El 8 de noviembre del 2012, el General David Petraus, Director de la CIA, renunció a su cargo debido a múltiples acusaciones relacionadas con infidelidad a su esposa y traición a la patria. Pese al mórbido cubrimiento que hizo la prensa de la época de los hechos, hay sin embargo un detalle poco conocido, relacionado con un incidente infosec. El objetivo de este breve artículo es precisamente analizar los aspectos de seguridad del así llamado "dossier Petraus".
Una nota Aclaratoria
Recientemente se cumplieron más de diez años desde el escándalo y la posterior renuncia del oficial que motiva este texto. Debido a que detrás de los hechos hubo un incidente de seguridad de información, se pretende en este texto analizar los hechos y discutir desde el punto de vista de las prácticas infosec qué sucedió. No se trata en ningún momento de comentarios moralistas al comportamiento de un oficial del ejército particularmente exitoso que dedicó buena parte de su vida a servir -casi ejemplarmente- a su país. No se trata tampoco de un análisis de los aspectos de gestión de seguridad de la información de una organización como la CIA. Se trata en realidad de una reflexión acerca de las dificultades que tienen las organizaciones y sus líderes manejando aspectos de seguridad de la información.
Una carrera militar muy distinguida
El General Petraeus condujo una carrera militar muy distinguida.
David Howell Petraeus inició su carrera militar en 1974 en la Academia Militar West Point donde se gradúo B.S. con honores. Posteriormente fue a Fort Leavenworth donde se graduó en 1983 con la medalla «Marshall» por haber obtenido el promedio académico más alto de su promoción. Después de su graduación sirvió ejemplarmente en el Ejército de los Estados Unidos por más de 37 años en asignaciones en diferentes países del mundo y especialmente en Oriente Medio en Afganistán e Iraq, hasta alcanzar el más alto grado militar del Ejército de los Estados Unidos: «General cuatro estrellas», como comandante del USCENTCOM (U.S. Central Command).
Hijo de meritorios militares, casado con la hija del General Knowlton, realizó una meteórica carrera militar en el Ejército, plena de condecoraciones, desde resultados operacionales hasta en temas de doctrina hasta que el 30 de Junio del 2011 el Presidente Barack Obama nominó a Petraeus como Director de la CIA y fue ratificado unánimemente por el Senado en su totalidad. Renunció así a su carrera militar en el Ejército con los más altos honores y asumió como Director de la CIA el 6 de septiembre del 2011, hasta su renuncia, en medio de un sonado escándalo el 9 de noviembre del 2012.
Los hechos y el escándalo
El general Petraus conoció a la periodista militar Paula Broadwell en un evento social en Harvard en el año 2006. En este evento social surgió la idea de escribir una biografía sobre la distinguida carrera militar del General Petraus. Esta idea llevó al libro «All In: The Education of General David Petraeus», hoy en día en venta, para cuya elaboración se reunieron repetidas veces la periodista y el General.
En algún momento de estas reuniones narra la revista Time ("Nation: National Security: Spyfall nov 2012 ") que los dos adultos de manera consensuada decidieron llevar una relación afectiva clandestina, que se prolongó hasta después del nombramiento de Petraus como Director de la CIA.
Por otro lado, el General Petraus en su carrera militar tuvo repetidas oportunidades de combatir el grupo terrorista Al-Qaeda. Pese a su orientación al fundamentalismo islámico, este grupo utilizaba masivamente el correo electrónico como herramienta tecnológica de comunicación. Sin embargo utilizaba el correo con una variación importante: cada célula terrorista -de alrededor de 10 militantes-, utilizaba una única cuenta de correo electrónico en gmail con un único password compartido entre todos los miembros de la célula.
La idea es que cada vez que un militante de la célula deseaba comunicarse con la célula, entraba a la cuenta compartida de gmail, escribía el mensaje y lo salvaba como borrador (draft). Posteriormente los demás integrantes de la célula, entraban también a la cuenta compartida, revisaban los mensajes en draft y contestaban a su vez con nuevos mensajes también en draft, de manera que en ningún momento hubiera un ’desplazamiento’ de mensajes entre cuentas de correo electrónico, que pudiera interceptar la CIA.
Con todo lo simple del procedimiento, al parecer esta ingeniosa técnica le daba a Al-Qaeda la seguridad requerida para coordinar operaciones entre los militantes de la cédula. Esta última afirmación -concedo- puede ser debatible y en general invito al lector a reflexionar acerca de ella, toda vez que, de todas maneras, la información está almacenada en los servidores de Google®.
El punto es que el General Petraus para coordinar sus encuentros amorosos con Paula Broadwell decidió utilizar las mismas técnicas de comunicaciones que utilizaba su rival Al-Qaeda.
De manera que el General y Paula crearon una cuenta común en gmail en la cual uno escribía un mensaje y lo salvaba en draft y luego entraba el otro contestaba el mensaje y borraba luego el primer mensaje. De esta manera si la esposa del General por alguna razón revisaba su correo electrónico, no encontraría ningún mensaje almacenado, ni entrante o saliente.
Fácil y sencillo... y quizás, a prueba de esposas desconfiadas.
Un error de cálculo
Sólo que el General Petraus quizás no tuvo en cuenta la naturaleza pública de su trabajo como Director de la CIA y la naturaleza un tanto ’mojigata’ y ’moralista’ de la sociedad Norteamericana.
Mientras en otros países como por ejemplo Francia, la infidelidad marital del primer Ministro es una institución celebrada socialmente con decenas de años de historia y detalles ’pintorescos’, en USA el mismo hecho, puede ser severamente juzgado y criticado.
Por alguna razón, que no viene al caso comentar, el General y Paula decidieron terminar su relación sentimental. Muy respetuosamente y de común acuerdo borraron la cuenta de gmail que venían usando y la vida continuó: Petraus a su hogar y su trabajo como Director de la CIA, Paula Broadwell a su trabajo como periodista y su rango de Teniente Coronel del Ejército.
Algún tiempo después, Paula Broadwell emprendió una nueva relación, también con un hombre casado. Solo que esta vez su nueva pareja no tenía entrenamiento anti-terrorista con Al-Qaeda como Petraus y simplemente intercambiaron mensajes de correo electrónico con Paula sin ninguna prevención de dejar mensajes en draft para luego borrarlos.
Sin entrar en los detalles escabrosos del asunto, la esposa del nuevo amante de Paula revisó el correo electrónico de su esposo, encontró los mensajes y decidió reclamarle directamente a Paula Broadwell, la intromisión que la amante estaba realizando en su hogar.
Al parecer hubo una conversación telefónica bastante difícil en la que las dos mujeres intercambiaron comentarios quizás agresivos acerca del esposo y el rol de Paula en un hogar establecido.
Algún tiempo después de terminada la conversación telefónica, la esposa engañada empezó a recibir correos electrónicos que en su momento percibió como amenazantes, por lo tanto contactó al FBI por protección y ayuda.
El agente Frederick Ward Humphries II tomó el caso y con los recursos tecnológicos del FBI rastreó el origen de los mensajes amenazantes a la esposa engañada, cuya fuente dio naturalmente el computador de Paula Broadwell. Humphries procedió entonces a hacer un análisis forense de ese computador y en él encontró una cookie vieja y olvidada que apuntaba a una cuenta de correo en gmail ya cerrada y borrada desde hacía algún tiempo.
El FBI en su investigación forense y de acuerdo con la solicitud del Juez del caso, le solicitó a Google® la entrega de toda la información asociada a esta cuenta de correo (subpoena) gmail ya borrada. Google® obedeciendo la orden de la corte entregó metadata y mensajes. La metadata incluía direcciones IP asociados a la CIA, lo cual inmediatamente despertó toda clase de inquietudes de las actividades de contrainteligencia del gobierno Federal.
Los mensajes incluían detalles íntimos de la relación amorosa del General Petraus y Paula Broadwell, además de algunos otros mensajes -muy llamativos e indiscretos de naturaleza seguridad nacional de uso reservado de la CIA y que inexplicablemente el General Petraus compartió con su amante.
Toda la información del escándalo se filtró a medios y revistas del corazón, quienes por varios días no se detuvieron hasta que el General Petraus decidió renunciar a su cargo (https: //nypost.com/2012/11/11/petraeus-mistress-sent-harassing -e-mails-to-woman-who-threatened-relationship-sources/, https://www.nytimes.com/2012/11/10/us/citing-affair-petra eus-resigns-as-cia-director.html).
El General Petraus fue judicializado después de la renuncia y su proceso legal avanzó por un par de años, sin resultados claros de la parte acusadora y de la parte defensora, hasta terminar en abril del 2015 cuando el General aceptó cargos por mal manejo de información clasificada con una sentencia de dos años de detención domiciliaria sin cárcel y una multa de US$100,000= (https://www.washingtonpost.com/world/national-security/petraeus-set-to-plead-guilty-to-mishandling-c lassified-materials/2015/04/22/3e6dbf20-e8f5-11e4-aae1-d64 2717d8afa_story.html).
Un Análisis Breve
La primera enseñanza, y la más sencilla de dilucidar, tiene que ver con que la información digital nunca muere... Hace 30 años los registros de una relación íntima como cartas o fotos irían desapareciendo con el mismo deterioro con que se deteriora el papel. Pero la información digital se conserva intacta independientemente de los años que pasen... por ponerlo en una frase de estilo Shakespeare diríamos Ghosts from your digital past will come back to haunt you....
La segunda enseñanza que podemos obtener tiene que ver con la dificultad que tenemos los humanos al realizar análisis de riesgos de seguridad de la información. Claramente el recurso de la cuenta gmail compartida pudiera ser suficiente para proteger la relación sentimental entre dos personas comunes. Pero el General Petraus no era una persona común, además de ser esposo y hombre de hogar, era el Director de la CIA y por lo tanto blanco de no sólo un montón de enemigos en todo el mundo, sino que también es vigilado por el FBI y sus áreas de contrainteligencia.
Desde el punto de vista de seguridad de la información y análisis de riesgos, el General Petraus equivocó completamente su adversario. Al usar cuentas compartidas en gmail podemos ver que el General pensó que su adversario era su esposa, cuando en realidad su adversario terminó siendo el mismísimo FBI y claramente el FBI tiene más recursos legales y de informática forense que cualquier posible esposa celosa.
Epílogo
En efecto, muchas veces estas equivocaciones al determinar el adversario las podemos ver en el mundo infosec.
Por ejemplo, sucede cada vez que, digamos que hablamos de un banco, ha identificado una serie de escenarios de fraude originados en empleados desleales o quizás delincuencia común y ha configurado controles adecuados para estos escenarios, para luego descubrir en un momento crítico, que en realidad su adversario era mucho más poderoso, ya que se trataba más bien de delincuencia organizada o de un escenario de ciberguerra en el que el gobierno de un país hostil, trata de destruir infraestructura crítica de la cual el Banco hace parte.
Una situación bastante familiar... Basta con recordar que las ciber-armas Petya / NotPetya (https://en.wikipedia.org /wiki/Petya_and_NotPetya) fueron desarrolladas por grupos de hacking vinculados al gobierno Ruso y utilizadas contra Ucrania como preludio a la invasión. Sin embargo, múltiples organizaciones a este lado del atlántico fueron víctimas de Petya y sus variantes... sin tener nada que ver con los temas de geopolítica de Europa oriental, solo fueron víctimas de daño colateral en el fuego cibernético cruzado del mar negro.
De la misma manera puede estar sucediendo con los escenarios de riesgos basados en ataques de computación cuántica. Es posible que muchas organizaciones hayan planteado sus escenarios de riesgos y protección basados en adversarios locales corriendo computación clásica, para enfrentarse que ’el terreno de juego’ cambió recientemente y ahora sus adversarios pueden surgir de más allá del mar Báltico o del mar Negro y cuentan con la capacidad de procesamiento fantasmal asociada al mundo cuántico.
En efecto, mucho se habla en el mundo del hacking de las técnicas "harvest now, decrypt later", que permiten almacenar ahora mismo información cifrada sensible, para luego romperla cuando haya disponible hardware comercial cuántico en la nube. Estos son los retos de ’cambio de adversario’ que enfrentan los practicantes de la disciplina de seguridad de la información en las organizaciones.
Si deseas tener siempre a la mano el artículo escrito por Milton Quiroga, te invitamos a descargarlo, compartirlo y comentarnos qué opinas al respecto.
*La imagen usada en esta nota fue tomada de https://en.wikipedia.org/wiki/David_Petraeus, adhiriendo estrictamente a los criterios de fair-use