Foco sobre el becario Dan Kaminsky 2023: el Dr. Gus Andrews

Tras un primer año de financiación de un intenso trabajo para ampliar la forma en que los investigadores de seguridad informan y automatizan las correcciones de vulnerabilidades de código abierto, la beca Human Security Dan Kaminsky amplía este año su apoyo a un ámbito completamente nuevo de la investigación en seguridad. En esta ocasión, la beca proporciona a la Dra. Gillian «Gus» Andrews recursos financieros y de datos para encontrar formas de trasladar las mejores prácticas en materia de inteligencia sobre amenazas al ámbito de los derechos humanos y las libertades civiles.

El objetivo es comenzar a formalizar métodos para hacer un seguimiento de las campañas coordinadas de acoso, acecho y desinformación dirigidas contra activistas, periodistas, defensores de los derechos humanos y personal de organizaciones no gubernamentales (ONG), que ponen en peligro sus vidas y su libertad.

Autor de Mantenga la calma y regístreseAndrews es una experta en alfabetización digital con una sólida trayectoria tanto en organizaciones de derechos humanos como en el ámbito de la ciberseguridad. Imparte cursos de posgrado en el Teachers College de la Universidad de Columbia sobre tecnología y cultura; tecnología y alfabetización; antropología; y educación. Su investigación la ha llevado a desarrollar su carrera profesional analizando el comportamiento de los usuarios y perfeccionando el diseño para crear mejores experiencias de usuario para diversas organizaciones, entre las que se incluyen Linden Labs, el Open Internet Tools Project (OpenITP), Simply Secure y Thoughtworks. Paralelamente a este trabajo, también cultiva incansablemente sus intereses personales tanto en el activismo por los derechos humanos como en la ciberseguridad.

En el ámbito de las libertades civiles, Andrews participó en algunas de las primeras iniciativas del movimiento Independent Media Center (Indymedia), que surgió a principios de la década de 1990 y a finales de la de 2000 con el objetivo de facilitar la comunicación sobre el activismo en torno a diversos temas, en una época anterior a los blogs y las redes sociales. En el marco de esta participación, Andrews ayudó a fundar el Indymedia de Nueva York, que casualmente se encontraba junto a la sección de hackers de la revista 2600 en Nueva York. Esta proximidad inmediata la llevó a entrar en contacto con personas como Emmanuel Goldstein y el equipo de la revista 2600, lo que a su vez la llevó a participar regularmente en la Hackers on Planet Earth Conference (HOPE) y, finalmente, la integró profundamente en la comunidad hacker.

El año pasado, Andrews combinó todas sus pasiones al ayudar a la Fundación DISARM a desarrollar un producto mínimamente viable para un marco de inteligencia sobre amenazas, con el fin de rastrear campañas de desinformación de forma similar al marco MITRE ATT&CK. Esto la llevó a reflexionar sobre cómo los métodos y disciplinas de la inteligencia sobre amenazas podrían utilizarse para proteger a la comunidad de los derechos humanos, lo que a su vez dio lugar a su propuesta de este año para Human Security. Beca Dan Kaminsky.

Kaminsky fue cofundador de Human y un apasionado defensor de la mejora del mundo a través de la tecnología y de la búsqueda de multiplicadores de impacto innovadores que permitan resolver con elegancia algunos de los problemas más complejos y de mayor alcance de Internet en materia de protección de datos y seguridad. En 2022 fue el becario Dan Kaminsky Jonathan Leitschuhque causó sensación con su investigación sobre el uso de las solicitudes de incorporación de cambios (pull requests) para automatizar y ampliar la aplicación de correcciones en el software de código abierto.

Andrews recibió la beca de este año con el objetivo de investigar cómo la comunidad de derechos humanos puede crear mecanismos más formales para el intercambio de información sobre amenazas. Como parte de ello, también analizará los vínculos entre los actores tradicionales que suponen una amenaza para la ciberseguridad y aquellos que acosan y atacan a los defensores de los derechos humanos.

Dark Reading se reunió recientemente con Andrews para hablar sobre su trayectoria, los avances que ha logrado hasta ahora en su primera investigación, sus objetivos para el resto de la comunidad y lo que espera de la investigación a largo plazo. A continuación se presentan algunos de los aspectos más destacados de esta ronda de preguntas y respuestas.

Objetivos para la comunidad

Andrews: En realidad, la comunidad constaba de dos componentes. Por un lado, se trataba de apoyar la capacidad de esta comunidad para recopilar, compartir, analizar y utilizar información sobre amenazas digitales a mayor escala que hasta ahora, ya que cuentan con un certificado en su grupo, pero lo que realmente se comparte allí es más bien secundario. No hay tanto material. Esa era la mitad de la propuesta. Y la otra parte de la propuesta consistía en que quería comparar los indicadores de compromiso entre las campañas de desinformación y las ciberamenazas tradicionales, y averiguar si se trata de actores comunes, si existe una infraestructura compartida y cosas por el estilo.

En busca de vínculos entre los malos actores de Internet

Andrews:Quizá haya una periodista que esté ahí fuera haciendo su trabajo, pero que sea atacada por fuerzas oscuras o grandes comunidades en línea, gente que coordina campañas y dice: «No deberías hacer tu trabajo, deberías quedarte en casa». » Y otros terribles ataques de carácter sexista, a veces incluso mucho peores.

Mucho de esto tiene un aire coordinado y poco auténtico. Hay muchas actividades en las que es evidente que alguien ha comprado una red de bots, que alguien está llevando a cabo una campaña de tal envergadura. Y por eso, en este trabajo, desde el principio tengo la sensación de que realmente podría ayudar si pudiéramos empezar a identificar las funciones de mando y control, o simplemente cualquier indicador de lo que está ocurriendo aquí, y ver si eso es algo que podamos hacer para apoyar a estas personas que están siendo atacadas. Y eso no es algo que esta comunidad haya sido realmente capaz de hacer.

Quiero decir que, sobre todo en lo que respecta a Rusia, soy consciente de que allí se utilizan ambos tipos (de técnicas de acoso). Tienen «granjas» con personas reales y, además, también hay elementos más automatizados. Creo que merece la pena seguir investigando el tema y ver qué hay.

La comunidad de derechos humanos a la que quiere ayudar

Andrews:Es interesante describirlo, porque se trata, en el sentido más literal, de una agrupación informal de ONG y personas que trabajan de forma independiente. La gente va y viene de Facebook, trabaja en Google y luego vuelve a trabajar en el ámbito de las ONG. Pero, como ocurre con tantas cosas en el ámbito de la seguridad digital y, en particular, en el ámbito de la información sobre amenazas, a lo largo de los años hemos generado mucha confianza. Todos nos conocimos en conferencias y pensamos: «Vale, esta es una persona de verdad. Confiamos en ella».

Para mí y para mucha gente de esta comunidad, la investigación de las amenazas digitales supone un gran aprendizaje. Simplemente no hay tanta información sobre amenazas, y todo el mundo está realmente interesado en generar más.

Cómo un investigador en alfabetización mediática llegó a la comunidad de hackers

Andrews: Empecé a asistir a las conferencias de Hackers on Planet Earth como un chico cualquiera que había hecho algunas cosas de activismo. Pero empecé a participar y a ir a todas y cada una de las charlas. Escuchaba todas las conversaciones. Y no hay descansos entre las charlas, ni pausas para comer. HOPE sigue siendo, a día de hoy, una conferencia para jóvenes de 18 años. Y hay que recordarles: «Id a dormir, comed algo y daos una ducha». Sigue siendo esa misma conferencia, aunque Emmanuel ya tiene más de sesenta años. Sí, HOPE es una conferencia muy acogedora en la que simplemente puedes aprender algo. Así es como aprendí mucho.

Empecé a dar charlas en la conferencia Hackers on Planet Earth. De hecho, durante un año me colé en la mesa redonda de Matt Blaze. Y Matt y yo somos amigos desde entonces. La verdad es que hemos pasado por muchas cosas juntos. Así que lo hice más bien como algo secundario, al margen de mi doctorado en Pedagogía.

Y experimenté una especie de extraña disociación que me obligó a separar mi trabajo como hacker de mi labor educativa durante mucho tiempo, hasta tal punto que, tras graduarme en el Teachers College, hablé con Renee Hobbs, que es toda una autoridad en alfabetización mediática. Ella echó un vistazo a mi currículum y me dijo: «No veo tu conferencia habitual. No hay un lugar concreto en el que hayas estado». Y es que, en aquel momento, aún no le había contado que llevaba ya diez años asistiendo a la conferencia Hackers on Planet Earth.

Todo eso ocurrió en paralelo, hasta que acepté este trabajo en el Open Internet Tools Project de New America (en 2013) y entonces, por fin, pude unir todas esas piezas.

La Fundación DISARM

Andrews:El verano pasado colaboré con la Fundación DISARM, que está trabajando en la creación de un marco similar al MITRE ATT&CK para comprender la desinformación.

Y me refiero a MITRE ATT&CK, que, al parecer, fue creado por Adam Pennington, a quien conocía de pasada como un tipo cualquiera que estaba en HOPE. No tenía ni idea de quién había desarrollado MITRE ATT&CK. Así que él y yo mantuvimos unas conversaciones estupendas. Me puso al día. Eché un vistazo a MITRE ATT&CK y pensé: «Veinte años en HOPE y entiendo perfectamente de qué va todo esto. Quizá debería dedicarme al análisis de amenazas».

Así que, para mí, es un pequeño salto y un proceso un poco laborioso, pero entiendo en qué consisten todos esos ataques y sé cómo hablar con la gente y utilizar el marco MITRE ATT&CK para decir: «Esta es la razón por la que alguien podría hacerlo». Utiliza esta técnica para modificarla y, a continuación, obtener más acceso y una escalada de privilegios. Es un camino bastante caótico que finalmente me ha llevado a un punto en el que puedo realizar análisis de amenazas.

Actualmente de gira de escucha

Andrews:Sigo haciendo lo que, por el momento, considero una «gira de escucha». Estoy dando por concluida esta parte, por así decirlo. De hecho, también me dedico a la etnografía en el ámbito laboral, porque mi formación es, en cierto modo, también una antropología dentro de la educación, y pienso: «En este flujo de trabajo, en estos procesos de intercambio de información, ¿qué es lo que no funciona para nuestra comunidad? ¿Dónde se producen las interrupciones?» ¿Es así? ¿Se debe a que la gente no tiene las habilidades necesarias? ¿Se debe a que les falta tiempo? ¿Se debe a que la gente no tiene acceso? ¿Se debe a la falta de confianza?» Así que intento averiguar qué hay que hacer al respecto.

Los retos de Intel en materia de derechos humanos

Andrews: No tenemos un perímetro de red, ya que se trata de toda una serie de organizaciones aleatorias. Nos llegan noticias de laboratorios de análisis de amenazas locales en países como los de Sudamérica, a los que a veces acude algún periodista y puede dejarnos su teléfono, al menos el tiempo suficiente para que le hagamos una foto y podamos realizar el análisis.

Pero, en la mayoría de los casos, hay lugares en el mundo en los que algunas de las personas que acceden a la red con algo sospechoso en su dispositivo solo tienen un dispositivo para toda la familia y su sustento depende de él. Por eso no puedes dejar el dispositivo aquí durante un tiempo. Además, solo hay un número limitado de personas (en la comunidad) que saben cómo hacer algo así.

Otro de nuestros retos en materia de comunicación era el carácter informal de los canales de comunicación. Imaginemos que hay un grupo de periodistas sirios que documentan atrocidades en la calle y lo hacen en Facebook, y entonces Facebook dice: «Esto incumple nuestra política sobre contenido violento». Y lo retira. Y los periodistas sirios dicen: «Por favor, no lo borren. Se trata, de hecho, de una documentación de crímenes de guerra».

Así pues, la mayor parte de lo que ha ocurrido y la mayoría de los canales para solucionar el problema se han basado en personas concretas. Eran informales. De hecho, la semana pasada asistí a una sesión realmente buena en la que participaba alguien de Apple, lo cual fue estupendo, y ella comentó: «Estamos trabajando para formalizar este tipo de vínculos con la sociedad civil, y la forma en que lo hacemos se basa, de hecho, en nuestro programa de recompensas por errores».

Hacia un mejor OSINT

Andrews: Tengo la sensación de que quizá falte cierto grado de trabajo de inteligencia de fuentes abiertas (OSINT). Hay organizaciones que se dedican a ello. Hay algunas realmente buenas. Mi favorita actualmente es el Global Disinformation Index, que recopila una gran cantidad de información sobre cómo los anuncios financian, hasta cierto punto, sitios web que incitan al odio, y luego lleva a cabo campañas específicas que se centran realmente en el dinero. Y luego, básicamente, he elaborado una tabla —porque las hojas de cálculo son mi «lenguaje del amor»— con todo tipo de conjuntos de datos que podríamos utilizar para analizar la situación.

Lo que oigo decir a la gente es que hay problemas con las estructuras de información y la puesta en práctica de este tipo de cosas. Al final, me centraré en este proceso. Ya estoy colaborando con un grupo de personas que, en su mayoría, se dedican exclusivamente a un flujo de trabajo de triaje que tenemos. Es algo así como una página web en la que la gente puede decir: «Oye, tengo algunos problemas». Y les enviamos un proceso con el mensaje: «Haced esto y luego poneros en contacto con estas organizaciones. Es posible que puedan ayudaros».

Trabajo con ellos en su flujo de trabajo de documentación y les ayudo a aclarar la siguiente cuestión: «¿Qué datos deben recopilar para comunicárselos a las personas que quieren ayudarles?». Como pueden ver, trabajo en muchas frentes a la vez.