Ciberlibro 0009.

qxp 31/05/2006 12:39 PÆgina 215

Seguridad «To believe is very dull.

To doubt is intensely engrossing.
informática To be on the alert is to live,
to be lul ed into security is to die.»
Oscar Wilde

txipi
(SinDominio,
[email protected])*

Como dijo Wilde, vivir obsesionado por la seguridad es un poco ridículo, es casi
peor el remedio que la enfermedad. Esto nos lleva a la manida frase de «la seguri-
dad total no existe». Sin embargo, sí que podemos hacer bastantes cosas para mejo-
rar la seguridad de nuestros ordenadores fácilmente y sin mucho esfuerzo, como
comentaremos en los siguientes epígrafes.
Cuestiones como comprender por qué una contraseña es buena y
otra es mala, cómo poder proteger un documento privado de forma segura, cómo
navegar sin ir dejando rastro en todas las páginas web que visitemos, por qué
alguien puede entrar en nuestro ordenador remotamente y destrozarlo o utilizarlo
como trampolín para atacar a otro, etc., serán las que trataremos aquí, poco a poco
e intentando no centrarnos en los tecnicismos sino en ideas sencillas de entender y
prácticas fáciles de hacer.

Un pequeño Criptografía, criptoanálisis, cifrado... palabras que suenan a

complicadísimas operaciones matemáticas y a científicos de
repaso a
bata blanca llenando pizarras y pizarras de fórmulas imposi-
la criptografía bles. Sí, eso es una parte de la verdad, pero la criptografía
ha sido hasta hace relativamente poco algo mucho más
rudimentario y casi divertido.
Criptografía viene del griego «kryptos», oculto, y «graphos», escritor:
el arte de escribir de forma oculta. Como es lógico, todo método criptográfico se ha

* Versión 0.9, 11 de septiembre de 2003. Copyright © 2003 txipi, [email protected]. Se otorga permiso para copiar,
distribuir y/o modificar este documento bajo las condiciones de la Licencia GNU para Documentación Libre, versión
1.1 o posterior, publicada por la Free Software Foundation, sin secciones invariantes. Una copia de la licencia se
encuentra en http://www.fsf.org/licenses/fdl.html.
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 216

asociado mucho a épocas en las que el envío de mensajes ocultos era muy impor-
tante, como sucede típicamente en las guerras. Si alguien del bando enemigo logra
interceptar un mensaje, las consecuencias pueden ser desastrosas. Durante el impe-
rio romano, por ejemplo, el problema tenía solución (un cambio de estrategia), por-
que era muy fácil detectar que un mensaje había sido interceptado (normalmente el
mensajero no vivía para contarlo). En nuestros días, esta situación cambia bastante,
porque actualmente es posible interceptar un mensaje sin que el emisor ni el recep-
Un pequeño repaso a la criptograía

tor se den cuenta. Por esta razón, es importante proteger mediante medios cripto-
gráficos la información privada que queramos enviar por la red.
Cifrar un texto no es algo muy espectacular. Sólo hace falta aplicar
Seguridad informática

un «algoritmo», es decir, una receta para cifrar. Por ejemplo, vamos a cifrar el texto
216

«La acción será mañana en la plaza» con una receta muy sencilla, «sumar 2 a todas
las letras»:
– texto original: «La acción será mañana en la plaza»
– texto cifrado: «Nc ceekqo ugtc ñcpcoc go nc rncbc»

Al principio puede parecer un confuso, pero veámoslo por partes:

1. El alfabeto que hemos utilizado es este: «ABCDEFGHIJKLMNÑOPQRSTUVWXYZ».
2. Cuando queremos cifrar una letra, lo que tenemos que hacer es coger la letra
que está dos posiciones hacia la derecha en ese alfabeto. Por ejemplo, para cifrar
la «A», avanzamos dos posiciones hasta la «C».
3. Para descifrar, tenemos que hacer el proceso contrario, restar dos posiciones a
todas las letras. Por ejemplo, para descifrar «N», retrocedemos dos posiciones en
el alfabeto hasta la «L».
4. Cuando estamos en los bordes del alfabeto (al principio —«A»— o al final —«Z»—), si
tenemos que cifrar o descifrar, continuamos por el otro lado. Es decir, por ejemplo,
para cifrar una «Y» tenemos que avanzar dos posiciones hacia la derecha: avanza-
mos una hasta la «Z», y como ahora no podemos avanzar más, continuamos por el
otro lado, «A». Cuando tengamos que descifrar esa «A», tendremos que ir dos posi-
ciones hacia la izquierda, pero como no hay, continuamos por el otro lado: una posi-
ción hasta la «Z», y otra hasta la «Y».

De esta manera podemos cifrar y descifrar cualquier texto de forma

muy sencilla. Con este ejemplo hemos podido ver unos cuantos elementos dentro
del cifrado:
– El algoritmo o receta empleado, en este caso «sumar».
– La clave utilizada, en este caso «2». Si la clave fuese «5», habría que sumar 5 para
cifrar y restar 5 para descifrar, por ejemplo.
– El texto original.
– El texto cifrado.

texto original --> algoritmo de cifrado --> texto cifrado

Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 217

Este algoritmo que hemos utilizado para cifrar y descifrar es el que empleaba Julio
César para enviar mensajes cifrados. Tiene el problema de que en el otro lugar hacia
donde se enviaba el mensaje, también necesitaban saber la clave con la que ha sido
cifrado para poder descifrarlo. Esto se resolvió utilizando pergaminos enrollados
sobre una vara de madera de diferente longitud. En función de esa longitud, el
receptor del mensaje ya sabía cuál había sido la clave empleada. Por ejemplo:

Un pequeño repaso a la criptograía

Longitud de la vara Clave
10 cm 1
11 cm 2

Seguridad informática
12 cm 3

217
13 cm 4

Este truco sirvió en su momento, pero es bastante peligroso, porque

cualquiera que se diese cuenta de ello, podría descifrar todos los mensajes. Ahí resi-
de el problema fundamental de esta clase de algoritmos, necesitan que tanto el emi-
sor del mensaje como el receptor conozcan la clave que se ha utilizado. Por esto
mismo se los conoce como algoritmos de «secreto compartido» (el secreto es la
clave utilizada) o «algoritmos simétricos».
¿Cómo transmitimos el secreto o clave para que tanto el emisor
como el receptor sepan cómo cifrar y descifrar? Normalmente, se utiliza otro méto-
do que se considera seguro. Por ejemplo, si queremos enviar a un amigo 200 docu-
mentos privados por carta, un método seguro sería guardarlos en una caja fuerte y
enviar la caja fuerte por correo. Bien, el problema está en que si alguien nos inter-
cepta habitualmente la correspondencia, no podemos enviar la llave de la caja fuer-
te por ese mismo medio, así que necesitaremos quedar en persona con el destina-
tario de todos esos documentos para darle la llave en mano. Una vez que los dos
tengamos una copia de la llave, podríamos utilizar la caja fuerte para enviarnos
documentos privados por un canal inseguro (el sistema de Correos y Telégrafos esta-
tal, que nos sigue la pista).
Pero claro, esto en Internet no tiene mucho sentido. No puedes ir a
una tienda con tu clave en un disquete a decirles que les vas a mandar los datos
cifrados con esa clave. Necesitamos una manera de pasar de forma segura a través
de la red ese «secreto compartido» que es la clave. Podríamos utilizar otro algoritmo
de cifrado totalmente diferente para pasar la clave, pero al final estaríamos en las
mismas: ¿y cómo pasamos la clave de ese otro algoritmo por la red? Esto supuso un
problema muy grande, pero se ha solucionado con un nuevo tipo de algoritmos de
cifrado, los algoritmos asimétricos o algoritmos de clave pública y clave privada.
Entender los algoritmos asimétricos suele costar un poco, porque
estamos muy acostumbrados a utilizar algoritmos simétricos, en los que la clave para
cifrar y para descifrar es la misma: guardamos algo en una caja fuerte y la combi-
nación para cerrarla es la misma que para abrirla, utilizamos un candado para la
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 218

bicicleta y la llave para cerrarlo es la misma que para abrirlo, parece lógico, ¿no?
Bien, pues los algoritmos asimétricos o de clave pública y privada no funcionan así,
sino que utilizan una clave para cifrar y otra diferente para descifrar. En realidad, lo
que tenemos es un par de claves: la clave privada y la clave pública.
Lo curioso de estas dos claves es que todo lo que cifre una clave, lo
descifra la otra y sólo la otra, y viceversa. Es decir, tenemos un candado con dos lla-
ves, una roja y otra negra. Si cierro el candado con la llave roja, sólo lo podré abrir
Un pequeño repaso a la criptograía

con la negra. Y si lo cierro con la llave negra, sólo lo podré abrir con la roja. ¿Qué
utilidad tiene esto? ¿No es liar más la manta innecesariamente? No, sigamos con el
ejemplo del candado: todos los candados que se cierren con tu llave roja, sólo
Seguridad informática

podrán ser abiertos con tu llave negra y con ninguna más. Entonces lo que haces
218

es regalar copias de tu llave roja a todo el mundo (ésta será tu clave pública), y guar-
dar tu llave negra en casa sin dejársela a nadie (ésta será tu clave privada). Cuando
alguien te quiera enviar algo privado no tiene más que coger una copia de tu llave
roja, proteger el paquete con un candado cerrado con tu llave roja y así se asegu-
rará de que sólo el que tenga la llave negra complementaria podrá abrir el paque-
te, es decir, sólo tú podrás abrirlo, porque tienes la llave complementaria.
De esta forma podemos utilizar un medio inseguro como Internet
(para mandar información digital) o el sistema de Correos y Telégrafos (para enviar
paquetes), sin ningún miedo a mandar copias de la clave pública o la llave roja del
candado, porque cuando un mensaje sea cifrado con tu clave pública o cuando un
paquete sea protegido con tu llave roja, SOLAMENTE tu clave privada podrá desci-
frarlo o tu llave negra podrá abrir el paquete.

Cifrado y firma Todo el proceso de cifrado y firmado digital a nivel domésti-

de ficheros co está irremediablemente asociado a tres siglas: PGP. PGP
y correos
significa «Pretty Good Privacy», privacidad bastante buena, y
(GnuPG/PGP)
es un conjunto de programas que permiten crear pares de
clave pública/clave privada, almacenarlos de forma segura,
enviar correos electrónicos cifrados, firmarlos digitalmente, etc.
PGP se ha convertido en un estándar de facto dentro de la privaci-
dad a nivel doméstico. Además de esto, su creador, Phil Zimmerman, se ha esfor-
zado por crear OpenPGP, una especificación de cómo hacer programas compatibles
con PGP. Actualmente PGP es una herramienta comercial propiedad de NAI
(Network Associates), empresa que permite descargarse una versión personal de
PGP para su evaluación.
En enero de 2001, Phil Zimmerman abandonó NAI por problemas
respecto a la línea que debería seguir PGP. En ese momento Zimmerman realizó
unas declaraciones históricas: «Let me assure all PGP users that all versions of PGP
produced by NAI, and PGP Security, a division of NAI, up to and including the
current (January 2001) release, PGP 7.0.3, are free of back doors,...»
(http://www.theregister.co.uk/content/archive/17064.html).
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 219

Es decir, aseguraba que hasta la versión 7.0.3 de PGP no había nin-

guna puerta trasera que permitiera a ningún gobierno conseguir descifrar nuestros
datos de forma indirecta. Esto es un acto de fe, claro está. Podemos creer o no creer
a Zimmerman, pero su reputación estaba en juego y no creemos que mintiese en
esa ocasión. El caso es que a partir de esa versión ya no hay un experto en cripto-
grafía mundialmente reconocido como Zimmerman llevando el producto PGP, y
nadie nos asegura que PGP 8.0 y sucesivos no contengan puertas traseras que pue-

Un pequeño repaso a la criptograía

dan ser utilizadas por los gobiernos para descifrar nuestros correos electrónicos y
nuestros ficheros cifrados. Podemos descargar una copia de la última versión certifi-
cada por Zimmerman de esta dirección:

Seguridad informática
ftp://ftp.es.pgpi.org/pub/pgp/7.0/7.0.3/PGPFW703.zip.

219
Podemos seguir fiándonos de los programadores de NAI o pode-
mos optar por una versión libre de PGP, GnuPG. GnuPG es un proyecto similar a
PGP y compatible con el estándar OpenGPG que tiene la característica de ser soft-
ware libre. Esto nos proporciona muchas ventajas, pero entre ellas hay una muy
importante en este punto: tenemos el código fuente del programa, podemos ver
cómo está hecho y buscar posibles puertas traseras. Es como si en lugar de fiarnos
de que el búnker que nos vende una empresa es seguro y sin puertas traseras, con-
siguiéramos los planos de un búnker y nos lo hiciéramos nosotros, asegurándonos
que no las tendrá.

Utilizando Con la idea de que comencemos a utilizar GPG para cifrar

GPG (GnuPG) todos nuestros correos electrónicos, veremos el proceso de
instalación de GPG en Microsoft Windows y GNU/Linux, así
como la creación de nuestra clave pública y privada. Es con-
veniente cifrar todos los correos que podamos, no sólo los
importantes, para que sea más difícil para quien nos espíe diferenciar los datos cifra-
dos importantes de los irrelevantes.
La instalación y utilización de GPG en Microsoft Windows es muy
sencilla si empleamos un paquete de instalación como WinPT (http://winpt.source-
forge.net/es/index.php). Mediante WinPT, la instalación de GPG se reduce a seguir
los pasos guiados de un asistente:

1. Arrancar el programa de instalación

Una vez que nos hayamos descargado el programa de instalación,
simplemente deberemos hacer doble clic sobre él y comenzará a ejecutarse. La pri-
mera pregunta es acerca del idioma en el que queremos instalar GPG.
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 220

Elegiremos «Castellano» y seguiremos con el asistente de instalación:

Un pequeño repaso a la criptograía
Seguridad informática
220

Después de darnos la bienvenida, el programa nos muestra la licen-

cia de GPG. Al contrario que la mayoría del software para Microsoft Windows, WinPT
y GPG son software libre, bajo la licencia GPL. Esto nos permite tener más libertades
al utilizar y redistribuir este software, y en este caso en concreto nos proporciona la
garantía de que no contiene software espía o malintencionado, lo cual es esencial
dentro del software orientado a la privacidad. Aceptamos la licencia y continuamos.

2. Elegir el lugar en que instalaremos los componentes

Un punto importante dentro de la instalación es decidir la carpeta
de nuestro disco en la que instalaremos el programa. Por defecto el asistente nos
sugiere «C:\Archivos de Programa\Windows Privacy Tools». Si no tenemos problemas
de espacio en la unidad C:, ésa es una ubicación idónea.

3. Elegir los módulos que queremos instalar

Seguidamente decidiremos qué módulos instalaremos. En caso de
duda, lo mejor es seleccionar todos, fijándonos especialmente en el apartado
«Módulos de correo electrónico«, donde podremos seleccionar módulos para inte-
grar GPG con nuestros clientes de correo favoritos:
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 221

Un pequeño repaso a la criptograía

Seguridad informática
221
En el siguiente paso del asistente se nos pide un nombre para crear
una carpeta en el menú Inicio. Lo dejaremos como está y pulsaremos «Siguiente».

4. Configurar inicialmente GPG

Una vez instalado en disco, el asistente nos solicitará que definamos
las opciones iniciales de GPG. Lo más razonable es dejarlo tal y como viene por
defecto, teniendo cuidado de que esté seleccionada la opción «GnuPG oficial» en
«Versión de GPG a instalar», dentro de «Opciones avanzadas»:
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 222

5. Instalar en disco
Una vez definido todo lo anterior, no queda sino copiar los ficheros
en el disco y dar por concluido el proceso de instalación:
Un pequeño repaso a la criptograía
Seguridad informática
222

Lo siguiente que deberemos hacer, es crear nuestro primer par de

claves personal. Si es la primera vez que instalamos GPG en nuestro ordenador, el
asistente de instalación detectará que no hay ningún llavero de llaves GPG en el sis-
tema y nos pedirá que creemos uno nuevo.

Dentro de las opciones que inicialmente se nos ofrecen, tenemos:

generar un nuevo anillo o «llavero» de llaves, importar un anillo ya existente (si no
es la primera vez que instalamos GPG y queremos conservar el anillo de llaves que
creamos la primera vez) o importar las llaves desde un servidor. La opción que debe-
remos elegir es la primera, que WinPT genere un nuevo anillo de llaves:

Para generar nuestro par de llaves o claves pública y privada (es decir,
crear una copia de la «llave roja» que daremos a todo el mundo y de la «llave negra»
que no daremos a nadie), deberemos rellenar una serie de datos: el tipo de cifrado
y tamaño de la clave que queremos (dejaremos el tipo tal y como viene —«DSA and
ELG (default)»— y modificaremos el tamaño a 2048 bits de clave), nuestro nombre,
un comentario (podemos poner lo que queramos), dirección de correo electrónico,
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 223

la fecha en la que queremos que caduque el par de claves y la passphrase.

Normalmente la fecha indica el tiempo de vigencia de ese par de claves, aunque es
habitual decir que no expira nunca. La passphrase es una contraseña más larga de
lo normal que sirve para proteger nuestra clave privada. Aunque nos roben la clave
privada, deberán adivinar esta passphrase para utilizarla, así que conviene poner una
buena contraseña (para más indicaciones sobre cómo elegir una buena contraseña,
mira el apartado siguiente):

Un pequeño repaso a la criptograía

Seguridad informática
223
Una vez definidos todos estos datos, pulsamos «Aceptar» (o «Start»
en la versión en inglés) y el programa generará las claves a través de cálculos com-
plejos (suele tardar un par de minutos).

Finalmente se nos indica que es muy recomendable guardar una

copia de seguridad del llavero o anillo de llaves públicas y del anillo de llaves priva-
das («pubring» y «secring», respectivamente). El «secring» deberá ser guardado en
un lugar seguro, en un disquete que guardemos en una caja fuerte o algo similar,
por ejemplo. El anillo de llaves públicas es menos crítico en cuanto a seguridad y
podremos guardarlo donde nos apetezca.
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 224

Un pequeño repaso a la criptograía

Seguridad informática
224

Y ya está. Eso es todo. Ya tenemos nuestro sistema de privacidad

GPG listo para ser utilizado. Esto nos permitirá proteger mediante cifrado ficheros
importantes de nuestro disco, correos electrónicos, etc.
Vamos a ver ahora cómo utilizar GPG para cifrar y descifrar datos
dentro de nuestro ordenador.
Para empezar, vamos a abrir un Bloc de Notas y escribir una frase
cualquiera, por ejemplo «Hola, esto es un mensaje de prueba». La seleccionamos y
la copiamos en el portapapeles para poder hacer «Copiar y Pegar» (es decir, pulsa-
mos Control+C o elegimos «Editar: Copiar» en el menú del Bloc de Notas).

Seguidamente vamos a la esquina inferior derecha de nuestro escri-

torio y justo al lado de donde se muestra la hora, hay un icono como una lupa del
GPG. Pulsamos con el botón derecho y se nos muestra el siguiente menú:
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 225

Elegimos «Clipboard», es decir, portapapeles, y dentro de ahí, selec-

cionamos «Encrypt». Se nos muestra un menú con las claves de cifrado disponibles
en nuestro ordenador, y elegimos la nuestra, por ejemplo:

Un pequeño repaso a la criptograía

Seguridad informática
225
Haciendo esto habremos «encriptado» o cifrado lo que previamente
guardamos en el portapapeles haciendo Control+C. Volvemos al Bloc de Notas y
hacemos Control+V para pegar el resultado de nuestra operación (ver siguiente
figura). El resultado es un bloque ininteligible de números y letras, precedido de un
encabezado que muestra que eso es un bloque de datos cifrado con GPG.
Vamos a hacer ahora el proceso inverso. Supongamos que alguien
nos ha mandado un correo cifrado y lo que hemos recibido es un bloque GPG lleno
de símbolos extraños. Lo primero que tenemos que hacer es copiarlo al portapape-
les, seleccionándolo y pulsando Control+C o «Edición -> Copiar» dentro del menú:

Volvemos a acceder al menú que está en la esquina inferior dere-

cha, junto a la hora del sistema, y seleccionamos «Clipboard: Decrypt/Verify» para
descifrar el contenido del portapapeles:
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 226

GPG comprueba que el texto ha sido cifrado con nuestra clave y nos
Un pequeño repaso a la criptograía

muestra un diálogo para que introduzcamos la «passphrase» que protege nuestra

clave privada:
Seguridad informática
226

Si la introducimos mal, GPG no será capaz de acceder a la clave pri-

vada necesaria para descifrar el texto y se producirá un error. Si por el contrario
hemos introducido bien la passphrase, el contenido del portapapeles se habrá des-
cifrado correctamente y podremos copiarlo (con Control+V o eligiendo «Edición:
Pegar») en el Bloc de Notas para leer el texto en claro:

Si hemos seguido los pasos correctamente hasta aquí, ya sabremos

cifrar y descifrar todos los textos que queramos mediante GPG, ya sean correos elec-
trónicos o textos guardados en el ordenador. El método que hemos empleado es el
más genérico y el más manual, para poder utilizarlo en multitud de ocasiones y con
muchos programas diferentes. No obstante, algunos programas como el Outlook
Express o el Eudora tienen módulos propios para cifrar y descifrar correos electróni-
cos cifrados con GPG de forma automática, mucho más cómodamente. En definiti-
va, el camino que hemos seguido es el más «rudimentario», pero entendiendo esto
bien es mucho más fácil encontrar los diferentes «atajos» que tiene el sistema GPG
para utilizarlo más ágilmente.
Por último, vamos a ver cómo poder exportar nuestra clave pública
a un fichero de texto, para poder pasárselo a todos nuestros compañeros y que ellos
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 227

sepan cómo nos gusta que nos cifren los datos (recordemos todo el asunto del can-
dado que se cierra con una llave y se abre con la otra: nosotros regalamos a todos
nuestros compañeros una copia de la llave roja —la pública— y cuando la usen, sólo
nuestra llave negra —nuestra llave privada— podrá abrirlo, haciendo imposible cual-
quier intercepción de la información). Para exportar nuestra clave pública, lanzamos
el «Administrador de claves» de GPG y seleccionamos nuestra clave. Una vez hecho
esto, elegimos «Key: Export...» en el menú:

Un pequeño repaso a la criptograía

Seguridad informática
227
Y se nos mostrará un diálogo en el que nos piden un nombre de
fichero para guardar la clave. Elegimos «miclaveGPG.pub» o algo similar y pulsamos
«Aceptar»:

Ahora ya sólo queda distribuir este fichero a todos los compañeros

que nos quieran enviar algo cifrado con GPG. Alguna gente incluye su clave públi-
ca en todos los correos electrónicos que envía, otros ponen un enlace a una pági-
na web que contiene su clave pública, otros dejan una nota diciendo que utilizan
GPG y que les pidas la clave pública si la necesitas.
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 228

GPG en El proceso para utilizar GPG en GNU/Linux es muy similar.

GNU/Linux Aquí nos centraremos en un asistente para GnuPG llamado
KGPG, basado en el entorno de ventanas KDE («The K
Desktop Environment»). Muchas distribuciones de GNU/Linux
lo tienen preinstalado desde el principio, en otras es necesario instalarlo. Para distri-
buciones basadas en Debian GNU/Linux, como Debian, Knoppix, GNOME/Live-CD,
Linex, Guadalix, X-Evian, etc., basta con hacer lo siguiente (como root):
Un pequeño repaso a la criptograía

apt-get install kpgp

Seguridad informática

Una vez que está instalado, lo lanzamos escribiendo «kgpg» en una

228

terminal del entorno de ventanas KDE. Si es la primera vez que utilizamos el pro-
grama, y no hay ningún anillo de claves creado, se nos mostrará un diálogo solici-
tándonos que creemos un nuevo par de claves:

El diálogo para crear un nuevo par de claves es exactamente igual

que el que hemos comentado para WinPT (GPG para Windows), así que lo rellena-
mos de igual forma. Seguidamente se nos pide la passphrase (recordemos que con-
viene que sea una contraseña potente). Y ya tenemos el KGPG funcionando, como
muestra el icono con un candado al lado de la hora del sistema:

Para realizar todas las operaciones de cifrado, descifrado, firma digi-

tal, etc., deberemos pulsar sobre el candado de la barra de tareas, de forma similar
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 229

a cuando pulsábamos en el icono de GPG en Windows. KGPG dispone además de

un programa de «Administración de claves» como en Windows, desde el que podre-
mos exportar nuestra clave pública para que nuestros compañeros puedan utilizar-
la y cifrar datos exclusivamente para nosotros:

Un pequeño repaso a la criptograía

Seguridad informática
229
Para más información, conviene consultar:
• http://www.gnupg.org/download/.
• http://www.winpt.sourceforge.net/es/download.php/.

Esteganograf ía La esteganografía es un caso particular dentro de la cripto-

grafía. La palabra también proviene del griego y significa
«escritura encubierta» («stegos» es cubierto). El nombre es
muy apropiado, puesto que mediante la esteganografía con-
seguimos ocultar un mensaje dentro de otro, que hará de
«encubridor». Veámoslo con un ejemplo:
– texto original: «Evidentemente, siempre tienes organizada esta sala tan alegre-
mente como Iñigo Freire recomendó antes de octubre».
– texto encubierto: «Esto esta cifrado».

El texto encubierto se consigue tomando la primera letra de cada

palabra de la frase original. De esta manera, el mensaje original no parece conte-
ner información adicional y no suele levantar sospechas. Obviamente este ejemplo
es muy simple, pero es posible encubrir información importante de formas mucho
más sofisticadas. Hoy en día, se utiliza mucho la esteganografía para ocultar men-
sajes dentro de fotos o ficheros de música.
La idea es más o menos sencilla: las fotos y los ficheros de música se
comprimen para que ocupen mucho menos que el original. Todos sabemos que un
fichero MP3 ocupa mucho menos que el fichero que contiene la canción en un CD
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 230

UNA DE TROYANOS

A diferencia de los virus, los caballos de Troya o troyanos están diseñados para obtener información
privilegiada del ordenador donde son ejecutados. Así pues, existen troyanos que únicamente consi-
guen contraseñas, otros que graban secuencias metidas en el teclado, otros que abren puertas trase-
ras al ordenador, etc.
Los más conocidos últimamente son el BackOrifice y el NetBus. Ambos son troyanos que abren
Un pequeño repaso a la criptograía

una puerta trasera a un equipo basado en Windows 95, Windows 98 o Windows NT.
El BackOrifice, creado por Cult of the Dead Cow, es un programa cliente/servidor para
Seguridad informática

Win95/98. Al ser ejecutada la porción del servidor en una máquina Win95/98, ésta se cargará en
230

de audio. Esto se consigue a través de ciertos trucos, como reducir la paleta de colo-
res utilizados en una foto cuando hay muchos colores que son casi iguales, u obviar
cambios muy pequeños de frecuencias altas dentro de un MP3. Por esa misma
razón, si cambiásemos un poco el color en un punto de una imagen o si cambiá-
semos la frecuencia un poco en un instante de una canción, no lo notaríamos. Esto
se utiliza para ocultar en esos pequeños cambios información confidencial.
Una imagen dentro de un fichero del ordenador está formada por
una tabla con números. Cada uno de esos números indica qué color hay que poner
en cada punto de la imagen para formar la imagen total. Es como aquellos cua-
dernos que usábamos en nuestra infancia en los que había un dibujo sin colorear
que tenía numeritos y nosotros teníamos que ir con las pinturas y pintar donde
ponía un 1 en rojo, donde ponía un 2 en azul, etc. Pues el ordenador hace lo
mismo con las imágenes: tiene una tabla con un montón de puntos y los números
de los colores con los que se tienen que pintar esos puntos. Imaginemos que tene-
mos una imagen que tiene un lago muy grande y en una esquina hay una parte
que es casi toda del mismo color de azul. Eso dentro del fichero estaría indicado
como que cada uno de los puntitos que están en esa zona tienen el color 140, el
140, el 141, el 141, el 141, el 140, el 140 y el 139, que son diferentes tonos de
azul, casi iguales. Por otro lado nosotros queremos esconder la letra «A», por ejem-
plo, dentro de esa foto. Para escribir una letra como la «A» es necesario que el orde-
nador utilice 8 bits. En concreto para la «A» el código ASCII es el 65, así que en bina-
rio sería 01000001. Lo que vamos a hacer es sumarle a aquellos números de azul
que teníamos en esa parte de la foto los números de guardar una letra «A»:

fragmento de foto azul: 140 140 141 141 141 140 140 139
letra «A» (01000001): 0 1 0 0 0 0 0 1
-----------------------------------------------------------------------------------------------------------------------------
resultado: 140 141 141 141 141 140 140 140
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 231

memoria y hará referencia a sí misma en el registro, asegurándose que se cargará cada vez que
Windows se cargue. La porción del servidor es configurable a través del cliente, pero por defecto se
instala como .exe («espacio».exe), sin clave de acceso, y abriendo la comunicación para que los clien-
tes se conecten a él a través del puerto UDP 31337. La comunicación entre el BackOrifice
Client/Server es cifrada, aunque ha habido informes de grupos que han conseguido romper el esque-
ma de cifrado utilizado.

Una de troyanos
Lo único que un hacker tiene que hacer para obtener control total de la máquina de un usuario
es mandarle, a través de un e-mail attachment, por ejemplo, un fichero servidor del BackOrifice.
Una vez el usuario haya ejecutado este fichero, el hacker únicamente tiene que conocer la dirección

Seguridad informática
IP del usuario para poder conectarse a dicha máquina. Una vez conectado, el hacker puede obtener

231
Un pequeño repaso a la criptograía
El fragmento de la foto ha cambiado en dos puntitos, pero sólo ha
cambiado un tono en esos puntos, así que no desentona para nada. La foto se per-
cibe prácticamente igual y nosotros hemos conseguido guardar una letra dentro de
ella. Si el mensaje es mucho más grande, deberíamos escoger fotos con mucha
resolución o ficheros de audio de muchos MBs, para que no se note la diferencia
con el original.
Existen incluso sistemas de ficheros esteganográficos que permiten
tener ficheros enteros dispersos por otros ficheros diferentes. Por ejemplo, podría-
mos tener un fichero con contraseñas repartido en 600 MB de ficheros de música.
Podríamos copiar esos ficheros de música en un CD y pasárselos a un amigo para
que, además de disfrutar de la música, pueda leer el fichero guardado estegano-
gráficamente.
La herramienta más utilizada para encubrir datos dentro de ficheros en
el mundo Windows ha sido «camouflage» (http://www.camouflagesoftware.com/).
Típicamente se ha utilizado para guardar ficheros MP3 como si fueran imágenes y
poder colgarlos de servidores web gratuitos. Una esteganografía tan poco sutil no con-
sigue engañar más que al ordenador que hace de servidor web, porque cualquier per-
sona se daría cuenta de que esas imágenes no son reales. En un MP3 de 3 MB hay
tanta información que encubrir que la imagen final quedaría totalmente distorsionada.
Es fácil ocultar una aguja en un pajar, pero es bastante difícil hacer lo mismo con 7
toneladas de agujas. En cuanto a herramientas de software libre, existen varios pro-
gramas que pueden ocultar información dentro de otros ficheros:
• steghide: consigue ocultar información en JPEG, BMP, WAV y AU, cifrando el men-
saje con mcrypt.
• outguess: la herramienta más utilizada para esteganografía, oculta información
de diversas maneras.
• stegdetect: dentro de outguess existe una herramienta de detección de estega-
nografía que busca patrones esteganográficos dentro de imágenes y demás
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 232

contraseñas, bajarse ficheros, subir otros troyanos, etc. Cult of the Dead Cow indica que se puede
tener más control de una maquina Win95/98 remotamente desde un cliente BackOrifice ¡que senta-
do enfrente de la máquina físicamente!
Existen en circulación varios programas cuyo supuesto propósito es proteger a usuarios del
BackOrifice, pero que en realidad no es así. Uno de ellos, llamado BOSniffer (BOSniffer.zip) pretende
ser un programa que protege las partes del registry que el BackOrifice escribe, pero en realidad no
Una de troyanos

es más que un BackOrifice server. Existe otro, llamado IPSpoof (theipsoof.zip) que pretende ser una
utilidad para hackers que ayuda a esconder la dirección IP del «supuesto» hacker, pudiendo así
meterse en sitios del web sin poder ser identificado. Este fichero también contiene un servidor
Seguridad informática

BackOrifice. El otro troyano, conocido como NetBus, es bastante similar el BackOrifice, pero introdu-
232

ficheros. Normalmente detecta versiones anteriores de outguess y otros progra-

mas similares.

«12345678» Quizá a alguno de vosotros le suene el nombre de Kevin

Mitnick, un auténtico mito dentro del cibervandalismo de los
no es una buena
años ochenta. La gran mayoría de ataques a sistemas y redes
contraseña que Mitnick consiguió realizar se debieron casi siempre a un
par de trucos técnicos, pero, sobre todo, a su gran maestría
Ingenier ía
en el campo de la ingeniería social. Mitnick era el Lazarillo de
social
Tormes de la Era Digital, utilizaba todas las artimañas que se
le iban ocurriendo para conseguir información fácilmente.
A fin de cuentas, ¿qué es la ingeniería social? La ingeniería social
(una mala y literal traducción del inglés «Social Engineering») engloba a todas aque-
llas conductas útiles para conseguir información de las personas del entorno de un
ordenador. No son más que engaños, algunos externos al propio sistema informá-
tico (por ejemplo: entrar en el edificio como periodistas, aprovechando la vanidad
de la gente, para conseguir información importante) y otros internos (aprovechar la
confianza del usuario, como por ejemplo el gusano «Kournikova» o el «I Love You»
que utilizan las ganas de ver a la tenista rusa o recibir una carta de amor para colar-
se en el sistema).
Imaginemos la siguiente conversación ficticia entre un intruso,
Kevin, y un proveedor de Internet, Neotel:

—Neotel: Buenos días, bienvenido al servicio de atención al cliente de Neotel, le

atiende Juan, ¿en qué puedo ayudarle?
—Kevin: Hola, llevo toda la mañana tratando de acceder a Internet y no me fun-
ciona, ¿están teniendo problemas técnicos?
—Neotel: Nuestros sistemas funcionan correctamente, ¿qué le sucede exactamente?
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 233

ce otro peligro: también funciona bajo Windows NT. Al igual que el BackOrifice, el NetBus es de un
programa cliente/servidor. El servidor por defecto escucha en el puerto 12345 UDP.
Al igual que el BackOrifice, el servidor NetBus también se está repartiendo por Internet bajo
otro nombre. En este caso se esta distribuyendo como WHACKAMOLE.EXE, un juego que en realidad
lleva escondido el servidor NetBus. Al ejecutar la instalación del juego, el programa de instalación
también instalará el servidor NetBus.

Una de troyanos

Seguridad informática
233
«12345678»
—Kevin: Pulso en el icono de conexión a Internet y después de unos ruidos raros
me sale esto... espere que lo tengo apuntado por si acaso... sí, aquí está: «Error
630, Login or password incorrect, connection refused».
—Neotel: Ha introducido erróneamente su usuario o contraseña.
—Kevin: Eso es imposible, yo no he tocado nada. ¿No será que han modificado
algo y no se me ha informado? Realmente estoy muy disgustado, necesito enviar
un informe a mis empleados con urgencia y llevo toda la mañana perdida con
este asunto, me estoy planteando cambiar de proveedor, ¡su servicio es pésimo!
—Neotel: A ver, veamos como podemos solucionarlo... ¿es usted el titular de la
línea de teléfono?
—Kevin: Así es.
—Neotel: Dígame su número de teléfono y número del Documento Nacional de
Identidad.
—Kevin: 970031337, y el DNI 42573658-Z
—Neotel: De acuerdo, es usted...
—Kevin: Juan López, vivo en c/ Valdivieso, 13, 1º D.
—Neotel: Sí, eso es. Espere un momento...
ding, dong, ding ding dong, ding (música de la «Garota de Ipanema»)...
—Neotel: Bien, tome nota por favor. Su nueva contraseña es: «Phe7a31X»
—Kevin: Probaré con esta nueva contraseña, si tengo algún problema tenga por
seguro que volveré a llamar.

Tal vez pueda parecer algo irreal, pero no es así. Kevin conocía los datos
del verdadero titular de la cuenta en el proveedor de Internet y eso hizo asegurarse al
trabajador de Neotel que se trataba de un cliente malhumorado. Esos datos son relati-
vamente públicos, basta con mirar un listado de personas admitidas a unas oposicio-
nes en un Boletín Oficial del Estado para conocer nombres, apellidos y números de
DNI, o incluso direcciones, números de teléfono, etc. O más fácil aún, una simple carta
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 234

Especialistas crean troyano indetectable y lo dan al FBI

José Luis López ([email protected])

EN UNA GUERRA, TODO ES VÁLIDO... ¿TODO?

Cuando aún está sobre el tapete la polémica en torno a la probable nueva herramienta de espionaje
que el FBI pretende usar en su guerra contra el terrorismo y el crimen en general (el troyano
Una de troyanos

«Linterna mágica»), el conocido grupo de hackers creador del famoso BackOrifice —un troyano que
permite el control total de una computadora en forma remota— anuncia que colaborará con el FBI
para crear una versión totalmente actualizada de su herramienta, la que además sería indetectable
Seguridad informática

por los antivirus actuales.

234
«12345678»

de un proveedor de Internet informando de una nueva oferta a uno de sus clientes

puede contener toda la información necesaria para que se reproduzca la conversación
anterior. ¿Debemos incinerar toda la propaganda que llega a nuestro buzones?
La ingeniería social, como veremos, es un factor clave a la hora de
adivinar una contraseña.

?Cómo se guardan En la mayoría de los sistemas, las contraseñas se guardan en

las contrase ñas? el mismo sitio en el que hay otra información importante
para cada usuario, como su nombre, sus configuraciones,
etc. Ese lugar normalmente es accedido por muchos progra-
mas y personas que necesitan información de un usuario en
concreto, como por ejemplo saber si ese usuario tiene permisos para entrar en una
determinada carpeta o saber el lenguaje preferido por el usuario para mostrar una
pantalla en un idioma o en otro, etc. Toda esta información referente a los usuarios
de un sistema suele guardarse en un fichero. En GNU/Linux y la mayoría de siste-
mas UNIX este fichero está en /etc/passwd, en Microsoft Windows su ubicación
varía dependiendo de la versión que se utilice.
Como podemos intuir, ese fichero tiene que ser accedido por
muchas personas y programas y además contiene las contraseñas del sistema, así
que tenemos un problema. No podemos guardar las contraseñas sin más, porque
cualquiera podría leerlas. Tenemos que cifrarlas, pero si las ciframos utilizando un
método simple, pronto alguien lo adivinará y podrá conseguir todas las contrase-
ñas. Por esa misma razón, las contraseñas en un sistema se cifran con un método
de cifrado indescifrable. ¿Cómo? ¿De qué nos sirve cifrar algo de tal manera que no
exista un método para hacer la operación contraria? Responderemos a la gallega
con otra pregunta: ¿para qué usamos las contraseñas que hemos cifrado en ese
fichero? Para comprobar si la contraseña que nos han pasado por teclado es correc-
ta. Pero claro, no podemos descifrarlas para comprobar si es correcto lo que el usua-
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 235

LOS ENEMIGOS DE MIS AMIGOS SERÁN MIS AMIGOS

El grupo Cult of the Dead Cow (Culto de la Vaca Muerta) o cDc ha alcanzado su máxima fama con la
creación de la que ellos llaman una herramienta de intrusión y administración remota.
No es la primera vez que pretenden blanquear su condición, con el argumento de que
BackOrifice (BO) es una herramienta legítima para acceder en forma remota a otro PC. Lo cierto de
esto último es sólo la parte de que una herramienta de ese tipo puede sernos muy útil, sobre todo

Una de troyanos
cuando debemos resolver problemas o administrar un PC en forma remota.
Pero lo que no es cierto es que BackOrifice en su estado actual pueda considerarse una herra-
mienta legítima, porque no fue creada como tal, sino para actuar en forma totalmente furtiva, de

Seguridad informática
modo que se pueda controlar la computadora de una víctima sin su consentimiento.

235
«12345678»
rio ha introducido por teclado. El truco está en cifrar lo que el usuario ha introduci-
do y comparar cifrado con cifrado:

Usuario (teclado)
contraseña: hola ----------------------ciframos--------------------> RAZFC72ckD/g2 (hola cifrado)
Sistema (fichero/etc/passwd) II ? (SÍ, Acceso concedido)
contraseña:???? <-----NO PODEMOS DESCIFRAR!!----- RAZFC72ckD/g2 (hola cifrado)

Al utilizar estos algoritmos de cifrado indescifrable o de un solo sen-

tido («only-one-way»), no podemos descifrar la contraseña, pero podemos aplicar
ese mismo algoritmo a lo que nos han pasado por teclado y comparar el resultado
cifrado con la contraseña cifrada. Con estos algoritmos, sólo podemos ir hacia la
derecha, es decir, sólo podemos cifrar. De esta forma cumplimos los dos objetivos
iniciales:
– Cuando un usuario introduce su clave, podemos comprobar si es la correcta
(cifrándola y comprobando si el resultado coincide con lo que nosotros tenemos
almacenado).
– Si alguien consigue arrebatarnos la clave cifrada (el texto «RAZFC72ckD/g2», por
ejemplo), no puede descifrarla, porque hemos utilizado un algoritmo de cifrado
de sólo un sentido y no es posible hacer la operación inversa.

Imaginemos otro algoritmo irreversible, por ejemplo, «contar el

número de letras de una frase». Si alguien pusiera «hola, me llamo Juan» el resulta-
do de ese algoritmo sería 15 letras. Si ahora alguien toma ese 15 como dato de par-
tida, es imposible que llegue a la conclusión de que la frase origen era «hola, me
llamo Juan», porque se ha perdido información relevante mientras se hacía el pro-
ceso. Está claro que este ejemplo no valdría para guardar contraseñas, pero explica
el concepto de algoritmos irreversibles o de un solo sentido.
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 236

Ésta es la razón por la que los antivirus la identifican como un troyano.

Es irónico pensar que en la controversia generada por el troyano Linterna Mágica, y la decisión
en su momento de un fabricante de antivirus de no detectarlo (cosa que ahora desmiente), haya
tenido un antecedente cerca de un año atrás, justamente con el Back Orifice y la misma empresa de
antivirus, y su anuncio de que dejaría de detectar como troyano al BO, por considerarlo una herra-
mienta, decisión que luego fue dejada en el olvido, presuntamente debido a las presiones del
Una de troyanos

momento...

UN GUSANO INDETECTABLE
Seguridad informática

Eso es lo que dice cDc. Y aunque sus intenciones puedan parecer buenas (o al menos patrióticas, que
236
«12345678»

Ataques de Acabamos de decir que los algoritmos de un solo sentido son

diccionario la mejor manera para guardar contraseñas (esto es cierto), y
que cualquier contraseña almacenada así no puede ser des-
cifrada (esto no es tan cierto, ahora veremos por qué).
Cuando nosotros conseguimos arrebatar la contraseña a
alguien en su forma cifrada (así: «RAZFC72ckD/g2», siguiendo el ejemplo de antes),
no podemos utilizar una receta para tomar ese galimatías y generar la contraseña
descifrada («hola», en este ejemplo), pero lo que sí que podemos hacer es aplicar el
algoritmo de cifrado a todas las palabras del diccionario, hasta encontrar una cuyo
galimatías coincida con el que nosotros hemos conseguido arrebatar.
No podemos ir hacia la izquierda, es decir, descifrar la contraseña,
pero podemos ir tantas veces como queramos hacia la derecha (cifrar palabras),
hasta dar con el resultado. Así, lo más habitual es coger todas las palabras de un
diccionario, y aplicarles el algoritmo de cifrado, hasta dar con la palabra correcta:

Diccionario Palabra cifrada Contraseña

a ---------> hYZeSQW6JtO/6 = RAZFC72ckD/g2 ? --------> NO
ab ---------> 6ZmfTPHvQfMBo = RAZFC72ckD/g2 ? --------> NO
ababa ---------> LZGyE2g1HxVl6 = RAZFC72ckD/g2 ? --------> NO
ababillarse ---------> gZL1zEPlc4Pm2 = RAZFC72ckD/g2 ? --------> NO
ababol ---------> aqX5qKqDy/eE = RAZFC72ckD/g2 ? --------> NO

hojuela ---------> IaxLbY/4G50r6 = RAZFC72ckD/g2 ? --------> NO

hojoso ---------> XapGN/ph3zhzI = RAZFC72ckD/g2 ? --------> NO
hola ----------> RAZFC72ckD/g2 = RAZFC72ckD/g2 ? ---------> ¡¡¡SÍ!!!, la contraseña es «hola»

Probamos secuencialmente con todas las palabras del diccionario,

hasta encontrarla. Estas listas de palabras suelen hacerse cogiendo todas las pala-
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 237

no es lo mismo), es lógico pensar que quienes deseen colaborar en la lucha contra el terrorismo, lo
hagan desde su especialización, y ese es el primer argumento del grupo cDc.
El diseño del nuevo BO se haría bajo estrictas reglas, como por ejemplo, no compartir el código
fuente, mantenerlo en un estricto secreto y jamás distribuirlo en público, para evitar el descubri-
miento por parte de los laboratorios de antivirus.

Una de troyanos
LLÁMESELE COMO SE QUIERA, PERO SIGUE SIENDO UN INTRUSO
La herramienta, que sería entregada sólo al gobierno (al FBI en principio) una vez terminada, pre-
tende ser un arma eficaz contra el fraude en Internet, el robo de identidad (hacerse pasar por otro),

Seguridad informática
los escritores de virus y la pornografía infantil, entre otros. Un arma capaz de interceptar cualquier

237
«12345678»
bras del inglés, todas las del castellano, todas las del italiano, nombres de ciudades,
de equipos deportivos, de famosos, etc., y al final lo que obtenemos es un listado
gigantesco de posibles contraseñas con las que probar este ataque de diccionario.
A simple vista podemos extraer dos conclusiones de todo esto:
– Elegir como contraseña una palabra que esté en el diccionario NO es una buena
idea, aunque sea «esternocleidomastoideo» o «unterschiedlichen».
– Contra un ataque de diccionario, una contraseña que empiece por x, y o z tiene
menos probabilidades de ser acertada rápidamente, puesto que los listados con
diccionarios suelen ordenarse alfabéticamente.

Aquí puede entrar en juego también la ingeniería social: si quere-

mos tener suerte a la hora de reventar la contraseña de una persona en concreto y
sabemos que está loco por todo lo relacionado con El Señor de los Anillos, pode-
mos meter en el diccionario todos los nombres, lugares y palabras características de
ese tema, y seguramente tengamos suerte.
Evidentemente todo esto no se hace de forma manual, existen
muchos programas para crackear contraseñas, aunque el más famoso de todos es
el «John the Ripper». La versión para Windows funciona relativamente bien, aunque
es un programa pensado para el mundo UNIX en general, así que tiene más senti-
do utilizarlo desde GNU/Linux o sistemas BSD. Para instalarlo en Debian GNU/Linux
basta con escribir (como root):

apt-get install john

Veamos un ejemplo de su uso: en diccionario.txt tengo mi diccio-

nario de posibles contraseñas, mostraré las 50 últimas para que sea más fácil enten-
der cómo es, posteriormente atacaré el fichero de contraseñas utilizando como dic-
cionario mi fichero «diccionario.txt»:
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 238

clase de crímenes que se puedan cometer con una computadora. Y de seguir el rastro aún después
de cometidos estos crímenes.
Incluirá analizadores de imagen para reconocer datos críticos en cualquier fotografía, como por
ejemplo logotipos o banderas usadas por los terroristas, identificación de los más buscados, etc.
En su sitio, Cult of the Dead Cow explica en forma mucho más detallada el porqué de su decisión
de crear algo así, y de ofrecerlo al gobierno de forma totalmente desinteresada.
Una de troyanos

El grupo de hackers informa también de que BackOrifice será rediseñado de forma que no
pueda ser detectado por las herramientas de seguridad, precisando además que la nueva versión
será para uso exclusivo del FBI.
Seguridad informática

Y lo de indetectable es relativo, ya que, tarde o temprano, cualquier investigador serio y respon-

238
«12345678»

# tail -50 diccionario.txt

zyuuzyun zyuuzyut zyuuzyuu zyuwaki zyuyo zyuyou zyuyouki zyuzou zyuzu zyu-
zutsu zyuzutu zyuzutun zyuzyou zyuzyu zyuzyuts zyuzyutu zyweck zywicki zywiel
zyxenhujul zyzomys zyzzoget zyzzogeton zyzzy zyzzyva zyzzyvas zz zzalsrh zzang
zzapsid zzdean zzdlg zzekka zzetsu zzetsuen zzetu zzgl zzhi zzppyyx zztop zztop-
man zzyzx zzyzyx zzz zzzz zzzzz zzzzzz zzzzzzz zzzzzzzz zzzzzzzzzzzzzzz

# john -w=diccionario.txt /etc/shadow

Loaded 1 password (FreeBSD MD5 [32/32])
hola (prueba)
guesses: 1 time: 0:00:03:26 100% c/s: 3024 trying: hola

En mi fichero de contraseñas (/etc/shadow) sólo tenía al usuario

«prueba», con la contraseña que hemos puesto antes, «hola». Como vemos, ha tar-
dado 3 minutos y 26 segundos en adivinar la contraseña, comprobando a una velo-
cidad de 3.024 claves por segundo, mientras iba probando por la palabra «hola» den-
tro del diccionario.

Ataques Como muchas estaréis pensando, no todas las contraseñas son

incrementales por palabras del diccionario, algunas incluso no son ni pronuncia-
fuerza bruta
bles y contienen números y letras mezclados. En estos casos se
usa un enfoque incremental para crackear las contraseñas, pro-
bando absolutamente todas las combinaciones: primero todas
las de una letra, luego las de dos letras, luego las de tres, etc. De esta manera nos ase-
guramos que al final la contraseña será adivinada (probamos absolutamente todas las
posibilidades), pero puede darse el caso de que la contraseña sea lo suficientemente
grande y compleja como para que el tiempo que necesitemos sea de varios años.
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 239

sable descubrirá la forma de detectarlo, cuando el troyano establezca algún tipo de comunicación con
su entorno.
Pero lo peor de todo esto es que lo llamemos como lo llamemos (Linterna Mágica o Back Orifice),
seguirá siendo un programa intrusivo, capaz de establecerse en nuestra computadora y de robarnos
información, sin nuestro conocimiento.
Y esto... puede ser peor que la enfermedad, ¿no le parece?

Una de troyanos

Seguridad informática
239
«12345678»
Normalmente en todo ese tiempo un usuario que haya puesto una contraseña buena,
la habrá cambiado varias veces, así que nuestro trabajo no valdría para nada. (Nota:
actualmente proyectos como LASEC (http://lasecwww.epfl.ch) llevan a cabo una estra-
tegia bastante inteligente: almacenar en una base de datos inmensa (unos 4 TB para
contraseñas de Windows NT) todas las posibles combinaciones de letras y números y su
correspondiente texto cifrado; así, cuando alguien quiera crackear algo solamente hay
que buscar en esa base de datos por el texto cifrado solicitado, en muy poco tiempo).
Veamos un nuevo ejemplo de utilización del «John the Ripper»,
mediante el enfoque incremental:

# john -incremental /etc/shadow

Loaded 1 password (FreeBSD MD5 [32/32])
hola (prueba)
guesses: 1 time: 0:00:17:12 c/s: 2887 trying: hola

Como vemos, ha tardado bastante más que con el enfoque por dic-
cionario (17 minutos contra 3 minutos), porque «hola» es una palabra del diccio-
nario. Si hubiéramos puesto algo que no está en el diccionario, como por ejemplo
«4tq2», con este enfoque habríamos tardado lo mismo, mientras que con el ataque
por diccionario nunca lo habríamos resuelto.
Las cosas que deberemos tener en cuenta para evitar un ataque de
este tipo son claras: el tamaño de nuestra contraseña, cuanto más grande sea, más
difícil será adivinarla, y la complejidad de la contraseña, mezclando letras mayúscu-
las y minúsculas, números y caracteres raros como @, #, !, etc. Muchos ataques
incrementales sólo prueban letras y números y no son eficaces contra combinacio-
nes raras de letras, símbolos especiales, etc.
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 240

INFOMIXER

El Infomixer se basa en el clásico programa Perl «Travesty», que hace una extraña parodia de
cualquier texto o colección de textos reordenándolos a partir de la frecuencia con la que apare-
cen pares de palabras determinados. Plagiarist.org ya usó Travesty para hacer su manifiesto pla-
giario allá por el 98, remezclando los manifiestos más o menos famosos de otra gente. No tenía-
mos nada nuevo que decir, pero lo importante es que lo dijimos con un montón de convicción.
Como en plagiarist.org somos tan entusiastas del Travesty, decidimos homenajearlo haciendo este
Infomixer para remezclar las declaraciones y discursitos de relaciones públicas de grandes corpo-
Seguridad informática

raciones.
240
«12345678»

Consejos Para resumir, siguiendo estos consejos podremos inventarnos

pr ácticos una buena contraseña:
• No utilizar nunca una palabra del diccionario, en ningún
idioma conocido (klingon o élfico incluidos), por muy larga
o extraña que pueda parecer.
• Intentar evitar combinaciones que empiecen por las primeras letras del alfabeto,
para ponérselo un poco más difícil a un ataque incremental.
• No utilizar palabras relacionadas con nuestras aficiones, el nombre de nuestra
novia, hijas, etc. Es probable que el atacante pueda conocer esos datos.
• Bajo ningún concepto usar la «pregunta relacionada». En algunos sitios como
Yahoo o Hotmail nos permiten utilizar una pregunta para recordar nuestra con-
traseña. «¿Cuál es el nombre de tu mascota?», «¿cómo se llama tu madre?», etc.,
son preguntas típicas que podremos usar. Si respondemos bien a esa pregunta, se
nos envía un correo con nuestra contraseña. De nada sirve una contraseña
buena, si utilizamos una pregunta de recordatorio demasiado fácil. Ya sabemos
que la cadena siempre se rompe por el eslabón más débil, así que éste podría ser
un buen método para que alguien consiguiera nuestra contraseña. Tener como
contraseña «23lhXt-wl!@er3X» es inútil, si luego en la pregunta para recordarla
pones: «¿Cuál es mi pueblo de veraneo?», y en tu página web dices que eres de
la peña de fiestas de Valdemorillo de las Cañas.
• En cuestión de contraseñas, «size DOES matter», el tamaño importa.
• Combinar mayúsculas, minúsculas, números y caracteres especiales pondrá las
cosas más difíciles a quien quiera crackear nuestra contraseña.
• Si lo que necesitamos en una «passphrase», es decir, una contraseña que normal-
mente tiene que ser muy larga porque lo que protegemos es importante, no duda-
remos en utilizar espacios a la hora de definir la passphrase. Por ejemplo, una
buena passphrase podría ser: «Biba la vid@, y biba lamorl!!».
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 241

Dada la sabiduría de Travesty para encontrar similitudes entre textos, ésta era la herramienta ideal.

Pero, ¿por qué hacerlo con textos de relaciones públicas de grandes empresas?
Habíamos notado un montón de curiosas coincidencias entre los textos que las grandes empresas
escriben sobre sí mismas. Eran increíblemente parecidos, resultando impersonales, formulosos, etc. A
ver si iba a resultar que los expertos en relaciones públicas eran una panda de hipócritas que se
limitaban a arrejuntar un montón de lugares comunes de las relaciones públicas (?). Pero tampoco
había que verlo de ese modo, al fin y al cabo, hay que ver lo igual que suena tanta y tanta música

Infomixer
dance, y ahí llegan los dj’s, la remezclan y aquello cobra vidilla. Quizá desde plagiarist.org se podía

Seguridad informática
hacer algo parecido animando los sosos textos con un programa tan guays como éste.

241
Uffff... ¡qué pereza! ¡Si quiero poner una contraseña siguiendo todos
esos consejos, al final nunca me voy a acordar de ella! No desesperes, existen tru-
cos muy buenos:

1. Coge una frase que te guste. Por ejemplo: «Verde que te quiero verde».
2. Quita los espacios y sustitúyelos por mayúsculas: «VerdeQueTeQuieroVerde».
3. Cambia algunas letras por números, el 3 es una E al revés, el 0 puede ser una O,
la @ la cambiamos por la Q... usa tu imaginación: «V3rd3@u3T3@ui3r0V3rd3».
4. Esa contraseña ya es potentísima, pero no nos vamos a acordar. Cogemos las 10
primeras letras, y nos queda: «V3rd3@u3T3», o sea, «verdequete» escrito a nues-
tro estilo personal, una contraseña bastante difícil de crackear.

Naveguemos Desde los comienzos de Internet, cuando la antigua Arpanet

tenía mucho más de aldea que de global, el proyecto Echelon
sin dejar rastro
ya funcionaba interceptando contenidos considerados como
peligrosos en las comunicaciones electrónicas. En un principio
nadie quiso creer paranoicas historias sobre sistemas de espio-
Echelon,
Carnivore naje computerizado, satélites vigilando noche y día nuestras
y Passport.Net comunicaciones, filtros de correo electrónico, etc. Todo pare-
cía sacado de una vieja película de espías. Sin embargo, 30
años después de su constitución en 1971, el Parlamento
Europeo hizo pública su existencia en mayo de 2001:

No hay ninguna razón para seguir dudando de la existencia de un

sistema de intercepción de las comunicaciones a nivel mundial en el que
participan los Estados Unidos, el Reino Unido, Canadá, Australia y Nueva
Zelanda en el marco del Acuerdo UK/USA; considerando, asimismo, que
según las informaciones de que se dispone, es probable que su nombre sea
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 242

¿Vale y cómo puedo usarlo?

De un par de maneras, puedes jugar con él en la página de plagiarist.org con las webs corporativas
que tenemos preseleccionadas, o puedes bajarte el programa desde la misma página y montártelo
con los textos que más gracia te hagan: puedes probar con las declaraciones de diferentes políticos,
con las centrales de la acp. Infomixer no tiene límites.

¿No tengo ni idea de Perl, de Travesty ni de programación, puedo usarlo aun siendo así de torpe?
Por supuesto y para eso estamos en plagiarist.org, que somos tan majas que lo hemos adaptado
Infomixer

para que lo puedas usar como cualquier script de CGI que, aunque aún no sepas lo que es, está chu-
Seguridad informática

pado, de veras.
242
Naveguemos sin dejar rastro

«ECHELON», si bien no es éste un aspecto de importancia primordial (...) El

sistema no se utiliza para interceptar comunicaciones militares, sino priva-
das y económicas.
(Informe de la UE sobre Echelon)

Como vemos, el sistema está orientado al espionaje del ciudadano de

a pie en su vida cotidiana; atrás quedó el espionaje militar de la Guerra Fría, todo el
mundo es un enemigo potencial. No sólo las comunicaciones personales por Internet
son filtradas y espiadas, sino muchas conversaciones telefónicas, celulares, fax y GPS.
Funciona con un sistema de «palabras clave» que activan el filtrado. Un ejemplo bas-
tante escandaloso de este sistema es el que se relató en el programa «60 minutes» de
la CBS. Una mujer hablaba por teléfono con una amiga explicándole que su hijo hizo
un papel durante una obra de teatro en el colegio, usando la expresión «he bombed»
(literalmente «puso una bomba», pero también en sentido figurado «fue muy depri-
sa»). El sistema detectó automáticamente la expresión, y su nombre y datos persona-
les fueron a parar a la base de datos de posibles terroristas. El «mejor» Gran Hermano
jamás diseñado ha estado más de un cuarto de siglo espiando conversaciones por
todo el mundo. La alianza entre las agencias de seguridad e inteligencia de todos sus
participantes se han cubierto las espaldas en el terreno legal: es ilegal que un gobier-
no espíe a sus propios ciudadanos y mandatarios, pero siempre es posible pedir «favo-
res» al resto de participantes en este sentido. Margaret Tatcher hizo uso de estos favo-
res y espió a varios miembros de su gabinete solicitando informes a sus colegas cana-
dienses. Organizaciones como Greenpeace o Amnistía Internacional han sido también
espiadas, como se ha reconocido públicamente.
Obviamente esto sólo es la punta del iceberg; sin embargo, cada vez
la cantidad de información que hay que tratar se va haciendo más inmanejable y su
eficacia está cayendo poco a poco. Por esto mismo, la NSA, Agencia de Seguridad
Nacional de Estados Unidos, y el FBI están desarrollando nuevas herramientas para
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 243

¿Y donde puedo encontrar más información sobre el Travesty este o lo que otra gente hace con él?
Pues en el medio de megametamasas que es Google, por supuesto, y también en distribuciones de
Perl o en sitios como: www.geek-girl.com/perl/programming_perl/ch6/travesty.
La implementación más popular de Travesty en Perl se basa en un algoritmo publicado en el 84 en:
http://infomix.plagiarist.org/corp/frameset.html.

Infomixer

Seguridad informática
243
Naveguemos sin dejar rastro
aumentar la capilaridad de sus sistemas de filtrado y espionaje. En este sentido desta-
can las colaboraciones de empresas que guían gran parte del futuro de Internet como
Microsoft o Cisco, líderes en el mercado del software y el hardware de equipamientos
de red respectivamente. Ambas empresas han manifestado públicamente que supe-
ditarán la privacidad de sus usuarios a los intereses de la NSA y FBI en cuestiones de
seguridad. Este colaboracionismo se ha visto como algo muy negativo dentro de los
grupos de usuarios concienciados con el tema, pero la gran mayoría de sus consu-
midores no se detienen a observar estos puntos de la licencia EULA («End User License
Agreement») que aceptamos cada vez que instalamos uno de sus productos.
Además de los acuerdos de colaboración con Microsoft o Cisco
entre otros, el FBI ha contado con la colaboración de hackers afamados como el
grupo Cult of the Dead Cow, creador de la famosa herramienta de «administración
remota» de sistemas (a veces considerada como software espía o troyano) «Back
Orifice». Esto le ha hecho trabajar en la creación de programas espía («spyware»)
como «Magic Lantern» o «Cyber Knight», programas capaces de editar el registro de
Microsoft Windows, detectar claves secretas, manipular archivos o espiar conversa-
ciones por chat, Messenger o ICQ.
Carnivore es un proyecto en este mismo sentido. En palabras de los
propios representantes del FBI: «Carnivore es un sistema computacional diseñado
para permitir al FBI, en colaboración con un proveedor de Internet (ISP), que se
haga valer una orden judicial que exige la recolección de cierta información en rela-
ción al correo electrónico u otros tipos de comunicaciones electrónicas de un usua-
rio específico que es objeto de investigación». Como podemos ver, Carnivore solici-
ta la colaboración de los proveedores de Internet, pidiendo los registros de correos
electrónicos enviados o recibidos por y para una persona en concreto. Esto es bas-
tante similar a lo que exige la reciente Ley de Servicios de la Sociedad de la
Información y Comercio Electrónico (LSSI-CE), que obliga a guardar los registros de
todo lo que sucede en proveedores de Internet y demás empresas que desarrollen
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 244

AGENTES

Un agente es una especie de programa que realiza tareas, como cualquier programa que se precie,
pero que a la vez es capaz de ir aprendiendo de las «prioridades» de sus usuarios para así ir toman-
do iniciativas y hacerle ofertas que le permitan ganar tiempo. Los programas que usan las agencias
de viajes que venden billetes por Internet son agentes: aprenden que vas a Castellón todas las
Navidades, de forma que en vez de esperar a que les pidas el billete, dos meses antes te buscan uno
más barato y te lo ofrecen por si cuela. De paso, si les dices el nombre de tu madre, pues igual te
recuerdan el día de su santo y te venden un ramo de flores electrónicas. Así de limpio y de conve-
Seguridad informática

niente es el nuevo capitalismo personalizado, donde se trata de contar con la información sobre tus
244
Naveguemos sin dejar rastro

actividades comerciales en Internet. A pesar de las protestas de asociaciones de

internautas y grupos sociales relacionados con la telemática, el gobierno español ha
seguido adelante con la ley, cuyo reglamento es a día de hoy una incógnita y podrá
afectar muy negativamente a las libertades digitales de mucha gente.
Por otro lado, sistemas como Microsoft Passport.Net pueden ser una
amenaza grande contra la intimidad de los «netizens» o ciudadanos de la red.
Mediante Passport.Net es posible introducir un usuario y contraseña en uno de los
sitios en los que se utilice y no tener que volver a enseñar ese «pasaporte virtual» en
el resto de sitios que funcionan con este sistema. Es muy habitual que entremos en
Hotmail a revisar nuestro correo, vayamos a Amazon.com a comprar un libro o a
Ebay a buscar algo en sus subastas, y que esos sitios nos reconozcan al entrar y nos
muestren nuestras preferencias, etc. Esto no supondría mayor riesgo si el sistema no
pudiera utilizarse para hacer correlaciones complejas que dieran más información
que la estrictamente necesaria para cada una de esas tiendas virtuales. Pongamos
un ejemplo: si un hombre mediante Passport.Net compra unos pantys en una web
de lencería, cualquiera podría pensar que son para su madre, hermana o novia. Si
mediante este mismo sistema se hace con el mapa de calles de Leganés, es proba-
ble que vaya a pasar una temporada por allí, de vacaciones o por trabajo. Si ade-
más de esto, se compra una escopeta de caza, el sitio que se la vende pensará que
tiene un coto privado, y si compra una sierra para cortar metales, es probable que
quiera hacer obras en las cañerías de casa. El «problema» para este sujeto le vendrá
cuando se analicen todos estos datos a la vez, junto con la noticia de que un enca-
puchado ha asaltado una caja de ahorros en Leganés a punta de escopeta recor-
tada. Quizá éste sea más un contraejemplo que un ejemplo de las maldades de este
sistema, pero me gusta especialmente porque cuando lo escuché en una charla
sobre estos temas me pareció tremendamente gráfico.
Después de esto, podemos ser todo lo paranoicos que queramos
(siempre sin olvidar la frase del comienzo: la seguridad y privacidad total no existen).
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 245

trayectorias personales, de forma que ellos puedan estar allí antes que tú y montar el mercadillo
para venderte lo que saben que vas a necesitar.
Si en algún momento se inventaron las necesidades de masas, ahora te han inventado a ti, com-
pañero, y más te vale parecerte a la imagen que los agentes irán construyendo de ti porque si no va
a ser esto una paliza de aquí te espero.
Nuestro amigo Sintron, de nuevo, pilló onda muy rápidamente y se puso a construir DeathCo,
algo así como Muerte y Cía, un dispositivo de fabricación en serie de agentes electrónicos.
Con Muerte y Cía. podrías ir definiendo mediante tus acciones y tus comunicaciones cuál es tu

Agentes
estilo y tu modo de hacer las cosas, de forma que al cabo de algún tiempo el «agente» producido

Seguridad informática
por el programa podría responder por ti a un buen porcentaje de e-mails, participar en chats y con-

245
Naveguemos sin dejar rastro
Estos enlaces servirán de guía para quien quiera ahondar en estos temas:
• «Echelon y la gran familia», por Arturo Quirantes, muy recomendable:
http://www.ugr.es/~aquiran/cripto/informes/info025.htm.
• «La protección de datos personales en Internet, ¿un derecho fundamental vir-
tual?», por A. Daniel Oliver Lalana:
http://www.unizar.es/derecho/fyd/prodatos/pdf/uned2.pdf.
• «EU Repport» sobre Echelon (en inglés):
http://www.fas.org/irp/program/process/rapport_echelon_en.pdf.
• «Carnivore FAQ. Privacidad», por David Casacubierta:
http://www.spain.cpsr.org/boletin000c.php.

?
Cómo navegamos Cuando hacemos una petición web desde nuestro navegador,
realmente es decir, cuando escribimos «http://www.sindominio.net», por
por la web? ejemplo, en la barra de direcciones del navegador, es necesa-
rio hacer unos cuantos pasos previos antes de que se nos
muestre por pantalla el contenido de esa página web:
1. Lo primero y más importante es obtener la dirección IP de «www.sindominio.net».
Internet funciona con direcciones IP, que son como número de teléfono de
muchas cifras (en la versión actual de IP —la 4— tienen el formato A.B.C.D donde
A, B, C y D son números del 0 al 255). Para llamar por teléfono a nuestros amigos
es muy sencillo: recordamos su número de teléfono, marcamos y listo. Pero cuan-
do queremos llamar a la estación de autobuses o a una tienda normalmente usa-
mos las «Páginas Amarillas». En Internet hacemos lo mismo: si pusiéramos en la
barra de direcciones en lugar de «www.sindominio.net», la dirección IP que le
corresponde, 213.172.36.134 en este caso, funcionaría perfectamente. Pero claro,
acordarnos de unos cuantos números de teléfono es fácil; sin embargo, hacer lo
mismo con todas las IPs de todas las páginas que visitamos sería de locos. Por eso
mismo, los navegadores utilizan las «Páginas Amarillas» de Internet, los servidores
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 246

seguirte citas. Eventualmente podría hacer encuestas, distribuir libros alternativos o ver publicidad
para ganar algo de dinero en la red, dinero que ingresaría en tu/su cuenta corriente electrónica. Así
contando con pasta, podría enviar regalos a tus conocidos, comprarte los libros que os gustan etc.
Idealmente iría aprendiendo tu tono y sus comunicaciones se irían asemejando más y más a las
tuyas. Al final, es decir cuando murieras, el agente podría seguir viviendo por ti, participando en lis-
tas de correo, en foros, ligando por Internet, ganando dinero y gastándoselo... Nadie notaría que has
muerto. Excepto tú mismo, aunque a estas alturas tus opiniones serían irrelevantes, como quizá irre-
levante había sido tu vida.
Agentes

Claro que también podrías construir agentes falsos, agentes que no se parecieran en nada a ti y
Seguridad informática

que se dedicarán a darle información falsa a los agentes de las compañías que venden de todo por
246
Naveguemos sin dejar rastro

DNS (Domain Name System). Cuando yo le digo «www.sindominio.net» a un ser-

vidor DNS, él me responde diciendo «213.172.36.134»; y viceversa, si le digo
«213.172.36.134», él me responde «www.sindominio.net» (resolución de nom-
bres inversa). Este primer punto es importante, ya que una navegación anónima
no debe dejar rastro ni siquiera en sus peticiones a los servidores DNS.
2. Una vez que tenemos ya la dirección IP a la que hay que conectarse, nuestro navega-
dor intenta abrir el puerto 80, que es el de HTTP. ¿Qué es esto de los puertos?
Siguiendo con el símil telefónico, un puerto podría entenderse como una extensión
telefónica: tu llamas al teléfono del ayuntamiento (555 341 431), pero no quieres
hablar con todo el ayuntamiento, sino únicamente con el departamento de bienes-
tar social (extensión 2349). Con los ordenadores pasa parecido: un servidor tiene la
IP 213.172.36.134, pero para ver la página web que alberga sólo nos interesa entrar
por el puerto 80, que es el de HTTP (web).
3. Después de conectarse, nuestro navegador le pide al servidor la página que nos-
otros hemos solicitado. Si, por ejemplo, hemos puesto en la barra de direcciones
«www.sindominio.net/ayuda.shtml», el navegador va a «www.sindominio.net»,
puerto 80, y dice: «GET /ayuda/irc.shtml», y el servidor le envía la página que ha
pedido. El servidor tiene que saber quién le ha pedido esa página, es decir, la
dirección IP de quien ha pedido esa página para poder enviársela. Normalmente
este dato (quién solicitó esa página) se almacena en el propio servidor web, por
lo que es posible saber qué ordenadores han visitado determinadas páginas.
4. El navegador recibe lo que le ha enviado el servidor, y nos lo presenta en un for-
mato más agradable, con tablas, negrita, subrayados, etc.

No parece muy complicado, ¿verdad? La navegación web estándar

tiene pocos misterios. Algo más compleja es la navegación web segura, a través de
HTTPS (HTTP Seguro), que utiliza el puerto 443 y transmite los datos de manera cifra-
da. Conviene diferenciar la navegación web segura de la navegación web anónima.
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 247

Internet, a hacerles enviar ramos de flores a señoras inexistentes y a escribir a los políticos intermi-
nables cartas soeces, una detrás de otra, a organizar sentadas electrónicas en las que sólo participa-
ran agentes.
Todo un campo este de los agentes.
Más información en: www.sintron.org

Agentes

Seguridad informática
247
Naveguemos sin dejar rastro
En la navegación web segura, se sabe a qué direcciones vas, pero no qué contenidos
intercambias con ese servidor, porque la conversación entre tu navegador y el servi-
dor web está cifrada. En la navegación web anónima, el objetivo es otro: dificultar que
el servidor web sepa realmente quién le está visitando, como veremos a continuación.

Navegaci ón Si queremos navegar sin dejar rastro, no nos basta con utili-
an ónima zar navegación web segura mediante HTTPS siempre que
podamos, ya que con eso sólo estaremos cifrando los datos
que transmitimos y recibimos, pero no estamos «anonimizan-
do» o «impersonando» (dos palabras inglesas traducidas con
calzador) nuestras peticiones a los servidores web. En otras palabras, si yo me
conecto a la web de mi caja de ahorros para realizar una transferencia bancaria, casi
con total certeza estaré bajo una conexión segura, protegida mediante HTTPS, pero
en ningún momento dicha conexión será anónima, porque el servidor web de la
caja de ahorros sabrá que hemos sido nosotros quienes nos hemos conectado a
hacer esa transferencia.
Por otra parte, si queremos entrar en la página web de Falange
Española sin que sepan que hemos sido nosotros, no necesitamos entrar bajo una
conexión segura mediante HTTPS, sino que lo que tenemos que conseguir es que
parezca que no hemos sido nosotros quienes hemos pedido determinada página
web. ¿Cómo conseguimos esto? La respuesta ya la sabemos, de la misma manera
que lo hacemos cotidianamente para otras cosas: mandamos a otra persona a que
nos haga el recado. En el mundo de los navegadores y las páginas web, los reca-
deros se llaman «proxy» o «proxy-web». Un servidor proxy-web recibe peticiones o
«recados», los realiza y devuelve los resultados a quienes se lo pidieron. Bien, asun-
to arreglado: en lugar de ir nosotros a visitar la página de la Falange directamente,
le pedimos a un proxy-web que la visite por nosotros y nos devuelva la página cuan-
do la tenga.
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 248

GOOGLE BOMB

Una google bomb, o bomba de Google, es un intento de subir artificialmente la valoración de una
web en un buscador como Google. Para ello se aprovecha que el buscador relaciona la cantidad de
enlaces con palabras a una web con la importancia de esa web en relación a esas palabras. Al
crear muchas webs diferentes con enlaces idénticos a otra, ésta puede subir mucho en los resulta-
dos del buscador. Si además estas webs se actualizan muy regularmente (como los weblogs) el
efecto es aún mayor.
La primera bomba de este tipo fue lanzada a finales de 1999 cuando se descubrió que si metías
Seguridad informática

en Google: «more evil than satan himself» (más malo que el mismísimo Satanás) ibas a dar a la
248
Naveguemos sin dejar rastro

En los registros del servidor web ya no aparecerá nuestra dirección

IP como la que ha hecho la petición, sino que será la dirección del proxy-web la que
se almacenará.
Esto funciona bastante bien, pero a veces los servidores proxy-web
son tan gentiles que piden las cosas así: «Por favor, solicito la página documen-
tos/informacion.html, de parte de 128.11.22.33». Imaginemos que nosotros somos
ese tal 128.11.22.33, gracias a esa manera de pedir la información, habremos sido
delatados claramente. Muchos servidores web están configurados para registrar las
direcciones IP que aparecen en «de parte de...» dentro de la petición (técnicamen-
te en la cabecera HTTP_X_FORWARD).
Fue bonito mientras duró... con estos servidores proxy-web tan edu-
caditos no podemos navegar de forma anónima. Bueno, todavía podemos poner
las cosas difíciles a quien nos quiera seguir el rastro: encadenamos una serie de ser-
vidores proxy y así es más difícil seguirnos el rastro. Lo mismo pasa en la vida real:
si le dejas un libro a alguien, y ése se lo deja a otra persona, y así unas cuantas
veces, da el libro por perdido. Solamente aparecerá nuestra dirección IP en el primer
«salto» que demos:

Nosotros ---------> Proxy Web 1 --------> Proxy Web 2 --------> Proxy Web 3 --------> Servidor Web
(IP: 128.11.22.33) (IP: 111.1.1.1) (IP: 122.2.2.2) (IP: 133.3.3.3) www.peligro.com

¿Qué dice cada uno?

«128.11.22.33 me pide «111.1.1.1 me pide «122.2.2.2 me pide «133.3.3.3 me pide

www.peligro.com www.peligro.com www.peligro.com www.peligro.com
<------- de parte de <------- de parte de <------- de parte de <------- de parte de
128.11.22.33» 128.11.22.33» 111.1.1.1» 122.22.22.22»
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 249

página de Microsoft. Ya en el año 2000 se usaron bombas de Google similares para llevar desde una
búsqueda que solicitara «tontos del culo» (o algo así) a la página electoral de Bush. Así hasta que
lleguemos a la web semántica, que dice Carolina que es el futuro; pues ya sabéis, a preparar vuestras
propias bombas de Google.

Google bomb

Seguridad informática
249
Naveguemos sin dejar rastro
De esta forma, lo que queda registrado en el servidor web es que 133.3.3.3 ha solicitado
la web «www.peligro.com» de parte de 122.2.2.2. Ni rastro de la IP origen real, es decir,
la nuestra (128.11.22.33). Cuantos más saltos de proxy-web demos, más difícil será ras-
trear nuestra navegación, pero configurar esto puede ser complicado. Para evitarnos
muchos quebraderos de cabeza, existen herramientas que hacen esto mismo de forma
automática. JAP es una de ellas.

JAP JAP significa «Java Anonymous Proxy», es decir, «Proxy

Anónimo en Java». En realidad ese es el nombre original del
software de proxy-web, pero actualmente no en todas las pla-
taformas está escrito en Java (Java es un lenguaje multiplata-
forma que funciona de manera similar tanto en Microsoft
Windows, Apple MacOS o GNU/Linux, entre otros). Concretamente las versiones de
Windows y MacOS sí están escritas en Java, y tienen una interfaz gráfica muy similar,
y la versión para GNU/Linux y BSD funciona de otra manera, en modo texto.
JAP se basa en el principio de que todos sus usuarios navegan con
la misma dirección IP. De esta manera, cuando un servidor registre nuestra visita,
apuntará esa IP, que es compartida por todos los usuarios de JAP, y no podrá saber
cuál de todos los usuarios ha visitado la página.
Cuando instalamos JAP en nuestro ordenador, lo que estamos ins-
talando es un servidor proxy-web. Todas las peticiones que le hagamos a ese servi-
dor proxy irán encaminadas a la red de servidores proxy de JAP de forma cifrada,
así que todo lo que pidamos a nuestro «recadero JAP» será tratado de forma anó-
nima y segura. Recordemos el diagrama anterior:

Nosotros-----SIN CIFRAR------>Proxy Web JAP------CIFRADO----->Proxy Web JAP2-----CIFRADO----->Servidor Web

<----SIN CIFRAR----- <----CIFRADO----- <----CIFRADO-----
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 250

El salto desde nuestro navegador al primer proxy JAP es sin cifrar, pero
esto no es ningún problema si lo instamos en nuestro propio ordenador, porque sería
como decir al «recadista JAP» dónde queremos ir dentro de casa, donde nadie puede
oírlo. A partir de ahí, se produce otra serie de saltos entre diversos servidores proxy de
JAP, y finalmente se accede al destino. Una vez se obtiene la página, el sistema JAP rea-
liza los saltos inversos y al final obtenemos la página web en nuestro navegador.
La secuencia de saltos que realiza JAP dentro de sus servidores se
conoce como «cascada de saltos» o «mix cascade». Podemos elegir entre diferentes
Naveguemos sin dejar rastro

secuencias de saltos para dificultar más aún el seguimiento. Dado que mientras nos-
otros navegamos hay también usando este sistema otros muchos usuarios, nuestro
Seguridad informática

tráfico web se mezcla con el del resto de usuarios, haciendo muy costoso el segui-
250

miento del tráfico de una sola persona.

Los servidores proxy-web del sistema JAP son proporcionados por
diferentes instituciones independientes, que declaran oficialmente que no guardan
un registro de las conexiones, ni intercambian información sobre ellas con otros pro-
veedores. A pesar de esta declaración pública, se prevé crear un software que haga
de «perro guardián» del sistema, para asegurar que esto se cumple por parte de las
citadas instituciones, creando navegaciones de prueba y comprobando si han podi-
do ser objeto de escuchas o registros.

Instalación y Instalar JAP en Windows es muy sencillo, sólo tendremos que

uso en seguir los pasos de un asistente de instalación. Lo primero que
Microsoft
tenemos que hacer es bajarnos el paquete de instalación de la
Windows
página http://anon.inf.tu-dresden.de/win/download_en.html.
Ahí encontraremos diferentes enlaces en función de la versión
de Java que tengamos instalada en el sistema, etc. Lo más sencillo es pinchar en el enla-
ce «download the complete setup program» para bajarnos el programa de instalación
completo y evitar así mayores complicaciones.
Una vez que tenemos el programa de instalación en nuestro disco
duro, lo ejecutamos y nos aparecerá un asistente de instalación en el que deberemos
elegir el idioma. Actualmente sólo está disponible en inglés o alemán, así que elegi-
mos inglés y le damos a continuar. Seguidamente se nos muestra un diálogo en
donde deberemos especificar la carpeta en la que queremos instalar JAP. En principio
la carpeta que viene por defecto es correcta, así que pulsamos el botón de siguiente
(«Next»). En el siguiente paso, el asistente nos pregunta qué es lo que queremos ins-
talar. Ante la duda, lo más sencillo es pedirle que instale tanto JAP como el soporte
para Java («JAP + Java»). Posteriormente, se nos solicita un nombre para la carpeta des-
tinada a JAP dentro del Menú de Inicio. «JAP» es una buena opción. Por último, se nos
avisa de que hemos completado todos los pasos para proceder con la instalación de
JAP y pulsando en siguiente («Next») comenzará a instalarse en nuestro ordenador.
Una vez termina el proceso de instalación de JAP, comienza la insta-
lación del soporte para Java (tal y como habíamos solicitado en el segundo paso de
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 251

la instalación). Esta versión de Java es propietaria de Sun Microsystems, así que es

necesario aceptar la licencia de uso para poder instalarla. Aceptamos y continua-
mos. Definimos el lugar en nuestro disco duro en el que queremos instalar Java. El
directorio mostrado por defecto es una buena opción, así que pulsamos el botón
de siguiente. Seguidamente se nos pregunta si queremos que esta versión de Java
que estamos utilizando se utilice también cuando usemos el Internet Explorer o el
Netscape Navigator. En principio nos da igual, así que dejaremos las casillas en blan-
co y pulsaremos el botón siguiente para continuar. Una vez llegados a este punto,

Naveguemos sin dejar rastro

se instalan los componentes necesarios para que funcione Java y se da por finaliza-
do el proceso de instalación. El proceso de instalación finaliza aquí, pero conviene

Seguridad informática
tener marcada la opción para configurar automáticamente nuestro navegador para

251
que use JAP antes de pulsar el botón de finalizar.
El asistente para configurar nuestros navegadores intentará buscar
todos los navegadores que tengamos instalados en nuestro ordenador de forma
automática y cambiará sus configuraciones para que naveguen a través del proxy-
web JAP. Además, podrá configurarse JAP para que funcione también con progra-
mas de gestión de descargas, como el «Download Accelerator» o «GetRight», para
no delatarnos al usar estos aceleradores de descargas. En la siguiente pantalla el
asistente muestra una lista de los navegadores que ha encontrado instalados en
nuestro ordenador. Es recomendable seleccionar todos los navegadores que utilice-
mos de esa lista y que pulsemos el botón de siguiente («Next»). Posteriormente, se
muestra una lista de todas las conexiones a Internet configuradas en este ordena-
dor, para seleccionar con cuál de ellas queremos utilizar JAP. En principio seleccio-
naremos todas, salvo que hubiera problemas con alguna (por tener que utilizar otro
proxy-web, por ejemplo). Y finalmente terminamos el proceso de configuración
automática de JAP, por lo que podremos utilizarlo normalmente.
Una vez instalado, JAP situará un icono en el escritorio de Windows.
Si hacemos doble clic sobre ese icono, podremos ver la ventana de gestión del
proxy-web anónimo:
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 252

Hasta que no activemos la opción «Activate anonymous web

access», no estaremos navegando de forma segura. Después de activar esa opción,
podremos modificar la configuración de JAP pulsando sobre el botón « Change»,
que nos mostrará un diálogo en el que podremos cambiar las medidas de seguri-
dad tomadas, etc.

Instalación y El proxy-web anónimo JAP tiene una manera diferente de fun-

uso cionar para sistemas UNIX y similares. No utiliza Java, sino que
Naveguemos sin dejar rastro

en GNU/Linux
está escrito en C, y se llama «anon-proxy». Existen paquetes
para Debian GNU/Linux y RedHat entre otras distribuciones,
Seguridad informática

así como las fuentes para cualquier otro sistema UNIX-like.

252

El proceso de instalación en Debian GNU/Linux es muy sencillo.

Primeramente comprobamos si lo tenemos en las listas de paquetes disponibles:

# apt-cache search anon-proxy

anon-proxy - Proxy to surf the web anonymously

Si queremos conocer algo más sobre el contenido del paquete,

podemos mostrar sus características e información relevante con el comando:

# apt-cache show anon-proxy

Para instalarlo basta con hacer:

# apt-get install anon-proxy

Y el sistema de paquetes de Debian GNU/Linux se bajará los paquetes

necesarios y procederá a su configuración. Si es la primera vez que instalamos anon-
proxy, se nos preguntará en qué puerto queremos que quede el proxy-web a la escu-
cha dentro de nuestro ordenador (por defecto es el 4001). Y finalmente se nos pre-
gunta si queremos iniciar el proxy anónimo nada más arrancar el sistema. Además de
esto, se nos informa de que deberemos configurar el proxy en los navegadores que uti-
licemos de esta manera: 127.0.0.1:4001. Es decir, 127.0.0.1, que es la dirección IP que
significa siempre «nuestro propio ordenador», y 4001 que es el puerto que hemos ele-
gido durante la instalación para que el proxy-web escuche. Si queremos utilizar «anon-
proxy» para programas que funcionan con la configuración propia del sistema como
APT o el navegador Lynx, deberemos exportar la variable de sistema «http_proxy»:

# export http_proxy=http://127.0.0.1:4001/

Para asegurarnos de que realmente el puerto 4001 de nuestro sistema

está abierto para conexiones al proxy anónimo, podemos utilizar el comando «netstat»:
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 253

# netstat -ptau
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 localhost:4001 *:* LISTEN 6114/proxytest

Como vemos, el puerto TCP 4001 en localhost (es decir, 127.0.0.1,

nosotros mismos) está a la escucha (Listen) y el programa que se encarga de aten-
derlo es «proxytest», el nombre del programa ejecutable de anon-proxy.

Naveguemos sin dejar rastro

Otros Si no queremos instalar un proxy-web en nuestro ordenador

Seguridad informática
anonimi- o simplemente no podemos (porque estamos en un ordena-
zadores web

253
dor en el que no tenemos privilegios como para instalar soft-
ware, como podría suceder en el trabajo o en un cibercafé),
podemos utilizar otros métodos para navegar de forma anó-
nima. Simplemente visitando la página http://www.the-cloak.com/login.html,
podremos definir cómo queremos navegar y a qué dirección queremos ir, y el pro-
pio «anonimizador» de the-cloak hará la navegación web y nos mostrará el conte-
nido de la página que queramos.
Esto es bastante útil si tenemos problemas de censura como filtros,
etc. Un ejemplo claro de todo esto se dio justo después de que se ilegalizará el par-
tido político vasco Batasuna. Nada más ilegalizarlo, todos los proveedores de
Internet españoles se vieron en la obligación de prohibir que sus clientes pudieran
acceder al contenido de www.batasuna.org. Los proveedores del Grupo Telefónica
(Terra, Infonegocio, etc.) modificaron sus servidores DNS (los que hacían de
«Páginas Amarillas» de Internet) para que siempre que un cliente pidiera «www.bata-
suna.org», devolvieran la dirección «1.2.3.4», que no existe en Internet. El resultado
era que la página era inaccesible a menos que supieras la dirección IP exacta.
Mediante el servicio de the-cloak podríamos poner «www.batasuna.org» y visitar la
página a través de su servicio, ya que quien verdaderamente está realizando la visi-
ta es the-cloak y no nosotros, aunque podamos ver el contenido de dicha página.
En este sentido, existe bastante desconfianza acerca del gran poder
que está adquiriendo el buscador Google, ya que todo lo que aparece en Google
existe y lo que no aparece no existe para la gran mayoría de internautas. Por eso
mismo se ha abierto una página donde se informa de las razones de esa descon-
fianza, y entre los servicios que ofrece destaca un proxy (un «recadero», recordemos)
que nos hace las peticiones de búsqueda por nosotros para que Google no sepa que
nosotros estamos buscando algo determinado: http://www.google-watch.org/cgi-
bin/proxy.htm. Imaginemos que alguien consigue averiguar que hemos estado nave-
gando por páginas anarquistas antes de que se produzca una manifestación violen-
ta de corte anarquista dentro de nuestra ciudad, un hecho como este podría valer
para incriminarnos de manera indirecta. Si hemos hecho uso del proxy de google-
watch para hacer las búsquedas, Google no podrá saber que hemos sido nosotros
Ciberlibro 0009.qxp 31/05/2006 12:39 PÆgina 254

quienes hemos hecho esas búsquedas. Como servicio añadido incluye búsquedas
combinadas con otro buscador, All-the-web, para evitar la «google-dependencia».

Consejos Al igual que hemos hecho con las contraseñas, estos son unos
pr ácticos consejos prácticos que pueden mejorar de forma fácil nuestra
privacidad y seguridad mientras navegamos por la red:
• Evitar entrar en páginas que contienen datos privados (aun-
que estén protegidos con contraseña) en sitios públicos como
Naveguemos sin dejar rastro

cibercafés, conexiones en universidades, bibliotecas, etc.

• Usar siempre que podamos HTTP seguro, en lugar de HTTP normal. Esto se dife-
Seguridad informática

rencia claramente porque en la dirección de la web que accedemos pone

254

https://lo-que-sea/ en lugar de http://lo-que-sea/ (nótese la «s» de «https»). Esto

cifrará los datos y las contraseñas que utilicemos y nos permitirá acceder a pági-
nas personales como nuestro correo, en sitios con conexiones inseguras como
cibercafés o redes públicas.
• Cerrar siempre la sesión en un cibercafé.
• Utilizar siempre que podamos datos falsos a la hora de registrarnos en webs, sis-
temas sobre Passport.Net, etc.
• Evitar servicios como Hotmail, Yahoo o Gmail, propiedad de empresas multinacio-
nales que anteponen sus intereses a la privacidad de sus usuarios. Si lo que nece-
sitamos es una cuenta de correo gratuita para acceder por web, en
http://www.linuxmail.org/ tenemos ese mismo servicio (no es necesario ser usua-
rio de GNU/Linux). Basta con acceder a esa página y pulsar en el enlace «New
member sign up», y seguir los pasos para obtener una cuenta de correo nuevo
(acordaos de «no» utilizar la pregunta típica para recordar contraseñas).
• En cuanto a mensajería instantánea (del estilo de MSN Messenger, ICQ, Yahoo
Messenger, etc.), tenemos el cliente GAIM que es capaz de conectarse a redes de
mensajería libres como Jabber o propietarias como la del MSN Messenger o ICQ.
De esta manera, no nos escudaremos en la típica excusa de que «mis amigos uti-
lizan MSN Messenger así que yo tengo que usarlo», porque podremos ser clientes
de una red libre como la de Jabber y a la vez poder ver a clientes de redes pro-
pietarias como la del MSN Messenger desde el mismo programa. Para más infor-
mación sobre GAIM, visita http://gaim.sourceforge.net/about.php. En
http://gaim.sourceforge.net/win32/index.php podréis descargaros una versión
para Windows; para GNU/Linux o BSD está disponible en todas las distribuciones.

En este capítulo hemos intentado acercarnos al mundo de la seguridad informática

desde un punto de vista práctico, pero explicando los conceptos subyacentes a
cada nueva técnica. Espero que con su lectura hayamos aprendido un poco más
sobre cómo funciona Internet y cómo sobrevivir en ese mar de tiburones. Nos
vemos en la Red.