El "modelo de negocio" de los troyanos gubernamentales

Un rápido comentario sobre la posible utilización de troyanos por parte de las fuerzas de seguridad del estado, presente en el último borrador del código procesal penal.

Algunas referencias:
La noticia en El Pais: http://sociedad.elpais.com/sociedad/2013/06/03/actualidad/1370289646_865495.html
El borrador en El Mundo: http://estaticos.elmundo.es/documentos/2013/06/04/codigo_procesal_penal.pdf (lo de los troyanos es el art. 350 y siguientes).

Aquí algunas opiniones de expertos en seguridad que conocen el tema de primera mano:
Chema Alonso: http://www.elladodelmal.com/2013/06/los-troyanos-policiales-del-borrador-de.html
Simón Roses: http://www.simonroses.com/es/2013/06/una-historia-de-troyanos-gubernamentales/


<Mi opinión>
Pero yo quería hablar sobre este tema desde otro punto de vista. El punto de vista del modelo operativo de la interceptación de comunicaciones visto desde  las fuerzas de seguridad del estado.
La cuestión clave es que el exitoso modelo de interceptación de llamadas de voz no es fácilmente aplicable a las comunicaciones de datos, aunque por supuesto los operadores interceptan las conexiones de datos desde hace tiempo.

Nota regulatoria: La interceptación legal de comunicaciones está regulada en la Orden ITC/110/2009 del Ministerio de Industria y está alineada con los estándares internacionales.

Nota histórica: recuerdo con nostalgia los equipos de interceptación de llamadas móviles que funcionaban sobre TMA (el móvil analógico de Moviline, Telefónica). También recuerdo cómo en el año 2000 (antes de SITEL) las interceptaciones en red se hacían "a mano": llegaba un fax con las líneas a pinchar y las conversaciones se guardaban en cinta de magnetofon directamente desde la MSC.

¿por qué digo que la interceptación de llamadas de voz funciona bien?
No sé cuántas líneas de voz (móviles y fijas) están pinchadas actualmente pero sí puedo afirmar que son muchas más de las que pensamos. Vamos a hacer el ejercicio de estimar el esfuerzo necesario para interceptar todas las líneas. Supongamos algunos datos de partida:

• 10.000 líneas pinchadas, (es un supuesto, seguro que son más)
• 1 hora diaria de media de conversaciones grabadas, (el consumo de voz de los malos también se erosiona)
• 75% del tiempo de conversación es irrelevante, (los malos también llaman a sus madres por su cumpleaños)
• 1,5 de factor de rendimiento, (esto significa que una persona puede analizar 1,5 horas de conversación en 1 hora, usando FastForward y otros "trucos" igual de avanzados)

Con esto datos, estimo que 300 personas podrían "procesar" todas las conversaciones y extraer las llamadas relevantes. Normalmente el primer filtro lo realizan personas sin formación que clasifican las conversaciones, hacen un resumen de las mismas y pasan todo esto a agentes "especializados". La única preparación que necesitan estos 300 "agentes" es dominar el idioma de los malos, saber manejar un reproductor MP3 y Word a nivel de usuario.

¿qué pasaría si intentáramos trasladar este modelo a las comunicaciones de datos?

Vamos a realizar un cálculo parecido:

• 6.600 smartphones a controlar (suponiendo que la penetración de Smartphones en España -66%- es igual entre los delincuentes)
• 20 MB de datos al día (la tarifa de datos más pequeña de Orange, por ejemplo, son 500 MB al mes)
• 20 aplicaciones a analizar: clientes de email, mensajería, navegación Web, clientes VOIP, intercambio de vídeos, etc.

Todo esto supone que para analizar todas estas comunicaciones de datos haría falta unos 1.000 agentes especializados en dedicación exclusiva (estimación personal). 

¿por qué la interceptación de comunicaciones de datos en red no da buenos resultados?

Además del esfuerzo que requiere, el análisis de las comunicaciones de datos en red no da buenos resultados:

• muchos servicios utilizan cifrado (también es cierto que el mecanismo de cifrado de algunas apps es realmente sencillo de romper, por ejemplo Whatsapp)
• los malos pueden utilizar cifrado extremo a extremo para cifrar todas sus comunicaciones (por ejemplo usando VPN). Este cifrado no requiere que el otro extremo tenga el mismo mecanismo, al contrario que en el caso del cifrado de llamadas de voz, 
• los malos pueden usar esteganografía para ocultar en la red la información relevante mezclada con gigas de información aparentemente irrelevante,
• las comunicaciones pueden discurrir por varias redes de acceso (red móvil propia, red móvil en roaming, acceso WIFI público -hotspots-, acceso WIFI privado, etc.). 

La única solución para solventar estos problemas sería, precisamente, la propuesta del borrador comentado: utilizar troyanos instalados en los equipos de los malos.


En resumen, independientemente de las cuestiones políticas, éticas o legales la utilización de troyanos (o el "registro remoto sobre equipos informáticos") es la única solución viable para que las fuerzas de seguridad del estado puedan investigar los equipos informáticos de los sospechosos.

</Mi Opinión>