SLUN11 – Software libre en la Docencia
El próximo viernes 16 de diciembre se celebrará en Donostia la segunda edición de SLUN – Software Libre en la Docencia, con un nuevo encuentro entre personas y entidades que trabajan en el ámbito del sofware libre en las universidades vascas. La jornada se compone de varias ponencias invitadas por la organización y seleccionadas entre los trabajos de fin de carrera. Más información sobre el evento en el programa.
Cómo grabar un CD audio sin pausas entre las pistas
En ocasiones nos gustaría tener un CD de audio en el que no se oigan esas pequeñas pausas que hay entre pistas y que pueden resultar molestas al escuchar un concierto en directo, cuando los aplausos del público se ven interrumpidos por ese pequeño “plop” antes de la pista siguiente, u óperas, donde la transición entre unas escenas y otras debería ser gradual y no estamos dispuestos a admitir que un crescendo de la orquesta o el aria de la soprano se corten para continuar después de una fracción de segundo. Cuando la fuente es otro CD del que por ejemplo queremos hacer una copia de respaldo, entonces no hay problema: todos los programas populares de grabación y edición de medios tienen una opción de duplicado. Sin embargo, ¿qué hacer en caso de que tengamos las pistas en archivos WAV, MP3 o FLAC y las quisiéramos grabar a un CD? ¿Cómo eliminar esas molestas pausas y al mismo tiempo mantener las pistas en el CD, de modo que podamos saltar aleatoriamente a la que más nos convenga?
Tecnologías de detección
Hace cosa de año y medio amanecí con un dolor muy intenso en el abdomen. Lo primero que hice fue vestirme, coger mi tarjeta del Igualatorio y presentarme en Urgencias de la clínica más próxima. Después de hacerme un examen externo y darme a firmar los impresos correspondientes a lo que se veía venir, me llevaron encima de una camilla hasta el departamento en el que se encuentran alojados los escáneres de ultrasonidos para practicarme una ecografía. ¿Saben cómo funciona ese invento? Me van a permitir que se lo cuente en pocas palabras (las mujeres que hayan estado embarazadas se pueden saltar las próximas líneas). Primero se aplica sobre la piel del paciente una capa de vaselina para que el contacto con el detector el contacto sea total y no queden capas de aire que generen distorsiones en la imagen. El cabezal emite una señal sonora con una frecuencia de 5 megahercios, que nadie oye porque está muy por encima -unas 200 veces- de lo que puede percibir el oído humano. Con los datos reflejados un software complejísimo elabora una imagen del interior del cuerpo que sirve para que el cirujano se haga una idea de lo que va a encontrar. Tras haber contemplando mi propio apéndice, palpitante y agónico en medio de un claroscuro de formas que recordaba a un mapa de los fondos marinos trazado con el sonar, no es necesario dar más detalles. De allí pasé al quirófano y no salí de la clínica hasta cinco días después.
Si no lo veo no lo creo, y si lo veo tampoco
En el Nr. 75 de Linux Magazine publica Kurt Seifried un artículo sobre seguridad informática de los sistemas de cámaras de videovigilancia que le deja a uno sin habla, o mejor dicho deslumbrado, como en esas películas donde el intruso se sirve de un laser o de cualquier otro truco (interferir la señal de video, poner un trapo encima del objetivo, etc.) para anular la visibilidad en el pasillo que lleva a la cámara acorazada del banco. En resumidas cuentas hay dos soluciones que pese a lo tecnológicamente puntero de las mismas, en realidad no son buenas ideas.
Por qué la seguridad informática no es un buen negocio
Algunos dicen que Bruce Schneier es un gurú. Yo creo que no. Cuando oí por primera vez su nombre, inevitablemente vinculado a ese latiguillo de “la seguridad no es un producto, sino un proceso”, mi opinión inicial fue negativa. Quizá se trataba de otro Douglas Rushkoff, erguido en el escenario frente a un auditorio de estudiantes universitarios y ejecutivos de empresa, haciendo gestos dramáticos bien calculados y diciendo estupideces sobre la transformación de las relaciones sociolaborales en la Baja Edad Media. La lectura de “Secrets and Lies” (Wiley 2004) me hizo cambiar de parecer. Schneier se ha convertido en personaje de moda no solo por su carisma, sino también por un conocimiento minucioso de todo el panorama actual de las tecnologías de seguridad aplicadas a la informática, hasta unos niveles de detalle que le dejan a uno con la boca abierta. Por lo tanto, y siguiendo el modelo de su lapidaria frase, podríamos decir: Schneier no es un gurú, es un experto. Expert, de esos a los que Obama da patadas en el culo para que busquen un modo de arreglar la catástrofe nacional provocada por los vertidos de petróleo en el Golfo de Mexico. Bruce Schneier destaca asimismo por un talento didáctico poco comun en el gremio, y por la capacidad de transmitir contenidos áridos y farragosos a un público compuesto no solamente por gente de la casa, sino también por legos. Si de vez en cuando no se subiera al escenario sería un desperdicio.
Ataque contra routers inalámbricos protegidos con WPA
Hace poco escribí para la revista Linux Magazine un artículo sobre auditoría de redes inalámbricas con herramientas de código libre -concretamente Backtrack 4-. Las pruebas de campo las había llevado a cabo con mi propio router y varias redes del entorno, un edificio de oficinas en el centro de Bilbao, por supuesto con previa autorización de sus titulares. Los experimentos de penetración simple, sin entrar en detalles, se realizan con un paquete de utilidades llamado Aircrack-ng y consisten más o menos en lo siguiente: una vez puesto el interfaz inalámbrico del host en modo monitor, lo primero que se hace es rastrear el tráfico de redes wifi del entorno mediante el programa airodump-ng, el cual mostrará todos los puntos de acceso (WAP) situados a nuestro alcance con sus direcciones MAC, la potencia de emisión, las estaciones conectadas a ellos, el ESSID o identificador de la red y otros datos relevantes.
Libro sobre posicionamiento en buscadores
Si hay un libro sobre Optimización de Motores de Búsqueda (S.E.O.) que todo el mundo debería leer es este (Versión española en Anaya Multimedia). No tanto por lo que enseña, que no es poco pese a las escasas 250 páginas de la obra, como por la actualización de conocimientos en una materia compleja y mal comprendida y los avisos que intentan salvar al lector -suponemos que se trata de un emprendedor que ha iniciado un negocio en Internet o quiere desarrollar su propia página web- de caer en las trampas que constantemente le tienden los malos profesionales del oficio. Evan y Bradley Bailyn, hermanos y socios, llevan muchos años en el sector del marketing on-line y la optimización de páginas para buscadores. Conocen Google lo suficientemente bien como para elaborar una teoría estructurada que explique los entresijos de su funcionamiento, y han ido más allá de los conceptos tradicionales de optimización basados en PageRank. Si a estas horas aparece un gurú y le propone mejorar su posición en la lista de resultados de Google mediante los trucos habituales -compra de enlaces, inserción masiva de palabras clave en el texto de la página, etc.-, despídalo sin ceremonias.
La Nueva Generación Hacker (II)
Dentro de un par de años se cumplirá el trigésimo aniversario de la película “Juegos de Guerra” (John Badham 1983), filme visionario que se adelantó a su tiempo. En aquel entonces Internet se hallaba en sus comienzos teóricos y experimentales, no existía apenas la informática de usuario y la visión de Bill Gates de ordenador es para el obrero no era más que eso, un sueño visionario. Es en tales circunstancias cuando se gesta el estereotipo mediático del hacker -como todavía se le sigue llamando sin precisar su posición a uno u otro lado de la línea divisoria entre el bien y el mal: ante la duda, todos del lado del mal.-, individuo inadaptado con grandes conocimientos de informática que desde la oscuridad de su cubículo y a altas horas de la madrugada maquina todo tipo de estrategias y pone en juego su pericia técnica para penetrar en las redes de ordenadores del Ministerio de Defensa y las grandes empresas. Finalmente la policía asalta su vivienda ante el estupor y el pánico de los padres, que no sospechaban que en la primera planta de su casa tenían una amenaza para la seguridad nacional. Después de sacar al sospechoso de su caótico y mal ventilado tigre, saturado de equipos informáticos, cables y una maqueta del Halcón Milenario, caemos en la cuenta de que por lo general se trata de un menor de edad. Entonces un agente del FBI, bien trajeado y de raza negra, le lee sus derechos mientras le aherroja las manos con esposas. Lo que sigue queda a discreción del guionista.
Aplicación de la Guardia Civil para smartphones
La Unidad Central Operativa (U.C.O.) de la Guardia Civil dispone de una aplicación para dispositivos portátiles que permite acceder a casi todas las funciones disponibles en la página web del Grupo de Delitos Telemáticos, incluyendo la posibilidad de generar denuncias relativas a delitos informáticos. El sofware, descargable desde los stores respectivos de Apple o Android (término de búsqueda: “GDT”), resulta útil porque permite al usuario mantenerse informado sobre las últimas alertas y noticias relacionadas con actividades ilícitas (casos de acoso moral, timos de Internet, estafas, etc.). También proporciona consejos para mejorar la seguridad en el ordenador y durante la navegación por la red. Y en caso de emergencia, gracias a la utilidad de geolocalización del smartphone, se puede conocer en todo momento la ubicación del cuartel más próximo para presentar denuncias o solicitar información sobre cualquier apartado de seguridad ciudadana, como por ejemplo intervención de armas, protección de la naturaleza, actividades subacuáticas o de montaña, servicio marítimo y tráfico.
Espionaje a través de móviles apagados: mito y realidad
Ultimamente suelen escucharse historias sobre ciertos políticos que durante las reuniones importantes no solo apagan el teléfono móvil, sino que además le extraen la batería. Al parecer hay mucha gente convencida de que las agencias gubernamentales y la policía pueden utilizar el móvil para espiar a sus titulares aun cuando el aparato se encuentre desconectado. Antes de hacer afirmaciones categóricas o poner el grito en el cielo por la ignorancia tecnológica de algunos es necesario detallar la cuestión. No todo es tan simple como parece, y tampoco tan complejo. El temor de estos personajes -ya esté motivado por una conciencia intranquila o por la sana desconfianza democrática- no resulta del todo gratuito.
Un teléfono móvil desconectado, aun disponiendo de la energía suministrada por la batería, no puede ser utilizado como transmisor de voz ni como grabadora. Para ello es necesario que estén activadas las funciones correspondientes, y esto solo sucede cuando la CPU del dispositivo (un microprocesador especialidado en el control de teléfonos móviles) arranca, carga el sistema operativo y ejecuta las rutinas de software que permiten funcionar a los diversos subsistemas de voz, interfaz de usuario, codificación GSM, transmisión con la centralita, gestión de memoria disponible en la RAM y la tarjeta de datos, etc. En otras palabras: resulta altamente improbable que un teléfono pueda transmitir la voz de su propietario y sus posibles compañeros de conjura cuando se encuentra apagado. Pero entonces, ¿por qué se le quita la batería?
Un teléfono desconectado no está del todo muerto. Parte de su circuitería -por ejemplo el reloj- sigue efectuando rutinas básicas. El propio usuario lo puede comprobar simplemente ajustando la alarma de su móvil para que suene dentro de cinco minutos y dejando después apagado el móvil. El aparato no dejará de cumplir su misión, a no ser que se le extraiga la batería o esta se encuentre totalmente agotada, quedando interrumpido el suministro de energía. De manera similar, las fuerzas del orden público no escuchan conversaciones a través de móviles apagados, pero sí pueden localizar su posición. Basta con enviar desde la compañía de teléfonos una señal de búsqueda desde las torres que dan cobertura a las diferentes celdas de la red. El dispositivo cuyo indicador coincida con el de la señal responderá con un eco delatando su ubicación en la celda respectiva.
Este sistema lo utiliza la policía en su operativa habitual contra la delincuencia organizada y el terrorismo. Ni qué decir tiene que carece de utilidad como medio de espionaje. Ni siquiera permite triangular la posición del objetivo, sino tan solo saber que este (o más propiamente dicho su terminal) se hallaba en un lugar indeterminado del territorio correspondiente a la celda cuando se efectuó la prueba. Su única utilidad reside en la aportación de medios probatorios para la investigación.
iPhone 4 libre comprado por Internet
Para variar, un servicio automatizado que funciona mejor que la atención personalizada en puntos de venta: el App Store de Apple. Hace poco me surgió la necesidad de adquirir un iPhone 4 para fines de investigación forense, prácticas con herramientas y software de recuperación de datos y otros cometidos por el estilo. El problema era que allí donde se puede adquirir y no está racionado o hay que apuntarse a una lista de espera, ponen todo tipo de trabas. Hasta cierto punto resulta comprensible: a Movistar, Vodafone y Orange no les interesa vender aparatos electrónicos, sino contratos de datos. Incluso en la propia tienda local de Apple -de no estar situada en una gran ciudad como Madrid o Barcelona- ni lo tienen ni lo traen por encargo. Todos estos inconvenientes hacen que a primera vista comprar un iPhone resulte más difícil que comprar un caballo.
La única alternativa recomendable es el comercio electrónico. La compra del iPhone 4 por Internet funciona muy bien, con un servicio excelente y un tiempo de entrega mucho menor que en cualquier punto de venta convencional. Naturalmente hay que pagarlo. Pero el sobreprecio (que ha de valorarse contra los inconvenientes del contrato de datos obligatorio, las restricciones del software y la incompetencia de un personal de ventas por lo general joven, sin experiencia y poco motivado) merece la pena, sobre todo si nos ponemos a hacer números y capitalizamos el pago de las cuotas del contrato de datos durante los próximos quince o dieciocho meses.
Antes ya tenía una muy buena opinión sobre Apple, fabricante de ordenadores que van cinco años por delante de su tiempo. Ahora es mejor.
Revo Uninstaller
Aunque no es frecuente, puede suceder que tras haber experimentado con un programa descargado de Internet para una utilidad concreta -por ejemplo convertir páginas HTML en archivos Adobe PDF-, al usuario no le convence y quiere desinstalarlo. Sin embargo el gestor de instalaciones de Windows se ve incapaz de quitarlo del ordenador. El usuario arranca en modo seguro y repite la operación, obteniendo el mismo resultado, esta vez con algunos mensajes de error de Windows relacionados con la instalación de impresoras o algo por el estilo. Tras una búsqueda infructuosa en Internet, no le queda más remedio que abrir el editor del Registro, buscar las entradas correspondientes al software que se desea desinstalar y suprimirlas a mano. Después respirar hondo y esperar que su sistema vuelva a funcionar tras el arranque.
Afortunadamente hay alternativas. El programa Revo Unistaller, gratuito y disponible en Internet, le permite automatizar con facilidad, de manera comprensible y sin peligro la operación de borrado de archivos de programa y entradas innecesarias en el registro. En su versión Pro, que es de pago, añade algunas funcionalidades que pueden resultar útiles al usuario experimentado y al administrador de redes Windows en oficinas y pequeñas empresas: backup de programas críticos, eliminador de basura y archivos temporales, limpiador de historiales de Internet y últimos archivos abiertos en Office y borrado seguro de archivos. Si nos interesa estar prevenidos contra el espionaje industrial merece la pena probar. Por razones que no necesitan explicarse este software también puede prestar un buen servicio al investigador forense.
Unificación de repositorios Linux
Según informa la revista Linux-Magazine en su edición de este mes, representantes de S.u.S.E., Ubuntu, Fedora, Mandriva, Mageia y Debian se han reunido en Alemania con el propósito de unir esfuerzos para crear un sistema de paquetes comun para sus distribuciones. En una conferencia celebrada el pasado mes de enero se acordó un plan para unificar repositorios y métodos de instalación de software. El evento, liderado por Vincent Untz, incluye tanto un plan de trabajo comun como la dea de integrar los repositorios en un sistema de funcionamiento similar a las redes sociales, lo cual permitiría a los usuarios calificar y recomendar paquetes en función de su utilidad, estabilidad, etc.
El sistema, conocido bajo la denominación de AppStream, combina tecnologías características de varias distribuciones con la ventaja de que el usuario podría disponer en una instalación de software personalizado procedente de diversas distros. También permite optimizar el trabajo de los desarrolladores, ya que los equipos podrían trabajar en colaboración con un solo paquete, manteniéndolo al día y velando por la estabilidad sin tener que actualizar cambios en los diferentes sistemas de paquetes. Las mejoras en la organización y el ahorro de recursos en servidores son también ventajas a tener en cuenta. Sin mencionar el potencial que este enfoque tipo AppStore supone de cara a la generalización de plataformas móviles basadas en sistemas de código abierto como Android.
Manipulación de imágenes digitales
Hace 170 años la invención del daguerrotipo originó una reflexión crucial sobre la naturaleza del arte. Si la misión del pintor no consistía en reproducir paisajes ni preservar para la posteridad el semblante de adinerados patricios –puesto que acababa de descubrirse un procedimiento mecánico para hacerlo- el talento creador quedaba libre, incluso obligado a ello por la cámara oscura, para explorar los caminos de experimentación con nuevas formas y conceptos que llevarían a toda una variedad de estilos pictóricos: realismo, impresionismo, expresionismo, surrealismo, abstracción y, finalmente, la decadencia actual del arte expresada en tomaduras de pelo à la Andy Warhol, rascacielos envueltos en celofán por el artista Christo o el propio uso de la fotografía como elemento de composición en todo tipo de instalaciones frikis dignas de juzgado de guardia. Que conste que el juicio de valor no es mío, sino de Salvador Dalí, quien hallándose en la cúspide de su carrera escribió que desde comienzos del siglo XIX el declive del arte occidental ha sido algo impresionante.
En nuestros días la tecnología digital suscita una discusión similar en torno a la naturaleza de la fotografía, pero esta vez no se trata de conceptos estéticos ni del futuro profesional de los fotógrafos que se ganan la vida haciendo reportajes de bodas, sino que tiene que ver con algo más trascendente: la búsqueda de la verdad.
Ya estamos al tanto de las perrerías que se hacen con los programas de retoque fotográfico: pirámides desplazadas de su sitio para quedar más juntas en la foto, negras humaredas que ascienden hacia el cielo tras un bombardeo sobre Beirut, pero que en la toma original no eran tan densas ni transmitían una impresión de tan intenso dramatismo, starlettes de Hollywood devueltas a la adolescencia por la magia del retoque digital… La realidad es falseada de modo sistemático no solo por periódicos y semanarios en busca de mayores tiradas, sino también por publicaciones científicas serias. No cabe duda de que uno de los grandes pecados mediáticos de nuestro tiempo es el terrorismo del Photoshop.
Anteriormente hubo manipulaciones fotográficas: basta recordar la desaparición de Trotski y otros dirigentes soviéticos de los retratos de familia de la Revolución Rusa, o la imagen de Lee Harvey Oswald, presunto asesino del presidente Kennedy, posando con su fusil Mannlicher-Carcano ante el porche de su casa en la revista Life. Pero los fotomontajes antiguos, hechos a base de negativos superpuestos y pincel, eran burdos y previsibles. Con una lupa podemos desenmascararlos. Por el contrario los fakes digitales son tremendamente realistas y a veces imposibles de detectar, salvo que se tenga un ojo entrenado o se emplee software de análisis especial. Y además están al alcance de cualquiera, merced a programas populares de retoque fotográfico como Adobe Photoshop o el gratuito GIMP e impresoras a color capaces de proporcionar imágenes de gran calidad.
Prueba de ello son las abundantes falsificaciones de billetes de banco, documentos públicos, títulos académicos y fotografías antiguas que proliferan de pocos años a esta parte y forman parte de la gama de producto ofrecida por las bandas organizadas y la economía fraudulenta de Internet. En Estados Unidos las imágenes trucadas con Photoshop se utilizan con éxito para estafar al seguro –falsas abolladuras en la chapa del automóvil- e incluso para llevar a cabo enrevesadas manipulaciones con fotografía química convencional (digitalizando el negativo mediante un scanner, alterando después la imagen con software de retoque fotográfico y obteniendo finalmente un segundo negativo). Como en tantas otras facetas de la tecnología digital, los límites los pone la imaginación del malhechor.
Si todo quedase en una picaresca de alta tecnología y delitos de guante blanco no habría motivo para la queja. Sin embargo, las herramientas digitales admiten usos más oscuros en ámbitos ya abiertamente criminales, poniendo en riesgo valores económicos, reputaciones, resultados electorales (véase en el encabezado la fotografía de John Kerry con Jane Fonda, falsificada para desacreditar al candidato demócrata a las Elecciones Presidenciales EEUU del 2004) y hasta el funcionamiento imparcial de la justicia. Aun sin alterar en Photoshop, el impacto de las imágenes en los juicios pueden ser diferentes en función de si se presentan en blanco y negro o en color, de la distorsión óptica provocada por un gran angular o incluso de algo tan aparentemente trivial como la perspectiva desde la que haya sido tomada. Por esta razón numerosos magistrados siguen planteando objeciones ante el empleo de fotografías digitales como pruebas en los procesos penales, sobre todo cuando han de ser evaluadas por un jurado popular.
A la hora de responder a la pregunta de si todavía existe un resquicio de objetividad en lo relativo a la utilización de la fotografía digital para fines informativos, científicos y legales hay que ser extremadamente cautos. Sobre todo porque a diferencia de los antiguos procesos fotoquímicos, que obedecían a una dinámica lineal de impresión de pigmentos en función de la cantidad de luz incidente, las cámaras digitales modernas aplican complejos algoritmos de software para obtener las imágenes. La foto, guardada en su correspondiente archivo JPG, PNG o de cualquier otro tipo, surge como resultado de un proceso de interpretación del color y de compresión de datos que suele ser distinto de unas máquinas a otras, y en el que inevitablemente se producen pérdidas o alteraciones en la información.
El formato RAW
La tecnología solo ofrece una respuesta: los datos “crudos” en formato RAW, es decir, los que se generan a partir de los impulsos luminosos captados por el CCD durante la toma fotográfica, recogidos en un archivo y no procesados por el motor de software de la cámara. La información correspondiente a cualquier proceso posterior (mejoras de color, optimización del contraste, eliminación de ruido, correcciones de desenfoque) no se integra al archivo RAW, sino que se guarda en bloques aparte –archivos sidecar-, con lo cual una imagen RAW resulta lo más parecido a un negativo fotográfico tradicional. En caso de duda siempre se podrá desandar el camino y volver sobre la prueba original e inalterada.
¿Inconvenientes? El enorme tamaño de los archivos RAW (Hasta diez veces más que una imagen JPG) y el mayor tiempo que se requiere para sacar la fotografía puede que no supongan un problema gracias al avance de la tecnología y a capacidades de almacenamiento cada vez mayores. Sí lo es en cambio la variedad de formatos RAW. La mayor parte de ellos son propietarios, y cada marca de cámara digital tiene el suyo. Por si fuera poco los diferentes programas de retoque fotográfico no incluyen soporte para todos los modelos de cámara, aunque la aparición de formatos RAW standard representa una ayuda considerable en este sentido. Gracias a los archivos DNG de Adobe, por ejemplo, las imágenes RAW obtenidas con cualquier cámara seguirán estando disponibles aun mucho después de haberse dejado de fabricar el modelo correspondiente.
Conocer esto no solo es útil para hacernos una idea de dónde están los límites de la objetividad en la fotografía digital, sino para mejorar la calidad del trabajo de quienes utilizan medios tecnológicos de apoyo para actividades relacionadas con la documentación de procesos informativos de calidad: peritos judiciales, agentes de policía, periodistas, científicos e investigadores de todo tipo. En todas estas profesiones el principal reto no está en seguir el ritmo del progreso, sino en aplicar el respectivo catálogo de buenas prácticas y ser capaces de mantener el rumbo en la búsqueda de la verdad.
Desencriptando los ordenadores de ETA
Algunas noticias de acompañamiento en el tema del comunicado de ETA y las subsiguientes detenciones -me refiero a la ya ritual mención de ordenadores y soportes de datos incautados- llaman la atención no tanto por la presencia de artefactos de alta tecnología como por constituir el indicio innegable de una tendencia al alza. Los expertos opinan que en 2011 aumentarán los casos de investigación, examen forense y defensa judicial de peritajes de equipos informáticos. Después de pedófilos, defraudadores de Hacienda y políticos corruptos, ETA,pese a hallarse ahora mismo en la UVI de la historia, no podía ser menos. Sus ordenadores portátiles, llaves USB y discos duros encriptados, ahora en manos de las Fuerzas de Seguridad del Estado, también ocupan su lugar en la narrativa mediática, a veces con tintes sensacionalistas más cercanos a la saga Millenium que a una exposición circunspecta y precisa de los hechos.
El empleo de programas populares de encriptación -también utilizados para fines lícitos y en ocasiones encomiables, dicho sea de paso para que el lector no se haga ideas equivocadas – constituye un caso típico de la informática aplicada a la actividad criminal. ETA se sirve de dos conocidos paquetes de software: el legendario PGP (o GPG en su versión de código libre) de Phil Zimmermann y TrueCrypt, una suite que pese a su interfaz amigable y su extraordinaria facilidad de manejo proporciona al usuario funciones de gran potencia, incluyendo sofisticados algoritmos de cifrado (AES, Blowfish, CAST5, Serpent, etc.), volúmenes secretos e incluso encriptación total del ordenador, lo cual vuelve totalmente inútil el empleo de las técnicas habituales de los peritos informáticos, como recuperación de archivos borrados, examen de las cachés de disco, búsqueda de archivos temporales y análisis del registro y la WPS de Windows en busca de contraseñas y otros datos sensibles.
Si los discos duros incautados en las detenciones dan tanto trabajo a la Guardia Civil no es porque haya ingenieros informáticos en ETA, sino porque la organización terrorista hace lo que muchos organismos públicos, empresas y particulares deberían hacer para proteger sus informaciones reservadas. Prueba de la eficacia de estas herramientas de software, totalmente gratuitas y descargables de Internet, es el hecho de que la policía española tenga que recurrir a la ayuda de la norteamericana NSA para llegar al interior de los soportes de datos encriptados, y aun asi a veces cuesta años dar con las claves de cifrado.
Actualmente el único modo de desencriptar un volumen cifrado con Truecrypt y una clave lo suficientemente larga es el ataque de fuerza bruta: introducir una tras otra contraseñas procedentes de diccionarios o elaboradas sistemáticamente siguiendo un rango de caracteres alfanuméricos hasta dar con la correcta. Una tarea de cuya dificultad no nos damos cuenta hasta que comenzamos a hacer números y consideramos el elevado número de combinaciones posibles.
No es el momento para andar con notación exponencial ni guarismos de muchos ceros, simplemente diremos que el crackeo de estas claves, asi, a lo bestia y sin ningún plan para la reducción del esfuerzo, requiere el funcionamiento de un superordenador durante períodos de tiempo que desbordan con creces los plazos de prescripción de cualquier delito. No obstante existen atajos que simplifican la búsqueda. La computación distribuida -es decir, el reparto de la carga en un número elevado de máquinas- constituye un primer enfoque más allá del supercomputador y ya es una realidad en Estados Unidos, donde la NSA planea desplegar una red con más de cien mil ordenadores dedicados a usos diversos de la administración que aprovecharían sus tiempos muertos de procesador para ataques coordinados de fuerza bruta en casos de investigación importantes de las agencias federales.
Otra posibilidad consiste en investigar a fondo los algoritmos de encriptación en busca de vulnerabilidades. Aunque estos algoritmos parezcan perfectos, a veces sorprende lo que puede llegar a conseguir un matemático teórico con un lápiz, un par de cuartillas y un termo de café. Llegado el caso lo más probables es que no nos enteremos de cómo lo hacen. Y si nos lo contaran tampoco lo entenderíamos. Tan solo podemos estar seguros de dos cosas: primero, que tarde o temprano el contenido de esos ordenadores incautados a los militantes de ETA pasará a formar parte de los sumarios que se instruyen en la Audiencia Nacional. Y segundo, que ello, aun a través del largo rodeo por Washington, Langley u otras sedes de inteligencia de Estados Unidos, no se logrará mediante el empleo de superordenadores o computación cuántica, sino con la ayuda de enfoques imaginativos y tecnologías disponibles en la actualidad: microprocesadores de 64 bits, clusters de ordenadores baratos basados en Linux, software libre e incluso consolas para videojuegos.
Lo último no va de coña. Al parecer la Playstation de Sony dispone de una GPU (unidad central de proceso para gráficos) de potencia descomunal, que bien aprovechada puede acometer tareas de cálculo y proceso en paralelo a niveles similares a los de una supercomputadora de muchos millones de dólares. Basta montar unos cuantos de estos juguetes en red dentro de un cluster controlado por un software especial. En teoría no solo es posible llevar a cabo ataques de fuerza bruta, sino realizar proyectos de investigación en campos complejos como meteorología, genética e incluso diseño de armas nucleares. Por esta razón Estados Unidos hace todo lo que puede para dificultar la exportación de videoconsolas a países como Irán o Corea del Norte.
Los puntos débiles de WikiLeaks
Durante el fin de semana uno de mis artículos ha originado en la revista electrónica Izaronews un hilo de comentarios que para los tiempos que corren podemos considerar caudaloso. En vez de reproducir el artículo en esta bitácora, como suele ser mi costumbre, prefiero centrarme en la respuesta que dí a uno de mis amables comentaristas enumerando defectos en WikiLeaks, que pasan desapercibidos en un debate caracterizado por la polarización extrema entre partidarios y detractores de Julian Assange. En algunos medios he recibido insultos por criticar al polémico portavoz de la plataforma de revelaciones. Mi opinión es que, pese a las deficiencias del personaje, WikiLeaks tiene un gran valor en la lucha por los derechos civiles. No solo eso, también hace una aportación muy positiva a la forma de escribir la historia. En 1918 los soviets, triunfantes en Rusia, hicieron públicos todos los protocolos diplomáticos de la monarquía zarista, y el mundo descubrió que, pese a la luz eléctrica y el cine, aun se encontraba gobernado por políticos del siglo XIX. El CableGate de WikiLeaks nos revela que el mundo del siglo XXI continúa estando en manos de la paranoica y casposa diplomacia de la Guerra Fría.
WikiLeaks, como todo producto semielaborado, también tiene vicios, y con la intención no de llevar la contraria, sino de complementar el debate, quisiera hacer una breve lista de los mismos. No piensen que soy tan buen analista de riesgos. La relación está extraida de la revista alemana Chip:
- Neutralidad: hasta 2008 WikiLeaks mostraba una actitud de neutralidad casi completa. Fue a partir de este momento cuando Assange determinó que había que conceder prioridad a las informaciones con mayor potencial de repercusión mediática. En la actualidad resulta imposible diferenciar WikiLeaks de cualquier otro tabloide sensacionalista.
- Fuentes: obviamente WikiLeaks se ve obligado a proteger su anonimato. Pero, ¿existe una clasificación de fuentes? ¿Cómo sabemos que los informantes no siguen sus propias agendas ocultas y filtran solamente lo que a ellos les interesa.
- Financiación: WL necesita alrededor de 500.000 euros al año para mantener su actividad. Este dinero procede de donaciones voluntarias. Pero también ha habido intereses particulares que han pagado por revelar informaciones.
- WL como One Man Show: la plataforma está compuesta por 800 personas. Sin embargo solo vemos a Julian Assange y a los dos o tres que se han marchado para poner en marcha sus propios sitios de revelaciones. No se sabe quién decide qué documentos, en qué momento y tras cuáles operaciones de edición y tratamiento de texto se han de publicar.
- Gestión de errores: WL publicó informaciones equivocadas sobre presunto falseamiento de datos por parte de científicos que investigaban el calentamiento global. Como resultado de esto la reputación de los mismos se vio seriamente comprometida. WL no ha rectificado.
- Julian Assange: el hombre tras WL es el punto más débil de la organización. Tras los rocambolescos sucesos de Suecia, y a falta de explicaciones convincentes y diáfanas, el líder ahora intenta protegerse detrás de la plataforma, lo cual no contribuye precisamente al fortalecimiento moral de la causa.
- Disidentes y secuaces: Daniel Domscheit-Berg era portavoz y ahora está fuera. Se sabe muy poco no obstante de otros que bien luchan al lado de Assange o se han peleado con él debido al carácter vanidoso y autoritario del australiano.
- Contradicciones: los ataques contra los sitios a menudo resultaron ser accesos masivos. No hay una línea estratégica bien definida, sino que cada poco tiempo se está reinterpretando la misión del sitio. Algunas revelaciones exigen un grado de credibilidad más alto que el que el propio portal se ha ganado por sus propios méritos.
- Seguridad de los informadores: algunos de ellos no han podido sustraerse a las represalias al haber quedado vulnerado su anonimato. Como consecuencia de ello: carreras hundidas, gente en la cárcel y cosas peores.
- Transparencia: WL no se limita a divulgar sin más lo que recibe. Al margen de las necesarias medidas de precaución para proteger a las fuentes, los textos son sometidos a un trabajo de edición y comentario con arreglo a criterios que no se conocen.
Ninguna cadena es más fuerte que el más débil de sus eslabones. Un punto esencial en la argumentación de quienes defienden la figura de Julian Assange reside en que la moral de cada uno es asunto propio y no tiene que ver con su actividad pública. En realidad no resulta tan sencillo. La incompetencia moral se puede tolerar en un artista. En un hombre de negocios o un trabajador no tanto -nadie protesta contra esos empresarios que husmean en las redes sociales a la caza de deslices de sus empleados-, pero en el abanderado de una causa de interés público jamás. Esto no solo tiene que ver con los valores, sino también con la eficacia de las organizaciones, y en último grado con la diferencia entre victoria y derrota. Imaginen que el Mahatma Ghandi hubiera sido adicto al opio, o que fueran ciertas esas historias según las cuáles al Dr. Martin Luther King le gustaba llevarse las mujeres a la cama de dos en dos. La historia de la lucha por los derechos civiles habría sido distinta, y como resultado de ello, aunque parezca contradictorio, ahora viviríamos en un mundo más conservador y menos tolerante.
Asi que antes de dejarnos arrastrar por el papanatismo general, pensemos un momento en todo lo anterior y apliquémoslo al caso del controvertido chingueta australiano.
La nueva Generación Hacker
Si quiere llegar a ser experto en Seguridad Informática y está aprendiendo trucos con un libro de hace cinco años se llevará una desilusión. Quizá aprenda a escanear puertos con Nmap, o a acceder al interior de una máquina Unix a través de Telnet. Tal vez llegue a ejecutar un exploit y logre un desbordamiento de pila o incluso apoderarse de una cuenta de administrador. Hazañas meritorias en pos de la estela de los Kevin Mitnick o los piratas del Chaos Computer Club que darán fe de la pericia alcanzada tras muchas noches en vela delante del ordenador. Pero ello no hará de usted el tipo de especialista necesario para la guerra contra el ciberdelito actual. Los nuevos delincuentes informáticos no pierden el tiempo combatiendo contra una sola máquina, hurgando a la búsqueda de posibles recovecos a través de los cuales colarse, sino que al igual que los submarinos alemanes al encuentro de los convoyes durante la Segunda Guerra Mundial, prefieren tomar posiciones junto al lugar por el que pasa la mayor parte del tráfico de Internet: el puerto 80.
El navegador de Internet (Firefox, I-Explorer, Chrome) es el objetivo por excelencia. Los piratas modernos lo agreden masivamente a través de servidores web comprometidos, vulnerabilidades XSS, ataques cruzados, robo de cookies, suplantación de identidades, instalación de troyanos para el despliegue de botnets y otras técnicas sofisticadas. Un elemento que sigue presente en el ciberdelito es el empleo de la ingeniería social para obtener información reservada de empresas y organismos públicos, complementado con un uso malignamente creativo tanto de las nuevas herramientas de la web 2.0: motores de búsqueda, Google Earth y redes sociales como de otras artes tradicionales anteriores a la revolución informática (thrashing, hacking de cerraduras, falsificación de credenciales, etc.).
Este libro escrito por los reputados especialistas de seguridad Nitesh Dhanjani, Billy Rios y Brett Hardin -edición española publicada por O’Reilly / Anaya Multimedia- cambiará su forma de ver el problema de la lucha contra el crimen informático.




