Investigadores con humor: hackean un terminal de pago de tarjeta de crédito para poder jugar Tetris en él


Leemos en El Reg que investigadores del Reino Unido han logrado manipular un terminal de cobro de tarjeta de crédito «supuestamente inmanipulable» y lo han programado para que haga algo tan vistoso como… partiditas de Tetris.

(lo del Tetris por supuesto es lo de menos, lo fuerte es que se puedan reprogramar. ¿Con qué cara le das tu tarjeta de crédito al camarero ahora que sabes que puede reprogramarse para, por ejemplo, añadir tres ceritos al importe que tú ves y apruebas en la pantalla?)

Actualización: A través de un comentario de menéame leo en la fuente original que los ejecutores del experimento en realidad destriparon el dispositivo y le cambiaron la electrónica interna para poder tomar control de la pantalla y el teclado. Advierten que el sellado a prueba de manipulación del dispositivo solamente evita que la transacción de pago se lleve a cabo, garantiza que una vez abierto este tipo de terminal queda inutilizable para comunicarse con el banco, pero desde luego no evita que alguien convierta uno de estos cacharros en un recopilador de números de tarjeta de crédito y números PIN.

Actualización 2: Corrección que veis más arriba, gentileza de David Lozano a través de un comentario a este post.

¿Base de datos policial con ADN en España?

Igual que Versvs, me he enterado gracias a Pululante de que se está planeando la creación de la base de datos de ADN en España. Recientemente comentamos aquí el desarrollo de la británica, iniciada en 1996, y que ya contiene muestras de tres millones y medio de ciudadanos y residentes de ese país.

Bien, pues resulta que quieren aquí está la rueda de prensa (8 septiembre 2006) en que se explicó el anteproyecto de Ley de Conservación de datos de las Comunicaciones y reestructuración del Ministerio del Interior.

Allí se lee:

El primer Anteproyecto es un Anteproyecto de Ley de Bases de datos policiales sobre identificaciones obtenidas a partir del ADN, que ahora empieza su recorrido por el Consejo General del Poder Judicial y la Agencia Española de Protección de Datos. La utilización del ADN, como saben, para identificar posibles delincuentes ha acreditado su éxito en países de nuestro entorno y aquí también, incluso en nuestro propio país. Ahora ofrecemos un marco jurídico para poder esclarecer delitos con ayuda de esta prueba de forma más regulada y mediante la creación de bases de datos.

En el foro del Partido Pirata hay un hilo de discusión sobre el tema, y esta ha sido mi participación (hasta el momento) en él.

El caso británico demuestra que esto es funesto

No os confundáis, es lo de siempre. Esta iniciativa también nos la quieren colar en nombre de la seguridad, y citando ejemplos de aquello que si te niegas a ella pareces un monstruo o un descerebrado o ambos («solo se va a usar para investigaciones de violaciones, para crímenes con violencia, etc»). En realidad quieren tener un registro de TODOS los que vivimos aquí, tenernos «fichados» a través del DNI y tener nuestras huellas no les resulta suficiente, ahora quieren más datos, más información biométrica… y la pieza de identificación definitiva, el ADN.

Para ver por dónde van los tiros siempre es bueno ver lo que se está haciendo fuera. En el Reino Unido esta base de datos de ADN existe desde 1996, la inició la administración Blair «de tapadillo» sin que se enterara nadie, hoy en día ya tiene restrados al 5,4% de la población, eso son TRES MILLONES Y MEDIO DE PERSONAS, y se estima que próximamente esta cifra alcanzará el VEINTICINCO POR CIENTO de los residentes en Gran Bretaña. El ritmo es bueno: recogen 40.000 nuevas muestras al mes.

¿Cómo es esto? Bueno, cualquier persona detenida por cualquier motivo (el asesinato más bestia imaginable, o que te pillen al volante en el control con una escasa cerveza de más) está obligada a donar su muestra. Los testigos y víctimas de crímenes pueden donar su ADN de forma voluntaria para la investigación en curso, PERO NO HAY MANERA DE EXIGIR QUE RETIREN TU MUESTRA DE ADN UNA VEZ CONCLUIDA LA INVESTIGACIÓN. Como podéis ver, esto va en serio.

Encima el proceso es discriminatorio. Seguro que sabéis mucho más que yo de estadística, y sabéis que si se toma una muestra de tamaño suficiente de una población, esa muestra debe ser representativa de la población a la que representa (porcentaje de hombres, mujeres, distribución de edades, niveles educativos, etc). Bueno, pues en el caso de la base de datos de ADN británica esto no sucede, es decir, es una muestra sesgada, que tiene sus desequilibrios: hay registrado un mayor porcentaje de hombres que de mujeres, y hay muchos más miembros de ciertas comunidades étnicas. Esta inclusión hace a las personas que corresponden a esos perfiles, sospechosos. No sé si habéis tenido el gusto de vivir en el extranjero y sentir ataques o discriminación racista, en caso afirmativo sabréis que toca la moral bastante.

¿Para qué querrá Blair tener el ADN de toda la población? Si queréis un ejemplo de hacia dónde van los tiros, mirad lo que dijo a finales de noviembre: su intención es que se firme un nuevo «contrato social» entre la ciudadanía y el Estado. Si el ciudadano no se porta bien, el Estado no va a cuidar de él. Ejemplo explícito de Blair: si una persona no se pone a dieta y pierde peso, no se le opera de la cadera. Si unos padres quieren seguir mandando a sus hijos a la escuela pública entonces se les obliga a que le ayuden a hacer los deberes al niño, si no lo hacen, pierden el derecho. Ay de ti si fumas y tienes un infarto, porque te vas a morir en la puerta del hospital sin ser atendido. Palabras del señor Blair, no mías.

¿¿Os imagináis qué podría hacer ese gobierno con el ADN de toda la población, sabiendo quién tiene probabilidad de contraer cuál enfermedad, por ejemplo?? ¿¿Os dais cuenta de la magnitud del debate ético que se abre con todo esto?? ¿¿OS DAIS CUENTA QUE SE ESTÁN MONTANDO ESTAS BASES DE DATOS DEL ADN DE TODA LA POBLACIÓN «DE PUNTILLITAS» Y SIN QUE SE PRODUZCA ESE DEBATE ÉTICO??

Espeluznante, ¿verdad? y eso que ni siquiera he dicho qué podría hacer un gobierno autoritario con semejante cantidad de información de la población. No he mencionado que las democracias en las que vivimos hoy en día son una anomalía histórica que ha durado apenas 200 años y que muchos opinan que van a desaparecer a favor de regímenes más autoritarios y controladores. Y NI SIQUIERA HE RECORDADO QUE EL SEÑOR HITLER ACCEDIÓ AL PODER A TRAVÉS DE UNAS ELECCIONES DEMOCRÁTICAS.

Yo lo tengo clarísimo. NO CON MI ADN.

Saludos.

Más sobre el tema:
http://lavigilanta.blogspot.com/2006/11/la-base-de-datos-de-adn-britnica-pronto.html
http://politics.guardian.co.uk/publicservices/story/0,,1955872,00.html

México y Barcelona, a la vanguardia en la implantación de chips a personas

Artículo de «la vigi» publicado en el periódico mexicano «El Azotador».

México y Barcelona, a la vanguardia en la implantación de chips a personas

México y Barcelona tienen el dudoso honor de ser las ciudades de referencia en la lastimosa práctica de implantar chips a seres humanos.

En marzo del 2004, en la autoproclamada capital europea de la diversión, Barcelona, la discoteca Baja Beach Club anunció un nuevo servicio a sus socios y clientes más asiduos: la posibilidad de implantarse en el brazo un chip de identificación que también hace las veces de tarjeta-monedero para así disfrutar de ventajas como entrar directamente sin hacer cola y pagar las copas solamente acercando el brazo a la caja. El primero en implantarse el chip fue el dueño de la discoteca, Conrad Chase, y dicen las malas lenguas que el fortachón individuo prácticamente se desmayó de la impresión al recibir el tremendo pinchazo – el chip, más grande que un grano de arroz, se implanta mediante una inyección.

También en 2004, en México, el entonces Procurador General de la República, Rafael Macedo de la Concha, anunció que para mejorar la seguridad de los accesos a documentación confidencial, se iba a proceder al implante de chips a los empleados de la Procuraduría que requiriesen acceso a los archivos donde se guarda dicha información, en total 18 personas incluyéndose a sí mismo.

Pero, ¿qué es esto del chip implantado en el brazo? ¿Para qué se utiliza habitualmente? ¿Para qué sirve? ¿y qué problemas puede dar?

Desde hace ya una década se está desarrollando una nueva tecnología llamada RFID (identificación por radiofrecuencia), que consiste en un chip que contiene información y que puede ser leído a distancia. Parecería que es lo mismo que un código de barras como los que se encuentran en los productos en el supermercado, pero en realidad es muy diferente. Un código de barras no es más que eso, un número codificado mediante unas barras verticales que se pueden leer con un dispositivo láser, el lector de código de barras, si logramos que el rayo pase por encima de las barras verticales. Un chip RFID en cambio puede guardar muchísima más información que un simple número (podría guardar su nombre, dirección, teléfono, y hasta una fotografía suya) y además con el lector adecuado se puede acceder a su información a varios metros de distancia.

En principio se pensaba utilizar esta tecnología para sustituir a los códigos de barras en los supermercados, pero como ustedes bien saben, desde el 11 de septiembre del 2001, con la excusa de la guerra contra el terrorismo, los gobiernos se han dedicado con ahínco a idear maneras de controlar la libertad de expresión y de movimiento de sus ciudadanos, y el marcar a las personas para poder identificarlas en cualquier momento ha sido desde siempre la mejor manera de lograrlo. En este contexto, una empresa llamada VeriCorp vio una tremenda oportunidad de negocio y desarrolló un encapsulado especial para poder introducir el chip en cuestión de manera, según ellos inocua, en seres vivos. El resultado es un chip llamado VeriChip, y tanto el señor Conrad Chase, empresario del ocio nocturno, como Macedo de la Concha, ex Procurador de la República, llevan uno de ellos en sus brazos desde el 2004, el primero por un motivo totalmente frívolo, el no requerir de billetes para pagarse los tragos, el segundo con el ¿loable? empeño de mejorar el control de acceso a información confidencial, pero que sientan un precedente peligroso.

No es solamente al mal trago del pinchazo a lo que se enfrentan los fanáticos de esa discoteca si deciden implantarse el chip, o los 18 empleados de la PGR si desean conservar el puesto de trabajo – por mucho que la implantación fue voluntaria, si tu desempeño requiere acceder a los espacios restringidos a usuarios del chip, ¿qué iba uno a hacer?-. En primer lugar, los implantes de RFID, pese a haber sido aprobados para uso humano por la estadounidense Food and Drugs Administration, equivalente a la Secretaría de Salud, no son inocuos. Contienen vidrio y metal, así que si lleva uno de ellos, olvídese de someterse a estudios de rayos X o a radiaciones como resonancias magnéticas, porque se le puede freír el chip dentro del brazo y quemarle. También existe el riesgo de que el implante, una vez dentro del brazo, se mueva y se coloque quién sabe dónde (esto es serio, pues si el chip se va a niveles más profundos, su extracción no será sencilla sino que requerirá una operación quirúrgica). Sobre el supuesto de que la cubierta de cristal se rompa estando dentro del brazo, algo que sucedería gracias a un inoportuno golpe, no se ha dicho nada tampoco.

Pero hasta eso no es lo más grave. Con un implante RFID como el VeriChip, usted llevaría en el brazo un dispositivo que se encarga de anunciar los datos personales contenidos en el chip a todo aquel que disponga de un lector de dicho chip (estos lectores se pueden encontrar en tiendas de electrónica especializadas por unos cientos de pesos). Piense lo que pasaría si se llegase a una situación en que los implantes de RFID se vieran como “normales y beneficiosos”, y a todos los ciudadanos se nos implantase uno. Verá lo felices que se sentirían en las bandas de rateros si paseando por un centro comercial cualquiera con un aparato electrónico que bien puede asemejarse a un celular pudieran detectar a distancia la presencia de personajes públicos, con un saldo bancario importante, etc. También imagínese lo contentos que estarían los cuerpos de seguridad de un Estado represivo si ese dispositivo electrónico les avisara de la presencia de alguno de los activistas políticos que tienen como misión detener. Los implantes RFID nos conducen de cabeza a un mundo terrorífico en que los ciudadanos estaríamos totalmente desprotegidos ante los malhechores, y ante los abusos que los gobiernos pudieran cometer.

Además, la tecnología RFID todavía no está lista para utilizarse en aplicaciones tan delicadas como la identificación de personas o el control de acceso a zonas restringidas. Científicos de todo el mundo han demostrado, por ejemplo, lo sencillo que es “clonar” (hacer una copia perfecta) del VeriChip. Es decir, si el VeriChip es el único mecanismo de control de acceso a los archivos, entonces el acceso a los documentos confidenciales de la PGR es tan sencillo como seguir en el metro a uno de los 18 funcionarios con implante, hacer una lectura a distancia de su chip, copiar su información a otro chip, e implantar esta copia en otra persona. Sencillo y barato: 20 dólares en equipo electrónico, y los dos pesos del boleto del metro.

Siempre hay que leerse los términos de la licencia

Estoy a medias de reinstalar mi copia de SecureZip y por aquello de hacer lo que recomiendo a los demás, me estoy leyendo los términos de la licencia antes de decir «yes, I do».

Lo que me están preguntando ahora es alucinante:

«The software will not be used for any nuclear activities or for the design, development, production, stockpiling, or use of missiles, chemical or biological weapons. Nor will the software be used at any facilities involved in such activities.»

(Este software no se utilizará para ninguna actividad nuclear o para el diseño, desarrollo, producción, almacenaje, o uso de misiles o armas químicas o bacteriológicas. Tampoco se usará este software en ninguna instalación que desempeñe dichas actividades)

¡¡Repardiez!! ¡¡Como si a los que se dedican a dichas actividades «les diera cosa» no decir la verdad a dicha pregunta!!

Barcelona: Manifestación de 20 personas y 2 pancartas… vigilada de cerca por 7 vehículos policiales

Esta tampoco es inocentada, y no hay enlace porque yo soy la fuente, lo acabo de ver hace 5 minutos (a las 13:00) por la ventana de la oficina.

Por la calle Aragón ha pasado una manifestación de unas 20 personas exigiendo la liberación (si no me falla la vista) de un miembro del colectivo okupa. Siguiéndoles, y en este orden:

1 x coche de la Guardia Urbana
2 x coche de los Mossos d’Esquadra (policía autonómica catalana)
2 x furgonetas antidisturbios de los Mossos d’Esquadra
2 x motos de la Guardia Urbana

Total: 7 vehículos para 20 manifestantes, tocan a 0,35 vehículos por manifestante.

Si hacemos un cálculo estimado de miembros de los cuerpos de seguridad por vehículo:

2 coches x 2 ocupantes = 4 personas
2 furgonetas x 6 ocupantes = 12 personas
2 motos x 1 ocupante = 2 personas

total: 20 miembros de los cuerpos de seguridad para 20 manifestantes, tocan a 1 policía por manifestante.

Conclusión 1: ¿Por qué no se bajan de los vehículos los mossos y guardias urbanos, caminan justo detrás del manifestante que les toca, y así se reducen los costes del operativo y se ayuda a la lucha contra el cambio climático?

Conclusión 2: En España hay un problema llamado especulación inmobiliaria, que está sometiendo a la economía a fuertes desequilibrios, que vamos a pagar todos con sangre, sudor y lágrimas cuando se demuestre por enésima vez que «todo lo que sube, baja». Todos los poderes fácticos se están dedicando a demonizar por todos los medios posibles los únicos colectivos que critican públicamente esta situación (por un lado el okupa y por el otro la plataforma para el acceso a la vivienda digna), y se hace lo que sea para vender la moto de que son peligrosos. Lo que acabo de ver yo son 4 alternativos cargando con dos pancartas, vigilados mediante un dispositivo policial alucinante. Es impresionante.

Proponen "tapizar" con etiquetas RFID un barrio de Tokyo

Leemos en ComputerWorld que hace apenas unos días (21 de diciembre 2006) arrancó un proyecto para «tapizar» con etiquetas RFID el barrio de Ginza, corazón comercial de la capital nipona.

Proponen instalar 10.000 chips en establecimientos, estatuas y elementos del mobiliario urbano, montar una WiFi que cubra el barrio, y proporcionar lectores en la fase de pruebas. Con este lector, por ejemplo, un visitante despistado podría preguntarle a una farola hacia dónde ir para encontrar la estación del metro más cercana. O al pasar por delante de un restaurante el lector le podría indicar cuál es el menú del día…

… y otras aplicaciones futuras que no nos dicen y que se podrán usar el momento en que todos, todos, llevemos un documento de identidad con RFID emitiendo a los 4 vientos quiénes somos… o directamente implantado en un sitio conveniente y difícil de arrancar.

El plan piloto del proyecto durará hasta el mes de marzo del 2007, y después ya se verá.

Desgraciadamente, esta noticia no es una inocentada.

Redes sociales y privacidad: reflexiones, y un caso real

En Baquía se hacen eco de las declaraciones de Nigel Smart, profesor de informática de la universidad de Bristol, que se pregunta sabiamente por qué nos preocupamos tanto por poner cortafuegos y antivirus para proteger nuestros datos, si luego a través de actividades online de esas que se cobijan bajo el paraguas del término «Web 2.0» los usuarios no tienen ningún reparo en compartir su información personal, publicar sus fotos, sus vivencias, sus ideas, etc. Según el profesor, «la gente abandona su privacidad sin darse cuenta«, y podría costarnos caro, ya que una vez en Internet, es imposible borrar toda esta información.

Y como para dar la razón a este profesor, leo en el periódico inglés Metro que hace dos semanas el encargado de una cafetería en Barrow-in-Furness, Cumbria, noreste de Inglaterra, casi fue linchado por los vecinos del pueblo debido a los comentarios despectivos hacia esa población que el infeliz escribió en MySpace. Afortunadamente, la policía llegó a tiempo y pudo rescatarlo.

El empleado, originario de Newcastle, en el noreste de Inglaterra, tuvo problemas de toda índole desde su llegada a Barrow-in-Furness: le rompieron los cristales de la tienda, le entraban a diario a robar, encima estaba alojado en un hotel no muy cómodo, y le dio por desfogarse en su blog.

Lo dicho: a veces uno se arrepiente de lo que dice, publica o «sube», y es que en Internet por oculto que esté un contenido, «San Google» puede encontrarlo (y además seguro que lo guarda en caché).

En Apple son honestos: en la licencia de uso avisan que no está diseñado para aplicaciones críticas

Estaba leyendo cositas sobre Vista y me he topé con un comentario que mencionaba lo que todos los que nos dedicamos a la informática sabemos, que para aplicaciones críticas de verdad (médicas, de control aéreo, etc) hay que usar sistemas robustos y fiables como UNIX, que usar software diseñado para PCs domésticos no sirve, el de Windows desde luego que no, pero tampoco el Mac OS X de Apple, y es que cada cosa vale para lo que se diseñó: un ordenador de Apple para hacer cosas bonitas de diseño y multimedia, un PC con Windows XP para reiniciar constantemente la máquina (y con Vista para tener en casa un sistema DRM con iconos gorditos).

Y en este punto me he encontrado con algo muy curioso. Mientras que Microsoft malbarta millones y millones de dólares en marketing para hacernos creer lo contrario, Apple es muy honesto al respecto. De hecho, en su acuerdo de licencia para el sistema operativo Mac OS X se puede leer lo siguiente:

«THE APPLE SOFTWARE IS NOT INTENDED FOR USE IN THE OPERATION OF NUCLEAR FACILITIES, AIRCRAFT NAVIGATION OR COMMUNICATION SYSTEMS, AIR TRAFFIC CONTROL SYSTEMS, LIFE SUPPORT MACHINES OR OTHER EQUIPMENT IN WHICH THE FAILURE OF THE APPLE SOFTWARE COULD LEAD TO DEATH, PERSONAL INJURY, OR SEVERE PHYSICAL OR ENVIRONMENTAL DAMAGE.»

(«el software de Apple no está diseñado para usar en la operación de plantas nucleares, navegación aérea o sistemas de comunicación, sistemas de control de tráfico aéreo, máquinas de sustento de la vida, u otro equipo en el cual un mal funcionamiento del software de Apple pudiera traducirse en muertes, lesiones, o daño severo al medio ambiente o físico»).

Ya sé que la cláusula te la obligaron a poner los abogados de la empresa, estimado Steve Jobs, pero de todas formas, me quito el sombrero ante esta muestra de honestidad y sentido común de Apple.

Ya tardaba en salir: dispositivo que incorpora un GPS y un tag RFID

Leemos en Engadget que Fujitsu acaba de anunciar la comercialización de un pequeño dispositivo que incorpora un GPS (para conocer con exactitud la ubicación del elemento) y un tag RFID que opera a una frecuencia de 429MHz, es decir, un tag activo de larga distancia (su contenido se puede leer hasta a 200 metros).

El coste del dispositivo es elevado, 169 dólares por unidad.

Ahora esperamos con emoción el día que se anuncie públicamente que a una persona se le ha implantado dicho dispositivo con éxito. En Spychips (el libro) anticipan que cuando se haga, se implantarán bajo el homóplato, por aquello de que sea difícil de extraer por el ciudadano rebelde que no quiera ser monitorizado.

(Ya se entiende que el extorsionador o secuestrador que atrape a un ricachón con el chip implantado, no va a tener reparos en pegarle una cuchillada y sacarlo como sea. Que no nos digan, por favor, que es por nuestra seguridad).

Tecnologías de la información y la comunicación, libertad individual, derecho a la privacidad. ¿Cómo lograr que los avances en lo primero no afecten negativamente ni a lo segundo ni a lo tercero?