Puede que hayas oído hablar del programa Carnivore, un polémico programa desarrollado por el FBI para darles acceso a actividades de correo electrónico por parte de supuestos criminales. Para muchos, fue un inquietante recuerdo de lo que nos contaba George Orwel en su libro “1984”. Aunque Carnivore fue abandonado por el FBI en Enero de 2005 por otros tipos de software de igual naturaleza, pero más comercial, el programa que prometió renovar la influencia del FBI en el mundo de las comunicaciones no deja de intrigarnos en su estructura y aplicación.

¿Qué era exactamente Carnivore? ¿De dónde vino? ¿Cómo funcionaba? ¿Qué propósito tenía? Veremos a continuación algunos aspectos de este software que nos dejaran más claro lo que significó este programa para el mundo entero.

Principios del Carnivore

El Carnivore fue la tercera generación de un software para detección online perteneciente a la agencia del FBI. Mientras que información sobre la primera versión no ha sido revelada, muchos creen que era un programa comercial disponible llamado Etherpeek.

En 1997, la agencia desarrolló la segunda generación del programa, el cual llamaron Omnivore. Según la información que desvela el FBI, el Omnivore fue diseñado para

“mirar” dentro del tráfico de correos electrónicos viajando por una ISP específica, capturando los email de una fuente concreta, guardándolos a un centro de almacenamiento o directamente imprimiéndolos en tiempo real. Este programa fue retirado a finales de 1999 a favor de otro sistema llamado Dragonware Suite, que permitía al FBI reconstruir mensajes de email, descargar ficheros, o incluso páginas Web.

El programa Dragonware contenía tres partes:

• Por un lado estaba el Carnivore, el cual era un sistema basado en Windows NT y 2000 que capturaba la información.

• El Packeteer, del cual sabemos poco porque no hay demasiada información disponible, pero presumiblemente era una aplicación que reensamblaba los paquetes en mensajes completos.

• El Coolminer, del cual tampoco hay información, pero que se cree que se encargaba de analizar los datos encontrados en los mensajes.

Como se puede ver, las fuentes oficiales nunca revelaron mucha información sobre este software. De hecho, el que más se conocía de este programa era el Carnivore. Podemos decir que básicamente, el Carnivore era un capturador de paquetes (Packet

Sniffer), una tecnología que es bastante común, sobre todo para los administradores de redes de Internet.

Los Sniffer

Los administradores de redes de ordenadores han estado usando estos capturadores de paquetes durante años para monitorizar sus redes y realizar trabajos de diagnósticos o solucionar problemas de conectividad. Esencialmente, un sniffer, es un programa que puede ver toda la información que transita sobre una red a la que está conectado. Según van viajando los datos por la red, el programa vigila cada uno de los paquetes que viajan.

Normalmente, un ordenador solo presta atención a paquetes que están diseccionados para e ignora el resto de tráfico en la red. Cuando instalamos un sniffer en un ordenador, el interfaz de red se pone en modo promiscuo. Esto significa que vigila todo lo que pasa por el. La cantidad de tráfico depende de la localización del ordenador en la red. Un equipo en una ramificación aislada de la red, solo ve un pequeño segmento del tráfico de red, mientras que equipos más centralizados pueden ver una mayor cantidad.

Un capturador de paquetes puede configurarse de dos modos, sin filtros, donde captura todos los paquetes, y aplicándole filtros, donde captura solo los paquetes que le hayamos indicado.

Los paquetes son copiados mientras pasan por el ordenador que tiene el sniffer. El programa almacena las copias en memoria o en un disco duro, dependiendo de la configuración del programa. Estas copias pueden ser analizadas cuidadosamente para encontrar información específica o general.

Cuando te conectas a Internet, te estás uniendo a una red mantenida por tu ISP. La red de tu ISP, comunica con otras redes mantenidas por otras ISPs formando una grandísima red que no pertenece a nadie en particular. Realmente esta es una de las mejores definiciones de lo que es Internet en si. Un packet sniffer localizado en uno de los servidores de tu ISP podría potencialmente monitorizar todas tus actividades online, como por ejemplo:

• Las páginas Web que visitas. • Que miras o buscas cuando llegas a un sitio Web. • A quién mandas correos electrónicos. • Que hay dentro de esos correos. • Lo que te descargas de los sitios de Internet.

• Los servicios multimedia que utilizas, como audio, video o telefonía IP. • Quién visita tu página Web, si es que tienes.

De hecho, muchas ISPs usan estos capturadores de paquetes como herramientas de diagnóstico. También mantienen copias de los datos, como pueden ser emails, como parte de sus sistemas de backup. El programa Carnivore y sus hermanas fueron un paso más adelante gracias al FBI, aunque no era una tecnología nueva.

Veamos cómo funcionaba:

1 – EL FBI tiene una sospecha razonable de que alguien está envuelta en actividades criminales y hace una petición a las cortes para poder analizar la actividad online del sospechoso.

2 – Una corte da el visto bueno a la petición para que se haga un estudio de los correos que se están transfiriendo, tanto de ida como de vuelta, por el individuo en cuestión, y envía la orden de aceptación. Lo hace dando el permiso explicito de “content-wiretap”, el cual es un término anglosajón utilizado en vigilancia telefónica, y que significa que todo lo que contiene un paquete puede ser capturado y usado.

Otro término similar es “trap-and-trace”, lo cual viene a decir más o menos, atrápalo y síguelo. Con este método, el FBI solo podía capturar la información de destino, como

por ejemplo la cuenta de correo a donde ha sido enviada o la página Web que está visitando el sospechoso. Hay otra variante que es todo lo contrario de este método, llamado “pen-register”, que vigila la información de origen.

3 – El FBI contacta con la ISP del sospechoso y requiere una copia de los ficheros de backup de sus actividades en Internet.

4 – La ISP no mantiene datos de la actividad de clientes como parte de su backup.

5 – EL FBI instala un ordenador con el Carnivore instalado en la ISP para monitorizar la actividad del sospechoso. Este ordenador consiste en:

• Mínimo un Pentium 3 con el sistema Windows NT/2000 con un mínimo de 128 MB de RAM.

• Una aplicación de software comercial de comunicaciones. • Una aplicación escrita en lenguaje C que trabaja en conjunción con el programa

comercial para proveer de captura de paquetes y filtro. • Un sistema de bloqueo físico que requiere de un código para acceder al

ordenador. Esto mantiene el equipo inaccesible físicamente para todo el mundo, menos para el FBI.

• Un dispositivo de aislamiento de red el cual hace invisible al sistema Carnivore a todo lo demás en la red. Esto previene a cualquiera para que puedes entrar al sistema desde otro ordenador.

• Un disco removible de 2 GB para almacenar los datos capturados, para ser insertado y retirado rápida y fácilmente.

6 – El FBI configura el software del Carnivore con la dirección IP del sospechoso por lo que el programa solo capturará paquetes de esta localización en particular. Ignorará todos los demás paquetes.

7 – El Carnivore copia todos los paquetes del sistema sospechoso sin impedir el flujo normal de tráfico de la red.

8 – Una vez que las copias están hechas, se pasan por un filtro que solo recoge los paquetes de correos electrónicos. El programa determina lo que contienen los paquetes basado en su protocolo.

9 – Los paquetes pertenecientes al correo electrónico (emails) son salvados al disco de almacenamiento.

10 – Cada dos o tres días, un agente del FBI visita la ISP y saca el disco de almacenamiento. El agente coge este disco y la guarda en un contenedor que es

etiquetado y sellado. Si este sello se rompe, la persona responsable debe firmar, dar la fecha y volverlo a sellar, o si no el disco es considerado “comprometido”.

11 – La vigilancia no puede continuar por más de un mes sin una extensión de la orden de la corte. Una vez llegado este límite, el FBI retira el sistema de la ISP.

12 – Los datos capturados son procesados usando los programas mencionados anteriormente; Packeteer y Coolminer.

13 – So los resultados dan suficientes pruebas y evidencias al FBI, las pueden usar contra el sospechoso.