Modelo de amenazas y modelo de confianza

Al pensar en el anonimato, hay algo que debe decidirse primero.

Es: "de quién y qué quieres proteger".

No es realista ocultar por completo toda la información frente a todos los posibles actores. Además, las medidas necesarias cambian según la persona.

Una persona particular, un periodista, una persona denunciante, una activista y una responsable dentro de una empresa tienen cosas distintas que proteger y actores distintos que prever.

La forma de ordenar esta premisa es el modelo de amenazas. Y la forma de ordenar en qué servicios o personas se confía es el modelo de confianza.

Este artículo ordena el modelo de amenazas y el modelo de confianza como premisas para pensar en el anonimato.

Qué es un modelo de amenazas

Un modelo de amenazas es una forma de ordenar quién apunta a qué y por qué medios nace el riesgo.

En anonimato, se empieza con preguntas como estas.

• De quién quieres protegerte
• Qué no quieres que se sepa
• Qué información sería problemática si se conectara
• Qué nivel de capacidad tiene la otra parte
• Hasta qué nivel de riesgo puedes tolerar

Por ejemplo, las medidas necesarias son completamente distintas si no quieres que una amistad conozca una cuenta alternativa, o si necesitas proteger una fuente frente a una organización con mucho poder.

Si eliges medidas sin crear un modelo de amenazas, puedes hacer algo más complejo de lo necesario o, al contrario, pasar por alto riesgos importantes.

Decide qué quieres proteger

Lo primero que hay que pensar es qué quieres proteger.

En anonimato, el objetivo que se protege no es solo el nombre real.

No basta con decir "quiero ser anónimo". Hay que pensar de forma concreta qué sería problemático si se conectara con qué.

Decide de quién quieres protegerte

Después, piensa en la otra parte.

En anonimato, la información visible y los medios disponibles cambian según la otra parte.

Al decidir la otra parte, las medidas necesarias se vuelven más visibles.

Estima la capacidad de la otra parte

No solo importa quién es la otra parte, sino también qué nivel de capacidad tiene.

¿Una amistad solo busca en redes sociales? ¿El operador del servicio puede ver logs de acceso? ¿La administración del trabajo o de la escuela puede ver logs de red? ¿Un organismo estatal puede solicitar registros a un operador de comunicaciones?

Si la capacidad cambia, también cambian las medidas necesarias.

Si se supone la capacidad máxima para todos los actores, actuar de forma realista se vuelve difícil. Por otro lado, estimar demasiado baja la capacidad de la otra parte es peligroso.

Hay que pensar dentro de un rango realista, de acuerdo con el objetivo.

Qué es un modelo de confianza

Un modelo de confianza es una forma de ordenar a quién se confía y a quién no se confía al usar un mecanismo.

Cuando usas herramientas de anonimato, cambia quién puede ver la información. La información visible no desaparece; en algunos casos se mueve a otra parte.

Por ejemplo, al usar una VPN, puede ser más difícil que el sitio web de destino vea la IP de tu casa. Sin embargo, el proveedor de VPN puede ver información relacionada con la comunicación del usuario.

Al usar Tor, el destino puede ver un nodo de salida de Tor. Pero si usas Tor de forma incorrecta, el estado de sesión iniciada o la información del navegador pueden conectarse contigo.

Al pensar en anonimato, no basta con preguntar "si esta herramienta es segura"; hay que mirar "en quién confía este diseño".

Sin modelo de amenazas, las medidas se desvían

Sin un modelo de amenazas, las medidas tienden a desviarse del objetivo.

Por ejemplo, si solo no quieres mostrar la IP de tu casa al sitio web de destino, una VPN puede ser suficiente. Pero si consideras al proveedor de VPN como una parte en la que no puedes confiar, quizá una VPN sola no encaje con el objetivo.

Si no quieres vincular una cuenta con nombre real y una cuenta anónima, puede que Cookie, estado de sesión iniciada, separación del navegador, estilo de escritura y hora de publicación sean más importantes que la ruta de comunicación.

Si una persona denunciante maneja documentos internos de una organización, no solo importa la ruta de red; también importan los metadatos del documento, los permisos de acceso, el historial de distribución y la fiabilidad del destino de consulta.

Las medidas cambian según lo que quieres proteger y la otra parte.

Piensa por niveles de riesgo

El modelo de amenazas no sirve para suponer siempre el peligro máximo.

El riesgo tiene niveles. Una persona que quiere publicar sobre aficiones con otro nombre y una persona que denuncia irregularidades en su lugar de trabajo usan la misma palabra, anonimato, pero necesitan preparaciones distintas.

Cuanto mayor sea el riesgo, más importante es no decidir solo con artículos.

Usar destinos de consulta confiables, como abogados, organizaciones de apoyo o responsables de seguridad en medios, también forma parte del modelo de amenazas.

Un modelo de amenazas sencillo para empezar

No es necesario crear un modelo de amenazas complejo desde el principio.

Para empezar, basta con rellenar una tabla como la siguiente.

Solo pensar esto ya ordena bastante las medidas necesarias.

Resumen

Un modelo de amenazas es una forma de ordenar de quién y qué quieres proteger. Un modelo de confianza es una forma de ordenar bajo qué premisa confías en qué actores o servicios al actuar.

En anonimato, no es realista ocultarlo todo frente a todos los actores. Hay que pensar por separado en lo que quieres proteger, los actores previstos, su capacidad, las pistas que quedan y las partes en las que confías.

Medidas como VPN, Tor, Wi-Fi público, cifrado y separación de cuentas cambian de significado según el objetivo.

El punto de partida para pensar en el anonimato es decidir "de quién, qué y en qué medida quieres proteger".

Herramientas relacionadas

Artículos relacionados