Para ser un buen policía, hay que probar cómo ser un excelente ladrón

Creador de la imagen: Alex Dukal. Protegida por licencia Creative Commons. http://www.circografico.com.ar/

La gente que me conoce de cerca, alega que soy un hinchapelotas. Que busco vulnerabilidades en cualquier sistema (no sólo de computación), que intento visualizar posibles peligros en cualquier lado, que siempre trato de tener un plan para el peor escenario posible en cada situación (por más tonta que sea). Y es cierto, tienen razón.

También dicen que generalmente esos peligros o vulnerabilidades son descabellados, que tienen pocas posibilidades de ocurrir y que estaré más tiempo pensando en mil cosas y preparando dos mil planes para cosas que seguramente no ocurran o que no sean tan graves. También tienen razón.

Suman, además, el que uno se pasa estudiando cosas (dicen) sin importancia, que pierdo el tiempo buscando horas y horas planos e historia de un simple encendedor (por ejemplo) o bien hasta el último detalle técnico del sitio-de-moda.com. Tampoco se equivocan.

Pero el tema más gracioso (aunque podría llamarse también “lamentable“), es que cuando no pueden hacer algo (o no saben hacerlo) o les pasa algo malo que no tenían previsto, suelen recurrir a mí para consultarme o pedir ayuda. Generalmente es en el terreno informático, aunque también acuden por cualquier otro tema porque suelo tener una visión distinta y en el peor de los casos (aunque no tenga mucha idea a veces), doy una solución alternativa (en el mejor, la final).

Eso se dá, simplemente, por los puntos que la gente ve en mí como molestos o equivocados. Me gusta estudiar, saber cómo funcionan en gran medida las cosas que uso y que nos rodean, adelantarme a los hechos, buscar puntos débiles, saber cómo pueden ser explotados y anticipar una solución antes del quiebre de ese punto. Y aclaro que no soy hacker o cracker, no trabajo en seguridad informática, ni tampoco robando personas en la calle. Pero de todas formas, la gente siempre pensará que formo parte de alguno de los tres grupos. Esa imagen se da porque junté ese conocimiento técnico que tengo, más lo que aprendí de la gente, más (a veces) el uso de algunas herramientas “del lado oscuro”. Algunos hechos que recuerdo:

1. He entrado en computadoras de otra gente, pero sin hacer nada más (salvo en una que encontré imágenes de pedofilia, que terminó con todo el rígido borrado), para saber como proteger mejor la mía.
2. He conseguido tarjetas de crédito válidas, pero sin haber usado ninguna para nada (alertando vía mail a los poseedores, junto a un paquete de medidas de seguridad para los conocidos).
3. Armé en su momento una “biblioteca de virus”, junto a un par de virus propios hechos con generadores (que jamás distribuí), para saber que antivirus era el mejor y más confiable para usar.
4. Me han hackeado dos veces y me sirvió para mejorar el sistema de seguridad en las plataformas de ventas, utilizando herramientas de hack (además del aviso del mismo hacker).
5. He accedido a cuentas de mails de terceros que habían dejado abierta la sesión en cybers. Los alerté para que tengan más cuidado en la próxima (escribiendo desde su cuenta misma).
6. He probado keyloggers, troyanos, etc. en mi propia máquina, para saber cómo defenderme y cómo prevenirme.
7. He enviado mails haciéndome pasar por un banco que pedía passwords para reactivar cuentas a una de mis libretas de direcciones de gente conocida. A los que me contestaban les daba un tirón de orejas para que no hagan eso, que tengan más cuidado y darles (darnos, mejor dicho) una lección sobre ingeniería social.
8. He entrado a la administración de toda una universidad (muy importante), usando un nombre y contraseña genéricos para el sistema que usaban (también puestos sobre aviso).
9. Descubrí una vulnerabilidad importante en el sistema de “pago seguro” de uno de los sitios de remates. La explotación podía hacerse con un poco de lógica, aplicando conocimientos sobre la gente y detalles técnicos, y permitía virtualmente hacerse rico al explotador (en caso de estafar intensivamente) y podía realizarse tanto del lado comprador como del vendedor. El error lo ví al primer día de implementación y puse al sitio sobre aviso. No lo corrigieron. Un mes después empezaron las estafas con ese sistema. Aún hoy siguen con lo mismo.
10. He aprovechado el descuidismo de la gente, para quitarles cosas y mostrárselas luego (con un serio movimiento de “no” con la cabeza).
11. He abierto puertas con ganzúas caseras (todas las puertas eran mías). Sirvió para saber qué cerraduras son las más seguras.
12. Me asaltaron 3 veces (dos veces con arma de fuego). Gracias al conocimiento de los delincuentes (de hace tiempo, ahora no tiene patrones ni códigos) y usando también un poco de manejo social (haciéndome pasar por padre de varios chicos en una, y de otro ladrón en las otras dos), creo que manejé bien las situaciones. En uno de los robos me quitaron la remera; en otro, $12 (teniendo encima $240 que pasaron desapercibidos), y el ladrón me dejó monedas para el colectivo y el desayuno y me agradeció con un apretón de manos (!?); en otro, $4 en monedas y el ladrón se quedó hablando conmigo y hasta se puso a llorar al final mientras me abrazaba (!?!?).

Por ese tipo de cosas, la gente suele confundir el aprender a mejorar en serio a ser ventajero o delincuente. Personalmente, creo que para ser un buen policía, hay que probar como ser un excelente ladrón. Muchos parecen no entender muy bien el concepto. Usar una herramienta de hackers para seguridad no es ser un hacker, abrir una puerta propia con ganzúa no nos convierte en robacasas, saber la forma en que nos pueden estafar no nos hace estafadores. No hay mejor punto de vista que el lado contrario a lo que uno piensa o hace. No se puede identificar o prevenir el peligro, si no se conoce el peligro en sí. De nada servirá reparar el daño si jamás pasamos por el peligro. La mejor forma de testear un escudo es dándole martillazos y sabiendo todo sobre martillo, escudo y persona que lo use (no mirando lo lindo y brillante que es solamente).

Así es como (aparte de los hechos puntualizados más arriba), he probados cds, cintas y dvds (prendiéndolos fuego, rayándolos, pasádoles alcohol, etc), he testeado paredes martillándolas, puertas atropellándolas, electrónicos en temperaturas extremas (altas o bajas) y cientos de etcéteras.

Alguien que no tiene conocimientos básicos (cuanto menos) de lo que usa y de lo circundante (entorno y personas incluídas), es una potencial víctima a futuro y hasta puede ser peligroso para otros. Y todo, por no pensar, informarse ni probar. Yo continuaré igual, pese a todo; hinchapelotas, pero feliz (y un poco más seguro).

PD: No pregunten sobre los puntos que dí, no los voy a explicar “paso a paso” ni tengo una escuelita de “avivagiles“. Aviso para los que no entendieron el post…