Las tecnologías de ciberseguridad de los enanos de Tolkien

Hace un par de años, hicimos una reseña del botnet Anillo de Poder creada por el famoso cibercriminal Sauron (también conocido como Annatar, o Mairon, o Necromancer). Sin embargo, los informes del famoso experto en ciberseguridad J. R. R. Tolkien contienen mucho más que solo descripciones de los módulos del botnet. Por ejemplo, con frecuencia, Tolkien regresa a la tecnología de la información y los sistemas de seguridad en discusiones sobre las diversas razas de la Tierra Media. En específico, describe a detalle varios sistemas de los enanos.

La puerta trasera de las Puertas de Durin

En la época de El Señor de los Anillos, el fuerte antiguo de los enanos de Moria está bajo control del Mal. En algún momento, los enanos se obsesionaron con la búsqueda de mithril (una obvia criptomoneda local), bajaron la guardia y por accidente desataron y liberaron al antiguo rootkit llamado Balrog.

El rootkit, una parte de una campaña de Amenaza Avanzada Persistente (APT), había permanecido en las profundidades debajo de las montañas desde tiempos de Melkor, un cibercriminal famoso y ex líder del grupo en el cual el ya mencionado Sauron inicio su carrera criminal. Es posible que el grupo también haya tenido interés en el mithril (no es coincidencia que el rootkit Balrog y la operación minera de los enanos terminará en el mismo lugar), pero esto no se menciona explícitamente.

De cualquier forma, los enanos construyeron hasta el último detalle de la infraestructura de Moria, incluida la puerta trasera occidental, llamada la Puerta de Durin, o la Puerta de los elfos. Sin embargo, después de años de abandono, nadie recordaba la contraseña para pasar por la puerta.

Tolkien presenta el proceso de apertura de la Puerta de Durin con un toque humorístico: Una vez que Gandalf y la Comunidad del Anillo llegan a las puertas, leen la inscripción “Habla, amigo, y entra.” Obviamente, la contraseña es “amigo”. En otras palabras, los enanos cometieron el mismo error que muchos empleados de oficina modernos cometen, y dejaron una nota autoadherible con la contraseña escrita justo en la computadora. La fortaleza de la contraseña es irrisible; imagina qué tan segura sería frente a un simple ataque con fuerza bruta.

Lo que es más gracioso es que la misma inscripción nos dice quién cometió el error: “Yo, Narvi, los hice. Celebrimbor de Hollin grabó estos signos.” En otras palabras, la inscripción contiene no solo la contraseña, sino también algunos datos de inicio de sesión que claramente pertenecen a usuarios con privilegios. Muchas personas utilizan las mismas contraseñas para cuentas en diferentes sistemas, por lo que podemos asumir que esta práctica es común en otras razas. Es probable que alguien pudiera utilizar estos datos de inicio de sesión y contraseña para penetrar aún más en los sistemas de Moria.

No queda claro quién cometió el error (los enanos desarrolladores, o el Celebrimbor, un usuario), después de todo, las “puertas” se hicieron con fines de comercio y cooperación entre enanos y elfos. Yo me inclinó por la segunda versión; los enanos tienden a tener mucho mejores prácticas de seguridad.

Esteganografía en un Mapa de Thrór

Tolkien describe un ejemplo interesante de implementación de tecnología para la defensa de los enanos en El Hobbit. Cuando Smaug, una amenaza avanzada persistente, infectó y se apoderó de Erebor (la Montaña Solitaria), obligó a los enanos a huir de sus hogares (nuevamente). Thrór, rey de los Durin, dejó a sus descendientes un mapa con instrucciones para acceder a los sistemas de Erebor mediante la puerta trasera (llamada la Puerta Secreta). Él esperaba que, algún día, un equipo de expertos en seguridad pudiera erradicar la invasión del dragón. La implementación del mapa es muy interesante desde el punto de vista de la ciberseguridad.

Thrór escribió instrucciones para obtener acceso a la puerta trasera del mapa, pero para guardar el secreto, no solo utilizó Angerthas Erebor (y los enanos eran muy reacios a compartir su idioma, incluso con sus aliados), sino que también utilizó el extremadamente complejo método de runas lunares para la inscripción. Esta tecnología de los enanos permite que los escritores graben texto secreto que solo es visible a la luz de la luna, y no cualquier luna, sino la luna en la misma fase que el día en que se escribió o en la misma época del año.

En otras palabras, Thrór utilizó un tipo de esteganografía al colocar información secreta en una imagen para que no solo sea ilegible, sino indetectable para personas ajenas.

La puerta secreta de la Montaña Solitaria

Igual de interesante es el mecanismo de protección de la Puerta Secreta. Para abrirla, necesitas una “curiosa llave de plata larga con dientes intrincados.” Sin embargo, de acuerdo con las instrucciones del mapa de Thrór, la sincronización es clave: Debían estar “cerca de la piedra gris cuando llame el zorzal, y el sol poniente brillará sobre el ojo de la cerradora con las últimas luces del Día de Durin.”

Se desconoce cómo los enanos implementaron la parte de la tecnología donde participa el zorzal (Tolkien se reservó los detalles de la biotecnología), pero este es un ejemplo de la autenticación multifactor implementada de manera astuta. De hecho, el Día de Durin, por la tarde, el zorzal llamó, el último rayo de la puesta del sol tocó la puerta, y un fragmento de la puerta se desprendió revelando el ojo de la cerradura. En este caso, el calendario fue un factor de seguridad adicional; en el día equivocado, ni siquiera tener la llave hubiera sido suficiente.

Es una lástima que Tolkien no describiera el mecanismo para regresar la pieza que se desprendió de la puerta. Tal vez el zorzal se encargó de eso.

Por supuesto, Tolkien ilustra de manera alegórica muchos ejemplos más de ciberseguridad y tecnologías de la información en sus obras. También sería interesante analizar el protocolo de telecomunicación del infame palantir, como bien nos indicaban los lectores de la primera parte. Desafortunadamente, el maestro no dejó instrucciones detalladas, y los restos de información tomada de sus bocetos publicados nos dejan con más preguntas que respuestas. Sin embargo, trataremos de hablar más al respecto en una futura publicación sobre la TI de los elfos.