Una caja segura

El otro día fui a declarar a la Policía de Investigaciones y resultó que andaba con varios archivos en un pendrive USB, pregunté si querían traspasarlos y me dijeron OK. Pensaba en la cantidad de malware que puede pasar solo colocando un USB, sin mencionar el Bad USB que hasta el momento -entre nosotros al menos- es indetectable e irreparable. Para colmo el código de Bad USB es público en Github, basta con que alguien sepa compilarlo y lo flashee en un pendrive y listo.

Me puse a buscar sobre las vulnerabilidades y encontré el interesante Blog Un Informático en el Lado del Mal de Chema Alonso, donde encontré todos los manuales de usuario de Hackers Team, un material muy interesante para los que nos gusta el tema. Es increíble la cantidad de posibilidades para ingresar malware a los sistemas, como en los noventas trabajé en tribunales y puse un sistema en la cárcel de Acha siempre he estado pensando como impedir las intrusiones y por estos días volví a darle vueltas al asunto.

Supongamos que soy un espía y trabajo mandando informes secretos a un país extranjero. El problema es que esos informes los tengo que escribir y mandar sin que nadie se entere para que no me metan en la jaula o me fusilen. Entonces lo primero que tengo que hacer es un inventario de que considero seguro y que no. Suponiendo que los que me podrían pillar tienen muchos medios mi inventario sería más o menos este:

Seguro: software de encripción robusta que incluya AES, GPG en modo consola, Truecrypt. Me imagino que todo eso es lo suficientemente seguro como para que un gobierno no lo pueda interceptar .

Inseguro: uso de pendrives USB, uso de aplicaciones sin licencia o de proveedores poco conocidos. Sobre todo Internet, mientras el computador esté conectado lo supongo siempre inseguro y es posible que sea interceptado/visto todo lo que hago en el computador mientras estoy conectado a Internet.

¿Como haría para construir una caja segura que me permita espiar tranquilo? Lo primero sería comprar un notebook nuevo, en cualquier tienda, le cortaría el cable que enciende la Wifi o inhabilitaría todas las opciones de red, para que ni por accidente pueda conectarse. En ese equipo haría mi trabajo. Como no confío nada en los pendrives usaría con un quemador de CD-ROMS para pasar los archivos de una máquina a otra.

Los informes los escribiría de preferenciaen el Notepad o -si tengo que incluir graficos- un procesador de textos ultraligero como AbiWords. El notebook usado para escribir lo encriptaría completo con TrueCrypt, lo ideal sería no dejar copias pero podría dejarlas encriptadas con GPG o algún programa reputado que use AES.

Necesitaría un segundo computador conectado a Internet, que solo serviría para enviar los archivos, pueden ser en GPG, escondidos dentro de imágenes o como sea. Este computador puede ser completamente inseguro y lo podría usar para ver porno, escribir en mi Templo del Ocio o lo que se me antoje. Los textos los escribo en el equipo desconectado, los encripto, elimino el texto claro y lo quemo en un CD, también podría esconderlo dentro de una imagen jpg usando cualquier aplicación de esteganografía.

Ese CD lo llevo al equipo conectado y copio mi archivo encriptado/escondido. Ese archivo lo mando por cualquier cuenta de email que tenga para esos efectos. Creo que con eso dormiría tranquilo.

Conclusión
Todo esto puede parecer una pequeña chifladura. Yo no soy espía no tengo gran cosa que ocultar ni gobierno alguno se interesa en lo que hago. Pero de todo esto se puede sacar algunas cosas interesantes.

Primero que nada hay que reconocer dos usos separados: el uso en línea o fuera de línea. Me imagino que una buena seguridad se puede lograr separando ambos usos. Por ejemplo los computadores de escritorio en tribunales, policía o cárcel no deberían tener ninguna posibilidad de conectarse a Internet ni a conexión de red LAN. Los traspaso de archivos se deberían hacer físicamente por un medio seguro como el CD por ejemplo.

Para chatear y usar Internet que usen sus teléfonos, no los equipos de escritorio. En fin, es una forma que se me ocurre para enfrentar una tremenda brecha. No confiaría en cortafuegos vpn ni nada de eso. Desconexión física y punto, es lo mejor que se me ocurre ¿Cuan necesario es que los equipos de oficina estén conectados a Internet? Ahora que casi todos tienen teléfono para conectarse me parece que es un riesgo inútil. Ideas locas que se me ocurren cuando se me termina el trago.