nachasi.com
¿Seguridad de la información o censura total? ¿Cómo amenaza a los usuarios de internet el controvertido proyecto de ley n.º 6688?
El 4 de julio de 2018, el Comité de Seguridad Nacional de Ucrania aprobó el proyecto de ley n.º 6688, «Sobre enmiendas a determinados actos legislativos de Ucrania relativos a la lucha contra las amenazas a la seguridad nacional en el ámbito de la información», que fue presentado a la Rada Suprema en julio del año pasado, según informa UP.
Los autores son los diputados populares Ivan Vinnik (BPP), Dmitry Timchuk y Tatyana Chernovol (Frente Popular).
¿Qué se entiende por “contrarrestar las amenazas a la seguridad nacional”?
El bloqueo de sitios web durante 48 horas está permitido no sólo por orden judicial, sino también por funcionarios encargados de hacer cumplir la ley (investigadores y fiscales).
Los proveedores instalan herramientas técnicas especializadas (DPI) por su cuenta para monitorear el tráfico de Internet, lo que les permite rastrear todo lo que hacen los usuarios y bloquearlo.
El proyecto de ley también prevé esencialmente la creación de una versión ucraniana de Roskomnadzor obligando al regulador a mantener un registro de bloqueos y multar a los proveedores "indeseables".
El 5 de julio la Rada Suprema incluyó el proyecto de ley en el orden del día, pero por mayoría de votos fue retirado del debate.
El 6 de julio, el SBU expresó oficialmente su apoyo a este proyecto.
El proyecto de ley podría aparecer nuevamente en la agenda esta semana.
¿Puede el PE explicar por qué no debería aceptarse y cómo podría afectar esto a los usuarios comunes de Internet?
¿Por qué y para qué?
Según los autores del proyecto de ley, esta solución debería ayudar a proteger a los usuarios ucranianos de los ciberataques actuando como antivirus y cortafuegos.
Hablamos de un bloqueo de solo 48 horas. Este tiempo se otorga para que el SBU pueda obtener una orden judicial. Esta oportunidad se brinda para neutralizar rápidamente un recurso en línea desde el cual, por ejemplo, se esté distribuyendo un virus, es decir, se esté produciendo un ciberataque.
"Si no hay una decisión judicial y el bloqueo en sí es resultado de un abuso por parte de algún funcionario del SBU, el Código Penal no ha sido derogado y nada impide que el medio de comunicación presente una demanda", señala Dmitry Timchuk, uno de los autores del proyecto de ley.
¿Por qué la comunidad online está en contra?
Según el ex director de Yandex Ucrania, Sergey Petrenko, las cosas son completamente diferentes.
"Bloquear sitios web individuales es fundamentalmente ineficaz contra ataques DDoS, que afectan a varios millones de hosts que no son sitios web, y es completamente irrelevante contra ataques de malware basados en correo electrónico. Sin embargo, es perfectamente adecuado para la censura e incluso la corrupción", señala.
Según Petrenko, el proyecto de ley contiene grandes posibilidades de corrupción, ya que las actividades de cualquier sitio web pueden ser canceladas sin una orden judicial, al igual que las actividades de una empresa pueden ser bloqueadas mediante una búsqueda basada en motivos falsos.
"Es fácil imaginar el daño que podría causar a la economía del país bloquear un sitio web del tamaño de Rozetka.ua o Novaposhta.ua. Y el beneficio que se obtendría al ofrecerle una solución inmediata al dueño de una tienda más pequeña", enfatiza.
Según él, las soluciones técnicas propuestas por el SBU para implementar el proyecto de ley implican graves violaciones de los principios de seguridad de la red al instalar un certificado de confianza global del fabricante de la solución DPI en todos los dispositivos de los usuarios.
En la práctica, esto significa que, tras instalar dicha solución, todo el tráfico se cifrará en dos etapas: entre el dispositivo del usuario y el sistema DPI, y entre el sistema DPI y el sitio web de destino. Esto se denomina ataque "Man-In-The-Middle" y significa que el sistema DPI tendrá acceso a todo el tráfico de internet en Ucrania, explica Petrenko.
Max Tulyev, fundador de la empresa de TI NetAssist, cree que después de esto podremos decir adiós a la privacidad en línea para siempre.
Incluso Rusia, Bielorrusia y China lo abandonaron deliberadamente. Un sistema similar funcionó durante un tiempo en Kazajistán, pero debido a problemas evidentes, también se abandonó allí, señala Tulyev.
El especialista en ciberseguridad Yegor Papyshev advierte de las siguientes consecuencias:
En primer lugar, existe una censura brutal en internet. Peor que en Rusia. Los recursos están bloqueados (sin posibilidad de recurso legal) y probablemente no podrás evitarlos. Ellos decidirán por ti qué ver y qué no.
En segundo lugar, se pierde por completo el anonimato. No podrás usar Tor.
En tercer lugar, el robo de fondos estatales para la compra de equipos y servicios de la conocida empresa israelí Allot.
En cuarto lugar, monitoriza detalladamente tu tráfico. Lo sabrán todo sobre ti.
En quinto lugar, una reducción de la velocidad, ya sea como resultado de medidas de control y vigilancia del tráfico o como resultado de sus acciones de circunvalación, y un aumento significativo de los precios de Internet.
En sexto lugar, el mercado de proveedores de Internet quedará monopolizado.
Séptimo, ¿cuánto mejorará todo esto la ciberseguridad de nuestro país? En términos generales, cero. Cero. En absoluto.
Sean Townsend, miembro y portavoz de la Alianza Cibernética Ucraniana, señala que si se aprueba la ley, el siguiente paso lógico sería prohibir el anonimato.
Destaca las siguientes consecuencias del nuevo proyecto de ley:
— riesgos de corrupción (me gustaría enviar mis más cordiales saludos al proveedor de equipos que comienza con la letra "A");
— riesgos de corrupción (inclusión de sitios web en el registro de sobornos)
— debilitamiento de la seguridad de la información (los usuarios buscarán formas de eludir el bloqueo, y no todas tendrán éxito)
- competencia desleal (bloquea a tu competidor y deja que demuestre después que no es un camello)
- competencia desleal dos (los grandes operadores utilizarán DPI y los pequeños se verán obligados a buscar protección contra ellos)
- gastos adicionales para el negocio (el equipo no es barato)
— una disminución del atractivo de Ucrania para la inversión (nadie en su sano juicio lanzaría un proyecto en Ucrania; algo similar ya ha sucedido con el alojamiento)
— violación de los derechos civiles (la censura está prohibida por la Constitución)
- violación de los derechos civiles (toda persona tiene derecho a la privacidad de la correspondencia)
— una amenaza para la infraestructura de la red (el registro es el interruptor de seguridad de Internet, y los rusos seguramente lo usarán)
—una ley que se puede eludir fácilmente conduce a una falta de respeto por la ley, a una negación de la legalidad como principio.
¿Quién puede hacer esto?
Ambos expertos mencionan a la empresa israelí Allot, un conocido proveedor de soluciones DPI.
El jefe de la Asociación de Internet de Ucrania, Oleksandr Fedienko, también admite que "todas las decisiones se armonizarán con la solución técnica de uno de los proveedores israelíes de sistemas DPI (que es Allot, — EP)".
Fedienko publicó una foto de diapositivas de una reciente conferencia sobre ciberseguridad, dirigida a representantes de diversas agencias, comités y departamentos gubernamentales. Esta no es la primera conferencia en la que Allot ha participado como ponente.
Townsend también confirma que este es el que se discutió en las conferencias del sector. Además, ya se ha probado en Ucrania.
"Estoy seguro de que fueron traídos aquí por la fuerza. Estoy seguro de que sus decisiones, y ellos —como proveedores de estas soluciones DPI—, son discutidas activamente por altos funcionarios y presionadas activamente", declaró Papyshev al Parlamento Europeo.
Allot es, sin duda, el proveedor líder mundial de soluciones de inspección de tráfico. Sus productos son, sin duda, los más avanzados. Y los requisitos mencionados se adaptarán específicamente a este proveedor, añade.
Después de que el proyecto de ley no fue incluido en la agenda, el jefe adjunto del Servicio de Seguridad de Ucrania, Oleg Frolov, también dejó escapar a los periodistas que ya existe un contrato con un proveedor específico de DPI, pero no lo nombró.
¿Qué significa esto para los ucranianos comunes?
No sólo los pequeños proveedores de Internet, que no podrán permitirse la instalación de equipos técnicos y competir, deberían estar preocupados, sino también todos los usuarios ucranianos.
La adopción de esta monstruosidad llamada 'Proyecto de Ley 6688' sin duda provocará un aumento muy doloroso en el precio de los servicios de acceso a internet. El número de proveedores se reducirá significativamente (en un factor de varias), y sus precios al menos se duplicarán (y muy probablemente también aumentarán varias veces).
"Cada proveedor está vigilado por un hombre uniformado y sus oficinas están invadidas por agentes de la ley de todo tipo las 24 horas del día", señala Konstantin Korsun, director del Grupo de Seguridad de la Información de Ucrania.
Con esta opinión coincide el jefe de la Asociación de Internet de Ucrania, Oleksandr Fedienko.
Obtuve el costo aproximado de las soluciones DPI de fuentes abiertas. Por ejemplo, si un operador enruta tráfico de 400 Mbps a través de sus enrutadores internacionales, el precio base es de $5,000; 1 Gbps es de $22,000; 20 Gbps es de $40,000; y 64 Gbps es de $160,000. Todos estos son los llamados costos únicos para el operador. Y supongo que el precio base podría aumentar entre 1.5 y 2 veces durante la entrega final, explica.
"Si tenemos en cuenta el volumen actual de tráfico suministrado a Ucrania y el coste requerido para una solución de sistema DPI, las 16 empresas más grandes tendrían que pagar un total de 20 a 30 millones de dólares por el paquete básico", añade Fedienko.
Según sus cálculos, para un proveedor medio estos sistemas costarán aproximadamente 1,8 millones de dólares (47 millones de grivnas) para la configuración básica, o entre 80 y 90 millones para una más avanzada.
Si la facturación mensual del operador es de 8 millones de grivnas, se necesitarán seis meses para alcanzar el punto de equilibrio, y si la solución cuesta el doble, se necesitarán años.
"Y, sin embargo, como siempre, el operador tiene que hacer actualizaciones y reparaciones de red y, en resumen, un montón de otros posibles gastos imprevistos. Llevan tiempo robando cables, y al gobierno ni se le ocurre. Por cierto, esto también es un elemento de seguridad nacional", señala Fedienko.
Según él, también es posible un modelo en el que el operador, para reducir el tiempo de recuperación de los costes, aumente los precios de sus servicios entre 3 y 6 veces, lo que luego se trasladará inmediatamente al consumidor final, de ahí el aumento del coste de los servicios de Internet en el país para toda la población sin excepción.
"La aprobación de este proyecto de ley provocará un aumento de los costes de acceso a la red para los consumidores finales, una reducción de la velocidad y, muy probablemente, la salida de la clase media del mercado, ya que sus márgenes de beneficio suelen estar ya al borde del equilibrio. Esto conduce a la monopolización del sector, con todas las consecuencias consiguientes", concluye Fedienko.
Así, el proyecto de ley n.º 6688 introducirá censura, controlará todas las acciones de los usuarios en línea y les obligará a pagar por ello, con la dudosa posibilidad de mejorar la seguridad informática del país.
"Quienes son expertos en ciberseguridad entienden, y no dudan en decirlo en voz alta, que las medidas propuestas y su implementación prevista no solo empeoran la ciberseguridad de Ucrania (creando amenazas adicionales), sino que también tienen una serie de efectos secundarios 'agradables'.
"El problema principal no es que nuestros funcionarios y las partes interesadas del Servicio de Seguridad de Ucrania (SBU) protejan tanto a Allot. El problema es que planean implementar un mecanismo que anulará la privacidad, destruirá tu privacidad en línea y garantizará el funcionamiento efectivo de una herramienta de censura: es decir, el bloqueo será real y funcionará para la gran mayoría de los usuarios en Ucrania", señala Papyshev.
"Ahora no bastará con activar TOR o una VPN. Habrá que ser muy astuto y trabajar duro para sortear estos filtros", concluye.
Suscríbete a nuestros canales en Telegram, Facebook , Twitter , VK . ¡Solo caras nuevas de la sección SKLEP!