Como indica El Confidencial, entre otros medios, el CNI no ha conseguido acceder a la totalidad de la información almacenada durante años por José Villarejo e incautada en los inicios de la operación Tándem que llevó a la cárcel al excomisario.

El CNI comunica a la Audiencia que no puede acceder al 50% de los archivos de Villarejo

El centro ha informado al Juzgado de que no logra traspasar gran parte del cifrado y que no ha conseguido avances en los últimos meses

Artículo en El Confidencial

Por su lado, el artículo en El Mundo titulado «Villarejo cifró sus discos duros con un programa obsoleto e inseguro pero el CNI es incapaz de descifrarlos» parece dar a entender que las medidas de seguridad de Villarejo no eran óptimas, sembrando dudas sobre la voluntad del CNI de utilizar todos los medios a su disposición para romper el cifrado

para proteger sus discos duros y pendrives, Villarejo optó por el programa TrueCrypt, un software que, según su propia página web es «inseguro» y obsoleto.

Artículo en El Mundo

A raíz de la mención en los medios a que Truecrypt es inseguro y obsoleto en poco tiempo algunos perfiles ya han empezado a ver conspiraciones para ocultar dicho contenido en que ha participado el CNI.

A la vista de lo que se puede extraer de lo publicado en diversos medios, la situación actual la podemos resumir en lo siguiente:

  • Villarejo utilizó una herramienta ampliamente conocida en su momento para proteger la información, llamada Truecrypt
  • Los desarrolladores de Truecrypt recomendaron en mayo de 2014 que no se usara porque la aplicación podía ser insegura
  • La auditoría de seguridad realizada en su momento no reveló ninguna puerta trasera ni error crítico en el código
  • El desarrollo de Truecrypt se encuentra abandonado, exitiendo alternativas como Veracrypt. Esto ha provocado la detección de vulnerabilidades de escalada de privilegios que no se han parcheado, además de aquellas que puedan haberse pasado por alto.
  • El contenido al que se ha accedido es el relativo a uno de sus socios, que puede no haber estado protegido con las mismas medidas de seguridad. Lo demás son muchas conjeturas y ruido, pero poca fundamentación.

Es fácil encontrar herramientas de cifrado

Lo primero que nos debe revelar este caso es que las herramientas de cifrado no son algo exclusivo de los expertos en informática, ni tampoco requieren de elevadas inversiones para proteger la información. Existen soluciones de código abierto, seguras, y que pueden resultar sencillas de utilizar.

Con asistentes, un interfaz de usuario visual, y la ayuda de tutoriales además de otra información que se encuentra accesible a través de Internet, lo cierto es que cualquier persona puede proteger su información frente a accesos no autorizados, y sin necesidad de contar con conocimientos avanzados en materia de seguridad.

De hecho, tal y como se señala en un artículo anterior en El Confidencial titulado «así cifró Villarejo sus audios: ‘software’ libre, párrafos de un libro y cambios semanales» se nos indicaba lo siguiente

El presunto cabecilla de la operación Tándem no pagó a ningún ‘hacker’ para poner en marcha este sistema de protección, aseguran fuentes próximas a las pesquisas. El encargado de cifrar sus documentos era una persona de su máxima confianza que apenas tenía conocimientos de informática. Solo los imprescindibles para poder utilizar este sencillo programa.

Artículo en El Confidencial

Sí, los desarrolladores advirtieron de que esta aplicación podría no ser segura

La página en sourceforge de Truecrypt sigue estando activa, y aún podemos acceder a la nota que se realizó cuando se abandonó su desarrollo

WARNING: Using TrueCrypt is not secure as it may contain unfixed security issues

This page exists only to help migrate existing data encrypted by TrueCrypt.

The development of TrueCrypt was ended in 5/2014 after Microsoft terminated support of Windows XP. Windows 8/7/Vista and later offer integrated support for encrypted disks and virtual disk images. Such integrated support is also available on other platforms (click here for more information). You should migrate any data encrypted by TrueCrypt to encrypted disks or virtual disk images supported on your platform.

WARNING: Using TrueCrypt is not secure

Nota de los desarrolladores de Truecrypt

Mucho se ha dicho al respecto de dicha nota. Algunos usuarios han querido ver tras el texto la intención de los responsables de dar a conocer la existencia de puertas traseras en el código de las que no estaban autorizados a hablar. La realidad es que, al menos de momento y tal y como comentaremos, las auditorías y revisiones de código no han detectado la existencia de dichas puertas traseras.

¿Por qué se ha podido acceder a parte de los archivos pero no a su totalidad?

El artículo de El Independiente titulado «el CNI tan sólo logra descifrar los dispositivos incautados al socio de Villarejo» nos da más pistas sobre lo que puede haber ocurrido

fuentes de la investigación consultadas por El Independiente, precisan que el material que ha podido desencriptarse fue prácticamente en su totalidad incautado al socio de Villarejo, Rafael Redondo, y no al que fuera agente encubierto de la Policía.

[…]

Dicho organismo desencriptó sin dificultad los dispositivos electrónicos de Rafael Redondo pero fue incapaz de descubrir qué contienen los aprehendidos directamente al comisario en los registros llevados a cabo en noviembre de 2017 debido a que el sistema de cifrado que salvaguarda a estos últimos documentos es aún más endiablado.

Artículo de El Independiente

Con las cautelas propias de no poder conocer con profundidad la realidad de todas las afirmaciones que se realizan en los medios, parece ser que el contenido al que se ha tenido acceso no era el protegido con los mecanismos analizados, y es dicha falta de protección la que ha permitido acceder a parte de los archivos.

¿Entonces Truecrypt sigue siendo seguro?

El código de Truecrypt ya no se encuentra activamente en desarrollo, ya no se parchean las vulnerabilidades que puedan ir apareciendo, ni el responsable revisa el código para mejorarlo. Por lo tanto, no es recomendable su uso, pero eso no implica que actualmente sea trivial romper la seguridad de su cifrado. Los resultados de la auditoría que fue realizada sobre el código de Truecrypt no encontró puertas traseras deliberadas ni errores críticos de seguridad en el cifrado

based on this audit, Truecrypt appears to be a relatively well-designed piece of crypto software. The NCC audit found no evidence of deliberate backdoors, or any severe design flaws that will make the software insecure in most instances.

Esto no quiere decir que el código fuera perfecto. En primer lugar, se detectaron una serie de problemas que podían reducir la seguridad ofrecida por la herramienta. Además, con posterioridad se ha detectado un fallo de seguridad en la versión de Windows de Truecrypt que permitía una escalada de privilegios. Como bien se indica en el artículo

This also shows that a single security audit may not necessarily find all the problems

Runa Sandvik, participante en la auditoría a Truecrypt

Es posible que si los dispositivos se encontraran desbloqueados en el momento en que fueron intervenidos se pudiera acudir a un ataque de arranque frío o similar para obtener las claves que hubiera en la memoria, pero no parece que fuera el caso.

Lo que no debemos hacer es subestimar la dificultad de romper un cifrado solo porque el software ya no se encuentre en desarrollo activo. Es posible que en un futuro se encuentre algún mecanismo que permita el acceso a volúmenes cifrados con Truecrypt, pero hasta el momento, y pese a todos los ojos que se encuentran encima del código, no se ha detectado una puerta trasera. Si así hubiera sido, seguramente ya se habría presentado en alguna de las múltiples cons, dada la relevancia que tendría la prueba de su existencia, por mucho que su uso ya no sea tan intensivo.

Se pueden comentar muchas cosas al respecto de Truecrypt, incluyendo las presuntas actividades delictivas de uno de sus desarrolladores, pero en mi opinión el aviso y abandono del desarrollo de Truecrypt puede obedecer a presiones para incorporar dichas vulnerabilidades por parte de las administraciones, y que prefirieran abandonarlo antes de oponerse y verse incursos en procesos legales, más que no a la existencia de dichas medidas ya incorporadas en el código.

El riesgo de volver al debate de las puertas traseras

El riesgo en este caso, a mi parecer, es que se aproveche la imposibilidad de acceder a los contenidos cifrados por Villarejo para volver al eterno debate de las puertas traseras en mecanismos de cifrado. Un debate que al final suele plantear una falsa dicotomía: o puertas traseras o impunidad de los delincuentes.

No podemos olvidar que Villarejo al final utilizaba una versión antigua y ya no desarrollada de software de cifrado. La inclusión de puertas traseras solo supondría introducir de manera deliberada un nuevo potencial punto de fallo de seguridad, y que además afectaría a los usuarios legítimos del software, mientras que los delincuentes podrían trasladarse a otras versiones sin dichas puertas traseras o modificar el código para evitarlas. ¿Debemos también impedir el acceso al código para evitar que se creen versiones seguras de estas herramientas de cifrado con puertas traseras? Una discusión de este tipo resultaría absurda.

Al final en este debate se está produciendo mucho ruido, centrándonos en si Truecrypt es seguro o no, si el CNI no rompe el cifrado por oscuros intereses, cuando la realidad es que nada es tan sencillo. Podemos discutir la dificultad de llevar a cabo los cambios de contraseñas que Villarejo afirmaba hacer, si utilizaba algún tipo de índice de contraseñas, o si una lista completa de todas ellas se encuentra dentro de uno de los contenedores cifrados, pero al final la mayor parte del debate ha sido sobre la vulnerabilidad.

Lo que está claro es que quien piense que tan sencillo es romper el cifrado de Truecrypt tiene a su disposición el acceso a dicha herramienta. Puede probar a cifrar un volumen y utilizar las herramientas actualmente disponibles para acceder al contenido. Es posible que si comprueba de primera mano que no todo es tan sencillo cambie de opinión, o puede que piense que sencillamente no tiene los medios del CNI.

La realidad es la que es y, al menos de momento, no es tan sencillo romper este cifrado.

Sergio Carrasco Mayans
Síguenos

Deja un comentario

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.