Entrevista

Deepak Daswani

‘Hacker’ i expert en seguretat a la xarxa

“Tots som vulnerables, particulars i estats”

Deepak Daswani és ‘hacker’ i expert en seguretat a la xarxa. Teniu una bona contrasenya al correu? Alerta!

‘HACKER’
“El terme ‘hacker’ defineix una persona que no es conforma a enviar cors per WhatsApp, sinó que vol arribar al coneixement avançat”
SEGURETAT
“Tots, per fer servir la tecnologia, estem exposats a un seguit de riscos. I el que avui és segur demà pot no ser-ho”
ESPAVILATS
“Hi ha molts usuaris que volen anar de ‘hackers’ o fer coses il·legals sense saber què estan fent. Aquest és el perill”
FOSCOR
“Hi ha xarxes en les quals es mouen continguts il·lícits. És cert. Ara bé, aquesta internet no està a disposició de qualsevol”

Segu­ra­ment ja deveu ser molt polits. Deveu tenir con­tra­se­nyes dife­rents per al cor­reu, Twit­ter, Ins­ta­gram... i les can­vieu amb certa freqüència. I deveu estar al cas dels per­mi­sos que con­ce­dei­xen a les apli­ca­ci­ons, i no us deu pas­sar pel cap tam­poc inten­tar robar el Wi-Fi als veïns del quart pri­mera. La ciber­de­linqüència, però, és real. La xarxa, com tot, es pot fer ser­vir per fer el bé i per fer el mal. I no es pot anar amb el lliri a la mà. Dee­pak Daswani, expert en ciber­se­gu­re­tat, ha estat a Bar­ce­lona per pre­sen­tar el lli­bre que li ha edi­tat Edi­ci­o­nes Deusto: La ame­naza hacker. De fet, ell és un hacker. Atenció, però, hacker no és sinònim de pirata.

Sovint se segueix usant el terme hacker per par­lar de pirata informàtic. Els dic­ci­o­na­ris de vega­des encara bar­re­gen els ter­mes. Ho pot acla­rir una mica?
La diferència prin­ci­pal entre un hacker i un pirata és la moti­vació. Un hacker és una per­sona que, evi­dent­ment, vol arri­bar més enllà, vol tren­car els límits de la tec­no­lo­gia, vol entrar on no es pot entrar, però la seva moti­vació és la superació, el repte per­so­nal. El que té és ànsia de conei­xe­ment, passió per apro­fun­dir en algun àmbit, avançar en el conei­xe­ment de qual­se­vol matèria. En l’accepció més romàntica es podria apli­car tant a la ciència com a les arts, la política, l’eco­no­mia... Ser hacker és una acti­tud, però evi­dent­ment s’asso­cia a l’àmbit tec­nològic, perquè va néixer en aquest món.
És ser curiós.
Curiós, inquiet. El terme hacker defi­neix una per­sona que no es con­forma a enviar cors per What­sApp, sinó que vol arri­bar al conei­xe­ment avançat de la tec­no­lo­gia, per tren­car bar­re­res i iden­ti­fi­car els forats en la segu­re­tat, amb l’objec­tiu de for­ti­fi­car la tec­no­lo­gia, fer sis­te­mes més segurs, demos­trar la seva capa­ci­tat. Després, les per­so­nes que uti­lit­zen aquest conei­xe­ment, els fruits de la recerca de dife­rents hackers per fer el mal són els ciber­de­linqüents.
Els pira­tes. La línia que separa uns i altres és molt prima. Expli­qui’m com va això de detec­tar pro­ble­mes de segu­re­tat i comu­ni­car-los a les empre­ses.
Sí, hi ha una línia molt prima... Sobre­tot quan inves­ti­gues un pro­blema de segu­re­tat i creus que n’has iden­ti­fi­cat algun en alguna orga­nit­zació i deci­dei­xes infor­mar-los perquè s’hi posi remei. Anem a pams. Hi ha grans empre­ses, com Goo­gle, Yahoo i Apple, que tenen pro­gra­mes de recom­pensa, i cada vegada hi ha més empre­ses peti­tes que són hacker fri­endly. Agra­ei­xen que se’ls repor­tin les vul­ne­ra­bi­li­tats, perquè és com si t’esti­gues­sin fent una audi­to­ria gratuïta.
Els hackers es que­da­rien aquí, sense bus­car treure ren­di­ment econòmic de la tro­ba­lla. No bus­quen recom­pensa, doncs?
Quan iden­ti­fi­ques un pro­blema de segu­re­tat en una orga­nit­zació sense que t’hagin dema­nat que ho fes­sis, els lliu­res la infor­mació perquè el cor­re­gei­xin, sense bus­car res a canvi. Hi ha casos en què n’infor­mes i t’ho agra­ei­xen, i hi ha altres casos en què n’infor­mes i no et fan ni cas, i ales­ho­res l’experiència és dece­be­dora.
D’aques­tes últi­mes, d’experiències dece­be­do­res, n’ha tin­gut, per exem­ple amb el web del Club Depor­tivo Tene­rife, com explica en el lli­bre. Alguna més?
En tinc una rela­ci­o­nada amb una apli­cació per a cen­tres espor­tius. Una empresa d’Alme­ria desen­vo­lupa una apli­cació per a gim­na­sos. És la del meu gimnàs. La vaig inves­ti­gar i vaig tro­bar que, si es volia, es podia hacke­jar el sis­tema de reserva d’acti­vi­tats, i que era vul­ne­ra­ble a deter­mi­nats atacs a través de Wi-Fi... El més crític de tot, però, és que es podia acce­dir a les ruti­nes d’entre­na­ment de tots els usu­a­ris de l’apli­cació: nom, cognoms, entre­na­dor, rutina. Ima­gina la quan­ti­tat de gim­na­sos que uti­lit­zen l’apli­cació, uns 1.600! Es tracta d’uns 10 mili­ons de cli­ents poten­ci­al­ment afec­tats. El més greu són altres dades que van més enllà de la rutina espor­tiva. Són les dades que estan en l’informe, amb foto inclosa, que es fa periòdica­ment després de revi­sar els avenços físics del cli­ent: edat metabòlica, líquids cor­po­rals, per­cen­tatge de greix, índex de massa cor­po­ral... Podia acce­dir al meu informe i al dels altres deu mili­ons d’usu­a­ris. A mi tant me fa, que vegin el meu informe, els resul­tats són bons! Més enllà de la broma, els infor­mes con­te­nen dades pri­va­des, sen­si­bles, de salut. Ho vaig tras­lla­dar a l’empresa i els vaig expli­car que hi havia infor­mació crítica expo­sada.
I què van fer?
Els vaig dir, via cor­reu electrònic, que si esta­ven interes­sats ens podíem tro­bar i els en dona­ria els detalls, sense cap mena de com­promís. No em va res­pon­dre ningú. Res de res. Al cap d’un temps vaig fer una con­ferència i vaig expo­sar el cas. Des dels infor­ma­tius de Cua­tro se’n van fer ressò, en horari de molta audiència. L’endemà ja m’esta­ven tru­cant: els cli­ents del gimnàs havien començat a dema­nar expli­ca­ci­ons. Ales­ho­res sí que em van dema­nar que ens trobéssim.
Trist.
Vam tenir la reunió i em van dir que volien con­trac­tar una audi­to­ria perquè jo ho revisés tot. Els vaig dir que no calia que em con­trac­tes­sin una audi­to­ria com a com­pen­sació per la infor­mació que els havia faci­li­tat. Van insis­tir i em van dema­nar pres­su­post. Els vaig dema­nar dades, que es van com­pro­me­tre a pas­sar-me, i al cap de dues set­ma­nes els havia d’enviar el pres­su­post.
I...?
No van enviar les dades. Els vaig escriure i no sola­ment no em van con­tes­tar, sinó que van reen­viar el cor­reu a un cli­ent que em retreia que hagués expli­cat el cas en una con­ferència! Vaig al·luci­nar, i vaig deci­dir dei­xar-ho estar. El més bo, però, és que fa pocs dies vaig fer una altra con­ferència expli­cant el cas, i vaig veure que les vul­ne­ra­bi­li­tats que els havia comen­tat esta­ven cor­re­gi­des, afor­tu­na­da­ment. Tot i així, vaig tro­bar una altra escletxa en la seva segu­re­tat. No diré res més...
Parlàvem de la línia ver­me­lla que es pot arri­bar a tras­pas­sar.
En alguns casos, quan fas aquesta recerca, et pots tro­bar infor­mació sucosa, i pots tenir la temp­tació d’explo­tar-la, per fer mal, per dema­nar un res­cat, com fan els ciber­de­linqüents. No és el meu cas. No tinc cap interès en això. Quan es pro­du­eix aquest moment de des­co­berta es posa en marxa l’ètica, l’edu­cació que has rebut, els prin­ci­pis, els valors que tin­guis com a per­sona, en la teva vida quo­ti­di­ana. Quan em pre­gun­ten sobre aques­tes qüesti­ons dic que hi ha per­so­nes que tenen unes habi­li­tats que es poden usar per fer el bé o per fer el mal. Un boxe­ja­dor pot usar la seva supo­sada supe­ri­o­ri­tat física per pro­te­gir una per­sona en perill o pot ser un paio que es dedica a esba­tus­sar-se en una dis­co­teca. Hi ha experts en eco­no­mia, en fis­ca­li­tat, que poden usar els seus conei­xe­ments per asses­so­rar els seus cli­ents sobre com ges­ti­o­nar els actius o bé els poden asses­so­rar sobre com come­tre fraus. Al final, tot depèn dels teus prin­ci­pis morals. Compta tot, perquè és com una cadena de bau­les: l’edu­cació a casa, la dels pares i la dels pro­fes­sors; les experiències, la teva per­so­na­li­tat... És cert que hi ha gent que hi pot caure, és temp­ta­dor, és seduc­tor, pel guany econòmic que se’n pot treure, però real­ment som molts els que ni tan sols ens ho plan­te­gem.
En el seu lli­bre, però, hi ha una història, que diu vostè que no pensa con­fir­mar ni des­men­tir, segons la qual va aju­dar un amic a esbri­nar si la seva pare­lla li posava les banyes. Li va tocar la fibra sen­si­ble?
Mai se sabrà si aquesta història és certa o inven­tada. És clar que una cosa és que no facis mal i una altra dir que cap hacker mai ha uti­lit­zat la seva habi­li­tat per fer alguna gam­ber­rada... Si som sin­cers... El que plan­teja la història, uti­lit­zar la tec­no­lo­gia per saber d’una pos­si­ble infi­de­li­tat, a tu et pot sem­blar que és una acció que s’engega per amis­tat, però per a un hacker pot­ser només és un repte. Volem això, rep­tes. De vega­des, des del món de l’empresa, em pre­gun­ten: “Com rete­nim el talent?” I els dic que, perquè no se’n vagin, els moti­vin. Neces­si­ten rep­tes cons­tants, que els esti­mu­lin. I un sou just, que no pre­ten­guin tenir un espe­ci­a­lista en tec­no­lo­gia amb el sou d’un dis­se­nya­dor de llocs web. Els dei­xarà, perquè hi ha molta feina. Hi ha neces­si­tat real d’espe­ci­a­lis­tes, que en sàpiguen de debò.
Perquè és impos­si­ble saber-ho tot.
Hi ha mol­tes àrees de conei­xe­ment, molt espe­ci­a­lit­za­des i t’has d’estar for­mant cons­tant­ment. Ningú de nosal­tres sap de tot: hacking, hacking web, anàlisi forense, anàlisi de malware [software maliciós]...

PRO­TE­GIR-NOs

Una cosa que queda clara, lle­gint el lli­bre, és que la segu­re­tat, al cent per cent, no exis­teix. I que, de fet, si hi ha ciber­de­licte és perquè algú ha des­cu­rat la pro­tecció.
Sí. Hi ha ciber­de­licte perquè hi ha hagut una vul­ne­ra­bi­li­tat, un error tècnic o un error humà.
Tots som vul­ne­ra­bles, començant pels que fan ser­vir la mateixa con­tra­se­nya per tot i no la can­vien mai.
A par­tir d’ara, aneu can­vi­ant la con­tra­se­nya!
Estem molt expo­sats!
Buf... Sí! Tots som vul­ne­ra­bles, usu­a­ris, par­ti­cu­lars, orga­nit­za­ci­ons, peti­tes i grans, governs, estats... Tots, per fer ser­vir la tec­no­lo­gia, en menor o major mesura, estem expo­sats a un seguit de ris­cos. I el que avui és segur demà pot no ser-ho, perquè pot arri­bar algú que des­co­breixi un pro­blema de segu­re­tat i se n’apro­fiti. Els exploits [pro­gra­mes per ata­car sis­te­mes, dis­po­si­tius o tec­no­lo­gies, un cop s’ha detec­tat la vul­ne­ra­bi­li­tat] en són un exem­ple, però hi ha un munt de ris­cos que, si se segueix el decàleg que jo plan­tejo de bones pràcti­ques, podem evi­tar en gran mesura, i podem viure amb un nivell de segu­re­tat de rela­tiva con­fiança.
El pri­mer punt del decàleg és man­te­nir actu­a­lit­zat el sis­tema ope­ra­tiu dels nos­tres dis­po­si­tius.
I tenir un anti­vi­rus comer­cial, de repu­tació con­tras­tada, no des­car­re­gar software gratuït d’inter­net, modi­fi­car les con­tra­se­nyes freqüent­ment... I que la con­tra­se­nya sigui robusta, és a dir, amb certa com­ple­xi­tat: més de vuit caràcters, lle­tres, números, símbols. Res que sigui pre­vi­si­ble, com el teu nom seguit d’12345. I, no cal dir-ho, hem d’anar molt en compte amb la infor­mació sobre nosal­tres que expo­sem a les xar­xes soci­als, o que com­par­tim, perquè pot donar pis­tes a un ata­cant i com­pro­me­tre la nos­tra segu­re­tat.
Al començament del lli­bre explica un cas que passa a molta gent: els roben la xarxa Wi-Fi.
Sí que passa, sí.
És com si t’entres­sin a casa.
És així. Estan entrant a la teva inti­mi­tat.
Vostè aviat els va des­co­brir, els lla­dres. Alguns que van de lles­tos pot­ser no ho són tant.
Hi ha molts usu­a­ris, l’script kid­die que en diem nosal­tres, que volen anar de hackers o fer coses il·legals sense saber què estan fent. Aquest és el perill. Si no saps el que estàs fent, millor no facis res.
Sem­pre dei­xem un ras­tre, a inter­net.
Hi ha mane­res d’ocul­tar el ras­tre, però depèn de què par­lem. En alguns casos hi ha mane­res d’inten­tar fer anònim el nos­tre ras­tre, però un usu­ari que intenti dedi­car-se a això sense saber-ne dei­xarà una empremta que per­metrà arri­bar fins a ell.
En el lli­bre explica que hi ha un mer­cat legal en què es venen i es com­pren les vul­ne­ra­bi­li­tats.
Avui dia, les vul­ne­ra­bi­li­tats són cibe­rar­mes. Hi ha una pla­ta­forma, Zero­dium, en què es pot veure quin valor pot tenir una exploit o vul­ne­ra­bi­li­tat.
“He tro­bat una fallada i te la venc”?
Alerta, perquè es tracta de fra­gi­li­tats en un pro­ducte, un sis­tema, no del teu sis­tema. Si trobo un forat de segu­re­tat a la revista La República i et demano diners a canvi de lliu­rar-te’l està mal fet. Hi ha gent que ho fa, però no es lícit, ni moral­ment cor­recte.
És un delicte.
Sí. I molt de compte amb això de detec­tar esclet­xes en la segu­re­tat d’altres, quan ells no t’ho han dema­nat! Si a l’empresa o a l’orga­nit­zació que inves­ti­gues sense el seu permís no els agrada, et pot por­tar pro­ble­mes. Et poden denun­ciar.
Hi ha una inter­net fosca, la deep web... És pos­si­ble entrar-hi i sor­tir-ne com si res?
Hi ha xar­xes anònimes en les quals es mouen molts con­tin­guts il·lícits. És cert, però també és veri­tat que aquesta inter­net no està a dis­po­sició de qual­se­vol. No és tan fàcil, entrar-hi. Si tro­bes molt fàcil­ment un lloc amb el mate­rial de què es parla tant, pro­ba­ble­ment deu ser frau­du­lent, i l’única cosa que deu bus­car és extor­quir l’usu­ari. Aquesta mena de mate­ri­als es mouen en cer­cles molt pri­vats.
Tro­bar un sicari no és dit i fet.
És real que aquest món exis­teix, però com et dic, no és sen­zill. I no és cert que quan s’entra se’n surti ter­ro­rit­zat. Hi ha molta lle­genda urbana, molts mites.
Arriba a ser inqui­e­tant la quan­ti­tat d’infor­mació que tenen sobre nosal­tres... Goo­gle, per exem­ple. Només cal veure els anun­cis rela­ci­o­nats amb les cer­ques que fem.
Els llocs web fan un traçat de l’acti­vi­tat dels usu­a­ris, amb les famo­ses gale­tes (cookies). I, d’altra banda, si a Goo­gle Maps, per exem­ple, dones permís perquè emma­gat­ze­min les teves ubi­ca­ci­ons, poden saber on estàs, si has sor­tit abans d’hora de la feina, quanta estona pas­ses en una botiga... En alguns casos, aquesta infor­mació de què dis­po­sen els llocs web res­pon a una fun­ci­o­na­li­tat, com quan Goo­gle t’avisa que arri­bes just a l’aero­port, perquè sap que tens un viatge, pel calen­dari. Si tot això a tu et va bé, fantàstic, però si no ho vols, només cal que desac­ti­vis aquesta fun­ci­o­na­li­tat.
I en el cas de les apli­ca­ci­ons que dema­nen permís per acce­dir als con­tac­tes, els mis­sat­ges...?
Hi ha mol­tes apli­ca­ci­ons que sol·lici­ten per­mi­sos que no són neces­sa­ris per a les fun­ci­ons que ens ofe­rei­xen. Es tracta d’aco­tar els per­mi­sos i no faci­li­tar-los. Jo escu­llo no donar accés a certa infor­mació en detri­ment d’algu­nes fun­ci­ons. Hi ha per­so­nes que cre­uen que si no dones permís l’apli­cació no fun­ci­o­narà, però han de saber que poden deci­dir si donen o no donen per­mi­sos. Poden expe­ri­men­tar amb la tec­no­lo­gia i veure què passa i si no els va bé, sem­pre poden fer un pas enrere i tocar la con­fi­gu­ració.
Per cert... Hau­ria de tapar la càmera web del portàtil?
Doncs sí, s’ha de fer, perquè si t’ins­tal·len un troià [d’aspecte ino­fen­siu que per­met a un ata­cant acce­dir a l’ordi­na­dor remo­ta­ment], podran acce­dir a les imat­ges de la teva web­cam. Es pot fer i és sen­zill. En parlo molt, d’això.
Déu ni do. Cal atu­rar-se a revi­sar com ho tenim tot.
Sí. Cal seure i posar ordre, per evi­tar pro­ble­mes en un futur.

Si es pot, millor ser enginyer

Enginyer informàtic, hacker, expert en ciberseguretat. Aquest canari es va plantar pel seu compte el 2017. Abans va treballar per a l’Instituto Nacional de Seguridad i també per a l’empresa Deloitte, entre d’altres. Conferenciant i professor, col·labora sovint amb mitjans de comunicació. És cofundador del congrés de ciberseguretat Hackron, que es fa a Canàries. Bona part de la seva activitat s’orienta a sensibilitzar: ens hi juguem molt, amb la seguretat. Tothom pot ser hacker? És millor passar per la formació reglada? “Hi ha molt de debat. Conec grans hackers que no han passat per la universitat i conec enginyers titulats que... res. Jo soc enginyer i recomano que, si es pot, es faci la carrera, perquè acredita que tens uns coneixements, que hi ha hagut perseverança, constància i també sacrifici. A més, la carrera dona uns fonaments sòlids, importants per aprendre a hackejar, com és el coneixement bàsic dels sistemes operatius, el llenguatge de programació, l’enginyeria de software... I hi ha moltes alternatives per formar-se en hacking i ciberseguretat. Hi ha molta formació disponible per fer un itinerari. Dit això, sempre hi ha la possibilitat de formar-se amb els recursos d’internet. El problema és discriminar què és bo i què no.”

Identificar-me. Si ja sou usuari subscriptor, us heu d'identificar. Vull ser usuari subscriptor. Per escriure un comentari cal ser usuari subscriptor.
Nota: Per aportar comentaris al web és indispensable ser usuari verificat i acceptar les Normes de Participació.
[X]

Aquest és el primer article gratuït d'aquest mes

Ja ets subscriptor?

Fes-te subscriptor