Que la NSA es probablemente el riesgo más grave para la seguridad de las comunicaciones no es ningún secreto desde que los papeles de Snowden empezaron a publicarse confirmando temores previos muy extendidos en la comunidad informática.
Programas ya desvelados, como BULLRUN y EDGEHILL, demostraban las tácticas de los ciberespías estadounidenses y de sus aliados para vulnerar sistemas de cifrado y protocolos seguros ampliamente utilizados, como HTTPS. También otros, como QUANTUM y FOXACID dedicados a llevar a cabo ataques selectivos contra usuarios de TOR, una de las “prioridades” de la NSA.
Sin embargo, ahora conocemos la fotografía completa de esta nueva guerra del cifrado: documentos facilitados por Edward Snowden y ahora dados a conocer (simultáneamente en la conferencia anual del Chaos Computer Club y por Der Spiegel) ofrecen un ranking detallado de la resistencia de distintas herramientas y sistemas, teóricamente seguros, a los ataques de la NSA.
La agencia de espionaje los clasificaba desde “triviales” a “catastróficos” según el grado de la dificultad del ataque y el resultado.
Entre las actividades que los espías consideran triviales o menores se encuentra el seguimiento de un documento a través de Internet o la grabación de chats de Facebook. La información publicada por Der Spiegel también pone el énfasis en la vulnerabilidad de Skype, como ejemplo que “demuestra que no todas las tecnologías de cifrado a la altura de lo que prometen”.
Sistemas seguros
Sistemas segurosLa buena noticia es que la propia NSA admite que hay sistemas que escapan a sus ataques o que representan mayores o “graves problemas” para sus agentes,
Entre las herramientas poco accesibles al ciberespionaje el documento menciona a los servicios de correo electrónico desarrollados por la empresa india Zoho.com, la red TOR, el programa de cifrado “TrueCrypt” y un protocolo denominado Off-the-Record (OTR) para el cifrado de la mensajería instantánea.
Tanto Tor como TrueCrypt y OTR son herramientas de software libre y código abierto, una condición que puede ser clave desde el punto de vista de la seguridad, como destacan los autores de la información de Der Spiegel (entre ellos, Appelbaum, desarrollador de dos de estas): “es mucho más difícil para las agencias de inteligencia manipular los programas de software de código abierto que muchos de los sistemas cerrados desarrollados por empresas como Apple y Microsoft. Ya que cualquiera puede ver el software libre y de código abierto, se hace difícil para insertar puertas traseras secretas sin que se note”
El nivel “catastrófico” (por su invulnerabilidad) se daría, para la NSA, cuando se usan determinadas combinaciones de sistemas de seguridad, como TOR junto con otro servicio de mensajería instantánea y telefonía por Internet (voz sobre IP) denominado ZRTP.
Teniendo en cuenta las categorías de la propia NSA, estas serían las herramientas que deberíamos usar para dificultar o impedir que nos espíen:
TOR
Siglas de “The Onion Router”. Es un sistema seguro y relativamente sencillo de usar que permite a los usuarios navegar por la web a través de una red de más de 6.000 ordenadores de voluntarios vinculados. El software cifra automáticamente los datos de manera que ningún ordenador individual en la red tiene toda la información de un usuario.
TrueCrypt
Una herramienta de cifrado muy extendida que, a mediados de este año, anunció de forma sorpresiva su cierre, alegando que era potencialmente insegura. Un argumento no del todo creíble, y que dio pie a todo tipo de especulaciones sobre los verdaderos motivos. De hecho, en Der Spiegel se apunta a “las presiones de las agencias gubernamentales”. En Diario Turing hemos contado cómo fue su cierre y presentamos alternativas a TrueCrypt.
OTR
“Off-the-Record Messaging” permite comunicarse de forma segura y privada a través de mensajería instantánea. Proporciona tanto el cifrado de los mensajes como el anonimato de los participantes.
Uno de los documentos publicados ahora muestran que, cuando la NSA intercepta chats (gracias a su programa PRISM que le permite acceso directo a los datos de las principales compañías tecnológicas como Google, Apple o Facebook), los espías no eran capaces de leer su contenido.
PGP
El sistema de cifrado PGP (Pretty Good Privacy) es un paquete de software de cifrado, firmay autenticación. Creado por Phil Zimmerman hace más de veinte años, continúa desarrollándose y existen varias versiones disponibles hoy. El más utilizado es GNU Privacy Guard (GnuPG). Aún hoy, parece ser el sistema más resistente a los ataques.
ZRTP
En combinación con otros sistemas alcanza la categoría de “catastrófico” para la NSA (es decir, invulnerable). Es un protocolo de intercambio de claves para poder establecer una comunicación de voz segura (SRTP). Las siglas corresponden a RTP (Real Time Transport Protocol, un protocolo que se usa para las comunicaciones de voz por Internet -voz sobre IP-) y la Z corresponde a su autor: Phil Zimmerman.
Este sistema es el que emplean aplicaciones para cifrar llamadas como Redphone, usado por activistas de la Primavera Árabe para salvaguardar la privacidad de sus comunicaciones.
Sistemas vulnerables
La otra cara de la moneda son los sistemas cuya seguridad que la NSA ha logrado vulnerar, como las redes privadas virtuales (VPN), las conexiones HTTPS o el protocolo Secure Shell (SSH).
Redes privadas virtuales (VPN)
Las redes privadas virtuales (VPN) son las que se utilizan a menudo por las empresas e instituciones que operan desde múltiples lugares para conectar en forma supuestamente segura oficinas y usuarios remotos a través de accesos a Internet. Una VPN crea un túnel entre dos puntos en la Internet. Todos los datos se canalizan a través de ese túnel, protegidos por cifrado.
Sin embargo, tal como sabemos ahora, esa seguridad es poco menos que teórica. Según demuestran los documentos publicados, la NSA tiene programas específicos para atacar estas redes como TURMOIL/APEX, GALLANTWAVE, VALIANTSURF, MALIBU, POISENNUT, o SPIN9.
Las redes privadas virtuales protegen los datos que pasan por ellas contra accesos no autorizados mediante seguridad IP (IPsec) cifrada o túneles VPN de Secure Sockets Layer (SSL) y tecnologías de autenticación. Estas tecnologías, según muestran varios de los documentos, no son en absoluto inexpugnables.
Se aportan incluso ejemplos concretos de comunicaciones internas que habría sido espiadas de este modo, como las de diplomáticos y funcionarios gubernamentales de Afganistán, Pakistán y Turquía.
HTTPS
Aún el usuario menos avezado conoce que, antes de introducir una información sensible en Internet, como su número de tarjeta de crédito, debe verificar que la conexión es segura observando que, en la barra de direcciones de su navegador Web aparezca “HTTPS”, las siglas de Hypertext Transfer Protocol Secure (Protocolo seguro de transferencia de hipertexto).
Según el Estudio sobre la ciberseguridad y confianza en los hogares españoles, del ONTSI, publicado el pasado mes de octubre, comprobar la seguridad de la conexión un hábito que ponen en práctica el 78,1 % de los usuarios.
Sin embargo, a pesar de este el protocolo usado por entidades bancarias, tiendas online y, en general, cualquier servicio que implique envío de datos personales o contraseñas, es una tecnología que no ha quedado a salvo de los ataques de la NSA. En cualquier caso, aún teniendo en cuenta esta vulnerabilidad, sí añade dificultades al espionaje, por lo que organizaciones como la EFF tienen en marcha campañas para promover el uso del HTTPS.
SSH
SSHEl protocolo Secure Shell (SSH) sirve para trabajar en modo remoto (controlar una máquina desde otra) a través de una red. Es el utilizado habitualmente por los administradores de sistemas para acceder a ordenadores de los empleados. También se encuentra entre las tecnologías cuyas grietas han logrado ser explotadas por la Agencia de espionaje estadounidense.
“Todos los medios disponibles”
“Todos los medios disponibles”
“¿Y cómo logran romper todas estas normas y sistemas de cifrado? La respuesta corta es: Utilizan todos los medios disponibles”, se advierte en el informe publicado por Der Spiegel.
Efectivamente, los documentos ahora desvelados más lo que conocíamos de programas anteriores demuestran que la NSA utiliza todos los métodos a su alcance para atacar la seguridad de las comunicaciones. Entre ellas, se incluiría la participación en las reuniones del Grupo de Trabajo de Ingeniería de Internet (IETF), una organización que fija los estándares de cifrado, para auspiciar el debilitamiento de los mismos.
La “amenaza” del cifrado
Las consecuencias de estas acciones para la seguridad de Internet, y para todos sus servicios y aplicaciones, denunciada por expertos en seguridad como Bruce Schneier, organizaciones como la EFF y el propio Tim Berners-Lee.
Sin embargo, los documentos muestran que para la NSA, la comunicación segura es “una amenaza”. Algo muy similar a lo que hace apenas unos meses afirmó el director del FBI, James B. Comey, cuando arremetió contra las empresas tecnológicas para que no incrementasen la seguridad de sus dispositivos.
¿Cuál es el alcance de estas revelaciones? En una de sus primeras declaraciones, en junio de 2013 poco después de huir a Hong Kong, Snowden avisaba: “Los sistemas de cifrado fuertes implementados adecuadamente son una de las pocas cosas en las que puedes confiar”. Por eso es crucial llegar a saber cuáles lo son verdaderamente.