Qué no poner en una solicitud de autorización de seguridad (1988)

• Cuenta la anécdota de cómo un código secreto creado tras leer un libro de criptografía a los 12 años fue confundido con un caso de espionaje del FBI
• La clave cifrada dentro de un estuche de lentes perdido fue tomada por error como prueba de un espía japonés, y el FBI investigó durante varias semanas
• Tras la investigación, el FBI devolvió los lentes pero conservó la clave cifrada para sus archivos, y el caso terminó como una travesura infantil
• Años después, al escribir en una solicitud de autorización de seguridad que tenía “antecedentes de haber sido investigado por el FBI”, un encargado de seguridad rompió el formulario y le ordenó rehacerlo
• La experiencia muestra de forma satírica que no conviene escribir hechos innecesarios en los formularios de autorización de seguridad

---

El espía e-t-a-o-n-r-i y el FBI

• De niño leyó Secret and Urgent de Fletcher Pratt y experimentó con un sistema de cifrado basado en análisis de frecuencia
  • Junto con un amigo, creó una clave cifrada y diseñó una forma de comunicación que solo ellos podían descifrar
  • La clave era un documento de una sola hoja escrito a máquina, y cada uno tenía una copia
• El autor escondió la clave dentro de su estuche de lentes, pero perdió el estuche de regreso de la playa
  • En ese momento, los lentes costaban 8 dólares, una suma importante para él
• La persona que encontró el estuche pensó que se trataba de un mensaje cifrado de un espía japonés y lo reportó al FBI
  • Era 1943, poco después del internamiento forzoso de estadounidenses de origen japonés
• Tras varias semanas de investigación, el FBI visitó a la madre del autor y confirmó que el sospechoso era un niño de 12 años
  • Explicaron que habían rastreado su identidad a partir del registro de graduación de los lentes
  • El agente expresó su enojo diciendo: “El gobierno gastó miles de dólares en este caso”
• Los lentes fueron devueltos, pero la clave cifrada fue incautada para el archivo del FBI, y el caso quedó cerrado

El incidente de la solicitud de autorización de seguridad

• En la universidad, al ir a trabajar en un laboratorio de investigación electrónica de la Marina, llenó una solicitud de autorización de seguridad
  • A la pregunta “¿Ha sido investigado por el FBI?”, respondió “sí” y escribió: “sospechoso de ser un espía japonés”
• El encargado de seguridad vio eso y montó en cólera, rompió el formulario y exigió que lo rehaciera
  • Le advirtió que “si pone eso, jamás le darán la autorización”
• Siguiendo la instrucción, llenó un nuevo formulario y la autorización de seguridad fue aprobada poco después
• Después de eso, el autor nunca volvió a mencionar ese incidente en formularios de autorización de seguridad

Anécdota final

• Más tarde comenta que, por una casualidad que descubrió después, anotar cierta información llamativa incluso podría acelerar el proceso de autorización
• Sin embargo, deja el caso concreto como “otra historia”
• En conjunto, es una memoria satírica sobre la irracionalidad de los procedimientos administrativos y una cultura de seguridad excesiva

[GN⁺]

Comentarios de Hacker News

• Cuando le entregó los papeles al oficial de seguridad, este les dio una mirada rápida, señaló la pregunta relacionada con el FBI y preguntó: “¿Qué es esto?”
  Cuando le expliqué la situación, se alteró, rompió los papeles y dijo: “Vuelve a escribir esto y no menciones eso. Si no, nunca vas a conseguir la autorización de seguridad”
  Al tratar con el gobierno, es importante “ver las cosas desde la perspectiva del gobierno” — como juego de palabras con Seeing like a Bank, el gobierno clasifica todo en “categorías (bins)”
  El problema es que, aunque el gobierno no refine lo suficiente esas categorías, después responsabiliza a la persona que terminó eligiendo la categoría equivocada

  • En realidad, “Seeing like a Bank” es un juego de palabras basado en el famoso libro “Seeing like a State”. Al final termina siendo casi una referencia circular perfecta
  • El problema siempre es averiguar cuál es el “bin” correcto. Puede que el gobierno no tenga un bin para algo como “investigado por el FBI de niño por una travesura”, pero si mientes terminas en el bin de “persona que falsificó información”
  • Lo peligroso no es solo el riesgo, sino convertirse en alguien “anómalo”

• Incluso en las autorizaciones de seguridad de nivel más alto (según estándares de la OTAN) hay mucha gente que pasa mintiendo
  Pasa sobre todo en las secciones sobre alcohol, drogas, finanzas y parejas extranjeras
  En el ejército hay muchas personas que funcionalmente parecen estar bien, pero en realidad son prácticamente alcohólicas. Mientras no las descubran, les siguen renovando la autorización
  En cambio, la marihuana se investiga a fondo con la más mínima sospecha. En la práctica, mucha más gente pierde la autorización por marihuana que por alcohol

  • Un amigo en Canadá que intentaba obtener una autorización Top Secret dijo en una entrevista con polígrafo cuánto bebía por semana, y le dijeron que incluso un nivel de consumo típico universitario contaba como “nivel de alcoholismo”
  • Al final, lo importante es la diferencia entre lo objetivamente verificable y lo que es culturalmente tolerado dentro de la organización
  • El problema es tal que hasta se dice que el ejército de EE. UU. hoy está dirigido por personas con antecedentes de conducir ebrias sin calificación para ello
  • Suelen decir que a un amigo minimalista conviene regalarle consumibles o experiencias. Pero ese enfoque también sirve muy bien para ocultar sobornos — el alcohol que ya se bebió no deja evidencia
  • Las actuales políticas estrictas sobre drogas surgieron por los problemas de drogas durante la guerra de Vietnam

• Hay un caso interesante sobre cómo obtener rápido una autorización de seguridad — artículo relacionado

  • Es una forma ingeniosa de abordarlo, pero en la práctica parece que eso también podría jugar en contra
  • Gracias a eso terminó siendo una historia mucho más interesante
  • Se siente como una anécdota de Feynman. Quizá tenga que ver con el ambiente de la época
  • Me aclaró una curiosidad que tenía

• Impacta que el oficial de seguridad le aconsejara mentir. Casi con seguridad eso sería un delito grave

  • Algo que a menudo se pasa por alto en los intentos de reemplazar personas por máquinas es que la gente actúa como corrector improvisado de errores del sistema
  • Cuando entré a la Fuerza Aérea, en la pregunta sobre consumo de marihuana nos dijeron “respondan con honestidad, ya sabemos todo”, pero luego nos indicaron que respondiéramos “menos de 5 veces y no me gustó mucho”
  • Considerando el contexto de la época, ese oficial de seguridad quizá en realidad le hizo un gran favor. Si respondía “sí”, habría perdido tanto la autorización como el trabajo de verano
  • Encontrar registros de los años 40 habría sido prácticamente imposible, así que es muy probable que el oficial simplemente haya hecho una evaluación pragmática
    Hoy, con los registros digitales, algo así es casi imposible. De hecho, ocultarlo suele terminar siendo un problema mayor
    Los investigadores suelen ser razonables y, si no se trata de ocultamiento deliberado sino de un simple olvido, normalmente lo entienden
  • En general, mientras no mientas, puedes obtener la autorización. Al final, el encubrimiento es peor que la falta original

• Administraba un BBS por dial-up a finales de los 90, y un verano varios usuarios habituales desaparecieron de repente
  Cerca de un año después, me enteré de que uno de ellos había sido arrestado por hackear un aeropuerto
  Habían estado marcando números de módem al azar y encontraron un sistema sin contraseña; resultó ser el sistema del aeropuerto
  Artículo relacionado

  • Pero en realidad el caso fue mucho más grave: incluso filtraron datos de clientes de farmacias. No era solo “entrar a un sistema desconocido”

• Se presenta un texto de 1988 en el que el veterano científico de la computación Les Earnest recuerda una travesura de cuando tenía 12 años
  Wiki de Les Earnest

• Me sorprendió enterarme de que es dueño del dominio milk.com

  • Si ves la página milk.com/value, el encabezado del servidor aparece como “lactoserv”
  • También tenía una página donde contaba que una vez rechazó una oferta de varios millones de dólares
  • Es casi tan genial como ser dueño de ai.com
  • Casualmente, en este podcast de NPR que escuché ayer también hablaban del valor de milk.com

• Esta historia ya había aparecido antes en otro texto, y dicen que el autor también tuvo después una anécdota sobre introducir el estándar de uso de casco en carreras de bicicleta

• El sistema de autorizaciones de seguridad es un ejemplo clásico de la ley de Goodhart
  Su objetivo original es evaluar la posibilidad de chantaje, pero la forma termina imponiéndose sobre el fondo
  Por eso la gente oculta incluso cosas menores, como haber usado marihuana, y al final eso mismo se convierte en material para chantaje
  Creo que sería mejor contar todo con total honestidad. Si el gobierno ya lo sabe, un gobierno extranjero no puede usarlo como debilidad
  Al final, la burocracia fabrica su propia trampa

  • Aunque digas honestamente que fumaste marihuana en la universidad, no necesariamente te rechazan la autorización. Y aunque la rechacen, existe un proceso de apelación
    El problema son las pequeñas mentiras que la gente usa para ocultar un “consumo reciente”
  • Si dices la verdad, puede que no obtengas la autorización, pero el problema es que existe un gran incentivo económico para mentir y obtenerla
  • En la práctica, puedes poner casi cualquier cosa en el formulario SF86 y no pasa nada. Justamente esa es la idea del sistema
  • Yo también puse en mi SF86 todas las tonterías que hice en el pasado, y el investigador solo quiso confirmar: “¿Ya no harías eso ahora?”
    Si no fue algo de los últimos 3 a 5 años, normalmente lo perdonan. A los investigadores les importa más que no intentes ocultarlo
  • El gobierno debería ir en la dirección de tratar las adicciones de sus empleados en vez de tapar los problemas
    Pero en la práctica se oculta la verdad para poder reportar que “no hay problemas”
    También es ridículo que el espacio para anotar amigos extranjeros sea tan pequeño que casi te obliga a escribir “nadie lo sabe”
    Al final, el gobierno sigue filtrando gente con estándares morales de los años 50, y eso termina aumentando el riesgo de chantaje