Llamada a la Acción: Internet Debería Convertirse en una Zona Desmilitarizada

¿Cuál es la diferencia entre un misil nuclear y un  malware?

No es una pregunta con trampa -el malware puede tener la misma importancia táctica que un misil, pero un misil no puede usarse para destruir un malware. Con las herramientas adecuadas, un misil puede ser desviado por un malware, pero el fuego no puede desviar al software infectado una vez que éste está activo.

A diferencia del armamento tradicional, el malware puede replicarse a sí mismo hasta el infinito. Y mientras que un misil puede ser controlado de algún modo, el malware suele atacar indiscriminadamente: nadie sabe a quién le hará daño, ni las formas en que el malware puede llegar a un destino. En las inescrutables trayectorias de la web, tan pronto como algún “black hat” (también conocido como hacker de sombrero negro) pone en marcha un programa malicioso para ganar dinero fácil, cualquier cosa puede pasar. Es imposible calcular qué efecto tendrá, qué partes se verán afectadas por el accidente y como incluso el boomerang puede de nuevo dañar a sus creadores. Las personas tienden a cometer errores en todo lo que hacen, y escribir código de programación, malicioso o no, no es la excepción. Existen numerosos ejemplos de este tipo de “daño colateral”- puedes leer mi antiguo post acerca de las fortunas de Internet.

Por lo menos estamos viendo algunos esfuerzos conjuntos para combatir a los cibercriminales.

La industria de seguridad está metiendo presión sobre los cibercriminales, y los “peces gordos” como Microsoft se están sumando a la causa. Otras organizaciones no comerciales e intergubernamentales se están uniendo también. Los gobiernos están empezando a entender que Internet puede ser una “autopista al infierno”, y están despertando y tomando conciencia sobre la necesidad de hacer algo al respecto, así que nosotros estamos viendo algo de progreso.

Sin embargo, yo estoy más preocupado por otro aspecto de la seguridad en internet. Los trucos de un cibercriminal son insignificantes comparados a una guerra cibernética a gran escala. Sí, estás leyendo correctamente -¡Una ciberguerra! Aquí es donde las cosas se complican y se vuelven oscuras.

Aquí están los hechos.

En primer lugar, las fuerzas militares de diferentes países están ocupadas creando unidades cibernéticas especializadas y “forjando” ciber-armas (la lista de ejemplos: cibercomando de EE.UU., India, Reino Unido, Alemania, Francia, la Unión Europea, la OTAN, China, Corea del Sur y Corea del Norte).

En segundo lugar, los casos de espionaje industrial y los actos de sabotaje son muy conocidos (véase las noticias acerca de altos perfiles de ataque con naciones detrás como Stuxnet y Duqu).

En tercer lugar, las noticias acerca de ataques cuidadosamente planificadas están siendo reveladas a un ritmo alarmante (bueno, nosotros tenemos la sensación de que los malos están detrás de todo esto).  Un nuevo término incluso se ha acuñado para ello: Advanced persistent threat (APT).

No hay duda de que todo esto es sólo la punta del iceberg. Cada vez que descubrimos un nuevo programa malicioso, estilo Stuxnet, resulta que:

• El malware fue descubierto por un error o un accidente.

• El programa malicioso ha estado silenciosamente en varias redes desde hace algún tiempo y nosotros sólo podemos adivinar lo que ha estado haciendo allí.

• Muchas de las características técnicas del malware -y las motivaciones de su creador-, siguen siendo un misterio.

¿Puedes ver a dónde voy con esto?

Evidentemente, “nos encontramos sentados sobre un barril de pólvora”, que está socavando toda la base sobre la que se apoya Internet, y todas las infraestructuras del mundo. Las fuerzas militares están transformando gradualmente Internet en un gran campo de minas.La simple pulsación de un botón puede potencialmente desatar un caos de tal magnitud que todos quedaríamos afectados. El toque de un botón equivocado podría llevar a que todo se detuviese -no sólo los ordenadores. La reacción  en cadena podría “desencadenar” cosas en el mundo real, al igual que en el virtual –tal vez, centrales nucleares. Un conflicto en la red podría convertirse rápidamente en un conflicto militar. No es una exageración que los E.E. U.U. compararan los ataques de los hakers con una invasión -ellos claramente entendieron las posibles consecuencias. Y cuanto más profundo miramos, más espeluznante se vuelve.

Se pone peor. Este malware, militarizado o no, tiene errores de código. Una mosca aterrizó por accidente en el teclado de un programador, era viernes por la tarde y las pruebas no se hicieron correctamente, cualquier cosa podría pasar. Un  error típico en el software tradicional por lo general tendría un efecto controlable -la mayoría de los sistemas de ordenadores se colapsarían, una turbina de energía se detendría o, en el peor de los casos, algo, en algún lugar se derrumbaría. En el caso de un misil convencional guiado es probable que éste explote a destiempo o en el lugar equivocado.

Pero con la nueva oleada de malware militar, un error puede producir consecuencias verdaderamente catastróficas. ¿Y qué pasa si el código malicioso busca no sólo el objetivo previsto, sino todos los objetivos similares alrededor del mundo? ¿Cómo distinguiría el objetivo real y el no deseado? Si el malware buscara una estación [nuclear] concreta, pero terminara golpeando a todas las centrales [nucleares]  ¿Entonces, qué? Internet no tiene fronteras, y la mayoría de las centrales están construidas con bajos estándares de seguridad. Incluso si fuese un solo objetivo, el número de víctimas potenciales puede ser mucho más grande -y podría llegar a cualquier parte del mundo.

Espero sinceramente que no se esté produciendo algo como Casandra aquí, como fue el caso del gusano autopropulsado y los ataques dirigidos a proyectos industriales. Me gustaría MUCHO estar equivocado.

Este malware militar está respaldado por profesionales de primera categoría, generalmente financiados, y con acceso a poderosos recursos técnicos y materiales. Sin esto, ¿cómo crees que alguien podría personalizar Stuxnet para atacar los ‘reactores’ iraníes?  Entonces tenemos la llave de oro para los certificados digitales, que actualmente garantizan la confianza en la web (otra señal de alarma, por cierto).  Yo sólo puedo adivinar que las ciber-armas están preparadas y listas para usarse, pero el futuro no parece muy prometedor. Toda la zona “está más allá del control la sociedad” –esto es casi una anarquía donde todo el mundo hace lo que le da la gana. Como nos muestra Stuxnet, la comparación de los misiles sigue teniendo sentido -el malware puede causar el mismo resultado que un arma de guerra convencional. 

Aunque, hay una diferencia.

Cualquier arma, especialmente armas de destrucción masiva, junto con la tecnología nuclear en general, son más o menos controladas y reguladas, al menos en teoría. La ONU tiene La Agencia de la Energía Atómica, existe un sistema de acuerdos internacionales de no proliferación y el Consejo de Seguridad de la ONU, reacciona fuertemente ante cualquier intento de ingresar en el “club nuclear” (como descubrió a Irán). Por supuesto, la política, los tapujos, y la doble moral juegan un papel importante, pero eso no tiene nada que ver con la idea que estoy describiendo aquí.

Y la idea es la siguiente.

Considerando el hecho de que la paz y la estabilidad mundial dependen fuertemente de internet, es necesario crear una organización internacional con el fin de controlar las cyber–armas. Una especie de Agencia Atómica Internacional, pero dedicada al ciberespacio. En un mundo ideal, lo mejor sería duplicar las estructuras de seguridad que ya tenemos, y aplicarlas al ciberespacio. En particular, nosotros deberíamos considerar el uso de las cyber-armas como un acto de agresión internacional y ponerlo al mismo nivel que el ciberterrorismo.

Idealmente, la forma correcta de hacer esto sería proclamar Internet como una zona no militar –un tipo de cyber-Antártida. Yo no estoy seguro si este tipo de desarme es posible. La oportunidad ya se ha perdido, las inversiones hechas, las armas producidas, y la paranoia ya está aquí. Pero las naciones al menos necesitan estar de acuerdo con las reglas y controles con respecto a la cyber-armas.

Me doy cuenta de que la aplicación de esta idea no será nada fácil. La sociedad todavía piensa en los ordenadores e Internet como una realidad virtual, juguetes que nada tienen que ver con la vida real. ¡Qué gran error!  ¡Internet es una parte importante de la realidad del día a día! Y he señalado anteriormente las consecuencias que esta actitud benévola puede traer. Este tema ya ha sido objeto de debate desde hace varios años en los círculos de los profesionales de seguridad. Yo sólo soy el primero en hacerlo público.

Y por favor, ¡Recuerden la primera y más importante regla de seguridad!

—¡No maten a Casandra! ¡Por favor! —