Refrito del sábado: Otro tiro por la culata

(Publicado originalmente el 06 de julio de 2015)

Una historieta antigua
Años atrás por esas cosas de la vida conocí a los tipos de una empresa en Boulder, Colorado, que se dedicaban a la seguridad privada y contraterrorismo. Era una empresa chiquita pero con grandes clientes, querían hacer un negocio por estos remotos lugares. 

Cuando fui averiguando más me di cuenta que estaban armados en una cadena de mentiras, exageraciones, antecedentes falsos, ofrecimiento de cosas que no podían dar y esa especie de infantilismo que parece típico de la mayoría de la gente dedicada a la "inteligencia".

El negocio al final nunca se concretó pero me quedaron buenos recuerdos y cierta experiencia, además me quedé con una empresa armada acá a nombre de los palos blancos, al final debe haber sido para mejor que no pasara nada, aunque casi no vi un peso, igual tuve mis delirios de grandeza económica durante casi un año.

La PDI "se moderniza"
Hoy leo sobre la compra del software "Galileo" por parte de la Policía de Investigaciones  en casi 3 millones de dólares, estuve chequeando a la empresa Hacking Team y me acordé de Archangel, igualitos, me dio la impresión que son un grupito de tipos medio mitómanos y buenos para autopromoverse que tuvieron una racha de buenas ventas, aunque con lo que les pasó dudo mucho que la racha se mantenga.

¡Hackearon a los hackers!
Resulta que el domingo pasado en la noche, un hacker, que aseguró ser la misma persona que hackeo a FinFisher (competidor de Hacking Team) el año pasado, colocó en su cuenta de  Twitter links a 400 GB de datos internos de Hacking Team.

Así fue como apareció la noticia de la compra del software por la PDI. Entre la información hay código fuente de Galileo y cosas que ni siquiera los clientes de Hacking Team sabían, como por ejemplo que el propio software Galileo tenía una puerta trasera que permite desactivar remotamente el software sin permiso del cliente y -lo que es peor- una watermark que permite robar datos a cualquiera que esté usando Galileo y ahora el método está a disposición de cualquiera.

Como siempre, lo mejor en seguridad informática práctica se encuentra en el sitio de Bruce Schenier que comenta en unas pocas y sarcasticas líneas la situación de extrema gravedad que enfrentan la empresa y sus clientes.

¿Y que era el famoso Galileo?
Por lo que entendí de la propaganda de Hackers Team, Galileo es un software de control remoto, que permite duplicar y grabar la pantalla de otro equipo mientras lo están usando, sin que este lo advierta. Los que alguna vez usaron el VNC en los buenos viejos tiempos sabrán a que me refiero. Parece ser un VNC enchulado de casi 3 millones de dólares.

Años atrás yo instalé el VNC en el equipo del Rapa Nui para ver desde la casa lo que estaban haciendo en el bar, hasta que mi buen amigo Stephen Gutcknecht me advirtió de los riesgos del asunto, entonces dejé de usarlo así como el ftp en modo standard para enviar datos, no eran para nada seguros.

Que ignorantes
Que la PDI haya comprado ese humo muestra la ignorancia en temas de seguridad a nivel de organismos del estado. Todo mal, confiar en una empresa que vende código cerrado y dice "confíe en nosotros" en su publicidad, es algo que no haría nadie que sepa sumar dos más dos. La confianza en esas cosas, desde hace muchos años, dejó de ser asunto de fe, hoy se basa en el código abierto ampliamente examinado, mientras más examinado más confianza.

La privacidad dejó de existir
Esto también sirve para recordarnos que la privacidad hace tiempo que no existe. El que crea que tiene derecho a la privacidad es un chiflado y el que crea que la PDI o Carabineros solo usan las escuchas telefónicas y la intercepción de computadores "con orden judicial" sufre de una credulidad cercana a la estupidez. 

Resulta que no existe ningún prtotocolo de auditoría en el uso de esos equipos así es que cualquier funcionario aburrido, en cualquier momento puede colocarse a espiar las conversaciones o la actividad de cualquiera de nosotros por Internet.

¿A prueba de encriptación?
Galileo era marketeado como una solución a los que encriptaban sus mensajes porque veía las pantallas en tiempo real, antes que las cosas se encriptaran. Bueno, desde hace muchos años, el uso de encriptación fuerte supone que siempre que uno tenga que escribir un texto plano para encriptar o abrir un archivo encriptado a texto plano, debe desconectarse físicamente de Internet: sacar el cable, apagar la Wifi, etc.

Es como ir al baño, nadie se mete al baño a hacer sus cosas (bien sea para el 1 o el 2) sin cerrar la puerta antes. Del mismo modo cualquier cosa privada que debamos hacer, primero que nada nos desconectamos, eso es elemental.

Solo había que pensar un minuto
Son cosas de sentido común, de pensar un poquito, nada del otro mundo.Hacer un contrato con la empresa Hackers Team fue una gran estupidez, partiendo por que el nombre de la empresa no era para dar confianza a nadie. La seguridad no es para empresas ratonas, no importa el humo que vendan, en esas cosas es fundamental la reputación y el fundamento técnico, son cosas que no pueden ser decididas por gente ignorante o sin experiencia.

Cuidado con Internet
El bottom line de todo esto es que la privacidad no existe, todo lo que hagamos mientras estamos conectados a Internet debemos considerarlo como público, y si vamos a usar encriptación debe usarse bien, desconectando el equipo de Internet mientras tenemos textos planos en pantalla. De ese modo podemos protegernos de los keyloggers en cualquiera de sus variantes.

A propósito, si alguien de la PDI está interesado en ver buen porno, que coloque un malware en cualquiera de mis computadores. Garantizo que no se van a decepcionar porque en eso si que soy un experto.