Este es un ejemplo de los artículos que semanalmente escribo de forma exclusiva para los mecenas de la Comunidad.
Si quieres recibir contenido exclusivo como éste directamente en tu bandeja de correo, revisa las opciones de mecenazgo de esta página.
*******
De vez en cuando ese tipo de justicia “mágica” de cuento se deja entrever en un entorno (el de la realidad) en el que los ricos y poderosos siempre ganan.
Esto ha pasado recientemente con la empresa israelí Cellebrite, que se dedica a la ciberdelincuencia… pero de parte de los buenos. Ya sabes, que si el FBI, que si la NSA, que si el gobierno de turno.
Entre sus clientes, por supuesto, países como EEUU y muchos de Europa (España incluido), pero también otros quizás no tan democráticos como Bielorrusia, Rusia, Venezuela y China. Y eso sin olvidar el apoyo informático que dan a los escuadrones de la muerte de Bangladesh, las juntas militares de Myanmar y la opresión estatal Turca, por citar algunos casos conocidos.
En fin, lo mejor de cada pueblo, ya sabes.
Se hicieron en su día muy famosos por el caso del iPhone del juicio de San Bernardino, en el que se encontró el iPhone del supuesto asesino y puesto que Apple se negaba a darles acceso (más que nada porque no pueden al depender de una clave privada que solo tiene el usuario) y además a crear una puerta trasera que permitiera a las autoridades acceder a sus dispositivos para casos tan flagrantes como este… (y seguramente para otros encuadrados en ese gran cajón de sastre al que llaman comúnmente “seguridad nacional”), pues se lo encargaron a estos “expertos”, que consiguieron acceder al dispositivo ilegalmente.
Otra de esas empresas israelita que, como en el caso de NSO Group, juegan en un entorno claramente gris (son, a fin de cuentas, cibercriminales que ofrecen sus servicios como mercenarios para el mejor postor), protegidos como están por esa regulación de Israel tan proclive a apoyar la ofensiva en todas sus vertientes (digital, como es el caso, pero también puramente armamentística como llevamos viviendo en numerosos conflictos armados estas últimas dos décadas).
El caso es que hace unos días Cellebrite se jactaba de haber encontrado un 0 day que en teoría les permitía acceder a contenido enviado mediante Signal (EN), esa aplicación de mensajería hipersegura que utilizan aquellos preocupados por la privacidad (entre ellos muchos whistleblowers como Snowden).
Por supuesto los de Signal no han tardado en desacreditarlos asegurando que se trata más de una noticia clickbait (EN) que otra cosa.
Pero mientras tanto, parece que sus desarrolladores han estado entretenidos “jugando” con las herramientas que Cellebrite vende por millonadas a gobiernos y servicios de inteligencia.
Y parece que han encontrado bastante “chicha”.
El cazador cazado
El bueno de Moxie Marlinspike, fundador de Signal, contaba hace poco en la página de la compañía (EN/y en claro tono irónico) que casualmente mientras estaba el otro día caminando por la calle se cayó de un camión que pasaba cerca uno de los equipos de hacking de Cellebrite.
Se lo pasó a sus chicos, y tras hacerle ingeniería inversa han encontrado varias vulnerabilidades, con las que aseguran que será posible que sus usuarios se protejan, al menos mientras los de Cellebrite no encuentren la manera de parchear de estas contramedidas, de potenciales ataques a su privacidad mediante las herramientas de esta compañía.
¿El cómo? Pues por lo que dejan entrever, parece que Signal va a crear varios archivos en los dispositivos instalados, de forma que una vez Cellebrite trate de extraer información de dicho dispositivo, el sistema infectará a la herramienta de hacking haciéndola inservible (le devolverá datos que no son los verdaderos).
Y lo mejor de todo es que dicen que pueden hacer esto con informes ya obtenidos (no entiendo bien cómo, pero ahí queda).
“Cualquier aplicación podría contener un archivo de este tipo, y hasta que Cellebrite sea capaz de reparar con precisión todas las vulnerabilidades en su software con una confianza extremadamente alta, el único remedio que tiene un usuario de Cellebrite es no escanear dispositivos”.
Además la carta termina con un canto a los Dioses.
Signal se compromete, sin ningún problema, a publicar y decirle a Cellebrite todas las vulnerabilidades que tiene su sistema… siempre y cuando, por supuesto, Cellebrite también publique las vulnerabilidades que ellos utilizan para comprometer los móviles de sus víctimas.
Maravilloso :D.
________
Este es un ejemplo de los artículos que semanalmente escribo de forma exclusiva para los mecenas de la Comunidad.
Si quieres recibir contenido exclusivo como éste directamente en tu bandeja de correo, revisa las opciones de mecenazgo de esta página.
