Hoy reproducimos un  artículo que apareció publicado originalmente el 13.08.2009 en “Una al día“, boletín dedicado al mundo de la seguridad informática y publicado, desde hace más de 10 años, por Hispasec Sistemas. Todo un clásico del sector.

Kudos a Bernardo Quintero, miembro de Hispasec y autor del artículo, y a José Luis Gordo Romero, por reenviarlo al resto de Negonators.

A medio camino entre la realidad actual y lo que nos puede deparar el futuro, una excelente lectura para un fin de semana de verano.

Que lo disfruten.

“Su concepto de refugio de datos es bueno pero tiene limitaciones importantes. ¿Qué pasaría si el gobierno de Filipinas corta su cable?  ¿O si el buen sultán cambia de opinión, decide nacionalizar todos sus ordenadores y leer todos los discos? Lo que se precisa no es UN refugio de datos sino una RED de refugios de datos; es más robusto, de la misma forma que Internet es más robusta que una única máquina.

Firmado El Almirante Isoroku Yamamoto”

Supongo que algunos habéis reconocido ese mensaje dirigido a randy@tombstone.epiphyte.com, uno de los personajes de Criptonomicón (1999), la célebre novela de Neal Stephenson. Otros lo habréis recordado ahora, no es que tengáis mala memoria, es que la obra es tan extensa como buena. Para los que os siga sin sonar la obra, apuntadla como pendiente si no os asusta la lectura densa, a cambio tendréis buenas dosis de humor e ironía inteligente.

Una de las tramas de Criptonomicón gira alrededor del objetivo de la empresa de Randy de montar un paraíso electrónico, similar a un servicio en Internet, donde se asegurará la privacidad y el anonimato de los datos fuera del alcance de gobiernos y terceros: la Cripta. Por descontado no aparece en la obra ninguna referencia al esnobismo de actualidad, pero es una de las muchas cosas que se me vienen a la cabeza cuando se habla de seguridad en la nube o cloud computing.

Por ejemplo, el tema que preocupaba al almirante Isokuro Yamamoto está vigente cuando se tratan aspectos del cloud computing relativos al hospedaje de los datos, su regulación y legislación aplicada dependiendo de la localización geográfica de los servidores que sustentan el servicio, así como aspectos relacionados con la integridad, disponibilidad, o recuperación en caso de desastre.

Otros de los puntos del cloud computing que suele ser motivo de discusión está relacionado con la privacidad y el anonimato, asunto que forma parte del eje central de Criptonomicón con múltiples referencias a la criptografía y que en la novela llevan a niveles de mucha mayor exigencia que en las soluciones actuales en la nube, que básicamente se preocupan en proporcionar seguridad web estándar extremo a extremo. En la Cripta tus datos viajan y se almacenan de forma cifrada, de forma que ni el proveedor del servicio puede tener acceso a ellos, e incluso se abordan temas como el anonimato en las transacciones.

Hay otro aspecto fundamental de la seguridad que no suele ser objeto de las discusiones bizantinas sobre la nueva generación de servicios en la nube: la autenticación. Es un tema muy trillado en seguridad, y que de momento se suele salvar en los servicios generales basados en cloud computing con el mecanismo más básico: usuario y contraseña de toda la vida.

El acudir a este sistema tan simple de autenticación tiene cierto sentido si tenemos en cuenta que una de las ventajas del concepto de los servicios para masas basados en la nube es la posibilidad de acceder a tus datos y aplicaciones en cualquier momento, desde cualquier lugar, desde cualquier dispositivo. Tu correo, tus documentos, tu agenda, tus bases de datos… desde el puesto de trabajo, el ordenador de casa, desde el móvil en la playa, desde cualquier cosa que tenga navegador y conexión a Internet. Ello implica que el sistema de autenticación debe ser global y estándar, aplicable por cualquiera en cualquier dispositivo. No, de momento no puedes meter tu eDNI en el iPhone, y en todo caso sería sólo aplicable por los españoles que dispongan de él, no es una solución global.

En Criptonomicón, durante una demo a posibles inversores de Epiphyte Corp, la solución era:

“Yo puedo escribir el mejor software criptográfico del mundo, pero sería inútil a menos que haya un buen sistema para verificar la identidad del usuario. ¿Cómo sabe el ordenador que tú eres tú? Las claves son muy fáciles de averiguar, robar u olvidar. El ordenador debe saber algo sobre ti que sea tan único como las huellas digitales. Básicamente debe mirar alguna parte de tu cuerpo, como por ejemplo la disposición de vasos sanguíneos en la retina o el sonido distintivo de tu voz, y compararlo con los valores almacenados en su memoria. Ese tipo de tecnología se llama biométrica. Epiphyte Corp. dispone de uno de los más importantes expertos en biométrica del mundo: el doctor Eberhard Föhr, que escribió el que se considera el mejor programa de reconocimiento de escritura manual del mundo. Ahora mismo tenemos reconocimiento de voz, pero el código es totalmente modular, así que lo podríamos cambiar por otro sistema, como un lector de la geometría de la mano. El cliente puede elegir.”

Tal vez en el futuro veamos un despliegue masivo de soluciones biométricas como factor de autenticación complementario al usuario y contraseña, ya es usual ver lectores de huellas en algunos ordenadores portátiles, y también se están produciendo movimientos más que interesantes en la telefonía móvil: reconocimiento de caras (vFace), del iris (OKI Iris Recognition Technology for Mobile Terminals), terminales con pantalla táctil que pueden leer las huellas (Asus M53), y diversas tecnologías de reconocimiento de voz.

Mientras tanto parece que no nos quedará más remedio que seguir con los usuarios y contraseñas en los servicios web para masas desplegados en la nube, más expuestos a sufrir ataques que en cualquier otro servicio que utilice este mecanismo de autenticación. Si alguien quiere forzar el usuario y contraseña de inicio de tu ordenador, o el pin de tu móvil, requiere acceso físico (los potenciales atacantes se reducen a las pocas personas que te rodean), si bien cualquiera puede probar a adivinar tu contraseña de correo web (el usuario es público, está en tu dirección de correo, y el servicio espera que te puedas conectar desde cualquier lugar del mundo). Eso sin hablar de la cantidad de malware especializado en robar credenciales de autenticación web.

Así que la próxima vez que accedas a tu cuenta en Gmail pregúntate quién más está viendo tu correspondencia, tal vez entonces te animes a cambiar la contraseña regularmente.  Hasta el más pintado se puede llevar un disgusto, que se lo digan a Dan Kaminsky.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3946/comentar

Bernardo Quintero

Este mes de Septiembre tenemos el placer de presentar a Manuel José Lucena López como nuevo blogger invitado. Manuel es Doctor en Informática de la Universidad de Jaén, experto reconocido en criptografía y colaborador habitual de Kriptópolis. Su libro Criptografía y Seguridad en Computadores (electrónico, gratuíto, licencia Creative Commons) es todo un clásico, una obra de referencia utilizada en docenas de universidades y por miles de estudiantes que dan sus primeros pasos en este mundillo.

Manuel apostó por Negonation desde el principio. De hecho, es uno de los primeros negonators. En el 2004, cuando el proyecto no era más que un cúmulo abstracto de ideas, nos reuníamos el primer sábado de cada mes en Madrid, en una sala que nos dejaba la gente de la Biblioteca de las Indias Electrónicas. Los colaboradores venían de toda España y Manuel, desde Jaén, cada Sábado, tras una paliza de tren. En la actualidad, Manuel trabaja en el algoritmo de verificación de certificados X.509 de nuestra Autoridad de Validación. Una tarea matemática y de detalle que le viene como anillo al dedo y cuyo resultado haremos software libre.

Sin más preámbulo, maestro, bienvenido al blog. El post nº 50 es todo suyo…

Cualquiera que haya estado en Londres reconocerá inmediatamente el famosísimo aviso de las estaciones de metro, cuyo propósito es recordarnos que hay que tener cuidado con el hueco existente entre el andén y los vagones. En Informática ocurre algo muy parecido: tenemos que desenvolvernos en varios planos, y tener en cuenta los “gaps” que hay entre los mismos.

Siempre que queremos resolver un problema mediante el uso de computadores, tenemos necesariamente que movernos en tres universos diferentes, cada uno de ellos con sus propias reglas: en primer lugar está el mundo real, el de toda la vida, que es donde habitualmente surge el problema; no menos importante es el mundo abstracto, lugar donde residen los formalismos matemáticos (normalmente algoritmos) que permiten construir el software necesario; y finalmente tenemos el mundo de electrones, cables, bits, memorias, buses y demás componentes electrónicos de la computadora en sí, que da soporte a los algoritmos, a la vez que permite crear representaciones de los problemas y sus correspondientes soluciones legibles desde el mundo real. De nada nos sirve, por ejemplo, diseñar un algoritmo de gran belleza, matemáticamente elegante e impecable, si luego el soporte físico donde debe correr -la computadora- no es capaz de ejecutarlo de manera práctica.

La firma digital es una de esas aplicaciones en las que estos tres planos interaccionan de una manera más fascinante y donde, a la vez, los “huecos” entre cada plano resultan más evidentes. Esto explicaría muchas de las dificultades que han experimentado diversas aplicaciones de firma digital, a la hora de llegar al gran público.

Cuando alguien firma un documento al modo tradicional, produce una marca que es fruto de la interacción del bolígrafo o pluma con el papel, y que responde a las características biomecánicas de su brazo. Estas características pueden ser analizadas por un grafólogo con objeto de detectar una falsificación. Pero no nos engañemos: una firma puede falsificarse. Lo que ocurre es que sabemos que la probabilidad de conseguirlo es baja, y hemos aprendido a aceptar ese riesgo (igual que otros muchos), lo cual nos permite dormir por las noches sin demasiados problemas.

Una firma digital debe ser analizada en los tres planos antes mencionados. En el de las matemáticas, podemos afirmar que disponemos de técnicas que aportan un nivel de seguridad extraordinariamente alto, por lo que los riesgos que aparecen a ese nivel son prácticamente nulos. Sin embargo, la cosa se complica (y mucho) si queremos construir una solución “real”, para el mundo real. De hecho, cuando yo firmo digitalmente un documento, en realidad es la computadora la que hace los cálculos, limitándose mi papel a la aportación de alguna prueba (contraseña, dispositivo, etc) que acredite mi identidad. Y el proceso de aportar dicha prueba, desde que sale de mí hasta que llega a plasmarse en la secuencia apropiada de bits dentro de la memoria del ordenador, puede convertirse en un auténtico campo minado. Recorrerlo de una manera que sea absolutamente segura es del todo imposible, pero estoy convencido de que, si se hace de forma apropiada, los riesgos pueden reducirse muy por debajo de los que presenta la firma tradicional.

El proyecto Tractis me ha enseñado la tremenda importancia que tiene salvar correctamente todos los “gaps” que hay entre la firma digital, entendida desde el punto de vista matemático, y la firma digital entendida como aplicación para los usuarios del mundo real. Escuchando a los miembros del equipo me he dado cuenta de lo complejo que puede resultar hacer las cosas sencillas y útiles a la vez para la gente. Desconozco si al final esta aventura tendrá éxito, pero puedo afirmar, al más puro estilo hollywoodiense, que si alguien puede conseguirlo, son ellos.

Julian Inza se estrena como uno de nuestros primeros bloggers invitados. Julian es un experto reconocido en seguridad y firma digital. Posee un curriculum impresionante que podría resumirse como “inventó el sector de la firma digital en España”. En 1995 diseñó la primera Autoridad de Certificación de nuestro país y posteriormente ha estado involucrado en casi todas las demás (Banesto, FESTE, Camerfirma…) directamente o como asesor. Ha sido Senior Vicepresident de Mobipay International y pionero en casi todas las iniciativas de banca electrónica (Banca virtual, TPV virtual, Banca WAP, Cibertienda (licencia GPL), SET Fácil, tarjetas virtuales prepago…).

En la actualidad es Director General de Albalia Interactiva, Coordinador del Foro de Evidencias Electrónicas y Profesor del Instituto de Empresa. Mantiene su propio blog: “Todo es electrónico” y le gusta el Ska.

Ha sido y es un placer trabajar con él y con Fernando Pino de Albalia. Es difícil imaginar otras personas con más conocimientos sobre firma digital y al mismo tiempo con más ganas de aprender cosas nuevas.

La Directiva 1999/93/CE de Firma Electrónica indica desde hace 7 años que una firma electrónica con ciertos requisitos equivale a una firma manuscrita, pero que sin esos requisitos también tiene efectos jurídicos.

Hasta este momento, todas las implementaciones de sistemas que admitían firma electrónica y especialmente las que utilizaban soporte transaccional, como los trámites de la AEAT o cualquiera de los Registros Telemáticos de las Administraciones Públicas, limitaban (ilegalmente) los certificados utilizables en la firma electrónica a los emitidos por unos pocos Prestadores de Servicios de Certificación. Es decir, además de que hay pocos entornos donde utilizar la firma electrónica, están mal implementados.

Estoy orgulloso de anunciar que Tractis acaba con esta situación y, en alguna medida, gracias a la colaboración de Fernando Pino y a la mía propia. Agradezco a David Blanco que haya confiado en Albalia Interactiva y nos haya permitido desarrollar nuestras ideas de lo que debe ser una correcta implementación de la Firma Electrónica en este proyecto.

Aunque la facilidad de uso es uno de los elementos esenciales del Proyecto, la realidad es que detrás de ella se esconde una infraestructura que implementa conceptos como “Firmas Completas” ES-C que se definen en el estándar TS 101 903, o el reconocimiento automático de Prestadores de Servicios de Certificación con plenas garantías.

El reto no es trivial. El Portal para la Sociedad de la Información de la Comisión Europea publica la información a la que se refiere el artículo 11 de la Directiva. Según ese artículo, los Estados miembros indican la forma de conocer todos los Prestadores de Servicios de Certificación que operan en su ámbito. Hasta hace 2 meses, no figuraban, por ejemplo, datos sobre España, a pesar de que el Ministerio de Industria, Turismo y Comercio publica en su web una relación de PSC que han comunicado sus datos según lo previsto en la Ley 50/2003 de Firma Electrónica.

De modo que, en este momento, Tractis es la solución, en cualquier categoría, que más autoridades de certificación acepta, sin menoscabo del nivel de seguridad que se debe exigir a un prestador de servicios de la sociedad de la información de este tipo. Además el sistema es flexible y permite incorporar a nuevos prestadores de forma sencilla. Incluso puede extenderse para dar soporte a firmas basadas en PGP si las partes se reconocen en esta modalidad de identificación, aunque no sea la mejor considerada desde un punto de vista legal.

Por otro lado, la inclusión de la información de tiempo y validación en la firma electrónica, crea una evidencia digital a largo plazo que será bienvenida por los usuarios si tienen que ejercitar sus derechos con los servicios de tercero de confianza de Tractis mucho tiempo después de que tuviera lugar la firma del contrato, e incluso en entornos litigiosos convencionales.

No puedo ocultar mi orgullo al presentar a la criatura en estos momentos en los que está a punto de ver la luz de forma oficial, momento en el que me sumaré a todos los “parturientos” de Negonation deseando la mayor felicidad al ver crecer a su vástago informático a esta familia de innovadores.

En Yahoo! ocurrió algo parecido: la idea original era algo así como ayudar a las personas a localizar sitios en una red cada día más grande, mediante el desarrollo de un catálogo. La persecución de ese ideal convirtió a Yahoo! en lo que hoy es, una empresa muy rentable a la que, de hecho, le queda muy poco de catálogo. Lo mismo ocurre con los eBay, Skype o incluso Napster: la primera idea era solucionar un problema, satisfacer una necesidad, crear una plataforma… el negocio, cuando lo hubo, vino después. Son empresas que crearon desarrollos de los que muchas otras personas o entidades se beneficiaron para sus actividades, negocios o placeres, auténticos creadores de ecosistemas generados en torno a un ideal.

Dame un punto de inicio, la idea, y un desarrollo adecuado, y con la adecuada combinadción de factores, en torno a ello se desarrollará, como en una impredecible arquitectura de fractales, toda una superestructura de delicadas interrelaciones, de cristales y líneas de variadas formas y estructuras… un ecosistema en torno a un ideal. No voy a ser ni tan loco ni tan presuntuoso como para comparar Tractis con eBay, Google, Yahoo!, Skype o Napster, ni por tipo de proyecto, ni por naturaleza del ideal, ni mucho menos por dimensión. Pero lo que veo aquí, lo que me lleva a colaborar de forma entusiasta, es esa misma esencia, ese aroma a proyecto centrado en ideales, pero con la capacidad de ejecución que reconoces en las personas con las que has hablado muy a menudo. No hay más que leer la primera entrada de este blog para ver que este proyecto es una preciosidad. ¿Será además un buen negocio, una plataforma que genere valor a muchas otras personas y empresas, como un fractal organizado alrededor de su cristal primigenio? Si lo es, mejor que mejor, genial. Citando al inefable Mike Wazowski, de Monsters, Inc., “además de conseguirlo, nos habremos reído mucho”.

¡Mucha suerte!