Precios de la economía subterránea - "The 0wned Price Index"

En un interesante y bien redactado artículo (requiere suscripción de IEEE o acceso por biblioteca que la tenga), Daniel Geer y Daniel Conway recogen resultados de las investigaciones del "Team CYMRU", un reconocido grupo de trabajo galés, sobre los precios que se cobran y pagan por los bienes y servicios de la economía subterránea de la seguridad en Internet.

Las investigaciones del Team CYMRU permiten poner un precio en moneda conocida (dólares, por ejemplo) a los numerosos trueques que conforman la economía subterránea que a su vez permite ataques a sistemas, personas y patrimonios en Internet. El resultado se obtiene rastreando numerosas transacciones (del tipo "un número X de datos para controlar computadoras Window a cambio de un número Y de datos para hacer efectivas tarjetas de crédito") y ubicando las que, inevitablemente, pasan del trueque de software y datos a la conversión de estos datos en compras con dinero real.

Los precios de los bienes se determinan en un estricto esquema de oferta y demanda; aquello que es más útil o se consigue con mayor dificultad cuesta más, lo inútil o fácil de conseguir casi se regala.

Algunos datos llamativos son los precios siguientes: un pasaporte de Estados Unidos, 700 dólares; el control de una computadora Unix, 2.50 dólares; y el control de una commputadora Windows, 3 centavos. Saque el lector sus propias conclusiones.

Seguridad en el DNS, en el New York Times / DNS security in the New York Times

Aparece un artículo intersante en el New York Times que explica los problemas aún no resueltos con la vulnerabilidad del DNS (Sistema de Nombres de Dominio) descubierta recientemente por Dan Kaminsky. El articulo empieza con la noticia de que se han encontrado circunvenciones del parche ya extensamente instalado contra esa vulnerabilidad, y continúa con una buena narración de la historia de Kaminsky y distintos puntos de vista sobre la seguridad del DNS. En particular trae a lenguaje periodístico la controversia sobre DNSSEC.

Para entrar en materia a nivel más técnico, una de muchas buenas fuentes es el FAQ de ICANN
aparecido en la última semana. Otra, con muy amplio comentario, en el blog de Bruce Schneier.

"Baja" ("takedown") de nombres de dominio: su efecto sobre el phishing

En un escrupuloso trabajo académico, Tyler Moore y Richard Clayton, de la Universidad de Cambridge, estudian el efecto de dar de baja nombres de dominio sobre el phishing. En el texto hacen un análisis de varias técnicas de registro abusivo de los nombres y de diversos aspectos del phishing, y comparaciones cuidadosas entre bancos y otras organizaciones, y entre países.

Su conclusión es que sí se logra un efecto, aunque moderado, para disminuir el impacto del phishing a través de la baja de nombres de dominio orientados al phishing. Anotan muchos otros factores que pueden ser de mayor importancia.

Lectura obligatoria para los interesados en el tema.

Nombres de dominio y phishing - material para la controversia

En mayo de 2008 el Anti-Phishing Working Group (APWG) publicó un informe sobre nombres de dominio y phishing. Este informe, cuyos autores son Greg Aaron y Rod Rasmussen, es de mucho interés para quienes trabajan en ambos temas (nombres de dominio, por un lado, y phishing, por el otro), así como para la comunidad ocupada de la seguridad informática.

Tiene algunos puntos que me parecen controversiales. Por ejemplo, aunque el dominio .com es de lejos el más utilizado para phishing, otros como .mx, que escasamente dan lugar a un par de cientos de incidentes, aparecen con una calificación (negativa) más alta. Otro ranking fallido, dirán quienes saben de rankings...

Esta anotación no disminuye el interés del estudio ya que sí arroja luz sobre cuáles nombres de dominio (de primer nivel, o TLDs) han resultado problemáticos por algún motivo. Y, con la calidad que sigo apreciando en el trabajo del APWG, sigue teniendo claro que el abuso de nombres de dominio es un aspecto relativamente menor del enorme problema del phishing, ya que muchos sitios de phishing no usan un nombre de dominio sino sólo la dirección IP. El resto del URL o URI problemático está simulado en el propio URL utilizado (por ejemplo, en nombres de dominio de menor nivel, o fuera del nombre de dominio, en los nombres de los directorios y archivos) o en el código HTML de la página tramposa.

Por otra parte, James Seng, uno de los gurús de Internet más creativos y originales, muy conocido por su trabajo sobre nombres de dominio internacionalizados o IDNs, ha cuestionado la propuesta que el APWG presentó en la reciente reunión de ICANN en París, para la baja o remoción rápida de nombres de dominio que estén siendo utilizados abusivamente para phishing. Seng cuestiona la posible ausencia de debido proceso y de la presunción de inocencia del registrante posiblemente implícita en la propuesta. El debate sigue.

Estructura organizacional del ciberdelito/Organizational structure of cybercrime

Acaba de aparecer un informe sumamente interesante de la empresa de seguridad informática Finjan que describe las estructuras organizacionales y parte importante del modus operandi de las bandas dedicadas a varios tipos dominantes actualmente de delito cibernético, como el phishing.

El informe describe en texto claro y con buenos diagramas las estructuras operativas que se ponen en marcha para estos delitos: estructuras de múltiples capas, algunas de ellas con muchos participantes, con funciones especializadas (creación de virus y troyanos, distribución de ese malware, depósito de la información capturada (datos de tarjetas de crédito, en muchos de sus ejemplos), y uso de esta información para convertirla en dinero líquido o realizar transacciones. En cada capa los actores están poco acoplados, y las capas están también sólo ligeramente acopladas entre sí. Eso da una gran flexibilidad a la operación y provee un principio de robustez apreciable, pues en cada capa pueden ser capturados o interrumpidos numerosos componentes sin afectar gravemente la operación de las otras capas ni exhibir a muchos de sus participantes.

Este principio organizacional es bien conocido; yo reconozco algunas características de la guerrilla, y el artículo hace una analogía mucho más detallada con las organizaciones tradicionales del delito organizado como la Mafia.

El estudio se basa en la participación de un investigador de Finjan en los foros de "carding" (captura y uso de datos de tarjetas de crédito y de débito) y es un esfuerzo realizado totalmente en el sector privado y la comunidad técnica, sin intervención de actores gubernamentales. Un punto de reflexión importante cuando analizamos los esfuerzos de organizaciones como la Unión Internacional de Telecomunicaciones (UIT o ITU) para gubernamentalizar la seguridad informática.

Destaco un último punto: el artículo también refiere los precios actuales de los datos de las tarjetas de crédito que permiten su utilización por los delincuentes para desfalcar a los tarjetahabientes, y estos precios van de los 15 dólares para tarjetas básicas en Estados Unidos a 70 dólares para las tarjetas de alto límite de crédito en Europa.

Se trata pues de un documento que paga sobradamente una lectura cuidadosa, tanto para expertos como para legos en la materia.

Ley de delito informático en Argentina

Argentina está emitiendo una nueva ley contra los delitos informáticos. La nota de prensa, y los avisos al respecto de la comunidad Alfa-Redi, atraen la atención sobre algunos puntos interesantes:

1. el trabajo para construir la iniciativa de ley comenzó hace unos dos años, cuando algunos periodistas reaccionaron contra el espionaje de que fueron víctimas sus correos electrónicos; por ello, la ley - o las noticias al respecto - hacen énfasis en la protección de la privacidad de las comunicaciones;

2. la nota de referencia hace énfasis también en el combate a la pornografía infantil y delitos relacionados. Una idea interesante es que, conforme se cierran los espacios para estos delitos en otros países (véase por ejemplo Australia, donde "la de 8" es la captura de decenas de presuntos miembros de una red de pornografía infantil que incluye a maestros, o Inglaterra), se trasladarán a América Latina. Esta idea requiere algo de detalle; el delito no se traslada así como así. Lo que se verá será el uso de infraestructura por parte de delincuentes de otras regiones, la complicidad de ellos con delincuentes en nuestra región, y el uso por éstos del nicho y estímulos que se espera emerjan al limitarse a los delincuentes de otras latitudes.

3. toda ley que defina delitos informáticos debe ser inspeccionada por los informáticos desde un punto de vista crítico para la profesión: el que conductas "normales", frecuentes en el trabajo, no sean interpretadas como delitos. Esto sucedía con la ley de delitos informáticos en México hace algunos años: era fácil tipificar como delictivas las remociones de archivos, alteraciones en el funcionamiento de los sistemas, etc., que son parte inevitable del trabajo de desarrollo e implantación de sistemas. Así que amigos informáticos y abogados, a leer, a leer, con lupa.

Quienes me conocen o han escuchado saben que no creo que hacer nuevas leyes sea lo primero ni la principal tarea para combatir el "delito cibernético" pero esta iniciativa en Argentina es de innegable interés. Entretanto, en México, creo que no debemos dejar de impulsar iniciativas como la que construimos con Juan Carlos Guel, Alfredo Reyes Krafft, Kiyoshi Tsuru, y otros distinguidos colegas, y que Alfredo acaba de presentar más ampliamente; se trata del grupo e-Crime (recurro a una nota de prensa venezolana porque explica las medidas no legislativas que urge impulsar).