OSINT y herramientas para mantener la privacidad

El OSINT (Open Source INTelligence o Inteligencia de fuentes abiertas) consiste en la recopilación de información, para su posterior análisis, de fuentes de acceso público: foros, redes sociales, periódicos... En general, en lo que nos afecta como usuarios del ciberespacio, todo aquello que pongamos online y a partir de lo cual otros puedan obtener información sobre nosotros y extraer conclusiones.

Desde el punto de vista de los analistas, esto es algo fantástico. Pero desde el de la persona (u organización) analizada puede no serlo tanto. Quizá estemos dando demasiada información sobre nosotros mismos o los datos relacionados puedan llevar a extraer conclusiones que, de algún modo, nos perjudiquen. Eso hace que algunos sujetos, preocupados por proteger su identidad digital, se pregunten: ¿cómo defendernos del OSINT?

Pues la realidad es que no es posible hacerlo totalmente; ya que, por muy cuidadosos que seamos, no podemos evitar que sean otros los que suban a la red información sobre nosotros. Por ejemplo: las típicas fotos de facebook y los perfiles ocultos que éste crea sobre gente que ni siquiera tiene cuenta en esa red social. Además, nunca podemos estar totalmente seguros de qué trazas estamos dejando. Éste es un mundo tan complejo, que siempre se descubren nuevos hilos.

No obstante, hay consejos que pueden ser útiles y que consisten en controlar la creación activa de la huella digital y en intentar controlar también la pasiva:

La creación activa de la huella digital es aquello que dejamos conscientemente en Internet. Y podemos controlarlo mediante el uso de:

1. Sentido común: no poner fechas de nacimiento completas en los perfiles de usuario, no anunciar cuándo nos vamos de vacaciones, no incluir datos o fotos de menores de edad, no dejar que éstos usen las redes sociales sin la supervisión de un adulto, comprobar con los motores de búsqueda que no aparezcan más datos sobre nosotros que los deseados...
2. Control de acceso a recursos: utilizar contraseñas fuertes, usar un doble factor de autenticación (típicamente, envío de SMS al móvil) o poner un Latch si está disponible para el recurso en cuestión, utilizar los mecanismos de privacidad proporcionados por la aplicación que estemos usando, y el uso de técnicas criptográficas son algunas de las cosas que pueden ayudarnos a evitar que un tercero tenga acceso a datos o recursos no deseados relacionados con nuestra identidad digital.
3. Perturbación de datos: consiste en modificar los datos personales para aumentar su ambigüedad (generalización), reducir el nivel de detalle de la localización del usuario, etc. Es decir: dar los datos mínimos imprescindibles (quizá solo el nombre y no los apellidos, o el uso de un seudónimo) y no tener activada la función de geolocalización, por ejemplo.

Por otro lado, la creación pasiva de la huella digital es lo que dejamos en Internet sin ser conscientes de ello. Podemos controlarla (hasta cierto punto) mediante la utilización de canales anónimos como los siguientes:

1. Uso de un nodo central de confianza: VPN comerciales, proxies del tipo Crowds y UUP (Useless User Profile) y remailers como Anon.penet.fi (actualmente en desuso), Cypherpunk y Nym).
2. Mix Networks: consisten en un grupo de nodos interconectados que forman una red en la que cada uno oculta la entrada y salida de información mediante técnicas criptográficas. Las más conocidas quizá sean Mixmaster y Mixminion.
3. TOR: red de comunicaciones distribuida de baja latencia que mantiene el anonimato de las IP origen y destino en los nodos intermedios mediante transmisiones cifradas por capas. Generalmente se combina con el uso de Privoxy en el navegador para eliminar elementos de rastreo de navegación, como huella del navegador, cookies, etc.
4. I2P: A diferencia de TOR, en vez de utilizarse circuitos de nodos intermedios, se utilizan túneles (conjunto de nodos) unidireccionales (de entrada o de salida) efímeros: el cliente estable un túnel de salida que se comunicará con el túnel de entrada del servidor; éste enviará la respuesta utilizando su propio túnel de salida que se comunicará con el túnel de entrada del cliente. Esto puede complicarse todo lo que se quiera, utilizando varios túneles de salida en paralelo o usando el mismo túnel para comunicar con distintos clientes. Esto aumenta la velocidad y favorece la privacidad. Aunque el uso descentralizado de la base de datos de nodos puede generar otros problemas. I2P no está tan implantado y cuenta con menos ancho de banda que TOR. (www.genbeta.com/actualidad/i2p-la-nueva-generacion-de-la-deep-web)

Llegados a este punto, podríamos plantearnos si es realmente necesario defenderse del OSINT. Ser conocidos no tiene siempre por qué ser malo; ya que nos pueden llegar experiencias enriquecedoras (y quién sabe si hasta alguna oferta de trabajo interesante) gracias a que somos visibles en la red.

Podemos hacer que el OSINT obre a nuestro favor: si en vez de tratar de desaparecer totalmente de la red, intentamos que no aparezca lo que no queramos que sea conocido y tenemos cuidado de no dar una mala imagen de nosotros mismos, resaltando nuestros puntos más favorables y fomentando el intercambio de información positiva con otros internautas.

Y quizá, después de todo, veamos que el OSINT no resulte tan malo.

Fuente: Penny of Security