Foro - Perl en Español

«De momento, no es vinculante, pero representa el primer acercamiento serio a una postura oficial de una organización militar transnacional relevante sobre cómo debe actuarse ante los 'hackers' y 'hacktivistas' civiles en una contexto bélico.

Hablamos del Manual Tallinn sobre el Derecho Internacional Aplicable a la Guerra Cibernética, un documento de 302 páginas auspiciado por la OTAN que estos días ha dado la vuelta al mundo levantando un polvorín entre la comunidad de internautas, sobre todo por la dureza de los términos que maneja cuando se refiere a los activistas virtuales no alineados en ningún bando, a quienes se considera también blancos militares legítimos, sobre los que se puede aplicar una fuerza letal.

El manual, redactado por un comité de veinte expertos en derecho internacional, en colaboración con el Comité Internacional de la Cruz Roja y el Cibercomando de Estados Unidos (USCYBERCOM), y por encargo del Cooperative Cyber Defence Centre of Excellence (CCD COE) de la OTAN, extiende por primera vez la 'ciberguerra' a la categoría de conflicto armado, recomendando respuestas concretas a los ataques a lo largo de 95 reglas.

Las leyes de la 'ciberguerra'
Aunque no siempre se respetan, lo cierto es que las guerras convencionales cuentan con ciertas reglas acordadas entre los Estados a lo largo del tiempo en distintos tratados y convenciones internacionales. Sin embargo, los conflictos en la red son, a día de hoy, la ley de la selva en lo que se refiere al derecho internacional. Las reglas de la guerra no están escritas, y el Manual de Tallinn es, al menos, un primer intento para comprender los nuevos escenarios bélicos digitales. No en vano, el documento ha sido redactado en base a la Declaración de San Petersburgo (1868) y a la Convención de Ginebra (1949).

En primer lugar, el nuevo manual establece que, si puede ser probado que una acción virtual ha causado muertes o una destrucción notable de propiedades, es "aceptable" reaccionar con una acción militar convencional, con armamento, siempre que esta acción sea proporcional a la causa de origen, aunque la recomendación de la OTAN es, en general, dar respuesta a un 'ciberataque' por las mismas vías digitales.

"Un ataque 'cibernético' puede ser estrictamente definido como un 'ciberoperación' en la que se espera razonablemente que cause lesiones o incluso la muerte a personas, o bien daños o la destrucción de objetos", reza uno de los extractos del documento.

Los 'hacktivistas' civiles: blancos legítimos
No obstante, el aspecto más polémico del Manual de Tallinn tiene que ver con la consideración, tanto de los 'hackers' a sueldo de las naciones como de los 'hacktivistas' civiles independientes, como blancos legítimos en una guerra.

En el caso del primer grupo podría considerarse una postura lógica teniendo en cuenta que, aunque su idiosincrasia es diferente, se trata, al fin y al cabo, de personal al servicio de un bando en un conflicto. En ese sentido, la OTAN establece que es legítima la aplicación de fuerza letal contra aquéllos piratas que, a través de sus acciones, causen muertes o daños relevantes en determinadas infraestructuras.

Si hablamos de civiles, la OTAN define a un 'hacktivista' como "un ciudadano particular que por su propia iniciativa se involucra en actividades de 'hacking' por razones, entre otras, ideológicas, políticas, religiosas o patrióticas".

En este caso, la organización militar argumenta que también pueden ser considerados blancos legítimos sobre los que dirigir un ataque armado mortal, incluso más allá del marco temporal en que se ha producido el ataque cibernético. "A falta de una indicación clara de que el 'hacktivista' ya no se dedica a este tipo de ataques, él o ella seguiría siendo un objetivo más allá de este período", explicita el documento en otro de sus apartados.
»

Fuente: http://www.elconfidencial.com/tecnologi ... icto-4539/

¿Qué opinan de esto, perleros?

Es sembrar el terror preventivamente. Por lo que cuentas, básicamente dicen que van a seguir matando civiles siempre que les dé la gana, igual que ahora.

La guerra del futuro no puede librarse con personas, simplemente porque en pocas décadas no habrá gasolina suficiente para transportarlas y avituallarlas, así que se librará con robots, drones eléctricos o algo similar. Sin ataúdes con banderas y soldados muertos que vuelven a casa, sin cámaras de móvil grabando a soldados pegando patadas a una mujer en el suelo, sin gente mutilada volviendo de la batalla explicando la realidad y criticando al gobierno por mentir... En suma más "limpiamente", mayor control en manos de muchas menos personas, y mucho más barato y conveniente para justificarse ante la opinión pública que es la que pone el dinero en último término.

Hay una gran diferencia entre los hacktivistas y los hackers.

Los primeros hacen sentadas virtuales contra las web de aquellas organizaciones contra las que protestan.

Los segundos, sobre todo los hackers que no son blancos, intentarán robarte información, poner una bomba lógica, falsear datos o, directamente, borrarlos. Y eso sí es un delito, pues las consecuencias pueden ser muy graves. Así que calificarles de objetivo es solo una extensión de lo que ya tenía la OTAN como objetivo militar, solo que lo ha ampliado al mundo cibernético (que ya lo contemplaba hace muchos años, pero ahora lo detalla más, e incluye a los hacktivistas).

Como regla general, siempre me encuentro con gente que apoya a los hackers, y suelen ser aquellos que no han recibido la desagradable visita de uno de ellos y les han borrado toda la información que tenían en sus equipos. Una vez que pasan por esa experiencia, cambian de opinión.

Lo que sí es una desgracia es lo que dicen de los hacktivistas. Se refieren a las denegaciones de servicio que provocan. Pero de eso, a calificarles como objetivos, es una burrada.

Hace algunos años ocurría algo realmente curioso, casi increíble, no os lo vais a creer

Cuando alguien cometía un delito se le juzgaba, y si era encontrado culpable se le condenaba. No se disparaba primero, no se le mandaba un avión con una bomba a su casa, no se le ametrallaba sin dejarle defenderse en un tribunal, no se le encarcelaba por un tiempo indefinido, muchos años a veces, en una cárcel putrefacta sin juicio ni acusación, no se le acosaba literalmente hasta el suicidio diciendo que o se declaraba culpable o el fiscal pediría auténticas barbaridades de pena contra él o ella y sería peor.

... Luego todo cambió.

Salvo algún país atrasado, en la mayor parte de los países, sigue siendo así: cometes un delito, te pilla la policía y te pone delante de un juez y luego te llevan a la cárcel.

De lo que hablamos aquí no es de delitos ni crímenes, sino de actos terroristas contra un país, que pueden ser calificados de actos de guerra. No es lo mismo entrar en una empresa y robarles los planos técnicos de sus productos, a organizar una botnet para tumbar los servicios de suministro eléctrico de ciudades y empresas.

Al estar metiendo en el saco hacktivistas, ya no hablamos solo de atentados terroristas, en mi humilde opinión lo que les molesta es que sean perpetrados ataques contra empresas y pierdan dinero, como ya ha pasado con Sony o Visa. Cuando la culpa es de ellos por basar un modelo de negocio en unos protocolos inseguros que siguen siendo vulnerables a ataques que lo eran hace 20 años atrás.
Dudo mucho que centrales nucleares y otras infraestructuras críticas estén conectadas directamente a Internet. Vamos, que sería ya el colmo.
El único ataque que se ha perpetrado contra una nación de esas características ha sido contra Estonia. En mi opinión se han pasado pero mucho, mucho, con esa ley.

Dshellnoi_Unix escribiste:Al estar metiendo en el saco hacktivistas, ya no hablamos solo de atentados terroristas,

Sí, eso sí que es gravísimo. Considerarte un soldado o terrorista porque te estás manifestando...

Dshellnoi_Unix escribiste:en mi humilde opinión lo que les molesta es que sean perpetrados ataques contra empresas y pierdan dinero, como ya ha pasado con Sony o Visa.

Se nota que tu no eres una de esas empresas Tranquilo, cuando seas una de ellas o trabajes para una de ellas, sí que te importarán los ataques.

Dshellnoi_Unix escribiste:Cuando la culpa es de ellos por basar un modelo de negocio en unos protocolos inseguros que siguen siendo vulnerables a ataques que lo eran hace 20 años atrás.

Estás muy equivocado. La existencia de protocolos inseguros no implica que deban recibir ataques. Reciben ataques porque hay personas malas que aprovechan esos protocolos inseguros.

Yo viví la época en la que Internet era un espacio libre y de intercambio de información y sin apenas seguridad, porque no hacía falta, todo se compartía, y era maravilloso... hasta que llegaron los ladrones de información e identidad, los espías y los que directamente te borraban toda la máquina. La mayoría eran chavales que no hacían otra cosa más que divertirse fastidiando a los demás, pero a veces las pérdidas eran tremendas (meses y años de trabajo). Así que hubo que poner coto a eso.

La culpa es de la gente, no de los protocolos. Si no existieran chicos malos, ¿a que daba igual cómo fueran los protocolos? De hecho, en todos estos años, los protocolos han ido complicándose más y más, haciendo de Internet un lugar pesadísimo para mover información (comparado con hace veinte años).

Dshellnoi_Unix escribiste:Dudo mucho que centrales nucleares y otras infraestructuras críticas estén conectadas directamente a Internet. Vamos, que sería ya el colmo.

Internet es solo un medio. Pero hay muchos más. Por ejemplo, una inocente memoria USB. ¿Te acuerdas de lo que pasó con las centrales nucleares iranies?

Y sí, se están pasando un montón con esa propuesta, sobre todo en lo relativo a los hacktivistas.

Se nota que tu no eres una de esas empresas Tranquilo, cuando seas una de ellas o trabajes para una de ellas, sí que te importarán los ataques.

No soy unas de esas empresas... pero soy autónomo y he tenido que administrar mis propios servidores, y me los he visto patas arriba por ataques pero al final la culpa sigue siendo del administrador en este caso yo por no parchear correctamente o por lo que fuese.

Estás muy equivocado. La existencia de protocolos inseguros no implica que deban recibir ataques. Reciben ataques porque hay personas malas que aprovechan esos protocolos inseguros.

Tienes razón: no implica que deban recibir ataques, que yo deje la puerta de mi casa abierta tampoco implica que me vayan a robar ... yo pienso que lo que no pueden hacer es crear tecnología para que la consumamos y sacarnos el dinero por duplicar o triplicar los beneficios... por otra parte si nadie buscara fallos, ¿cómo podría haber progreso o un avance en esos mismo sistemas?.
Solo es mi opinión pero respeto tu postura profundamente.

Yo viví la época en la que Internet era un espacio libre y de intercambio de información y sin apenas seguridad, porque no hacía falta, todo se compartía, y era maravilloso... hasta que llegaron los ladrones de información e identidad, los espías y los que directamente te borraban toda la máquina. La mayoría eran chavales que no hacían otra cosa más que divertirse fastidiando a los demás, pero a veces las pérdidas eran tremendas (meses y años de trabajo). Así que hubo que poner coto a eso.

En eso estoy de acuerdo contigo: lo que borran la información son malas personas... Yo en mis ratos libres me dedico a investigar pero nunca he dañado un servidor... y te digo que las empresas no hacen caso de las advertencias. Por ejemplo, hace 8 meses descubrí que una empresa que tenía cede en 8 países. Tenía las credenciales de su base de datos en un include con terminación .inc corriendo la base de datos como root ¿Te imaginas si eso lo pilla algún gracioso?

El caso es que me puse en contacto con ellos y los llamé. Dejé mis datos y lo verifiqué hace poco y seguía igual, indexado en Google expuesto.

Otro caso, en una página muy conocida donde la gente sube sus presentaciones y libros, venden cuentas premium para socios. El caso es que me di cuenta de que ciertos libros tienen cargas embebidas y malware. Pues lo mismo me puse en contacto con ellos describiéndoles el problema y mandando un análisis de lo encontrado y aun espero un simple gracias. Y creo que siguen infectando equipos de usuarios que pagan una cuota sin importarles nada.

Así te podría contar unos cuentos casos.

Internet es solo un medio. Pero hay muchos más. Por ejemplo, una inocente memoria USB. ¿Te acuerdas de lo que pasó con las centrales nucleares iranies?

Claro que me acuerdo pero eso son ataques internos y esos sí tienen que ser catalogados como terrorismo.

Saludos