lunes, 15 de enero de 2018

Como hackear unas elecciones. El caso del Referéndum catalán [Parte III: 1 de Octubre]

******************************************************************************
*******************************************************************************

Eran las 8 de la mañana, la votación comenzaba. Con el trabajo que se dieron lo informáticos no relacionados con el Gobierno, todo parecía que iba a salir bien-informáticamente hablando-. Parecía que nada iba a suceder, pues después de 1 mes de innumerables ataques informáticos, era el día de la votación y tenían los medios para votar ¿Qué podría salir mal?


Se abría la votación y...muchos de los colegios electorales estaban sin Internet. La Red Telemática Educativa de Cataluña que conectaba colegios y gestionaba Telefónica estaba caída, había dejado de funcionar.



No, no fueron hackers rusos los responsables de los ataques. Eso fue lo que se trató de vender, pero no fue así. Pero encima, a las 8:30 horas de la mañana del 1 de octubre, los operadores españoles ya bloqueaban la web de la votación. Esto iba de mal en peor.

Aunque claro, lo que bloquean es el nombre de dominio, haciendo que ese nombre de dominio no se asocie con ninguna dirección IP, pero sí que podrían usar la web de la votación si se accedía por su IP en lugar de su nombre de dominio. Esa dirección IP tenía que aportarse a todas las mesas electorales, que son las que se encargaban de registrar quién votaba de manera informática. No obstante, aquí se abre otro problema, y es que en el momento en el que se enviase la dirección IP, la atacarían para que no esté operativa y detener así la votación ¿Cómo decir a qué IP conectarse si la IP tenía que ser secreto? Un IP para toda Cataluña, la cosa se pone interesante.

La solución fue utilizar un proxy repartido por todo el mundo. El primero de ellos estaba alojados en Amazon y la juez se dio prisa para pedir que se bloquease esa dirección IP. La Justicia es lenta para lo que quiere. A pesar de esto, se cree que el requerimiento no llegó a tiempo.

Ahora otro problema, para conectarse al proxy se necesita Internet, y como he dicho antes, a las 8 Internet se había caído. La solución a esto es tan sencilla como utilizar los móviles y compartir wifi con los ordenadores de las mesas. Según me he podido informar, se cedieron muchos ordenadores, tablets o móviles, además de las peticiones que se hacían desde las mesas para que pusieran en modo avión sus teléfonos móviles para evitar problemas en la red.

El proxy salió a la luz y, al parecer, se utilizó forocohes para realizar desde ahí ataques de denagación de servicio. Caía el servicio, se volvía a levantar y desde forocoches se volvía a filtrar las direccions IP y las atacaban. Era un pilla pilla constante.

Pero ¿Cómo se enteraba tan rápidamente forocoches de las direcciones IP? Muchos expertos  de la Fundación Quirium aseguran que se debía a que muchos usuarios publicaban las direcciones IP de forma inocente en Twitter con la intención de dar a conocer las direcciones IP de los equipos de la votación. La otra opción es que las operadoras detectasen el tráficos de las aplicaciones de las mesas electorales y conforme detectaban las IPs, bloqueaban. La última opción es la de posibles infiltrados en las mesas electorales, algo que se sabe que pasó, que un estudiante consiguió hacerse  pasar por vocal de una mesa y pedir las credenciales de su mesa ficticia y registrar el voto de personas, siempre y cuando esa persona no hubiese votado ya.

La forma en la que consiguió esto fue muy inteligente, pues aprovechó que había desconcierto y que muchas mesas no tenían IP o sus servicios caían y llamaba a un número de teléfono que se asignaba a las mesas para que llamasen en caso de fallo. Se ve que ese número se filtró por Twitter, el joven llamó diciendo algo como:

"Buenas, soy del colegio X, no me permite entrar a la web para registrar las votaciones ¿Me podríais asignar unas nuevas credenciales o restaurarme las antiguas?"



Esto lo decía porque la web donde se registraba quién votaba, se requería del identificador de la mesa y la clave de la mesa. El chaval iba preguntando por esos datos y finalmente se los dieron, por lo que pudo crear una mesa electoral falsa y registrar las personas que votaban sin tener ni un solo ciudadano delante. Pero ojo, aquí hay varios matices a tener en cuenta:

  1. Solamente podía registrar la persona que votaba si esa persona NO HABÍA VOTADO ANTES. Nada de la propaganda esa que se distribuyó de que la gente votaba dos veces. No, solamente podía registrar el voto si la persona no había votado.
  2. Como he dicho, registraba el voto en base al DNI [Que no es complicado obtener DNIs haciendo búsquedas con dorks en Google], pero nada de qué votaba cada persona. Registraba la persona que votaba, no lo que votaba, por lo que sería estúpido que un independentista se aprovechase de este fallo para registrar votantes, pues registraría que Pepe ha votado, pero no se registraría su voto, por lo que saldrían perdiendo.
¿Vosotros os imagináis la siguiente situación?

Imaginad que yo soy independentista y como sé de seguridad, me aprovecho de esto para crear una mesa falsa y registrar los votos de mi familia. Por poner nombres, registro el mío, el de mi madre {la llamaré mamaota}, el de mi padre {papaote} y el de mi hermana {hermanita}. Hago esto creyendo que además de la persona que vota, registro también su voto como un "Sí" y así cuando ellos vayan a votar, se les registre el voto aún así y sea un voto doble por cada miembro de mi familia.

Pero eso no pasaría ya que, para empezar, la web permitía registrar el votante si el votante no había votado ya. Pongámonos que registro el voto de mi familia, pues bien, cuando ellos quieran votar, les dirá el sistema que ya han votado.

Anonymous no tardó en aparecer y mostró su enfado con los ataques que se estaban realizando desde Forocoches atacando a la web.


Y contra todo pronóstico, se pudo votar. Una idea pudo frente a la autoridad. Una idea pudo frente a la represión. Porque eso es lo que pasa cuando tratas de educar o gobernar en base al miedo, cuando se termina el miedo se termina el respeto, pues no se ha enseñado a respetar, se ha enseñado a callar.

¿Hackeamos el Mundo?

No hay comentarios:

Publicar un comentario

Related Posts Plugin for WordPress, Blogger...

Entrada destacada

El server me sabe a poco.

Soy un fanático del Rock y de Debian . (Creo que voy a inventar Rockbian, que suena bien y todo xD) Llevaba tiempo queriendo unir estos 2 c...