2024.07.08. The Fair Economy — En el '13.º Foro de Gobernanza de Internet de Corea (KrIGF)', celebrado el 28 del mes pasado en el Centro Educativo del Monasterio de San Francisco, en el distrito de Jung-gu, Seúl, por la Asociación Multilateral de Gobernanza de Internet (KIGA), expertos en ciberseguridad, inteligencia artificial y gobernanza debatieron sobre las cuestiones actuales de la gestión y operación de internet.
Durante el evento, Lee Jin, directora del Instituto de Ciberseguridad, presentó una ponencia titulada "Reflexión sobre las técnicas de investigación de delitos cometidos a través de redes de telecomunicaciones: con foco en casos de fraude telefónico", abordando las tendencias en ciberdelitos, las técnicas de respuesta e investigación, y las mejoras legales e institucionales.
Entre las presentaciones, había una palabra clave que atravesaba las actividades de ciberseguridad de la Agencia Nacional de Inteligencia, las investigaciones de ciberdelitos de la fiscalía y la policía, y las operaciones cibernéticas militares: 'interceptación'.
La directora Lee Jin enfatizó: "Para una actividad de intercepción rápida y precisa, es necesaria la automatización y estandarización del sistema de intercepción".
-¿Cómo evalúa el sistema de escucha de Corea del Sur?
Corea del Sur está promoviendo la adhesión a un convenio internacional, el "Convenio de Budapest". El Protocolo 2 del Convenio de Budapest, adoptado en mayo de 2022, regula la recolección y el intercambio de pruebas más amplios contra el ciberdelito, así como el fortalecimiento de la protección de datos personales, y actualmente el convenio base ha sido ratificado por más de 60 países. El convenio define como ciberdelitos la escucha ilegal, el fraude informático, la distribución de contenido pornográfico infantil, la infracción de derechos de autor, los ataques a servidores informáticos y el hacking.
Además, el tratado incluye como cláusulas la cooperación en la provisión de tráfico o contenido en tiempo real, las solicitudes rápidas de preservación de datos, las peticiones de ayuda en situaciones de emergencia y la creación de una base legal para la extradición nacional por actos delictivos. Entre ellas, lo que merece atención es la cooperación en la provisión de tráfico o contenido en tiempo real. En términos sencillos, significa que los resultados de la intercepción de personas sospechosas de delitos de internet pueden transmitirse entre los países firmantes.
Sin embargo, los sistemas judiciales varían según el país. Mientras que en algunos países, como Corea, se requiere una orden judicial previa para la interceptación, en otros, como Estados Unidos, se opera un sistema de orden posterior. Como referencia, después de los atentados del 11-S, Estados Unidos modificó sus leyes para permitir la interceptación sin orden judicial previa por motivos de seguridad nacional.
Estados Unidos, basándose en la Ley de Asistencia a las Comunicaciones para el Cumplimiento de la Ley (Communications Assistance for Law Enforcement Act, CALEA Act), construyó un sistema de interceptación y consulta de registros de comunicaciones dentro del país. Este sistema también se llama CALEA. La mayoría de las compañías de telecomunicaciones y proveedores de servicios de Internet (ISP) de EE. UU. han implementado y operan el sistema CALEA, y el gobierno estadounidense también otorgó subsidios en el proyecto de implementación inicial.
En cambio, Corea actualmente no opera un sistema similar de intercepción y consulta de registros de comunicaciones. Además, gran parte del proceso que va desde la solicitud hasta la emisión y ejecución de las órdenes se realiza aún manualmente. Al carecer de un sistema de intercepción estandarizado y automatizado, es inevitable que surjan limitaciones en la cooperación internacional".
-¿Cómo podría mejorarse el sistema de intercepción?
"Es necesaria la introducción y operación nacional de un sistema coreano tipo CALEA, denominado provisionalmente 'K-CALEA'.
En primer lugar, tanto los operadores de telecomunicaciones regulados por la 'Ley de Empresas de Telecomunicaciones' como las instituciones financieras sujetas a la 'Ley de Bancos de Ahorro Mutuos', la 'Ley de Bancos', la 'Ley de Servicios Financieros Especializados' y la 'Ley Especial sobre el Establecimiento y Operación de Bancos de Internet' deben ser designados como 'usuarios registrados que han consentido la notificación y comunicación electrónicas' conforme a la 'Ley sobre el Uso de Documentos Electrónicos en Procedimientos Penales (Ley de Documentos Electrónicos en Procedimientos Penales)'. A continuación, los fiscales o la policía pueden ejecutar las órdenes de intercepción obteniéndolas como documentos electrónicos y presentándolos o transmitiéndolos, según lo establecido en el artículo 17 de dicha ley.
Como medida técnica para la ejecución electrónica de las órdenes, se debe construir el sistema K-CALEA, que reciba la orden (documento electrónico), recopile los datos correspondientes y responda. Mediante el sistema K-CALEA, al identificar claramente el tiempo indicado en la orden y el objeto de la ejecución, se generan los documentos de respuesta; esto no solo permite una ejecución transparente de las órdenes, sino que también permite a los destinatarios acumular material para determinar la legalidad del proceso de ejecución en el futuro, lo que ayuda a mantener un derecho de defensa mínimo por parte de los sujetos de la ejecución.
Corea podría considerar, al igual que EE. UU., otorgar subvenciones a las instituciones y empresas que introduzcan el sistema K-CALEA. Al implementarlo, propongo priorizar su adopción en compañías de telecomunicaciones, ISP y procesadores de datos personales que cumplan ciertos criterios, para luego ampliar gradualmente el alcance de la operación del sistema.
Además, aunque la intercepción es una medida esencial para la investigación, es necesario promulgar primero leyes superiores, como una 'Ley Básica de Ciberseguridad', para aplicar el principio de "control democrático" a los procedimientos de ejecución de la intercepción, más que a la intercepción en sí. El Instituto de Ciberseguridad también está llevando a cabo actividades de apoyo legislativo para lograr la promulgación de esta ley. Además, se debe prevenir activamente que el poder público se convierta en un medio de vigilancia sobre los ciudadanos mediante sistemas de "registro de actividades de intercepción inalterables", como el blockchain consorcio, y es importante obtener el consentimiento popular a través de ello".
-¿Podría explicar con más detalle el 'blockchain consorcio'?
"El sistema de vigilancia de cadena de bloques de consorcio propuesto por el instituto es un sistema que apoya y supervisa que las actividades de recopilación de información, como la interceptación por parte del poder estatal, se lleven a cabo de manera legal y legítima según el principio de control democrático.
Es una estructura que comparte la información registrada por las agencias de inteligencia con todos los participantes mediante tecnología de libro mayor distribuido, y protege la información sensible mediante funciones de cifrado y divulgación diferida. Al almacenar los datos cifrados, se pueden prevenir fugas, y al mantener la información sensible no divulgada durante un período determinado, se pueden aliviar las preocupaciones de seguridad por la divulgación prematura de la información recopilada.
Además, debido a las características de la tecnología blockchain, aunque algunos participantes del consorcio manipulen arbitrariamente los datos, los datos de todos los participantes que componen ese blockchain no se alteran. Como resultado, se conserva incluso el registro de los actos de manipulación, lo que también tiene el efecto de prevenir la manipulación ilegal de datos.
La red de cadena de bloques de consorcio tiene una estructura en la que participan diversas partes interesadas, como el gobierno, los organismos de supervisión, las agencias de inteligencia, las agencias de seguridad nacional y los representantes de los ciudadanos. Los organismos de supervisión, como la Asamblea Nacional, son responsables de aprobar y auditar las actividades de recopilación de información, decidir la clasificación y divulgación de la información, gestionar la seguridad de la información y garantizar la transparencia. Las agencias de inteligencia presentan solicitudes de recopilación de información y, una vez aprobadas, llevan a cabo las actividades de recopilación. Registran todo el proceso de las actividades de recopilación y lo almacenan en la cadena de bloques de consorcio. Las agencias de seguridad nacional realizan solicitudes y revisiones de información relacionada con la seguridad nacional. Los representantes de los ciudadanos supervisan el acceso y la verificación de la información a través de la red de cadena de bloques, así como la gestión de seguridad de la información y la garantía de transparencia de los organismos de supervisión.
En el sistema de blockchain consorcio se pueden automatizar procedimientos como la solicitud, aprobación, ejecución, auditoría e informe de recopilación de información, y definir claramente las reglas de clasificación y divulgación de la información. De este modo, también se puede lograr la protección de los derechos de los ciudadanos.
-Al hablar de intercepción, surge el reciente debate sobre la intercepción de clientes por parte de KT.
"Para resumir brevemente la actuación de KT: intercambiaron el tráfico del servidor de actualización de webhard para instalar un programa sin el consentimiento de los usuarios.
Los proveedores de servicios de webhard hacen que los usuarios de sus servicios instalen un programa grid en sus PC. El programa grid permite que los usuarios de webhard descarguen archivos no desde el servidor de webhard, sino desde otros usuarios de webhard que poseen el archivo. En consecuencia, se reduce el tráfico del servidor de webhard.
Este tipo de programa Grid perjudica a ISP como KT. Los ISP calculan el tráfico generado en los servidores de webhard y facturan ese costo a los operadores de servicios de webhard; sin embargo, cuando se utiliza el programa Grid, el tráfico se genera desde clientes que usan servicios de internet de tarifa plana. Como no se pueden cobrar tarifas adicionales a los usuarios de planes de tarifa plana, la estructura resulta perjudicial para el ISP.
El ISP tampoco tiene una forma clara de sancionar al proveedor de servicios de webhard, porque los que instalan el programa grid son los clientes comunes. Por lo tanto, se considera que KT capturó los paquetes de comunicación de los clientes para detectar el uso de programas grid de webhard y distribuyó un programa de neutralización de grid mediante la técnica de alteración de paquetes dirigida a los usuarios de grid."
– ¿No es interceptación capturar los paquetes de comunicación de los clientes?
"Técnicamente, ha habido controversia desde hace tiempo sobre si el análisis automático del contenido de los paquetes de comunicación debe considerarse interceptación.
Por ejemplo, veamos el caso de 'Confirmación de inconstitucionalidad del bloqueo de sitios web (2019Hun-Ma158)'. En junio de 2018, la Comisión de Normas de Comunicación y siete proveedores de servicios de información y comunicación (ISP) formaron un comité y acordaron introducir el 'método de bloqueo de campo SNI', que utiliza el campo de Indicación de Nombre de Servidor (SNI) para bloquear sitios web de Internet que contienen información dañina.
Aunque el uso del protocolo de conexión segura cifra la mayor parte de los datos intercambiados, la parte SNI, que identifica el destino al que el usuario desea conectarse en los primeros datos enviados al servidor, queda expuesta sin cifrar; el método de bloqueo por SNI detecta esto para bloquear la conexión.
Con la generalización del uso del protocolo de conexión segura, se volvió imposible identificar qué sitio web intenta acceder el usuario y bloquear la conexión mediante los métodos tradicionales; por lo tanto, para bloquear el acceso a información ilegal u otra similar, resulta inevitable recurrir a métodos técnicos más avanzados, como el método de bloqueo por campo SNI, que permiten el bloqueo incluso cuando se utiliza el protocolo de conexión segura.
El Tribunal Constitucional determinó que, en el caso del método de bloqueo por SNI, aunque se consulta parte del contenido durante la comunicación cifrada entre el usuario y el servidor, se trata únicamente de que un sistema automatizado verifique y bloquee el SNI, que está expuesto sin cifrar. Es decir, concluyó que no constituía intercepción porque no descifra para consultar contenidos no públicos".
-¿Deberíamos considerar que KT no tiene culpa?
"La acción de KT de verificar el uso de grid mediante la inspección de los encabezados de los paquetes de comunicación no puede considerarse interceptación según la decisión del Tribunal Constitucional.
Además, en los términos y condiciones entre KT y los clientes de servicios de internet hay cláusulas de exención de responsabilidad por análisis de paquetes de comunicación para mejorar la calidad del servicio. Dado que a mayor activación de Grid mayor carga se genera en la red, desde el punto de vista de KT puede considerarse que tiene autoridad para detectar el uso de Grid con el fin de mejorar la calidad de internet de su propia red.
El problema es la distribución del programa de neutralización de grid. En primer lugar, KT no solicitó el consentimiento del usuario al distribuir este programa. También es problemático que el método de distribución haya utilizado la alteración de paquetes. En otras palabras, sin que el usuario lo supiera, los paquetes de comunicación fueron reemplazados por el programa de neutralización de grid. En consecuencia, el usuario terminó instalando un programa no deseado. Esta parte es claramente un error de KT, y parece necesario que ofrezca una profunda reflexión, disculpas y la presentación de medidas para prevenir la recurrencia."
0 comentarios
Aún no hay comentarios.