AT&T y Verizon bloquean la publicación del informe de evaluación de seguridad sobre Salt Typhoon

• Las empresas de telecomunicaciones de EE. UU. AT&T y Verizon están impidiendo la publicación del informe de evaluación de seguridad relacionado con Salt Typhoon
• Un senador de EE. UU. señaló que ambas compañías están obstaculizando la divulgación de los resultados de la investigación gubernamental de ciberseguridad
• Se sabe que el informe trata sobre la evaluación de las actividades de Salt Typhoon, un grupo de hackers vinculado a China
• Según se informa, ambas telecos rechazaron publicar el informe por motivos de confidencialidad y seguridad
• Este asunto ha derivado en una polémica en torno a la seguridad nacional y la transparencia de la infraestructura privada de telecomunicaciones

---

Controversia por la publicación del informe de evaluación de seguridad sobre Salt Typhoon

• AT&T y Verizon están bloqueando la divulgación del informe de evaluación de seguridad relacionado con Salt Typhoon
  • El informe incluye una evaluación de las amenazas cibernéticas contra la infraestructura de telecomunicaciones en Estados Unidos
  • Se trata de un documento elaborado a partir de los resultados de una investigación de organismos gubernamentales
• Un senador de EE. UU. criticó a ambas compañías por perjudicar el derecho del público a estar informado y la transparencia en ciberseguridad
  • Se sabe que el informe incluye un análisis de las actividades de Salt Typhoon, un grupo de hackers vinculado a China
• Ambas empresas rechazaron su publicación alegando motivos de seguridad y obligaciones de confidencialidad
  • No se han revelado la base legal concreta ni los detalles específicos

Impacto político e industrial

• Este caso se está ampliando como un debate sobre la seguridad nacional y el alcance de la responsabilidad de las telecos privadas
  • Han surgido cuestionamientos sobre el sistema de intercambio de información entre el gobierno y el sector privado
• También se plantean dudas sobre si el sistema de respuesta a amenazas cibernéticas de la infraestructura de telecomunicaciones es suficiente
  • La no divulgación de los resultados de la evaluación de seguridad podría influir en futuras discusiones de política pública
• Hasta ahora, no se han confirmado el contenido específico del informe ni un calendario para su publicación

[GN⁺]

Opiniones en Hacker News

• Hace tiempo redacté la especificación de la función de intercepción legal (lawful intercept) para un nodo de datos 3G
  El principio central de diseño era una arquitectura que no confiara en la empresa operadora de la red. La razón era proteger a los empleados de la influencia del crimen organizado
  La intercepción se inicia desde la consola LI de la agencia de seguridad pública, y el operador de red no lo sabe. Estaba diseñada para permitir la intercepción de hasta alrededor del 3% del tráfico, y no aparecía ni en los logs ni en las herramientas de administración
  Pero si un hacker compromete la consola LI, por diseño puede extraer de forma precisa cierto tráfico sin ser detectado
  Como varios proveedores suministran el software de la consola LI y usan protocolos estandarizados, incluso si hay un problema es difícil atribuir la responsabilidad
  • Trabajé en el equipo de operaciones de red de una gran telecom en EE. UU., y algunos ingenieros deducían más o menos qué nodos tenían intercepción mediante análisis de flujo de llamadas. No estaba completamente oculto
  • Me pregunto qué es exactamente una consola LI y dónde está instalada
  • Me pregunto si se refiere al sistema RAVEN
• El gobierno obligó a las telecos a implementar funciones de intercepción legal, y luego un actor malicioso abusó de esa puerta trasera exigida por el gobierno. Aun así, que el gobierno hable de seguridad y privacidad es hipócrita. Al final hay que elegir mejores políticos
  • Antes trabajé como consultor de seguridad y me tocó una empresa que fabricaba hardware para intercepción. Era un equipo de caja negra que, con solo instalarlo en la teleco, cumplía los requisitos del gobierno
    Pero en las pruebas de seguridad solo se permitía evaluar la red del cliente, y nos indicaban que jamás tocáramos el producto en sí. Por el nivel de seguridad interna, es muy probable que ese equipo ya hubiera sido comprometido hace mucho tiempo
  • Cambiar a los políticos también importa, pero en el fondo es un problema estructural del gobierno
    1. proponen una ley entendiendo mal el problema → 2) se aprueba pero genera muchos problemas nuevos → 3) luego vuelven a postularse diciendo que van a resolver esos problemas → 4) ciclo infinito
  • La esencia del problema no es la puerta trasera en sí, sino la mala seguridad de las telecos. Los sistemas de intercepción deben existir por ley, pero las grandes telecom son complejas y tienen controles de seguridad débiles
    Ese entorno se vuelve un objetivo principal para hackers estatales, y el caso de Salt Typhoon lo demuestra. Incluso si el sistema de intercepción no fue hackeado, si toman control del enrutamiento de llamadas o del sistema de facturación, el riesgo es enorme
  • No estoy de acuerdo con que el gobierno esté invocando la privacidad. En realidad, AT&T y Verizon están bloqueando la publicación del informe de evaluación de seguridad de Mandiant
  • Me pregunto si todo esto es especulación o algo ya confirmado
• Todo esto es posible gracias a CALEA (Communications Assistance for Law Enforcement Act), aprobada en 1994. Al final, el gobierno tiene que cargar con la ruta de intrusión que él mismo creó. Ya es hora de eliminar este tipo de puertas traseras obligatorias por el gobierno
• Cuando trabajaba en Verizon hace 10 años, vino un equipo externo de seguridad e, igual que así, con una sola consola de Jenkins en Windows tomó control de toda la red en 3 o 4 horas. Así de floja era la seguridad interna
• Ahora mismo, China, varios países y distintos individuos pueden acceder a los sistemas de intercepción de telecomunicaciones
  Y curiosamente, los únicos que no pueden acceder son los usuarios comunes
  Estos sistemas al final solo sirven para recolectar material de chantaje o para manipulación judicial con fines políticos. Con la mensajería cifrada ya tan extendida, esta vigilancia es innecesaria
• Bloquear la publicación de este tipo de informes es un golpe fuerte a la gestión del riesgo sistémico
  Si no se revela la ruta de intrusión, las demás industrias de infraestructura quedan completamente a ciegas. Por proteger la reputación corporativa, terminan sacrificando la seguridad colectiva
  • Hay una entrevista de Cybersecurity Dive que trata vectores de ataque relacionados
• Comparto el enlace al artículo de MSN sin el script de Datadome y el enlace a la versión de texto
  (sorprendentemente, Microsoft lo está sirviendo por HTTP)
  • Me pregunto por qué hubo una regresión de HTTPS a HTTP
• Las telecos no quieren que salga a la luz la puerta trasera que construyeron y su mala gestión
  No solo las operadoras móviles: los ISP residenciales como Comcast, Cox y Charter son todavía más incompetentes. Lo he vivido directamente tras pasar por varias empresas
• Esta situación es un caso de fracaso de EE. UU. al intentar imitar políticas autoritarias
  Sin poder alcanzar a China en seguridad, vigilancia ni capacidad tecnológica, terminó debilitándose por dentro
  La fuga de cerebros provocada por la crisis económica y los despidos masivos se acelera, y eso refuerza aún más la ventaja tecnológica de China en un círculo vicioso
  • La situación actual se siente como si la rivalidad entre EE. UU. y la URSS de la Guerra Fría se hubiera invertido