Infraestructuras

  Delitos telefónicos

  Diseñar Seguridad

  Cinco erres

Ediciones Anteriores:

AGOSTO 2009 - "LA SEGURIDAD EN LAS INFRAESTRUCTURAS CRÍTICAS LLEVA DIEZ AÑOS DE RETRASO"

PARTE 1 de 2

-¿Quién eres tú?

- Un ciudadano de Italia, nacido el 3 de julio de 1973. Vivo en Torino. Crecí rodeado de montañas, en una familia de clase media. Mi padre lleva una fábrica de automatización, por lo que crecí entre máquinas, aceite y muchas horas de trabajo. Creo que esta ha sido una de las razones que me llevó a alejarme de las cosas mecánicas y dedicarme a las computadoras.

-¿A qué edad empezaste a hackear?

- A los 15 empecé a estudiar informática en la escuela. Pero desde que tenía... diría que 9 o 10 años empecé a jugar con videojuegos. Cuando tenía 12, mis padres me compraron mi primer "ordenador personal", un Commodore VIC-20. Después de algunos meses jugando a videojuegos, MUY caros para una chiquillo, decidí intentar crackear sus protecciones. A los 13 años compré mi propio Commodore C-64 y un "adaptador telemático" (el módem del abuelo ;). Aquí empezó todo: BBS, llamadas internacionales, tarjetas para llamadas internacionales, blue-boxing... Así no tuve que pagar nunca más facturas exorbitantes a la compañía telefónica.

-¿Cómo recuerdas aquellos años?

- Sin duda, aquellos tiempos, entre mis 13 y 20 y pico años, fueron los mejores de mi vida. Básicamente, empecé a hackear a veces solo y a veces con amigos en línea, dependiendo del objetivo (el sistema operativo del ordenador objetivo), la hora del día o de la noche y así. A medida que pasaron los años, fui prefiriendo hackear solo... Creo que es lo normal. Quiero decir: cuando eres un newbie no sabes mucho, no tienes el conocimiento necesario. Es por eso que practicar el hacking con amigos estaba bien para mi, ya que cada uno tenía el conocimiento de una pequeña pieza y juntos podíamos hacer el cuadro completo. La escena hacker en aquellos años (1986-1995) era increíble. En primer lugar, no existía el concepto de "crimen": hackear fue ilegal en Italia sólo a partir de 1994 y lo mismo sucedió en muchos países europeos. Por tanto, podías sentir la magia, aquella increíble sensación gracias a la cual era capaz, desde mi pequeña habitación de adolescente, de chatear o hablar por voz con gente totalmente desconocida que vivían en el norte de Europa, en los Estados Unidos, en Australia... Era algo parecido a cuando yo era un niño pequeño y mi padre hablaba, a través de las ondas cortas, con otras personas apasionadas por la Banda Ciudadana. Era una sensación parecida.

-¿Cuándo te convertiste en un buen hacker? ¿Cuál fue el punto de inflexión?

-Lo recuerdo perfectamente. Sucedió cuando pasé de las zonas de chat "estándar" a las "hacker": QSD en Francia, Pegasus en Suiza, SecTec en Alemania, aquello eran auténticas "cuevas de hackers", en las que la gente pertenecía a la crema, a un grupo de élite. Y, de repente, me dí cuenta de que era parte de este mundo, que mi vida pertenecía a él. Aún hoy estoy en contacto con esa gente y algunos están entre mis mejores amigos. Crecimos juntos, algo nos une. Hicimos cosas que eran tan pioneras, vimos piezas de este mundo que "los humanos no verán en sus vidas", aún tenemos secretos que guardamos... Es como una hermandad de sangre.

-Tú eres un especialista en redes X.25. ¿Cómo empezaste a jugar con eso?

-Básicamente conozco las redes X.25 tan bien porque no tenía otra salida. En aquellos años, la Internet no era accesible como lo es hoy: sólo unos pocos centros de investigación, unas pocas universidades y, por supuesto, el ejército norteamericano la usaban. Antes de la Internet de las organizaciones, tanto gubernamentales, institucionales como multinacionales, teníamos que depender de las redes mundiales X.25 para conectar los unos con los otros. Aquí fue donde empecé, ese era mi mundo. Posiblemente, esta es la razón de que, hoy, sea considerado uno de los 4 o 5 expertos mundiales que "conocen el percal" en este tema específico. Tener un acceso X.25 era también la única forma de poder hablar con mis amigos hackers, así como de "saltar" a Internet desde un ordenador "dual-homed" X.25/IPv4.

-¿Es cierto que hackeaste compañías de telecomunicaciones, bancos, redes de satélites y más? Me parece algo muy difícil...

-En aquellos tiempos, eras realmente capaz de "encontrar" cualquier cosa en X.25, como pasa hoy con Internet. Era muy común encontrarte sistemas de bases de misiles, telecos, bancos, gobiernos. Y, sobre todo, todo era tan inseguro. La seguridad de la información era algo nuevo, los administradores de sistemas no sabían que adolescentes del otro lado del mundo podían estar allí acechando, esperando sus errores para hackear en sus sistemas. Sólo para que lo entiendas: a finales de los 80 yo había hackeado toda la red WAN interna de Telefónica y tenía el control total de todo el Sistema Nacional de Telecomunicaciones Español. Esto sucedió con casi todos los operadores de telecomunicaciones del mundo, en aquellos años, todos estábamos hackeando telecos porque era divertido, fácil y útil. Y, por supuesto, porque "los hackers aman las telecos" ;)

-¿Hoy es tan fácil hackear redes X.25?

-Bueno, si sabes cómo hacerlo, la respuesta es sí. Te cuento porqué: en el pasado, todos los hackers dependían de X.25. Hoy esta gente ya no hackea (la mayoría): se han pasado a la seguridad como un trabajo full-time, están en empresas de seguridad y ya no hackean, o simplemente están haciendo otras cosas. Hoy en día los hackers crecen con Internet y Google. No pueden hackear redes X.25 porque son otra cosa. Por tanto, desde este punto de vista la respuesta es que no, hoy es más difícil hackear en sistemas X.25. Por lo que yo sé, mi empresa es una de las pocas en el mundo capaz de ofrecer tests de penetración basados en X.25.

-¿Jugaste con más cosas, además de las redes X.25, en tus tiempos de hacker?

-Solía hackear en unas 134 redes X.25 en todo el mundo, lo que significa más de 100 países. Nunca contabilicé los sistemas hackeados, simplemente porque serian cientos de miles. Recuerdo que, después de 1993, simplemente paré de anotar todos los sistemas que era capaz de hackear: eran demasiados, tenían 5 agendas y 10 blocs de notas llenos totalmente de direcciones X.25, nombres de usuario y contraseñas y dije: "Esto es demasiado: estoy perdiendo más tiempo para escribir todas las notas que el tiempo que necesito para entrar en estos sistemas".

-En tu biografía oficial puede leerse: "Después de una serie de sensacionales interferencias, tanto en telecos como en otras instituciones militares, gubernamentales y financieras...". ¿Cuáles fueron esas sensacionales interferencias? ¿Qué hiciste?

-Oh.. bueno... Como he dicho, es imposible hacer una lista completa. Entré en las principales telecos del mundo (AT&T, GTE, MCI, Sprint Communications..), hackeé en la red global del ejército norteamericano, bancos, bolsas de valores... La frase "sensacionales interferencias" es de la unidad especial que me detuvo años después. Los policías estaban muy impresionados por la cantidad de conocimiento que tenía en mi cabeza, por mi juventud y por el hecho de que un adolescente controlase las ¾ partes de todo el mundo IT y TLC de aquellos años.

-También en tu biografía oficial se dice: "Fue oficialmente reconocido como uno de los miembros de la escena hacker europea y norteamericana por autoridades internacionales en 1995". No entiendo: ¿qué autoridades internacionales te dicen si eres un hacker o no?

-Con esta pregunta veo que no has hackeado en tu vida ;) Las únicas autoridades internacionales que, de alguna forma, pueden "decir al mundo" que estás entre los top-one son dos: el FBI y la Interpol. Por tanto, no lo digo yo sino el FBI y la Interpol. Lo que quiero decir es que, en estos años, cuando tu eres un hacker europeo, ser perseguido por el FBI significa que no eres un "script-kiddie", sino que eres capaz de "cruzar las fronteras" de tu país, que estás haciendo realmente un montón de ruido, aunque seas cauto y paranoico.

-Te detuvieron en 1995. ¿Por qué?

-Entré en Bankitalia, la agencia espacial italiana, la ENEA (National Body for Alternative Energy) y otras 50 compañías y les dije que todo el sistema italiano no era seguro. Podría decirse que no les gustó mucho.

-¿Fuiste a la cárcel?

-No, nunca he estado en la cárcel, ni un solo día. Probablemente porque tanto los fiscales como los jueces se dieron cuenta de que yo era un adolescente muy curioso, bastante listo, que se aburría mucho en la escuela y descubrió el hacking como un estilo de vida. Como no había dañado los sistemas informáticos que había penetrado, y no había robado dinero, decidieron que, después de todo, era un buen chico. Además, fuí el primer caso hacker del país: los legisladores no sabían muy bien cómo manejar aquello, los abogados no tenían ni idea de qué les estaba hablando... De alguna forma, había sido un gran lío.

-¿Fue entonces cuando dejaste de hackear, por miedo, y te convertiste en un consultor de seguridad?

-No fue por miedo. Esto es algo que, típicamente, les pasa a dos categorías de hackers, cuando son pillados: los "script-kiddies" y los hackers éticos. Pero por diferentes razones. Los "script-kiddies" suelen ser muy jóvenes (12-16 años) y, obviamente, les asusta el arresto, la policía y lo demás: es por eso que dejan sus actividades de hacking. Los hackers éticos simplemente crecen y entienden que, si siguen con el hacking, la próxima vez no será tan fácil como la primera. Por último y no menos importante, la historia es normalmente la misma: en todo el mundo viejos hackers saltan al mundo de la seguridad informática. Después de todo, este es nuestro mundo, conocemos lo que hay, amamos lo que hacemos. Entonces, ¿por qué no?

-¿De verdad crees que alguien puede dejar de ser un hacker?

-No y sí. No porque eres un hacker dentro de tu alma: no es sólo tecnología, es la forma como ves las cosas, si crees o no lo que "ellos" te cuentan. Me gusta decir que puedes ser un hacker incluso sin saber cómo usar un PC, puedes ser un hacker de motores, de leyes.. el hacking no va sólo de hacking. Pero la respuesta a tu pregunta también es un sí: ahora mismo tengo 35 años. Básicamente, si quisiera realizar ataques de hacking hoy en día probablemente sería un idiota. Crecí y evolucioné, igual que todos los seres humanos de este mundo. Lo que intento decirte es que es normal, cuando creces, parar de perder tu tiempo y de cometer errores: esto es exactamente lo que hice. Creo, después de todos esos años, que la detención fue, de alguna forma, una especie de suerte, que me permitió darme cuenta de lo que estaba haciendo, de lo que era capaz de hacer y de a qué riesgos me había expuesto.

Fuente: Mercè Molist.

JULIO 2009

El Cibercrimen y la Mujer: “No basta una ley, es necesario educar...”

Carlos Gregorio, Investigador del Instituto de Investigación para la Justicia de Buenos Aires, Argentina

“Las diferentes formas de violencia contra las mujeres deben estar contenidas en la legislación penal, porque esta es la forma de reproche para las conductas antisociales. Pero no basta una ley, es necesario educar, prevenir, crear mecanismos de defensa, disponer de un sistema judicial capaz de corregir estas conductas sin que esto signifique una pesadilla para la víctima”. Carlos Gregorio, investigador del Instituto de Investigación para la Justicia de Buenos Aires, Argentina, comparte su visión sobre algunos aspectos del cibercrimen.

¿Cómo la legislación de los crímenes cibernéticos se conecta con la legislación de los crímenes en línea relacionados con la violencia contra las mujeres?

Es muy difícil dar una respuesta que abarque la legislación de todos los países de América Latina. Mi sensación es que la legislación de delitos cibernéticos está sesgada hacia los aspectos que afectan directamente el comercio y la economía o se centra en el tema hediondo (como le llama la legislación brasileña) de la trata, explotación sexual o pornografía infantil. En muchas legislaciones no es visto aún como un ciberdelito el ataque a la imagen o la vida privada de una persona, y en este sentido la mayoría de los ataques violentos con contenido sexual están dirigidos a la mujer. Existen en la región muchos casos de violencia online contra la mujer (su privacidad, su imagen) que no son perseguidos, y también el sistema judicial ha mostrado mucha debilidad e impotencia para resolver estos casos cuando si se ha podido identificar y acusar a un probable responsable. Uno de los problemas es la falta de jurisdicción territorial en internet, es difícil establecer a quién acusar del delito o ante qué tribunal. Recientemente en Chile (artículo 374 ter del Código Penal reformado de acuerdo a la Ley Nº 19.927 (del 14 de enero de 2004) se estableció que los tribunales chilenos son competentes en cualquier ciberdelito de pornografía infantil mientras que ese sitio en internet pueda se visitado desde Chile... creo que será muy interesante evaluar en la práctica como operará este recurso normativo.

¿Cómo las propuestas de ley del cibercrimen han sido utilizadas para restringir el ejercicio de los derechos de la mujer, directa o indirectamente?

Existen propuestas (o leyes) para combatir el cibercrimen que ven como necesario restringir los derechos individuales, fundamentalmente la intimidad o privacidad por medio de sistemas discrecionales para intervenir comunicaciones o indagar en la vida privada sin orden judicial. Otras propuestas entran en conflicto con algunas garantías constitucionales, como la del derecho a un debido proceso legal que se relacionan - por ejemplo - con el uso de agentes encubiertos. Ambas situaciones podrían relacionarse con restricciones al ejercicio de los derechos de la mujer.

Crímenes relativos a la propiedad intelectual; ¿qué es lo que esto significa en términos de la propiedad del conocimiento de las mujeres?

Debe partirse del hecho que la legislación sobre propiedad intelectual es mayormente de carácter económico y que en realidad hay más mecanismos destinados a proteger las inversiones que la generación de arte o conocimiento. En consecuencia cualquier conocimiento que pertenezca a una comunidad no organizada económicamente puede no tener la protección adecuada, o al menos ésta podría quedar sólo en la letra de la ley y no existir una protección efectiva.

Apoyar o no apoyar la criminalización de los incidentes relacionados con la violencia contra las mujeres (el acoso cibernético, el chantaje a mujeres, agresiones cibernéticas en la ley nacional) ¿cuáles pueden ser las consecuencias negativas para la privacidad de una mujer y en su acceso al conocimiento?

La mayor debilidad de estas legislaciones está en la protección de la identidad de las víctimas. Existe claramente una doble o triple victimización, que incluye someterse a pruebas médicas, careos y especialmente la publicidad de su condición de víctima. Esto abre un espectro de riesgos personales y de procesos de discriminación. Sin duda hay un conflicto aun no resuelto en la legislación entre el derecho de acceso a la información, el derecho a un juicio público y los derechos de intimidad y privacidad de las víctimas. Las diferentes formas de violencia contra las mujeres si deben estar contenidas en la legislación penal, porque esta es la forma de reproche para las conductas antisociales. Pero no basta una ley, es necesario educar, prevenir, crear mecanismos de defensa, disponer de un sistema judicial capaz de corregir estas conductas sin que esto signifique una pesadilla para la víctima. La prevención es esencial, porque una vez que algo entra en la web se multiplica exponencialmente en otros sitios o se comparte entre pares y, ninguna decisión judicial, puede borrar nada que se haya publicado en internet.

¿Cómo la criminalización del sexo online y el comercio sexual afecta los derechos sexuales de la mujer?

Las tendencias legislativas no son muy diferentes ahora - para las relaciones online - que como eran antes para otros medios, la diferencia está en qué existen nuevos paradigmas sobre qué se entiende por un espacio público y quienes pueden ser las personas o los intereses potencialmente perjudicados. Al debatir esas diferencias se revive una gama muy amplia de opiniones sobre la sexualidad y el comercio sexual, que naturalmente están representadas en las legislaciones. Sin embargo, e independientemente de esas visiones, la mayoría de las legislaciones en la región que fueron pensadas para el mundo online se centran en la protección de los niños, niñas y adolescentes, situación que es entendible porque ellos son nativos digitales (no solo llamados así al compararlos con los adultos sino porque se han apropiado de internet como un espacio propio) y al mismo tiempo mantienen toda la vulnerabilidad propia de su edad. Es interesante analizar el ejemplo de Bolivia donde una ley prohibió la pornografía (artículo 324 del Código Penal introducido por Ley 3325 (del 18 de enero de 2006), ya que la ley fue anulada por el Tribunal Constitucional (Sentencia 0034/2006, del 10 de mayo de 2006). Esto nos deja ver que es un tema en el que se entremezclan preconceptos o impotencia, entre otras cosas y por tanto son aspectos muy difíciles de regular con consenso y eficacia. También en Venezuela se había incluido la explotación sexual en el proyecto de ley contra la delincuencia organizada pero finalmente fue sólo aprobado para la pornografía infantil (ver artículos 14 y 38 de la Ley contra la Delincuencia Organizada del 6 de septiembre de 2005) por los cuestionamientos a la figura del agente encubierto.

Fuente: GenderIT.org

JUNIO 2009

MAYO 2009

Los malos están también en Internet y saben utilizarlo

Víctor Domingo - Presidente de Asociación de Internautas - España

La precaución como escudo. Este es el consejo que el presidente de la Asociación de Internautas, Víctor Domingo, da a los padres, además de los dispositivos que la tecnología pueda ofrecer, para evitar que los menores sean víctimas de los abusos en la Red.

La Asociación de Internautas ha lanzado una campaña en Internet para proteger a los menores de contenidos inapropiados y situaciones de acoso, y evitar la difusión de sus datos personales y los fraudes en línea. Bajo el lema «Protección para tus hijos, confianza en línea para tod@s»

¿Por qué esta campaña ahora?

Desde la asociación venimos haciendo distintas campañas desde el año 2001 y todas en la línea de ofrecer confianza y tapar un hueco que ahora mismo está abierto y es que nadie enseña a la gente a conectarse, navegar con confianza y las medidas mínimas de protección. Primero hicimos una campaña antivirus, luego los cortafuegos y ahora hay que hacer frente al fraude on line. Hay un déficit en cuanto a seguridad y protección de los datos, pese a que los niños están a la última en la cultura del clik, pero los padres no tanto. Hay mucha gente en Internet suplantando identidades, acosando y abusando de los menores. Hemos dado charlas a los padres para explicarles de qué va todo esto y transmitirles la idea de que sus hijos tienen que utilizar Internet con prudencia e información. Los menores son menores y cuando están conectados es como si estuvieran en la calle, sometidos a peligros.

¿Cómo puede la familia evitar esos peligros?

Hay que informar a los padres y a los tutores, que es donde vemos mayores carencias. Los padres identifican Internet como si fuera la televisión o la radio y no piensan que los menores son sujetos activos de la información. La familia tiene que asesorarse de los peligros que existen, de la legislación y como hacer un uso positivo de Internet.

¿Cuántos menores se conectan cada día a la Red?

Según distintas fuentes, hay 25 millones de usuarios y se calcula que el 40% son menores.

Aquí hay dos cuestiones; una es la residencia y otra las escuelas. Nosotros vemos un déficit parecido en el conocimiento de maestros y maestras que en la familia. Tanto unos como otros minimizan los peligros y los beneficios de Internet. Esto es una herramienta y hay que utilizarla y muchos, por desconocimiento, van de un extremo a otro: o cortan Internet o dejan a los menores sin control. Lo que intentamos es ir por el camino de en medio, que es el más largo. Lo que recomendamos es que no dejen a los niños solos con el ordenador en la habitación, sino que los aparatos y los puntos de acceso a Internet en los domicilios tienen que estar en los sitios públicos, como salones, al lado del televisor, donde se pueda tener un cierto control. No estamos diciendo que sea como un estado policial, pero tiene que haber un control de las redes sociales y las mensajerías que maneja el menor.

¿Cuál es el camino largo?

La educación. El estar más con los niños y saber en todo momento lo que están haciendo. Puedes quitarte el problema de encima y poner filtros para que no accedan a determinadas páginas. Ese es el camino corto. Otro más corto todavía es cortar Internet, y eso podría ser la guerra total, es como invitarle a que se vaya de casa. El camino largo es controlar los contenidos a los que accede tu hijo.

¿De qué alertan exactamente?

De los contenidos inapropiados a los que puede acceder un menor. También vamos a trabajar sobre la privacidad. Esto es muy importante porque aquí están involucrados todos los asuntos de las redes sociales, el messenger, los abusos y acosos.

Fuente: Asociación de Internautas - España

ABRIL 2009

El Hacker que descifró los enigmas del IPHONE

Resumen de multiagencias

Las 500 horas que pasó descifrando los enigmas del juguete tecnológico más codiciado del momento, hoy se ven recompensadas con un suntuoso auto deportivo, especialmente diseñado para los amantes de la aventura como él: un poderoso Nissan 350Z. George Hotz está feliz. Aunque en sus planes no contaba cambiar su descubrimiento por un juguete de cuatro ruedas y tres Iphones con ocho gigas de memoria cada uno, se cansó de esperar la súper oferta en la página ebay, por su controvertido logro, que por estos días anda en boca de todos los amantes de la tecnología.

¿Cómo lo logró? Cuatro ‘hackers’ del grupo informal Dev Wiki trabajaron junto al adolescente, en Nueva Jersey, en la tarea de ‘romper’ los candados que ataban el Iphone a la compañía AT&T.

“Viví y respiré con este teléfono desde hace dos meses”, dice George, al precisar también que su gran mérito consiste en no haber empleado piezas adicionales para decodificar su equipo. En su blog, http://iphonejtag.blogspot.com, este estudiante de Glen Rock expresa que gracias a su logro, sobre el cual mantienen herméticos en Apple (creadora del Iphone) se podrán multiplicar el número de clientes potenciales del equipo.

Hasta ahora, por estar ligado a un operador estadounidense –a pesar de los anuncios de venderlo pronto a otros países– son muchos los que quisieran llevarse un Iphone a casa, pero sólo quienes habitan en E.U. podían satisfacer ese sueño. “Llegan japoneses con ánimo de comprar varios, pero cuando les decimos que están ligados a AT&T y que para darlos de alta hay que firmar un contrato de dos años con la compañía y facilitar datos como un número de seguro social estadounidense o una dirección de facturación en este país quedan desilusionados”, comenta un vendedor de Nueva York.

Quizás por ello el ‘hacker’ no tardó en patentar su hazaña, ayudado, eso sí por todos: CNN, NBC, New York Times y otros poderosos medios que desde el viernes repiten la entrevista con el inquieto adolescente. Cansado de recibir ofertas engañosas, en las que prometían el oro y el moro por su Iphone libre para cualquier operador, Hotz anunció públicamente que se terminaba la subasta y que recibía la oferta de Terry Daidone, fundador de la compañía Certicell (dedicada a reparar celulares) quien le ofreció a cambió de su equipo un Nissan 350Z y tres Iphones de ocho gigas de memoria.

Fuente: Diario El País - Colombia