En un interesante y bien redactado artículo (requiere suscripción de IEEE o acceso por biblioteca que la tenga), Daniel Geer y Daniel Conway recogen resultados de las investigaciones del "Team CYMRU", un reconocido grupo de trabajo galés, sobre los precios que se cobran y pagan por los bienes y servicios de la economía subterránea de la seguridad en Internet.
Las investigaciones del Team CYMRU permiten poner un precio en moneda conocida (dólares, por ejemplo) a los numerosos trueques que conforman la economía subterránea que a su vez permite ataques a sistemas, personas y patrimonios en Internet. El resultado se obtiene rastreando numerosas transacciones (del tipo "un número X de datos para controlar computadoras Window a cambio de un número Y de datos para hacer efectivas tarjetas de crédito") y ubicando las que, inevitablemente, pasan del trueque de software y datos a la conversión de estos datos en compras con dinero real.
Los precios de los bienes se determinan en un estricto esquema de oferta y demanda; aquello que es más útil o se consigue con mayor dificultad cuesta más, lo inútil o fácil de conseguir casi se regala.
Algunos datos llamativos son los precios siguientes: un pasaporte de Estados Unidos, 700 dólares; el control de una computadora Unix, 2.50 dólares; y el control de una commputadora Windows, 3 centavos. Saque el lector sus propias conclusiones.
Mostrando las entradas con la etiqueta seguridad de la informacion. Mostrar todas las entradas
Mostrando las entradas con la etiqueta seguridad de la informacion. Mostrar todas las entradas
lunes, marzo 09, 2009
e-Crime and DNS Abuse - Delito cibernético y abusos del DNS
Reproduzco aquí las palabras que preparé (y leí) en la inauguración del taller sobre "e-Crime and DNS Abuse" o "Delito cibernético y abusos del Sistema de Nombres de Dominio" que se llevó a cabo el pasado 4 de marzo de 2009 en la Ciudad de México, D.F., en el marco de la 34 reunión de ICANN:
Sean Uds. bienvenidos al Taller “Delito cibernético y abuso del sistema de nombres de dominio” en esta Ciudad de México.
El Taller ha sido organizado por un grupo distinguido de especialistas y de promotores de la difusión del conocimiento técnico y de políticas de ICANN y políticas públicas, al que expreso públicamente mi agradecimiento y seguramente el de todos los presentes.
Como es bien sabido, en Internet se presentan en forma creciente formas delictivas cada vez más sofisticadas, y una parte muy importante de su análisis y el trabajo para prevenirlo, detectarlo, impedirlo, combatirlo, mitigar sus efectos y recuperar de sus efectos a las organizaciones y sistemas se lleva a cabo, necesariamente, en esferas muy ajenas a aquella de la que se ocupa ICANN. ICANN, por su parte, tiene permanentemente a la vista un componente de seguridad en su encargo, que privilegia la estabilidad del sistema de nombres de dominio y por ello debe mantener seguras su infraestructura y operación.
Hay un conjunto muy específico de actividades delictivas que descansa en el abuso del sistema de nombres de dominio en diversas formas. Éstas abarcan desde los casos en que el objeto mismo de la conducta negativa es el nombre de dominio – cybersquatting y similares – hasta una variedad amplia de virus, troyanos y botnets que movilizan un rápidamente cambiante registro de nombres de dominio para dirigir el tráfico inocente hacia sitios en los que se afectan los intereses de los usuarios.
Los “stakeholders” de estas actividades, en un grano más fino que los de la Cumbre Mundial de la Sociedad de la Información, incluyen a usuarios finales de Internet, registrantes de nombres de dominio, bancos y otros intermediarios financieros, autoridades encargadas de vigilar el cumplimiento de las leyes, jueces, abogados, peritos, fiscales, proveedores de servicios de Internet o ISPs, especialistas en seguridad informática, autoridades de defensa del consumidor, alianzas comerciales entre países, etc.
Las organizaciones que han surgido para tratar con algunas de las conductas delictivas de este campo representan formas originales de organización y acción. Un ejemplo primario es el Anti-Phishing Working Group (APWG), en el cual concurren muchos de los actores señalados en el párrafo anterior. El APWG convoca también a CERTs. Conduce sus asuntos con agilidad gracias a una organización horizontal, y a que reúne a personas y entidades que pueden actuar en alguno de los terrenos relevantes como persecución del delito (denuncia, investigación, juicios), eliminación de páginas y programas en Internet que forman parte de la cadena de comisión del delito, registradores y registros de nombres de dominio, etc. El APWG se moldeó espontáneamente, en busca de la solución de un problema específico - “phishing” - con los actores relevantes, y tomó, como la IETF o ICANN, una forma “multistakeholder” de organización acorde con los principios de la CMSI “avant la lettre”.
En una instancia que me es más cercana, y a la que me referiré brevemente como un ejemplo que ilustra y provoca la discusión de las verdaderas complejidades del sistema, formamos un grupo de trabajo informal en México al que uno de los fundadores, el Dr. Alfredo Reyes Krafft, ha dado el nombre de “e-Crime México”. En este grupo nos reunimos inicialmente la dirección de cómputo de la Universidad Nacional, entonces a mi cargo, y UNAM-CERT, parte de la misma unidad, a cargo de Juan Carlos Guel, con el propio Alfredo y otras personas de los bancos, Policía Federal, y abogados.
El grupo alcanzó logros importantes en reducir el tiempo de respuesta para eliminar sitios y software dañinos, incluso en países de otro modo difícilmente accesibles, y en instruir en las necesidades de denuncia oportuna y precisa para concitar la acción de las autoridades con plena base legal. Al mismo tiempo, sus dificultades ilustran las de este complicado mundo. Muestro una con el valor de la anécdota.
Los bancos buscaron que NIC-México (el ccTLD a cargo del dominio .mx) instituyera un proceso de “takedown” (elminiación, o al menos suspensión de la resolución) de nombres de dominio registrados para usos delictivos. Pronto encontramos casos como el nombre bancox.com.mx registrado por el propio banco, fuera del nombre con el que principalmente mantiene su presencia en línea, pero fuera del conocimiento de los operadores y tomadores de decisiones del banco. Haber procedido con la solicitud de “takedown” hubiera sido lesivo para el propio banco y creado una responsabilidad para NIC-México. Otro punto relacionado sería el intento del banco Y de bloquear un uso legítimo del banco X acusándolo de abusivo.
Esto se relaciona con las propuestas de “rapid takedown” de .asia, y otras que el APWG y empresas como MarkMonitor han impulsado.
En la sesión que ahora empieza se presentará un panorama general del delito cibernético, de los usos del sistema de nombres de dominio para el delito, las respuestas posibles por parte de los distintos “stakeholders” y sus comunidades. Después de las exposiciones y discusión, se llevarán a cabo cuatro sesiones paralelas ágiles para tratar entre los participantes las dimensiones del delito cibernético en América Latina, protección al consumidor, papel de ICANN, y relación entre autoridades perseguidoras del delito y ccTLDs. ¡No se pierdan el resto de esta sesión!
Sean Uds. bienvenidos al Taller “Delito cibernético y abuso del sistema de nombres de dominio” en esta Ciudad de México.
El Taller ha sido organizado por un grupo distinguido de especialistas y de promotores de la difusión del conocimiento técnico y de políticas de ICANN y políticas públicas, al que expreso públicamente mi agradecimiento y seguramente el de todos los presentes.
Como es bien sabido, en Internet se presentan en forma creciente formas delictivas cada vez más sofisticadas, y una parte muy importante de su análisis y el trabajo para prevenirlo, detectarlo, impedirlo, combatirlo, mitigar sus efectos y recuperar de sus efectos a las organizaciones y sistemas se lleva a cabo, necesariamente, en esferas muy ajenas a aquella de la que se ocupa ICANN. ICANN, por su parte, tiene permanentemente a la vista un componente de seguridad en su encargo, que privilegia la estabilidad del sistema de nombres de dominio y por ello debe mantener seguras su infraestructura y operación.
Hay un conjunto muy específico de actividades delictivas que descansa en el abuso del sistema de nombres de dominio en diversas formas. Éstas abarcan desde los casos en que el objeto mismo de la conducta negativa es el nombre de dominio – cybersquatting y similares – hasta una variedad amplia de virus, troyanos y botnets que movilizan un rápidamente cambiante registro de nombres de dominio para dirigir el tráfico inocente hacia sitios en los que se afectan los intereses de los usuarios.
Los “stakeholders” de estas actividades, en un grano más fino que los de la Cumbre Mundial de la Sociedad de la Información, incluyen a usuarios finales de Internet, registrantes de nombres de dominio, bancos y otros intermediarios financieros, autoridades encargadas de vigilar el cumplimiento de las leyes, jueces, abogados, peritos, fiscales, proveedores de servicios de Internet o ISPs, especialistas en seguridad informática, autoridades de defensa del consumidor, alianzas comerciales entre países, etc.
Las organizaciones que han surgido para tratar con algunas de las conductas delictivas de este campo representan formas originales de organización y acción. Un ejemplo primario es el Anti-Phishing Working Group (APWG), en el cual concurren muchos de los actores señalados en el párrafo anterior. El APWG convoca también a CERTs. Conduce sus asuntos con agilidad gracias a una organización horizontal, y a que reúne a personas y entidades que pueden actuar en alguno de los terrenos relevantes como persecución del delito (denuncia, investigación, juicios), eliminación de páginas y programas en Internet que forman parte de la cadena de comisión del delito, registradores y registros de nombres de dominio, etc. El APWG se moldeó espontáneamente, en busca de la solución de un problema específico - “phishing” - con los actores relevantes, y tomó, como la IETF o ICANN, una forma “multistakeholder” de organización acorde con los principios de la CMSI “avant la lettre”.
En una instancia que me es más cercana, y a la que me referiré brevemente como un ejemplo que ilustra y provoca la discusión de las verdaderas complejidades del sistema, formamos un grupo de trabajo informal en México al que uno de los fundadores, el Dr. Alfredo Reyes Krafft, ha dado el nombre de “e-Crime México”. En este grupo nos reunimos inicialmente la dirección de cómputo de la Universidad Nacional, entonces a mi cargo, y UNAM-CERT, parte de la misma unidad, a cargo de Juan Carlos Guel, con el propio Alfredo y otras personas de los bancos, Policía Federal, y abogados.
El grupo alcanzó logros importantes en reducir el tiempo de respuesta para eliminar sitios y software dañinos, incluso en países de otro modo difícilmente accesibles, y en instruir en las necesidades de denuncia oportuna y precisa para concitar la acción de las autoridades con plena base legal. Al mismo tiempo, sus dificultades ilustran las de este complicado mundo. Muestro una con el valor de la anécdota.
Los bancos buscaron que NIC-México (el ccTLD a cargo del dominio .mx) instituyera un proceso de “takedown” (elminiación, o al menos suspensión de la resolución) de nombres de dominio registrados para usos delictivos. Pronto encontramos casos como el nombre bancox.com.mx registrado por el propio banco, fuera del nombre con el que principalmente mantiene su presencia en línea, pero fuera del conocimiento de los operadores y tomadores de decisiones del banco. Haber procedido con la solicitud de “takedown” hubiera sido lesivo para el propio banco y creado una responsabilidad para NIC-México. Otro punto relacionado sería el intento del banco Y de bloquear un uso legítimo del banco X acusándolo de abusivo.
Esto se relaciona con las propuestas de “rapid takedown” de .asia, y otras que el APWG y empresas como MarkMonitor han impulsado.
En la sesión que ahora empieza se presentará un panorama general del delito cibernético, de los usos del sistema de nombres de dominio para el delito, las respuestas posibles por parte de los distintos “stakeholders” y sus comunidades. Después de las exposiciones y discusión, se llevarán a cabo cuatro sesiones paralelas ágiles para tratar entre los participantes las dimensiones del delito cibernético en América Latina, protección al consumidor, papel de ICANN, y relación entre autoridades perseguidoras del delito y ccTLDs. ¡No se pierdan el resto de esta sesión!
domingo, febrero 15, 2009
Delitos informáticos, privacidad, y... ¡banda ancha!
El pasado miércoles 11 de febrero de 2009 participé en el Foro Internacional: Delitos Informáticos y Privacidad que organizó la Comisión Especial de la Cámara de Diputados para el Acceso Digital a los Mexicanos, fundada por el Dip. Carlos Torres Torres y presidida actualmente por el Dip. Dr. Antonio Vega.
En el Foro hubo ponencias y discusiones interesantes e instructivas. Es sano que tanto los diputados presentes como sus equipos de trabajo estén escuchando la información técnica proveniente de expertos y la visión de al menos parte de la sociedad sobre temas tan decisivos como éstos.
El cuadro de conjunto que retengo es el de un vivo interés en los temas de delitos cibernéticos (y el enorme interés en lo cibernético como medio para cometer y/o perseguir delitos que preexisten a la computación y las redes), algunos avances interesantes en su comprensión, y enfoques muy específicos sobre las necesidades de legislación que provienen de la práctica.
Así las autoridades periciales están pidiendo mecanismos para solicitar la conservación de datos de conexión en situaciones que pudieran posteriormente requerir esos datos como medios de investigación o prueba de delitos, y la Comisión de Grupos Vulnerables que preside la Dip. Laura Rojas ha construido un aparato discursivo sofisticado basado en la prevención y la educación además de la persecución de delitos muchas veces inasibles.
Llamó poderosamente la atención la intervención del Ing. Fernando Solcá, Presidente de AMIPCI y directivo de ScotiaBank, en el sentido de que:
1. se debe mantener elevada la seguridad en las transacciones en Internet pero sin que una inapropiada administracion del riesgo vuelva demasiado bromosas, y por ello poco atractivas, esas transacciones;
2. sobre un piso de administración del riesgo razonable, lo que más importa hacer es impulsar el crecimiento de las transacciones en línea (bancarias, comerciales, ciudadanas, etc.) y la disponibilidad de banda ancha accesible para todos. Sin banda ancha no hay progreso, sería una forma sucinta de resumir este punto.
En el Foro también encontré novedosa la presentación de Víctor Chapela con varias propuestas legislativas importantes, que precisamente, como las de la PGR, provienen del análisis de los obstáculos encontrados en el trabajo de seguridad informática.
Tuve ocasión de describir el trabajo del grupo eCrime, que formamos entre la UNAM y varios bancos e intermediarios financieros, así como autoridades, y que por varios años ha realizado una labor muy eficaz de combate al "phishing". A diferencia del muy buen trabajo mostrado por Ecija Abogados, de España, en ese país, el nuestro ha sido no comercial, multisectorial, y mucho más espontáneo.
Hubo muchas otras intervenciones importantes - el ánimo de brevedad y seguramente mi propio sesgo me invitan a dejarlas para otra ocasión.
En el Foro hubo ponencias y discusiones interesantes e instructivas. Es sano que tanto los diputados presentes como sus equipos de trabajo estén escuchando la información técnica proveniente de expertos y la visión de al menos parte de la sociedad sobre temas tan decisivos como éstos.
El cuadro de conjunto que retengo es el de un vivo interés en los temas de delitos cibernéticos (y el enorme interés en lo cibernético como medio para cometer y/o perseguir delitos que preexisten a la computación y las redes), algunos avances interesantes en su comprensión, y enfoques muy específicos sobre las necesidades de legislación que provienen de la práctica.
Así las autoridades periciales están pidiendo mecanismos para solicitar la conservación de datos de conexión en situaciones que pudieran posteriormente requerir esos datos como medios de investigación o prueba de delitos, y la Comisión de Grupos Vulnerables que preside la Dip. Laura Rojas ha construido un aparato discursivo sofisticado basado en la prevención y la educación además de la persecución de delitos muchas veces inasibles.
Llamó poderosamente la atención la intervención del Ing. Fernando Solcá, Presidente de AMIPCI y directivo de ScotiaBank, en el sentido de que:
1. se debe mantener elevada la seguridad en las transacciones en Internet pero sin que una inapropiada administracion del riesgo vuelva demasiado bromosas, y por ello poco atractivas, esas transacciones;
2. sobre un piso de administración del riesgo razonable, lo que más importa hacer es impulsar el crecimiento de las transacciones en línea (bancarias, comerciales, ciudadanas, etc.) y la disponibilidad de banda ancha accesible para todos. Sin banda ancha no hay progreso, sería una forma sucinta de resumir este punto.
En el Foro también encontré novedosa la presentación de Víctor Chapela con varias propuestas legislativas importantes, que precisamente, como las de la PGR, provienen del análisis de los obstáculos encontrados en el trabajo de seguridad informática.
Tuve ocasión de describir el trabajo del grupo eCrime, que formamos entre la UNAM y varios bancos e intermediarios financieros, así como autoridades, y que por varios años ha realizado una labor muy eficaz de combate al "phishing". A diferencia del muy buen trabajo mostrado por Ecija Abogados, de España, en ese país, el nuestro ha sido no comercial, multisectorial, y mucho más espontáneo.
Hubo muchas otras intervenciones importantes - el ánimo de brevedad y seguramente mi propio sesgo me invitan a dejarlas para otra ocasión.
miércoles, agosto 27, 2008
Robo de datos, seguridad y comunicación: el caso de Best Western
En los últimos días ha causado algo de ruido la noticia de que alguien (presumiblemente un delincuente) se hizo con los datos de un número aún indeterminado de clientes de la cadena de hoteles Best Western. La nota del Times es particularmente clara en explicar los bandazos que ha dado la empresa en sus reacciones a la noticia. Y de ser fiel a la realidad esta nota, la empresa ha dado varios ejemplos de lo que no se debe hacer en estos casos: mensajes inconsistentes. Hoy por hoy no se sabe públicamente la magnitud, ni con precisión el impacto, de este robo de datos. La nota inicial hablaba de 8 millones de clientes, la apreciación que Best Western está transmitiendo es que no son más de 10 los clientes afectados, todos en un solo hotel en Berlín.
Vale la pena leer dos entradas en el blog de Graham Cluley, quien bloguea en Sophos. La primerasegunda, más reciente, transmite el mensaje oficial de Best Western citado arriba y lo respalda llamándolo "robusto". En el mismo blog se puede leer la noticia de un virus en las computadoras de la Estación Espacial y la de la persona que compró un servidor usado en eBay y se llevó la sorpresa de que contenía los datos de un millón de clientes de un banco
Un detalle más: Best Western proporciona un número telefónico para los clientes que quieran preguntar si sus datos fueron comprometidos - un número 1-800 en Estados Unidos, que puede ser inaccesible desde muchos otros países. Menos mal que los clientes pueden usar Skype...
describe la confusión, y en el último párrafo da una guía útil para detectar afectaciones de este tipo; en la (absolutamente creíble para mí; alguna vez me tocó devolver a un alto funcionario una computadora rescatada de un almacén de bajas que contenía una montaña de información sensible). Estos y otros blogs discuten aspectos adicionales del asunto: la necesidad de una comunicación clara por parte de la compañía, la necesidad de mejorar la protección de los datos, las ventajas de contar con software anti-spyware (hubiera ayudado al hotel afectado inicialmente a repeler la intrusión), etc.
Vale la pena leer dos entradas en el blog de Graham Cluley, quien bloguea en Sophos. La primerasegunda, más reciente, transmite el mensaje oficial de Best Western citado arriba y lo respalda llamándolo "robusto". En el mismo blog se puede leer la noticia de un virus en las computadoras de la Estación Espacial y la de la persona que compró un servidor usado en eBay y se llevó la sorpresa de que contenía los datos de un millón de clientes de un banco
Un detalle más: Best Western proporciona un número telefónico para los clientes que quieran preguntar si sus datos fueron comprometidos - un número 1-800 en Estados Unidos, que puede ser inaccesible desde muchos otros países. Menos mal que los clientes pueden usar Skype...
describe la confusión, y en el último párrafo da una guía útil para detectar afectaciones de este tipo; en la (absolutamente creíble para mí; alguna vez me tocó devolver a un alto funcionario una computadora rescatada de un almacén de bajas que contenía una montaña de información sensible). Estos y otros blogs discuten aspectos adicionales del asunto: la necesidad de una comunicación clara por parte de la compañía, la necesidad de mejorar la protección de los datos, las ventajas de contar con software anti-spyware (hubiera ayudado al hotel afectado inicialmente a repeler la intrusión), etc.
sábado, agosto 09, 2008
Seguridad en el DNS, en el New York Times / DNS security in the New York Times
Aparece un artículo intersante en el New York Times que explica los problemas aún no resueltos con la vulnerabilidad del DNS (Sistema de Nombres de Dominio) descubierta recientemente por Dan Kaminsky. El articulo empieza con la noticia de que se han encontrado circunvenciones del parche ya extensamente instalado contra esa vulnerabilidad, y continúa con una buena narración de la historia de Kaminsky y distintos puntos de vista sobre la seguridad del DNS. En particular trae a lenguaje periodístico la controversia sobre DNSSEC.
Para entrar en materia a nivel más técnico, una de muchas buenas fuentes es el FAQ de ICANN
aparecido en la última semana. Otra, con muy amplio comentario, en el blog de Bruce Schneier.
Para entrar en materia a nivel más técnico, una de muchas buenas fuentes es el FAQ de ICANN
aparecido en la última semana. Otra, con muy amplio comentario, en el blog de Bruce Schneier.
miércoles, julio 30, 2008
Nombres de dominio y phishing - material para la controversia
En mayo de 2008 el Anti-Phishing Working Group (APWG) publicó un informe sobre nombres de dominio y phishing. Este informe, cuyos autores son Greg Aaron y Rod Rasmussen, es de mucho interés para quienes trabajan en ambos temas (nombres de dominio, por un lado, y phishing, por el otro), así como para la comunidad ocupada de la seguridad informática.
Tiene algunos puntos que me parecen controversiales. Por ejemplo, aunque el dominio .com es de lejos el más utilizado para phishing, otros como .mx, que escasamente dan lugar a un par de cientos de incidentes, aparecen con una calificación (negativa) más alta. Otro ranking fallido, dirán quienes saben de rankings...
Esta anotación no disminuye el interés del estudio ya que sí arroja luz sobre cuáles nombres de dominio (de primer nivel, o TLDs) han resultado problemáticos por algún motivo. Y, con la calidad que sigo apreciando en el trabajo del APWG, sigue teniendo claro que el abuso de nombres de dominio es un aspecto relativamente menor del enorme problema del phishing, ya que muchos sitios de phishing no usan un nombre de dominio sino sólo la dirección IP. El resto del URL o URI problemático está simulado en el propio URL utilizado (por ejemplo, en nombres de dominio de menor nivel, o fuera del nombre de dominio, en los nombres de los directorios y archivos) o en el código HTML de la página tramposa.
Por otra parte, James Seng, uno de los gurús de Internet más creativos y originales, muy conocido por su trabajo sobre nombres de dominio internacionalizados o IDNs, ha cuestionado la propuesta que el APWG presentó en la reciente reunión de ICANN en París, para la baja o remoción rápida de nombres de dominio que estén siendo utilizados abusivamente para phishing. Seng cuestiona la posible ausencia de debido proceso y de la presunción de inocencia del registrante posiblemente implícita en la propuesta. El debate sigue.
Tiene algunos puntos que me parecen controversiales. Por ejemplo, aunque el dominio .com es de lejos el más utilizado para phishing, otros como .mx, que escasamente dan lugar a un par de cientos de incidentes, aparecen con una calificación (negativa) más alta. Otro ranking fallido, dirán quienes saben de rankings...
Esta anotación no disminuye el interés del estudio ya que sí arroja luz sobre cuáles nombres de dominio (de primer nivel, o TLDs) han resultado problemáticos por algún motivo. Y, con la calidad que sigo apreciando en el trabajo del APWG, sigue teniendo claro que el abuso de nombres de dominio es un aspecto relativamente menor del enorme problema del phishing, ya que muchos sitios de phishing no usan un nombre de dominio sino sólo la dirección IP. El resto del URL o URI problemático está simulado en el propio URL utilizado (por ejemplo, en nombres de dominio de menor nivel, o fuera del nombre de dominio, en los nombres de los directorios y archivos) o en el código HTML de la página tramposa.
Por otra parte, James Seng, uno de los gurús de Internet más creativos y originales, muy conocido por su trabajo sobre nombres de dominio internacionalizados o IDNs, ha cuestionado la propuesta que el APWG presentó en la reciente reunión de ICANN en París, para la baja o remoción rápida de nombres de dominio que estén siendo utilizados abusivamente para phishing. Seng cuestiona la posible ausencia de debido proceso y de la presunción de inocencia del registrante posiblemente implícita en la propuesta. El debate sigue.
sábado, junio 07, 2008
Economía de la seguridad informática y el "malware"
Un excelente artículo de J.G. van Eeten y Johannes Bauer, publicado por la OCDE hace escasamente una semana, estudia la economía de aquellos aspectos de la seguridad informática relacionados con el "malware".
El artículo comienza con un armazón teórico muy sólido, en el que gráficas comprensibles (no quiero decir sencillas porque sí requieren cierta concentración) permiten entender los efectos económicos de acciones como elevar las inversiones en seguridad, abaratar la creación de malware o encarecer la actividad maliciosa, etc. y sus interacciones.
Después, van Eeten y Bauer se adentran en las implicaciones de este marco teórico y analizan la interacción entre seguridad y agentes maliciosos en términos de externalidades económicas así como de interacciones en las que no hay estas externalidades (son las menos). Las externalidades se refieren a temas como los costos en que incurre toda la sociedad cuando algunos usuarios no protegen sus computadoras contra el "malware" que no los afecta a ellos pero sí a terceros (como el de distribución de "phishing").
Una de las ideas que dejan muy claras - parece una obviedad pero no está tan extendida como debiera - es que los actores racionales de los mercados no aspiran a una "seguridad absoluta" sino que sólo gastan en seguridad tanto como sea necesario para acotar los costos asociados a la inseguridad. Sabemos que los bancos, por ejemplo, aceptan un número limitado de incidentes, mientras el costo de responder a éstos no sea superior al de prevenirlos. Inteligentemente, van Eeten y Bauer consideran, por supuesto, que hay actores irracionales, y acciones en que no todos los actores interactúan de manera óptima.
En este marco les resulta fácil plantear problemas como el impacto de que los bancos decidan compensar, o no, las pérdidas de sus usuarios debido al "phishing" o que, como ocurre en Nueva Zelanda, presionen para producir cambios legislativos que transfieren explícitamente mayor responsabilidad a los usuarios en evitar el "phishing".
Dejan sin tratar algunos temas interesantes, como la economía de la comisión de los delitos y conductas perniciosas, por ser muy imprecisos los datos al respecto (ya lo son los que sí utilizan sobre el impacto de los daños económicos contabilizables), o el impacto que podrían tener medidas, como las que proponen Bruce Schneier y otros, que impongan un costo a la responsabilidad de las compañías que produzcan software cuyas vulnerabilidades produzcan el espacio en que se mueve el delito cibernético.
Sin embargo, estas ausencias - más que deficiencias, temas pendientes - son un estímulo y no un obstáculo. Un estudio cuidadoso del artículo puede ser un magnífico insumo para plantear políticas públicas realistas que traten a la seguridad como un tema principalísimo de la Agenda Digital. Altamente recomendable; una estupenda referencia para elevar el nivel de discusión.
Ejercicio para el lector: visite el sitio de "malware" de UNAM-CERT y analice las externalidades e interacciones entre los actores en el caso de que un proveedor de infraestructura con 10 millones de clientes deje subsistir en ésta una vulnerabilidad, soluble por el fabricante de equipo de esa infraestructura, que permite que el acceso de los clientes a sus bancos sea redirigido a sitios de "phishing" por medio de una manipulación del DNS inobservable para los clientes. ¡Un verdadero día de campo para van Eeten y Bauer!
El artículo comienza con un armazón teórico muy sólido, en el que gráficas comprensibles (no quiero decir sencillas porque sí requieren cierta concentración) permiten entender los efectos económicos de acciones como elevar las inversiones en seguridad, abaratar la creación de malware o encarecer la actividad maliciosa, etc. y sus interacciones.
Después, van Eeten y Bauer se adentran en las implicaciones de este marco teórico y analizan la interacción entre seguridad y agentes maliciosos en términos de externalidades económicas así como de interacciones en las que no hay estas externalidades (son las menos). Las externalidades se refieren a temas como los costos en que incurre toda la sociedad cuando algunos usuarios no protegen sus computadoras contra el "malware" que no los afecta a ellos pero sí a terceros (como el de distribución de "phishing").
Una de las ideas que dejan muy claras - parece una obviedad pero no está tan extendida como debiera - es que los actores racionales de los mercados no aspiran a una "seguridad absoluta" sino que sólo gastan en seguridad tanto como sea necesario para acotar los costos asociados a la inseguridad. Sabemos que los bancos, por ejemplo, aceptan un número limitado de incidentes, mientras el costo de responder a éstos no sea superior al de prevenirlos. Inteligentemente, van Eeten y Bauer consideran, por supuesto, que hay actores irracionales, y acciones en que no todos los actores interactúan de manera óptima.
En este marco les resulta fácil plantear problemas como el impacto de que los bancos decidan compensar, o no, las pérdidas de sus usuarios debido al "phishing" o que, como ocurre en Nueva Zelanda, presionen para producir cambios legislativos que transfieren explícitamente mayor responsabilidad a los usuarios en evitar el "phishing".
Dejan sin tratar algunos temas interesantes, como la economía de la comisión de los delitos y conductas perniciosas, por ser muy imprecisos los datos al respecto (ya lo son los que sí utilizan sobre el impacto de los daños económicos contabilizables), o el impacto que podrían tener medidas, como las que proponen Bruce Schneier y otros, que impongan un costo a la responsabilidad de las compañías que produzcan software cuyas vulnerabilidades produzcan el espacio en que se mueve el delito cibernético.
Sin embargo, estas ausencias - más que deficiencias, temas pendientes - son un estímulo y no un obstáculo. Un estudio cuidadoso del artículo puede ser un magnífico insumo para plantear políticas públicas realistas que traten a la seguridad como un tema principalísimo de la Agenda Digital. Altamente recomendable; una estupenda referencia para elevar el nivel de discusión.
Ejercicio para el lector: visite el sitio de "malware" de UNAM-CERT y analice las externalidades e interacciones entre los actores en el caso de que un proveedor de infraestructura con 10 millones de clientes deje subsistir en ésta una vulnerabilidad, soluble por el fabricante de equipo de esa infraestructura, que permite que el acceso de los clientes a sus bancos sea redirigido a sitios de "phishing" por medio de una manipulación del DNS inobservable para los clientes. ¡Un verdadero día de campo para van Eeten y Bauer!
Ley de delito informático en Argentina
Argentina está emitiendo una nueva ley contra los delitos informáticos. La nota de prensa, y los avisos al respecto de la comunidad Alfa-Redi, atraen la atención sobre algunos puntos interesantes:
1. el trabajo para construir la iniciativa de ley comenzó hace unos dos años, cuando algunos periodistas reaccionaron contra el espionaje de que fueron víctimas sus correos electrónicos; por ello, la ley - o las noticias al respecto - hacen énfasis en la protección de la privacidad de las comunicaciones;
2. la nota de referencia hace énfasis también en el combate a la pornografía infantil y delitos relacionados. Una idea interesante es que, conforme se cierran los espacios para estos delitos en otros países (véase por ejemplo Australia, donde "la de 8" es la captura de decenas de presuntos miembros de una red de pornografía infantil que incluye a maestros, o Inglaterra), se trasladarán a América Latina. Esta idea requiere algo de detalle; el delito no se traslada así como así. Lo que se verá será el uso de infraestructura por parte de delincuentes de otras regiones, la complicidad de ellos con delincuentes en nuestra región, y el uso por éstos del nicho y estímulos que se espera emerjan al limitarse a los delincuentes de otras latitudes.
3. toda ley que defina delitos informáticos debe ser inspeccionada por los informáticos desde un punto de vista crítico para la profesión: el que conductas "normales", frecuentes en el trabajo, no sean interpretadas como delitos. Esto sucedía con la ley de delitos informáticos en México hace algunos años: era fácil tipificar como delictivas las remociones de archivos, alteraciones en el funcionamiento de los sistemas, etc., que son parte inevitable del trabajo de desarrollo e implantación de sistemas. Así que amigos informáticos y abogados, a leer, a leer, con lupa.
Quienes me conocen o han escuchado saben que no creo que hacer nuevas leyes sea lo primero ni la principal tarea para combatir el "delito cibernético" pero esta iniciativa en Argentina es de innegable interés. Entretanto, en México, creo que no debemos dejar de impulsar iniciativas como la que construimos con Juan Carlos Guel, Alfredo Reyes Krafft, Kiyoshi Tsuru, y otros distinguidos colegas, y que Alfredo acaba de presentar más ampliamente; se trata del grupo e-Crime (recurro a una nota de prensa venezolana porque explica las medidas no legislativas que urge impulsar).
1. el trabajo para construir la iniciativa de ley comenzó hace unos dos años, cuando algunos periodistas reaccionaron contra el espionaje de que fueron víctimas sus correos electrónicos; por ello, la ley - o las noticias al respecto - hacen énfasis en la protección de la privacidad de las comunicaciones;
2. la nota de referencia hace énfasis también en el combate a la pornografía infantil y delitos relacionados. Una idea interesante es que, conforme se cierran los espacios para estos delitos en otros países (véase por ejemplo Australia, donde "la de 8" es la captura de decenas de presuntos miembros de una red de pornografía infantil que incluye a maestros, o Inglaterra), se trasladarán a América Latina. Esta idea requiere algo de detalle; el delito no se traslada así como así. Lo que se verá será el uso de infraestructura por parte de delincuentes de otras regiones, la complicidad de ellos con delincuentes en nuestra región, y el uso por éstos del nicho y estímulos que se espera emerjan al limitarse a los delincuentes de otras latitudes.
3. toda ley que defina delitos informáticos debe ser inspeccionada por los informáticos desde un punto de vista crítico para la profesión: el que conductas "normales", frecuentes en el trabajo, no sean interpretadas como delitos. Esto sucedía con la ley de delitos informáticos en México hace algunos años: era fácil tipificar como delictivas las remociones de archivos, alteraciones en el funcionamiento de los sistemas, etc., que son parte inevitable del trabajo de desarrollo e implantación de sistemas. Así que amigos informáticos y abogados, a leer, a leer, con lupa.
Quienes me conocen o han escuchado saben que no creo que hacer nuevas leyes sea lo primero ni la principal tarea para combatir el "delito cibernético" pero esta iniciativa en Argentina es de innegable interés. Entretanto, en México, creo que no debemos dejar de impulsar iniciativas como la que construimos con Juan Carlos Guel, Alfredo Reyes Krafft, Kiyoshi Tsuru, y otros distinguidos colegas, y que Alfredo acaba de presentar más ampliamente; se trata del grupo e-Crime (recurro a una nota de prensa venezolana porque explica las medidas no legislativas que urge impulsar).
Suscribirse a:
Entradas (Atom)