jueves, 17 de septiembre de 2020

Nueva revista de itSMF España

Este mes de septiembre, la asociación itSMF España ha publicado el primer número de una nueva iniciativa: itSMF News.

Se trata de una revista periódica, trimestral, que recopilará en un formato y diseño espectaculares, algunos de los artículos que los diferentes Comités y Grupos de Expertos de la Asociación publican on line en la web.

El resultado ha sido muy satisfactorio, y las felicitaciones por la iniciativa desde diferentes entidades y empresas no cesan de llegar. Si deseas consultarla, está a tu disposición. En este artículo del blog recopilaré los diferentes números que se publiquen.

martes, 16 de junio de 2020

Un reconocimiento inesperado


Hace unos días, durante el Congreso Virtual Ciberseguridad 2020, la revista CSO España, dirigida a los directivos de seguridad de la información, reconoció a 25 profesionales de nuestro país que "con su trabajo influencian el campo de la ciberseguridad".

En esta ocasión, he tenido la enorme sorpresa y el tremendo honor de ser incluido en esa selecta lista de Top25 Influencers de España en 2020, hecho que agradezco profundamente a la organización y a IDG Communications. La verdad es que es un orgullo recibir este reconocimiento, sobretodo, al ver la lista de personas reconocidas en el mismo acto, con nombres punteros en el tema de la ciberseguridad en nuestro país.

¡Gracias, y seguimos adelante!

jueves, 2 de abril de 2020

Mentiras, bulos y fake news en un mundo digital

Hoy ComputerWorld University ha tenido la deferencia de publicar mi último artículo. En este caso, sobre la situación que generan las fake news y cómo podrían afrontarse.

Espero que os guste.

domingo, 19 de enero de 2020

Reflexiones en torno al impacto de Blockchain y de la computación cuántica sobre los sistemas de certificación y firma electrónica

El Aperitivo

A estas alturas del partido, cualquiera que haya tenido el más mínimo contacto con los servicios de la Administración Electrónica española conoce la existencia de los certificados digitales. Cuando una persona quiere acceder a los servicios de la sede electrónica de una Administración Pública, es muy probable que lo haga con un certificado digital. Obviamente, hay más formas de identificar al usuario de la sede, como el sistema CL@VE, o los clásicos pares de usuario+contraseña. También la propia sede electrónica se identifica con un certificado digital, conocido en el mundillo como Certificado de Sede Electrónica, aunque en este caso, como ocurre con el certificado SSL de cualquier web, también se usa para asegurar las comunicaciones entre el cliente y el servicio al que conecta.

Otro uso habitual y muy conocido de los certificados digitales es la firma digital. Mediante un proceso de firma digital, y si se cumplen las condiciones técnicas y legales oportunas, se consigue identificar al firmante, asegurar la integridad de los datos firmados, y conseguir la característica de No Repudio de los documentos firmados digitalmente. Esta característica, en síntesis, sirve para que no pueda discutirse legalmente que quien firmó el documento no sea la persona a quien identifica el certificado con el que se firmó. Es decir, la firma digital permite obtener, respecto de un documento electrónico, 'las mismas' garantías que tenía un documento en papel con una firma manuscrita. Y digo 'las mismas', entre comillas, porque en realidad aporta más cosas. Una firma manuscrita se puede falsificar. Una firma manuscrita se puede discutir en el Juzgado, aduciendo que es falsa, para lo que haría falta un tercero de confianza (un perito grafólogo) para dilucidar esa situación. La fecha y hora de la firma manuscrita puede ser diferente de las indicadas en el propio documento, por lo que pueden hacerse firmas atrasadas o adelantadas en el tiempo, a conveniencia. En principio, una firma digital protege de estas situaciones en el plano electrónico de nuestra realidad.

Los sistemas de certificación digital, basados en conceptos como el cifrado asimétrico, los terceros de confianza, las autoridades de certificación, las infraestructuras de clave pública (PKI), etc, sirvieron de base para la arquitectura legislativa y técnica, desde finales del pasado milenio, para el diseño y despliegue de los servicios de la Administración Electrónica en España. Sin embargo, en los últimos años han aparecido (al menos) dos tecnologías cuyo impacto sobre la arquitectura mencionada aún está por ver: los sistemas basados en cadenas de bloques o Blockchain, y los sistemas de computación cuántica.

Blockchain: positivo, pero....

Sobre el primer concepto ya he escrito en este blog. Es un tema mainstream, que parece que vende confianza per se. Por el simple hecho de decir que un sistema está basado, o guarda sus datos en una Blockchain, parece que se esté vendiendo una seguridad del más alto nivel posible. Me reservo mi opinión, de momento, sobre el uso del concepto como gancho de marketing, porque creo que merece más la pena dedicar el espacio de este post a comentar cómo creo que puede impactar la implantación de sistemas Blockchain en los Sistemas de Administración Electrónica en España.
En primer lugar, hay que destacar que, sobre el papel, los sistemas Blockchain, también conocidos como Distributed Legder Technology (o de Libro Mayor Distribuído) presentan ventajas en lo que a confianza distribuída se refiere, es decir, que un hecho sea afirmado por diferentes participantes hace que 'sea cierto' para el sistema. Por ello, en la evolución de estas tecnologías siempre se ha manejado el concepto del consenso entre nodos de la cadena de bloques para hacer referencia al momento en que una mayoría de ellos contienen una determinada información (generalmente una transacción o bloque de ellas), creada y firmada digitalmente según las reglas del protocolo que rige esa cadena de bloques. Los entusiastas de los sistemas DLT afirman que estos mecanismos pueden eliminar la necesidad de que existan terceros de confianza centralizada, tales como notarios, registros de la propiedad, etc, ya que si esa información se soporta sobre una cadena de bloques, los participantes en la misma confían en la información en ella almacenada por la forma en que se han generado, almacenado, firmado y distribuído las transacciones. Maravilloso.
Sin embargo, el factor critico de diseño de una implantación basada en Blockchain es el número de nodos. Si un agente es capaz de controlar la mitad más uno de los nodos participantes, lo que se conoce como 'ataque del 51%', es capaz de manipular 'la verdad' de la cadena de bloques, ya que sus nodos pueden dar por buenas las transacciones que ese agente realice, y rechazar las que provengan de otros participantes. Si la Blockchain es pública, es cuestión de crear nodos artificialmente, aunque es costoso, para tomar control de la misma. Por eso, las organizaciones abogan por disponer de Blockchains privadas, donde sólo hay determinados agentes que han desplegado nodos, gracias a una distribución limitada del software y de los protocolos de la misma, y que a su vez distribuyen el software cliente para operar con la cadena de bloques. La seguridad de que nadie puede generar un ataque del 51% en estas infraestructuras parece merecer la pena, pero, de nuevo, si un agente malicioso consiguiera comprometer un determinado número de nodos, o pudiese desplegar nodos adicionales tras acceder al código fuente, etc., el reducido número de nodos de la cadena de bloques privada haría que ésta también cayera bajo el control del agente malicioso con facilidad.
Hemos citado el hecho de que las transacciones o los bloques se firman digitalmente, pero no hemos indicado que los clientes de la cadena se identifican a su vez mediante certificados digitales. Por tanto, las infraestructuras DLT se basan ampliamente en las infraestructuras de PKI, lo cual, desde mi punto de vista, les aporta determinadas propiedades de la seguridad, como la trazabilidad y la autenticidad, pero las deja a merced de los mismos problemas que a aquellas:

  • aún hay algoritmos de cifrado de certificados débiles o ya comprometidos
  • la Autoridad de Certificación que los emite, al ser única y centralizada, puede ser comprometida por parte de un agente malicioso

Para solucionar estos problemas, dejo una pregunta en el aire: ¿sería posible crear una Autoridad de Certificación Distribuída, sobre una Blockchain, cuyos certificados digitales dispusieran de un tipo de cifrado más robusto?

Sin embargo, y dejando de lado la problemática mencionada, ¿puede un sistema Blockchain, o un conjunto de ellos, sustituir a la necesidad de que en los sistemas de Administración Electrónica se requieran firmas electrónicas por parte de los ciudadanos o de la propia Administración. Muy probablemente, para el ciudadano, sea necesario aún durante bastante tiempo el uso de este mecanismo de autentificación de la manifestación de la manifestación de su voluntad frente a determinados actos con relevancia jurídica. Sin embargo, hay sistemas internos de las propias Administraciones españolas, disponibles a través de la Plataforma de Intermediación de Datos, o de otros colectivos, como los Notarios, o los Colegios Profesionales en profesiones reguladas, que podrían ser reemplazados por un sistema de confianza distribuida basado en Blockchain, con grandes ventajas tanto para los ciudadanos como para otras AA.PP. Y se me ocurren varios ejemplos:

  • la consulta de títulos universitarios, si las universidades mantuvieran un registro compartido y distribuído de los títulos que emiten y de los expedientes asociados.
  • el Registro de la Propiedad, lo que eliminaría la necesidad de la figura del Registrador de la Propiedad, y de los costes asociados a sus tareas
  • las revisiones ITV de un vehículo, que evitaría problemas en la adquisición de vehículos entre particulares
  • etc...
En definitiva, nuevos servicios, o nuevas formas de prestarlos, a una fracción de los costes actuales.

Computación Cuántica: riesgo a corto, oportunidad a largo

En un artículo relativamente reciente, el New York Times afirmaba que "Para China y Estados Unidos (la computación cuántica) es un asunto de seguridad nacional". Es, sin lugar a dudas, la próxima frontera en materia tecnológica, una frontera que unos pocos elegidos, como IBM o Google, ya están cruzando. Operaciones que tardarían años ejecutándose en un computador digital como los actuales, pueden tardar segundos en realizarse en un computador cuántico. No es mi intención entrar a explicar en qué consiste esta tecnología, ni los retos que aún afronta, ni las grandes ventajas que puede tener para la investigación o el desarrollo tecnológico futuro. Si está Ud. interesado, en este vídeo está bastante bien explicado.
Por lo que respecta al tema que nos ocupa, está claro que la computación cuántica sería capaz de romper en poco tiempo el cifrado de la mayoría de los certificados digitales actuales. Durante las jornadas RootedCon Valencia 2019, tuve la oportunidad de preguntar esta cuestión a uno de los grandes expertos en criptografía de España, el Dr. Alfonso Muñoz, investigador de BBVA Next Technologies y fundador de CriptoCert. Su respuesta, a grandes rasgos, dibujaba la necesidad de implantar criptografía post-cuántica. Evidentemente, este tipo de mecanismos de cifrado se implanta(rá) primero en sistemas críticos, top secret, y es muy probable que tanto la tecnología como los algoritmos se definan como secretos de Estado y no puedan ser utilizados masivamente como ha ocurrido con los sistemas PKI. Aunque no siempre ha sido así, ya que hasta finales del milenio pasado estaba prohibido exportar los sistemas de criptografía fuera de los EE.UU., algo que puede chocar en la actualidad, pero que no sería raro que volviésemos a ver en el caso de la criptografía post-cuántica.
Pero, independientemente de cómo podemos intentar proteger los sistemas de firma digital para el futuro, ¿qué efectos tendría que un computador fuera capaz de romper los actuales sistemas de certificación digital en un tiempo razonable? Por ejemplo, ser capaz de descifrar el tráfico SSL en tiempo real entre los dos extremos de esa comunicación pondría en riesgo varias de las propiedades de la seguridad para los datos que se estén comunicando:
  • Confidencialidad, al poder ver la conversación un agente que no forma parte de la misma
  • Integridad, al poder modificar los datos en tránsito
  • Autenticidad, al poder hacerse pasar por cualquiera de los intervinientes en la conversación
  • Trazabilidad, al no quedar constancia de la intervención de la comunicación
 Otro ejemplo, el de la firma digital de documentos. Poder descifrar los metadatos cifrados del documento, los que contienen los datos de la firma, permitirían poder poner en circulación un documento modificado, tanto en su contenido, como en esos metadatos de firma. Pienso en una Administración Pública totalmente digitalizada, en la que un agente malicioso que dispusiera de esa capacidad, podría poner en circulación, por ejemplo, títulos universitarios falsos en formato digital autocontenido (como un PDF firmado), cuya firma digital parecería legítima, pero que se habría elaborado ad hoc para el falseamiento del documento oficial. ¡Una auténtica pesadilla!
Por todo lo dicho, es fácil considerar a la computación cuántica una amenaza para la Administración Electrónica tal y como está conceptuada en la actualidad. Pero tal vez debamos enfocarlo como una oportunidad para mejorar antes de que dicha amenaza se materialice. ¿Tal vez una combinación de Blockchain y cifrado post-cuántico en el menú futuro de la tecnología al servicio de las Administraciones Públicas?




jueves, 3 de mayo de 2018

Entrando al trapo con BlockChain

Desde que escribí mi anterior entrada, una breve reflexión sobre Blockchain, he seguido 'dándole vueltas' al tema, leyendo, asistiendo a eventos, etc.. Y creo que ya puedo plantear cuestiones que no son ni evidentes ni nimias, y a las que habrá que dar solución en breve. No tocaré aspectos técnicos, tranquilos.

Blockchain se encuentra ahora en un estado similar a como se encontraba la Web en 1994. Esta reflexión ya la he leído y oído más de una vez (a William Mougayar y a Pep Lluis de la Rosa), en el sentido de que aún no sabemos todo lo que la tecnología Blockchain va a permitirnos hacer, igual que casi nadie imaginaba en 1993 en el CERN hasta dónde iba a llegar la tecnología web que regalaron al mundo entero. Es evidente que su primera aplicación han sido las criptomonedas, pero no será la única. La trazabilidad, la seguridad y la transparencia que aporta Blockchain son unos activos muy útiles para muchas de las actividades actuales, como la fe pública, ahora en manos de determinadas personas o instituciones. Aspectos tan importantes para todos como la lucha contra el fraude, las elecciones (como se demostró en el excelente taller organizado por la Cátedra de Transparencia y Gestión de Datos de la UPV en la TechFest'2018)  o la trazabilidad alimentaria pueden apostar a que en el futuro (o en el presente) harán uso de esta tecnología (vía José Manuel Calabuig).

Leyendo este excelente artículo de Victor Almonacid, creo que debo puntualizar algunas de las cosas que menciona, y que, sobretodo, son importantes para el uso de esta tecnología en la Administración Pública.

Lo primero, debe quedar claro que habrá tantas Blockchain como se quieran crear, cada una con su protocolo y sus reglas de participación. Las Blockchain públicas, como aquellas que se usan para las criptomonedas, o para Interplanetary File System (IPFS), tienen algún mecanismo de recompensa para los nodos que intervienen en la validación de las transacciones y en el almacenamiento de las copias distribuidas de las mismas. Por ejemplo, en Bitcoin cada cierre de bloque se recompensa con 12 BTC. En una Blockchain para las AAPP (¿quizá corriendo sobre la Red SARA?) eso no puede ser así, dado que hay problemas, sin ir más lejos, de índole legal:
  • ¿Con quién firmará la AAPP el contrato de prestación de servicios para poder pagar esas recompensas si cualquiera puede ser un nodo de esa Blockchain y recibir recompensas por su trabajo, de acuerdo a las reglas establecidas en esa cadena de bloques?
  • ¿Cómo se calculará el coste estimado del servicio recibido, teniendo en cuenta que las transacciones que se validen se desconocen a priori y que si se paga el servicio en alguna criptomoneda ésta puede fluctuar?
  • ¿Puede una AAPP española pagar en una moneda diferente del euro estos servicios?
Por tanto, la primera conclusión es obvia: la Blockchain adecuada para las AAPP no debe estar basada en la recompensa, ni ser pública (en el sentido de que cualquiera pueda desplegar un nuevo nodo en la misma), sino que debe estar basada en el mutuo beneficio y apoyo entre las diferentes entidades que formen parte de la Blockchain.

Las posibilidades que traería consigo crear una Blockchain de las AAPP españolas (o incluso europeas) son enormes. Por ejemplo, cada una de esas AAPP podría ejecutar sobre la cadena de bloques los smart contracts que le hiciesen falta para su gestión, sin preocuparse de aspectos como la confidencialidad, la disponibilidad, la trazabilidad, la autenticidad y la integridad de los datos almacenados en la misma, ya que de eso se encarga la propia tecnología. También podría utilizarse para que los ciudadanos pudiesen votar tranquilamente (y de forma segura y válida) desde su teléfono móvil cualquier tipo de consulta, desde las orientadas a la participación ciudadana hasta las de elección de representantes al Parlamento Europeo. la excusa para no consultar a los ciudadanos del coste de organización se esfumaría, mejorando la Democracia, la transparencia y el buen gobierno. Sin embargo, como todo en esta vida, Blockchain (o mejor dicho, su uso) no está exenta de riesgos, que merecen ser estudiados y sopesados con tranquilidad. Pero no con mucha tranquilidad, o el tren nos volverá a dejar en el andén.

Hay cuestiones menores, casi filosóficas, sobre la ventaja de la desaparición de intermediarios. En realidad, en Blockchain no se "des-intermedia", sino que se "re-intermedia", merced al concepto de confianza distribuida que se consigue mediante los mecanismos de consenso. Y en este tema no hay que caer en errores conceptuales: lo que todos entendemos como consenso no es lo que se entiende como tal en Blockchain. Por ejemplo, en Bitcoin una transacción se valida si seis nodos de la red la validan, aunque la red tenga diez mil nodos. Es un mecanismo a mi juicio excesivamente simple para los enormes requerimientos legales que tiene la Administración. Por ello las reglas que se implementen en la Blockchain para las AAPP deberán ser más estrictas.

Hay otra cuestión típica sobre Blockchain y es la característica de inmutabilidad, que nada puede ser borrado en la cadena de bloques. En mi anterior post yo mismo lo afirmaba, viéndolo como un problema para el Derecho al Olvido. Sin embargo, en una Blockchain privada, desde el punto de vista de que sólo las AAPP tendrían el acceso adecuado, y creada con las reglas que se consensúen, sí podría implementarse un mecanismo de eliminación de información, siempre que ese mecanismo esté totalmente integrado y aceptado en las reglas de la cadena de bloques.

Sin embargo, y pese a sus múltiples ventajas, veo prácticamente imposible que actualmente una iniciativa como una Blockchain de las AAPP tuviese el más mínimo atisbo de ser un proyecto exitoso: desde hace unos años hay un afán recentralizador clarísimo en la Administración Central del Estado, que va en dirección contraria a la filosofía Blockchain. Sin embargo, en otras circunstancias sería una ventaja que desde la AGE se impulsara un proyecto así, y que fuese la AGE quien fuera 'activando' los nodos necesarios de esa Blockchain (en AAPP de tamaño adecuado, como Comunidades Autónomas, Diputaciones y/o Grandes Ayuntamientos) y luego asignara los 'wallet' a cada una de las Administraciones Públicas del país, delegando si es necesario en esas mismas administraciones autonómicas o locales esa tarea.

Finalmente, quiero dejar clara otra cuestión: en una Blockchain pública puede almacenarse y validarse información privada, de forma confidencial. Esto hay mucha gente que no lo entiende, porque sigue pensando en Blockchain como soporte de transacciones económicas. Pero en una transacción en una Blockchain puede almacenarse virtualmente cualquier cosa que se beneficie de las propiedades de trazabilidad, seguridad y transparencia que ofrece la tecnología. Por ejemplo, actas de tribunales de Tesis de Fin de Master ;-)

P.D.: El artículo de Wikipedia en castellano sobre Cadena de Bloques es sencillito, pero clarito.

P.D. 2: Si asistís a alguna conferencia sobre criptomonedas quizá oigáis una afirmación sorprendente: "El dinero se crea de la nada". Y no es broma.

domingo, 22 de abril de 2018

Una pequeña reflexión sobre Blockchain

Tras unos meses de parón, por fin puedo escribir unas líneas en el blog, y en esta ocasión, sobre Blockchain. Esto viene a colación porque cayó en mis manos un libro (sí, un libro, de papel) titulado "La Tecnología Blockchain en los negocios", de William Mougayar, un experto de talla mundial en este tema, y cuyo blog recomiendo a todo aquel interesado en iniciarse en esta cuestión..

La verdad, Blockchain me parece un concepto que va a ser (si no lo es ya) clave en los usos tecnológicos más habituales hoy en día, más allá de ser el soporte para el desarrollo de criptomonedas. Obviamente, no es una tecnología que sirva para todo, pero sí me parece que va a tener una amplia repercusión en la forma en la que se desarrollan determinados sistemas y negocios on line. Podemos ver Blockchain (es común hacerlo así) como un libro mayor contable distribuido, en el que se lleva un registro de las transacciones merced a una red entre pares (P2P).

Desde mi punto de vista, es un compendio de filosofía y tecnología, basado en dos conceptos:

  • Confianza distribuida
  • Consenso

La confianza distribuida va a cambiar negocios como la banca, la fe pública, o las transacciones financieras. En las Administraciones Públicas, una blockchain adecuadamente construida eliminaría la necesidad, por ejemplo, de ciertas Plataformas Centralizadas de uso muy habitual, así como las complejas cuestiones del uso de certificados y firmas digitales para la tramitación electrónica, que se basan en el establecimiento de la identidad de ambos participantes (ciudadano y Administración) por parte de terceras partes de confianza externas (las Autoridades de Certificación). pero, ¿qué pasa si esa confianza puede obtenerse directamente de la blockchain, sin necesidad de terceros? Habrá que repensar, y rápido, el modelo actual de identificación electrónica en la Administración.
 
A nivel tecnológico, en Blockchain se mezclan fuertemente aspectos criptográficos con cuestiones como la teoría de juegos. Sin embargo, y pese a que es obvio que no sirve para todos los casos de uso, detecto que se le avecinan dos cuestiones importantes para su aplicabilidad en muchos ámbitos:

  1. ¿Cómo se puede ejercer el Derecho al Olvido, o los derechos de cancelación de datos personales, si esos datos se distribuyen a través de la blockchain (pública, privada o híbrida)? Recientemente, en GigaTIC18 se trató este tema en una presentación. Deseoso estoy de poder ver el video de la misma.
  2. ¿Cuánto tiempo 'resistirá' una blockchain frente a un computador cuántico? Quizá habría que preguntarles a los expertos de la Quantum World Association. Quizá lo haga, en cuanto tenga un rato.

Seguro que hay más cuestiones por resolver en esta prometedora tecnología, y prometo escribir sobre ello cuando las conozca.

O si consigo respuestas a las dos preguntas planteadas.....