lunes, marzo 23, 2015

Acta de Navegación NO certifica el contenido de una web

Recientemente un abogado, me preguntaba, cómo podría certificar los contenidos de una web, por lo visto, uno de sus clientes estaba siendo mancillado en un blog y quería adjuntar a la querella una evidencia digital que diera solidez a la demanda. Se estuvo planteando la idea de contratar un notario y que levantase un acta notarial de las injurias ya que el blog se actualizaba con bastante periodicidad. Fue así como, buscando los dos por Internet, dimos con el servicio de Colorirus "Acta de Navegación". ¿Servirá este servicio para certificar los contenidos de una web.

Figura 1: Acta de Navegación NO certifica el contenido de una web

A primera vista, según anuncia la propia web, este servicio sirve para garantizar la navegación por Internet desde un equipo a una hora en concreto mediante sellado de tiempo. Es decir, la navegación que se ve desde un equipo, y para nada que en un determinado servidor haya un determinado contenido.

Figura 2: Descripción del servicio de Acta de Navegación

Esto, para algunos, puede querer significar que se está certificando que lo que se graba es lo que hay en los servidores, pero nada más lejos de la realidad. Solo se graba que desde un equipo se comenzó una navegación a una hora concreta y que se terminó a otra hora, viéndose desde el equipo algo.

Figura 3: Dice valer como acta notarial, pero demuestra que el contenido que ves es el que hay

Con el objeto de demostrarme a mí mismo y al abogado que me solicitaba un servicio para certificar webs, que esta no es una solución hecha para esto, decidí probarme fehacientemente que sí sería posible alterar el contenido de la navegación, y certificar una navegación manipulada. Nada sería más desastroso que llevar un acta de navegación al mundo judicial y que luego un perito le sacase los colores impugnando, y con razón, la prueba que sustenta la demanda al demostrar que se pueden conseguir actas de navegación con este servicio alteradas - tal y como ya había hecho con el servicio de las fotografías con certificación de ubicación GPS en el pasado -.

Demostración de que Acta Notarial certifica lo que ves, no lo que hay

En una primera prueba de concepto, quise comprobar si sería posible certificar un contenido alterado, así que se me ocurrió hacer una prueba sencilla, y modificar mi archivos "hosts" de resolución de nombres de dominios, para redirigir el tráfico de, por ejemplo, la página del PP www.pp.es a sus amigos de Podemos www.podemos.info y ver qué pasaba. Grabé la prueba que podéis ver en el siguiente video:


Figura 4: Demostración con Acta de Navegación 1

Efectivamente, como habéis podido comprobar, tengo un certificado de navegación que garantiza que he navegado a unas determinadas horas, pero el contenido que se ve no tiene por qué estar de verdad en la web tal y como se ve en el vídeo certificado. El problema real es que alguien piense, al comprar esta solución, que esto sirve para certificar de alguna forma el contenido que hay en una web. Nada más lejos de la realidad como se puede ver.

Para que si a alguien le queda alguna dura de que esto no sirve para certificar de ninguna manera el contenido de una web, decidí dar un paso más y certificar algo más arriesgado y maligno. ¿Que tal tiendas online, con una modificación "on the fly" de los precios? Para esta segunda prueba, he usado BurpSuite gracias a una idea que me dio un amigo y su opción de "match and replace", para modificar los precios, y hacer que los productos sean un poco más asequibles.


Figura 5:  Demostración con Acta de Navegación 2

Si realmente "Acta de Navegación" ofreciera cualquier tipo de validez jurídica con respecto al contenido, acabaría de meter en un buen lío a El Corte Inglés y Mediamark, pero no es así. El sistema solo certifica que una navegación hecha desde un equipo veía a unas horas esas cosas, pero eso no demuestra que el sitio tuviera ese contenido, así que nunca en un juzgado debería ser tomada como prueba de que había un contenido cualquiera en una web. Cualquier perito forense que se precie tiraría esa prueba si se presentase como prueba en un caso.

Conclusiónes a tener en cuenta

Acta de Navegación, parte de un error grave de concepto si en algún momento hubiera pretendido ser un servicio que certificara el contenido de una servidor web. Podría servir para certificar lo que ve una máquina en un instante de tiempo, pero este resultado podría diferir entre la realidad por uso fraudulento del sistema - como se ha hecho en este caso -, por culpa de un ataque de malware que hiciera un man in the browser o de un atacante que manipule las conexiones de la red, por cualquiera de los múltiples ataques de red en IPv4 o IPv6.

Si vas a un juicio y quieres certificar que una web hay un determinado contenido, este no es el servicio de certificación de contenido en web que esperas. Hay otras soluciones que se basan en terceros de confianza que verifican el contenido de un servidor conectándose ellos mismos,  y no dejando que sea el cliente el que se conecte.

Autor: J.A.Esteban
Twitter: @Erratum_

13 comentarios:

Anónimo dijo...

Hay un servicio de certificación de navegación que firma el tráfico HTTP generado y que genera una prueba válida e irrefutable por parte de un perito. Está en www.doyfe.es
Además certifica fotos y e-mails

Anónimo dijo...

¿Y eGarante?

Anónimo dijo...

Buen concepto, pero en el segundo video la explicación en el segundo video es deficitária para lectores menos expertos (como yo)

José Félix Muñoz dijo...

El Acta de Navegación es un documento electrónico autentico que certifica el contenido del vídeo registrado, pero que contiene también información sobre el trafico http. En el primer ejemplo que se pone en el post se modifica el DNS, de forma que la URL que se ve en la barra de las direcciones no se corresponde con la página, pero Acta de Navegación registra también la dirección IP del sitio web, por lo que este cambio se detectaría fácilmente. En el segundo ejemplo, se redirecciona la navegación, pero en ese momento deja de haber una conexion segura (https) lo que también se detectaría en los datos grabados por Acta de Navegación.

Yago Jesus dijo...

@Anonimo: eGarante nunca delega en el usuario la captura de la evidencia. Siempre actúa como tercero y realiza la captura DESDE UN EQUIPO AJENO AL USUARIO, por lo que resulta imposible realizar los ataques mostrados en este post

Yago Jesus dijo...

Respecto a 'doyfe', por lo que veo simplemente es una copia de los servicios de eGarante que llega unos 4 años después.

Softbreakers dijo...

@José Félix Muñoz
Leyendo la patente en la que usted aparece como uno de los inventores, inicialmente parece que el sistema presenta muchas contramedidas a la hora de evitar ataques como los descritos (registro de las direcciones IP de los servidores grabados en el acta, comprobación de los certificados en conexiones SSL, comprobaciones de la integridad del módulo de registro que descarga el usuario frente a manipulaciones...).

http://www.oepm.es/pdf/ES/0000/000/02/30/34/ES-2303422_A1.pdf

Si es así, ambos ataques (las tiendas online a la hora de comprar algo suelen usar HTTPS) serían detectables e invalidarían el acta, aunque desconozco si las funcionalidades descritas en la patente están implementadas en explotación, rechazando la aplicación la certificación de un acta manipulada. En los vídeos no parece que se rechace la certificación de esas navegaciones "manipuladas".

Por lo que veo en la web de Coloriuris tienen una certificación normal y otra "premium" que incluye el tráfico de datos capturado con WinPcap. Tampoco se si Jose Antonio para hacer los vídeos contrató la versión "premium" o la normal, y si contrató la normal desconozco si con la versión "premium" los resultados de la certificación hubieran sido distintos.

En caso de que los servicios ofrecidos por Coloriuris ofrezcan las funcionalidades descritas en la patente en cuanto a comprobación de direcciones IP, de certificados en conexiones SSL, y técnicas anti-tampering, el servicio puede ser seguro... pero con reticencias. Desde mi punto de vista no es posible asegurar al 100% de una manera remota que el módulo registrador descargado en el ordenador del usuario no ha sido manipulado... otro tema es echarle tiempo para demostrar que es vulnerable a modificaciones... ;)

José Félix Muñoz dijo...

@Softbreakers

La integridad de un documento no es que este no pueda ser modificado (lo que siempre es posible hacer), sino que no pueda modificarse sin que sea posible detectarlo. Por tanto, Acta de Navegación no impide que se genere cualquier Acta, pero sí que contiene elementos que permiten detectar las posibles modificaciones realizadas en los parámetros de la conexión http. Por otra parte, la seguridad de cualquier sistema es, por definición, relativa. No existe la seguridad absoluta y, en consecuencia, debe aplicarse el principio de proporcionalidad. En este sentido, Acta de Navegación aporta una prueba robusta de los hechos que acredita y, en el caso de que no haya habido ninguna manipulación del tráfico, la impugnación de la misma supondría una notable dificultad para la parte contraria.

Softbreakers dijo...

@José Félix Muñoz
La impugnación de la prueba aportada por Acta de Navegación, eGarante (Yago también está por aquí), Doyfe, y cualquier otra, radica en la seguridad del sistema empleado. Y por supuesto no existe la seguridad completa con ninguno de los sistemas.

Por otro lado, el que desde el punto de vista de seguridad un sistema pueda parecer más robusto que otro, tampoco implica necesariamente que un juez deba rechazar las pruebas generadas por el sistema que se presupone menos robusto, salvo que alguna de las partes presente pruebas de que dicho sistema es vulnerable. También hay que tener en cuenta que la presunción de inocencia solo debería ser descartada frente a pruebas irrefutables, y no se hasta que punto los jueces consideran como pruebas irrefutables este tipo de certificaciones digitales (y no me refiero a ningún sistema específico), teniendo en cuenta que en cuestiones digitales la seguridad es relativa...

Hablando de una manera teórica, una mayor complejidad del esquema de funcionamiento de un determinado sistema suele traer también una mayor cantidad de puntos que pueden ser atacados a la hora de buscar vulnerabilidades.

En el caso de sistemas de certificación de capturas de datos, en un esquema en el que la captura de datos la realice una máquina bajo control del propio certificador (como al parecer funcionan eGarante y Doyfe), las posibles vulnerabilidades solo giran alrededor de la seguridad de dicha máquina, que es administrada y controlada por el certificador.

Si la captura de los datos que se certifican se realiza desde el propio ordenador del usuario, en donde se descarga un módulo de software para ello, las posibles vulnerabilidades que presentan los otros sistemas respecto a la seguridad del propio servidor del certificador, se trasladan a la máquina en la que el módulo de captura de datos se instala, que es una máquina que el certificador no controla.

No estoy diciendo que el módulo de captura de datos de Acta de Navegación sea manipulable sin que el sistema lo detecte. Lo que afirmo es que el esquema de funcionamiento de Acta de Navegación presenta una mayor exposición que los que realizan la captura de datos en un equipo controlado por el certificador. Otro tema será que dicha mayor exposición se traduzca a efectos prácticos en una vulnerabilidad comprobable y reproducible...

Cualquiera de nosotros está interesado en que estos sistemas no presenten vulnerabilidades. Si existen sistemas de certificación vulnerables, pasado mañana puede llegarnos una citación judicial por un asunto de presuntas injurias en la red que no hemos cometido, pero que viene avalado por una certificación digital manipulada. Y si los jueces le dan suficiente fuerza probatoria a estas certificaciones, pasamos de tener presunción de inocencia a tener que contratar un experto lo suficientemente hábil como para que pueda demostrar que la certificación presentada puede no ser fiel a la realidad... y al fin y al cabo que demuestre que somos inocentes... y si se diera este caso, la imagen de todo este tipo de productos (vulnerables o no) ante las instancias legales se vería comprometida, cosa que tampoco le interesa a ninguno de los certificadores...

Coloriuris dijo...

Efectivamente, J.A., como bien indicas en el título, actaNavegación no certifica, necesariamente, el contenido de una web. Lo que certifica, en su versión básica, que es la utilizada para vuestros tests, es la navegación (o sea, lo que se visualiza en la pantalla principal del ordenador).

La versión premium, además, certifica el origen de lo que vemos (la captura de red).

Con estas evidencias un usuario de buena fe obtiene una prueba fiable y desasistida de lo que ha visualizado en su navegación por Internet.

En caso de un uso fraudulento como el que explicas en tu post (que también podrías haber hecho ante notario, obteniendo en ese caso un acta notarial de una navegación falseada) lo que la herramienta está certificando es una navegación falseada - lo que en términos jurídicos sería un presunto delito de falsedad en documento privado, fácilmente demostrable mediante prueba pericial contradictoria - que de hecho serviría para incriminarte en caso de que quisieras utilizar actaNavegación como prueba llevando a juicio a cualquiera de las empresas mencionadas en los vídeos.

En Derecho las cosas no son blancas o negras; el contexto es fundamental, y un juicio no es una simple aplicación de fórmulas matemáticas. Si un cliente acudiera a nosotros buscando la certificación indubitada de un contenido en fecha cierta, probablemente no le recomendaríamos utilizar actaNavegación, sino actaConstancia, donde la evidencia electrónica la generaríamos nosotros, como Prestadores de Servicios de Confianza, con presunción de exactitud respecto de la fecha y hora, y la integridad del contenido; lo que de hecho resultaría en la inversión de la carga de la prueba. 

Esperamos haber aclarado tus dudas. Si necesitas más información puedes leer este artículo en nuestro blog: https://www.coloriuris.net/blog/2015/04/07/certifica-acta-de-navegacion-el-contenido-de-una-pagina-web/... o dirigirte directamente a mi en gemmag@coloriuris.net , y estaré encantada de profundizar en lo que necesites.

Un saludo,

Gemma M

Anónimo dijo...

@Coloriuris Si al final la conclusión es que no hay que hacer 'cosas ilegales' ¿de qué sirve vuestro producto? Para eso directamente me hago yo el vídeo o la captura y fiesta. No tiene sentido tu argumento. Si ofrecéis un producto que dice hacer 'algo', a ese producto se le ha de presuponer GARANTÍAS, cosa que ha quedado probado, no las tiene. En buena lid bien debierais eliminar el producto o cuando menos, no llamarlo 'acta de navegación', mas bien 'vídeo sin valor probatorio donde al final se presupone que no vas a hacer algo malo'

Coloriuris dijo...

@anónimo, si el video lo hubiera grabado ante notario, ¿qué hubiera obtenido el autor? Un acta notarial que certificaba que había escrito una URL en su navegador y que al pulsar enter en pantalla había visto lo que muestra el video. ¿Eliminamos por eso a los notarios o, cuando menos, les cambiamos el nombre? No, ¿verdad? actaNavegación hace lo que dice que hace: recoger, incorporando un sello de tiempo electrónico emitido por nosotros como Prestadores de Servicios de Confianza (PSC) acreditados antes el Ministerio de Industria, la navegación realizada por el usuario, sin entrar a valorar si la navegación es cierta o está falseada. La interpretación no es nuestro campo de trabajo, esa es tarea de los jueces. La recogida de pruebas en entornos digitales, admitidas como prueba válida ante un juez, si. Eliminar no vamos a eliminar el producto, lo que si nos hemos dado cuenta que tenemos que hacer, y en parte gracias a este post, y por ello le estamos agradecidos al autor, es mejorar la comunicación del mismo, para explicar mejor lo que hace, y evitar que en el futuro un usuario - de buena, o de mala fe - crea que hace lo que en realidad no hace.

Un saludo,

Gemma M

Anónimo dijo...

@Coloriuris huir hacia delante no creo que sea el camino. De entrada un notario JAMÁS haría la captura de la evidencia desde el PC de una parte interesada, si eso lo hiciese así, yo iría directo al colegio de Notarios para que le inhabiliten por incapaz. Claramente el modelo es realizar la captura de la evidencia por parte de un tercero. Decir que un notario se va a sentar en el PC de una de las partes a hacer la captura es engañar y si esa es vuestra línea argumental, realmente estáis empezando a bordear una línea muy pero que muy peligrosa, porque eso es directamente MENTIR

Entrada destacada

Navaja Negra: La CON de Albacete el 29 de Septiembre @navajanegra_ab @elevenpaths @0xWord

Es la sexta edición de esta CON que comenzó hace ya más de un lustro en la ciudad de Albacete , reúne el próximo 29 de Septiembre a una b...

Entradas populares