Adversarios y sus motivos.

Los consejos de seguridad que comienzan con las herramientas antes que las personas suelen salir mal. La guía de autodefensa para vigilancia de la Electronic Frontier Foundation plantea primero la pregunta correcta: no “qué debo instalar”, sino “de quién quiero proteger [mi información]”. Un adversario es, en sus palabras, “una persona o entidad que representa una amenaza para sus activos”. Antes de elegir cualquier protección, es útil identificar a quién se enfrenta realmente, porque un trabajador de una ONG, un abogado defensor y un periodista de investigación rara vez se enfrentan al mismo.

¿Qué separa a un adversario de otro?

La unidad de conocimiento NCAE-C Cyber ​​Threats organiza a los actores de amenazas en torno a lo que llama un modelo de adversario: sus recursos, capacidades, intención, motivación, tolerancia al riesgo y el acceso que ya tienen. Dos atacantes que quieren tu contraseña pueden verse completamente diferentes una vez que haces esas preguntas. Un ladrón de tarjetas de crédito tiene como objetivo el dinero, habilidades modestas y pasará a un objetivo más fácil en el momento en que parezca costoso atacarlo. Un servicio de inteligencia gubernamental tiene paciencia, ingenieros, cobertura legal y no hay motivos para darse por vencido.

Cuatro adversarios a los que suelen enfrentarse las personas en situación de riesgo

Por qué el mismo comportamiento significa diferente riesgo para diferentes personas

Una ONG que documenta abusos, un abogado que tiene el expediente de asilo de un cliente y un periodista que protege una fuente manejan información que dañaría a alguien si se filtrara, pero la persona a la que dañaría y el adversario que la quiere difieren. Para la ONG, un actor estatal o un grupo local hostil puede querer conocer las identidades de los testigos. Para el abogado, la propia parte opositora del cliente o un gobierno hostil pueden querer el expediente. Para el periodista, el empleador de la fuente o un servicio de seguridad del Estado puede querer saber quién habló. Access Now, que gestiona una línea de ayuda de seguridad digital para “grupos de la sociedad civil, periodistas, blogueros, defensores de los derechos humanos y activistas”, ve este patrón en todos los casos que maneja: la herramienta que importa es la que responde a la amenaza específica, no una lista genérica de “mejores prácticas”.

Los iniciados y los atacantes poco cualificados siguen siendo importantes

La unidad de conocimiento sobre amenazas cibernéticas también menciona dos categorías que son fáciles de subestimar: la amenaza interna (alguien con acceso legítimo que hace un uso indebido) y el “script kiddie”, un atacante con habilidades limitadas que ejecutan herramientas creadas por otros. Un voluntario descontento con su base de datos de donantes, o un ex socio que todavía conoce su código de desbloqueo, puede causar tanto daño como un actor más sofisticado, y estadísticamente es mucho más probable que sea quien realmente actúe.

Nombrar al adversario cambia lo que haces a continuación

La Autodefensa en Vigilancia de la EFF enmarca la recompensa claramente: una vez que sabes de quién estás protegiendo la información, puedes decidir “cuántos problemas estás dispuesto a pasar” para defenderla y dónde se desperdicia ese esfuerzo. Un abogado preocupado por que el abogado de la contraparte cite correos electrónicos necesita hábitos diferentes a los de uno preocupado por que el estado intercepte llamadas. La siguiente lección de este curso sigue el ataque de un adversario específico desde el primer mensaje hasta la meta; el siguiente convierte “quién podría apuntar a mí” en una forma repetible de sopesar la probabilidad y el impacto.