¿Pero qué necesidad? La filtración de datos de salud del MINSAL no es una contribución a la transparencia en política pública

Con consternación y mucha preocupación hemos visto como el periódico digital Interferencia ha publicado hoy información georreferenciada sobre las personas que dieron positivo al examen de COVID-19. Se trata de una serie de mapas de distintas comunas de la región metropolitana con información verídica, confirmada por el Ministerio de Salud (MINSAL), y actualizada a la semana pasada, que señala la ubicación de quienes están o han estado en tratamiento contra la enfermedad. Si bien no figuran las direcciones completas, sí aparecen señaladas las calles y la altura aproximada de las viviendas de las y los pacientes, que permite inferir con bastante precisión su localización. Se trata de una situación gravísima, que pone de manifiesto problemas de seguridad en el manejo confidencial de información sensible que deben ser resueltos del modo más expedito, y ejerciendo todas las facultades que otorga la ley para sancionar y enmendar el daño causado.

En primer lugar, la filtración deja al descubierto los negligentes mecanismos de control con los que el Ministerio de Salud protege información sensible que la ley le obliga a resguardar con confidencialidad. De acuerdo con lo declarado por el mismo medio de comunicación, “ni siquiera los Seremi de Salud pueden acceder abiertamente a esta información”, por lo que no se explica cómo Interferencia no solo accede a los datos, sino que además los publica. Esto da cuenta de un problema grave de seguridad del MINSAL, que requiere no solamente una explicación detallada respecto al problema y sus soluciones, sino además sanciones ejemplares contra quienes resulten responsables.

De igual forma, existen responsabilidades en el medio de comunicación, quienes de forma completamente irresponsable y carente de ética profesional han divulgado información altamente sensible, con resultados potencialmente devastadores para las personas afectadas. De manera sumamente indolente el medio declara:

“La información disponible en esa Base de Datos reservada del Minsal permite ubicar la dirección exacta de una persona que dio positivo en el examen de Covid-19. INTERFERENCIA tuvo a la vista esos mapas ultra detallados, pero decidió no publicar ese nivel de detalles. ¿Por qué? Para evitar peleas entre vecinos o actos de discriminación en contra de comunidades inmigrantes, donde el Coronavirus está causando estragos.

¿Tiene relevancia publicar esta información? Desde luego que sí, toda vez que la transparencia en los datos puede informar a expertos y encargados políticos para estudiar o aplicar medidas que ayuden al país a contener esta crisis”.

Interferencia, en su intento por dar un golpe periodístico, no solamente ha decidido ignorar las directrices editoriales que deben regir la cobertura de la crisis, sino que posiblemente no las comprenden, y eso es sumamente grave. No publicar el detalle de la información no es una muestra de cortesía por parte del medio, sino un imperativo ético y legal pues, tal como indica Edison Lanza — Relator para la Especial para la Libertad de Expresión de la Comisión Interamericana de Derechos Humanos— no existe en ello un interés público prevalente.

En una nota aclaratoria publicada posteriormente, Interferencia declaró que los puntos señalados en el mapa habían sido movidos “entre 50 y 100 metros de su lugar original hacia direcciones aleatorias”, de modo que, además de poner en riesgo a una cantidad importante de personas,  la información proporcionada además es poco fiable y pone en riesgo adicional a más personas.

Por otro lado, la nota incurre en un error conceptual: la comunidad científica ha reclamado mayor acceso y transparencia de las cifras relacionadas con el COVID-19, pero esta información debe entregarse de forma anonimizada y con el debido tratamiento para el análisis estadístico de los datos. No se necesita la identidad y dirección de cada infectado para hacer políticas públicas.

Es importante recalcar que el acceso a la información por parte de personas no facultadas legalmente para ello es responsabilidad del MINSAL, no del medio. Interferencia es responsable de la divulgación de información sensible y por ello debe responder de acuerdo con lo establecido en la ley.

El combate al COVID-19 requiere de medidas excepcionales, pero no pueden llevarse a cabo sin consideración por el respeto a los derechos fundamentales. Del mismo modo, la acción de privados que tienen una responsabilidad social, como es el caso de los medios de prensa, debe hacerse de manera consciente y considerada con los derechos de las personas sobre quienes se informa: la necesidad de informar en tiempos excepcionales no es excusa para difundir información veraz cuando esa difusión trata de cuestiones sensibles. La información referente al estado de salud de las personas, más todavía en un contexto de pandemia, es sumamente delicada, pues las podría exponer a distintas formas de discriminación, tanto en el presente como en en el futuro. Algunas de ellas ya las hemos padecido: vecinos incómodos con la presencia de funcionarios de la salud o contagiados en sus edificios, condominios o barrios, a las que podrían sumarse o acciones de discriminación en oportunidades de empleo basadas en el desarrollo de anticuerpos o la determinación de primas de salud futuras por posibles secuelas, entre muchas otras.

Por último, este episodio vuelve a recalcar la importancia de que las instituciones implementen medidas técnicas y disposiciones organizacionales enfocadas a la seguridad y la confidencialidad de estos datos sensibles. En adelante deberíamos discutir como transparentar información que es realmente útil para entender la evolución de la pandemia como número de tests negativos y positivos, o tiempo de demora en la comunicación de resultados, y dar más acceso a los datos estadísticos o correctamente anonimizados cuando sea oportuno, pero en caso alguno entregar aquellos datos personales y sensibles de la población que la sitúa en riesgo severo de discriminación.

Declaración para la protección de las personas defensoras de los derechos digitales

Las organizaciones de la sociedad civil firmantes expresamos nuestra preocupación por la tendencia mundial de perseguir a las personas que defienden los derechos humanos utilizando medios y plataformas digitales, incluidas quienes realizan investigaciones y proveen entrenamientos de seguridad para proteger y promover estos derechos. Exigimos que se fortalezca la protección de su trabajo y se les reconozca como personas defensoras de los derechos humanos.

Ya sea a través de leyes que penalizan su actividad o mediante persecución judicial destinada a silenciarlas y castigarlas, su trabajo y sus vidas están en peligro. Esta tendencia tiene un efecto perjudicial sobre los derechos humanos, tanto en línea como fuera de línea. Casos de injerencia política como el caso penal contra Ola Bini en Ecuador, la investigación y las medidas arbitrarias tomadas contra Javier Smaldone en Argentina, así como los casos de Alaa Abd El Fattah en Egipto, Fikret Baskaya en Turquía, Ahmed Mansoor en el Los EAU y muchos otros son parte de una tendencia mundial creciente y peligrosa.

El trabajo que hacen las personas defensoras de los derechos digitales en defensa de la privacidad es fundamental para la protección de los derechos humanos. Cuando crean conciencia sobre la existencia de vulnerabilidades en los sistemas, permiten que los sectores público y privado encuentren soluciones que mejoren la seguridad de la infraestructura y el software en beneficio del público. Además, su trabajo brindando asesorías de seguridad para periodistas y activistas de derechos humanos es de vital importancia para la seguridad de quienes ejercen el periodismo, activistas y personas que defienden derechos humanos desde otros frentes.

El trabajo de quienes defienden de los derechos digitales es un ejercicio legítimo del derecho a la libertad de expresión y, como tal, debe protegerse. Los relatores especiales sobre el derecho a la libertad de opinión y expresión de la Organización de los Estados Americanos y las Naciones Unidas han expresado su preocupación por la detención y el enjuiciamiento de defensores de los derechos digitales como Ola Bini. Usar código o lenguajes de programación es otra forma de expresar ideas en lo que generalmente se conoce como lenguajes de alto nivel. Más importante aún, su investigación es una manifestación de buscar, recibir y compartir información. Este derecho es esencial cuando la información buscada es crítica para la gobernanza, protegiendo la privacidad y la seguridad de la infraestructura.

Rechazamos toda persecución de quienes defienden de los derechos digitales. Exigimos el reconocimiento de su trabajo a nivel legal, social y político. Las personas defensoras de los derechos digitales también deben ser reconocidas como defensoras de los derechos humanos, ya que trabajan por la defensa de los derechos humanos fundamentales y por el interés público. Por lo tanto, su trabajo y sus derechos básicos deben protegerse para garantizar el desarrollo seguro, transparente y democrático de Internet y las tecnologías digitales en todo el mundo. Se les debe permitir hacer su trabajo sin temor al acoso judicial o cualquier forma de daño proveniente del Estado.


Access Now 

Amnesty International

Arab Digital Expression Foundation – ADEF

Article 19

ASLE

Association of Progressive Communications

Casa da Cultura Digital Porto Alegre

Centro de Documentación en Derechos Humanos «Segundo Montes Mozo S.J»

Committee for the Protection of Journalists (CPJ)

Comité Permanente por los Derechos Humanos (CDH)

Derechos Digitales

EFF

Fórum Nacional pela Democratização da Comunicação (FNDC)

Freedom of Press Foundation

Fundación Huaira

Fundación Regional de Asesoría en Derechos Humanos (INREDH)

Fundación Vía Libre

Gulf Centre for Human Rights (GCHR)

Human Rights Watch

Idec – Instituto Brasileiro de Defesa do Consumidor

Indymedia Ecuador

Instituto de Pesquisa em Direito e Tecnologia do Recife (IP.rec)

Instituto Nupef – Núcleo de Pesquisas, Estudos e Formação

Internet Freedom Foundation

Intervozes – Coletivo Brasil de Comunicação Social

Karisma

Lavits – Rede Latinoamericana de Estudos em Vigilância, Tecnologia e Sociedade

Open Knowledge Brasil

Organização Compas – Associação Internacional de Comunicação Compartilhada

Privacy International

Rede Ciranda.net

Rede de Direitos Humanos e Cultura (DHnet)

Reporters without Borders

TEDIC

Usuarios Digitales

Vigilance for Democracy and the Civic State 

Manual rápido de OONI Probe para monitorear bloqueos de sitios y servicios usando teléfonos Android


Instalación

La aplicación está disponible en la Google Play Store en https://play.google.com/store/apps/details?id=org.openobservatory.ooniprobe y en F-Droid en https://f-droid.org/packages/org.openobservatory.ooniprobe/ 

Existe una versión para iOS en https://apps.apple.com/us/app/id1199566366 la cual no ha sido probada para la realización de esta guía.

Inicialización

Al abrir la aplicación por primera vez dará un tour por las funcionalidades básicas del programa y al final hará un quiz sorpresa con preguntas relevantes sobre el riesgo de usar la aplicación, los dos puntos más importantes de considerar son:

  • Cualquiera que esté monitoreando nuestra red o nuestro tráfico de internet puede saber que estamos usando OONI Probe.
  • Los datos recopilados en las pruebas será cargado de forma automática al servidor central del proyecto (hacen lo posible por ocultar información con la que nos puedan identificar pero se advierte que en algunos casos esto puede ser insuficiente para anonimizar algunos resultados).

Uso básico

La interfaz principal de la aplicación es como sigue, se pueden ejecutar análisis sobre sitios web, clientes de mensajería instantánea, Rendimiento y Middleboxes (equipamiento usado para vigilar tráfico en internet), todas estas pruebas tienen opciones automáticas que son ejecutadas al momento de pulsar ejecutar y algunas permiten configurar exactamente qué se quiere probar.


Prueba sobre sitios web

Esta prueba analiza si existen bloqueos técnicos para consultar sitios web, además en caso de existir estima por qué métodos técnicos se están ejecutando los bloqueos correspondientes. Si se ejecuta en análisis por defecto que propone la aplicación se probara una lista preexistente por países que puede estar desactualizada dependiendo de la región particular. También se pueden definir sitios personalizados para probar y estas listas de sitios pueden ser compartidas por otros para que ejecuten más pruebas.

En caso de que quieras ejecutar pruebas sobre sitios propios, haz lo siguiente:


Prueba sobre servicios de mensajería

Esta prueba verifica que se puede acceder correctamente a Whatsapp, Telegram y Facebook Messenger. Sólo da opción de ejecutar la prueba para esos servicios de forma predeterminada, no permite agregar otros servicios 

Prueba de middleboxes

Esta prueba intenta detectar equipamiento usado generalmente para vigilar tráfico de red y en ocasiones censurarlo, esta prueba no toma ningún parámetro personalizado por lo que sólo es necesario pulsar ejecutar en la pantalla principal para iniciarlo

Compartir resultados

Aunque en https://explorer.ooni.org/ se pueden consultar los resultados cargados en el servidor de OONI Probe, normalmente estos tardan en aparecer, por lo que se recomienda buscar los resultados de forma manual y enviarlos a quien pueda interpretarlos o guardarlos en notas propias, correos electrónicos, etc. Para conservar documentación de los hallazgos.


Algunas consideraciones

  • Cuando el servicio de internet está intermitente es posible que algunos resultados sean falsos positivos, por lo que se recomienda.
  • Confirmar en varios dispositivos de varias personas antes de publicar que un sitio o servicio está siendo bloqueado.
  • Esta aplicación no está diseñada para medir apagones de internet, en este caso se recomienda documentar la falta de señal o cobertura de otras formas.
  • Esta aplicación NO detecta vigilancia de llamadas de voz o mensajes de texto.

¿Hacia dónde va el primer tratado sobe economía digital?

El pasado 17 de mayo, los representantes de Chile, Singapur y Nueva Zelanda anunciaron la negociación de un nuevo tratado de comercio internacional: el Acuerdo de Asociación sobre Economía Digital (Digital Economy Partnership Agreement, DEPA). La novedad es que este será el primer tratado comercial dedicado exclusivamente a abordar los desafíos de la economía digital, especialmente luego del estancamiento de las negociaciones en la materia a nivel de la Organización Mundial del Comercio (OMC).

La semana pasada, la Subsecretaría de Relaciones Económicas Internacionales de Chile (ex DIRECON) convocó la primera reunión oficial, permitiendo a los miembros de la industria, la academia y la sociedad civil chilenas conocer más detalles sobre la iniciativa. Los primeros acercamientos se produjeron en diciembre de 2018 y hasta el momento se han celebrado tres rondas de negociación. La negociación será cerrada entre los tres países hasta su conclusión, pero luego se permitirá la adhesión de cualquier país que pertenezca a la OMC. 

En cuanto a las materias que se van a incorporar en el tratado, estas van desde las más tradicionalmente vinculadas al comercio electrónico (pagos electrónicos, no aplicación de tarifas aduaneras a servicios digitales, firma electrónica, etcétera) a temas nunca incluidos en un tratado internacional, como la regulación de la inteligencia artificial y la tecnología de cadenas de bloques (blockchain). Vamos por partes.

Nobleza obliga

Entre los temas que se han propuesto en la negociación, hay dos que son particularmente positivos (ambos propuestos por Chile). El primero, es la inclusión explícita de normas que promueven la utilización del cifrado. Esto es relevante porque la tecnología de cifrado de comunicaciones (especialmente de punto a punto) se ha transformado en una herramienta indispensable para mejorar los estándares de ciberseguridad de las industrias y los distintos servicios digitales. En este sentido, el cifrado no solo asegura que las personas puedan ejercer su derecho a la inviolabilidad de las comunicaciones, sino que promueve la confianza de los usuarios en la seguridad de los servicios y plataformas que operan en el ciberespacio. Esto tiene un efecto económico tangible, ya que estudios indican que el 33 % de los consumidores expresa haberse abstenido de adquirir productos y servicios en línea debido a consideraciones de seguridad y privacidad.

Su inclusión también resulta positiva a la luz de la iniciativa de distintos países para debilitar el cifrado, exigiendo a los desarrolladores incorporar “puertas traseras” en sus servicios, para “descifrar” el contenido encriptado. Estas puertas traseras son verdaderas vulnerabilidades informáticas, que no solo pueden ser aprovechadas por los gobiernos que las exigen, sino que también por delincuentes informáticos, como ya ha sucedido. Si bien todavía no se han dado a conocer los textos para cada propuesta, la inclusión de una norma que impida a los países exigir la inclusión de puertas traseras en programas informáticos sería un gran paso en la promoción de la ciberseguridad y el comercio electrónico.

Entre los temas propuestos también se encuentra la inclusión de normas que consagren el principio de neutralidad de la red. Este principio busca asegurar que los operadores de internet traten todo el tráfico que pasa por sus redes de la misma forma, impidiendo que puedan bloquear, interferir o priorizar cierto tipo de tráfico por sobre otro. Este principio básico de internet no solo promueve la competencia y la innovación al impedir que los operadores de internet puedan llegar a acuerdos privados con proveedores de contenido, sino que también promueve la existencia de un internet libre y abierta, al impedir que los proveedores puedan decidir qué contenido debe obtener un trato preferencial. 

Lo que puede mejorar

Derechos Digitales ha sido crítico de las disposiciones sobre comercio electrónico que han sido incluidas en tratados internacionales anteriores, como CPTPP o TiSA. Una de nuestras críticas es que las normas sobre flujo transfronterizo de datos personales establecen un mismo criterio para los “datos” (así, en general) que para los datos personales. 

Internet funciona por capas. En un modelo simplificado, existe una capa de infraestructura (cables, servidores, etcétera), una capa de protocolo (estándares y código) y una capa de contenido (interacciones entre seres humanos). Nadie discute que la arquitectura de internet exige que exista un libre flujo de información. En otras palabras, en la capa de infraestructura no debe existir una discriminación de hacia dónde o cómo viaja la información (los unos y los ceros). Sin embargo, los datos personales no se regulan en la capa de infraestructura, sino que en la capa de contenido. Al ser datos que se vinculan a personas naturales, su recolección y procesamiento tiene que cumplir con la regulación de cada país y respetar los derechos fundamentales de las personas. Así, el Reglamento General de Protección de Datos Personales de la Unión Europea permite que los datos personales de sus ciudadanos solo puedan transmitirse a aquellos países que tengan un nivel “adecuado” de protección. 

La negociación de DEPA se presenta como una oportunidad para enmendar el camino y redactar una norma sobre flujo transfronterizo de datos personales que haga las distinciones que hacen falta. Consagrando el valor del libre flujo de datos en la capa de infraestructura, pero estableciendo que (en la capa de contenidos) los datos personales solo podrán ser transmitidos cuando cumplan con la respectiva legislación de datos personales, o a lo menos, con una protección normativa efectiva a favor de sus titulares.

Aspectos preocupantes

Lamentablemente, la negociación del DEPA también incluye materias que resultan sumamente problemáticas y que deberían ser abandonadas de plano. Así, la negociación incluye normas para promover la adopción de políticas públicas sobre “identidad digital” similares al sistema National Digital Identity de Singapur.

Estas políticas no solo son problemáticas en términos de ciberseguridad, ya que implican concentrar el manejo de todos los datos personales de los ciudadanos en una base de datos centralizada , sino que muchas veces van acompañadas de la utilización de tecnologías de control biométrico. Esto hace que cualquier tipo de filtración, vulneración o mal utilización de la información genere una afectación mucho más grave al derecho a la autodeterminación de las personas. 

Si nuestros datos se filtran, siempre podemos cambiar nuestro correo electrónico, teléfono, domicilio e incluso nuestros nombres, pero es imposible cambiar nuestra iris o huella digital. En este sentido, la biometría es como una caja de pandora: una vez abierta las personas se ven imposibilitadas de recuperar el control sobre sus datos. ¿Qué pasará el día que un gobierno sufra la filtración o robo de todos los datos biométricos de sus ciudadanos? Además, las políticas de identidad digital promueven el uso de un método único de identificación frente a organismos públicos, pero también ante el mundo privado como forma de facilitar las transacciones económicas. Esto implica aumentar la capacidad de perfilamiento y vigilancia sobre los ciudadanos, tanto de los gobiernos como de las empresas, con las consecuencias democráticas que ello conlleva. 

Por otro lado, DEPA propone incluir normas sobre regulación de plataformas que buscan combatir el terrorismo y el discurso de odio en línea. Si bien estos son objetivos completamente loables, la responsabilidad de los intermediarios y la regulación del contenido en las plataformas es hoy un tema sumamente polémico, por las profundas consecuencias que puede tener en materia de libertad de expresión. 

Hacer responsables directamente a los intermediarios del contenido que suben sus usuarios obliga a las plataformas a monitorear permanentemente lo que circula en sus servicios y bajar “preventivamente” y sin un debido proceso cualquier material que pueda ser infractor. A eso se suma el uso de algoritmos e inteligencia artificial pero, dado que ninguna máquina tiene la capacidad de comprender las complejidades del lenguaje humano, estos mecanismos han demostrado no ser confiables a la hora de moderar contenido.

Además, tales sistemas terminan bajando más contenido legítimo, mientras que el contenido que se busca combatir se mantiene disponible. También resulta problemático que sean empresas privadas las que terminan decidiendo sobre actos de expresión (muchas veces de forma muy deficiente) sin una ponderación entre derechos fundamentales. Por lo mismo, a pesar de las buenas intenciones, consagrar reglas sobre esta materia en un tratado internacional podría generar profundos efectos perjudiciales a futuro.

Por último, DEPA se propone reconocer la importancia y crear marcos para una implementación progresiva, confiable y segura de tecnologías emergentes como la inteligencia artificial y las cadenas de bloques. Más allá de los peligros que la implementación de la inteligencia artificial puede implicar en materia de sesgos algorítmicos, y que al parecer las cadenas de bloques no serán implementadas en la escala que alguna vez se especuló, no resulta recomendable que un tratado internacional se refiera a tecnologías particulares, que no necesariamente van a resistir el paso del tiempo. Una aproximación que involucre criterios de neutralidad tecnológica resultaría más aconsejable en esta materia.

En definitiva, la negociación de DEPA se presenta como una gran oportunidad para incluir temas que promuevan la ciberseguridad y la neutralidad de la red, al mismo tiempo que se mejora la forma en que se abordan materias que han sido tratadas de forma deficiente en el pasado. La promoción de la ciberseguridad, la certeza jurídica y una aproximación de derechos humanos en el tratamiento de datos personales es un elemento que sin duda favorecerá la confianza en el ciberespacio y el comercio electrónico. Sin embargo, esta oportunidad puede verse opacada por la inclusión de materias sensibles y que pueden ser incompatibles con el ejercicio de los derechos fundamentales de las personas. Por suerte la negociación todavía se encuentra en su etapa inicial y todavía hay tiempo para enmendar el rumbo en los temas problemáticos y profundizar en aquellos que son positivos.

Contra la persecución política a Ola Bini

Ola Bini es un reconocido activista por el software libre y experto en seguridad digital. Desde el 11 de abril de 2019 se encuentra sujeto a un proceso judicial en Ecuador, acusado de haber vulnerado sistemas informáticos. Tal proceso, sin embargo, ha sido ampliamente cuestionado por la multiplicidad de irregularidades cometidas y por estar bajo un sinnúmero de presiones políticas.

El primer elemento ha sido confirmado por el Habeas Corpus otorgado en junio pasado por parte del tribunal de la Corte Provincial de Pichincha y por las expresiones oportunamente realizadas por las Relatorías Especiales sobre la Libertad de Expresión de la Organización de Estados Americanos (OEA) y la Organización de las Naciones Unidas (ONU).[1] [2]

Por su parte, la Misión Internacional de la Electronic Frontier Foundation (EFF) enviada recientemente a Ecuador, tras conversar sobre esta situación con políticos, académicos y periodistas de distintas tendencias, ha concluido que la motivación tras el caso de Ola Bini es política, no criminal.[3] De hecho, todavía se desconoce cuáles son los sistemas informáticos de cuya vulneración se le acusó en un principio.

Junto con ello, una serie de hechos recientes han encendido nuevas alertas. En primer lugar, la vinculación de una nueva persona a la causa por el sólo hecho de mantener un vínculo profesional con Bini y a pesar de que en la audiencia respectiva no se presentaron los elementos jurídicos necesarios para cumplir con dicho trámite. Además, el Fiscal a cargo de la acusación decidió abrir dos nuevas líneas de investigación contra Ola Bini: por “defraudación fiscal” y “tráfico de influencias”. De tal forma, la fiscalía ahora se propone investigar por hasta el plazo de 2 años más al activista.

Esta última decisión sugiere que no se cuentan con pruebas que sustenten las acusaciones originalmente realizadas contra Bini y que la atención de la justicia y el gobierno ecuatoriano no está puesta en un delito, sino en una persona. Esto nos lleva a confirmar el temor expresado por algunas organizaciones internacionales que trabajan por los derechos humanos en internet que desde el momento de la detención de Ola Bini alertaron sobre la espiral de persecución política contra un activista de renombre internacional, cuyo trabajo es globalmente reconocido por la protección de la privacidad.

Considerando lo expresado más arriba y las conversaciones mantenidas en el marco del XII Foro de Gobernanza de Internet de América Latina y el Caribe (LACIGF por sus siglas en inglés), los abajo firmantes rechazamos el escenario persecutorio montado contra Bini, demandamos que se respete el debido proceso por parte de todas las funciones del Estado e instamos a que los actores políticos dejen de interferir en la justicia.

Firman:

  • Asociación para el Progreso de la Comunicaciones
  • Derechos Digitales
  • Electronic Frontier Foundation
  • Internet Bolivia
  • Intervozes
  • Fundación Karisma

[1] https://cnnespanol.cnn.com/2019/06/20/tribunal-de-ecuador-acepta-recurso-de-habeas-corpus-para-ola-bini/

[2] https://www.eluniverso.com/noticias/2019/04/15/nota/7287350/relatorias-onu-oea-cuestionan-detencion-ola-bini

[3] https://www.eff.org/es/deeplinks/2019/08/ecuador-political-actors-must-step-away-ola-binis-case

Sobre el ataque reportado a OpenPGP

Desde hace varios años, ha tomado mucha importancia en algunas comunidades el protocolo OpenPGP para establecer comunicaciones seguras y niveles de confianza entre actores desconocidos. En primer lugar, hay quienes desean o necesitan comunicarse de una forma en la que se garantice que nadie más con acceso al mensaje pueda leerlo, y por otro lado, hay quienes necesitan verificar si un contenido en realidad está siendo publicado por quien dice, y por lo tanto pueden confiar al momento de descargarlo y manipularlo.

Este último ejemplo resulta de especial interés, pues aunque no lo sepamos, muchas personas utilizan OpenPGP o protocolos similares para manejar actualizaciones de software. Esto se hace para garantizar que las nuevas actualizaciones sean provistas por los desarrolladores originales de los programas y no por algún atacante que nos engaña para que instalemos código malicioso en nuestros equipos, haciéndose pasar por el programa original que queríamos actualizar.

¿Qué necesitamos saber para entender el ataque?

Como tecnología e infraestructura, PGP puede resultar complicada de explicar. Para entender mejor el ataque que está sufriendo podemos repasar algunos conceptos clave de su diseño:

Llaves públicas y privadas

Para que PGP pueda funcionar, las entidades involucradas deben crearse un par de archivos llamados llave pública y llave privada: la primera está diseñada para repartirse por tantos canales como sea conveniente para que cualquiera que la tenga, pueda enviar mensajes confidenciales al titular de la llave; por su parte, la llave privada debe permanecer segura en manos de su titular, pues es la que le permite abrir los mensajes confidenciales que se han recibido utilizando la llave pública. Si esta llave cayera en manos de terceros se rompería toda la seguridad que brinda esta tecnología.

Cifrado y firmado de mensajes

Una de las peculiaridades del uso de estas llaves es que podemos cifrar un mensaje con una de las dos y solo puede ser descifrado usando la otra. El uso más común es usar la llave pública de alguien para cifrar y enviarle un mensaje confidencial, ya que la persona destinataria solo podrá descifrar y leer el mensaje con la llave privada correspondiente.

Otra utilidad es cuando publicamos algo cifrado con nuestra llave privada. En principio será ininteligible, pero cualquiera que tenga nuestra llave pública puede descifrar el mensaje, confirmando así que nosotros -que poseemos la llave privada- fuimos quienes escribimos el mensaje en cuestión, aumentando el nivel de confianza y certificando que el mensaje es auténtico. A este proceso nos referimos cuando hablamos de firmar un mensaje.

Firmado de llaves

De la misma forma en que se pueden firmar mensajes arbitrarios, también podemos firmar un mensaje diciendo que la llave de alguien mas en efecto es de esa persona y no de un tercero haciéndose pasar por ella. Este mensaje se puede agregar a la llave pública «firmada», entonces cuando la busquemos no solo encontraremos la llave pública como tal, sino además todas las firmas de aquellos usuarios que declaran la autenticidad de esta llave.

Servidores de llaves y sincronización

Para solucionar el problema de cómo conseguir llaves públicas de otras personas, existen servidores particulares que se dedican específicamente de esta tarea, almacenando y actualizando llaves públicas y firmas. Muchos de estos servidores hablan entre ellos para mantener su información sincronizada.

Como una decisión de diseño, cuando se programó toda esta infraestructura se decidió que cualquier usuario podía firmar una llave particular y que todas las llaves públicas se almacenarían con sus correspondientes firmas.

Para saber más sobre cómo funciona PGP y sus implementaciones se podemos consultar este artículo recomendado de la EFF Una mirada en profundidad al cifrado de extremo a extremo: ¿Cómo funcionan los sistemas de cifrado de clave pública? Para comenzar a enviar mensajes cifrados con este protocolo podemos consultar las guías disponibles en la guía Surveillance Self-Defense también de la EFF.

Ahora sí, ¿cómo es el ataque reportado?

A finales de Junio algunas personas integrantes y cercanas a la comunidad de OpenPGP anunciaron que sus propias llaves públicas estaban siendo inundadas de firmas sospechosas, llegando en algunos casos a más de 150.000 para el momento de publicación de este artículo, además todas estas firmas están siendo sincronizadas entre la mayoría de los servidores de llaves disponibles.

Como tal, tener una gran cantidad de firmas en una llave pública no debería afectar el funcionamiento del protocolo, sin embargo, muchas implementaciones y programas que usan OpenPGP no están diseñadas para manejar más de unas pocas decenas de firmas por llave pública, entonces al procesar estas llaves inundadas tardan mucho tiempo o incluso se cuelgan, inutilizando OpenPGP al actualizar, importar o usar llaves públicas comprometidas.

Este problema ha sido reportado en el pasado como una vulnerabilidad teórica producto de la decisión de diseño de permitir que cualquiera pueda firmar llaves públicas de otros. Esta «falla de diseño» nunca fue corregida y hasta ahora no había sido vulnerada.

¿Cuál es el alcance actual del problema?

En principio, hay que aclarar que las características de OpenPGP no han sido vulneradas en absoluto, solo que su funcionamiento previsto está siendo abusado para afectar a ciertos programas que utilizan este protocolo. Por otra parte, la confidencialidad o integridad de nuestros mensajes no ha sido comprometida, ningún tercero podrá leer nuestros mensajes antiguos o modificarlos. Lo que produce esta inundación de llaves públicas es afectar la forma en la que algunos programas se comportan al descargar o procesar llaves comprometidas.

De hecho, para el momento de publicación de este artículo se ha detectado el compromiso de unas pocas llaves públicas de personas puntuales, por lo que se especula que este tipo de ataques se van a masificar en el futuro cercano, pero en este momento OpenPGP debería funcionar igual que siempre para la gran mayoría de los usuarios.

¿Solo nuestros correos que usan PGP estarían afectados?

En principio no. Como comentábamos al principio hay otros procesos que dependen del uso de llaves públicas como la actualización de software, en donde se comprueba la veracidad de las actualizaciones disponibles revisando el firmado de las mismas por parte de los desarrolladores oficiales.

En estos casos, dependerá de cómo se realiza el manejo de llaves públicas y firmas de los desarrolladores para cada implementación, pero para que este tipo de ataques afecte a un canal de actualización de software se debería cumplir al menos lo siguiente:

  • Que la llave sea obtenida o actualizada desde un canal que permita agregar firmas arbitrarias a llaves públicas.
  • Que el sistema que procesa las llaves realice alguna acción con las firmas afectadas.
  • Que alguien haga la firma masiva del certificado de forma intencional.
  • Que se lleve a cabo todo el proceso antes de que los diferentes programas actualicen su funcionamiento para adaptarse a este problema.

¿Podemos hacer algo como usuarios y usuarias?

Para este momento existen varias estrategias que podemos seguir para evitar las afectaciones por este tipo de ataques:

  • No actualizar llaves en nuestros repositorios, solo usar llaves que ya tengamos guardadas y sean funcionales.
  • Descargar nuevas llaves y actualizar existentes desde fuentes que no guarden firmas de llaves:
  • Usar clientes que soporten Autocrypt, una tecnología reciente que consiste en enviar las llaves públicas de forma automática junto a los mensajes y que estas sean manejadas de forma automática sin considerar firmas entre otras características. En este momento la implementación más usada de OpenPGP que soporta Autocrypt es Thunderbird + Enigmail, pero debe ser activada manualmente.
  • Esperar por la implementación de soluciones en los programas que actualmente implementan OpenPGP (esto puede tardar).

¿Qué podemos esperar de este incidente?

En principio, aunque el potencial de daño parece importante, este ataque tiene a la fecha un alcance mas bien limitado, lo que nos brinda cierto margen de maniobra en términos de tiempo para informar la situación y aplicar los correctivos necesarios. Esto eplica tanto para usuarios como para desarrolladores, quienes necesitarán adecuar sus programas para no verse afectados por este tipo de problemas. Queda ver si esta inundación de llaves públicas se queda como está a modo de advertencia a la comunidad técnica o escalará y entonces tendremos que prepararnos para la afectación de otros aspectos impactados por el uso de OpenPGP.

Una de las reflexiones más relevantes respecto a este ataque es que cuando nos casamos con una tecnología nos casamos con su diseño, así como con sus defectos, que a veces pueden llevar a situaciones de afectación menor como hasta ahora ha sido con este incidente o a vulnerabilidades de seguridad importantes que pueden comprometer nuestras comunicaciones, datos o incluso el propio uso de nuestros equipos, como podría pasar si este problema de inundación de llaves llega a afectar de forma masiva la actualización de nuestros sistemas operativos.