1. Surveillance States
Colombian Chapter
DragonJar Security
Conference 2014
Andrés Gómez
@kuronosec

2. whoami
● Ingeniero de Sistemas UdeA.
● Estudiante de doctorado Frankfurt.
● Miembro ALICE collaboration, CERN.
● Investigador en seguridad.
● Chaos Computer Club.
● Colaborador Tails Live System.

3. Agenda
●
Panorama mundial espionaje masivo.
● Relación con Colombia.
● Interceptaciones judiciales.
● Inteligencia.
● Contramedidas.
● Conclusiones.

4. Panorama Mundial
Surveillance States - Vigilancia Masiva

5. Estados enemigos de Internet
● Bahrain.
● China.
● Iran.
● Syria.
● Vietnam.

6. El gran firewall Chino

7. PRISM

8. SSL added and removed here! :)

9. Merkel se enoja con Obama...

10. Colombia – Interceptaciones
judiciales
● Ley de protección
de datos.
● Decreto de backdoor
en ISP.

11. PUMA
Plataforma única de monitoreo y análisis

12. PUMA
● Adquisición de un módulo de monitoreo
de voz y datos móviles.
●Adquisición de un módulo de datos de ISP.
●Adquisición de un módulo de localización
de objetivos.
●Esta plataforma tendrá la capacidad de
analizar cerca de 20000 objetivos de
telecomunicaciones con una escalabilidad
de 100000 objetivos.

13. PUMA
● Compañía comercial curacao de
Colombia S.A.
● Verint systems ltd (Israel).
● Software RELIANT Versión 10.1.
● IP-Probe Passive Interception.
● Servidor de interfaz WEB AGS.

14. PUMA - Legislación
●La policía nacional ejerce funciones
permanentes de policía judicial, por lo tanto
es una de las autoridades competentes,
para la operación técnica de las
interceptaciones.
● La fiscalía puede ordenar la realización
arbitraria de interceptaciones. El control por
parte del juez se hace “después” de que
se recolectan la pruebas.
● Comúnmente el juez debería ordenar las
interceptaciones.

15. INTELIGENCIA
● Ley de Inteligencia 2013.
● Las ISP no pueden proveer servicios de
voz cifrados.
●El monitoreo no constituye
interceptación de comunicaciones.
●No hay límites judiciales para
actividades de inteligencia. Información
de operaciones totalmente confidencial.

16. Esperanza - DAS
● Diseño e instalación de un plan de inteligencia
policial. (2006)
● Adquisición del módulo de monitoreo activo de
Internet por ISP acoplado al sistema integrado
de grabación digital.
● Adquisición de un equipo de monitoreo de
GSM.
● Switch Esperanza.
● Mínimo un millón de sesiones.
● Reliant para ISPs, Verint Systems Ltd.

17. Esperanza – VERINT SYSTEMS
LTD

18. Esperanza – Vantage
● Monitoreo pasivo en todo tipo de redes.
● Interceptación masiva.
● Recopilación e indexación de aproximadamente
dos millones de mensajes de correo electrónico
por día.
● Interceptación de hasta 100 millones de registros
CDR en la red por día, los que se almacenan
durante un año.
● Recopilación e indexación de 20 millones de
mensajes SMS por día.
● VANTAGE analiza TODO el tráfico de red a
medida que las comunicaciones atraviesan la
sonda.

19. Esperanza – Vantage
● Monitoreo centrado en objetivos – para
capturar selectivamente las comunicaciones
específicas de un objetivo o usuario conocido
(número de interés).
● Monitoreo centrado en datos – filtrado y análisis
de cantidades masivas de datos interceptados,
como por ejemplo: Definición de filtros complejos
para detectar actividad sospechosa en la red e
identificar objetivos desconocidos.

20. Deep Packet Inspection – CLARO,
Movistar, UNE.

21. NSA X-KEYSCORE Server Sites

22. The Wikileaks Spy Files

23. Mapping HackingTeam’s
“Untraceable” Spyware

24. HackingTeam Spyware
Servidor en Colombia: 190.242.96.49

25. Andrómeda - Buggly

26. CONTRAMEDIDAS

27. CONTRAMEDIDAS

28. CONTRAMEDIDAS
Telefonía: whispersystems.
Navegación: TOR project.

29. TAILS - Privacy for anyone
anywhere
The amnesic incognito live system

30. TAILS - Privacy for anyone
anywhere
The amnesic incognito live system

31. TAILS - Privacy for anyone
anywhere

32. TAILS - Privacy for anyone
anywhere

33. SECUREDROP – Protección de
informantes periodísticos

34. El futuro – Organizaciones
autónomas distribuidas
Maidsafe
Ethereum
Bitcloud

35. Conclusiones:
● Debemos asumir que todas nuestras
comunicaciones son interceptadas y
procesadas.
● Supuesta lucha entre seguridad y
derechos humanos, perdida en favor de la
seguridad.¿En realidad mejora la
seguridad?
● Aun así la privacidad sigue siendo un
derecho fundamental constitucional y
universal.
● Podemos protegernos con tecnología.
● Podemos protegernos con leyes.

36. ¡Gracias!
@kuronosec
andres.gomez@cern.ch