L'encisam| Mentides arriscades i sobre els governs que es deixen seduir per elles | |
Al setembre de 1999 el criptògraf Andrew Fernandes, mentre examinava el codi d'un pedaç de seguretat de Windows, va descobrir una etiqueta denominada NSAKEY i, a partir d'aquest moment, la polèmica estava servida. Com a conseqüència d'aquesta notícia, van aparèixer opinions en tots els idiomes i defensant totes les postures possibles, fins i tot qualificant aquesta notícia com un «hoax» (mentida difosa per Internet). http://www.quepasa.cl Sense esperar molt, el dia 3 de setembre de 1999 la NSA (Agència de Seguretat Nacional d'EEUU) i Microsoft van llançar un comunicat conjunt negant la notícia. A l'endemà, Microsoft va fer unes declaracions en el Washington Post indicant que l'etiqueta s'usava per a marcar que la clau en qüestió complia amb els estàndards tècnics de la NSA i que no es tractava d'una porta pel darrere. Però a moltes persones i governs, com és lògic, l'assumpte els va semblar inquietant. Amb independència de la polèmica, molts tècnics i experts en seguretat informàtica de tot el món, van començar a témer que realment hagués una aliança entre Microsoft i la NSA. De fet, sembla quelcom una mica temptador i plausible si tenim en compte que aquest sistema operatiu, o el conjunt dels productes de Microsoft, representen gairebé un monopoli mundial i estan presents en més del 97% dels ordinadors de tot món. Per a fer-lo més plausible encara, n'hi ha prou amb revisar les referències històriques relatives als esforços dels EUA per a aconseguir informació d'intel·ligència per tots els mitjans possibles. Com mostra podem fer referència a la cara, compartida i sofisticada xarxa Echelon, tan negada en el seu moment pels governs participants i especialment pels EEUU, quan ara sabem que és una cosa molt real i tangible. http://altavoz.nodo50.org/echelon2000.htm. No hi ha dubte que una porta pel darrere en els productes de Microsoft, si es pogués controlar a voluntat, seria una cosa molt temptadora per a qualsevol govern. La seva existència representaria una forma econòmica, segura, eficaç i ràpida d'obtenir qualsevol tipus informació d'intel·ligència procedent de qualsevol part del món. Fins i tot es podria pensar en la possibilitat de controlar remotament sistemes informàtics i amb això, els equips o les instal·lacions associades, sense necessitat de moure's de casa. Recordem també que les portes pel darrere no estan restringides als productes de Microsoft i la seva existència, amb una o altra finalitat, ja han aparegut en algunes aplicacions informàtiques, per la qual cosa aquest inquietant fet no es pot considerar com una mica improbable. Alguns governs, conscients de l'enorme risc que podria suposar l'existència de portes pel darrere per als sistemes que contenien informació sensible, van decidir prendre mesures urgents sense necessitat d'esperar a més confirmacions ni debats. En la presa de decisions, al marge de la possibilitat més o menys certa que existissin portes pel darrere, també influeix el fet palpable que productes de Microsoft presenten altres problemes de seguretat igualment greus. Els virus o els troyanos, per exemple, són fonts de molts problemes i motiu freqüent de greus pèrdues econòmiques per als usuaris, el que és un problema addicional en els sistemes crítics. Un dels primers països que va donar el pas per a eliminar els productes de Microsoft dels llocs sensibles, va ser Alemanya. Aquest país, de forma intel·ligent i en un temps rècord, va elegir GNU/Linux com una alternativa lògica, madura i segura als seus problemes de seguretat. Altres països, com Xina per exemple, van mostrar la seva preocupació per la possibilitat que es pogués accedir a la informació continguda en els seus sistemes governamentals i posteriorment van prendre mesures diverses. Però el més significatiu i sorprenent, és que fins els EUA, conscients de la possible inseguretat i dels problemes relacionats amb els productes de Microsoft, van decidir usar sistemes de font oberta en els seus sistemes sensibles i especialment en els relacionats amb la defensa nacional. Això ho van fer al marge de la possibilitat de les portes pel darrere, ja que en teoria les controlaven ells. En un intent d'eliminar aquests dubtes raonables i raonats fins la sacietat sobre la seguretat dels seus productes i recuperar així, part de la seva deteriorada imatge de seguretat, Microsoft, entre altres mesures, va dissenyar un projecte de compartició de codi que es va denominar GSP (Government Security Program). Segons aquest projecte, Microsoft permetria, als països interessats en això, l'accés controlat i autenticat a part del seu codi font. Recentment part del codi de Windows s'ha filtrat i penja en Internet. Microsoft defensa la necessitat de no mostrar codi perquè ningú, que conti amb els coneixements adequats, pogués atacar-lo i explotar les vulnerabilitats que trobés, cosa que és lògica ja que el model de desenvolupament de l'empresa és tancat i no colaborativo. La compartició d'aquest codi s'ha criticat durament i en moltes ocasions, per experts de seguretat de tot el món i a la vista del desenvolupament posterior dels fets, hem de pensar que aquestes crítiques haurien d'haver-se tingut en compte per més governs. La iniciativa GSP ha estat considerada pels experts de dubtosa eficàcia, perillosa i poc rendible per als governs que la poguessin subscriure. A qualsevol expert en informàtica se li ocorren moltes tècniques perquè la revisió del codi font d'un programa reveli el que no interessa. En aquest cas, és més senzill ja que s'estableixen limitacions a l'accés i no es controla tot el procés de generació del codi executable, que inclou el codi font de les llibreries i compiladors, o la possibilitat de generar, executar i provar el programa de forma local. Aclarim que la proposta de Microsoft no té gens que veure amb el programari de font oberta, o amb el programari Lliure, encara que Microsoft ha intentat vendre algunes similituds per a major confusió dels usuaris. Un dels països que es va prestar a la maniobra de Microsoft va ser Espanya i el CNI (Centre Nacional d'Intel·ligència) ha obtingut accés recent al codi font incomplet dels productes de Microsoft. Si tenim en compte que l'administració espanyola manté sistemes i programes de Microsoft des de la versió 95 a la versió XP, podem pensar que el CNI té un treball de titans ja que cada versió té milions de línies de codi font. No hi ha dubte que la responsabilitat assumida és gran. Si el CNI no és capaç de trobar portes pel darrere, o falles de seguretat que poguessin ser explotades, o si els troba, no els publica i els usa en benefici propi, estaria creant una falsa sensació de seguretat altament perillosa. Però com veurem seguidament, les portes pel darrere encara que hi haja en els executables, no es trobaran pel CNI, ni per ningú que accedeixi a codi font de Microsoft. Per a desgràcia del nostre govern i el CNI, en el CiberPaís del 12 de Febrer de 2004 hi ha una aclaridora entrevista amb un eminent expert en seguretat informàtica, que ha treballat en ocasions per a Microsoft. Es tracta d'Hugo Scolnik, una persona madura i de prestigi internacional, que és Doctor en matemàtiques per la Universitat de Zurich (Suïssa) i consultor de la Unesco. Scolnik que ha col·laborat en la Llei de Signatura Digital d'Argentina, país en el qual resideix, també ha desenvolupat projectes de criptografia i seguretat, per als principals bancs d'aquest país. Aquesta persona, sobre la qual no cap cap dubte de la seva honestedat i que gaudeix de prestigi internacional, ha contestat a algunes preguntes de la periodista del CiberPaís i entre elles, hi ha dues molt significatives, que aclareixen molts dubtes i que impliquen la presa d'accions immediates pels responsables de seguretat de molts països i empreses. Periodista: No són els Governs qui volen controlar als ciutadans i conèixer la clau d'accés al xifrat? Scolnik: La política d'EEUU durant molt temps ha estat tractar que no hagués criptografia forta per a les persones comunes. Vam discutir moltíssim amb autoritats d'EEUU tant pel projecte que vam fer amb Microsoft com amb el FBI i altres agències. La meva posició particular és que la gent perillosa té accés a la criptografia forta. Periodista: Tenen porta pel darrere? Scolnik: Nosaltres hem fabricats mètodes que no passen pel control de cap Govern. Quan treballàvem amb Microsoft, amb cada canvi havíem d'enviar el codi font a la NSA, on ho compilen i afegeixen el que volen i després torna com producte que nosaltres distribuïm. No sé què és el que van posar. En paral·lel s'han fet molts mètodes sense porta pel darrere, una cosa que és molt important per a assegurar la privacitat de les persones. Aquestes afirmacions són bastant clares, es corresponen a sospites que ja es tenien i representen un motiu suficient com perquè es prenguin mesures urgents per part dels particulars, empreses, governs i administracions que usen programari de Microsoft. Analitzem la situació. Està clar que el programa de GSP (Government Security Program) és una fal·làcia, és inútil i representa una pèrdua de temps i esforços. Esforços que es podrien dedicar a millorar i adaptar els programes de fonts obertes a necessitats específiques dels governs i institucions. Els motius són obvis: 1) El problema no està en el codi font de Microsoft ni en el de cap de les aplicacions que corren sobre els sistemes operatius d'aquesta empresa, està en l'executable modificat per la NSA, que és el que li arriba a l'usuari. Això implica que lluny de veure el codi font, el que cal fer és desassemblar el que s'executa, el que no sempre és senzill ni viable. 2) A la llum de les declaracions de Scolnik, l'àmbit de recerca s'amplia a qualsevol de les aplicacions que s'executen sobre els distints sistemes operatius de Microsoft i no serveix de res disposar del codi font de Microsoft o els seus socis tecnològics per a poder comprovar-ho. Aquesta és la maniobra perfecta d'intel·ligència, es permet l'accés a la criptografia forta als usuaris i es crea un fals clima de seguretat. Quan els sistemes tenen la informació que es desitja, s'accedeix a ella, ja sigui mitjançant portes pel darrere, claus mestres, o explotant vulnerabilitats no publicades. Per si fora poc, aquest programari a més dels problemes i incerteses de seguretat que crea, pels costos associats suposa una enorme sagnia econòmica per a les empreses i les administracions que l'usen, el que contribueix, amb xifres astronòmiques, al desequilibri de la balança de pagaments de molts països amb els EEUU, és el cercle perfecte. És curiós que s'intenti aconseguir el dèficit zero, però no es prenguin en compte altres mesures per a aconseguir-lo. Les conclusions són molt clares. Espanya no hauria d'haver entrat en el perillós joc de Microsoft. Aquesta empresa, encara que no ha mentit mai, no ha contat tota la veritat sobre el que s'executa en els ordinadors. És cert que el seu codi font no té portes pel darrere i que està intentant millorar la seguretat dels seus programes, però de la resta no diu gens i el que no ens creiem, ens costa molt provar-lo. El Centre Nacional d'Intel·ligència no deuria fer-li el joc a una empresa privada estrangera, col·laborar amb ells en la millora de la seguretat dels seus productes i al mateix temps, crear falses expectatives de seguretat en els ciutadans, en l'administració, o en les empreses. No entrarem en l'anàlisi del cos legal aplicable en aquest cas, que està bastant clar i és prolix pel que fa a la protecció de la informació i la intimitat dels ciutadans. De moment, ens n'hi ha prou amb recordar un article de la nostra Carta Magna: Article 18. 1. Es garanteix el dret a l'honor, a la intimitat personal i familiar i a la pròpia imatge. 2. El domicili és inviolable. Cap entrada o registre podrà fer-se en ell sense consentiment del titular o resolució judicial, salvo en cas de flagrant delicte. 3. Es garanteix el secret de les comunicacions i, especialment, de les postals, telegràfiques i telefòniques, excepte resolució judicial. 4. La llei limitarà l'ús de la informàtica per a garantir l'honor i la intimitat personal i familiar dels ciutadans i el ple exercici dels seus drets. No hi ha cap dubte en la interpretació d'aquest clar article i és desitjable que els responsables governamentals prenguin consciència d'aquests problemes i siguin capaços de prendre les mesures adequades, de forma que l'article 18 de la Constitució Espanyola es compleixi en tota la seva dimensió. No es poden anteposar els drets bàsics dels ciutadans als interessos d'una empresa estrangera, o les maquinaciones d'altres governs, encara que siguin amics. Si no es fa així, es poden derivar conseqüències negatives per a la Seguretat Nacional, per als interessos econòmics de la nació i evidentment, no es garantiran les llibertats fonamentals dels ciutadans contingudes en la Constitució. Afortunadament hi ha una alternativa, segura, ràpida, eficaç i econòmica a aquest i altres molts problemes relacionats amb el programari. Es tracta d'una alternativa altament recomanada i debatuda en fòrums de reconegut prestigi internacional. La solució es diu Programari Lliure, o Programari de Fonts Obertes i és possible que acabi declarant-se com Patrimoni de la Humanitat. Aquest és programari que no està controlat per cap empresa o govern, permet un control absolut del que s'està executant en un ordinador i permet corregir, si fos necessari, qualsevol fallada de seguretat que es pogués presentar. Per les seves virtuts, el Programari Lliure s'està usant amb un gran èxit en molts llocs i totes les experiències indiquen que és desitjable el seu ús a tots els nivells i especialment, en les aplicacions en les quals les necessitats de seguretat són màximes. Pot ser que no sigui necessari ni aconsellable recórrer a la confirmació que existeixin o no portes pel darrere en el programari de Microsoft, la simple sospita d'això, deuria bastar per a prendre les mesures adequades, com li va bastar a Alemanya en el seu moment. Que no es pugui demostrar l'existència de portes pel darrere, o que no es puguin trobar, pot ser que no siguin motius suficients per a no tenir en compte tal possibilitat. Per si no fos poc, tots els indicadors, inclosos els econòmics i els socials, marquen que el Programari Lliure és el camí a seguir i així s'està assumint en molts llocs. Hem d'anar pensant a instal·lar Programari de Fonts Obertes en tots els nostres sistemes de l'Administració i especialment, els relacionats amb la Seguretat Nacional, si volem estar segurs que ningú accedeix a les nostres dades i que les garanties constitucionals estan salvaguardades. De la mateixa manera, el Ministeri de Ciència i Tecnologia hauria de prendre consciència d'aquest assumpte i les seves conseqüències negatives, i iniciar campanyes institucionals recomanant als particulars i les empreses la necessitat de millorar la seva seguretat. Pot ser que la millor forma de fer-lo sigui recomanant i fomentant l'ús de Programari Lliure. Dades de l'autor Fernando Acer Martín és Analista de seguretat informàtica de l'Observatori de Vot Electrònic (OVE), membre de la comunitat de programari lliure i coautor del Manual d'Usuari de Linex. © copyright - Fernando Acer (Febrer 2004) Es permet reproduir i distribuir aquest article sense modificar i indicant l'autor del mateix. |
|
| puja |