No pretendo escribir una de esas típicas entradas alarmistas sobre la ciberguerra, sino hacer una pequeña reflexión sobre el poder de la historia a la hora de enseñarnos cosas. Que internet se está convirtiendo en un campo de batalla cada vez más encarnizado en el que los países despliegan sus fuerzas y sus ejércitos para rivalizar a la hora de desarrollar poder ofensivo y defensivo es evidente, y lo demuestra el cambio de actitud de varios gobiernos en ese sentido: que la administración Trump, llevada por el evidente carácter de bully de su irresponsable presidente, anuncie el lanzamiento de una nueva estrategia de ciberdefensa nacional para facilitar el uso de armas gubernamentales en respuesta a posibles ataques, o que el Reino Unido practique ciberataques para sumir Moscú en las tinieblas en respuesta a ofensivas previas es simplemente una evidencia de que estamos entrando en una carrera armamentística en la que cada país rivaliza por contar con mejores y más potentes armas para provocar en sus adversarios efectos que van desde la desinformación hasta los ataques a infraestructuras críticas.
Recientemente, César Muñoz, de FayerWayer, me recordó un texto que escribí en abril de 2013 para el prólogo de la edición española de «Cypherpunks: La libertad y el futuro de internet«, que posiblemente pueda servir para ilustrar la evolución de la situación actual:
El ciberespacio, en todos los sentidos, se ha militarizado. El equivalente de lo que está ocurriendo en la red situado en la calle, fuera de la red, sería directamente la ley marcial. La red y el libre intercambio de información podrían estar posibilitando un período histórico que supusiese el mayor y más vibrante progreso a todos los niveles, pero están en su lugar alumbrando la época más oscura, autocrática y totalitaria que el ser humano ha vivido jamás. Internet, lo creamos o no, se está convirtiendo en el enemigo, en la sustancia que engrasa una pendiente peligrosísima que la humanidad recorre a toda velocidad, en el mayor y más efectivo facilitador del totalitarismo.»
En efecto, el uso de la red y de la tecnología se plantea cada vez más como herramienta para que los tiranos controlen a sus ciudadanos, para señalar al disidente, al que piensa distinto, o al que aspira a un sistema de gobierno diferente. En este sentido, las estrategias ofensivas plantean riesgos claros y evidentes, y recuerdan poderosamente a lo sucedido en la guerra fría, posiblemente el mayor despilfarro de recursos de la historia de la humanidad, con países invirtiendo en un potencial destructivo cada vez mayor, capaz de acabar varias veces con todo vestigio de vida en el planeta, simplemente en busca de un equilibrio imposible. Solo mediante el desarrollo de tratados internacionales, elementos que auxiliasen en la determinación de responsabilidades y organismos con un cierto poder sancionador se llegó a, de alguna manera, poder plantear un escenario diferente y al menos potencialmente más constructivo.
En la red, cada vez más, necesitamos ese tipo de mecanismos. La respuesta del bully, la de dedicar cada vez más y más inversión al desarrollo de ciberejércitos preparados para atacar al enemigo, para escalar en guerras absurdas capaces de provocar daños de todo tipo a infraestructuras cada vez más dependientes de la red, es simplemente absurda, y sabemos, históricamente, que no conduce a nada bueno. Necesitamos urgentemente tratados internacionales con sentido y con herramientas efectivas que protejan a hospitales, a redes de distribución eléctrica y, en general, a todo aquello que forma parte de la infraestructura crítica de un país, del posible interés de un atacante por causar daño, al tiempo que desarrollamos sistemas que permitan trazar esos ataques y asignar las responsabilidades de manera inequívoca a quienes corresponda, para posibilitar el uso de sanciones internacionales contra ellos y provocar el progresivo aislamiento internacional de quienes pretendan no cumplir las normas. La vía correcta no es la de reforzarnos cada vez más en una carrera sin sentido, sino la de hablar para obtener consenso en lo que vale y no vale, en lo que se puede y no se puede hacer, en lo que está permitido y lo que no. Aislar a quienes pretendan explotar la red como arma, y posibilitar que esta se convierta en lo que siempre debió ser. Si no avanzamos en este sentido y obtenemos un nivel adecuado de consenso internacional, estaremos repitiendo errores históricos que jamás nos llevaron a nada positivo.
This post is also available in English in my Medium page, “The internet is being taken over by the military: what are we going to do about it?»
Los tratados internacionales son la única vía que puede funcionar, porque la otra, proteger los sistemas frente a ataques, es tremendamente difícil y siempre lleva las de perder frente a un atacante decidido: para que el defensor tenga éxito, tiene que hacer el 100% de las cosas bien; para que el atacante tenga éxito, solo tiene que encontrar una cosa que el defensor no ha hecho bien.
Empresas como Sony, Microsoft, Facebook, etc. que operan sistemas en red a nivel global con millones de usuarios y dedican muchísimos recursos siguen teniendo brechas de seguridad. Empresas mucho menos preparadas (telcos, eléctricas, hospitales, etc.) y la administración lo tienen mucho peor.
La semana pasada estuve leyendo y viendo videos de cómo Microsoft había hecho la transición hacia DevOps para ofrecer productos Software as a Service (SaaS) 365x24x7, contado por ellos mismos, y uno de los temas era DevSecOps (Secure DevOps). Lo primero es darse cuenta de que defenderse de un ataque es la mitad de la historia. La otra mitad es, en primer lugar, enterarte de que te han atacado, y saber cómo lo han conseguido:
Fundamentally, if somebody wants to get in, they’re getting in..accept that. What we tell clients is: number one, you’re in the fight, whether you thought you were or not. Number two, you almost certainly are penetrated.» – Michael Hayden, Former Director of NSA and CIA
Microsoft organizó en 2015 (con ayuda externa) dos equipos: el «read team», que hacía de atacante, y el «blue team», que hacía de defensor. El equipo rojo ganó por goleada en los juegos de guerra durante meses y años por varios motivos, desde las malas prácticas de seguridad al comienzo, ataques de phishing con mucho éxito, hasta la sofisticación y creatividad de los ataques. El equipo azul, al comienzo, tardaba días en enterarse del ataque y ni sabían por dónde habían entrado. A día de hoy parece que se enteran en tiempo real. Dejo el enlace con el video, que a mí me pareció fascinante (y deprimente al mismo tiempo):
Microsoft Mindset shift to a DevSecOps culture
Sony también incurrió en algo tan inocente:
Sony Kept Thousands of Passwords in a Folder Named «Password»
Y según el contenido de uno de los enlaces del post de Enrique, no parece que los atacantes tengan que esforzarse mucho con los sistemas militares:
«According to its findings, the watchdog’s testers used relatively simple tools and techniques to take control of systems and operate almost undetected — because of poor password management and unencrypted communications.»
¿Se ve el patrón? Ataques con éxito, relativamente fáciles…y casi indetectados. Supongo que así están la mayoría de las empresas: penetradas y sin saberlo, a la espera de que alguien apriete el gatillo.
Microsoft no es el mejor ejemplo, ha sido tradicionalmente una empresa muy dejada en materia de seguridad. Ahora dicen que empiezan a tomarse en serio la seguridad, pero es que llevan décadas diciendo esto mismo mientras venden copias de Windows con una configuración por defecto insegura.
Está claro que todos los SOs tienen problemas de seguridad, pero creo que hay motivo para la esperanza. Google sí se tomó desde el principio en serio la seguridad en Android, y ha hecho en todo momento un gran esfuerzo por aumentarla (la transición a selinux, por ejemplo). El resultado es que los atacantes se han tenido que desplazar de las áreas «endurecidas» por Google a otras que Google todavía no había tocado, como el kernel, y que ya ha empezado a mejorar su seguridad en las últimas versiones.
Llámame iluso si quieres, pero por lo menos a nivel de SO es posible que estemos cerca de ver a uno que sea seguro de verdad. Por supuesto, quedarían como asignaturas pendientes todo lo que no es el SO, pero asegurar este es el primer requisito.
Nada de eso vale si no se fuerza a los fabricantes a actualizar sus equipos. Yo soy fan de los móviles chinos, y solo en uno de 10 que habré tenido se aplicó un parche. Puede que Gmail se haya actualizado (llevo tres últimamente) pero la copia buggy sigue en la ROM. Aunque lo podría actualizar por fuera del cauce oficial, el grueso de usuario no lo va a hacer…
De ahí el Proyecto Treble (introducido en Android 8.0). Parte del problema es que una actualización de Android no depende únicamente del fabricante del aparato, sino también del fabricante del SOC, que ha de proporcionar los controladores para cada nueva versión de Android.
El Proyecto Treble separa en Android la parte que depende del hard (principalmente controladores del SOC) de la parte que no, que es la gran mayoría. De esta manera, el fabricante del aparato puede actualizar la mayor parte de Android, incluso si el fabricante del SOC no proporciona nuevos controladores.
Los creadores de ROMs no oficiales también pueden aprovecharlo.
Bolivia un país fascinante. Es la cuna y experimento de situaciones insospechadas. Sus gentes, utilizan Internet para informarse, potenciar su diario vivir de redes de personas conectadas, que no requieren de filtros para aparentar situaciones políticas «de pantalla». Lo que se ve, es lomque realmentevsucede y es lo que se conoce. Desde el taxista hasta el antiguo y nuevo pudiente. es un medio que potencia, convoca, une, sin importar si el movimiento tiene o no un origen intencionado. Estas experiencias, conducen a plantearse si «la fe» no tiene un papel muy necesario, en aquellos que atraviesan la linea entre lo que es correcto y lo que realmente es. Antes, los políticos sabían que no podían transgredir esferas ocultas pero más poderosas que ellos. Ahora, esas esferas ocultas, no son ya ocultas, se apoderan de instituciones y representantes clave porque sus rutas por donde viaja su mercancía, requieren menos control pues ya no blanquean sus capitales, invierten en sus campañas. Sin olvidar la deep web y los petrodólares criptomoneados..
Las batallas cibernéticas, por el control de la voluntad, el pensamiento, el criterio, y creo que no llegamos al alma. Visto en perspectiva, la sociedad de la informacion y el conocimiento da una oportunidad para aumentar el grado de conocimiento sobre realidades. En la carrera por el control de voluntades, se diseña un panorama internacional, brillantemente conectado, para obedecer a intereses concretos. ¿Por qué habría que modificar la ley de puertos y aeropuertos? O ¿ Por qué 4 senadores republicanos marcan la diferencia? O ¿Por qué Latinoamercia compensa dando un giro con Brasil? Me parece un juego de ajedrez, jugado por la misma persona. o por dos viejos amigos. Los verdaderos jugadores, requieren apropiarse del origen mismo de la humanidad, lo cual está lejos. y ahora le toca el turno a la Inteligencia Artificial, y el papel que Oppenhaimer le está otorgando en su nuevo libro el cual ha sido leído por el presidente Colombiano. Y también forman parte del juego, las viejas idelogias como argumento de poder para modificar las reglas del juego.Una república federal versus pactos de gobierno que garantizan presupuestos. Y Rusia, la potencial aliada con o sin el brazo federal americano. E Internet, como medio para informar, influir, conectar y como no, controlar. Es un medio necesario con un fin muy concreto: Desprestigiarlo. Pero, yo sigo informándome, comunicándome, investigando, y socializando. Es un medio entonces activista o necesario, para personas de a pie, que lo ven como una puerta de escucha. Conectase sin conexion, sera lo último…
Con Franco era imposible, aún en los años sesenta, reunirse tres personas en la calle sin que te llamaran la atención. Pero siempre hai un resquicio, para entrar en el lugar más seguro y abatir los más potentes dogmas.
Lo que no parece tener remedio, es la aptitud de la gente para no admitir que le falta saber (como decía el Sócrates). Ese es el peligro real. Lo que hace poderosos a los Trump, a las FFAA, a los imbéciles… en fin, a tener que soportar una sociedad injusta y chabacana.
El ser humano tiene tendencia a mirar para «arriba» y resulta que el problema real está muy abajo.
Es una nueva versión de el eterna lucha entre el muro y el proyectil. Los gobiernos poderosos invierten sus abundantes recursos económicos, en hacer muros mas altos, mas fuertes más impenetrables,…..(la Linea Maginot), mientras que los nuevos atacantes, no atacan como se espera, que ataquen , de frente y por derecho.sino que atacan en otros puntos no previstos (Bélgica) y con unas nuevas teorías estratégicas, basadas en los mas recientes descubrimientos técnicos, Blitzkrieg,
Traduce al lenguaje actual los lugares donde los gobiernos están incorporando el 80% de los empleados y sabrás cuál es su Linea Maginot.
El ataque se hará en los bordes finales de la muralla, con el uso de medios técnicos descubiertos en los dos últimos años.
El móvil que llevas en la.mano.
Pudiera ser.pero creo que es un invento mas moderno que ha pasado más desapercibido, Solo es pura especulación, en este campo no tengo información privilegiada.
El ataque procederá desde la «Nube», a través de algo que todos utilicemos y sea como muy inocente, por ejemplo `el sistema de alarmas/despertadores, o el control del aire acondicionado, o una web que nos informa del tiempo,…..
¿Que puede ocurrir cundo cientos de miles de pequeñas acciones individuales se pueden poner en marcha con una precisión simultánea, Digamos que simplemente ponen en marcha el equipo ambientador de las viviendas, ¿Está el sistema a eléctrico adaptado a un cambio instantáneos de solicitud de carga de un 40%?. ¿Si ese sistema cáe, cuales son las consecuencias?
Los próximos inventos basados en la IA como la conducción automática, o las Start Cityes so los perfectos caballos de Troya para este tipo de ataques. ¿Te imaginas lo que puede suponer 10000 automóviles Car Sharing, dirigiendse simultsmeamente a circular por el sitio más conflictivo de la ciudad. por ejemplo en Madrid la M30 enterrada?.
El espionaje masivo de la NSA es anterior a Obama.
Cuando haya pruebas de que los rusos tuvieron tal éxito en sus estrategias como para decantar el voto por Trump, me lo tuitean.
Hay pruebas ya hasta en la Wikipedia. Y en cuanto Robert Mueller presente los resultados de su investigación, vas a tener algo más que pruebas. La justicia norteamericana es lenta, pero suele funcionar…
Una cosa es interferir y otra tener éxito.
Que los rusos interfieran no demuestra que lograran sus objetivos.
La causalidad no esta establecida, el exito de Trump no demuestra que fuera por la intervención rusa, y demostrar que hay intervención sigue sin cuestionar el resultado electoral.
¿Intervinieron los rusos en Italia para que llegara Salvini? ¿En Brasil con Bolsonaro? ¿En Reino Unido para que saliera el brexit?
Reducir resultados electorales que no nos gustan a que la culpa es de la interferencia rusa es wishfull thinking, y el impeachment ni está ni se le espera.
Pero quizás estos conceptos de ciberguerran se amplien e incluyan a las redes sociales como nuevos vectores de ataque. En su interesantisímo «Like War. The Weaponization of Social Media», Peter W. Singer, traza un panorama sobre como las redes pueden crear estados de opinión y ánimo que conduzcan a conflictos bélicos. Además está el concepto de disuasión cibernética (análoga a la nuclear) y parece ser que en este sentido EEUU es el que está siendo disuadido por otros paises, y puede ser que ya estemos inmersos en una ciberguerra fría (https://www.defenseone.com/ideas/2018/06/not-cyber-deterrence-united-states-wants/149009/?oref=d1-in-article).
Karl Von Clausevitz decía que «la guerra es la continuación de la política por otros medios». Hoy podemos añadir que internet es la continuación de la guerra, por otros medios