Leslie Nobile llevó 110 expedientes a ARIN. Once quedaron sin pruebas.

Resumen

• Leslie Nobile, directora de Servicios de Registro de ARIN, expuso en ARIN XII el 23 de octubre de 2003 cómo una alteración no autorizada de registros Whois podía aparentar que un tercero controlaba direcciones IP o números de sistema autónomo. Los bloques antiguos con contactos caducados eran un blanco habitual.
• Entre abril y octubre ARIN abrió 110 expedientes denunciados o detectados por su personal: 84 cerrados, 15 pendientes y 11 sin indicios de secuestro. El esquema de ataque incluía un posible anuncio de rutas, pero la presentación no cuantificó cuántas llegaron a anunciarse.
• Nobile describió investigaciones y herramientas de bloqueo que ARIN ya usaba, y luego alternativas aún en discusión. La sala debatió verificaciones, historial de cambios, bases separadas para recursos antiguos y la autoridad para imponer contratos o tarifas a titulares anteriores a ARIN.

La aritmética antes del susto

Hay números que invitan a un titular demasiado fácil. En la reunión ARIN XII del 23 de octubre de 2003, Leslie Nobile enseñó una tabla con 110 expedientes abiertos entre abril y octubre. Los había comunicado alguien a ARIN o los habían detectado sus propios equipos. Ochenta y cuatro estaban cerrados; quince seguían bajo investigación; once no ofrecían evidencia de secuestro. La suma cierra. También cierra la puerta a llamar «110 robos consumados» a una lista de trabajo.

Nobile dirigía los Servicios de Registro de ARIN. No estaba haciendo un recuento de rutas BGP falsas vistas en Internet ni una estimación de pérdidas económicas. Su presentación original trataba de expedientes en los que alguien podía modificar sin autorización la información de registro de una dirección IP o un ASN. El Whois pasaba entonces a mostrar un contacto que parecía tener derecho a hablar por el recurso. Una ficha pública podía convertirse en credencial de otro.

La distinción se vuelve tangible en el trabajo diario. Un operador consulta el contacto de un bloque para resolver un problema. Un empleado del registro recibe una petición de cambio y mira el historial disponible. Otra institución necesita saber a quién avisar. Si la respuesta del directorio ha sido manipulada, la falsa identidad llega acompañada de la apariencia de una fuente autorizada. El registro no entrega una corona, pero su pantalla puede parecer un sello.

ARIN enumeró las consecuencias de estos intentos: operadores confundidos, una base Whois comprometida, posibles responsabilidades, más trabajo para investigar, respuestas más lentas y costes adicionales de personal y abogados. La tabla de 110 casos decía cuánto había llegado a la mesa de Nobile; el mecanismo explicaba por qué aquel montón de expedientes importaba fuera de la oficina.

El camino hacia una ficha ajena

Una de las diapositivas dibujaba una secuencia típica. El atacante buscaba un bloque antiguo que no apareciera en las rutas, con puntos de contacto obsoletos o ausentes. Investigaba el dominio asociado, registraba uno vencido o muy parecido, y cambiaba poco a poco los datos de contacto, organización y red. Anunciar después el bloque era una posibilidad al final del trayecto. El dibujo mostraba un método observado por ARIN; la tabla de estados no decía cuáles de los 110 expedientes recorrieron cada paso.

La antigüedad del recurso pesaba. Algunos bloques se habían asignado antes de la creación de ARIN. Sus titulares podían conservar un derecho legítimo a actualizar la ficha aunque el contacto ya no respondiera o no existiera un contrato reciente con el registro. Un nombre de dominio vencido facilitaba la suplantación; una documentación de hace años complicaba verificar al titular verdadero. Una ficha dormida ofrecía al impostor espacio para contar una historia plausible a base de cambios pequeños.

Las diapositivas clasificaban aparte 45 registros heredados de clase C, 48 de clase B y uno de clase A, además de cuatro asignaciones directas y una reasignación. Esta tabla describe categorías de registros, mientras la anterior describe la situación de los expedientes. La mayoría de las entradas clasificadas eran antiguas, lo que explica el interés de Nobile por los contactos heredados. La palabra «antiguo» no resolvía la identidad de quien tenía derecho a modificar cada entrada.

En el esquema, el secuestro del registro precedía al posible secuestro de una ruta. Este orden importa. Una ficha Whois falsa puede engañar a quien valida una solicitud aun cuando nadie haya publicado todavía una ruta nueva. ARIN no aportó en esa presentación un recuento de anuncios de red realizados por impostores. Los cambios del directorio y las pruebas de encaminamiento tendrían que cotejarse expediente por expediente.

Lo que ARIN hacía y lo que proponía hacer

Nobile presentó una lista de trabajos en curso. ARIN había identificado patrones usados en modificaciones indebidas, investigaba los casos comunicados o descubiertos, documentaba cada expediente y había ajustado procesos. Cooperaba con cuerpos de seguridad y con otros registros regionales. También había creado un atributo de estado para bloquear entradas de la base. Estas acciones aparecían bajo el encabezado «What is ARIN Doing?» de la presentación de ARIN.

ARIN comunicó otra decisión de método: no trasladaba todos los incidentes a las autoridades policiales y no publicaba los detalles de las investigaciones. El público recibió la mecánica general y los totales. Esa combinación permitía discutir normas y controles sin convertir los archivos personales de cada titular en material de la reunión.

Las diapositivas siguientes cambiaban de tiempo verbal. Entre las posibles medidas estaban pedir más pruebas de identidad, revisar acuerdos y opciones legales, mostrar un historial de cambios Whois, mejorar el software de validación, comprobar los datos periódicamente y endurecer autenticación y autorización. También apareció la idea de un registro separado para recursos heredados, con dos caminos para actualizar datos: vincularse a un registro regional o validar cambios de contactos y servidores de nombres mediante un servicio tarifado. El documento proponía opciones; su ejecución requeriría decisiones posteriores.

Cada opción trataba una parte del engaño. Un historial permitía ver que el contacto nuevo había aparecido después de varios cambios. Un bloqueo frenaba solicitudes sospechosas. Una comprobación más estricta dificultaba la entrada del impostor. Al mismo tiempo, el titular auténtico de una asignación muy antigua podía carecer de los documentos que el nuevo procedimiento exigiera. Proteger una puerta puede terminar dejándola cerrada para quien tiene la llave vieja.

¿Y si el titular nunca tuvo sello de empresa?

Las actas del debate recogen una objeción directa a la propuesta de pedir sellos corporativos o números fiscales. Algunos recursos pertenecían a personas físicas. Carecían de un sello de sociedad y podían negarse a entregar un número de identificación personal. Un control pensado para empresas no era una prueba universal de legitimidad.

Otros asistentes querían aprovechar el problema para separar los recursos anteriores a ARIN de los expedientes de los miembros que pagaban tarifas. Alguien propuso hablar con los titulares antes de trasladar sus fichas. Un participante sostuvo que el historial público de cambios ayudaría a los ISP a valorar la confianza que merecía una entrada. Quien poseía un bloque heredado recordó que imponerle cuotas nuevas exigía una base contractual. Los argumentos recorrían seguridad, costes y derechos adquiridos al mismo tiempo.

La discusión tenía un centro práctico: ¿quién financia una verificación más fuerte? Mantener contactos actualizados lleva tiempo, y los expedientes discutidos necesitan investigaciones costosas. Si se carga todo a los miembros presentes, aparece la queja por subsidiar entradas históricas. Si se traslada el coste a titulares antiguos, el registro cambia una relación que nació antes que él. Si se simplifica la verificación para no molestar a nadie, el atacante conserva un camino cómodo. La sala tuvo que pensar en los incentivos que acompañarían a cualquier casilla nueva.

Nobile hablaba desde el servicio que recibía solicitudes. El informe anual de 2004 de ARIN atribuye a su departamento la entrega de recursos numéricos, los directorios de registro y rutas, el DNS inverso y la mesa de ayuda. El informe de 2003 registra su ponencia sobre secuestros. Ella llevó un problema que su equipo debía tramitar a una sala capaz de discutir las reglas y los costes de tramitarlo.

Al final recomendó a las organizaciones revisar sus fichas y las de sus clientes y usar autenticación más sólida cuando estuviera disponible. Después del diagrama del dominio vencido y los contactos viejos, ese consejo deja de sonar como mantenimiento de oficina. Cada dato abandonado puede servir de primer hilo para tejer una falsa autoridad.

Los once expedientes sin pruebas merecen el mismo espacio en esta historia que los 84 cerrados. La seguridad de un registro depende de investigar incluso cuando la sospecha no se confirma. Pero el resultado de una investigación debe conservar su nombre. Nobile mostró un volumen de trabajo real, una técnica de suplantación y una sala que entendía que corregir la base podía alterar el trato con titulares históricos. Un número exacto sirvió para iniciar un debate que ningún número podía cerrar por sí solo.