domingo, septiembre 08, 2013

0wn3d! (o cómo la NSA mató el espíritu de Internet)

Tras ver todas las filtraciones publicadas recientemente sobre las acciones realizadas en la red por la agencia de espionaje norte-americana, creo sinceramente que la NSA ha matado el espíritu de Internet. No han dejado un rincón donde mirar, y han mancillado la red en todos los puntos posibles - y mientras la gente preocupada de cómo espiar WhatsApp -. Uno tras otro sistemáticamente, lo que obligará a pensar en una refundación completa y total de lo que desde hace tanto tiempo se llama la red de redes.

Pinchazos en el cable de Internet y las redes locales

Para capturar el tráfico de lo que transita por Internet, la NSA tiene sistemas distribuidos por todo el mundo que actúan como sniffers. X-Keyscore - del que se filtró un mapa de las ubicaciones de sus servidores - y la operación Tempora mantenida a medias con sus socios del Global Communications HeadQuarters británico dotan a la NSA con una capacidad de escuchar entre el 1% que dicen ellos, y el 96% que dicen los analistas, del tráfico de Internet para capturar datos de todo tipo.

Figura 1: ¿Dónde está X-Keyscore?

Por si fuera poco ese tráfico capturado en la red principal, la NSA cuenta con un programa de inmersión dentro de las redes locales conectadas a Internet, hackeando dispositivos expuestos, tales como routers, switches, cámaras de vídeo-vigilancia o impresoras. Para conseguir ese acceso, los miembros de la NSA realizan tareas puramente de hacking o directamente fuerzan a los fabricantes a dejar fallos de seguridad en sus productos o cuentas de usuarios de backdoor que les permitan tomar el control en cualquier momento.

Si llegado el momento apareciera la necesidad de colarse dentro de un sistema, desde la propia herramienta de X-Keyscore es posible explotar las vulnerabilidades y tomar control de un sistema, aunque eso signifique equivocarse miles de veces y colarse dentro de los sistemas por error.

El cifrado

Si los datos están cifrados, no sólo te hacen merecedor de una atención extra por ser un posible terrorista, sino que además desde el año 2010 se ha trabajado en un programa llamado Bullrun por el que se han estado recopilando las claves de descifrado. Para ello la NSA cuenta con un programa de varias fases:
1) Consiguiendo entidades de certificación intermedias que no alerten de ataques man in the middle.
2) Solicitando las claves de descifrado "legalmente" a las entidades de certificación.
3) Consiguiendo de forma ilicita y mediante intrusiones las claves no disponibles.
4) Incidiendo en la inserción de bugs en la tecnología en comités de certificación internacionales.
La primera de las opciones consiste en montar una infraestructura similar a la que tiene el Gran Firewall Chino, solo que con la ayuda de que las principales entidades de certificación en Internet son americanas. La segunda de ellas, está basada en hacer uso del Acta de Patriotismo y la Foreing Intelligence Survilliance Act. La tercera de ellas consiste en hacer algo de hacking usando el control de los dispositivos de la red y los exploits de X-Keyscore (por ejemplo) o preparar una operación APT contra el dueño de las llaves.

Figura 2: Diapositiva interna sobre BullRun

La última de ellas, la de incidir en los comités de certificación e inducir a la construcción de standards de seguridad y sistemas de cifrado inseguros es la más crappy de todas inyectando en ellos bugs que les permitieran descifrarlos. El crear una operación de tal magnitud exige un conocimiento tecnológico, una preparación previa y un trabajo de años para lograrlo. Y ellos lo hacen. 

Esto me ha hecho recordar en cómo los algoritmos de cifrados de ciertos productos aparecen limitados y prohibidos para su uso fuera de USA y en cómo sistemáticamente año tras año, en conferencias de hacking, los investigadores de seguridad encuentran bugs en las implementaciones de los sistemas de cifrado, como recientemente sucedió con la implementación del 3DES en el MS-Chapv2. ¿Lo sabrían desde sus orígenes ellos?

Figura 3: Otra diapositiva interna sobre BullRun 

Cuando un investigador publica un bug siempre se dice que es mejor que el mundo lo sepa, por si algún malo lo ha descubierto ya y lo está explotando. Visto esto habrá que modificar un poco la frase para que la gente entienda que ese bug podría haber sido introducido a sabiendas desde el día de la creación del sistema.

El caso del cifrado de TrueCrypt

Hay un detalle sobre el cifrado que me preocupa especialmente, y es el hecho de TrueCrypt. Hace tiempo Yago Jesús (@YJesus) escribía un artículo en el que recogía algunas incógnitas sobre el proyecto más popular de cifrado en el mundo de Internet preguntándose si nos podemos fiar de TrueCrypt. Es gratuito, y llevamos años usándolos todos, pero de sus orígenes poco sabemos.

Siempre se ha pensado que la ocultación de sus miembros es debido a que rompen las leyes americanas de compartición de algoritmos de cifrado, y que por tanto deben residir en el anonimato. Sin embargo, viendo la virulencia con la que el gobierno americano es capaz de operar en casos como Wikileaks, la persecución y castigo más la sentencia de Bradley Manning, o la lucha por detener a Edward Snowden, me llama poderosamente la atención que sigan conservando el dominio .org o que sus servidores no vivan bajo acoso y derribo constante.

Es decir, si realmente fuera un problema para la NSA acceder a los datos cifrados por TrueCrypt y tuvieran que fiarlo todo a las herramientas de cracking de volúmenes cifradas conocidas - visto lo visto - ¿no creéis que hubieran hecho algo por conseguir las claves de descifrado? A lo mejor son paranoias mías, pero lo cierto es que algo no encaja en todo esto.

La red TOR

En el caso de la conexiones provenientes desde la red TOR también hay sistemas. De hecho se ha visto ya cómo el anonimato en la red no es tan así, y como con el uso de exploits de los navegadores o las huellas digitales de las conexiones se ha podido localizar a clientes, mientras que con el análisis pasivo de datos es posible detectar las direcciones IP de conexión de los servidores.

Figura 4: Estudio sobre la detección de identidad en la red TOR

Esto ha llevado a que se hayan producido detenciones de personas de las que no se sabía muy bien cómo han obtenido la información. La red TOR ya no es ese refugio de privacidad y anonimato que se pensaba era.

Los servidores Proxy para ser anónimo

Cuando publicamos la charla de Owning bad guys {and mafia} using JavaScript botnets yo preguntaba al final de la misma, en el minuto 36 de la presentación preguntaba. "¿De verdad creéis que no hay nadie más haciendo esto?" Un estudio posterior marcó la cifra en el 30% de los proxies anónimos. Es decir, uno de cada 3 servidores proxy anónimos estaban manipulando el contenido que entregaban a los clientes de estos proxies. ¿Sería alguno de ellos de la NSA? Apuesto doble contra sencillo.

Los datos

Y si no vale con el tráfico de red, pues siempre se puede tirar de PRISM y aprovechar que las principales empresas de servicios en Internet son americanas y están sujetas a la ley de los USA, por lo que se pueden solicitar datos para alimentar PRISM a Google, FaceBook, Apple, Microsoft, Yahoo!, etcétera.

Figura 5: Diapositiva filtrada sobre PRISM

¿Hay acceso directo a los datos o es una colaboración fluida de petición y denegación de información? Difícil responder. Aunque algunas filtraciones apuntan a un acceso más o menos directo, otras apuntan a una colaboración fluida pero sin acceso. En cualquier caso, Google y Microsoft han decidido demandar incluso al gobierno por los daños causados con este programa.

Fuera de Internet

¿Y si el dato se produce fuera de Internet? Pues entonces se montan las operaciones de espionaje al uso. Para ello, se ha podido ver cómo la NSA y GCHQ han montado dispositivos de hacking directo de teléfonos o el montaje de redes WiFi falsas en reuniones de G8 y el G20. Además se han puesto micrófonos y troyanizado los faxes en las embajadas de la Unión Europea y países amigos para poder saber qué sucedía e influir en la toma de decisiones, llegando hasta espiar en el cuartel general de la ONU.

También se accede a los registros de llamadas de teléfono tanto de sistemas como Skype, como de registros de operadoras tipo Verizon. Todo por nuestro bien, obviamente.

Acceso a los smartphones

En este fin de semana Der Spiegel informa de que además tienen acceso a la mayoría de los smartphones de los usuarios, hackeando BlackBerry, iPhone y Android. BlackBerry ha dicho que no tiene puerta trasera (no olvidemos que la empresa es de Canadá) - lo que podría significar que lo hacen con exploits como se vio en el caso del espionaje al G8 y G20 - sin embargo, con Android, iPhone y Windows Phone se especula con la existencia de puertas traseras o acceso a las copias de seguridad. No olvidemos que se ha reportado que la NSA está enviando código de Android y que la mayoría de los terminales iPhone o iPad hacen backup en iCloud y por supuesto sin cifrar.

Figura 6: Filtración del espionaje a miembros del G20 con BlackBerry

Tiempo ha, anonymous publicó un fichero con datos de los dueños de los sistemas iPhone & iPad que decía había conseguido del equipo de un miembro del FBI. Posteriormente esto fue negado por el FBI e incluso una empresa reclamó que había sido ella la víctima. ¿Sería una cortina de humo para frenar la filtración?

Cortina de Humo

Mientras todo esto sucede, lo más curioso es que el gobierno de los USA ha estado acusando desde comienzo de este año sistemáticamente a los chinos como los principales ciberespías de Internet. Informes como el de APT1 o el informe anual de ciberseguridad remitido al congreso apuntaban a las malas artes de los chinos malos que se cuelan en las redes para espiar a los buenos. Lo mejor, volver a ver la conferencia del general de la NSA en BlackHat USA 2013.

Figura 7: Conferencia del General de la NSA en BlackHat USA 2013

Y mientras pasa todo esto, pretenden mostrar  su cara más amable con juegos de criptografía, como el criptograma Kryptos del FBI, para que se vea que ellos se ocupan de cosas buenas.

The End

Y resumido someramente todo esto, ¿queda algún sitio por mirar? Seguramente cuando descubramos ese sitio donde falta por mirar, ya hayan mirado allí. Y es que hasta algunos de los creadores del Acta de Patriotismo - como el Republicano Jim Sensenbrenner -  ha manifestado públicamente que la NSA está usando el Patriot Act como excusa pero la están usando para espiar mucho más allá de sus límites. Desde luego mi percepción de Internet ya nunca será la misma tras todos estos acontecimientos y creo que tampoco la de muchos otros. La pregunta es qué hacer ahora. ¿Se podrá salvar Internet con la tecnología existente? ¿Hay que refundar la red desde cero? ¿Hay que cambiar hasta las infraestructuras de conexión? Difíciles respuestas.

Saludos Malignos!

24 comentarios:

Daniel dijo...

Buenas Chema,

Si, buenas preguntas...también hay otra pregunta:
Se podría navegar por Internet de forma segura en algún momento ??

Estamos vendidos...

Unknown dijo...

yo cada dia como ya he comentado en alguna ocasion leo este blog a pesar de ser un completo desconocido de esto de la informática no solo de la seguridad ya que lo unico que se hacer es encender el cacharro y ver paginas o videos en youtube ver pelis y oir musica en fin un usuario de tantos en la red. Pero refiriendome a este comentario de Chema yo solo digo:
en el momento que nacemos y nos registran en el juzgado nos bautizan , se dan nuestros datos para el cole el trabajo el banco etcetcetc ya somos parte de ellos ya nos controla a su antojo nos van llevando justo donde ellos "" los que dominan el cotarro "" quieren que estemos y no hay mas. es la opinion particular mia que por supuesto no tiene que ser nada cierta, pero es mi opinion.

Klego dijo...

Después de leer tu entrada, yo tengo la duda de querer seguir estudiando hacking para ser auditor de seguridad informática. ¿Para qué trabajar en mejorar la seguridad de Internet si no te lo permiten los que se suponen que tendrían que ayudarte?

Esta entrada me ha gustado mucho, pero me ha "matado" en algunos sentidos.

Igualmente, gracias por compartir tu conocimiento. =)

Anónimo dijo...

1984 -> es el puto Gran Hermano

Anónimo dijo...

Creo que el Sr. Richard Stallman va a recibir más oyentes.

Esta es su forma en la que trabaja con un ordenador e internet

http://stallman.org/stallman-computing.html

Sr Chema Alonso,
¿trabajando de la forma que Stallman lo hace, se libraría de las trampas de la NSA, o tampoco?

..creo que aunque sea la única forma, nos hemos hecho muy cómodos y por tanto nos dejamos comprar.

Beatle.Uy dijo...

Woow... Excelente post, uno de los mejores de los últimos tiempos en lo que resumes todo y es fácil de leer para cualquiera.
Yo decía hace tiempo que la próxima burbuja era Internet, pero no me refería a esto sino a la conectividad, pero puede ser uno consecuencia de lo otro.
Por otro lado, pregunto ¿cuál es el problema de que nos vigilen? Internet nació como un proyecto militar norteamericano. Nos vigilan ¿y? de todas formas podemos expresarnos, pensar distinto, opinar diferente. Eso con el Gran Hermano de 1984 era imposible. Pensemos por un instante si Internet hubiese sido creado por regímenes autoritarios (soviéticos, islámicos, fascistas, etc). Yo creo que ahí sí habría un peligro más tangible.

Manuel dijo...

Genial el articulo Chema, desde luego cada vez se parece esto menos al internet aquel del modem y el manifiesto hacker, supongo que la única opción que queda es una red mallada de p2p encriptado como alternativa fiable a TOR pero recuerdo que algo así se quiso hacer y no molaba mucho que usaran tu PC para sabe dios que...

Yo es la única opción de veo, una red opaca dentro de la red, o eso, o sacamos la emisora CB27 y metemos datos cifrados sobre radiofrecuencia para usar medio propio, que aun así seria esnifable, un port knocking por radiofrecuencia quiza? se me va la olla :D

Manuel dijo...

Una paja mental del momento, antiguamente se decia lo que que no puedes cifrar con mas de 64 bits por que no tenian potencia de CPU para decodificar todo.

Y si desbordáramos la capacidad de proceso? un método de conexión cifrada que distribuya información cifrada correcta con un volumen x10 veces en basura? puede retorcerse todo lo que se quiera, puertos aleatorios con tiempo y capacidad aleatoria,para combinar claves temporales, que rotan y mantienen varios túneles a la vez por lo que se distribuye la comunicación.

Hoy en día ancho de banda sobra no es lo mismo que cuando saltabas 4o5 proxies con el modem y ya aquello ni respondia ni na.

Anónimo dijo...

Sin duda este es uno de los posts más interesante.

Saludos

Anónimo dijo...

Fuck the Police

dcialdella dijo...

Muy buen POST, todo es muy bueno y me quedo con tus últimas líneas, "como refundamos Internet" ?

nació anárquico pero aunque lo parece, ya no lo es.

DGrau dijo...

la batalla no ha hecho más que empezar...
Está en la mano de todos querer o no cambiar esta situación.
Nos están inundando con cataclismos sociales tanto fuera como dentro de la red.
Bajo mi punto de vista, ahora mismo estamos en el ojo del huracán. Somos conscientes del peligro pero estamos calmados, seguimos adelante. Esto hace que me cuestione... ¿Esperaremos a que un trozo de mierda voladora nos arrastre al caos o actuaremos a tiempo como civilización?

Anónimo dijo...
Este comentario ha sido eliminado por el autor.
Anónimo dijo...
Este comentario ha sido eliminado por el autor.
Anónimo dijo...

Entonces mientras menos puertas traseras tengamos mejor, pero bien se sabe que Windows y Mac las tienen y se las facilitan con todo gusto a la NSA, entonces ¿por qué no usar linux y software libre en vez de software privativo?

Otra pregunta, hemos visto el problema ¿qué soluciones aportarías para navegar por internet? intento cuidar mucho mi privacidad desde lo del prism y no voy a llegar al punto al que llega Stallman porque dependo demasiado del móvil (y de otros servicios de los que intentaré quitarme poco a poco) pero si hay alguna forma de poder hacerlo y además es fácil y sencilla mejor que mejor, ¿no?. Hay muchos posts circulando por internet comentando los problemas, pero pocos aportando soluciones y tú podrías ser uno de ellos.

Por último: ¿qué opinas de whatsapp? he leído que jabber podría ser una alternativa pero sin publicidad por parte de los usuarios (para empezar a usarla) no llegaría a nada (como es obvio), te dejo el post en cuestión: http://www.elotrolado.net/hilo_1000-redes-de-comunicacion-incompatibles-juntos-podemos-cambiarlo_1887004

Anónimo dijo...

Muy interesante e instructivo post. Se trata de una gran guerra, con de momento un ganador, la NSA y el gobierno USA. Internet ahora mismo esta completamente dominado por la coorporaciones Norteamericanas, que a su vez asumen la legislacion de ese pais, asi es que todos asumimos su juego en mayor o menor medida, so pena de no usar Internet y de quedarnos aislados. Por otra parte el Internet neutral es algo dificil de imaginar en cuanto que su soporte material, su hardware, depende de coorporaciones o gobiernos, y estos son y serán los que pongan las condiciones de acceso. La refundación que planteas solo puede llevarse a cabo montando una infraestructura paralela, ¿pero quien pone los medios y el dinero para montarla y mantenerla?
Por otra parte el ciudadano común ha renunciado a la privacidad, nos da igual, los millones de cuentas de Facebook, Google, Whatsapp asi lo demuestran, preferimos la posbilidad de compartir a la posibilidad de proteger nuestra intimidad. Las wifi gratis son un ejemplo mas de ello, pocos con su smartphone se resisten a conectarse a ellas sin ningun pudor.

QaSaR dijo...

Probablemente, podriamos mirar atrás, los servicios de espionaje, las nuevas tecnologías, incluso aplicado a lo mas elemental de la vida como las leyes legales y morales han sufrido el mismo abuso que la "joven" internet en estos días. El hecho no es renunciar a ello, sino avanzar, investigar y proponer métodos para hacer un nuevo modelo, o simplemente acatar el modelo actual como hacemos con las leyes internacionales y las que rigen el mundo, en manos de corporaciones o grandes lobbys... pocos se preocupan de luchar contra ellas, vivimos resignados...
La opción sin duda aparecerá de las manos de los que no se rinden y buscan perseveran. Un dia surgirá una idea, un modelo nuevo, que nos llevará a abandonar el actual por ser demostradamente deficiente y en poder de quien no nos defiende. Puede que la primera idea fuera TOR, quizá el modelo o idea que se esconde tras de TOR no es tan descabellado a nivel global pero habrá que seguir investigando, buscando, solventando y mejorando, trabajando por y para ello, no rindiendose o negandose a seguir adelante...
Quien pondrá la primera piedra del nuevo modelo?

Sergio dijo...

Muy buen artículo.
Respondiendo a tu última pregunta, no creo que haya que refundar Internet, porque ellos tienen al menos los mismos conocimientos que los expertos y mil veces más dinero, así que por ahí no hay nada qué hacer.
Por lo tanto, habría que adecuarse a lo que hay, usando sistemas abiertos de cifrado fuerte para cualquier comunicación, aunque sea quedar con los amigos. Con esto, desbordaríamos quizás su capacidad de discernir la información útil para la NSA de la que no lo es (evidentemente, ahora están haciendo criba me imagino que más o menos manualmente, lo cual es su vulnerabilidad).

Unknown dijo...

Iepa Chema:

Como siempre, después de leerlo solo cabe decir que la entrada es excelente. Gracias.

Cuando salto todo este tema del PRISM, X-KEYSCORE y demas, los de la oficina nos miramos entre si pensando lo mismo: "Es que alguien lo dudaba?". Era mas que obvio.

Como experto en seguridad que eres Chema, no sospechabais que algo así se estaba ya haciendo antes de que saliese a la luz toda la parafernalia de la NSA?

Y para Justo, animo, no cejes en tu empeño de ser auditor. Precisamente ahora se necesitan mas que nunca.

Saludos.

Anónimo dijo...

Nosotros teniamos conocimiento de ello de forma no oficial, por amigos y conocidos que habian trabajado en algunas etapas de sus vidas en ISP´s.

También sabiamos hace muuuucho tiempo que algunas compañias de Software cooperaban con los Gobiernos de países en el mundo, no solo USA.

Lo peor de todo, desde mí punto de referencia, es que algunas Agencias de Seguridad posiblemente con la excusa de la seguridad de las personas han efectuado negocio y espionaje industrial, así como político, supuestamente para sacar ventaja de algo, o adelantarse a la jugada, y con el pretexto de que cualquier idea u acción para mejorar la economía era bienvenida para los políticos.
Lo que demuestra con argumentos de peso, parece ser, que los políticos son meras marionetas, las grandes Empresas son el verdadero poder, y la gente, puffs, la gente no existimos excepto cuando llegan las votaciones o los impuestos.

En mí pensamiento particular creo que ya nadie confia en nadie, o en nada.Pues si alguién me puede decir algo que garantize mí seguridad en las comunicaciones se lo agradecería.

Si una persona destaca en política, sacaran un informe de todos sus contactos, sus familias, lo que han navegado o visualizado, además de los mensajes de cuentas de correos electrónicos.

Internet is dead(death) ha muerto,
lo que ocurre es que la gente se ha acostumbrado a la facilidad de las redes, y a no reconocer o admitir los hechos, por que si lo reconocieran, solo la idea es terrorífica.

Os envio otro enlace de mí pequeño blog de ayuda gratuíto donde comento similares cuestiones interralacionadas.

Recuerde, cuando habrá determinados correos electrónicos, su propia cuenta o e-mail, en un lugar remoto, o un dispositivo está parpadeando con una lucesita, y eso significa que lo saben todo de usted.
Cuando navegue, mire el puerto de conexión, http, o 443, Los técnicos de redes conectados a su navegador saben lo que ve, escucha o percibe, tal vez simpatize o que le agrade.

Un amigo mío, me dijo el otro dia, que internet ya no es peligroso, sino criminal, donde muchos expertos abandonan la idea de la supuesta seguridad de investigación, pues todo está grabado con herramientas de poder por personas desconocidas, extrañas, o que no pertenecen a la seguridad legal y de garantias.

Un saludo, nos vemos. )
http://amigodlosdebiles.wix.com/noun#!nwo---nom/cgtr

Anónimo dijo...

Excelente post. Sinceramente un resumen extraordinario de todo lo que, lamentablemente, sucede.

Document.selectAll(foreach "Americano" or "americano" : replace with "Estadounidense");
:)

Anónimo dijo...

Pues si creo q debería haber un antes y un después en la historia d Inet a partir d conocerse q el protocolo HTTPS y otros protocolos básicos d Inet están comprometidos.

La pregunta es, le importa esto a alguien ¿? , lo digo pq parece q a la gente le importa un pimiento su privacidad a cambio d algún servicio + o - atractivo y así evidentemente no vamos a ningún lado.

Anónimo dijo...

ILLUMINATIS.

Anónimo dijo...

Muy interesante todo lo publicado en este blog Chema.
Respecto al tema que aquí se trata y la pregunta con la que finalizas, desconocedora de la informática y conocedora del uso de la misma por experiencia y vivencia personal, considero que pese a la dificultad de anonimato o pese a que desde que nacemos y nos registran estamos siendo controlados, el control requiere de control. Un descontrol puede repercutir seriamente a estados, organizaciones, instituciones, y lo más importante, a la persona. Por la seguridad de las personas. Alice.

Entrada destacada

Programa de Especialización "Inteligencia Artificial para Expertos en Ciberseguridad" 2ª Edición.

Hoy, en medio del verano, os traigo información de la 2ª Edición del   Programa de Especialización  de "Inteligencia Artificial para Ex...

Entradas populares