"L'usuari comú de la Xarxa cada dia és menys conscient de la necessitat de protegir les dades que envia de manera electrònica"
José Manuel Gómez, editor de Kriptópolis
En aquesta entrevista a Netfocus, José Manuel Gómez, editor de Kriptópolis, un dels llocs web de referència en temes de criptografia i seguretat informàtica, ens ofereix un punt de vista més pròxim a l'usuari en qüestions relacionades amb aquest àmbit que, cada dia, està cobrant una major rellevància com a conseqüència del desenvolupament de la Societat de la Informació i del Coneixement.
Creu vostè que cada vegada som més conscients de la necessitat de protegir adequadament les dades que enviem de manera electrònica?
En entorns empresarials probablement sí, però molt em temo que l'usuari comú de la Xarxa, parlant sempre en termes generals, no és conscient en absolut. I el que és pitjor: em temo que cada dia és menys conscient. D'una altra manera no s'explica l'escassesa de missatges xifrats que rep un observatori tan privilegiat al respecte com podria ser la pròpia bústia electrònica de Kriptópolis.
Per descomptat que no resulta precís xifrar tot el correu, però tot el món sembla haver oblidat la metàfora bàsica ("el correu electrònic no és una carta, sinó en tot cas una postal"). Qualsevol missatge contenint informació relativament sensible (és a dir, que no ens agradaria veure publicada en el diari de demà) hauria de ser xifrada. I això no només pel propi mecanisme de funcionament (emmagatzematge i reenviament), ni pel temor -gairebé sempre injustificat- al fet que sigui interceptat per algun intrús, sinó per la relativa freqüència amb que ens equivoquem de destinatari, o incloem una còpia a algú per error.
Però és que existeixen més detalls preocupants: falta de precaució a l'hora de proporcionar dades confidencials, deficient política d'elecció i maneig de contrasenyes personals, etc. En la meva opinió, el substrat comú a tot això és la poca formació i informació proporcionada sobre un mitjà bastant nou però que cada dia, i afortunadament, utilitzen més persones.
Com valora que, malgrat els esforços a nivell tecnològic i divulgatiu que s'estan realitzant, cada vegada siguin més sofisticats, abundants i diversos els atacs orientats a la suplantació d'identitat, com en el cas del phishing?
Es tracta de la conseqüència lògica del que afirmava abans. Un nou territori, replet d'usuaris desinformats, a la força ha de resultar atractiu per a tot tipus de farsants, delinqüents i pocavergonyes. Lamentablement la informació proporcionada pels grans mitjans generalistes tendeix a exagerar sobremanera els aspectes més cridaners i tremendistes dels delictes electrònics. Com a conseqüència d’això, no es fomenta des d'aquests mitjans una confiança informada, sinó que l'únic que s'indueix és la por, desaprofitant així una excel·lent oportunitat de fomentar conductes apropiades i proporcionar als usuaris bones guies de ruta.
La solució per a eradicar aquestes amenaces passa per endurir els càstigs als ciberdelinqüents?
En absolut. No trobo una sola raó per la qual un delinqüent que opera en la Xarxa hagi de ser castigat amb major duresa que qui comet idèntic delicte en el carrer. Les estafes són tan estafes en la Xarxa com en el carrer.
Creu que l'actual marc normatiu és l'adequat per a seguir avançant amb confiança dintre de la Societat de la Informació?
Vagi per davant que no sé fins a quin punt ha de correspondre al marc normatiu un paper fonamental a l'hora de fomentar la confiança. El que sí sé és que la LSSICE, que en el seu dia se'ns va presentar com un gran avanç en matèria de seguretat i confiança, ha resultat -com bastants prevèiem- completament estèril en ambdós aspectes. Tampoc ha acabat amb un problema de tan ampli calat com el spam, que -en la meva opinió, bastant ingenuament- també pretenia resoldre.
I és que la confiança no s'instaura per decret. És la societat en el seu conjunt (començant pels mitjans d'informació, l'administració, el comerç, els educadors...) la qual necessita comprendre la utilitat de la Xarxa (en lloc de criminalitzar-la) i assimilar alguns principis bàsics sobre el seu ús (en comptes de considerar-los complicats i aliens). Mai ha sorgit la confiança a partir del desconeixement ni de la por, i en la Xarxa no va a ser diferent.
Quins són els temes de major actualitat en temes de criptografia que s'estan debatent actualment en els fòrums de Kriptópolis?
Ara mateix està bastant animat el debat entorn de la criptografia quàntica, que a mesura que s'apropa la possibilitat d'un ús pràctic va perdent el seu aura d’invencibilitat, i a la qual alguns ja estan començant a plantejar-li desafiaments. Es tracta d'un principi general: per molt perfectes que resultin les solucions al plantejar-les sobre un paper, les seves implementacions concretes sempre introdueixen deficiències, que tard o d'hora acaben sent explotades.
La facilitat d'ús és un dels aspectes més importants perquè una solució sigui reeixida. Considera que les solucions de signatura electrònica compleixen en aquest aspecte?
No dubto que s'hagi avançat en aquesta direcció, però la simplificació d'una tecnologia tan complexa acaba tenint també un límit, que no sempre és fàcil trobar. En la meva opinió és bo facilitar l'ús... mentre no introduïm per això noves vulnerabilitats.
Posaré un exemple. Des del punt de vista de la facilitat d'ús, resulta sense dubte molt còmode que tots els membres d'una unitat familiar (o d'un departament d'una empresa) que hagin de realitzar signatures digitals puguin emmagatzemar els seus certificats en un mateix contenidor. No obstant això, si per defectes del propi protocol o de la seva implementació, ocorre que només amb disposar de la contrasenya compartida del dipòsit de certificats un marit pot utilitzar el certificat de la seva dona per a realitzar qualsevol gestió en el seu nom, podem estar davant d’un greu problema. I no es tracta d'un exemple utòpic, sinó d'un problema concret, que existeix i està publicat, però que a ningú sembla preocupar.
Per a vostè que seria més important: la confidencialitat de la informació transmesa per mitjans electrònics o la garantia de la seva autenticitat i integritat?
Afortunadament en molts casos no és necessari triar, al tractar-se de dos efectes d'una mateixa tecnologia causal. En altres casos, no obstant això, seran les diferents aplicacions, i els contextos en què aquestes s'utilitzin, qui determinin si una d'aquestes funcionalitats ens pot interessar més que l'altra.
Per exemple; un usuari que compra per Internet voldrà estar segur que el lloc web és qui diu ser, però també considerarà imprescindible que les dades de la seva targeta de crèdit viatgin xifrats. No obstant això, és molt probable que el venedor prefereixi un altre protocol diferent, que a ell li permetés identificar perfectament al comprador per a així evitar un posterior repudi de l'operació.
Però si la seva pregunta es refereix a què considero jo més important, haig de dir-li que per a les meves necessitats concretes no necessito prioritzar cap, ja que un programari lliure -com GnuPG- em proporciona tota la confidencialitat, autenticitat i integritat que necessito. Però li diré encara més: si hagués de triar, preferiria salvaguardar la confidencialitat dels meus eventuals correus sensibles.
És inevitable, si parlem d'identitat i seguretat digital, referir-se a un projecte com el del DNI Digital. Què és el que més li atreu del nou DNI? I el que menys?
El més positiu que puc trobar-li al DNI Digital és que sigui capaç de promoure cert interès general per les qüestions criptogràfiques, que potser pogués intensificar la demanda d'informació al respecte. No obstant això, en una qüestió tan fonamental com la identificació dels ciutadans, trobo a faltar algunes coses. Per descomptat que hagués estat desitjable un ampli debat social i una major informació i transparència.
Tampoc em sembla tranquil·litzador que en primera instància només suportés el DNI electrònic determinat sistema operatiu propietari. És cert que amb posterioritat s'ha fet algun esforç per a afavorir el seu suport des de sistemes operatius lliures, però a dia d'avui aquest continua sent insuficient.
D'altra banda, em preocupa no saber si existeixen plans de contingència davant una més que previsible ruptura a curt o mig termini dels algoritmes utilitzats. És un problema interessant, ja que a la signatura digital se li pressuposa una vigència molt més àmplia que l'estimada ja per molts experts per als propis algoritmes criptogràfics que la implementen.
Pensa que és segur per a un usuari amb coneixements mínims en seguretat en Internet fer ús dels certificats digitals que conté el seu DNI Electrònic?
Aquest hauria de ser un dels aspectes més preocupants de tot el projecte. S'han definit abans aquests coneixements mínims? Per ventura s'ha preocupat algú de proporcionar-los? Quin percentatge de ciutadans disposa d'ells? No obstant això, el DNI digital es va a subministrar a tots i cadascun, als que sabran utilitzar-ho (cap suposar que una minoria) i als ques no. A més el DNI electrònic s'acabarà sol·licitant i utilitzant en entorns molt diversos. En quins és segur el seu ús i en quins no? Com gestionarà un usuari el seu PIN? Com reaccionarà un usuari comú davant previsibles intents de phishing o enfront de la presència de sniffers, keyloggers, troians, etc.? És conscient l'usuari mig que una operació realitzada mitjançant el seu DNI electrònic pot comprometre-li de per vida i resultar a més irrefutable? Finalment: si un lloc fraudulent exigeix introduir DNI i PIN per a accedir, quants usuaris acceptaran sense protestar?
És més perillós per a un ciutadà perdre l'anterior DNI o el nou electrònic?
És un altre perill addicional. La pèrdua del DNI tradicional requeriria la falsificació de la signatura manuscrita per a poder realitzar gestions fraudulentes de certa envergadura. La pèrdua d'una targeta bancària podria buidar el teu compte amb molta major facilitat, ja que pocs comerços es molesten a verificar la signatura. Però la pèrdua -o el robatori- del DNI electrònic podrà suposar que un delinqüent pugui realitzar operacions que comprometin greument la teva vida o el teu patrimoni amb l'únic obstacle d'un PIN. Sabent com es trien i gestionen els nombres secrets, no és per a preocupar-se?
Quan creu que veurem funcionant el DNIe en Internet amb plenes garanties d'ús per a accions més o menys usuals com contractar un segur o demanar un préstec?
Espero sincerament que això no ocorri abans que una àmplia part de la ciutadania estigui millor informada sobre el poderós instrument que transportarà en la seva cartera. A la vista del nostre actual nivell de formació en noves tecnologies i de l'incessant creixement de diverses formes de delinqüència que exploten precisament el desconeixement dels usuaris, lamento mostrar-me poc partidari que les activitats que puguin comprometre la nostra vida i hisenda puguin ser realitzades per la Xarxa, almenys -insisteixo- abans que s'hagi realitzat un esforç adequat de formació i informació al respecte.
Els avantatges de realitzar operacions utilitzant mitjans electrònics són superiors als seus possibles inconvenients? És més segur facilitar les dades de la nostra targeta de crèdit en Internet que lliurar-la en un establiment perquè ens carreguin l'import de la compra?
Són dues preguntes distintes. A la primera respondria que no puc ser taxatiu, però em sembla que estem davant una altra expressió del delicat equilibri entre facilitat d'ús i seguretat. Sense dubte, resultaria molt més còmode per a tots poder realitzar moltes operacions per via electrònica. El problema és que el mitjà sobre el qual hem de fer-ho resulta intrínsecament insegur, perquè mai va ser concebut per a això sinó per a l'intercanvi confiat i fluït d'informació de tipus científic i acadèmic. Per això, qui vulgui avançar massa de pressa en aquest terreny haurà d'enfrontar sense dubte grans dificultats i sobresalts.
Respecte a la segona qüestió... Fa temps que compro per Internet i mai he tingut cap problema, si bé tampoc he sofert fraus en la "vida real". El políticament correcte seria respondre que la nostra targeta pot córrer més perill al pagar el menjar en un restaurant que al comprar en Internet. No obstant això, jo no estic tan segur d'això. Si bé pot existir un delinqüent en el restaurant del cantó, em preocuparia molt més topar amb un estafador que regentés una botiga on-line taiwanesa, per posar un exemple, perquè les meves possibilitats de denunciar-ho -i les de les autoritats de perseguir-ho- serien molt més limitades. D'altra banda, la compra electrònica pot resultar tècnicament segura, però no ser-ho el posterior emmagatzematge de les meves dades en el lloc de destinació.
Li agradaria afegir algun comentari més?
Espero que la meva visió aporti un punt de vista diferent, que pugui resultar d'interès per als lectors.
Compartir aquesta informació:
