CALEA: Ley de puertas traseras de 30 años permite vulnerar redes de EE.UU.

Bill Clinton abrió hace 30 años una puerta que hoy sigue sin poder cerrarse. En 1994 aprobó la Ley de Asistencia de las Comunicaciones para la Aplicación de la Ley (CALEA). Una controvertida medida que básicamente obligaba a todas las empresas de telecomunicaciones a integrar puertas traseras. Inicialmente estaba pensada para las llamadas telefónicas, pero las principales autoridades estadounidenses vieron el potencial y acabó extendiéndose a las comunicaciones por internet.

Estas mismas puertas traseras creadas para que el FBI pudiera perseguir a potenciales criminales han sido las que han comprometido toda la seguridad nacional de los Estados Unidos frente a China, según informa el Wall Street Journal. Un caso de espionaje internacional de dimensiones colosales que no habría sido posible si no fuera por la ley que los propios estadounidenses crearon hace tres décadas.

Bruce Schneier, experto en seguridad, apuntaba que la dicotomía planteada por las autoridades es falsa: "no es sobre seguridad vs privacidad, sino sobre libertad vs control".

Un grupo de atacantes respaldado por el gobierno chino, conocido como Salt Typhoon, ha protagonizado un ciberataque sin precedentes, logrando introducirse en las redes de algunos de los principales proveedores de telecomunicaciones de EE.UU. (AT&T, Lumen -anteriormente CenturyLink- y Verizon). Esta brecha ha permitido que los atacantes intercepten datos confidenciales y sensibles de literalmente millones de usuarios, así como de organismos gubernamentales.

El Wall Street Journal informó del caso por primera vez el pasado viernes. Según se informa, los ataques pueden haber dado lugar a una "vasta colección de tráfico de Internet". CNN y The Washington Post también confirmaron las intrusiones y que la investigación del gobierno estadounidense se encuentra en sus primeras etapas.

Lo más irónico de todo es que, para ello, han usado una puerta trasera que el propio gobierno estadounidense había obligado a instalar a dichos proveedores en sus redes: se trata, precisamente, del mecanismo que permite la interceptación de comunicaciones bajo orden judicial, diseñado para el uso de agencias estadounidenses como el FBI.

El alcance del ciberataque chino

Las constantes operaciones de ciberespionaje chino en los EE.UU. vienen siendo considerados una amenaza directa tanto a la economía estadounidense como a su seguridad nacional. Y el reciente hackeo representa una de las amenazas más serias de los últimos tiempos en ambos campos.

El alcance del ataque es preocupante. Los atacantes de Salt Typhoon no sólo lograron acceso a los sistemas que facilitan el 'espionaje legalizado' por parte el gobierno estadounidense, sino que también tuvieron la capacidad de acceder a grandes cantidades de tráfico de internet 'no específico'.

Esto significa que durante meses, los atacantes tuvieron la posibilidad de espiar comunicaciones entre individuos, empresas y funcionarios gubernamentales sin necesidad de explotar vulnerabilidades de software.

Investigadores del gobierno de EE.UU., junto con analistas del sector privado, aún intentan hacerse a la idea la magnitud de la intrusión y determinar hasta qué punto los atacantes pudieron haber observado o incluso exfiltrado información crítica.

A su vez, se investiga si elementos como los routers de Cisco, que forman parte del núcleo de la infraestructura de Internet, podrían haberse visto también comprometidos.

El efecto CALEA

La forma en que los atacantes accedieron a esta información revela una vulnerabilidad de origen legal: en 1994, Bill Clinton promulgó la Ley de Asistencia de las Comunicaciones para la Aplicación de la Ley (CALEA, por sus siglas en inglés), que obliga a las empresas de telecomunicaciones a diseñar sus redes de manera que faciliten el acceso de las autoridades a través de órdenes judiciales.

En su momento, CALEA fue controvertida, ya que obligaba a las empresas a integrar 'puertas traseras' en su infraestructura: así, si bien la ley tenía como objetivo reforzar la seguridad nacional al facilitar la labor de las agencias de inteligencia y las fuerzas del orden, también introdujo una debilidad estructural en las redes de telecomunicaciones.

Expertos en ciberseguridad advirtieron que estas puertas traseras podían ser explotadas por actores malintencionados, tanto internos como externos, si no se gestionaban con extrema cautela. Sin embargo, estas preocupaciones fueron desestimadas, confiando en que la sofisticación tecnológica de EE.UU. sería suficiente para mantener a raya a posibles atacantes.

El reciente ataque de Salt Typhoon ha demostrado que estas advertencias eran válidas. Los atacantes chinos lograron acceder a la red utilizando precisamente estas puertas traseras: en lugar de aprovechar fallas de software, utilizaron los mecanismos legales y técnicos preexistentes para infiltrarse en los sistemas.

Quizá EE.UU. no pueda quejarse ahora de lo que han hecho los chinos, pues se rumorea que ellos mismos fueron los responsables de otro caso de ciberespionaje internacional (concretamente de varios altos funcionarios griegos, incluyendo al primer ministro) durante los años 2004-2005, a través de la propia red de vigilancia de las telecomunicaciones del país heleno.

Unas puertas traseras que, como con CALEA, se buscan definir de manera muy precisa, pero que a la práctica no dejan de ser una vía para posibles ataques. Todos los expertos de seguridad y privacidad coinciden, pero los gobiernos siguen empeñados, por mucho tiempo que pase.

"Este sistema te pone en peligro, no te protege", describe la experta en cifrado de Stanford, Riana Pfefferkorn. ¿La solución? Apostar por sistemas de comunicación cifrados.

Fuente: Genbeta | Xataka | TechCrunch | The Wall Street Journal

Suscríbete a nuestro Boletín