211service.com
Los policías ven un problema de encriptación. Los fabricantes de spyware ven una oportunidad.
La administración Trump está presionando una vez más para obtener acceso a datos encriptados. Pero algunas compañías de inteligencia están vendiendo una ruta más furtiva en torno a la protección. 10 de diciembre de 2019
antena de telefonía móvil Unsplash
- El Senado de los Estados Unidos está listo para una nueva audiencia sobre encriptación
- La gran pregunta: ¿Existe una nueva legislación que exija puertas traseras de encriptación?
- Conozca a la empresa israelí que vende una herramienta para alejar a las personas de los servicios encriptados
Suponga que es un policía que quiere espiar una llamada telefónica encriptada, el tipo de llamada que miles de millones de personas hacen todo el tiempo en WhatsApp. Las escuchas telefónicas a la antigua no funcionan, ya que la tecnología que sustenta el cifrado garantiza que no obtendrá nada. Podría intentar piratear el teléfono de un objetivo y escuchar, pero a menudo es una propuesta difícil y costosa. O podría exigir legalmente que la empresa detrás del servicio permita a las fuerzas del orden una forma de ver los datos cifrados, pero eso puede significar una batalla legal larga y costosa.
Esta larga guerra entre las fuerzas del orden y la industria de la tecnología continuará cuando el Senado de los EE. UU. abra una audiencia sobre el cifrado de datos el martes por la mañana.
El Comité Judicial del Senado, presidido por el republicano Lindsey Graham, llevará a cabo la audiencia, que tratará sobre la tecnología que protege todo, desde las comunicaciones de WhatsApp hasta los datos de tu iPhone. Los administradores de privacidad de Apple y Facebook estarán entre los que testifiquen junto a uno de los críticos más acérrimos del cifrado del gobierno de EE. UU., el fiscal de distrito de Manhattan, Cy Vance. La administración Trump ha criticado regularmente el uso de la criptografía y, en julio, el fiscal general William Barr pidió acceso legal y puertas traseras de encriptación que permitirían a los funcionarios ver datos privados encriptados.
Los opositores dicen que esto debilita la seguridad y la privacidad de Internet en todos los ámbitos, pero ha habido presiones de ambos partidos en el Congreso para ampliar el acceso a los datos cifrados. Hace varios años, la vicepresidenta del comité, la demócrata Dianne Feinstein, promovió una controvertido proyecto de ley para ordenar el acceso del gobierno . Ese proyecto de ley no llegó a ninguna parte, pero la pregunta más importante que conduce a la audiencia del martes es si surgirá un nuevo proyecto de ley bipartidista y, de ser así, si podría contar con el respaldo de la Casa Blanca.
Pero si bien esta audiencia es el capítulo más reciente en el conflicto de décadas entre el gobierno y la industria de la tecnología, algunas empresas están utilizando diferentes tácticas para obtener acceso a datos encriptados, y los están vendiendo a las fuerzas del orden y las agencias de inteligencia.
Diferentes tácticas
Hace diez años, el cifrado, que implementa matemáticas para hacer que los datos sean ilegibles excepto para el destinatario previsto, era raro para los usuarios comunes. En la actualidad, protege la navegación web, los mensajes de texto y las llamadas telefónicas de miles de millones de personas en todo el mundo. Esa protección se aplica por igual a políticos elegidos democráticamente y activistas de derechos humanos, pero también a terroristas y espías, lo que ha llevado durante mucho tiempo a los gobiernos a intentar romper el cifrado por medios tanto legales como técnicos.
Recientemente conocí a Ithai Kenan, vicepresidente de una compañía de inteligencia israelí llamada Picsix, en la conferencia de seguridad de Milipol en París. Compuesta por veteranos de la inteligencia israelí, Picsix es una empresa de una década que se especializa en la interceptación de datos como una forma de resolver el problema del cifrado. (Su nombre es un guiño al fútbol americano, y se refleja en el eslogan de la empresa: La intercepción perfecta).
Perfil de empresa de Picsix entregado a clientes potenciales.
Kenan estaba vendiendo el producto más nuevo de la compañía, una herramienta de manipulación e interceptación de datos conocida como P6-FI5. El dispositivo funciona con interceptación celular GSM, 3G y 4G, lo que significa que puede interceptar y controlar tanto llamadas telefónicas como datos, y puede miniaturizarse para llevarlo dentro de mochilas o vehículos.
La herramienta de Picsix crea una torre celular falsa que puede engañar al teléfono de un objetivo para que le transmita datos. El dispositivo no puede leer datos encriptados, sino que intenta una táctica diferente para obtener información privada: hacer que las aplicaciones encriptadas tengan fallas o incluso que sean totalmente inutilizables. Es una forma sutil pero fuerte de alejar a un objetivo frustrado de una aplicación privada y acercarlo a un servicio no encriptado que puede ser interceptado y espiado fácilmente. El cifrado en sí nunca se rompe, simplemente se vuelve inútil.
Podemos manipular datos de una manera muy selectiva, dijo Kenan. Podemos hacerlo de una manera muy selectiva para que no parezca que estás siendo manipulado. No solo bloquearemos WhatsApp por completo. En su lugar, te dejaremos hacer una llamada de WhatsApp y, 10 segundos después, la soltaremos. Tal vez te dejemos hacer otra llamada y en 20 segundos la desconectaremos. Después de su tercera llamada fallida, confíe en mí: hará una llamada regular y la interceptaremos. Es una forma inteligente y rentable de realizar la interceptación.
Materiales de marketing de Picsix para 2019.
La conformación del tráfico para canalizar los datos hacia un terreno más ventajoso es una táctica de inteligencia probada y confiable destinado a manipular el objetivo en un lugar donde es más fácil de atacar. Esto no logra los mismos objetivos que comprometer el teléfono de una víctima, pero puede ser igualmente efectivo y potencialmente incluso más persistente. Un caballo de Troya de una empresa como NSO Group podría brindarle acceso completo al teléfono de un objetivo para millones de dolares , pero se basa en una vulnerabilidad en el código que se ejecuta en el dispositivo: WhatsApp podría lanzar una actualización de seguridad mañana que inutilice el exploit y desperdicie el dinero.
Picsix argumenta que aunque su herramienta no tendrá acceso a los datos cifrados, su utilidad tampoco desaparecerá con una sola actualización.
Por eso nos gusta la manipulación de datos, dijo Kenan.
La táctica también tiene la capacidad de funcionar en una miríada de dispositivos, porque apunta a los datos en lugar del hardware. Un Samsung Galaxy S10 y un iPhone 11 son dos teléfonos enormemente diferentes: cada exploit debe adaptarse a ese objetivo específico.
Debido a lo caros que son los caballos de Troya, no hay un solo fabricante que haga caballos de Troya y realmente admita todos los diferentes dispositivos y fabricantes, dijo Kenan. Es posible que tenga software para Android pero no para iOS. Ni siquiera hablemos de todos los dispositivos funky que puedes encontrar en China e India.
Dicho esto, la tecnología de Picsix también puede redirigir los datos de destino e inyectar malware en un teléfono que utiliza su torre de telefonía móvil falsa. A partir de ese momento, esos caballos de Troya multimillonarios pueden, potencialmente, ser utilizados.
La intercepción y la manipulación pueden no ser suficientes, por lo que el P6-FI5 de Picsix también funciona como una plataforma de software de intrusión.
la batalla mas grande
Los gobiernos de todo el mundo han estado utilizando las herramientas creadas por empresas como NSO Group y Picsix durante años. Hay toda una industria de inteligencia altamente capaz y lucrativa dedicada a la tarea.
Pero muchos altos funcionarios en Washington, DC, no quieren tener que depender de estas herramientas para acceder a los datos. A principios de este año, durante una conferencia de seguridad en la ciudad de Nueva York, el fiscal general Barr pidió puertas traseras para los datos cifrados, y el fiscal estadounidense Richard P. Donoghue señaló con el dedo a los gigantes tecnológicos estadounidenses.
Estas empresas están comercializando, niegan que están comercializando, pero están comercializando, que niegan el acceso a las fuerzas del orden, dijo Donoghue. Deberían rendir cuentas.
Durante años, los criptógrafos han prevenido contra las puertas traseras de encriptación como una solución que socavará los beneficios de seguridad de una encriptación fuerte. No está claro qué sucederá en el Senado de los EE. UU. el martes, pero puede esperar un debate de ida y vuelta que se parece mucho a las llamadas criptoguerras de años pasados.