Archivo de la categoría: Seguridad

Las empresas tecnológicas ante la crisis


Un reciente post de Angel Barbero reflexiona sobre las circunstancias que llevan a algunas grandes empresas tecnológicas a reducir personal.

Oski Goldfryd ha detectado que grandes profesionales ya no están en la empresa a la que les llamas.

Sin embargo yo abrigo un cierto optimismo considerando que esto de la tecnología va a ser como una glaciación. Es inevitable y lo único que podemos hacer es prepararnos para ella.

En la edad media, los campesinos se hacían sus propios zapatos. Con el tiempo, ha resultado más práctico dejar esa tarea a especialistas que optimizan mejor los costes. Sin embargo, otras habilidades que hace unos años permitian definir una profesión, en la actualidad forman parte del bagage común de las personas formadas y son meras herramientas de una actividad profesional sofisticada. La capacidad de conducir vehículos de motor, hablar idiomas, tener conocimientos legales o manejar las herramientas informáticas apenas son diferenciadoras en un contexto social altamente competitivo.

Y la tecnología, hoy en forma de web 2.0, es la salsa en la que crecen y se cuecen nuestros chavales, nativos digitales, que acceden a influencias de un mundo globalizado en el que el idioma inglés es hegémonico. Estos chavales ya no reciben influencias solo de su entorno inmediato, sino que perciben modelos en casos de éxito que se depliegan en lugares romotos. Quizá ya no debamos estar tan preocupados de que aspiren a ser funcionarios, porque acceden a más modelos, a más ejemplos. Y aunque el emprendimiento no forma parte de la carga curricular de su educación formal, pueden acceder sin problemas a plantillas de «business plan» y contactar con inversores en Silicon Valley.

Así que, quienes nos dedicamos profesionalmente al mundo de la tecnología y a intentar influir en el ritmo de cambio y adaptación de nuestra sociedad deberíamos redoblar nuestro esfuerzo para intentar que esta crisis sea breve. Porque aunque otras actividades se han ralentizado a causa de la merma de confianza económica (lo que afecta a la inversión y al consumo), la que tiene que ver con la tecnología no puede detenerse.

Yo estoy convencido de que la actividad económica relacionada con la tecnología no se detendrá y de que en la tecnología hay una esperanza de desarrollo económico y de competitividad para nuestro país. Desde luego, en el ámbito de la Seguridad TIC, creo que España empieza a ser uno de los paises de referencia y que bien podríamos desarrollar un sello de «Security made in Spain» como indicativo de excelencia.

Grupo «Evidencias Electrónicas» en LinkedIn


He creado un grupo en «Linked In«especializado en «Evidencias Electrónicas«. Es el paso hacia las Redes Sociales del Foro de las Evidencias Electrónicas.

The meeting point of spanish attorneys, judges,coroners, policemen, technologists, forensic examiners, records managers and other practitioners interested in advancing and improving electronic evidencies management and the development of laws aligned with the needs of Information Society.

No es sino la reformulación de las ideas del Foro.

Este Grupo pretende aunar los intereses de los técnicos y de los juristas, contribuyendo a que los desarrollos legislativos que se acometan en relación con las nuevas tecnologías se ponderen en la protección de los derechos de los ciudadanos y de las empresas, tal como corresponde al imperio de la ley, pero teniendo en cuenta los múltiples detalles técnicos de los que depende su aplicabilidad.

Diversos comités creados con el apoyo de los participantes llevarán a cabo propuestas concretas que elevar a los poderes públicos. Aspectos como la Firma Electrónica, la factura electrónica, el voto electrónico, la protección de la propiedad intelectual, los ilícitos tecnológicos, los ataques tecnológicos y la protección ante ellos,…

Proyecto Binum. Firma electrónica combinada RSA y curvas elípticas


En Albalia hemos creado un laboratorio de productos y servicios relacionado con la Sociedad de las Información que desarrolla mecanismos probatorios en torno a los documentos electrónicos, sistemas de notificación y publicación fehaciente y otras iniciativas avanzadas.

Cuando identificamos ciertos riesgos en el uso de algoritmos concretos de hash y de criptografía asimétrica nos planteamos la conveniencia de utilizar sistemas duales que garantizaran que si se producen colisiones respecto de un algoritmo se mantenga otro en el que la colisión respecto al mismo documento sea virtualmente imposible.

Uno de los resultados de esta iniciativa es el Proyecto Binum.

Binum es un proyecto de I+D+i realizado en cooperación por Idoneum Electronic Identity y Albalia Interactiva y con la colaboración de la Universitat de les Illes Balears que tiene por objeto la creación de un criptosistema PKI de firma electrónica que combina los algoritmos criptográficos RSA y de curvas elípticas.

Las tareas realizadas en el año 2008 para este proyecto han sido cofinanciadas por el Ministerio de Industria, Turismo y Comercio, dentro del Plan Nacional de Investigación Científica, Desarrollo e Innovación Tecnológica 2008-2011 (con referencia TSI-020100-2008-681).

El objeto del proyecto Binum es crear la tecnología suficiente para poder realizar implementaciones de sistemas PKI lo más seguras posibles llevando el estado del arte un poco más allá mediante al uso combinado de los algoritmos RSA y de curvas elípticas.

Para ello son necesarios principalmente los elementos que se detallan a continuación:

  • Estudio y propuesta de modificación de especificaciones, estándares y protocolos para la inclusión de esta novedad, que permita una evolución de los sistemas usados en la actualidad a esta nueva tecnología.
  • Realización de una aplicación que demuestre dichos conceptos.
  • El desarrollo de un dispositivo seguro de creación de firma, compatible con la definición que de éste hace la ley 59/2003, de 19 de diciembre, de firma electrónica, y el desarrollo técnico de estas características en la especificación CEN CWA 14169.
  • El desarrollo del middleware necesario para poder interactuar con el dispositivo seguro de creación de firma desde aplicaciones ejecutadas en ordenadores personales y demás sistemas.

La clave del correo electrónico de Bisbal. Ojo con las passwords


Según informa AFP, dos mujeres fueron acusadas en República Dominicana por intento de extorsión al cantante español David Bisbal, tras supuestamente exigir dinero a cambio de abstenerse de publicar datos extraídos de forma fraudulenta de su correo electrónico, según fuentes judiciales.

Las dos mujeres son Patricia Miguelina Molina Peña, una profesora de 31 años, y Massiel María Pérez Sarraf, estudiante de 21.

Ambas se encuentran en libertad condicional, por una sentencia de la Oficina Judicial de Servicios de Atención Permanente de Santo Domingo del 22 de diciembre pasado.

Aunque en principio se habló de cuatro personas involucradas, el expediente sólo implica a estas dos.

Las mujeres enfrentarán cargos por exigir 73.000 euros a cambio de no difundir a través de internet informaciones, grabaciones y fotografías íntimas del cantante David Bisbal, explicó el procurador fiscal Johnny Núñez Arroyo en el acto judicial al que tuvo acceso AFP.

La acusación tipifica el delito como chantaje, difamación, extorsión, acceso ilícito, interceptación e intervención de datos o señales, obtención ilícita de datos o señales, obtención ilícita de fondos, estafa, usos de equipos para invasión de privacidad e injuria pública.

«Mi preocupación real y mi miedo era no saber exactamente de cuánta información disponían, pues se trataba de mi cuenta privada de correo que, usualmente, uso para trabajar, mediante la cual había estado enviando y recibiendo las maquetas de mi nuevo disco interpretadas por mi propia voz», afirmó Bisbal el martes en un comunicado.

Según el procurador fiscal, las dos mujeres pedían que el intérprete de música ‘pop’ depositara el dinero en el Banco Español Sabadell, para ellas retirarlo en diferentes cuentas en bancos dominicanos.

Molina Peña y Pérez Sarraf deberán pagar garantías económicas de 100.000 pesos, unos 2.900 dólares, además de presentarse cada quince días ante el juez, hasta la decisión judicial sobre el fondo del expediente.

La técnica para adivinar la contraseña del cantante está basada en Ingeniería Social, por lo que conviene recordar una vez más las reglas a seguir para elegir buenas contraseñas.

  • La longitud de las contraseñas no debe ser inferior a los siete caracteres.
  • Las contraseñas deben estar formadas por una mezcla de caracteres alfabéticos (donde se combinen las mayúsculas y las minúsculas) y números.
  • La contraseña no debe contener el identificador o el nombre del usuario o de otras personas.
  • La contraseña no debe ser (o contener) una palabra del diccionario (de cualquier idioma).
  • La contraseña no debe ser una fecha, o un número identificable como el teléfono, el DNI, la matrícula del coche,…
  • La contraseña no debe estar compuesta por letras cuyas teclas sean consecutivas en el teclado
  • Un truco interesante es pensar en una frase (que no sea de uso muy frecuente) y utilizar laa letras iniciales de cada palabra. Ojo, que mucha gente usa este truco y acaba poniendo +vpemq100v (¿adivinas el refrán?)

Normas relativas a la seguridad


El Centro Criptológico Nacional es uno de los organismos más relevantes en lo que se refiere a la difusión de los conceptos de seguridad en España.

De su página web extraigo esta interesante lista de normas técnicas de seguridad:

[ISO-11770-3:2008]

ISO/IEC 11770-3:2008, Information technology — Security techniques — Key management — Part 3: Mechanisms using asymmetric techniques, 2008.

[ISO-27005:2008]

ISO/IEC 27005:2008, Information technology — Security techniques — Information security risk management, 2008.

[UNE-71504:2008]

UNE 71504:2008 – Metodología de análisis y gestión de riesgos de los sistemas de información, 2008.

[CCN-STIC-401:2007]

Guías Generales: Glosario y Abreviaturas. Centro Criptológico Nacional, Guía STIC 401 2007.

[ITIL:2007]

ITIL V3 Glossary, 30 May 2007

[NIST-SP800-38D:2007]

Recommendation for Block Cipher Modes of Operation: Galois/Counter, NIST Special Publication 800-38D, Nov 2007.

[NIST-SP800-57:2007]

Recommendation for Key Management – Part 1: General, NIST Special Publication 800-57, March 2007.

[NIST-SP800-94:2007]

Guide to Intrusion Detection and Prevention Systems (IDPS) NIST Special Publication 800-94, February 2007.

[ISO-11568-4:2007]

ISO 11568-4:2007, Banking — Key management (retail) — Part 4: Asymmetric cryptosystems — Key management and life cycle, 2007.

[ISO-21827:2007]

ISO/IEC 21827:2002, Information technology — Systems Security Engineering — Capability Maturity Model (SSE-CMM), 2007.

[RFC4949:2007]

RFC4949, Internet Security Glossary, Version 2, August 2007Each entry is preceded by a character — I, N, O, or D — enclosed in parentheses, to indicate the type of definition (as is explained further in Section 3):

  • «I» for a RECOMMENDED term or definition of Internet origin.
  • «N» if RECOMMENDED but not of Internet origin.
  • «O» for a term or definition that is NOT recommended for use in IDOCs but is something that authors of Internet documents should know about.
  • «D» for a term or definition that is deprecated and SHOULD NOT be used in Internet documents.

.see url:http://www.ietf.org/rfc/rfc4949

[UNE-ISO-27001_es:2007]

UNE-ISO/IEC 27001:2007, Tecnología de la información – Técnicas de seguridad – Sistemas de Gestión de la Seguridad de la Información (SGSI) – Especificaciones (ISO/IEC 27001:2005), 2007.

[BS25999-1:2006]

Business continuity management – Part 1: Code of practice. British Standard BS 25999-1:2006.

[CC:2006]

Common Criteria for Information Technology Security Evaluation, version 3.1, revision 1, September 2006.

  • Part 1 – Introduction and general model
  • Part 2 – Security functional requirements
  • Part 3 – Security assurance requirements

Also published as [ISO/IEC 15408].

[CCN-STIC-001:2006]

Políticas: Seguridad de las TIC en la Administración. Centro Criptológico Nacional, Guía STIC 001, 2006.

[CCN-STIC-002:2006]

Políticas: Definición de Criptología Nacional. Centro Criptológico Nacional, Guía STIC 002, 2006.

[CCN-STIC-003:2006]

Políticas: Uso Cifradores Certificados. Centro Criptológico Nacional, Guía STIC 003, 2006.

[CCN-STIC-103:2006]

Procedimientos: Catálogo de Productos con Certificación Criptológica Centro Criptológico Nacional, Guía STIC 103, 2006.

[CCN-STIC-150:2006]

Procedimientos: Evaluación y Clasificación Tempest de Cifradores con Certificación Criptológica. Centro Criptológico Nacional, Guía STIC 150 2006.

[CCN-STIC-151:2006]

Procedimientos: Evaluacin y Clasificacin Tempest de Equipos. Centro Criptológico Nacional, Guía STIC 151 2006.

[CCN-STIC-152:2006]

Procedimientos: Evaluacin y Clasificacin Zoning de Locales. Centro Criptológico Nacional, Guía STIC 152 2006.

[CCN-STIC-201:2006]

Normas: Organización y Gestión STIC. Centro Criptológico Nacional, Guía STIC 201 2006.

[CCN-STIC-202:2006]

Normas: Estructura y Contenido DRS. Centro Criptológico Nacional, Guía STIC 202 2006.

[CCN-STIC-203:2006]

Normas: Estructura y Contenido POS. Centro Criptológico Nacional, Guía STIC 203 2006.

[CCN-STIC-204:2006]

Normas: CO-DRS-POS Formulario Centro Criptológico Nacional, Guía STIC 204 2006.

[CCN-STIC-207:2006]

Normas: Estructura y Contenido del Concepto de Operación de Seguridad (COS). Centro Criptológico Nacional, Guía STIC 207 2006.

[CCN-STIC-301:2006]

Instrucciones Técnicas: Requisitos STIC. Centro Criptológico Nacional, Guía STIC 301 2006.

[CCN-STIC-302:2006]

Instrucciones Técnicas: Interconexión de CIS. Centro Criptológico Nacional, Guía STIC 302 2006.

[CCN-STIC-303:2006]

Instrucciones Técnicas: Inspección STIC. Centro Criptológico Nacional, Guía STIC 303 2006.

[CCN-STIC-400:2006]

Guías Generales: Manual de Seguridad de las TIC. Centro Criptológico Nacional, Guía STIC 400 2006.

[CCN-STIC-403:2006]

Guías Generales: Gestión de Incidentes de Seguridad. Centro Criptológico Nacional, Guía STIC 403 2006.

[CCN-STIC-404:2006]

Guías Generales: Control de Soportes Informáticos. Centro Criptológico Nacional, Guía STIC 404 2006.

[CCN-STIC-405:2006]

Guías Generales: Algoritmos y Parmetros de Firma Electrnica Centro Criptológico Nacional, Guía STIC 405 2006.

[CCN-STIC-406:2006]

Guías Generales: Seguridad de Redes Inalámbricas. Centro Criptológico Nacional, Guía STIC 406 2006.

[CCN-STIC-407:2006]

Guías Generales: Seguridad de Telefonía Móvil. Centro Criptológico Nacional, Guía STIC 407 2006.

[CCN-STIC-408:2006]

Guías Generales: Seguridad Perimetral – Cortafuegos. Centro Criptológico Nacional, Guía STIC 408 2006.

[CCN-STIC-414:2006]

Guías Generales: Seguridad en Voz sobre IP. Centro Criptológico Nacional, Guía STIC 414 2006.

[CCN-STIC-430:2006]

Guías Generales: Herramientas de Seguridad. Centro Criptológico Nacional, Guía STIC 430 2006.

[CCN-STIC-431:2006]

Guías Generales: Herramientas de Análisis de Vulnerabilidades. Centro Criptológico Nacional, Guía STIC 431 2006.

[CCN-STIC-432:2006]

Guías Generales: Seguridad Perimetral – Detección de Intrusos. Centro Criptológico Nacional, Guía STIC 432 2006.

[CCN-STIC-435:2006]

Guías Generales: Herramientas de Monitorización de Tráfico en Red. Centro Criptológico Nacional, Guía STIC 435 2006.

[CCN-STIC-512:2006]

Guías para Entornos Windows: Gestin de Actualizaciones de Seguridad en Sistemas Windows. Centro Criptológico Nacional, Guía STIC 512 2006.

[CCN-STIC-611:2006]

Guías para otros entornos: Configuración Segura (SuSE Linux). Centro Criptológico Nacional, Guía STIC 611 2006.

[CCN-STIC-612:2006]

Guías para otros entornos: Configuración Segura (Debian). Centro Criptológico Nacional, Guía STIC 612 2006.

[CCN-STIC-614:2006]

Guías para otros entornos: Configuración Segura (RedHat Enterprise AS 4 y Fedora). Centro Criptológico Nacional, Guía STIC 614 2006.

[CCN-STIC-641:2006]

Guías para otros entornos: Plantilla configuracin segura Routers CISCO. Centro Criptológico Nacional, Guía STIC 641 2006.

[CCN-STIC-642:2006]

Guías para otros entornos: Configuracin Segura (Switches Enterasys). Centro Criptológico Nacional, Guía STIC 642 2006.

[CCN-STIC-671:2006]

Guías para otros entornos: Configuracin Segura (Servidor Web Apache). Centro Criptológico Nacional, Guía STIC 671 2006.

[CCN-STIC-903:2006]

Informes Técnicos: kk Centro Criptológico Nacional, Guía STIC 903 2006.

[CCN-STIC-951:2006]

Informes Técnicos: kk Centro Criptológico Nacional, Guía STIC 951 2006.

[CCN-STIC-952:2006]

Informes Técnicos: kk Centro Criptológico Nacional, Guía STIC 952 2006.

[CEM:2006]

Common Evaluation Methodology, version 3.1, revision 1, September 2006. Also published as [ISO/IEC 18405].

[CNSS-4009:2006]

NATIONAL INFORMATION ASSURANCE (IA) GLOSSARY. Committee on National Security Systems. CNSS Instruction No. 4009. Revised June 2006.

[COBIT:2006]

CobiT – Control Objectives, Management Guidelines, Maturity Models. IT Gobernance Institute. Version 4.0, 2006.

[FIPS-200:2006]

FIPS 200, Minimum Security Requirements for Federal Information and Information Systems, March 2006.

[NIST7298:2006]

NIST IR 7298 Glossary of Key Information Security Terms, April 25, 2006.

[NIST-SP800-53:2006]

Recommended Security Controls for Federal Information Systems, NIST Special Publication 800-53, December 2006.

[NIST-SP800-88:2006]

Guidelines for Media Sanitization, NIST Special Publication 800-88, September 2006.

[NIST-SP800-100:2006]

Information Security Handbook: A Guide for Managers, NIST Special Publication 800-100, October 2006.

[ISO-11770-4:2006]

ISO/IEC 11770-4:2006, Information technology — Security techniques — Key management — Part 4: Mechanisms based on weak secrets, 2006.

[ISO-14888-3:2006]

ISO/IEC 14888-3:2006, Information technology — Security techniques — Digital signatures with appendix — Part 3: Discrete logarithm based mechanisms, 2006.

[ISO-18028-1:2006]

ISO/IEC 18028-1:2006, Information technology — Security techniques — IT network security — Part 1: Network security management, 2006.

[ISO-18028-2:2006]

ISO/IEC 18028-2:2006, Information technology — Security techniques — IT network security — Part 1: Network security architecture, 2006.

[ISO-18028-5:2006]

ISO/IEC 18028-5:2006, Information technology — Security techniques — IT network security — Part 5: Securing communications across networks using virtual private networks, 2006.

[ISO-18033-2:2006]

ISO/IEC 18033-2:2006, Information technology — Security techniques — Encryption algorithms — Part 2: Asymmetric ciphers 2006.

[ISO-18043:2006]

ISO/IEC 18043:2006, Information technology — Security techniques — Selection, deployment and operations of intrusion detection systems. 2006.

[ISO-19790:2006]

ISO/IEC 19790:2006, Information technology — Security techniques — Security requirements for cryptographic modules. 2006.

[CCN-STIC-101:2005]

Procedimientos: Procedimiento de Acreditacin Nacional. Centro Criptológico Nacional, Guía STIC 101, 2005.

[EBIOS:2005]

EBIOS – Expression des Besoins et Identification des Objectifs de Sécurité

[NIST-SP800-38B:2005]

Recommendation for Block Cipher Modes of Operation: The CMAC Mode for Authentication, NIST Special Publication 800-38B, May 2005.

[NIST-SP800-77:2005]

Guide to IPsec VPNs NIST Special Publication 800-77, December 2005.

[NIST-SP800-83:2005]

Guide to Malware Incident Prevention and Handling, NIST Special Publication 800-83, November 2005.

[ISO-11568:2005]

ISO 11568-1:2005, Banking — Key management (retail) — Part 1: Principles, 2005.

[ISO-11568-2:2005]

ISO 11568-2:2005, Banking — Key management (retail) — Part 2: Symmetric ciphers, their key management and life cycle, 2005.

[ISO-15443-1:2005]

ISO/IEC TR 15443:2005, Information technology — Security techniques — A framework for IT security assurance — Part 1: Overview and framework, 2005.

[ISO-17799:2005]

ISO/IEC 17799:2005, Information technology — Code of practice for information security management, 2005.

[ISO-18028-3:2005]

ISO/IEC 18028-3:2005, Information technology — Security techniques — IT network security — Part 3: Securing communications between networks using security gateways , 2005.

[ISO-18028-4:2005]

ISO/IEC 18028-4:2005, Information technology — Security techniques — IT network security — Part 4: Securing remote access, 2005.

[ISO-18031:2005]

ISO/IEC 18031:2005, Information technology — Security techniques — Random bit generation, 2005.

[ISO-18033-1:2005]

ISO/IEC 18033-1:2005, Information technology — Security techniques — Encryption algorithms — Part 1: General, 2005.

[ISO-18033-3:2005]

ISO/IEC 18033-3:2005, Information technology — Security techniques — Encryption algorithms — Part 3: Block ciphers 2005.

[ISO-18033-4:2005]

ISO/IEC 18033-4:2005, Information technology — Security techniques — Encryption algorithms — Part 3: Stream ciphers 2005.

[ISO-27001:2005]

ISO/IEC 27001:2005, Information technology — Security techniques — Information security management systems — Requirements, 2005.

[H.235:2005]

ITU-T H.235, Implementors Guide for H.235 V3: Security and encryption for H-series (H.323 and other H.245- based) multimedia terminals. (5 August 2005).

[X.509:2005]

ITU-T X.509, ISI/IEC 9594-8, Information technology – Open Systems Interconnection – The Directory: Public-key and attribute certificate frameworks. 08/2005.

[Magerit-v2:2005]

Ministerio de Administraciones Públicas, Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información, MAP, versión 2.0, 2005.

[UNE-Guide73_es:2005]

Gestión del riesgo — Vocabulario — Directrices para la utilización en las normas, 2005.

[FIPS-199:2004]

FIPS PUB 199, Standards for Security Categorization of Federal Information and Information Systems, February 2004..

[NIST-SP800-27:2004]

Engineering Principles for Information Technology Security (A Baseline for Achieving Security), NIST Special Publication 800-27 Rev. A, June 2004.

[NIST-SP800-37:2004]

Guide for the Security Certification and Accreditation of Federal Information Systems, NIST Special Publication 800-37, May 2004.

[NIST-SP800-38C:2004]

Recommendation for Block Cipher Modes of Operation: the CCM Mode for Authentication and Confidentiality, NIST Special Publication 800-38C, May 2004.

[NIST-SP800-60V2:2004]

Volume II: Appendixes to Guide for Mapping Types of Information and Information Systems to Security Categories, NIST Special Publication 800-60, June 2004.

[NIST-SP800-61:2004]

Computer Security Incident Handling Guide, NIST Special Publication 800-61, January 2004.

[ISO-9798-5:2004]

ISO/IEC 9798-5:2004, Information technology — Security techniques — Entity authentication — Part 5: Mechanisms using zero-knowledge techniques, 2004.

[ISO-10118-3:2004]

ISO/IEC 10118-3:2004 Information technology — Security techniques — Hash-functions — Part 3: Dedicated hash-functions, 2004.

[ISO-13335-1:2004]

ISO/IEC 13335-1:2004, Information technology — Security techniques — Management of information and communications technology security — Part 1: Concepts and models for information and communications technology security management, 2004.

[ISO-13888-1:2004]

ISO/IEC 13888-1:2004, IT security techniques — Non-repudiation — Part 1: General, 2004.

[ISO-15946-4:2004]

ISO/IEC 15946-4:2004 Information technology — Security techniques — Cryptographic techniques based on elliptic curves — Part 4: Digital signatures giving message recovery, 2004.

[ISO-18044:2004]

ISO/IEC TR 18044:2004, Information technology — Security techniques — Information security incident management, 2004.

[UNE-71502:2004]

UNE 71502:2004, Especificaciones para los Sistemas de Gestión de la Seguridad de la Información (SGSI), 2004.

[CRAMM:2003]

CCTA Risk Analysis and Management Method (CRAMM), Version 5.0, 2003.

[NIST-SP800-55:2003]

Security Metrics Guide for Information Technology Systems, NIST Special Publication 800-55, July 2003.

[ISO-15782-1:2003]

ISO 15782-1:2003, Certificate management for financial services — Part 1: Public key certificates, 2003.

[X.805:2003]

ITU-T X.805, Security architecture for systems providing end-to-end communications, (10/03).

[Ley-59:2003]

Ley 59/2003, de 19 de diciembre, de firma electrónica.

[Octave:2003]

C. Alberts and A. Dorofee, Managing information Security Risks. The OCTAVE Approach, Addison Wesley, 2003.

[TDIR:2003]

Texas Department of Information Resources, Practices for Protecting Information Resources Assets, Revised September 2003.

[NIST-SP800-34:2002]

Contingency Planning Guide for Information Technology Systems, NIST Special Publication 800-34, June 2002.

[ISO-Guide73:2002]

Risk management — Vocabulary — Guidelines for use in standards, 2002.

[ISO-8825-1:2002]

ISO/IEC 8825-1:2002, Information technology — ASN.1 encoding rules: Specification of Basic Encoding Rules (BER), Canonical Encoding Rules (CER) and Distinguished Encoding Rules (DER), 2002.

[ISO-9796-2:2002]

ISO/IEC 9796-2:2002, Information technology — Security techniques — Digital signature schemes giving message recovery — Part 2: Integer factorization based mechanisms, 2002.

[ISO-14516:2002]

ISO/IEC TR 14516:2002, Information technology — Security techniques — Guidelines for the use and management of Trusted Third Party services, 2002.

[ISO-15816:2002]

ISO/IEC 15816:2002, Information technology — Security techniques — Security information objects for access control, 2002.

[ISO-15939:2002]

ISO/IEC 15939:2002, Software engineering — Software measurement process, 2002.

[ISO-15945:2002]

ISO/IEC 15945:2002, Information technology — Security techniques — Specification of TTP services to support the application of digital signatures, 2002.

[ISO-15946-1:2002]

ISO/IEC 15946-1:2002, Information technology — Security techniques — Cryptographic techniques based on elliptic curves — Part 1: General, 2002.

[ISO-15946-2:2002]

ISO/IEC 15946-2:2002, Information technology — Security techniques — Cryptographic techniques based on elliptic curves — Part 2: Digital signatures, 2002.

[ISO-15946-3:2002]

ISO/IEC 15946-3:2002, Information technology — Security techniques — Cryptographic techniques based on elliptic curves — Part 3: Key establishment, 2002.

[ISO-15947:2002]

ISO/IEC TR 15947:2002, Information technology — Security techniques — IT intrusion detection framework, 2002.

[ISO-18014-1:2002]

ISO/IEC IS 18014-2:2002, Information technology — Security techniques — Time-stamping services — Part 1: Framework 2002.

[ISO-18014-2:2002]

ISO/IEC IS 18014-2:2002, Information technology — Security techniques — Time-stamping services — Part 2: Mechanisms producing independent tokens 2002.

[H.530:2002]

ITU-H H.530, Symmetric security procedures for H.323 mobility in H.510. (03/02).

[FIPS-140-2:2001]

FIPS 140-2, Security Requirements for Cryptographic Modules, May 2001.

[NIST-SP800-33:2001]

Underlying Technical Models for Information Technology Security, NIST Special Publication 800-33, December 2001.

[NIST-SP800-38A:2001]

Recommendation for Block Cipher Modes of Operation – Methods and Techniques, NIST Special Publication 800-38A, Dec 2001.

[ISO-15292:2001]

ISO/IEC 15292:2001, Information technology – Security techniques – Protection Profile registration procedures, 2001.

[CIAO:2000]

Critical Infrastructure Assurance Office, Practices for Securing Critical Information Assets, January 2000.

[FIPS-186-2:2000]

FIPS 186-2, Digital Signature Standard (DSS), January, 2000.

[ISO-9000_es:2000]

Sistemas de gestión de la calidad — Conceptos y vocabulario, 2000.

[ISO-10118-1:2000]

ISO/IEC 10118-1:2000, Information technology — Security techniques — Hash-functions — Part 1: General, 2000.

[ISO-13335-4:2000]

ISO/IEC 13335-4:2000, Information technology — Guidelines for the management of IT Security — Part 4: Selection of safeguards, 2000.

[Directive-1999/93/EC:1999]

Directive 1999/93/EC of the European Parliament and the Council of 13 December 1999 on a Community framework for electronic signatures.

[FIPS-43-3:1999]

FIPS 43-3, Data Encryption Standard (DES), October 1999 (withdrawn May 19, 2005).

[ISO-8732:1999]

ISO 8732:1988/Cor 1:1999, Banking – Key management (wholesale), 1999.

[ISO-9797-1:1999]

ISO/IEC 9797-1:1999, Information technology — Security techniques — Message Authentication Codes (MACs) — Part 1: Mechanisms using a block cipher, 1999.

[ISO-2382-8:1998]

ISO/IEC 2382-8:1998, Information technology — Vocabulary — Part 8: Security, 1998.

[ISO-14888-1:1998]

ISO/IEC 14888-1:1998, Information technology — Security techniques — Digital signatures with appendix — Part 1: General, 1998.

[CESID:1997]

Centro Superior de Información de la Defensa, Glosario de Términos de Criptología, Ministerio de Defensa, 3ª edición, 1997.

[ISO-9798-1:1997]

ISO/IEC 9798-1:1997, Information technology — Security techniques — Entity authentication — Part 1: General, 1997.

[Magerit:1997]

Ministerio de Administraciones Públicas, Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información, MAP, versión 1.0, 1997.

[Ribagorda:1997]

A. Ribagorda, Glosario de Términos de Seguridad de las T.I., Ediciones CODA, 1997.

[ISO-10181-1:1996]

ISO/IEC 10181-1:1996, ITU-T X.810, Information technology – Open Systems Interconnection – Security frameworks for open systems: Overview, 1996.

[ISO-10181-2:1996]

ISO/IEC 10181-2:1996, ITU-T X.811, Information technology — Open Systems Interconnection — Security frameworks for open systems: Authentication framework, 1996.

[ISO-11770-1:1996]

ISO/IEC 11770-1:1996, Information technology — Security techniques — Key management — Part 1: Framework, 1996.

[ISO-11770-2:1996]

ISO/IEC 11770-2:1996, Information technology — Security techniques — Key management — Part 2: Mechanisms using symmetric techniques, 1996.

[X.790:1995]

ITU-T X.790, X.790 Trouble management function for ITU-T applications. (11/95).

[X.810:1995]

ITU-T X.810, ISO/IEC 10181-1:1996, Information technology – Open Systems Interconnection – Security frameworks for open systems: Overview. (11/95).

[IRM-5239-8:1995]

IRM-5239-08A, U.S. Marine Corps, Compuer Security Procedures, 1995.

[ITSEM:1993]

ITSEM – Information Technology Security Evaluation Manual. Commission of the European Communities. 1993.

[ITSEC:1991]

ITSEC – Information Technology Security Evaluation Criteria – Harmonized Criteria of France, Germany, the Netherlands, and the United Kingdom, Version 1.1, Published by Dept. of Trade and Industry, London, 1991.

[ISO-7498-2:1989]

ISO 7498-2:1989, ITU-T X.800, Information processing systems — Open Systems Interconnection — Basic Reference Model — Part 2: Security Architecture, 1989.

[TCSEC:1985]

TCSEC – Trusted Computer Systems Evaluation Criteria, DoD 5200.28-STD, Department of Defense, United States of America, 1985

[FIPS-81:1980]

FIPS 81, DES Modes of Operation, December 1980 (withdrawn May 19, 2005).

[BLP:1976]

Bell, D. E. and LaPadula, L. J., Secure Computer Systems: Unified Exposition and Multics Interpretation, MTR-2997 Rev. 1, MITRE Corp., Bedford, Mass., March 1976.

Globant adquiere Openware por 1,5 millones de dólares


Las empresas brindan servicios de IT desde la Argentina hacia el mundo. La base es en ambos casos el código fuente abierto (open source).

Globant, empresa para el desarrollo y mantenimiento de productos de software, anunció el pasado 17 de diciembre de 2008  la adquisición de la compañía especializada en seguridad de infraestructura de redes, Openware. El valor de la operación fue de US$ 1,5 millones. Openware, empresa fundada en 1994 en Rosario, Argentina, se especializó en servicios para la gestión de infraestructura IT.

“Estamos muy entusiasmados por esta incorporación: es el segundo paso que damos en vías de consolidarnos como multinacional argentina y nos fortalece para continuar realizando adquisiciones en Argentina y América Latina”, comentó Guibert Englebienne, CTO y co-fundador de Globant. La empresa había iniciado el proceso de en julio de 2008 al integrar a la  compañía de software Accendra.

Globant nació en 2003 con capital semilla de US$ 5000. Hoy cuenta con una amplia cartera de clientes en la Argentina y en más de 35 países y una plantilla de 1.000 que trabajan en alguna de las oficinas en Buenos Aires, La Plata, Tandil, Rosario, Santiago de Chile, Bogota, México DF, Boston, Palo Alto, Austin y Londres. El año pasado facturó US$ 24 millones y para este año contemplan alcanzar la marca de US$ 40 millones. Recientemente la empresa cerró su tercera ronda de inversión con Riverwood Capital y FTVentures. “Con Openware compartimos una cultura de innovación y desafíos. Ambos somos emprendedores Endeavour, y desde nuestros inicios apostamos al país y a la calidad de nuestros profesionales. Estoy seguro de que la pasión y la visión global de Globant, combinados con la experiencia y los talentos de ambas empresas, permitirán enriquecer nuestros servicios y relaciones con clientes”, agregó Englebienne.

Por su parte, Federico Seineldin, CEO y fundador de Openware, comentó: “Esta integración es un gran hito para la industria IT. Globant es una empresa de admirable potencial, y  Openware podrá sumar su portafolio de soluciones, capacidades y experiencias luego de 14 años de reconocida operación,  Este proceso traerá un cambio positivo en la industria de servicios IT de toda la Argentina”.

Albalia Interactiva distribuye en Europa algunos servicios de Openware, como la herramienta de comprobación de vulnerabilidades Attaka, gestionada en modalidad SaaS y basada en la herramienta libre Nessus.

Visto en Info Technology.

Servicios DSS en EADTrust


EADTrustEADTrust es la denominación del conjunto de servicios on-line que impulsa Albalia, relacionados con la firma electrónica, la factura electrónica y la administración electrónica. Entre los servicios disponibles están los relacionados con el sellado de tiempo (timestamping) tan necesarios en los servicios de autenticidad de la sociedad de la información.

Desde hace unos dias hemos liberado la funcionalidad DSS (Digital Signature Service) que permite firmar electrónicamente y verificar firmas electrónicas de forma remota. Esta funcionalidad va a quedar a disposición de los integradores que van a poder desarrollar servicios cliente DSS sin coste alguno.

El entorno que ahora se publica cuenta con algunas restricciones que no se aplicarán a los servicios comerciales: solo gestionará firmas XAdES X-L , no se permitirán frecuencias de consulta o peticiones de servicio superiores a 10 por minuto, la TSA utilizada es la propia de EADTrust, los servicios de validación no son configurables.

La especificación DSS (Digital Signature Services) alcanzó el nivel de Standard de OASIS en junio de 2007, en su versión 1.0. Esta especificación simplifica la gestión de las firmas electrónicas en las organizaciones, permitiendo la definición de modelos de gestión centrados en servidores que se alinean con las arquitecturas de sistemas más avanzadas. Las claves privadas se pueden gestionar de forma segura en entornos centralizados y puede evitarse la dispersión de material criptográfico en los ordenadores individuales de los usuarios, robusteciendo la política de seguridad mientras se saca partido a las múltiples funcionalidades de la firma electrónica.

DSS describe dos protocolos de tipo petición/respuesta basados en XML, uno para generar firmas electrónicas  y otro para verificarlas. Al usar estos protocolos, un cliente puede enviar documentos al servidor y obtener el documento firmado electrónicamente, o enviar un documento firmado al servidor y obtener los datos de la comprobación de la firma electrónica.

DSS da cobertura a diferentes tipos de firmas electrónicas, como las basadas en XML and CMS. Se desarrolla sobre un núcleo de elementos y procedimientos que pueden perfilarse para proporcionar determinadas funciones como time-stamping (incluyendo los basados en XML), validaciones de vigencia de certificados de múltiples prestadores de servicios de certificación, sellos corporativos, sellos de sede electrónica, marcas de notificación o publicación fehaciente, o firma de código ejecutable.

El estándar DSS de OASIS se desarrolló gracias al esfuerzo de reprerentantes de la American Bar Association, Cancillería Federal de Austria, BEA Systems, CATCert-Agencia Catalana de Certificacio, IBM, Nokia, Universal Postal Union, y otros.

Estos servicios representan la posibilidad de que el sector privado pueda disfrutar de servicios equivalentes a los que proporciona la herramienta @firma del MAP y de la Junta de Andalucía, o PSIS (Plataforma de Servicios de Identificación y firma) de CatCert en el sector público, pero actualizados a las versiones más recientes de los estándares técnicos. También en muchos organismos del ámbito público pueden preferir el uso de EADTrust al de @firma, dependiendo de cuales sean sus necesidades en relación con la firma electrónica.

Algo muy necesario en el marco de las obligaciones marcadas por la Ley 11/2007 y la Ley 30/2007 para el sector público y la Let 22/2007 y la Ley 56/2007.

En una semana se celebra DISI 2008, que se retransmitirá por videostreaming


El Tercer Día Internacional de la Seguridad de la Información DISI 2008 se celebrará en la Escuela Universitaria de Ingeniería Técnica de Telecomunicación EUITT, en el Campus Sur de la Universidad Politécnica de Madrid, España, el próximo LUNES 1 de DICIEMBRE.

Se recuerda que la asistencia es GRATUITA y que en estos momentos sólo es posible inscribirse por teléfono al número +34 913367842, atención Dña. Beatriz Miguel. A las personas inscritas y que asistan a DISI 2008 se les entregará un Certificado de Asistencia con una formación equivalente a 5 créditos CPE, Continuing Professional Education.

La doctora Perlman dará una Rueda de Prensa de 10:45 a 12:00 horas en la Sala de Grados 3004 de la EUITT-UPM a la que están invitados todos los medios de comunicación.

Participan además el Dr. Arturo Ribagorda, Director del Grupo de Seguridad de la Información y de las Comunicaciones de la Universidad Carlos III de Madrid; D. Juan Salom, Responsable del Grupo de Delitos Telemáticos de la Guardia Civil; D. Manuel Vázquez, Jefe de la Brigada de Investigación Tecnológica de la Policía Nacional y D. Daniel Acuña, Director de Sistemas de Defensa y Seguridad de Isdefe S.A., quien amablemente ha aceptado una invitación de última hora.

DISI 2008 contará también con una Mesa Redonda dedicada a «Forensia Informática y Amenazas del Cibercrimen» donde los asistentes podrán hacer preguntas y debatir con estos expertos sobre delito informático, crimen en Internet y ciberterrorismo.

A mitad de la jornada se invitará a los asistentes a un cóctel.

El evento será transmitido por video streaming y grabado para su posterior difusión por el GATE, Gabinete de Tele-educación de la UPM:

Con más de 300 inscritos, DISI 2008 volverá a ser un referente de encuentro de profesionales de la seguridad de la información al más alto nivel científico y técnico celebrado en España.

Para mayor información, cómo llegar al Campus Sur y detalles del programa, acceder al sitio Web de la Cátedra UPM Applus+ de Seguridad y Desarrollo de la Sociedad de la Información.

http://www.capsdesi.upm.es/

Radia Perlman en DISI 2008


Jorge Ramió me envia una nota sobre lo que será este 2008 el DISI (Día Internacional de la Seguridad de la Información). Este evento se celebra desde hace dos años con gran éxito, y lo convoca CAPSDESI (la CÁTEDRA UPM APPLUS+ DE SEGURIDAD Y DESARROLLO DE LA SOCIEDAD DE LA INFORMACIÓN). Este año tiene lugar el 1 de diciembre, en el Salón de Actos del Campus Sur de la Universidad Politécnica de Madrid. 

Adjunto su nota.

Desde el año 2006 la Cátedra UPM Applus+ de Seguridad y Desarrollo de la Sociedad de la Información, CAPSDESI, viene organizando el Día Internacional de la Seguridad de la Información bajo las siglas DISI. Una iniciativa de la Association for Computing Machinery ACM que en 1988 propone celebrar todos los años, con fecha 30 de noviembre o día laboral más próximo, el Computer Security Day CSD, con el objetivo de concienciar a la sociedad sobre la importancia de la seguridad en el uso de las Nuevas Tecnologías de la Información.

La tercera edición del DISI se celebrará el lunes 1 de diciembre de 2008 desde las 09:00 hasta las 15:15 horas, en el Salón de Actos del Campus Sur de la Universidad Politécnica de Madrid, España, contando en esta ocasión con la destacada presencia de la Dra. Radia Perlman, Sun Microsystems Fellow Network Protocols and Security Project Principal Investigator en Estados Unidos, connotada investigadora de seguridad en redes, autora de dos libros sobre networking y con más de 50 patentes a su haber en Sun. La Dra. Perlman es además ganadora de varios premios, nominada en dos ocasiones como una de las 20 personas más influyentes en la industria de los Estados Unidos por Data Communications Magazine y en muchos medios de comunicación es reconocida como «la Madre de Internet» gracias a su invento del spanning-tree protocol.

DISI 2008 contará también con la participación del Dr. Arturo Ribagorda, Director del Grupo de Seguridad de la Información y de las Comunicaciones de la Universidad Carlos III de Madrid; de D. Juan Salom, Responsable del Grupo de Delitos Telemáticos de la Guardia Civil; de D. Manuel Vázquez, Jefe de la Brigada de Investigación Tecnológica de la Policía Nacional y de D. Andrés Velázquez, Director de Investigaciones Digitales de Mattica en México, todos ellos excelentes profesionales con un reconocido prestigio internacional y que presentarán el estado actual de la investigación en materias relacionadas con la seguridad, el uso de las técnicas forenses y las amenazas del cibercrimen y el ciberdelito que se ciernen sobre nuestra Sociedad de la información.

Tras estas conferencias, se realizará una Mesa Redonda con el título «Forensia Informática y Amenazas del Cibercrimen», momento oportuno para que los asistentes puedan consultar a los expertos sobre, por ejemplo, el alcance de estas amenazas, las tendencias de futuro en el malware, los avances en la guerra digital e information warfare, los peligros inherentes al mal uso de la red, la diversidad de delitos que a través de ella se cometen diariamente o el importante papel que cumple la forensia informática en la investigación y el posterior esclarecimiento de los mismos.

Como en años anteriores, algo que además es un sello característico en todas las acciones de la Cátedra UPM Applus+, la asistencia al evento es totalmente gratuita. No obstante, se requiere (y se recomienda encarecidamente por motivos logísticos) hacer la preinscripción en la plataforma Moodle del servidor Web de la cátedra www.capsdesi.upm.es, sitio donde podrá encontrar también toda la información relativa al DISI 2008. Si tuviese cualquier impedimento para realizar la inscripción mediante este medio o prefiere hacerla vía telefónica, por favor contacte con Dña. Beatriz Miguel Gutiérrez al teléfono +34 913367842.

El evento se transmitirá por videostreaming para aquellos interesados que no tengan la oportunidad de asistir al congreso. El enlace de conexión se dará a conocer unos días antes de DISI 2008, entre otros, en el sitio Web de la cátedra y en el servidor de la Red Temática Iberoamericana de Criptografía y Seguridad de la Información CriptoRed www.criptored.upm.es.

DISI 2008 cuenta con la colaboración de ASIMELEC, Red Seguridad, Hispasec Sistemas, ATI, ISSA España y Linux+.

En definitiva, una nueva ocasión para ser partícipes de interesantes conferencias impartidas por destacados ponentes de Estados Unidos, México y España, así como protagonistas del análisis del estado actual del arte en estas materias de máxima actualidad, con el objetivo de hacer nuestro el lema del Computer Security Day para este año 2008: «A Good Defense».

La máquina Enigma en España


Máquinas Enigma españolas

Máquinas Enigma españolas

Reproduzco de la edición de hoy del periódico El Pais el interesante reportaje El arma secreta de Franco.

Su autor es Rafael Moreno Izquierdo, profesor de Periodismo en la Universidad Complutense de Madrid (España) y se ha publicado el 12 de octubre de 2008 en el Suplemento Domingo (aunque la fecha de El Pais Digital es 11/10/2008).

Una investigación de EL PAÍS descubre en una oficina del Ejército de Tierra un lote de las máquinas Enigma, que, compradas a Hitler, permitieron al bando nacional encriptar mensajes.

Franco contó durante la Guerra Civil con un arma secreta que le permitió estar conectado de forma segura y permanente con sus principales generales para coordinar las ofensivas bélicas y mantener a los militares republicanos ciegos sobre sus intenciones. Era una especie de máquina de escribir que consistía en un sofisticado sistema de cifrado para su tiempo fabricado por la Alemania nazi y denominado Enigma. EL PAÍS ha encontrado estas máquinas secretas españolas, que han permanecido ocultas más de 70 años.

En una oscura oficina del cuartel general del Ejército de Tierra, muy cerca de la plaza de Cibeles, se acumulan 16 cajas de madera que hasta un chamarilero despreciaría. Sin embargo, el brigada que nos acompaña las toma con cuidado. Una a una. No sólo por su peso, unos 11,5 kilos, sino porque es consciente de que entre sus manos tiene una pieza de historia. Carecen de cañones y explosivos, pero desempeñaron un papel trascendental para que los nacionales ganaran la contienda. Las deposita sobre una larga mesa de madera de una sala de reuniones contigua. Todas son iguales. De 30 centímetros de largo, 28 de fondo y 15 de alto. Sin marcas exteriores, pero con cerradura. Cuando ha puesto varias, las abre. Se asemejan a las máquinas de escribir de nuestros abuelos. Esas que guardamos como reliquia. De color negro, destacan tres filas de teclas con 26 letras del alfabeto y los guarismos del 0 al 9 en blanco. Carecen de carro y de rodillo para colocar el papel. En su lugar hay un panel con las mismas letras que se iluminan y, además, sobresalen varios rotores con muescas que giran y unas minúsculas ventanas, a través de las que se aprecia una letra o un número. Estamos delante de uno de los objetos más deseados y buscados por expertos, coleccionistas y, sobre todo, criptógrafos, los dedicados a ingeniar métodos para enviar y recibir mensajes de forma segura. La máquina Enigma es, por excelencia, la pieza más deseada en ese mundo de secretos, a pesar de que no fuera la más perfecta, ni la más manejable ni, por supuesto, la más segura. Casi todos hemos visto las películas Enigma (2003) y U-571 (2001), que cuentan cómo los aliados obtuvieron máquinas Enigma para conocer las posiciones y movimientos de los temibles submarinos alemanes durante la II Guerra Mundial, pero pocos saben que esta guerra encubierta comenzó en los campos de batalla españoles, al ser nuestra Guerra Civil, la primera contienda donde se puso en práctica esta máquina de cifrado. Además, en muy escasas ocasiones se han descubierto tantas juntas porque había órdenes estrictas de destruirlas para que no cayeran en manos del enemigo. España fue un caso excepcional. Británicos, soviéticos y estadounidenses recuperaron algunas al final de la guerra, pero hasta ahora se conocía muy poco del destino de las Enigmas españolas. Y lo más sorprendente es su perfecto estado.

La historia de estas Enigmas comienza en el verano de 1936. En esa época, España no era, ni mucho menos, una potencia criptográfica, y la manera de ocultar sus comunicaciones telegráficas y radiales -fueran militares o diplomáticas, entre Madrid y las embajadas en el mundo- consistía en libros de cifra que transformaban la información (texto claro para los expertos) en otro ininteligible (texto cifrado) según una clave formada por conjuntos de números y letras. Entonces se carecía de sistemas mecánicos.

Hoy sabemos que Londres rompió, como dicen los criptoanalistas, los códigos y las claves españolas durante la I Guerra Mundial (1914-1918) gracias a penetrar clandestinamente en la Embajada española en Panamá y robar su libro de cifra. El 24 de agosto de 1918, los británicos entregaron fotocopias del mismo a la Oficina de Cifra de Estados Unidos -conocida como MI-8 o Black Chamber-, dirigida por el mítico criptógrafo Herbert O. Yardley, quien se puso inmediatamente manos a la obra. En escasas semanas y con la ayuda de una espía infiltrada como secretaria en la delegación española en Washington, a la que se bautizó con el nombre de Señorita Abbott, Yardley logró descifrar la clave -que denominó Número 74- y, a partir de entonces, los estadounidenses pudieron conocer los telegramas enviados por el presidente del Gobierno español, conde de Romanones, o su ministro de Estado (Exteriores), Eduardo Dato-. Algunos de ellos pueden hoy consultarse en las carpetas almacenadas en los Archivos Nacionales de Estados Unidos en Maryland.

Conscientes o no de estas debilidades, el Gobierno de la República hizo gestiones para adquirir en Europa las más modernas máquinas de cifra y mejorar la seguridad de sus comunicaciones. En 1931, el embajador en Berlín recibió una oferta para adquirir máquinas Enigma, modelo A, a un precio unitario de 600 marcos (unos 1.000 euros actuales). Sin embargo, se desechó esta opción y se optó por comprar tres máquinas tipo Kryha por 1.000 marcos cada unidad -una para el Ministerio de Estado, otra para la Embajada en Berlín y una de reserva-, que al final fueron del modelo de bolsillo Liliput. Tres años después, en 1934, el Ministerio de Estado autorizó otra compra, esta vez a través del consulado en Copenhague, de dos aparatos más por 414 pesetas.

El levantamiento del 18 de julio representó un gran reto en el campo de las comunicaciones. Sus principales líderes -Mola, Franco, Queipo de Llano- necesitaban desesperadamente intercambiar información sobre su situación y previsiones a través de la radiotelegrafía, al no estar conectadas sus zonas de operaciones. El problema radicaba en que ninguno de ellos podía utilizar los códigos y claves que tenían en servicio. Era imprescindible improvisar mecanismos mucho más seguros que los anteriores para que no pudieran ser leídos por los republicanos. Las primeras semanas fueron de confusión y precariedad, hasta el extremo de utilizarse incluso diccionarios impresos comerciales para generar los mensajes cifrados. Confirmada la necesidad de prepararse para una larga contienda, ambos bandos pusieron énfasis en la normalización de las cuestiones de cifra. Aun así no fue algo fácil, y el desconcierto llegó hasta tal extremo, que durante los primeros ocho meses de Guerra Civil, las dos marinas -la nacionalista y la republicana- usaron los mismos códigos (basados en el código Perea), aunque con algunas variaciones.

El punto de inflexión en el bando nacionalista se produce en noviembre de 1936. Las tropas de Franco habían tomado Badajoz y ampliado su ocupación en el norte, pero quedaron detenidas en Madrid. El generalísimo asumió que la guerra requería de ofensivas coordinadas en distintos frentes y una dirección centralizada. Por ello solicitó a Alemania la venta de 10 máquinas Enigma, que llegaron rápidamente para ser distribuidas: ocho entre las máximas autoridades militares y dos para los representantes nacionalistas en Berlín y Roma «para su inteligencia» con el Gobierno de Burgos. Una de las unidades se quedó en el Gabinete de Cifra del Cuartel General del Generalísimo; otra, en la Secretaría General de Estado, y el resto fueron enviadas con extremas medidas de seguridad a las principales unidades militares (Ejército del Norte, jefe de las fuerzas militares de Marruecos, Ejército del Sur, Cuerpo del Ejército de Galicia, Comandancia General de Baleares, etcétera). Algunas de estas primeras máquinas forman parte del lote descubierto en el Estado Mayor del Ejército de Tierra, y tienen como números de serie K-203, K204, K-205, K-206. K-207. K-208, A-1232, A-1233, A-1234, y A-1235.

Hitler ya había decidido entonces su firme apoyo a Franco, pero en este campo de la criptografía no fue tan generoso como en otros y no envió a España sus modelos más avanzados. Al contrario que con los carros de combate o los cazas, Berlín vendió a los nacionalistas el modelo comercial de la Enigma, muy inferior a los usados poco después por la Wehrmacht, la Abwehr y las SS. El Alto Mando Alemán era consciente del riego que corría si alguna de las máquinas caía en manos de británicos o soviéticos y, probablemente, no tenía demasiada confianza en los españoles, pues cualquier descuido dejaría esta arma secreta al descubierto.

La máquina Enigma fue creación de Hugo Alexander Koch, un ingeniero holandés que la patentó en 1920, pero que, por problemas económicos, tuvo que venderla a Arthur Scherbius y a Richard Ritter, quien a su vez se asociaron con el berlinés Willie Korn para crear la empresa Enigma Chiffiermaschinen AG. La primera versión A, orientada para asegurar las comunicaciones empresariales, se presentó en Berna en 1923. A pesar de su poco éxito, fabricaron tres modelos más comerciales (B, C, y D) antes de poner las miras en las Fuerzas Armadas y el Gobierno alemán. La primera en adoptarlo para cifrar sus comunicaciones fue la Kriegsmarine en 1926. Dos años después lo hizo el Ejército de Tierra, y a partir de 1935, el del Aire, la Gestapo, las SS y todas las organizaciones públicas alemanas, incluido su servicio secreto y de inteligencia. El Ejército alemán llegó a contar con más de 30.000 en funcionamiento, aunque se calcula que se llegaron a fabricar más de 200.000 unidades de todos los modelos.

La versión militar de la Enigma se distingue de la comercial por disponer de panel de conexiones y, en algunos casos, de un rotor más. Era considerado como un invento genial porque creaba para cada mensaje su propia clave, por lo que algunos opinaban que era el cifrador ideal, al considerarse imprevisible e indescifrable. Hay que recordar que entonces no existían ordenadores y todo el cálculo de posibilidades tenía que hacerse a mano. Los alemanes introdujeron durante la guerra innumerables modificaciones, lo que impidió que Moscú lograra su desciframiento, aunque sí lo lograron británicos y estadounidenses.

El modelo vendido a los españoles fue el D, es decir, el más avanzado dentro de la gama comercial y similar al que Berlín cedió a los italianos antes de que comenzara la guerra mundial, y posteriormente, a los suizos. En diciembre de 1939, los marinos italianos cedieron algunas a la Armada española para coordinar junto con Alemania el supuesto bloqueo de las costas españolas acordado por la Sociedad de Naciones.

El cifrado con la máquina Enigma representaba un proceso largo y pesado. Requería dos operarios que debían trabajar conjuntamente: uno pulsaba las letras, operación relativamente lenta, ya que las teclas debían presionarse con mucha fuerza para girar los rotores, y otro registraba la letra cifrada, que se encendía en el panel superior de bombillas. Las máquinas comerciales como las españolas contaban con tres rotores, mientras que el modelo militar rediseñado contaba con otros sistemas añadidos. Para descifrar los mensajes enviados se usaba el mismo sistema, pero al revés.

El encargado de recepcionar las máquinas y adiestrar a los operarios nacionales fue el comandante Antonio Sarmiento, miembro del Estado Mayor y jefe de la Oficina de Escuchas y Descifrado del Cuartel General del Generalísimo, y cuyo nombre ha sido desconocido hasta hace muy poco. En un informe redactado en Salamanca en noviembre de 1936 y guardado en el EMAD, Sarmiento describe cómo usar las máquinas y explica los ajustes necesarios para el correcto cifrado de los mensajes. «Para dar una idea del grado de seguridad que se consigue con estas máquinas», afirma, «basta decir que el número de combinaciones posibles de acordar se eleva a la fabulosa cifra de 1.252.962.387.456». En este documento se menciona otra máquina más, la K-202, que algunos afirman fue la usada por el Gabinete de Cifra del Cuartel General de Franco.

No hay fotos de operarios utilizándola, ni documentación alguna sobre los mensajes que se cifraron, pero está claro que fueron usadas para las comunicaciones más sensibles entre Franco y sus generales más significativos. También está probado que el Generalísimo la llevaba cuando se trasladaba al frente en su puesto de mando móvil Terminus y siempre la mantuvo muy cerca. Su funcionamiento fue tan satisfactorio -los republicanos nunca pudieron des-cifrarla- que, en enero de 1937, coincidiendo con la toma de Málaga por el cuerpo expedicionario italiano y la ofensiva nacionalista sobre Jarama, el Gobierno de Burgos adquirió 10 unidades más del mismo modelo (de la K-287 a K-294, más las K-225 y K-226).

Josep Ramón Soler Fuensanta, uno de los mayores conocedores de temas criptográficos españoles y autor de un reciente libro sobre el tema en unión de Francisco Javier López-Brea Espiau, afirma, asimismo, que la Legión Cóndor, la fuerza aérea enviada por Hitler a España, utilizó para sus comunicaciones máquinas Enigma del modelo comercial, y no las militares que usaron durante la II Guerra Mundial. Hay constancia de que el Grupo Imker, el componente terrestre de la Legión, manejó cinco máquinas Enigma que facturó a España a un coste de 617 marcos, o su equivalente de 2.122,48 pesetas, y 22 Enigma para el Ejército a un coste unitario de 525 marcos alemanes. Al ser facturadas por Berlín se supone que se quedaron en España tras abandonar las tropas alemanas nuestro territorio en 1939.

El caso más curioso relacionado con estas máquinas durante la contienda civil española se refiere a la desaparición de una de ellas, la número K-203, adquirida dentro del primer lote y asignada en un principio a la Secretaría General de Estado. Poco después se decide que tiene que ser enviada a Roma. Se acordó remitirla a finales de noviembre o a principios de diciembre de 1936 y en dos envíos distintos, por un lado, la máquina, y por otro, el manual de funcionamiento. Sin embargo, en diciembre de 1937 se echa en falta que la delegación continúe utilizando sólo claves y libros de códigos y nunca haya enviado telegramas con cifrado mecánico. Al final se decidió dar carpetazo al asunto.

El número exacto de Enigmas españolas continúa siendo una incógnita. El criterio más extendido es que se adquirió aproximadamente medio centenar, aunque lo más probable es que hayan sobrevivido cerca de 30, algunas incluso en manos privadas. Las investigaciones de EL PAÍS aseguran que, además de las 26 localizadas en el Cuartel General del Ejército -algunas de las cuales han sido ya distribuidas por diversos museos militares regionales y pronto serán accesibles al público-, existe más de una docena en lo que hoy es el Estado Mayor Conjunto (EMAD) y en el Centro Nacional de Inteligencia (CNI). Se supone, incluso, que la Armada pueda custodiar varias más.

Es una incógnita hasta cuándo las máquinas Enigma estuvieron en servicio en España. Según algunas fuentes, fueron retiradas a comienzos de la década de los cincuenta. A partir de entonces fueron recogidas y abandonadas en una buhardilla del Palacio de Buenavista, hasta que hace unos meses, haciendo un inventario, alguien descubrió esas cajas de madera y decidió conservarlas.