211service.com
La herramienta de anticensura resulta demasiado buena para ser verdad
Una herramienta de software diseñada para ayudar a los disidentes a eludir la censura gubernamental de Internet contiene fallas tan graves que podría poner en peligro a quienes la utilizan.
La herramienta, llamada Alpaca , ha ganado premios y elogios por permitir que los activistas políticos y los ciudadanos comunes superen los controles gubernamentales que prohíben el contenido de Internet. Pero experto en seguridad Jacob Appelbaum advierte que deja un rastro de pistas que podrían usarse para encontrar quién lo está usando y a qué contenido ha accedido. Los expertos dicen que esto destaca la importancia de que expertos externos revisen las tecnologías destinadas a este tipo de uso.
Haystack fue creado por la empresa con sede en San Francisco Centro de Investigación de la Censura , fundada el año pasado por dos activistas Austin Heap y Daniel Colascione. El software estaba destinado a proporcionar acceso a Internet no filtrado e indetectable a la gente de Irán, según el sitio web del proyecto. Sus creadores recibieron mucha atención: Heap fue declarado Innovador del Año por la guardián periódico, y también recibió el premio Baliza de la Coalición de la Primera Enmienda.
La herramienta fue facturada como una forma de acceder a páginas de Internet restringidas mientras ocultaba esta actividad a las autoridades. Los creadores de Haystack afirmaron que podía hacer esto aprovechando los problemas con el firewall de Irán, cifrando las comunicaciones entre los usuarios y los servidores de Haystack, y ocultando el tráfico enviado hacia y desde la herramienta para que los usuarios parecieran estar visitando sitios web inocuos. Pero el mes pasado, los expertos han expresado su preocupación por el hecho de que no se haya realizado una revisión independiente de su capacidad para funcionar según lo prometido.
Appelbaum, junto con Evgeny Morozov , académico visitante en el programa sobre tecnología de la liberación de la Universidad de Stanford, y activista por las libertades civiles Danny O’Brien en particular, presionó para obtener más detalles sobre cómo se construyó el software. Les preocupaba que las vulnerabilidades en su código subyacente pudieran permitir que los funcionarios del gobierno decodificaran mensajes protegidos. Después de probar el software, su reacción fue de enfado y consternación.
Appelbaum dice que después de escuchar una descripción de cómo funcionaba la herramienta, le preocupaba que no se hubiera construido correctamente. Pero se preocupó de verdad una vez que lo probó él mismo. Appelbaum y sus colegas rompieron las protecciones de privacidad de la herramienta en menos de seis horas. Appelbaum dice que sería fácil para las autoridades gubernamentales hacer lo mismo.
Este es un sistema que es tan frágil que apenas puedo decirles cómo funciona sin estar extremadamente preocupado por las personas que pueden haberlo utilizado y que no tenían idea de que estaban en peligro, dice Appelbaum. Es increíble e increíblemente terrible.
Appelbaum dice que debe tener cuidado al dar detalles de lo que está mal con Haystack por temor a poner en peligro aún más a quienes podrían estar en riesgo. Pero él dice, cuando usa la herramienta, efectivamente alerta a las autoridades de que está tratando de usarla.
El lunes, Heap anunció que Haystack detendría la distribución y las pruebas con los usuarios en Irán hasta que se resolvieran los problemas de seguridad. Él escribió , Hemos comenzado a contactar a los usuarios de Haystack para decirles que dejen de usar el programa. No reanudaremos las pruebas hasta que se complete esta revisión de terceros y las preocupaciones de seguridad se aborden de manera abierta y transparente.
No se pudo contactar a Heap ni a otros empleados del Centro de Investigación de la Censura, ni a los miembros de la junta directiva para hacer comentarios. Pero Colascione, el desarrollador principal de Haystack, publicó un carta pública de renuncia reconociendo que las preocupaciones de Appelbaum estaban justificadas. Es tan malo como lo hace Appelbaum, escribió Colascione, y agregó que la versión en circulación estaba destinada solo para pruebas, nunca para distribución y uso real.
Appelbaum dice que pudo obtener y ejecutar una copia de Haystack días después de que Heap afirmó haber dejado de admitir el software, lo que sugiere que la organización no tiene el control de cuán ampliamente se está distribuyendo.
Es alarmante que Heap y sus colegas no hayan aceptado más ayuda de personas establecidas en el campo de la elusión de la censura. , dice Ross Anderson , presidente del Reino Unido Fundación para la Investigación de Políticas de Información y profesor de ingeniería de seguridad en la Universidad de Cambridge.
Anderson dice que es muy difícil diseñar herramientas para eludir la censura que funcionen correctamente, y los creadores de tales herramientas deben conocer bien los riesgos y las trampas. Hay mucha historia sangrienta y mucha investigación relevante, dice.
Los desafíos van más allá de simplemente proporcionar acceso a sitios web restringidos, dice Anderson. Las herramientas deben proteger el anonimato de los usuarios y evitar la creación de pruebas que podrían ser condenatorias si cayeran en manos de funcionarios gubernamentales.
Una herramienta mal diseñada puede identificar a un usuario, dice Anderson. Lo compara con ser el único que se presenta a una fiesta con una máscara. Advierte que, debido a que Haystack no parece ser de uso generalizado, las autoridades podrían asumir que cualquiera que tenga una copia es un objetivo de gran valor y debería ser arrestado.
El Centro Berkman para Internet y la Sociedad de la Universidad de Harvard ha realizado previamente pruebas de herramientas para eludir la censura, tanto en el laboratorio como en los países que filtran el contenido de Internet, para determinar qué tan efectivas son las herramientas para eludir la censura, qué tan seguras son y qué tan fáciles de usar. van a utilizar. Investigador de Berkman Ethan Zuckerman dice que espera que los fundadores de Haystack permitan que se pruebe una versión de la herramienta a finales de este año, la próxima vez que el centro planee evaluar dichas herramientas.