leerlo.
-

Recapitulando el 2009

Como todos los años, es importante volver sobre lo importante y descartar lo banal. A la distancia, cosas como la gran crisis de los helados de a sol parecen francamente tontas, especialmente el componente del consumidor "2.0" con el que algunos se entusiasmaron. Otros temas, que no han ocurrido como tales sino que han ido emergiendo lentamente, tienen ahora una importancia capital: las ciberguerras, los derechos digitales. A partir de los posts de este blog, una recapitulación y valoración.

Televisión Digital Terrestre: el tema de comienzos de año, y al mismo tiempo, un tema relativamente sin importancia. La transformación del espacio mediático está completamente desbocada, y las perspectivas de la televisión de señal abierta en un mundo saturado de conexiones IP y de tecnologías cada vez más complejas es relativamente pobre. Claro está, estamos en el Perú, un país pobre y donde muchos no pueden imaginarse dueños de televisores LCD, para no hablar de otras tecnologías. Pero las perspectivas son claras... y la televisión digital terrestre, cuando llegue, tal vez sea completamente irrelevante.

Bagua: tema terrible, e irresuelto. Me permito incluir enlaces a dos artículos míos sobre el tema, e invocar a que no dejemos de conversar sobre lo que ocurrió, que quizá haya sido lo más serio de la década, en términos de la viabilidad del país no como economía, sino como sociedad.

La crisis de la gripe porcina, donde la ausencia de estrategias de comunicación fue palpable. Al final no fue para tanto, pero igual, queda la sensación que nos falta mucho, y que en buena medida es también responsabilidad de los comunicadores enfrentar el problema.

Propiedad intelectual: siguen los conflictos, de distintas formas. Por ejemplo, Google Books; por ejemplo, la discusión sobre la priorización entre propiedad y cultura de julio pasado. Otros posts sobre el tema siguen la discusión sobre las cuestiones de fondo, o sobre aspectos específicos.

Ciberguerras: un tema que seguirá creciendo... hay mucho pan por rebanar, cosa que haremos el 2010.

Las tabletas y los e-books: a lo mejor, finalmente, tienen futuro. Desde la nueva generación, internacional, del Kindle, hasta la aparición del prometedor Nook de Barnes & Noble, es posible que el libro electrónico deje de ser una curiosidad geek para acercarse al mainstream. Este año ha sido prometedor pero todavía falta, porque hay problemas con (para variar) propiedad intelectual. Se supone que al inicio del 2010 Apple lanzará una tableta que parece que no solo será tecnológicamente interesante sino sobre todo iniciará una nueva línea de productos multimediales; como siempre, rumores hay miles pero ni siquiera está claro cuándo sería que este producto aparecerá en el mercado. Entonces, a lo mejor, tendremos una nueva palestra para los contenidos digitales, y en un par de años nada será igual, tal como ha pasado con el iPhone. A esperar.

Derechos Digitales: como se dijo aquí, es un tema crítico y donde solo es posible que algo favorable pase si nos ponemos a actuar. La invitación para conversar sigue en pie, y en enero lanzaré un blog para pasar de la conversación a la acción. Bienvenidos, todos.

En el día de hoy

Que es de las telecomunicaciones, de la Internet o de la sociedad de la información, según quién diga...

La falta de una agenda pública seria y actualizada sobre la Internet es un tema crítico. No se trata de proclamar la urgencia de contar con más infraestructura, lo que es válido, o que hayan más operadores de telecomunicaciones, lo que también viene bien aunque no necesariamente bajará costos. Lo importante en realidad es definir mejor qué asuntos son urgentes de ser vistos hoy para poder manejarlos bien los próximos 20 años.

1. El derecho de acceso: no hay una política actualizada sobre el servicio / acceso universal a las telecomunicaciones, mientras en otros lados se habla de la Internet como derecho ciudadano. Podemos debatir si es pertinente o no hablar en esos términos, pero igual, hay que debatir y no lo estamos haciendo.
2. La ciberseguridad. Estrategias de sensibilización pública para mejorar la seguridad en el uso de la Internet por los ciudadanos, estrategias públicas para aumentar la ciberseguridad de la Internet en el Perú, con buenas alianzas público/privadas; y sobre todo, una estrategia de ciberdefensa, que vaya desde protegernos de pandillas de crackers hasta de amenazas reales a la seguridad nacional, al estilo que se describe aquí. No estaremos en la mira de Al Qaeda y puede que nos llevemos bien con Rusia y China, las dos grandes fuentes de ciberataques, pero esto se va a volver importante en los próximos años mientras los traficantes de armas y los nacionalistas de conveniencia insisten en que compremos tanques para guerras del siglo pasado...
3. La protección de los vulnerables. Las medidas propuestas para proteger a los menores son mínimas, y en muchos casos ingenuas: ¿alguna cabina realiza el registro minucioso de los usuarios que demandan varias leyes y ordenanzas? ¿alguien fiscaliza? Una política de promoción de uso tiene que ir de la mano con una política de protección, con sanciones pero sobre todo con prevención, que vaya desde los contenidos hasta la posibilidad de abuso y tráfico sexual.
4. Ciberalfabetización. Consecuencia de la anterior, y que abarca a toda la sociedad, no solo a los escolares. Qué se puede hacer, qué se debe hacer, cuánto se puede hacer. El proceso de despliegue de la televisión digital terrestre podría servir para hacerlo; ojalá siquiera se intente.
5. Educación. No solo las XO-1, sino exactamente cómo proteger el derecho de los escolares de ser bien educados sin dejar de lado la Internet o contando con ella como aliada; cómo promover el desarrollo de las universidades del país usando la Internet como herramienta, no solo como fuente de fotocopias; cómo crear redes y fortalecer instituciones; y lo más urgente, cómo potenciar las áreas del trabajo académico en donde tenemos posibilidades competitivas para hacerlos un país que exporte algo más que frutas, verduras y piedras.
6. El consumo y la propiedad. La aplicación de los conceptos del plan Olivennes, encarnados en la ley HADOPI, son la confirmación de la alianza non-sancta entre las industrias de contenidos y el poder político, que era evidente en los EEUU pero ahora también en Francia. ¿Vamos a gastar dinero en aplicar tecnologías DPI para proteger a los grandes conglomerados mediáticos? ¿Vamos a quitarle acceso a la Internet a los trasgresores? ¿Vamos a perjudicarnos como consumidores y ciudadanos en favor de una industria sobre-protegida y sobre-valorada, que no ha sabido cambiar con los tiempos? Acepto, siempre y cuando los términos de acceso se flexibilicen, se adopten normas claras y liberales de uso justo para fines académicos y privados, y sobre todo, los precios sean realistas para un mercado como el peruano. Como esto no va a pasar, no veo porqué habría que hacer el trabajo de los grandes conglomerados.

Hay más, siempre hay más. Pero por aquí podríamos iniciar la conversa.

Las ciberguerras: chinos cazando ballenas

La última novedad en el mundo de las ciberguerras es la GhostNet. Detectada a partir de intrusiones en las computadoras y el sitio web del Dalai Lama, todo indica que grupos si no del gobierno, políticamente cercanos al gobierno de la República Popular China, han estado infiltrando cuidadosamente computadoras de interés político, en lo que se llama whaling (phishing en grande, podríamos decir).

Estas técnicas han sido rastreadas por dos grupos separadamente: especialistas canadienses en la Universidad de Toronto, que fueron los primeros en establecer que se trata de ataques muy precisamente dirigidos desde China, y otro grupo en la Universidad de Cambridge, que sostiene que es el gobierno chino el que está detrás. Lo que dicen los canadienses es que este ataque ha infiltrado 1295 computadoras en 103 países.

¿Por qué hay que preocuparse de estas cosas? Porque como menciona uno de los boffins de Cambridge en la vieja señora gris, "What Chinese spooks did in 2008, Russian crooks will do in 2010 and even low-budget criminals from less developed countries will follow in due course". Es decir, estas técnicas servirán para hacernos la vida imposible muy pronto... lo que lleva a la pregunta obvia: ¿qué está haciendo el estado peruano al respecto? No solo la Policía Nacional, sino el INEI y en general el gobierno peruano, y no solo localmente, para ir creando condiciones para que no hayan problemas con estos temas pronto. La escala es tan grande que lo más probable es que cuando suceda, nos afecte a todos y de manera regional...

Explicación en la wikipedia en español.
-

Mirando el 2009, desde el 2008: tendencias sociales y políticas

El año comienza bien: Apple ha logrado sacar todo tipo de DRM de sus archivos musicales en la iTunes Store. Al menos para la música, esto quiere decir que las majors han resignado el mercado a un uso mucho más libre, multiformato, por parte de usuarios que ahora compran música suelta, en sus propios términos. Las 10 millones de canciones del catálogo de iTunes estarán pronto todas libres para ser usadas por quienquiera en cualquier aparato. Claro está, esto no significa que vayamos a poder comprarlas aquí; solo que nadie podrá seguir con la cantaleta que ripear un CD es un crimen...

La transformación de los contenidos a formatos digitales múltiples continúa, aunque es todavía muy temprano para saber qué alternativa funcionará mejor. Ese el problema: tantos formatos, tantos soportes de hardware, en un mercado que aspira a ser global pero que sigue siendo esencialmente nacional. Porque por un lado se libera la música de DRM; pero por otro la presión por convertir en delito de aduanas el circular con material copiado sin permiso (ACTA, que prometí tratar y haré en las próximas semanas) sigue en pie. Complicado panorama, que en mercados como el Perú significa que el grueso de los consumidores seguirán comprando pirata.

También destaca el problema del spam y el phishing, sobre todo cuando es conducido por spambots. Tras la caída de McColo el spam ha bajado, pero está recuperándose. No es un gran negocio, pero como se puede ver por los casos de localización en el Perú, sigue siendo un tema de interés para muchos y algún beneficio deben estar obteniendo.

Pero la tendencia más interesante tiene que ver con las ciberguerras. Desde los casos comentados a lo largo del año, hasta la reciente expresión virtual del lamentablemente muy real y devastador ataque israelí en Gaza, por todas partes hay pequeños conflictos ciberespaciales que muestran la vulnerabilidad de muchos países, y que nos hacen pensar por lo que puede pasar en nuestro país si llega a producirse un ciberataque en serio.

Tema para la próxima entrada: Tendencias en el Perú.
-

Ciberguerras: aumentan los riesgos

Dos historias sobre la situación de seguridad en la Internet son bien preocupantes.

Newsweek reporta que a mediados del verano boreal las campañas de Obama y de McCain fueron ciberatacadas por una "entidad extranjera", china o rusa. El FBI no logró establecer con claridad si se trataba de particulares o de agencias de espionaje. No lograron infiltrarse en nada serio, al parecer, pero que los dejó preocupados...
El NYT reporta que los ataques DDOS han aumentado en los últimos meses y que todo indica que los atacantes cuentan con herramientas más sofisticadas y sobre todo, con mucho más ancho de banda para intentarlos.

¿Por qué es importante esto? Porque reafirma tanto el crecimiento de capacidades informáticas en las mafias globales / internacionales como el primer plano que la agresividad digital está tomando. Sería interesante saber qué estamos haciendo para protegernos, como país, de este tipo de ataques: no creo que nuestros vecinos sean el problema, sino más bien estas mafias internacionales, que bien pueden decidir aprovecharse de nuestra debilidad en ciberseguridad para atacar nuestra economía, como lo explica en su inimitable manera Dilbert.



Una buena explicación de cómo funcionan estos ataques en F-Secure.

La lenta despedida de los CAPTCHAs

Los CAPTCHA (Completely Automated Public Turing Test To Tell Computers and Humans Apart) son un intento de impedir que los bots a cargo de spammers, phishers y demás bestias de la Red capturen sitios enteros y los hagan inútiles. Desde las variantes débiles usadas en algunos foros, hasta la forma muy sofisticada que adoptó en sitios de alto tráfico como Rapidshare, la popularidad de esta herramienta ha sido señal tanto de su relativa eficacia como del alto grado de agresividad de los spammers.

Sin embargo, todo indica que la hora de los CAPTCHAs ya llegó. Computerworld explica que la situación ha traido como consecuencia la inundación con spam de sitios como Craiglist, Hotmail y demás. Esto implica que la cantidad y variedad del spam aumentará, y que la viabilidad comercial de sitios como Craiglist podrá disminuir significativamente. Sitios como Rapidshare han optado por abandonar los CAPTCHA, optando más bien por bajar la velocidad de download.

Ars Technica daba cifras de espanto en abril: con una tasa de efectividad de 15%, el software anti-CAPTCHA puede crackear la seguridad en un minuto; asociado a un bot, puede entonces crear 1440 direcciones de correo nuevas por día; enviando correos desde estas direcciones, estamos hablando de una capacidad de multiplicación entomológica.

¿Qué hacer? Cosas como la iniciativa ReCAPTCHA, que propone usar las horas-persona desperdiciadas en hacer tonterías para identificar claramente palabras o frases escaneadas de textos viejos, sirviendo como una especie de CAPTCHA en el camino.

Lo cierto es que las perspectivas son malas en general: el poder computacional barato, los intereses mafiosos y la abundancia de informáticos hábiles e inescrupolosos puede hacer imposible que haya algo seguro en el mundo. Si ya estuvieron tras un guerra, ¿porqué no tras algo tan simple como el spam?

La amenaza viene de Rusia: el Storm botnet descrito a profundidad

La Wikipedia tiene a veces artículos no solo útiles, bien escritos y académicamente relevantes, sino también imposibles de encontrar en ningún otro lado. Hoy sábado 15 de marzo por ejemplo, el artículo principal (feature article) es sobre la Botnet Storm, una delicada pieza de ingeniería de software maligno, regalo de los hackers del Dark Side ruso.

Una botnet es una red de computadoras zombies, que están al servicio de su amo informático, para propagar cualquier tipo de datos. La botnet Storm es una de las más potentes jamás creadas, puesto que en setiembre pasado se calculó que tenía hasta 50 millones de computadoras bajo su control. Usa un gusano que se propala por spam de correo electrónico.

¿Qué hace? Reenviar spam. Así de simple. Esos mensajes que uno recibe todo el tiempo con tonterías que una vez que se abren en Microsoft Outlook instalan software oculto y maligno (malware) en la computadora, y hacen que mientras uno no se de cuenta (por ejemplo, cuando se deja la computadora prendida con una conexión ADSL) se reenvíe mensajes a todos los que alguna vez recibieron un mensaje legítimo desde dicho Outlook. La Storm solo afecta al Windows, y ahoga las redes de telecomunicaciones con el tráfico excesivo que produce.

Esta claro también, como lo explica el artículo de la Wikipedia, que los amos del Storm saben defender bien su juguete, hasta el punto de atacar a la Universidad de California en San Diego al haber intentado algunos especialistas de esa casa de estudios estudiar el funcionamiento de la botnet.

¿Para qué se lo usa? Al parecer los dueños de la Storm rentan sus servicios a phishers. ¿Lindo no? Aunque todo indica que la Storm ya no es lo que fue, igual, cada cierto tiempo aparecen nuevas botnets, listas para seguir fregando la paciencia.

Lectura más que interesante para los wannabes, hackers y geeks. ¿Otro capítulo más de las guerras informáticas? El reporte de sus orígenes en F-Secure.

Revisitando gracias a la Vieja Señora Gris

Sobre temas ya posteados aquí, vínculos de hoy del New York Times:

Amplia cobertura sobre la nueva estrategia de distribución de RadioHead (tocado aquí).
Las guerras cibernéticas: los chinos atacan, o así parece, o a lo mejor no son los chinos (tocado aquí y antes aquí).

Las ciberguerras 2: ¡los chinos nos invaden!

Si lo de Estonia y Rusia fue interesante, más serio pinta lo que están haciendo los chinos...

Al parecer, o por lo menos según dicen los agraviados, el Ejército Popular de Liberación de China craqueó (o hackeo) redes en el Pentágono y en Whitehall, la sede del gobierno británico. Parece que están en esto desde hace cuatro años, pero Titan Rain, el nombre que los gringos le han dado a este asunto, ha sido el más serio intento de infiltración digital.

Obviamente, nadie confirma nada y los chinos dicen que no fueron. Por eso los "aparentemente". Pero igual, es un asunto delicado.

Y a nosotros, ¿nos habrán hecho lo mismo? Probablemente no nos habríamos enterado...

Fuente: El Guardian de Londres. Pour les francophones, Le Monde.

Las ciberguerras 1: Estonia y Rusia

(Pirateado del primer Casi un blog)

Una ciberguerra, en realidad. Todo indica que un conjunto premeditado y al parecer avalado o apoyado por el gobierno o partes del gobierno ruso, han sostenido una serie de ataques feroces a la infraestructura digital de Estonia.

Tras el retiro de la estatua de un soldado soviético del centro de Tallinn, una serie de disturbios entre la minoría rusa y la policía fueron seguidos por ataques desde Rusia a la infraestructura digital de Estonia. Resulta que Estonia es uno de los países más digitalizados del mundo, especialmente en lo relativo a servicios de administración pública y hasta votación electrónica, lo que lo hace especialmente sensible a ataques digitales. Además, hay que considerar que Estonia es una nada comparada con Rusia: 1.3 millones de personas contra los 141 millones de Rusia, y encima con una minoría de 25% de rusos étnicos, en un país con tasas negativas de crecimiento demográfico.

A pesar que los Estons (sorry por la broma idiota) trataron de prepararse lo mejor posible, igual la cantidad de ataques DDOS lanzados desde Rusia prácticamente colapsaron al país; aunque al final los estonios lograron resistir y evitar que las partes más críticas de la infraestructura de contenidos fueran destruidas, varios sitios importantes (como el del presidente de la república) salieron del aire por varios días.

Esto no quiere decir, automáticamente, que la guerra haya sido "oficial", en el sentido de originado por el estado Ruso; lo más probable es que se haya tratado de una conspiración de hackers, con apoyo de los mismos sectores que asesinaron a Anna Politkovskaya.

Como Estonia es parte de la OTAN, especialistas de varios países fueron a ver cómo iba la cosa, a dar una mano y eventualmente a prepararse para las ciberguerras del futuro. La situación parece haberse calmado, las consecuencias no parecen haber sido muy graves, pero en general, la sensación de fragilidad y de catástrofe cercana ha servido como muestra de lo que puede suceder en el futuro. Estamos advertidos... en vez de gastar plata en comprar armas, ¿quizá haya que pensar en alistar nuestra ciberdefensa?

El primer reportaje, en el Guardian. Un buen resumen, que lamentablemente no va a durar mucho, en el New York Times. Otro resumen, más sencillo pero en español, en BBC Mundo. Un análisis para geeks de CNET. Un artículo que desmiente la escala y la participación del estado Ruso, y que propone que es manipulación estonia para ocultar sus políticas contra su minoría rusa, en Alternet.