Així protegeixen els ‘hackers’ les dades al núvol

Fa pocs dies se sabia que 200.000 fotos i vídeos compartits a través del servei de missatgeria Snapchat havien estat robats. Avui, qualsevol pot descarregar aquestes imatges. El cas no és un més entre la muntanya d'informacions sobre violacions de la privacitat a Internet, ja que en algunes d'aquestes imatges es veuen escenes de sexe captades pels usuaris. A més, el nombre d'arxius filtrats és molt superior al del celebgate, un cas que va tenir molta més repercussió perquè les fotos robades dels comptes del servei iCloud d'Apple pertanyien a actrius, cantants i models famosos.

L'anonimat de les víctimes de l'snappening, que és com s'ha anomenat aquest robatori de dades, demostra que no només un personatge famós pot ser víctima d'una greu intromissió en la seva privacitat. També crea dubtes sobre serveis que són percebuts per l'usuari com a segurs, ja que Snapchat deu el seu èxit a una funció creada per evitar que el destinatari d'una imatge pugui emmagatzemar-la i difondre-la: la foto o el vídeo només apareix a la pantalla del mòbil un màxim de 10 segons.

Els responsables de Snapchat van derivar tota la responsabilitat en els creadors de la desapareguda pàgina web snapsaved.com, que permetia fer còpies de les fotos i els vídeos enviats amb l'aplicació de missatgeria. Certament, Snapchat no havia proporcionat cap eina perquè els creadors d'aquest web hackejat poguessin fer servir la seva informació, però el cas demostra que els fonaments d'algunes d'aquestes aplicacions tan populars són molt fràgils.

Edward Snowden desaconsella l’ús de Facebook, Dropbox i les diferents eines de Google

De fet, experts en seguretat com Adam Caudill ja havien advertit que era relativament senzill utilitzar la tecnologia de Snapchat sense el consentiment dels seus responsables. Per això a les botigues de programari d'Apple, Google i Microsoft hi ha nombroses aplicacions que exploten la fragilitat del codi de Snapchat per oferir diferents serveis, algunes de les quals comprometen la seguretat de l'usuari.

Estem condemnats a viure en un estat d'inseguretat permanent quan fem servir serveis d'Internet? La resposta a aquest dubte que alguns es plantegen sembla que és negativa. Com a mínim si fem cas al que explicava Edward Snowden en una entrevista publicada per The New Yorker, en la qual aquest antic empleat de la CIA desaconsellava l'ús de Facebook, Dropbox i les diferents eines de Google. També va assenyalar que l'última versió del sistema operatiu mòbil d'Apple, l'iOS 8, no és immune a les intrusions malgrat que n'ha augmentat la seguretat.

Però Snowden també va recomanar algunes aplicacions perquè les nostres dades i comunicacions estiguin a resguard de mirades alienes. A l'hora d'emmagatzemar informació al núvol va citar el cas de SpiderOak, ja que les dades que es guarden amb aquest servei estan encriptades i ni la mateixa empresa hi té accés. Per fer trucades telefòniques i intercanviar missatges va posar els exemples del servei RedPhone, que permet trucar de forma segura amb un telèfon Android. També va esmentar les aplicacions per fer trucades i enviar missatges desenvolupades per l'empresa Silent Circle, que a més ha creat el primer telèfon dissenyat per garantir la privacitat de les comunicacions: el Blackphone.

Segurs a canvi d'informació

Més enllà d'aquestes recomanacions de Snowden hi ha d'altres opcions per aconseguir que la informació que enviem a través d'Internet circuli amb certa seguretat. Julián González és un enginyer de telecomunicació especialitzat en seguretat informàtica i autor del blog Seguridad para todos. En demanar-li la seva opinió sobre la proliferació de problemes de seguretat en serveis on-line explica que Internet ha generat la consciència d'obtenir informació i servei de forma gratuïta, pagant només per l'accés a la xarxa. "Per això, mentre la conscienciació dels usuaris sigui fer servir serveis gratuïts, el sacrifici de la privacitat i la seguretat s'haurà d'acceptar. Això genera una proliferació de serveis el model de negoci dels quals són les dades de l'usuari, cosa que continuarà creixent”, afegeix.

Mentre els usuaris vulguin serveis gratuïts, accepten sacrificar la privacitat i la seguretat”, diu un expert

Mariano Benito és coordinador del comitè tècnic de Cloud Security Alliance Espana i responsable de seguretat de l'empresa GMV. Aquest expert opina que malgrat els freqüents problemes de seguretat, la tendència és que Internet sigui cada vegada més segur. “El que passa és que primer es crea un servei amb nombroses prestacions perquè els usuaris hi arribin i després s'aborden els aspectes de seguretat”, apunta. Com a exemple esmenta el que va passar amb el celebgate: “Apple ha reaccionat solucionant un problema de seguretat del qual abans ningú s'havia adonat, així que s'ha millorat el servei”

Respecte al que poden fer els usuaris a l'hora d'escollir un servei d'emmagatzematge a Internet, Julián González recomana “triar els que proporcionin un sistema de xifrat de la informació abans que sigui emmagatzemada al núvol”. Entre els serveis que aquest expert tria hi ha SpiderOak; l'aplicació Boxcrypto, que xifra les dades que pugem a Dropbox; i Prot-ON, que xifra la informació que compartim al núvol.

El més segur és un sistema d’emmagatzematge que xifri les dades de l’usuari abans que guardar-la al núvol

Pel que fa a les aplicacions de missatgeria, González parla de Telegram, una alternativa a WhatsApp els creadors del qual destaquen que salvaguarda la privacitat de l'usuari, cosa que no és precisament un dels punts forts de WhatsApp. Encara que per González, Telegram també planteja dubtes: “Tot i que millora la seguretat en la transmissió de la informació, presenta alguns inconvenients quant a la privacitat de l'usuari”. Com a alternativa, aquest expert proposa fer servir CryptoChat, un sistema de missatgeria que encara que és minoritari és bastant segur. L'aplicació BlackBerry Messenger, que des de fa uns mesos no només està disponible per als telèfons de la companyia canadenca, també és una opció fiable per aquest expert.

La importància de blindar les contrasenyes

Abraham Pasamar és consultor de seguretat d'informació i CEO de l'empresa Incide. Quan se li pregunta com és possible que se succeeixin les notícies relacionades amb robatoris d'informació assenyala que “cada vegada hi ha més serveis al núvol i, per tant, més volum d'informació  allotjada". I afegeix que cada vegada és més fàcil "atacar aquests nous serveis a través d'un mateix error recurrent: la debilitat dels passwords i les mesures de protecció associades, a la qual cosa cal sumar-hi l'alta candidesa de l'usuari, que és molt confiat en contextos digitals”.

Per solucionar el problema de les contrasenyes, Pasamar recomana fer servir algun dels gestors de contrasenyes gratuïts i accessibles a qualsevol usuari mitjà d'Internet. En destaca tres: 1Password, LastPass i Dashlane. Un altre consell que dóna aquest expert és que l'usuari sigui “altament suspicaç". "Una de les tècniques més freqüents a les quals recorre qualsevol potencial atacant és l'enginyeria social. És a dir, conèixer tan bé com sigui possible la víctima fins a deduir, per exemple, les respostes a les preguntes de seguretat de recuperació d'una contrasenya”, afegeix.

Pasamar recomana fer

En la seva opinió, només hauríem de facilitar informació privada i contrasenyes en aquells llocs en els quals vegem la presència d'un cadenat a la capçalera del navegador o les sigles https (Hypertext Transfer Protocol Secure) davant de l'adreça de la pàgina que estem visitant. Són dos senyals que ens indiquen que estem en un lloc segur per operar amb les nostres dades personals.

Mariano Benito també pensa que està bé prendre's la molèstia de crear contrasenyes tan segures com sigui possible per als serveis d'Internet que fem servir. Ell mateix utilitza tres contrasenyes amb diferents graus de seguretat. La més complexa d'endevinar és una que inclou més de 20 caràcters. En preguntar-li si hi ha alguna mena d'informació amb la qual hem de ser especialment acurats cita dues coses: “Dades bancàries o contrasenyes que donin accés a altres serveis”.

En qualsevol cas, si la seguretat d'un servei falla no ens hem de quedar de braços plegats per força. Un portaveu de l'Agència Espanyola de Protecció de Dades explica que qualsevol que consideri que ha pogut existir un accés irregular a les seves dades de caràcter personal poden denunciar-ho davant d'aquest organisme, que analitza cada denúncia per determinar si hi ha indicis que justifiquin l'obertura d'un procediment. Tot i que, abans d'arribar a això, des de l'AEPD recomanen fer servir serveis d'Internet que informin de manera clara i que diguin quines dades recullen o per què les utilitzaran.

Només el temps dirà si la privacitat comença a ser un valor que cal tenir en compte sobre altres funcions per part dels usuaris i les empreses que desenvolupen serveis a Internet. Però el que sí que sembla clar és que cada vegada hi haurà més opcions per mantenir un nivell de privacitat òptim sense renunciar a fer servir tota mena de serveis a la xarxa. Encara que probablement això no serà gratis.