La ingeniería social es más vieja que la ciberseguridad (y Winston Churchill lo sabía)

El cine nos acercó este momento histórico, pero no ahondó en cómo los matemáticos que lo descifraron se dedicaron también a aplicar teoría del comportamiento.

Código Enigma: Un diseño particular y un pensamiento colectivo determinante

El diseño de Enigma era complejo y excepcional: máquinas portátiles, que recuerdan una máquina de escribir, cuyo elemento fundamental es su sistema de rotores, un panel de clavijas y el circuito eléctrico que los conecta. Como si de las reglas de un juego se tratara, tenía dos características particulares en su diseño:

• 'Self-coding': una letra no puede ser codificada en sí misma (la A no puede codificarse como A)
• 'Reciprocal-coding': Si al codificar  la letra A obtenemos la B, la letra B de forma recíproca es codificada como la letra A.

Las posibilidades de romper Enigma a base de fuerza bruta era 1 entre 158 billones. El  mismo Winston Churchill (¿primer 'behavioral scientist'?) escribió que sobre el éxito del criptoanálisis de enigma:

“Depende para su éxito más de un estudio de la psicología de las personas que envían los mensajes […] que de un estudio y análisis cuidadoso para el que no hay tiempo”

El factor humano conduce a la brecha de información: el primer caso de ingeniería social

Desde el punto de vista psicológico (sesgos, normas sociales, atención y fatiga…) se dieron una serie de elementos que facilitaron enormemente la labor de las fuerzas aliadas para descifrar Enigma:

• Sesgos a nivel 'management':
  • Sobreconfianza: Los alemanes estaban convencidos de su carácter indescifrable incluso sabiendo que algunas máquinas enigma estuvieran en manos de las fuerzas aliadas.
  • Sesgo de confirmación y disonancia cognitiva: Alemania nunca vio evidencias convincentes para creer que sus códigos se habían puesto en peligro, y consideraba las filtraciones normalmente como casos anecdóticos. Era más sencillo pensar así, que dedicar el esfuerzo que habría requerido cambiar los planes de batalla y una revisión completa de los códigos, la planificación, la administración, la seguridad y el personal.
  • 'Complication illusoire': Una falacia bien conocida por la cual uno cree erróneamente que agregar complejidad, aumenta la seguridad.
  • 'Security by obscurity': Dentro del contexto de la ingeniería de seguridad, se reconoce como la confianza en el secreto como método principal para proteger un sistema. Es decir, exponer los fallos los hace más vulnerables ante enemigos y por eso los errores o brechas detectadas, era corregidos y ocultados al resto de fuerzas del frente nazi (aumentando la probabilidad que otro lo repitiera)
  • Norma social y pensamiento grupal: Las fuerzas de inteligencia nazi eran extremadamente jerárquicas y competitivas para mantener su prestigio frente a Hitler. Levantar voces sobre posibles vulnerabilidades internas no era fácil. ¿Quién se atrevía?
• Sesgos a nivel operario:
  • Presión y fatiga: Es posible que el operador no cambie la configuración del rotor de Enigma como se requiere formalmente, y utilice solo las posiciones iniciales. De las 7.576 posibles configuraciones de cada rotor, es posible que el operador como mucho llegue a usar 20.
  • Ley mínimo esfuerzo: En sus encriptaciones, usaban combinaciones que eran fáciles de recordar (nombres de novias, iniciales personales, palabras malsonantes…). En momentos en los que el tráfico de comunicaciones era bajo, los operadores debían enviar 'dummy messages' pero la falta de motivación hacía dejaran el dedo pegado en una tecla (LLLLLLLLLLLLLLLL) enviando sin querer claves de la configuración.
  • Norma social: La mayoría de los mensajes enviados estaban plagados de giros formales y estereotípicos: Hail Hitler, a la atención de, continúa en el siguiente mensaje…. lo que permitía detectarlas y usarlas como clave.

Como resultado de todo lo anterior, la compleja seguridad de Enigma fue seriamente comprometida, lo que permitió a los aliados romper el código. La estimación dice que se acortó la guerra tres años, salvando un número ingente de vidas. El diseño era perfecto en el papel pero se pasaron por alto (ahora tenemos más información) sobre cómo sería la interacción máquina-humano u otros elementos del 'management'. Precisamente, esa complejidad de diseño y sofisticación, hicieron que las vulnerabilidades del factor humano se manifestaran aún más.

'Security by design'. El factor humano: vulnerabilidad de información un siglo después

El conocimiento de estas máquinas ha servido para el posterior desarrollo de la computación, la criptografía, las comunicaciones... y, en definitiva, el mundo tal y como lo conocemos hoy. A algunas personas este artículo les puede resultar alejado de la banca, pero merece la pena mencionar que Arthur Scherbius, ingeniero e inventor alemán, construyó Enigma en 1920 con la idea de que sería utilizado por bancos y empresas comerciales para mantener sus comunicaciones en secreto.

Cuando nos preguntamos por qué la gente sigue usando contraseñas poco seguras, debemos también preguntarnos si los sistemas para creación de contraseñas pueden estar influyendo en estos errores. Las personas cometemos errores diariamente, aunque en la gran mayoría de los casos no los hacemos de forma deliberada. Hay 'multitasking', presión, sobrecarga de información… Lamentablemente los errores son explotados y a veces hasta inducidos de forma deliberada por los cibercriminales (con tanta eficacia como los magos del escenario nos desvían para que veamos lo imposible), por lo que comprender los factores humanos es crucial. E implementar medidas en consecuencia.

La capacitación y la información ayudan a que las personas eviten y/o corrijan sus errores cuando ocurren. La desconstrucción de los factores humanos, como se ilustra aquí, significa reconocer, también, que las personas cometen errores y diseñar posteriormente para anticiparnos y prevenirlos.