PRISM o el sueño del Big Brother planetario hecho realidad

1. m. Geom. Cuerpo limitado por dos polígonos planos, paralelos e iguales que se llaman bases, y por tantos paralelogramos cuantos lados tenga cada base. Si estas son triángulos, el prisma se llama triangular; si pentágonos, pentagonal, etc. Esta es la definición de prisma que podemos encontrar en el diccionario en línea de la Real Academia Española. En inglés, prism. Pero no es de geometría de lo que venimos a hablar en esta entrada, sino de vigilancia y espionaje online. En estos días se conoció por una nota del diario The Guardian que la National Security Agency de los EEUU viene recolectando información electrónica de emails, chat de video / voz, video streaming, conversaciones sobre VoIP, file transfers y varios detalles respecto del uso de redes sociales, es decir, una especie de Gran Hermano electrónico. Este programa, cuyo origen data del año 2007,  es entonces conocido por su nombre en código PRISM.

La historia de este programa puede rastrearse hacia los años '70, donde la comunidad de inteligencia celebró alianzas con hasta cien empresas de tecnología. La NSA llama a las mismas "Special Source Operations" por lo que PRISM cae dentro de esta órbita. En especial PRISM fue lanzado en 2007 para reemplazar al programa Terrorist Surveillance Program que había sido ejecutado en las postrimerías del ataque terrorista a las Torres Gemelas. PRISM fue autorizado por el tribunal federal Foreign Intelligence Surveillance Court (FISC) bajo los términos de la ley Protect America Act of 2007 y su enmienda FISA Amendments Act of 2008. La vigencia del programa fue extendida por el presidente Barack Obama hasta el año 2017.

De acuerdo con el informante William Binney, PRISM es solo otra fuente de información de las que dispone la NSA. Ya tenian acceso a las líneas telefónicas y a los circuitos de fibra óptica, pero como de esa manera no podian acceder a toda la información disponible, PRISM accede directamente a la data de los principales providers de Internet, ya sea a los equipos propiedad de los mismos, sea instalando sus propios dispositivos en forma de backdoor. 

El programa está orientado a vigilar / recolectar todas las mencionadas comunicaciones originadas en el extranjero o de estadounidenses dirigidas hacia fuera de sus fronteras, sin importar si las mismas tienen como destino los Estados Unidos. Esto resulta de una cuestión técnica, ya que el tráfico de Internet está diseñado para "viajar" por la ruta mas eficiente, que no necesariamente significa la mas "corta" en términos geográficos. Y esas eficiencias se dan generalmente cuando la data viaja a través de servidores ubicados en los EEUU, o los proveedores de servicios se encuentran basados en ese país. De acuerdo a la NSA dentro de la recolección / análisis de la información, se trata de evitar investigar a ciudadanos estadounidenses, ya sea de dentro o fuera de tal país.

Las compañías mencionadas en la presentación filtrada por el diario británico negaron terminantemente haber provisto su acuerdo al programa. Desde Facebook hasta Dropbox las empresas dijeron que solamente brindan data al gobierno estadounidense solamente cuando son compelidos judicialmente a hacerlo. De acuerdo a la agencia Associated Press, dichas declaraciones fueron cuidadosamente elaboradas con el fin de ser técnicamente adecuadas para que no se pueda determinar a ciencia cierta cuanta información fue recolectada. Para la agencia Bloomberg, en tanto, resulta "imposible" que las empresas no supieran del programa y su finalidad. Es mas, el mismo gobierno estadounidense confirmó la participación de las empresas, mediante el director de la NSA.

Si bien a prima facie pareciera que el programa no nos afecta en nuestra uso diario de Internet, no es tan asi. A modo de ejemplo, imaginemos la siguiente situación: tenemos contratado un servicio de televisión por cable que también nos ofrece el servicio de telefonía IP, el cual se basa en la metodología VoIP. Usamos el mismo para llamar a una persona dentro del territorio nacional (es indistinto si la persona está dentro de la red VoIP o tiene un servicio de telefonía clásico). Esa comunicación puede estar siendo monitoreada en tiempo real por la NSA. Claramente es violatoria de derechos consagrados en nuestra Constitución Nacional como la inviolabilidad de las comunicaciones - art. 18 o la privacidad de las personas - artículo 19;  asi como de otras leyes tales como la 25326 de Datos Personales. Por supuesto que sería muy difícil pretender litigar en los EEUU por la afectación a tales derechos, en relación con los costos y el tiempo que llevaría hacerlo. Pero ¿cual es la responsabilidad de las empresas involucradas en relación con nuestros datos? ¿Acaso no serían responsables de haber permitido voluntariamente el acceso a nuestros datos a terceros no autorizados? ¿No implicaría, al menos, una responsabilidad de tipo civil? Preguntas que no tienen respuesta simple, pero que deberemos analizarlas a la luz de este tipo de "iniciativas" que claramente afectan nuestros derechos en tanto ciudadanos. Y para cerrar, volviendo al principio, podemos ver que también se define a prisma como punto de vista, perspectiva. Es lo que no debemos perder, la perspectiva de estar alertas y defender nuestros derechos en tanto ciudadanos y usuarios de la formidable herramienta que es Internet.

Fuentes:

http://www.guardian.co.uk/world/2013/jun/06/us-tech-giants-nsa-data

http://www.guardian.co.uk/world/2013/jun/08/nsa-prism-server-collection-facebook-google

http://www.washingtonpost.com/investigations/us-intelligence-mining-data-from-nine-us-internet-companies-in-broad-secret-program/2013/06/06/3a0c0da8-cebf-11e2-8845-d970ccb04497_story.html

http://lema.rae.es/drae/?val=prisma

Seminario "El ejercicio de la abogacía en la nueva Internet"

¿Aprovechar una falla de software consituye un delito? El caso del video poker en EEUU

Ganarle al casino. Saltar la banca. A lo largo de la historia de la humanidad, innumerables personas trataron de hacer realidad ese sueño: hacerse millonario a costa del patrón del juego. Martingalas, triquiñuelas individuales y en grupo fueron pensadas, probadas y ejecutadas con diversa suerte. Pero la llegada de las "nuevas" tecnologías viene a darle una nueva vuelta de tuerca al asunto. A los tradicionales juegos "mecánicos" - ruleta, black jack, poker, dados y demás - se sumaron sus variantes electrónicas. Que están compuestas por hardware y software. Y como quizás muchas veces hemos sufrido en carne propia, los programas tienen fallas. Que pueden tornarse en oportunidad.

Esto último es lo que pensaron los estadounidenses John Kane y Andre Nestor, dos jugadores de video poker, al descubrir un bug en la programación del juego Game King desarrollado por el gigante de los juegos electrónicos International Game Technology. El primero de los nombrados fue el que encontró la falla programática, la cual puede resumirse de la siguiente manera: el juego tiene tres variantes de poker que el jugador puede elegir, asi como el dinero a apostar. Cuando el jugador ganaba en una de las variantes, y la máquina le ofrecia la función "doble o nada" (era fundamental que esta apareciera, las máquinas que no lo hacian eran imnunes al truco) no retiraba el premio sino que accedia a la siguiente fase del juego asi como al siguiente nivel de apuesta. Luego ingresaba el dinero correspondiente pero no jugaba allí, sino que volvía al nivel anterior, donde todavia figuraba el premio anterior. Al presionar el boton para canjear al efectivo, le otorgaba el premio pero multiplicado por la apuesta superior. De esta manera, el duo, junto con varios cómplices, fueron capaces de hacerse de varios cientos de miles de dólares jugando en varios casinos de los Estados Unidos.

Descubierta la maniobra por parte de las autoridades, ambos jugadores fueron acusados bajo los cargos de acceder a un dispositivo electrónico excediéndose en la debida autorización para obtener o alterar información sobre la que el acusado no tenia derecho alguno. Para la fiscalía los casinos autorizaron a Kane y Nestor a jugar video poker, pero de ninguna manera consintieron que obtuvieran o alteraran información, tal como la mano de cartas jugadas con anterioridad - recordemos que el truco consistía en cambiar de nivel para multiplicar el premio con una apuesta mas alta. La defensa, por su parte, plantea que Kane y Nestor jugaron de acuerdo con las reglas de la máquina, por lo tanto no hubo intención alguna de alterar información, ya que no se trató de alterar mecánicamente el resultado del juego, sino que se presionaron botones de una manera perfectamente legal. El poder judicial, en tanto, pareciera adscribir al punto de vista de la defensa, ya que en primera instancia desestimó la acusación bajo los términos de la ley federal CFAA - Computer Fraud and Abuse Act -  lo cual debe ser confirmado por otro tribunal en el mes de agosto (de todas maneras los acusados deberán enfrentar cargos adicionales por fraude).

Haciendo un ejercicio mental decimos ¿como se encuadraría legalmente el hecho en nuestro país? Recordemos que la ley 26388 llamada comunmente "ley de delitos informáticos" incorporó a nuestro Código Penal diversas conductas tipificándolas como delitos. Entre ellas encontramos en el artículo 153 bis la conocida como "hackeo" o el acceso no autorizado - o excediendo el permiso recibido - a sistemas de información restringidos. Entonces, prima facie podríamos aplicar a tal conducta dicha norma. Ahora bien, ¿es tan así? En nuestra opinión la conducta no sería típica por dos motivos. El primero de ellos es porque no hay acceso al dispositivo electrónico sino hay operación del mismo. ¿Como es esto? Si pensamos en la definición del término en cuanto llevar a cabo alguna acción - apretar botones en una secuencia determinada - para producir un efecto determinado el cual es jugar un juego - entonces no hay acceso alguno a la lógica del dispositivo - el programa de computación - y los jugadores solamente operan la maquina para jugar y obtener un resultado. Operación hecha bajo las reglas del juego y del casino. Y en segundo lugar, porque el articulo está claramente orientado a castigar el acceso en si mas que al resultado obtenido por el mismo (para mayor análisis ver los fundamentos del proyecto de ley aqui).

Pero bien, el mismo 153 bis al referirse a la pena impuesta nos dice "si no resultare un delito mas severamente penado" ¿Que significa esto? El tipo penal se ha planteado como subsidiario - en forma secudaria -  de una conducta mas gravosa, como podría ser la estafa. La propia ley 26388 incorporó como inciso 16 la posibilidad de castigar la llamada "estafa informática", en cuanto técnica de manipulación informática que altere el normal funcionamiento de un sistema informático y de ello resulte beneficio patrimonial para el perpetrador. Dicho lo anterior, ¿podríamos aplicar este artículo a la conducta de "ganarle" al juego del video poker? Nuevamente entendemos que no, ya que 1) no hubo técnica de manipulación informática - los jugadores se limitaron a presionar los botones de la máquina dentro de las reglas previstas y 2) jamás se alteró el normal funcionamiento del sistema de juego, presupuesto necesario para la aplicación del tipo penal.

En definitiva y a modo de breve resumen, entendemos que la tecnología, en su avasallador avance, muchas veces motiva que ciertas conductas parezcan ilícitas tal el caso descripto. Pero cuidado, en materia de Derecho Penal no podemos jugar con analogías, comparaciones o similitudes. El hecho tiene que coincidir exactamente con lo descripto en el Código Penal, para de esa manera no dejar lugar a interpretación errónea alguna y garantizar la legalidad del proceso penal al que pueda ser sometido cualquier persona.

Fuentes: http://www.wired.com/threatlevel/2013/05/game-king/?cid=7626724

ISO aprueba proyecto para estandarizar la identificación, recolección y producción de prueba electrónica (e-discovery)

Un comité técnico de la ISO - International Organization for Standardization) dio luz verde el último mes para el desarrollo de un estándar técnico internacional para la recolección de documentación almacenada electrónicamente (ESI por sus siglas en inglés). Esta cuestión viene planteándose a lo largo de los años, mas precisamente desde que la masificación del uso de dispositivos electrónicos dio lugar a la producción de documentos electrónicos los cuales resultan prueba de los hechos y actos desarrollados con los mismos. El estándar viene a cerrar la brecha entre la tradicional informática forense y las nuevas tendencias en materia de administración de información - como la information governance o IG.

De acuerdo al experto en IG Steven Teppler, el estándar sobre e-discovery (obtención e intercambio de prueba electrónica en etapa prejudicial) será una guía que incluirá la terminología, un resumen acerca de lo que es el e-discovery y el ESI, para luego abordar los desafíos tecnológicos y de procedimiento asociados con el e-discovery. En particular, lo que tiene que ver con los pasos lógicos desde la identificación hasta la producción de documentación electrónica como prueba. También el proyecto apunta a regular cuestiones que no son abordadas por las Federal Rules of Civil Procedure - fuente del estándar - tal como la identificación y procesamiento de la información electrónica. Al enfocarse sobre todo el ciclo de vida de la información, desde su generación hasta la disposición final, el proyecto está dirigido a mitigar los riesgos y costos asociados con la prueba electrónica. No es intención del estándar reemplazar o contradecir regulaciones o leyes locales en la materia.

El título oficial para el proyecto es  ISO/IEC 27050, Information Technology — Security techniques — Electronic discovery, y el mismo fue desarrollado a lo largo de todo el año 2012, recibiendo aportes fundamentalmente de organismos y entidades de los Estados Unidos, tal como la Sedona Conference. Países como Brasil, China, Noruega, Italia, el Reino Unido, Tailandia, Rumania y Singapur entre otros han colaborado también en la elaboración de este draft. Actualmente el proyecto se encuentra en la etapa de recepción de comentarios y contribuciones, los cuales serán procesados en la próxima reunión del subcomité  JS27 del Joint Technical Committee encargado del mismo, en la ciudad sur coreana de Inchón en octubre de este año.

Fuente: http://www.law.com/jsp/lawtechnologynews/PubArticleLTN.jsp?id=1202597948357&thepage=1

Seminario: Prueba digital en litigios judiciales e investigaciones de fraude - 07/05 en Buenos Aires

Area Temática:
Pruebas digitales en mediaciones y litigios.
Público Destinatario:
- Abogados litigantes, Mediadores y Árbitros
- Auditores
- Escribanos
- Empresas: Abogados in house y IT
- Miembros del Poder Judicial
Objetivos:
El 90% de la documentación comercial de los clientes es digital. Los documentos electrónicos constituyen prueba en nuestro sistema legal. Identificarlo en cada fuente de la que provengan y preservarlos adecuadamente para llevarlo al juicio, son tareas que el abogado litigante, el auditor o el personal de IT no pueden desconocer.
Presentar pruebas digitales, exige conocimientos y cuidados particulares. Aquí repasamos, de una manera clara y práctica, las herramientas y procedimientos más eficientes para alcanzarlos.
Es hora de ponerse al tanto.
Temario: 

Módulo 1:

Todo puede ser digital: es hora de convertirse, hasta cierto punto, en un profesional 2.0.

Documento electrónico: Fuerza de prueba de los documentos electrónicos en Argentina.

De documento electrónico a prueba digital electrónica.

Decisiones de nuestros jueces. Evolución de la jurisprudencia.

Módulo 2:

De documento electrónico a prueba digital.

La integridad de la evidencia en auditorías, actuaciones notariales y litigios: modelo parar armar.

Las fuentes: identificar las fuentes de información para multiplicar la evidencia presentable- o definir la investigación.

Cadena de custodia: consejos para preservarla desde el principio hasta el fin. 

Primeros auxilios: cuándo llamar al experto y qué hacer hasta que llegue. El rol del escribano.

Consejos para no atraer nulidades…

Decisiones de nuestros jueces. Evolución de la jurisprudencia.

Módulo 3: 

A la práctica: identifico, preservo y presento.

No perder el control, ni el tiempo: consejos para armar las mejores key words.

Dos situaciones prácticas:

- Recolección de prueba para presentar en instancia judicial y  

- Obtención y presentación de correos electrónicos y contenidos alojados en redes sociales.

Cuando Facebook guarda nuestros secretos- y Twitter los revela.

Reputación online: en defensa del honor-y del buen nombre comercial… 

Módulo 4:

Hay mucho en la PC, no todo es prueba.

Preserve: sólo lo justo.

Ordene: políticas de retención de documentos digitales para prevenir pérdidas y demoras.

Elimine: cómo hacerlo sin perder prueba- ni incurrir en sanciones.

Inversión:
$390 (incluye material y refrigerios)
$330 registrándose antes del 30/4
Se entregará certificado de asistencia y material del curso

Para mayor información o registrarse click aquí 

No es broma: Lo que se escribe en un email puede costar caro

En los tiempos presentes, no pretendemos ser originales enfatizando la importancia de las comunicaciones electrónicas. Entre ellas, y si bien ha sido reemplazado en su significación por otras, el correo electrónico o email sigue siendo una de las principales vías de intercambio de información por la red (a modo de ejemplo, doscientos millones de emails son enviados por minuto en el mundo). Pero, como en todo orden de la vida, tal alcance nos presenta el otro lado de la moneda. Hablamos aquí de la persistencia del mensaje, y la posibilidad que su contenido sea utilizado en nuestra contra en cualquier diferendo legal que podamos enfrentar.

Un claro ejemplo de lo que acabamos de mencionar ha sucedido por estos dias en los Estados Unidos, donde una firma de abogados - DLA Piper está siendo acusada de sobrefacturar horas de asesoramiento legal a uno de sus clientes, con base en los mails que intercambiaron socios del estudio. La cuestión se planteó cuando el bufete demandó a un antiguo cliente por no haber pagado los servicios prestados al mismo. En su reconvención (demanda judicial que hace el acusado al momento de contestar los cargos) Adam Victor sostuvo que, los abogados deliberadamente "inflaron" la facturación por los servicios legales recibidos. Como ejemplo, pone un email del año 2010 donde uno de los letrados utiliza la frase "churn that bill baby!" lo que coloquialmente se podría traducir como "metele horas a rolete en esa cuenta nene" agregando ademas que "esa cuenta no conoce límites". Dicha prueba es parte del juicio original de DLA hacia Victor, el cual había sido asesorado en relación a la quiebra de una de sus empresas.

DLA respondió tales acusaciones mediante un comunicado de prensa en donde establece que la firma sigue los más altos estándares legales y éticos, señalando además que el comportamiento descripto es inaceptable y que los emails son de hecho una burda broma y ofensivos, pero de ninguna manera reflejan sobrefacturación alguna. Además, sostuvo en un memo interno a sus abogados que a pesar de que no harán ningun esfuerzo en defender esos "tontos" correos, defienden vigorosamente el historial de facturación de la compañía. Además, DLA sostuvo que por esta cuestión ninguno de sus clientes actuales renunció a sus servicios.

¿Que podemos aprender de este caso? En primer lugar, todas las políticas existentes en una empresa están para ser cumplidas. En especial, las referidas a las buenas prácticas en el uso de las herrramientas tecnológicas corporativas, para el caso el correo electrónico. Uso de lenguaje apropiado, no discusión de temas confidenciales al menos que un acuerdo de confidencialidad haya sido firmado con el destinatario, evitar adjuntar archivos al menos que sea estrictamente necesario y evitar su uso para fines distintos a los de la empresa son algunas de las consignas o tópicos que deberían contener las mismas. Y si tal política no existe, es imperativo estudiar el entorno corporativo, diseñarla, ponerla en práctica y controlar su ejecución y resultados.

Recordemos, en el mundo electrónico, sabemos donde y cuando empieza todo, mas no donde y cuando termina. Educar - y educarnos - en el buen uso de los elementos electrónicos es imperativo, ya que estas cuestiones no son solamente patrimonio de grandes corporaciones. A cada uno de nosotros, en tanto individuos, nos puede suceder que emails, chats o tweets que hayamos escrito alguna vez sean utilizados como prueba en algún litigio jurídico o administrativo. Son nuestra nueva huella digital (1). Es entonces que debemos, cada vez mas en el mundo digital, ejecutar los conocidos tres pasos antes de dar enter:  stop, think, act - o sea, detenernos, pensar y luego actuar. El no hacerlo puede costarnos caro, en términos monetarios, de reputación, profesionales o familiares.

Fuentes:
http://www.newyorklawjournal.com/PubArticleNY.jsp?id=1202593689941&thepage=1 

Notas:

(1) Una acertada referencia al tema puede verse en la nota del Dr. Fernando Tomeo para La Nación Infidelidad y huellas digitales http://www.lanacion.com.ar/1567346-infidelidad-y-huellas-digitales

La copia de la declaración jurada donde el abogado defensor de Victor alega el cobro indebido de honorarios se puede ver aqui: https://dl.dropbox.com/u/12026883/law-firm-sued-for-overbilling_mails_de_prueba.pdf

Lo que sucede en Internet en un minuto...

Fuente: Intel http://www.intel.com/content/www/us/en/communications/internet-minute-infographic.html

En el gráfico que mostramos arriba, podemos encontrar algunos datos mas que interesantes respecto de lo que sucede en un minuto Internet:

• Circulan por la red casi seiscientos cuarenta mil gigabytes de datos vía protocolo IP (el equivalente a 640 discos rígidos de 1 terabytes - TB - de datos)
• Son robadas 20 identidades.
• Se generan ventas por 83000 dólares.
• Se suben 3000 fotos y se miran veinte millones de fotos.
• Ingresan a Facebook 27000 usuarios con 6 millones de views.
• Se generan mas de dos millones de búsquedas en Google y se suben 30 horas de video en YouTube.
• Además, a la fecha, el número de dispositivos en red iguala al número de habitantes en la Tierra; pronosticándose que para el 2015 dicho número doblará a la población global, asi como que nos tomaría 5 años para ver todo el video que circulará por la Red en un solo segundo.

Son números que impresionan. Nos dan una idea de lo que es la Red y en que medida influye e influirá en nuestra vida. Como dice la infografía "y el futuro es asombroso". En nuestra opinión el futuro ya llegó.