Proyecto MUSCULAR: La NSA se habría infiltrado en las redes privadas de Google y Yahoo

Seguimos con las revelaciones NSA. La última, directa desde el Washington Post, asusta bastante: la agencia estadounidense habría entrado en las redes privadas de Google y Yahoo para espiar los datos que se transmiten, incluyendo metadatos y contenido.

Tanto Google como Yahoo mantienen redes privadas entre sus centros de datos, los edificios donde almacenan sus servidores. Esos servidores guardan todos los datos de los usuarios y responden a todas las peticiones de los usuarios. La infraestructura es muy compleja, especialmente en el caso de Google.

Google mantiene 13 centros de datos en todo el mundo. Cada servidor de cada uno de los centros tiene que comunicarse con el resto para sincronizar y consultar datos, y si esas comunicaciones son lentas todo Google se resiente. Por eso, los centros de datos están comunicados entre sí con enlaces privados de fibra óptica. Los enlaces no pasan por la red Internet pública, y por eso mismo tampoco están cifrados.

Sin embargo, la NSA y el GHCQ han logrado poner un topo en esa red, un topo que hasta tiene nombre: DS-200B. Es un punto de acceso localizado fuera de Estados Unidos y que funciona gracias a un *acceso secreto a un cable o conmutador de red por el que pasa el tráfico de Google y Yahoo*. El acceso lo da un proveedor de telecomunicaciones, de nombre desconocido.

Una vez que esos datos se capturan, se envían a un servidor buffer, con capacidad para almacenar de tres a cinco días de tráfico. Teniendo en cuenta que la red privada de Google podría transmitir datos a una velocidad de incluso terabytes por segundo, estaríamos hablando sólo de un servidor con una capacidad bestial.

Desde ese servidor buffer las herramientas de la NSA desempaquetarían y decodificarían los datos recogidos (analizar los formatos que usan Google y Yahoo de forma privada no debe ser para nada trivial) y después aplicarían filtros para quedarse sólo con la información "interesante".

¿Cuántos datos podría haber capturado la NSA de esta forma? Algunas diapositivas dicen que podrían haber contribuido a 100.000 selectores (términos de búsqueda que usa la NSA para encontrar objetivos), el doble que con PRISM. Otros datos indican que MUSCULAR habría enviado a la NSA 181 millones de registros sólo en 30 días.

Por qué pueden hacerlo y reacciones de Google y Yahoo

Aunque la legislación estadounidense da bastante poder a la NSA, no le permite espiar a sus propios ciudadanos sin una orden judicial. Con un matiz: no le permite espiar a sus propios ciudadanos en suelo estadounidense sin una orden judicial.

Trabajar en el extranjero le da a la NSA mucha más libertad de movimientos.

Es decir, que la NSA no puede entrar a los servidores de empresas de motu proprio y sacar datos de ciudadanos de EEUU porque esos servidores están instalados en suelo estadounidense. Sin embargo, los enlaces de fibra óptica y los centros de datos de Google y Yahoo están en el extranjero. Ahí la NSA tiene más libertad de movimientos y puede llevar a cabo proyectos más agresivos como MUSCULAR.

Según The Washington Post, ni la Casa Blanca ni la Oficina del Director de Inteligencia Nacional han querido hacer declaraciones sobre la infiltración en las redes de Google y Yahoo.

Google ha explicado que no están al tanto de esta actividad, si bien han tenido sospechas de que podría estar ocurriendo. De hecho, por eso mismo están trabajando en cifrar las conexiones entre sus propios centros de datos e incluso en las redes internas entre servidores en un mismo centro.

Yahoo explica que tienen controles estrictos para proteger sus centros de datos y que no han dado acceso a ninguna agencia a ellos. Eso sí, de momento, los enlaces de su red privada seguirán estando sin cifrar.

Si estos informes son ciertos, la NSA no tiene ningún tipo de límite. No sólo tiene la potencia y capacidad para espiar en prácticamente cualquier parte, sino que además saben perfectamente cómo apañárselas para evitar las leyes que limitan lo que pueden hacer. MUSCULAR es verdaderamente admirable desde un punto de vista técnico, pero desde el punto de vista de la privacidad, asusta y mucho.

Vía | The Washington Post