Las tecnologías de ciberseguridad de los enanos de Tolkien

Hace un par de años, hicimos una reseña del botnet Anillo de Poder creado por el famoso ciberdelincuente Sauron (también conocido como Annatar, Mairon o Necromancer). Sin embargo, los informes del famoso experto en ciberseguridad J. R. R. Tolkien contienen mucho más que las simples descripciones de los módulos del botnet. Por ejemplo, con frecuencia, Tolkien regresa a la tecnología de la información y los sistemas de seguridad en discusiones sobre las diversas razas de la Tierra Media. En específico, describe con detalle varios sistemas de los enanos.

La puerta trasera de las Puertas de Durin

En la época de El Señor de los Anillos, el fuerte antiguo de los enanos de Moria está bajo control del Mal. En algún momento, los enanos se obsesionan con la búsqueda de mithril (una obvia criptomoneda local), bajan la guardia y, por accidente, desatan y liberan al antiguo rootkit llamado Balrog.

El rootkit, parte de una campaña de APT, había permanecido en las profundidades de las montañas desde tiempos de Melkor, un ciberdelincuente famoso y exlíder del grupo en el que el ya mencionado Sauron había iniciado su carrera delictiva. Es posible que el grupo también tuviera interés en el mithril (no es coincidencia que el rootkit Balrog y la operación minera de los enanos terminará en el mismo lugar), pero esto no se menciona explícitamente.

De cualquier forma, los enanos construyen hasta el último detalle de la infraestructura de Moria, incluida la puerta trasera occidental, llamada la Puerta de Durin, o la Puerta de los elfos. Sin embargo, después de años de abandono, nadie recuerda la contraseña para pasar por la puerta.

Tolkien presenta el proceso de apertura de la Puerta de Durin con un toque humorístico: Una vez que Gandalf y la Comunidad del Anillo llegan a las puertas, leen la inscripción “Habla, amigo, y entra”. Obviamente, la contraseña es “amigo”. En otras palabras, los enanos cometieron el mismo error que cometen muchos empleados de oficina actuales, dejando una nota con la contraseña escrita adherida al ordenador. La fortaleza de la contraseña es irrisible; imagina la seguridad de la puerta frente a un simple ataque con fuerza bruta.

Pero lo más gracioso es que la misma inscripción nos dice quién ha cometido el error: “Yo, Narvi, las hice. Celebrimbor de Hollin trazó estos signos”. Es decir, la inscripción contiene no solo la contraseña, sino también algunos datos de inicio de sesión que claramente pertenecen a usuarios con privilegios. Muchas personas utilizan las mismas contraseñas para cuentas en diferentes sistemas, por lo que podemos asumir que esta práctica es común en otras razas. Es probable que alguien pudiera utilizar estos datos de inicio de sesión y contraseña para penetrar aún más en los sistemas de Moria.

No queda claro quién cometió el error (los enanos desarrolladores o el Celebrimbor, un usuario), después de todo, las “puertas” para favorecer el comercio y la cooperación entre enanos y elfos. Yo me inclino por la segunda versión; los enanos suelen contar con mejores prácticas de seguridad.

Esteganografía en un Mapa de Thrór

Tolkien describe un ejemplo interesante de implementación de tecnología para la defensa de los enanos en El Hobbit. Cuando Smaug, una amenaza persistente avanzada, infecta y se apodera de Erebor (la Montaña Solitaria), obliga a los enanos a huir de sus hogares (de nuevo). Thrór, rey de los Durin, deja a sus descendientes un mapa con instrucciones para acceder a los sistemas de Erebor mediante la puerta trasera (llamada la Puerta Secreta) con la esperanza de que, algún día, un equipo de expertos en seguridad pudiera erradicar la invasión del dragón. La implementación del mapa es muy interesante desde el punto de vista de la ciberseguridad.

Thrór escribe una serie de instrucciones para acceder a la puerta trasera del mapa, pero para guardar el secreto, no solo utiliza Angerthas Erebor (y eso que los enanos eran muy reacios a compartir su idioma, incluso con sus aliados), sino que también utiliza el extremadamente complejo método de runas lunares para la inscripción. Esta tecnología de los enanos permite que los escritores graben texto secreto que solo es visible a la luz de la luna, y no cualquier luna, sino la luna en la misma fase que el día en que se escribió o en la misma época del año.

En otras palabras, Thrór utilizó un tipo de esteganografía al colocar información secreta en una imagen de forma que no solo sea ilegible, sino también indetectable para las personas ajenas.

La puerta secreta de la Montaña Solitaria

Igual de interesante es el mecanismo de protección de la Puerta Secreta. Para abrirla, necesitas una “curiosa llave de plata larga con dientes intrincados”. Sin embargo, de acuerdo con las instrucciones del mapa de Thrór, la sincronización es clave: Deben estar “cerca de la piedra gris cuando llame el zorzal y el sol poniente brillará sobre el ojo de la cerradora con las últimas luces del Día de Durin”.

Se desconoce cómo los enanos implementaron la parte de la tecnología donde participa el zorzal (Tolkien se reservó los detalles de la biotecnología), pero este es un ejemplo de una autentificación de múltiples factores implementada de forma muy astuta. De hecho, el Día de Durin, por la tarde, el zorzal llamó, el último rayo de la puesta del sol tocó la puerta y un fragmento de la puerta se desprendió revelando el ojo de la cerradura. En este caso, el calendario fue un factor de seguridad adicional; en el día equivocado, ni siquiera con la llave hubiera sido suficiente.

Es una lástima que Tolkien no describiera el mecanismo para devolver a su lugar la pieza que se desprende de la puerta. Tal vez el zorzal se encarga de eso.

Por supuesto, Tolkien ilustra de forma alegórica muchos más ejemplos de ciberseguridad y tecnologías de la información en sus obras. También sería interesante analizar el protocolo de telecomunicación del infame palantir, como bien nos indicaban los lectores de la primera parte. Desafortunadamente, el maestro no dejó instrucciones detalladas y los restos de información tomada de sus bocetos publicados nos dejan con más preguntas que respuestas. Sin embargo, hablaremos mucho más al respecto en una futura publicación sobre la TI de los elfos.