Un pasaporte falso es algo bastante difícil de conseguir así por las buenas. Una vez encuentras con una fuente, lo más seguro es que te cueste una buena cantidad de dinero. Y aún habiendo pagado un buen pico, nadie te garantiza que el pasaporte funcione y puedas esquivar todos los controles. Con el anonimato en Internet pasa exactamente lo mismo: el anonimato en internet no existe. Uno puede ocultar sus pasos y borrar el rastro, pero siempre se corre algún riesgo. Y mientras exista ese riesgo, el anonimato absoluto es totalmente una falacia. No existe ningún sistema 100% seguro.
Pero los amantes de la paranoia, del panóptico y del progresismo hacia el Gran Hermano, como no podía ser de otra forma, crean miedos ad-hoc para luego escudarse en ellos y lanzar sus propuestas disciplinarias y totalitarias con tal de conseguir objetivos más elevados. Un ejemplo claro lo tenemos en la Estrategia Nacional para Identidades Confiables en el Ciberespacio, o NSTIC en inglés, que la Administración Obama lleva desarrollando desde el verano pasado.
La NSTIC, estrategia con nombre de serie de TV o de grupo musical para adolescentes, trata de identificar a todo usuario de Internet. Como lo leen. Tal y como comentan los liberales españoles, sería como si para salir a la calle tuviéramos que fichar en nuestro portal, activando un sistema de registro de todos nuestros movimientos que sólo terminaría una vez volviéramos a casa y ficháramos otra vez.
Pero volviendo al mundo de los bits, la genial excusa que dan desde la Casa Blanca es que la NSTIC nos librará de uno de los mayores males de la historia de la red: las contraseñas.
Una vez el Ecosistema de Identidad se desarrolle, un pequeño negocio, por ejemplo, podrá ahorrarse los costes de desarrollar un sistema de identificación (login) propio, pudiendo llevar su negocio a Internet mucho más fácilmente. Los consumidores podrán conectar con ésa nueva tienda mediante una credencial que ya tengan, evitando así la inconveniencia de crear un nuevo juego de usuario y contraseña, mientras que aumenta la seguridad.
Bienaventurado sea, pues, el Ecosistema de Identidad. Pero ¿qué es exactamente esto del Ecosistema de Identidad? Pues según la nota de prensa de la Casa Blanca, será un conjunto de credenciales seguras e interoperables para que todos aquellos usuarios que quieran participar en el sistema, puedan obtenerla mediante una gran variedad de dispositivos, como por ejemplo instalando software en un smartphone, en una smart-card o en sistemas que generan contraseñas de un solo uso. El fin último, como ya hemos visto, es que los usuarios solamente tengan que usar uno de estos dispositivos para poder identificarse en cualquier lugar de la red. Como el Open-ID, pero a lo bestia.
Como decía el pasado mes de Enero el Secretario Estadounidense de Comercio Gary Locke:
No estamos hablando de un sistema controlado por el gobierno. De lo que estamos hablando es de mejorar la seguridad y privacidad en línea, y reducir e incluso eliminar la necesidad de memorizar de una docena de contraseñas, a través de la creación y el uso de identidades digitales de mayor confianza.
Por si a alguien no le acaba de sonar el tema, hay que recordar que en España existe el DNI electrónico, uno de los mayores fiascos en lo que a Identidad Digital se refiere. Sobre el uso del DNIe como sistema de autentificación, el responsable de una empresa navarra comentaba en una entrevista que
No hace ni un mes tuvimos que desplazar a una persona a Madrid, únicamente, porque un ministerio exigía su firma manuscrita en un contrato.
O aún mejor:
Tengo clientes que quieren incorporar sistemas de emisión electrónica de documentos y no lo hacen, porque hay alguien dentro de la administración que les dice: es necesario un sello de caucho para dar validez al proceso.
Y esto nos lleva a preguntarnos para qué, existiendo ya cosas que funcionan como Open-ID, organizar un Ecosistema de Identidades, si ni siquiera las Administraciones que debieran promoverlos los usan… y si nos preguntamos eso, llegamos a un nuevo documento, publicado el pasado 23 de Marzo por el Departamento de Seguridad Nacional, titulado “Haciendo posible la Seguridad Distribuida en el Ciberespacio – Construyendo un Ciber-Ecosistema Sano y Resiliente mediante la Acción Colectiva Automatizada“.
Como puede verse, tan sólo el título sirve para unas cuantas películas sobre teorías de la conspiración. Pero una vez uno lee el documento, se demuestra que de películas nada. Aunque la jerga militar es digna de las mejores producciones, y los símiles entre el funcionamiento del sistema immune humano y el modelo de seguridad de la red, con referéncias explícitas a documentación e investigación al respecto realizadas por Microsoft, recuerda mucho a aquel general perturbado que no para de hablar sobre los fluidos corporales en “Dr. Strangelove“, todo es real.
El director y coordinador del documento es Philip Reitinger, Subdirector de la Secretaría para la Dirección de Protección Nacional, que fue designado por Janet Napolitano en 2009. Anteriormente, Reitinger trabajó para Microsoft en la rama de seguridad y protección de infraestructuras.
El documento está destinado a explicar cómo los dispositivos conectados a una red pueden convertirse en defensores tanto de ellos mismos como de la red entera, basándose en tres pilares: Interoperabilidad, Automatización y Autentificación.
¿Cómo funciona?
El funcionamiento, un poco a lo bruto, del “ecosistema” podría basarse en que un Dispositivo Sano (DS) detecta un Dispositivo Infectado (DI); el DS deja de recibir y mandar información desde y hacia el DI, e informa a sus dispositivos vecinos de la identidad del DI; los DS que reciben la alerta tienen un umbral de defensa para minimizar las falsas alarmas: aplazan cualquier acción hasta que reciban la alerta de un número determinado de dispositivos; una vez se sobrepasa ése umbral, los DS cortan la comunicación con el DI, neutralizando su capacidad de propagar la infección; las comunicaciones se recuperan una vez se desinfecta el dispositivo. Según simulaciones, éste modelo funciona con la participación de tan sólo el 30-35% de los dispositivos de una red, y se entiende por “dispositivos”, a parte de ordenadores, teléfonos y demás aparatos electrónicos, los programas informáticos como un firewall, comprobadores de integridad de ficheros, antivirus, sistemas de detección de intrusiones, anti-malware, etc…
Dicho sistema se encargaría de recopilar datos e información con tal de poder tomar ‘la decisión adecuada’ en cada caso, encuadrando todos los dispositivos en alguno de los 5 niveles del modelo, que van desde dispositivos individuales y/o con escasa conectabilidad, hasta el nivel máximo, formado por una red de dispositivos fuertemente interconectados y con una gran capacidad para mandar y recibir información.
Éste modelo de cinco niveles está adaptado del documento de la OTAN “Network Enabled Capability (NEC) C2 Maturity Model“. A más nivel, más capacidad en la toma de decisiones. Por otro lado, el nivel máximo incluye niveles de “Interacción entre dispositivos participantes“ “ilimitados bajo demanda“, así como que toda la información relevante sea accesible. Es decir, ceder ‘voluntariamente el control total del dispositivo a “la comunidad”. Lo que queda en la sombra es quién o qué conforma dicha “comunidad”.
¿Cuáles son los objetivos?
La inclusividad y alcance máximos, desde smart-grids eléctricas hasta el sistema NextGen de transporte aéreo, incluyendo todos los sistemas y dispositivos ya conectados a Internet. Y todo ello, totalmente libre de barreras, por lo cual los diseñadores futuros deberían asumir que todo será compartido con todos.
También se busca que el sistema sea optimizado para que las máquinas se puedan defender de las máquinas, mientras que los humanos puedan dedicarse a defenderse de otros humanos. Todo ello perfectamente inteligible, para que todos podamos ser actores en la gran función del teatro de la ciber-seguridad.
Finalmente, busca asegurar la confianza de los consumidores, por lo que en el documento se recomienda pasar de hablar sobre “evitar que se realicen transacciones no deseadas” al más positivo “asegurar que se lleven a cabo las transacciones correctas”, lo que significaría, según palabras literales del documento,
una mayor sensación de seguridad y confianza acerca de operaciones de transporte, energía, sanidad, etc…
Antes hablaba de participantes o dispositivos ‘sanos’, pero ¿cómo se distingue a un participante “sano” de los que no lo son? Según el documento, los humanos ‘no-sanos’ no están bien concienciados acerca de la necesidad de seguridad, o bien les faltan habilidades o bien no son quienes dicen ser. Por el contrario, los participantes ‘sanos’ tendrían acceso continuado a formación y educación para la concienciación. Por su parte, los dispositivos ‘sanos’, entre muchas otras cualidades, deberían ser extremadamente confiables y actuar tal y como se espera que actuen. Sólamente hacerlo así, y en cualquier situación. ¿Cómo se consigue? Mediante el Programa de Software Seguro del Departamento de Seguridad Nacional, destinado a ‘minimizar’ vulnerabilidades así como a unificar los criterios y evitar el uso de software proveniente de distribuidores ‘no seguros’. Quien define qué es un ‘distribuidor seguro de software’ es otro tema.
¿Cómo sentar una buena base para empezar?
En su página 26, el documento lo deja bien claro: filtrando información de forma anónima sobre incidentes y sus soluciones, el análisis de la cual llevaría a mostrar cómo las inversiones ciber-sanidad pueden reducir los costes de operación. Todo ello llevaría a aumentar la demanda de productos y servicios para reducir los riesgos de los participantes. Eso si, todo bien maquillado y situado bajo el estandarte de la protección de las libertades.
Un ecosistema con intervención humana y que sea auto-defendible, podría forzar a los atacantes a tomar más riesgos y aumentar su exposición. Éstas actividades, combinadas con mayores atribuciones, podrían aumentar la efectividad de la aplicación de la ley u otras formas de disuasión. Un sistema sano, en otras palabras, refuerza mutuamente la seguridad, usabilidad, confiabilidad y la protección de la privacidad y las libertades civiles.
Conclusiones y preguntas finales
El informe termina con unas cuantas preguntas sobre el futuro:
¿Cederán los propietarios de los sistemas el proceso de toma de decisión a la comunidad? ¿Quién marca las políticas para los intercambios de información y el despliegue de contra-medidas? ¿Qué regímenes de responsabilidad se aplican a consecuencias colaterales del despliegue de contra-medidas (o del fallo en dicho despliegue)? ¿Qué autoridades legales deberían ser obligados a actuar por parte de gobiernos locales y nacionales, así como entes internacionales, mediante dispositivos de propiedad privada o al servicio de intereses privados, para asegurar un mayor bien ciber-común?
La primera pregunta deja bien claro una de las incógnitas que se presentaban al inicio: la comunidad. De la segunda en adelante, podemos adivinar cuales son las intenciones reales tras toda la estrategia, así como sus posibles consecuencias. Pero volviendo a la famosa ‘comunidad’, se trata ni más ni menos de la ‘Comunidad de Inteligencia‘. Dicha comunidad tiene en Michael McConnell a uno de sus máximos ideólogos, por no decir el máximo.
McConnell, conocido también como “el espía número 1”, fue Director de Inteligencia Nacional, cargo que incluye las funciones de asesor principal del Presidente de los Estados Unidos, así como al Consejo de Seguridad Nacional y líder de la Comunidad de Inteligencia, un conjunto de 16 agencias federales que orbitan alrededor del Departamento de Seguridad Nacional, o dependen directamente de él, dedicadas a las relaciones internacionales y la protección de la seguridad nacional que incluye, entre otras, a la CIA (en efecto, el jefe del Director de la CIA justo antes del mismísimo Presidente). También fue el director de la National Security Agency, una agencia federal ‘inexistente‘ hasta que se demostró que existía, que es la responsable de la también ‘inexistente‘ red de espionaje Echelon y de su programa de escuchas y espionaje sin autorización a ciudadanos americanos.
La NSA, además de operar al margen de la mayoría de controles gubernamentales, también es la agencia responsable de la implantación de ‘puertas traseras’ en programas y sistemas operativos, como cuando colaboró con Microsoft para instalar sistemas de control en su software allá por 1999, sentando un claro precedente para el actual DHS Software Assurance Program que comentábamos más arriba.
Mike McConnell es el mismo que, aprovechando su posición como asesor principal de cuatro Presidentes de los Estados Unidos, lleva años asegurando que se está llevando a cabo una ciber-guerra, y que los Estados Unidos la están perdiendo. Para evitar esa ‘derrota’, no dudó en solicitar la creación de nuevas agencias federales, así como aumentos de competencias para las ya existentes, o acceso libre y completo a cada uno de los bits de información que viajan por Internet, incluyendo todos los correos electrónicos, transferencias de ficheros o términos de búsqueda para que la NSA los examinase. También lleva años asegurando que el Terrorismo Internacional intenta por todos los medios destruir la Internet abierta y libre tal y como la conocemos hoy en día, y por ello insta a aprobar nuevas normas y leyes para ayudar a su ‘protección’, como la que impulsó el conocido Senador Lieberman, el mismo que consiguió que Amazon expulsara a Wikileaks de su nube, que dotaba al Presidente de los Estados Unidos del botón de cierre de Internet.
De éste modo, creando miedos irreales gracias a exagerar amenazas externas, McConnell ha conseguido la adjudicación de jugosos y sustanciosos contratos de defensa para la empresa en que trabaja por valor de varios billones de dólares, muchos de ellos siendo considerados como “alto secreto” y, por lo tanto, muy lejos del escrutinio público.
La seguridad basada en el obscurantismo no funciona. El ambicioso y delirante plan para hacer de Internet un lugar seguro mediante el uso de medidas completamente aberrantes y extremadamente caras, contrasta con su dudosa efectividad. Crear y llevar a cabo éste tipo de planes que, pretendidamente, nos van a agilizar las gestiones en línea, aumentan de forma considerable la llamada ‘brecha digital’. ¿A usted no le gustan las contraseñas? Esté tranquilo que le libraremos de ellas, pero para ello tendrá que comprar una tarjeta, un lector, instalar cuatro o cinco aplicaciones, bajar e instalar otros cuatro o cinco certificados de seguridad, y tan sólo después de re-iniciar un par de veces su ordenador, ya podrá acceder a servicios tan trepidantes como solicitar su vida laboral o realizar su declaración de la renta.
¿Por qué crear y diseñar éste tipo de sistemas ultra-caros para ‘librarnos’ de las contraseñas, cuando sería infinitamente más fácil y barato tender puentes que cubrieran esa brecha digital? ¿Por qué no enseñar a los nuevos usuarios digitales no nativos cómo seleccionar una buena contraseña, o enseñarles a usar dispositivos electrónicos de forma segura, o directamente, promover el uso de software libre y de código abierto, completamente libre de virus, malware y demás maldades del siglo XXI y que, por consiguiente, dejan toda esta estrategia de delirio de la Guerra Fría en un legajo de papel completamente inútil?
Pues porque no se trata en absoluto de ‘facilitarnos’ las gestiones. Como bien apunta el final del documento, se trata de crear una sensación de falsa seguridad. Se trata de pasar de “evitar que se realicen transacciones no deseadas” al más positivo “asegurar que se lleven a cabo las transacciones correctas”. ¿Correctas para quien? Se trata de entrar en la era de la transparencia voluntaria, aunque obligatoria, de aquello de que si no quieres una Identidad Confiable es que estás ocultando algo, y si alguien oculta algo, seguramente lo hace porque es un terrorista. Se trata, en definitiva, de ir avanzando, eso si, progresivamente, hacia el totalitarismo y el absolutismo en que todos seremos los policías de nuestro vecino y deberemos reportar cualquier actividad sospechosa. Todos seremos parte de un Ciber-Ecosistema Sano y Resiliente mediante la Acción Colectiva Automatizada. Y si nosotros no queremos participar, podremos estar tranquilos, que nuestros aparatos electrónicos y software lo harán por nosotros.
Los nostálgicos de la guerra fría como McConnell, y sus jóvenes herederos, presentes por todo el mundo, se han empeñado en crear un gran teatro de seguridad mediante marionetas que manejan a su antojo, inventándose peligros para poder implantar sus rebuscadas soluciones. Por tanto, es necesario cubrir la llamada ‘brecha digital’, educando a los ‘inmigrantes digitales’ para que sepan qué significan las palabras “seguridad en internet”, explicarles que el anonimato no existe y que Internet no es el Lejano Oeste, evitando de este modo que ingenieros sociales como McConnell puedan manipular tanto a gobernantes como a la opinión pública.
Es necesario enseñar a usar criptografía y a defender su uso de forma abierta y legal, para que no llegue un momento en que se prohiba su uso y, por tanto, la criptografía solamente esté al alcance de delincuentes.
Es necesario resistirse a ser aterrorizado. Evitar que se nos aplique la terapia de la paranoia y el miedo, estando prevenidos para evitar que nos utilicen y nos sitúen en la primera línea de defensa ante un enemigo invisible.
En definitiva, hay que evitar que los paranoicos empeñados en protegernos de nosotros mismos logren controlar todos y cada uno de los aspectos de nuestras vidas escudándose en que, allá a lo lejos, hay alguien con muy malas intenciones que va a por nosotros. Los malos, los de verdad, son ellos. Los paranoicos.
Foto | Photomish Dan