Buenos tiempos para los virus sociales

Jordi Adell
Dept. d’Educació
Universitat Jaume I
<jordi@uji.es>

Publicado en Information World en Español, Vol. 6, nº 5, Mayo 1997, págs. 20-22. ISSN: 0965-3821.

De cuando en cuando, en cualquier lista de distribución seria y profesional aparece un mensaje alarmante que previene a los lectores sobre la aparición de un insidioso virus informático que se propaga y actúa a través del propio correo electrónico. «¡Cuidado! Si llega un mensaje titulado «Good Times», simplemente leyendolo, el virus malicioso actúa y puede borrar todos los contenidos del disco duro». Sin embargo, «Good Times» es uno de los elementos más curiosos del folklore Internet: en realidad no existe.

En primer lugar es poco probable que un mensaje de correo electrónico (si no contiene un fichero ejecutable asociado y ejecutamos dicho fichero) pueda borrar ningún fichero. Los mensajes de correo son leídos por nuestro agente de usuario de correo, no ejecutados. (Aquí se podría hacer una larga matización sobre si un conocido virus desarrollado como una macro del Microsoft Word es realmente contagiable si se recibe por correo electrónico, pero es mejor que el lector consulte las referencias citadas más adelante. Sobre la seguridad de otro producto muy popular de Microsoft véase más abajo). Por otra parte, los virus son específicos al sistema operativo. Un virus diseñado para plataformas Wintel no afecta a los Macs y viceversa.

«Good Times» es lo que se denomina un virus social o del pensamiento (una especie de «memes», empleando la terminología de Dawkins, que se difunde de mente en mente). En realidad el virus sí que existe, si nos atenemos a la definición de lo que es un virus informático. Pero consiste solo en el mensaje que previene sobre un virus inexistente y que aconseja difundir copias a todos los conocidos y amigos a través de Internet. Y lo que infecta no son nuestros ordenadores, sino nuestras mentes. Los efectos del virus son el tiempo perdido leyendo y difundiendo el mensaje.

El origen de «Good Times» es confuso. Les Jones, autor del «Good Times Virus Hoax FAQ» <URL:http://www.public.usit.net/lesjones/goodtimes.html> (el FAQ citado tiene una versión castellana en <URL:http://www.intersolar.com.ar/virus/GoodTimes.html>), le ha seguido la pista desde diciembre de 1994. Periódicamente reaparece por listas de distribución y grupos de News, alarmando a los usuarios, generando una gran cantidad de tráfico inutil y haciendo perder el tiempo a los bien intencionados que avisan a sus conocidos. El tema ha alcanzado tales proporciones, en varias «oleadas» desde 1994, que la CIAC (‘Computer Incident Advisory Capability’) del Departmento de Energia de los Estados Unidos, ha elaborado un informe sobre «Godd Times» y otros virus sociales similares, como PKZ300, Irina, Deeyenda o Ghost, que puede verse en <URL:http://ciac.llnl.gov/ciac/bulletins/h-05.shtml>. En dicho informe se explica cómo identificar un virus social.

En primer lugar, los mensajes suelen incluir jerga pseudo-técnica. El objeto es impresionar a los usuarios no expertos en informática. El mensaje original de «Good Times» afirmaba que si el programa no era detenido, el procesador entraba en un «bucle binario infinito de complejidad-n» que podía dañar al procesador. Nadie sabe qué demonios es un «bucle binario infinito de complejidad-n».

En segundo lugar, la posición y la institución de quien difunde el mensaje le proporcionan credibilidad a la falsa noticia. Así, si una persona de una universidad difunde el mensaje del virus, parece que es la propia institución la que respalda la noticia.

LA CIAC recomienda, como principio general, no difundir nunca avisos sobre virus sin consultar antes con fuentes fiables. Hablar con el administrador de sistemas de la empresa u organización a la que pertenece el usuario es una buena idea. Si no tenemos a mano un administrador, RedIRIS mantiene un servicio de ayuda para incidentes de seguridad informática (IRIS-CERT) al que podemos escribir (). Las comunicaciones sobre virus reales y sobre problemas de seguridad que realizan este tipo de instituciones están autentificadas mediante PGP. Pero esto es trabajo de los administradores de sistemas, no de usuarios finales.

El correo electrónico, tiene otras patologías. Las cadenas de e-mail no son una buena práctica, ni siquiera por motivos humanitarios. Imaginemos que todos los que reciben un mensaje con la petición de hacer 10 copias y enviarlas a sus colegas y conocidos lo hiciera. La Internet se colapsaría. El sentido común nos dice que no debemos contribuir a difundir dichos mensajes: consumen recursos informáticos y tiempo de las personas. Los intentos por salir en el libro Guiness de los records por ser la persona que más correo electrónico ha recibido, las niñas enfermas que reciben tres centavos de alguna oscura institución por mensaje y las protestas por la nueva tasa que grabará los modems foman parte, junto a los virus sociales, del nuevo folklore urbano creado por la Internet. Son fenómenos sociológicos curiosos y dignos de estudio. Una fuente de información muy instructiva y, además, sumamente divertida (véase especialmente los «Computer Virus Hysteria Awards») es el servidor «Computer Virus Myths», creado por Rob Rosenberg y que puede verse en <URL:http://www.kumite.com/myths/>. No debemos olvidar que la paranoia sobre los virus contribuye a que una serie de empresas ganen mucho dinero. Los medios de comunicación suelen ser los mejores aliados de esta lucrativa paranoia.

El «junk mail» o correo no deseado (del tipo «Haga dinero rápidamente» o «Monte su propia granja de avestruces») y si nuestro buzón electrónico es igual que nuestro buzón postal y cualquiera tiene derecho a enviarnos lo que le de la real gana sin que podamos enfadarnos o tomar medidas al respecto, es un tema lo suficientemente complejo para merecer un tratamiento más extenso.

Y para terminar unas gotas de paranoia (como dijo Kissinger, hasta los paranoicos tienen enemigos): El 10 de marzo de 1997, a las 22:00 GMT, la CIAC difundió un boletín informativo sobre los graves problemas de seguridad detectados en el Microsoft Internet Explorer 3.x bajo Windows 95 y Windows NT. Textualmente, un servidor Web puede destruir o manipular datos en un sistema cliente que lo visite si éste utiliza el Microsoft Internet Explorer 3.x. Se aconseja instalar un parche que proporciona Microsoft en <URL:http://www.microsoft.com/ie/security/update.htm>. Aunque, a fecha de hoy, parece ser que sólo está disponible para la versión inglesa del programa. Más información sobre el tema en <URL:http://ciac.llnl.gov/ciac/bulletins/h-38a.shtml>.

HIP HOP

Jordi Adell

Web nº 6, mayo 1996, pág. 27.

La Internet interconecta varias decenas de miles de redes informáticas mediante un conjunto de protocolos denominado TCP/IP. La redes se conectan mediante unos cacharros, llamados «routers» o encaminadores, que se pasan entre sí paquetes IP. En cada paquete va incluída la dirección IP del dispositivo remitente y del destino. Los «routers», cuando reciben un paquete, miran la dirección de destino y lo reenvían al siguiente router por la ruta más adecuada. Hasta aquí, todo correcto. Pero la Internet ha crecido tanto que en ocasiones es necesario que un paquete pase por muchos routers antes de llegar a su destino. Estos saltos se denominan «hops» és la jerga de los gurús. Por ejemplo, para que un paquete IP vaya desde, digamos, la UJI (en Castellón) hasta el servidor donde está +web (<URL:http://www.partal.com/+web>) tiene que dar 19 hops. Bueno, ¿y donde está el problema?

El más evidente es que, se mire como se mire, son muchos «hops» y esto no es eficiente. La red académica, donde están la gran mayoria de los usuarios y máquinas de Internet del Estado, y la comercial (formada por cada día más proveedores que contratan sus líneas a «carriers» diversos) intercambian paquetes en la otra parte del mundo. Literalmente. Algunos, por ejemplo, en Washington. Eso produce varios efectos: en primer lugar, si mi vecino del quinto me envía un mensaje por correo electrónico, pues va y viene de Washington. Naturalmente en el Web es peor: la cosa va leeeeeeenta. En segundo lugar, todo el tráfico se pasea arriba y abajo por las líneas internacionales contratadas por los proveedores, que son las más caras. La solución (que todos esperamos ya): crear un «punto neutro» más cerca de donde estamos todos, en el que los proveedores puedan interconectar sus routers e intercambiar paquetes. Así las líneas internacionales se usarán sólo para el tráfico internacional.

Pero otro problema más curioso, y que no sólo ocurre aquí (la información que cito proviene de una nota del excelente webmaster del NIC de Switch, la red académica suiza), es que el número de hops necesarios para alcanzar ciertos lugares de Internet se acerca peligrosamente al número mágico 30. Bueno, ¿y qué pasa con el 30?

La explicación es sencilla. En la cabecera de todos los paquetes IP hay un campo de 8 bits denominado TTL (que son las siglas de «Time To Life»). La gente que hizo el TCP/IP (que era realmente muy lista) pensó que era necesario crear un mecanismo para evitar que hubiera paquetes que se pasaran de aquí a la eternidad dando vueltas por la Internet sin llegar jamás a su destino (por el mal funcionamiento de algún router, por ejemplo) saturando las conexiones. El ordenador que envia un paquete IP ajusta el TTL a un valor inicial (digamos 30). Cada router por el que pasa le resta una unidad a dicha cifra. Si a un router llega un paquete IP «caducado», en lugar de reenviarlo, lo liquida de manera limpia e indolora.

Para prevenir los efectos del crecimiento de la red, se creó un mecanismo basado en el protocolo ICMP que informa al ordenador que envia el paquete que éste ha sido eliminado por un router eficiente. De este modo, la máquina podría incrementar el valor del TTL para retransmitir el paquete nuevamente. Desgraciadamente, esta opción no se ha desarrollado en algunos sistemas. Es decir, van a piño fijo a 30 hops más o menos y punto. Pero es incluso peor: aunque tengamos un sistema que ajuste dinámicamente el TTL a más de 30, si el receptor no lo hace, los paquetes de retorno de éste (ajustados a 30) no nos llegarán.

Hay una manera de averiguar la distancia en hops entre nuestro sistema y cualquier otro de la Internet. En Unix (y en otros sistemas) hay una pequeña utilidad llamada «traceroute». Sólo hay que pasarle como parámetro el nombre de la máquina destino y averiguaremos por cuantos routers pasa, esto es, cuantos hops da el paquete hasta llegar a destino y cuantos milisegundos le cuesta entre cada router. Por ejemplo, entre la UJI y cierta famosa compañia de software de Seattle hay… ¡25 hops!. Si yo usara uno de sus sistemas operativos y estuviera tras algunos routers más dentro de la UJI, puede que pronto no pudiera conectarme a su servidor WWW.

¿Y que sistemas van a piño fijo? De entre los más difundidos y según la información que circula por la red, los comercializados por la citada compañia de Seattle (cuyo presidente decidió arreglarles (más) la vejez a los Stones) incluyendo su flamante modelo 95, ajustan el TTL a piñón fijo a 32 hops tanto en los paquetes TCP como UDP. Sus rivales (los de la manzana), en cambio, están ajustados a 60 hops. Otros sistemas tienen valores más altos. Pero, tranquilos: hay remedio. Es posible «retocar» los sistemas para aumentar el TTL. Consultad a vuestro gurú Internet favorito. Moraleja: para ser el Rey del Mundo hay que hilar más fino :-).

http://www.switch.ch/switch/docs/ttl_info.html
http://www.switch.ch/switch/docs/ttl_default.html

Dinero electrónico
Net Conexión No. 2. págs. 36-39.
Antonio Bellver
Universitat Jaume I

Se dice que el dinero no es más que información. Por tanto cualquier sistema de intercambio de información es susceptible de utilizarse para intercambiar dinero. Pero la Internet no se diseñó pensando en transacciones comerciales. Estas se realizaban, y se continúan realizando, a través de redes especiales (lo que los americanos suelen llamar Banknet). Los objetivos primordiales de la Internet eran facilitar la circulación de información científica y simplificar la interconexión de redes y equipos diversos, dejando un poco de lado los temas de seguridad. Ni siquiera la influencia militar, que había impulsado el proyecto en sus principios, ayudó a paliar esta deficiencia. El Departamento de Defensa de los Estados Unidos creó su propia red segura de comunicaciones y no consideró pertinente que información sensible circulara por la Internet. El resultado es que la Internet es un canal básicamente inseguro.

La entrada de empresas y servicios comerciales en la Internet atraidas por ventajas competitivas, por el prometedor segmento de mercado formado por los usuarios, o simplemente porque es el único prototipo existente de las llamadas ³autopistas de la información² se ha ido progresivamente acelerando. Incialmente muchas entidades se han limitado a una especie de posición de observación, de hacer notar su presencia en la red por motivos de imagen, esperando poder ampliar el espectro de operaciones posibles cuando consideren el tema maduro. Esta persistente implantación hizo que superaran por primera vez en nodos conectados a las instituciones educativas y de investigación a finales del año 1994 ( a principios de 1995 ya había más de 32.000 empresas conectadas en EEUU según datos de la Internet Society). El cambio de la Internet de una red primariamente dedicada a temas académicos hacia una red de propósitos generales (comercio, información, ocio… ) estaba servido.

Todo ello no hizo sino aumentar la presión y el interés existente para conseguir resolver el problema de la falta de seguridad. El uso comercial de la red requiere transacciones monetarias seguras de acuerdo con estándares reconocidos. Conseguir que se puedan realizar con normalidad pagos a través de la Internet y, especialmente, que el atractivo envoltorio que proporciona el World Wide Web sea el vehículo, ha reunido una cantidad ingente de esfuerzos en los ultimos meses.Y no sólo hay que considerar las operaciones de pago, sino también otras relacionadas, como el manejo de cuentas bancarias desde el domicilio del cliente, o las transacciones entre empresas.

Autenticidad y privacidad

El uso de la Internet o de cualquier otra red insegura para el intercambio de información sensible plantea dos grandes problemas:

• La autentificación, es decir, asegurar que los interlocutores son realmente quienes dicen ser.
• La privacidad e integridad de los datos que circulan, o sea, que un tercero no pueda observar, copiar o modificar el contenido la información mientras se transmite.

Las soluciones a ambos problemas se basan en el uso de criptografía digital, es decir, de sistemas de cifrado. Estos sistemas, conocidos habitualmente como criptosistemas, consisten en aplicar un método (encriptado) a la información de manera que queda convertida en lo que se llama un texto cifrado. El texto cifrado carece de sentido a primera vista. Sólo al aplicarle el método contrario (desencriptado) volvemos a obtener la información original. Actualmente la practica totalidad de criptosistemas utilizan un sistema de claves (ver cuadro).

El problema más fácil de abordar es el de la confidencialidad de la información. Ya hay productos disponibles o a punto de distribuirse que encriptan los envios entre clientes y servidores usando especificaciones como el SSL (Secure Sockets Layer, de Netscape) o el S-HTTP (evolución con seguridad ampliada del protocolo del WWW de Terissa Systems). La otra cuestión, la autentificación y la integridad, es más compleja y suelea vincularse al concepto de firma digital.

Las firmas digitales son conjuntos de datos que se añaden al contenido de una transmisión y permiten que el receptor pueda comprobar la integridad de la información enviada y la veracidad de la fuente. Para ello usa un sistema de clave asimétrica con el que el firmante codifica un resumen del contenido del mensaje. Solo la clave pública del firmante puede desentrañar el conjunto y permitir comparar el resumen con el contenido real. Para poder usar de forma realmente segura este esquema se necesita una fuente de confianza externa (un ³notario digital² llamado Certificate Authority) que dé fe de esta firma digital como válida y precise detalles como por ejemplo su plazo de validez.

La vulnerabilidad de un sistema criptográfico basado en claves es objeto de discusión, pero se suele aceptar que el único método de ataque conocido y eficaz sería el de la fuerza bruta. El método de la fuerza bruta consiste, a grandes rasgos, en calcular todas las posibilidades existentes para descubrir la verdadera por comparación. Y la defensa frente a tan burdo ataque es que o bien es técnicamente imposible aún (requiere una capacidad de cálculo excesiva), o bien no es rentable. El coste de romper por fuerza bruta un texto cifrado, sumando las horas de computación y otros gastos, puede ser mucho más alto que el valor real de la transacción interceptada y desentrañada. El pasado verano un experimento consiguio romper la protección (de un nivel de seguridad mínimo) de un envío entre un cliente y un servidor calculando en decenas de ordenadores durante varios dias. La conclusión es que se tuvieron que gastar decenas de miles de dólares para romper una operación que, con suerte, involucraba decenas o pocos centenares de dólares.

Todo este conjunto de herramientas correctamente aplicadas permite asegurar, dentro de unos niveles razonables, la transmisión de información en medios presuntamente inseguros. La implementación puede basarse sólo en software o añadir elementos de hardware: tarjetas más o menos inteligentes, por ejemplo. La ventaja de usar hardware radica en que el usuario no ha de confiar sólo en su memoria para las claves pero al mismo tiempo requiere la instalación de estos elementos en las máquinas, con el coste y la incomodidad que ello puede suponer.

Una vez solucionados o en vías de solución los problemas técnicos, queda aún por determinar cómo se conectan las redes financieras con la propia Internet, y qué especificaciones y protocolos de actuación se establecen.

Monedas, cheques y plástico

Cuando se habla de dinero electrónico en la red se tiende a pensar en cómo usar una tarjeta de crédito. Pero no es sólo eso. Internet, como en otras tantas cosas, es un espejo del mundo real: hay, o habrá, dinero en metálico, cheques, y dinero de plástico (tarjetas de crédito o débito). Cada una de estas clases de dinero virtual conservará sus funcionalidades actuales: no intentamos comprar nuestro periódico en el quiosco con una tarjeta de crédito, sino que usamos dinero en metálico. Sin embargo, si compramos un billete de avión es probable que recurramos a la tarjeta.Así pues, lo primero que hay que diferenciar es la cuantía de los pagos, independientemente de qué sea lo que se vende, información o bienes. La frontera se suele establecer alrededor de los 10 $ USA. Las razones son evidentes: el coste de la operación con tarjeta para pagos menores de 10 $, o es mayor que la operación en sí o, al menos, no suficientemente rentable para la entidad financiera.

Sin embargo es obvio que el desarrollo más rápido va a ser el del área de las tarjetas. Presenta una ventaja clara: cuenta ya con una infraestructura global en funcionamiento, y por tanto sólo necesita adaptar al nuevo medio unos esquemas preexistentes. Además las grandes entidades financieras del sector estan muy interesadas y ya están creando estándares apoyados por otras empresas. Se han formado dos grandes consorcios que parece que van ser los que se enfrenten por la supremacia en este sector:

SEPP (Secure Electronic Payment Protocol) <http://www.mastercard.com/Sepp/sepptoc.htm>.

Abanderado por Mastercard, incluye, ademas de otros como GTE Corp. e IBM, a Netscape (quizás la empresa de software mas influyente en temas relacionados con el WWW ya que más del 60% de clientes Web presentes en Internet son Netscape Navigator) y a CyberCash (una de las empresas pioneras en sistemas de pago electrónicos).

STT (Secure Transaction Technology) <http://www.visa.com/visa-stt/index.html>.

Liderado por VISA y Microsoft, que necesitan pocos comentarios, y con otros socios como Spyglass, una empresa de software que fue una de las pioneras en clientes WWW comerciales.

Los cheques constituyen un modelo intermedio, más cerca de las tarjetas que del dinero en efectivo, ya que funcionan contra cuentas bancarias. Se les puede aplicar la mayor parte del modelo de las tarjetas. Aún así se han producido esquemas independientes muy interesantes dirigidos a gestionar pagos de poca cuantía útiles para el sector de venta de información (prensa, documentación).

El desarrollo del dinero digital en efectivo (e-cash) será indudablemente más lento. Se trata de unidades con valor monetario, sin necesidad de estar vinculadas a una cuenta bancaria. Están destinados a transacciones de valor más bajo en principio que las tarjetas y permitiran cosas como el intercambio de dinero entre dos particulares. En algunos casos se ha puesto bastante énfasis en que permitan el anonimato (al menos del que paga) sin que pierdan seguridad. Son planteamientos muy innovadores, y por tanto generan muchas más reservas y recelos en el entorno financiero. Hay dos grandes tendencias, la que se basa sólo en software y la que utiliza tarjetas inteligentes, pre-cargadas o recargables.

Panorama actual

Naturalmente hay muchas iniciativas que no han esperado a que las posibles soluciones sean definitivas o a que las especificaciones se transformen en aplicaciones reales y en funcionamiento. Algunas de ellas han sido modelos experimentales para adquirir experiencia y/o para ocupar el mercado antes que la competencia y tienen un caracter transitorio. Una somera visión del panorama actual podría ser como la siguiente:Banca

Bancos en Internet:

• First Virtual <http://www.fv.com/> Primer banco creado en la propia Internet aunque algunas operaciones, como la apertura de la cuenta, por seguridad son telefónicas. El usuario solo paga si queda satisfecho.
• First Bank of Internet (FBOI) <http://ganges.cs.tcd.ie/mepierce/Project/Press/fboi.html> el banco opera de intermediario entre vendedor y comprador.

Banca tradicional con servicios a traves de Internet como:

• Wells Fargo Bank <http://wellsfargo.com/>,
• Bank of America <http://www.bankamerica.com/>

En España hay algunos presentes por motivos de imagen, ofreciendo básicamente publicidad:

• Banesto <http://www.banesto.com>
• Banco Central Hispano <http://www.offcampus.es/bch/>
• La Caixa <http://lacaixa.datalab.es>.
• Caja de Arquitectos <http://www.arquired.es>

Tarjetas

El sector de las tarjetas parece estar reagrupándose en torno a las especificaciones STT y SEPP . Pero mientras estas toman cuerpo hay iniciativas en activo. La mayor parte consideran suficiente el encriptado de datos de la transacción usando clientes seguros, algunos ejemplos son:

• First Data/Netscape <http://www.mcom.com/>
• BarclayNet <http://www.barclaycard.co.uk/barclay.htm>
• Secure Courier <http://www.netscape.com/newsref/std/credit.html>
• Cybercash <http://www.cybercash.com/>.

– Cheques

El proyecto más genérico es el Electronic cheque <http://www.llnl.gov/fstc/> Pero tienen especial interes los dedicados a micropagos como el NetBill <http://www.ini.cmu.edu/> basado en un sistema de clave simétrica y capaz de gestionar pagos de sólo decenas de centavo de dolar.– E-cash

Entre la iniciativas que incluyen hardware destaca Mondex <http://www.mondex.com/> una especie de ³tarjeta-monedero² inteligente impulsado, entre otros, por el Wells Fargo Bank y el Natwest Bank.El más representativo de los esquemas sólo software es Digicash <http://www.digicash.com/> que provee un sistema que garantiza el anonimato del pagador, defendido como un derecho individual, sin perder seguridad. El usuario se conecta on-line a su banco y retira una cantidad de monedas electrónicas a cargo de su cuenta que guarda en su disco duro (un ³monedero² software). Este dinero digital puede utilizarlo a su gusto para realizar pagos a vendedores o individuos que acepten este tipo de transacción.

El Mark Twain Bank <http://www.marktwain.com/> ya permite las operaciones con este método.