¿Cómo se captura a un hacker?

Internet se ha ganado la reputación de ser un sitio en el que puedes decir y hacer cualquier cosa con impunidad, primordialmente porque es muy fácil ocultar tu identidad.

Esa característica se ha mostrado particularmente útil para los hackers, muchos de los cuales han desarrollado una sensación de invulnerabilidad e incluso se ufanan de que nunca serán capturados.

Sin embargo, como se ha visto este año con el arresto de varios hackers, las autoridades no son tan impotentes como muchos de ellos han creído.
Las fanfarronerías de los hackers se ven cada vez mas seguidas por una visita sorpresa de la policía local. ¿Cómo capturan los investigadores a los criminales de la nueva era?

Direcciones de internet

Para empezar, es necesario dar un paso atrás y entender cómo es que la gente puede ocultar su identidad en Internet.
Muchos asumen, correctamente, que si se conecta a internet se le otorga una dirección única (su IP, siglas de InternetProvider) y que eso puede ser usado para rastrear cualquier actividad que salga de esa dirección hasta llegar a un individuo. Pero no es tan simple, y ciertamente no tan rápido, por varias razones.
Primero, muchos años atrás el numero de aparatos en la Internet solicitando direcciones IP excedía el número de direcciones posibles.
Por consiguiente, cuando cualquiera de nosotros le pide a nuestro proveedor de servicio de Internet (ISP, por sus siglas en inglés) que nos conecte, la IP solo nos es arrendada.
Estas direcciones IP generalmente expiran muy rápidamente y se renuevan si usted quiere seguir conectado, o se le da a otra persona si nos hemos desconectado. Su próxima conexión le da una dirección completamente diferente.
Al buscar una dirección, usualmente sólo dice quién es el ISP, no quién era el arrendatario de la dirección en un momento específico.
Así que incluso en el caso de que un investigador detectara alguna actividad ilegal vinculada a una dirección específica es poco probable que pueda fácilmente identificar al usuario con la información disponible públicamente.
Las autoridades tienen que ir al proveedor del servicio y pedirles los registros que muestren exactamente quien estaba usando esa dirección al momento de la actividad ilegal.
Pero como las agencias de policía tienen que obedecer la ley, eso usualmente requiere una orden de un juez, lo que exige que los investigadores demuestren que esa actividad ilegal estaba teniendo lugar y que parecía provenir de un particular ISP. No pueden ir simplemente en un "viaje de pesca".
Sin embargo, los investigadores se han hecho cada vez más eficientes en este proceso, de modo que los hackers (al menos aquellos que no han sido capturados aún) hace tiempo dejaron de confiar en eso, pese a que saben -con razón- que eso hará a las autoridades más lentas que los hackers.

Complicaciones de coordinación

Todo lo anterior asume que los proveedores de servicio mantienen registros de quién tenía una dirección arrendada particular.
En Reino Unido sí lo hacen, pero no todos los países son tan diligentes, y no necesariamente a un nivel de detalle que localice físicamente al que perpetra la ilegalidad.
Pero la cantidad de información es enorme y no puede ser conservada indefinidamente. En el Reino Unido se está creando una legislación que obliga a los ISP mantener registros aunque no requiere que sean conservados para siempre.
Lo tercero es que, siendo una red global, internet está cubierta por múltiples jurisdicciones. Si le toma tiempo a un investigador obtener una orden judicial en su propio país, imagine lo difícil que le sería conseguirlo en uno extranjero.
No es sorprendente entonces que muchos hackers tiendan a atacar sitios que están fuera de sus países. Además, hackers de diferentes jurisdicciones cooperan entre si, añadiéndole complejidad adicional a una situación de por sí complicada.
Sin embargo, en el caso de los arrestos de los integrantes de Lulzsec se destacó el papel de la cooperación transfronteriza con arrestos realizados en Reino Unido, Irlanda y EE.UU.
Cada vez más, cuerpos internacionales como Interpol o Europol están tomando la delantera en facilitar la colaboración entre agencias en varios países simultáneamente.

El servidor "apoderado"

Así que asumiendo que usted puede navegar todas las complejidades anteriormente descritas, podrá encontrar la dirección de internet y capturar al autor.
Bueno, no será así necesariamente porque, como siempre, la tecnología va muy por delante de los sistemas judiciales y legislativos.
Hay un par de trucos adicionales que le permiten cubrir sus pasos en la web. El más ampliamente usado es llamado el servidor "apoderado" o proxy.
Al usar un servidor apoderado cualquiera puede desviar su actividad a un sistema que esté en un país lejano o en uno en el que no se conserven registros de dónde la actividad fue generada, o peor aún, las dos cosas.
Los apoderados ganaron popularidad entre aquellos que realizan descargas ilegales, porque no pueden ser rastreados.
Los servidores apoderados están ampliamente disponibles, frecuentemente de manera gratuita. Estos han desarrollado un papel muy importante en permitir que los ciudadanos de regímenes hostiles puedan expresar sus opiniones anónimamente.
Por supuesto que pueden ser empleados en propósitos ilegales, como robo de derechos de autor, los hackers rápidamente se percataron del potencial.

Pero no todo está perdido. Los investigadores pueden hacer lo que llaman "análisis de tráfico" que se basa en el uso de una combinación de registros de varios ISP, con lo que logran sacar al servidor apoderado del ciclo.
No es sorprendente que esto tarde aun más y que la complejidad añadida inevitablemente implique menos resultados confiables a la hora de montar el caso legal.
Sin embargo, una de las grandes ventajas que tienen las autoridades es que son pacientes: ellos no se ufanan de lo que están haciendo, muy por el contrario, y están dispuestos a moler los detalles hasta que alcanzan a su hombre o su mujer.

Una red oscura

Por supuesto que los hackers conocen todo esto y por eso la lucha ha continuado. La mayoría de los hackers hoy, además de ampararse en todo lo anteriormente descrito, usan lo que se conoce como "enrutado cebolla".
Esta práctica empezó como una investigación para proteger al sistema de comunicaciones de la Marina de EE.UU., pero desde que fue publicada en un taller sobre ocultamiento de información realizado en 1996 (el Data Hiding Workshop), la gente lo ha visto como una manera de mantener el anonimato en Internet.
El más usado se llama Tor, que tiene muchas maneras válidas de emplearse. Pero como a los hackers les encanta recurrir a él también, son los proyectos tipo Tor los que representan la línea de batalla de los investigadores hoy.
Actualmente se tiene pocas respuestas al "enrutado cebolla" y cuando se le combina con otros sistemas complejos, las autoridades enfrentan desafíos significativos. Pero no los den por vencidos todavía.
Algunos proveedores globales de servicios están trabajando con investigadores en proyectos como el Saturno de British Telecom (BT) que fue originalmente desarrollado para identificar amenazas a la infraestructura crítica de Reino Unido.

La ilustración muestra las fuentes de intentos de intrusión (en rojo) y el destino de esos intentos (en verde). El tamaño de los círculos indica el número de eventos.

Dominos

Paralelo a todo este desarrollo tecnológico sigue el buen trabajo policial a la antigua y la ya referida paciencia.
El principio es simple: todos cometen errores. Tome por ejemplo el caso del hacker conocido como Sabu.
Sabu hablaba regularmente con otros usando un chat de Internet. Al leer los supuestos mensajes de Sabu -aparentemente filtrados por compañeros hackers descontentos- se puede ver que era muy fanfarrón acerca de lo que había atacado, su invulnerabilidad y sus destrezas técnicas.
De esa manera se puso a si mismo como un obvio objetivo a ser vigilado.
Aparentemente sólo una vez, Sabu ingresó en su servicio de chat sin usar Tor. Su dirección IP fue revelada y el FBI logró rastrearlo. Eso condujo a cargos contra otros sospechosos de ser hackers.
Veremos más de esta táctica: la decapitación al arrestar al pez gordo y luego los intentos de barrer con las piezas menores basado en lo que se aprende en el proceso.
En resumen, la falta de noticias no significa que los hackers se están saliendo con la suya, pese a que eso sea lo que ellos quieren que usted piense.
Mientras la batalla continua en el ciberespacio, lo que queda claro es que es un trabajo en el que se combina lo viejo y lo vuevo.