Confundir privacidad con seguridad: el error fatal

En un vuelo largo reciente, aproveché para devorar una cantidad, francamente, demencial de episodios de podcasts. Estar al día con tantas series diferentes significa que nunca me falta algo que escuchar, con conversaciones fascinantes —aunque unilaterales— a solo un toque de distancia en la pantalla de mi teléfono.

Finalmente, llegué a un episodio del podcast de crímenes reales Casefile. Esta serie dramática y sin filtros (que cuenta con un presentador anónimo de voz ominosa) profundizó en un tema que fascina incluso a los tecnólogos más expertos: la web profunda y el ascenso catastrófico del sitio web de comercio de contrabando, Silk Road. Dividido en dos partes, quienes conocen el auge y la caída de Silk Road sin duda habrán seguido las noticias sobre el caso, pero el podcast revela cada pequeño detalle en una narrativa deliciosa y llena de tensión.

Silk Road: Lecciones desde la mazmorra de la web profunda

Si no estás familiarizado con los pormenores de Silk Road, el resumen rápido es que un hombre creó un sitio de comercio en la web profunda, oculto a las miradas indiscretas del público general e invisible sin el uso de software especial: el navegador Tor, para ser exactos. Inicialmente, el sitio solo ofrecía sus hongos alucinógenos de cosecha propia, pero, prácticamente de la noche a la mañana, explotó con vendedores que ofrecían desde drogas duras hasta armas ilegales y datos de tarjetas de crédito robadas. Puedes ponerte al día aquí. El creador y administrador del sitio usaba el seudónimo inspirado en La princesa prometida, Dread Pirate Roberts. Él era todos, él no era nadie. Todos los usuarios intercambiaban un verdadero botín de bienes ilegales, y lo hacían de forma completamente anónima (y, en el proceso, le dieron a Bitcoin la reputación de ser la moneda preferida de los traficantes de drogas; un apodo que apenas está empezando a sacudirse).

Sin embargo, el experimento antisistema de Dread Pirate Roberts se convirtió en una bestia incontrolable. Pronto, asesinos a sueldo anunciaban sus servicios. Gente mala haciendo cosas malas... y él estaba embriagado por su nueva e inmensa riqueza. Incluso intentó utilizar los servicios de un asesino a sueldo anunciado para deshacerse de un antiguo empleado. En resumen, esta fue una de las muchas decisiones estúpidas que provocaron su caída. Fue desenmascarado como Ross Ulbricht y actualmente se pudre en una celda de una prisión estadounidense, cumpliendo una doble cadena perpetua más cuarenta años sin posibilidad de libertad condicional.

Pero, ¿cómo lo atraparon si todo era completamente privado y anónimo?

Bueno, para ser claros: era un programador bastante mediocre. El sitio de Silk Road en sí era como una vieja barcaza con fugas abandonada en el océano. Teniendo en cuenta que era un centro de actividad ilegal (y todos los datos detrás de esa actividad), no era seguro en absoluto; era un blanco fácil esperando ser explotado por un hacker oportunista. Para ser justos, cuando eres el cerebro de un enorme negocio ilegal de tráfico de drogas, probablemente no sea fácil encontrar empleados competentes que quieran involucrarse en tu operación. Tampoco ocultó su falta de habilidad: incluso publicó bajo su nombre real en Stack Overflow (sí, esa es su cuenta de usuario), pidiendo ayuda para configurar correctamente el código de su sitio para conectarse con Tor usando Curl en PHP. Cambió su nombre real por el apodo "frosty" menos de un minuto después de publicar, pero esto claramente no ayudó... de hecho, probablemente causó más daño: la clave de cifrado en el servidor de Silk Road terminaba con la subcadena "frosty@frosty", lo que lo implicó aún más una vez que el FBI le siguió la pista.

A pesar de un impulso tan grande por la privacidad, con mensajería cifrada, moneda e instrucciones explícitas sobre cómo asegurar el contrabando durante el tránsito y la entrega, el sitio no era la fortaleza impenetrable de fantasía libertaria que Ulbricht pudo haber imaginado. Aquellos con las habilidades (léase: programadores empleados por el FBI) lo desmantelaron lenta pero seguramente para revelar todo... incluidas las identidades de miles de personas que realizaron transacciones en el sitio. Es posible que quienes compraron productos ilícitos hace muchos años todavía reciban una visita de la larga mano de la ley en algún momento.

El FBI publicó documentación que describe cómo lograron penetrar en Silk Road, con la explicación general de que utilizaron una fuga de dirección IP. Una configuración incorrecta de la página de inicio de sesión de Silk Road reveló la dirección IP y, por lo tanto, la ubicación física de sus servidores, sin necesidad de ningún hackeo complejo. Un error de novato, sin duda, y uno que finalmente llevó al FBI directamente a Ross Ulbricht.

Existe la especulación de que este fallo, si es que existió, habría sido detectado mucho antes por uno de los muchos profesionales de seguridad que monitoreaban el sitio. Nik Cubrilovic, un consultor de seguridad australiano, afirma que simplemente no estaba allí en una entrevista con WIRED:

"No hay forma de que puedas estar conectado a un sitio Tor y ver la dirección de un servidor que no es un nodo Tor. La forma en que intentan hacer creer a un jurado o a un juez que sucedió simplemente no tiene sentido técnico".

Cubrilovic luego insinúa que la información pudo haber sido obtenida mediante prácticas de hackeo ilegales. Esa práctica parece ser la inyección SQL, un rumor no probado que se ha discutido como un método de extracción plausible en muchos sitios desde entonces.

La legalidad de las tácticas del FBI es una discusión totalmente aparte. El hecho de que la información pudiera obtenerse en absoluto es indicativo de las malas prácticas de seguridad de Silk Road, a pesar de la creencia general de los usuarios de que el sitio era "privado". Cuando se confunde la privacidad con la seguridad, la posibilidad de exposición a vulnerabilidades aumenta sin duda alguna.

También existe la posibilidad de que el sitio todavía estuviera funcionando (en su forma original, al menos; ha resucitado varias veces y hay sitios aún más grandes operando ahora mismo) si Ross Ulbricht hubiera hecho la distinción entre privacidad y seguridad, trabajando activamente para garantizar ambas antes de que se convirtiera en una lámpara de calor gigante, atrayendo a cada delincuente desagradable con conocimientos técnicos ligeramente superiores al promedio en el planeta. En cambio, el club privado y todos sus secretos fueron revelados en el momento en que alguien encontró una manera de abrir la puerta.

No eres un capo de la droga, así que ¿por qué debería importarte?

La pérdida de Silk Road y el encarcelamiento de su fundador no es una historia triste y compasiva, pero es un estudio de caso fascinante sobre las diferencias matizadas entre la privacidad y la seguridad real y robusta de un sitio. Hay muchas operaciones legítimas que requieren que las transacciones y la información sean privadas (piense en registros médicos digitalizados o incluso en los millones de números de tarjetas de crédito que posee un gran banco), pero si no están aseguradas con un desarrollo de software sólido, esa información podría ser seleccionada por un atacante (e, irónicamente, terminar en un sitio como Silk Road). La privacidad no existe sin seguridad.

Los buenos, como tú, podrían tener software vulnerable a ataques de inyección SQL y otras vulnerabilidades del OWASP Top 10, por lo que es vital que se preparen y mitiguen de manera eficiente. Si los desarrolladores están capacitados para programar de forma segura desde el principio del proceso, estos fallos no verán la luz del día. Es imperativo que las organizaciones se centren en una mentalidad de seguridad y capaciten a sus equipos de desarrollo para programar de forma segura. Podemos mostrarte cómo hacerlo de una manera divertida, medible y gamificada. ¿Estás listo?