Autor: Jacobo Nájera

La industria de tecnologías para actividades de vigilancia ha llegado a México para quedarse. Anualmente no solamente se desarrollan ferias comerciales, sino también la relación entre empresas fabricantes y distribuidores con el gobierno mexicano se ha intensificado y se comienzan a ver síntomas y los efectos de las tareas de espionaje.

Diversas filtraciones, investigaciones periodísticas, así como independientes realizadas por organizaciones de la sociedad civil han dado cuenta de esta relación desde 2013.

Las compras de equipos de espionaje

Desde 2013, el laboratorio Citizen Lab de la Universidad de Toronto publicó que el equipo de espionaje de la empresa Gamma Group estaba operando en las telecomunicaciones mexicanas, lo que desembocó en una investigación empujada desde varias organizaciones de la sociedad civil. Se logró documentar, junto con trabajo periodístico, que en efecto, el software de espionaje FinFisher/FinSpy había sido adquirido por varias autoridades mexicanas a través de la empresa Obses de México.

En 2015, a raíz de una filtración masiva, supimos que el gobierno mexicano adquirió software espía de la controversial empresa italiana Hacking Team, a través del intermediario Teva Tech de México S.A de C.V. Los documentos mostraron que México es el principal cliente de esta firma a nivel mundial, habiendo adquirido licencias para el uso de las herramientas de vigilancia Galileo y DaVinci (nombres comerciales para los sistemas de control remoto Remote Control System o RCS).

Asimismo, apenas en septiembre del 2016, el New York Times revelaba que el gobierno mexicano también habría celebrado dos contratos con la empresa israelí NSO Group para adquirir el software de espionaje Pegasus.

Para finales del mismo año, se reportaron compras de equipos con capacidades de intervención de teléfonos móviles conocidos como IMSI-Catchers en 2012, 2013, 2014 y 2015 provenientes de Finlandia y Suiza.

Ahora bien, no conforme con lo anterior, el escándalo más reciente de espionaje gubernamental tuvo lugar este 19 de junio, en donde, gracias a la investigación, documentación y publicación de un informe de las organizaciones Artículo 19, Red en Defensa de los Derechos Digitales (R3D) y SocialTIC, el cual contó con la asistencia técnica del Citizen Lab, se revelaron 76 nuevos casos de intentos de infección con el malware Pegasus en contra de periodistas y defensores de derechos humanos en México.

The New York Times realizó un detallado reportaje sobre la investigación, el cual ocupó la portada del diario estadounidense:

¿Cómo se utilizan estos software?

A pesar de que el marco legal mexicano autoriza la intervención de comunicaciones privadas para la investigación de delitos – previa aprobación de la autoridad judicial federal – y de que el gobierno ha insistido en que los sistemas de vigilancia adquiridos cuentan con el aval requerido (así lo declaraba el vocero de la embajada de México en Washington, Ricardo Alday, al New York Times cuando el periódico norteamericano publicó que el gobierno de México habría celebrado, desde 2013, contratos millonarios con la empresa israelí NSO Group), la evidencia muestra que tales herramientas han sido utilizadas contra activistas, periodistas y personas que, de alguna forma, tienen opiniones disidentes o se oponen de alguna forma al gobierno en turno.

De hecho, ante las múltiples pruebas de vigilancia digital ilegal realizada con software de uso exclusivo del gobierno, el pasado 23 de mayo de 2017, organizaciones sociales que formaban parte del Secretariado Técnico Tripartita (STT) de la Alianza para el Gobierno Abierto (AGA) se retiraron del mismo:

Previo al más reciente informe, apenas el 11 de febrero, el propio The New Yok Times informó que dos miembros de organizaciones que defienden el derecho a la salud, Alejandro Calvillo, director general de El Poder del Consumidor y Luis Encarnación, coordinador de la Coalición ContraPESO, así como un investigador adscrito al Instituto Nacional de Salud Pública, el Dr. Simón Barquera, habían recibido mensajes de texto que contenían códigos invasivos del programa espía conocido como Pegasus, desarrollado por NSO Group.

El centro de investigación Citizen Lab confirmó que, durante 2016, dicho spyware buscó tomar control sobre los dispositivos de dichos activistas para espiar sus comunicaciones mientras preparaban una campaña en respaldo al impuesto a las bebidas azucaradas en el país. De acuerdo con lo señalado por el diario norteamericano:

El descubrimiento de los programas espías en los teléfonos de los impulsores de un impuesto desata preguntas sobre si las herramientas están siendo usadas para promover los intereses de la industria refresquera de México.

En su informe respecto a este caso, Citizen Lab detalla que la misma infraestructura de NSO Group fue utilizada durante 2016 en contra del periodista mexicano Rafael Cabrera – al tiempo que colaboraba en la investigación de Aristegui Noticias sobre la “Casa Blanca”, que involucra a la pareja presidencial de México en actos de corrupción. Junto con el centro Lookout detectaron y reportaron en agosto de 2016 intentos para intervenir los teléfonos celulares tanto de Cabrera como de Ahmed Mansoor, un defensor de los derechos humanos de los Emiratos Árabes Unidos.

En el reportaje especial Ciberespionaje a periodistas, la revista Proceso señala precisamente que la presencia de las compañías que comercializan este tipo de herramientas de espionaje no es nada nueva.

Existen grupos que utilizan fallos de la tecnología para hacer negocio, al explotar sus vulnerabilidades con fines específicos; tal fue el caso del ataque informático WannaCry, que secuestra computadoras y dispositivos para posteriormente demandar dinero.

A continuación se da cuenta de la botnet que estuvo detrás del ataque informático al medio de comunicación Másde131 durante 2016, en el contexto de una serie de ataques temporalmente cercanos -y con similitud en técnicas- realizados contra los sitios de Rompeviento TV y Radio Zapote.

La segunda semana de junio de 2016 la infraestructura que hace funcionar el sitio de www.masde131.com detectó que la base de datos encargada de almacenar los contenidos para el sitio había sufrido de una modificación inusual, misma que posteriormente se identificó como realizada por un intruso. Frente a esta situación de inmediato la redacción tomó la decisión de deshabilitar temporalmente el sitio web hasta tener un diagnóstico sobre el nivel de compromiso de la seguridad, con el fin de proteger la navegación de los lectores y editores.

El proceso de análisis inició con la preservación de los registros del sistema y sus configuraciones, para después extraerlos. Dichos registros permiten reconstruir las diferentes fases, técnicas involucradas y su desarrollo para determinar el nivel de compromiso; en otras palabras, los niveles de control que el atacante logró obtener ya sea parcial o completamente.

A través de pruebas de integridad de los archivos antes mencionados, los análisis identificaron lo siguiente:

1. El atacante logró obtener el control de un usuario con privilegios para escribir artículos, no para publicarlos, esto fue logrado por medio de intentos continuos de acceso con contraseñas aleatorias.
2. Con este acceso intentó repetidamente modificar las últimas entradas para colocar etiquetas html que permitieran introducir anuncios.

Una vez que logró determinarse el nivel de compromiso se decidió ejecutar un plan de recuperación desde los respaldos, tomando consideraciones y medidas de seguridad; entre ellas, un sistema especial de contención contra ataques desarrollado por Deflect de la organización Equalit.ie. Posteriormente, la investigación continuó para conocer más sobre el perfil del ataque y documentar la infraestructura involucrada.

Algunos de los requerimientos para materializar un ataque como el tratado aquí son capacidades de ancho de banda y procesamiento para realizar las peticiones de forma continua, recurrente y automática. Existen varias maneras documentadas sobre cómo obtener máquinas con ancho de banda y procesamiento para realizar los ataques, una de ellas es alquilándolas o pagando por la infraestructura directamente; otra es por medio de control remoto de computadoras o dispositivos de otras personas, usando una parte de sus recursos disponibles para así tener un conjunto de computadoras… Lo que también se conoce como un tipo de botnet.

La botnet que realizó el ataque contra el Másde131 contaba con al menos 25 mil direcciones IP, de las cuales tomamos una muestra de 1200 para posicionarla en un mapa a modo que la dirección geográfica correspondiera con el registro asociado. Esto quiere decir que cada punto en el mapa está asociado a un registro de dichas direcciones, aunque esto no necesariamente implique que la conexión provenga de los puntos señalados.

Un análisis coincidente por técnica e infraestructura, que incluso comparte varias de las direcciones IP con este caso, fue publicado por la empresa WordFence a comienzos de este año. El reporte de WordFence apunta a que una vez que la botnet logra el control de algún sitio web, busca colocar banners de anuncios de Google en los archivos de encabezado del sitio comprometido como una forma de monetizar el ataque.

Explotar la vulnerabilidad de una contraseña débil en el sitio made131.com, permitió que se obtuviera el control temporal sobre su base de datos. Sin embargo lo que realmente permitió realizar el ataque es un problema exponencial en el que estamos involucradas todas las personas que usamos tecnología, así como los fabricantes y proveedores de servicios; ya que nuestra relación con la tecnología genera un espacio en el que pueden existir grupos que exploran modelos de negocio desde la explotación de vulnerabilidades tecnológicas para generar ganancias.

Publicado en Enjambre Digital, 3 de agosto de 2017

Google y la empresa estatal de telecomunicaciones cubana ETECSA han firmado un acuerdo, contrario a los que varios medios de comunicación masivos indicaron en sus titulares, con el acuerdo solo mejorará el acceso a los productos de Google y no a internet en general.

En un comunicado de ETECSA, el acuerdo “…permitirá a los usuarios en Cuba acortar el tiempo de acceso a los contenidos de Google en internet, proporcionando una mayor velocidad y calidad en el servicio y la optimización de las capacidades de la red internacional de ETECSA”.

Por el comunicado y las declaraciones públicas de Mayra Arevich, presidenta ejecutiva  de la empresa de telecomunicaciones cubana, sobre el acuerdo firmado el primer lunes de diciembre del 2016 en La Habana, Cuba, sabemos que es para que se pueda acceder a Google Global Cache, parte de la infraestructura de Google enfocada en mejorar los tiempos de respuesta a sus servicios.

El cacheo es una técnica usada por proveedores de contenidos y servicios de Internet para, entre otros objetivos, mejorar la velocidad de acceso a sus contenidos. Por lo tanto, la mejoría en los tiempos de respuesta de acceso, que se estima será de un 20%, solo será para los servicios de Google y no para el acceso general a Internet.

La cobertura, calidad y costo para la conexión a internet en Cuba no se verá afectada por este acuerdo, solo mejora la velocidad de acceso a los productos de Google debido a la instalación de servidores de la compañía que tendrán copias locales de lo más solicitado en la isla. Actualmente, las personas en Cuba se conectan por medio de puntos de acceso WiFi colocados en 35 áreas públicas, por lo que pagan 2CUC por hora (alrededor de $2.00 USD) con una conexión de hasta 1 Mbps (1 megabit por segundo). El salario estatal promedio en Cuba es de unos $20 USD mensuales.

Google cuenta con 15 centros de datos distribuidos geográficamente en América, Europa y Asia. Además, tienen servidores distribuidos para cacheo en centros de datos que no son de su propiedad. En el siguiente mapa se muestra la distribución geográfica de los servidores para cacheo:

Pablo Mestre, integrante del Grupo de Usuarios de Tecnologías Libres de Cuba, considera que este acuerdo no afectará directamente a los cubanos y explica:

“Estos servidores están pensados para dar un acceso más rápido a los servicios de Google, pero primero debemos solucionar los problemas y limitaciones de la ultima milla para que este cambio realmente se note”.

Mestre también indicó que la conexión tendrá que ser provista por ETECSA, y por el momento no ve posible que Google tenga un centro de datos exclusivo. Esto debido a las políticas cubanas, ya que las mismas señalan que todo el tráfico y conexiones son responsabilidad exclusiva de ETECSA.

Jorge Luis Batista, coorganizador de la Conferencia Internacional de Sobre Libre en La Habana, comentó en entrevista que hay otros factores a considerar para que la instalación de servidores en Cuba de Google implique un cambio para los cubanos. En primer lugar:

“Tenemos que ser usuarios de Google, masivamente digo, y después habría que ver porque el límite de la velocidad de acceso lo pone el componente más lento. Pienso que los que tienen una conexión muy restringida, los que se conectan a través de una línea conmutada o los que tienen límite de ancho de banda como es mi caso, o los que comparten una sola conexión entre muchos van a seguir teniendo de su lado el cuello de botella y por tanto la causa de la demora en el acceso a los contenidos”.

El Consejo Económico y de Comercio de Estados Unidos y Cuba informó que los costos resultado del acuerdo serán cubiertos por Google.

Publicado en Global Voices,

Un grupo de hackers provenientes de diferentes geografías y culturas, pero unidos por la idea de construir un hardware que permita el desarrollo y operación de redes comunitarias, se ha propuesto hacer un router que han llamado LibreRouter.

En agosto de 2016, en el IETF (Grupo de Trabajo de Ingeniería de Internet, donde se normalizan los estándares de Internet), se reconoció por medio de un documento el “despliegue de redes alternativas que buscan conectar a Internet a la gente o proveer infraestructura de comunicación local.” En el documento se destaca que esta clasificación “se basa en modelos de gobernanza y de negocio alternativos y emplean arquitectura y topología diferentes a las redes tradicionales.”

Dentro de las referidas redes alternativas se encuentran las comunitarias. Hay ejemplos de estas iniciativas como AlterMundi en Argentina, Guifi.net en Cataluña, Ninux en Italia, Village Telco en Sudáfrica.

El papel que pueden jugar las redes comunitarias es variado. Por ejemplo, AlterMundi es una asociación civil argentina que fomenta la creación de redes autónomas que permiten a pueblos del país tener acceso a Internet en donde los proveedores comerciales no ven una oportunidad de negocios para llevar sus servicios.

En cuanto a la red comunitaria Ninux, los investigadores de dicha red Stefano Crabu, Federica Giovanella, Leonardo Maccari y Paolo Magaudda dicen que uno de los catalizadores para la participación y materialización de este proyecto es la constante preocupación sobre la centralización de Internet.

LibreRouter

La construcción de redes requiere de equipos físicos, entre ellos los conocidos routers, que juegan una tarea central en la interconexión de las redes.

La idea original de LibreRouter, que era fabricar un router para redes comunitarias, comenzó en 2013, durante un encuentro en Berlin con Steve Song, Elektra, Pau Escrich, Nico Echaniz, Jesica Giudice, y Gui Iribarren; provenientes de diferentes proyectos de redes comunitarias. Sin embargo, la idea se retomó a principios de 2016, en el contexto de las nuevas regulaciones que obligan a los fabricantes a restringir los routers hogareños, lo que impide las modificaciones necesarias para montar las redes comunitarias. Por otra parte, ese mismo año el proyecto ganó una subvención del Fondo Regional para la Innovación Digital en América Latina y el Caribe – una iniciativa de LACNIC – y otro del Fund for Internet Research & Education (Fondo para la Investigación y Educación de Internet) para su desarrollo.

Gui Iribarren, vicepresidente de la organización AlterMundi – una de las organizaciones gestoras del proyecto – comentó en entrevista para Global Voices:

GV: ¿En qué radican las diferencias entre este router y otros que se pueden obtener en una tienda de computadoras? ¿Qué lo hace diferente?

GI: La diferencia más fundamental radica en las libertades que ofrece. En primer lugar, evidentemente no implementamos ningún bloqueo sobre el software (como lo hacen el resto de los fabricantes, desde las nuevas regulaciones), de forma que cualquiera puede modificar el firmware de fábrica (LibreMesh, un Software Libre basado en OpenWrt/LEDE), o incluso reemplazarlo completamente por otro (“reflashearlo”) fácilmente.

Por otro lado, es un proyecto de Open-Source Hardware, es decir, publicaremos todos los documentos de diseño de la placa base para que cualquiera pueda entenderla, modificarla y producir su propia versión. No existen muchos routers en el mercado que ofrezcan esta posibilidad, y de hecho la empresa Dragino – que esta a cargo del desarrollo de la placa y tiene años de trayectoria en este rubro – ha liberado los diseños de productos anteriores.

Por último, hay diferencias enormes respecto a las prestaciones del hardware. Los routers que se comercializan (a precios accesibles) hoy en día para realizar enlaces en exterior normalmente incluyen una única radio WiFi. Existen en el mercado routers con 2 radios, pero son de uso hogareño, necesitan modificaciones de software (cada vez más difíciles) y adaptaciones físicas para que soporten la intemperie y tengan mayor alcance.

El LibreRouter está preparado de fábrica para ser instalado en exteriores y trae incluidas 3 radios que son utilizadas inteligentemente por el software LibreMesh para construir “nubes mesh” de alta performance, requieren solamente una correcta orientación de las antenas y pueden establecer dos enlaces simultáneos en la banda de 5ghz, en direcciones independientes.

De alguna manera, condensa en un único dispositivo las funciones que normalmente se obtienen combinando un router hogareño básico de 2.4ghz, y dos routers de exterior de 5ghz; pero a un costo total menor, con una instalación más sencilla, y ampliando posibilidades de desarrollo futuro.

GV: ¿Por qué una red comunitaria, como AlterMundi, necesita un LibreRouter?

GI: Las redes que fomentamos desde AlterMundi están construidas y mantenidas por gente relativamente no técnica. Con lo cual, desde el principio nos concentramos en que tanto la puesta en marcha como el mantenimiento de los nodos sean lo más simple posible. Sin embargo, con el escalamiento de las redes fuimos encontrando complejidades (como por ejemplo la necesidad de montar dos o más routers en ciertas ubicaciones) que complican el entendimiento por parte de la población en general, y por eso veníamos dándole vueltas a la idea desde 2013. El punto de inflexión ocurrió con las mencionadas restricciones de fábrica, que directamente hacen inviable la posibilidad de que gente no técnica transforme un router hogareño (económicamente accesible) en un nodo comunitario, poniendo en peligro la continuidad de las redes en todo el mundo.

[Nota de Gui Iribarren: AlterMundi no es en si misma una red comunitaria, sino una
asociación civil que fomenta la creación de redes autónomas, como QuintanaLibre, NonoLibre, etc]

Por otra parte, Pau Escrich, de la red Guifinet, escribió un artículo que tituló: “LibreRouter, un proyecto que nos hace soñar” donde concluye que se trata de un proyecto ambicioso pero que responde a una necesidad real. En sus propias palabras: “Todo un reto para los hackers de las redes libres que, en mi opinión, están cerca de dar un paso importante en favor de la libertad y autogestión de la tecnología y comunicaciones http://generiquesindiens.com/.”

Se estima la entrega a principios de 2017 de la primera versión de este router a las redes comunitarias que fomenta AlterMundi en Argentina y Village Telco en Sudáfrica. Los beneficiarios solo pagarán el precio de la fabricación del hardware (alrededor de 90€), lo que servirá para financiar la segunda etapa de producción que abrirá la posibilidad a cualquiera de adquirir un LibreRouter.

“Router”. Imagen de uso libre, Pixabay.

El pasado mes de marzo, Jamie McClelland, conocido ingeniero que trabaja en la operación de la infraestructura de MayFirst People Link¹, comenzó una charla explicando que se pueden identificar dos tipos de ataques informáticos: los enfocados a comprometer la seguridad y tomar control de la infraestructura y los dirigidos a saturarla, para que los servidores queden no disponibles para su funcionamiento. Estas categorías también pueden operar mixtamente, pero las mencionadas anteriormente son un buen punto de partida.

Entre agosto y septiembre del 2015, MayFirst People Link recibió ataques enfocados en saturar la infraestructura con el fin de volverla inoperable para sus usuarios, se trataba pues de una Denegación de servicio.

Esta Denegación de Servicio Distribuida (DDoS por sus siglas en inglés), es considerada entre los ataques más grandes por su volumen en la historia de MayFirst; en este caso se monitorearon las velocidades de los ataques, las que oscilaron entre los 20Gbps con una duración de casi tres semanas.

El ataque comenzó contra el servidor que alojaba el sitio de la organización The national network of abortion funds. Por medio del envío de tráfico a través de peticiones al servidor desde computadoras comprometidas, mismas que lograron saturarlo y dejarlo no disponible para su consulta y acceso. Más tarde, las técnicas implicadas en el ataque se hicieron más complejas, lo que ocasionó que por momentos todo MayFirst quedara intermitente para sus miembros.

Para hacer frente a estos ataques sistemáticos, MayFirst realizó tareas alrededor de la investigación, técnica y el fondeo colectivo. En ese camino se encontró con el proyecto Deflect, parte de la organización eQualit.ie. Ellos desarrollan tecnología que tiene tres principios tecnológicos fundamentales: Cacheo, Banning y Monitoreo. Pero más allá de eso, Deflect se ha logrado convertir en los últimos dos años en una comunidad de aprendizaje que estudia y hace frente creativamente al negocio de los ataques que se venden al mejor postor, y que pueden ir desde los 5 dólares hasta otro tipo de servicios a mayores costos.

En ese sentido, los aprendizajes que documenta MayFirst son, en sus propias palabras:

• Los ataques de este tipo serán más frecuentes y más graves. Es un reflejo de la agudización de la lucha política en este país como a nivel internacional.
• En lugar de depender de lo que ya está disponible en las formas típicas, nuestra organización tiene que llevar a nuestro movimiento en la búsqueda de formas innovadoras para combatir y derrotar a los tipos de ataques que acabamos enfrentar, los cuales están determinados a aumentar en el futuro.
• Las comunicaciones entre nuestros técnicos y nuestros miembros es uno de los factores más críticos en sobrevivir a este tipo de ataques. Lo hicimos mejor en este tiempo y nuestros miembros respondieron, pero hay que mejorar la velocidad de nuestras respuestas y las comunicaciones y asegurar que lleguen a todos y cada uno de nosotros.

Este artículo aborda la historia de la compra de un equipo de cómputo personal. Compré el equipo Yoga 2 de Lenovo, por sus funciones operativas, capacidad y precio en noviembre de 2014. Tenía la intención de instalar un sistema operativo de software libre GNU/Linux que está construido de una forma que permite la ejecución, copia, distribución, estudio, modificación y mejora por parte del usuario.

Fue así que descubrí una característica oculta en mi computadora llamada Secure Boot, cuya función en la práctica resultó restringir el derecho de instalar sistemas operativos diferentes al de fábrica. Nunca fui informado de esta característica al momento de la compra.

Al principio intenté resolverlo de forma técnica y con la ayuda de colegas, pero los varios intentos que hicimos no fueron exitosos. Después, elegí seguir el asunto por el camino legal, con el soporte de la organización Enjambre Digital. A partir de una serie de encuentros con los abogados de Lenovo y la Procuraduría Federal del Consumidor, la autoridad mexicana declaró a Lenovo infractor de la Ley Federal de Protección al Consumidor.

La Fundación de Software Libre (Free Software Foundation) en 2011 manifestó en una carta, firmada por más de 48 mil personas, el potencial restrictivo de Secure Boot. Por ello instaron a que los fabricantes “permitan a los propietarios de los ordenadores deshabilitar las restricciones del arranque, o proporcionarle una alternativa segura para instalar y ejecutar sistemas operativos libres de su elección”. Con mi caso, y seguramente otros parecidos, queda en evidencia que todavía falta para llegar al ideal propuesto por la carta de la FSF.

Por otro lado, mi caso comprueba que a pesar de que Lenovo aceptó la función Secure Boot establece una restricción, no logró deshabilitarla durante el litigio. Y la infracción a la ley mexicana, declarada por la autoridad encargada de la defensa de los derechos del consumidor, no logro revertir la falta de información.

El caso

Me entregaron el equipo portátil Lenovo modelo Yoga 2 que compré por medio del distribuidor Intelcompras el día 19 de noviembre de 2014.

Cuando me dispuse a instalar el sistema operativo de mi elección, descubrí que no era posible ya que la computadora tenía la llamada opción de carga Secure Boot. Esta característica obliga a que los sistemas operativos a instalar deban estar autorizados a través de firmas digitales otorgadas por Microsoft. Por esta razón, intenté desactivar Secure Boot, puesto que en la práctica impedía la instalación del sistema operativo que deseaba. Los intentos que realicé no tuvieron éxito.

Busqué apoyo de Enjambre Digital, organización de defensa de las libertades en internet, y del Rancho Electrónico, un hackerspace en la Ciudad de México.

Luego, asistí al Hackmitin, conocido por ser el encuentro de la cultura hacker en México. Allí, en conjunto con varios amigos, intentamos resolver el problema pero tampoco logramos la instalación del nuevo sistema operativo gracias a Secure Boot.

El diagnóstico técnico de los hackers confirmó que con dicha característica activada solamente es posible utilizar software que tenga la firma de Microsoft. Por lo tanto, para lograr la instalación de otro sistema operativo, como por ejemplo Debian GNU/Linux, necesitaba deshabilitar esta opción de carga o conseguir una versión autorizada por Microsoft.

El siguiente paso fue comunicarme con el proveedor y solicitar soporte técnico. El 26 de noviembre le pregunté a la cuenta verificada de Lenovo de México vía Twitter:

.@lenovoMX ¿Por qué no puedo desactivar el secure boot? Es ilegal. #UEFIhttps://t.co/00AAdaWp0A pic.twitter.com/twkYrb3TkC

— Jacobo Nájera (@jacobonajera) 26 de noviembre de 2014

Me remitieron al número 01 800 de soporte. Lo llamé, y me negaron el servicio tras explicar el problema, argumentando que no podían indicarme cómo deshabilitar Secure Boot porque la política de la empresa se los prohibía.

El camino legal

Tras agotar las alternativas técnicas a mi alcance y el soporte del fabricante, finalmente el 15 de enero de 2015 decidí interponer una queja ante la Procuraduría Federal del Consumidor de México (Profeco) en la que narré mi caso.

En la audiencia de conciliación del 17 de abril de 2015, volví a explicar el problema que tenía con el equipo de cómputo al proveedor, al árbitro de la Profeco y al abogado de Enjambre Digital. Solicité información sobre cómo podría deshabilitar el Secure Boot al abogado de Lenovo, quien respondió que no conocía sobre el problema pero que lo revisaría con el área correspondiente para buscar una solución, y me solicitó el número de serie y modelo. Profeco programó la segunda audiencia de conciliación para el 10 de junio de 2015.

El diagnostico de Lenovo

Diez días después, se comunicó telefónicamente conmigo Miguel Díaz, quien se acreditó como Customer Support Analyst de Lenovo. Me dijo que era muy sencillo desactivar el Secure Boot y me brindó una serie de opciones para que pudiera hacerlo. Para dicho propósito me hizo llegar por correo electrónico:

Buenas tarde estimado Jacobo:
En acuerdo a nuestra llamada telefónica las opciones para la correcta instalación del su sistema operativo y configuración del “secure boot” son:
Ingresar el equipo a un centro de servicio autorizado por Lenovo, ahí realizarán la configuración correcta, además a manera de excepción instalarán el sistema operativo de su preferencia mismo que debe ser proporcionado por usted junto con la licencia del software.
Envío por esta vía de un paso a paso (manual) de como activa y desactivar el “secure boot”.
Quedo atento a sus comentarios.
Saludos
Nota: Una vez el centro de servicio haya realizado las pruebas suficientes de funcionamiento será entregado el equipo, incluso podría verificar le enseñaran como activar y desactivar la opción.

Le pedí me hiciera llegar el referido manual para hacerlo por mí mismo, pero no logré desactivarlo. Entonces, decidí ingresar el equipo al servicio autorizado de Lenovo. Ahí me indicaron que lo revisarían para hacer un diagnóstico. El diagnóstico concluyó que era imposible instalar el sistema operativo de mi elección “por la tecnología que tiene de fábrica el equipo”. Se hizo constancia de dicho diagnóstico en el documento que entregó el representante legal de Lenovo a la Profeco en la segunda reunión de conciliación, que resultó fue infructuosa.

El representante legal de Lenovo declaró:

Solicito se envíe el expediente al archivo general toda vez que mi representada ingresó el equipo materia de queja al centro de servicio y este fue revisado y no muestra algún problema en su funcionamiento solamente la limitante que el consumidor manifiesta y ya le fue notificado que eso se deriva de la fabricación del equipo y sus características aclarando que mi representada no omitió información en la venta toda vez que esta fue hecha por otro proveedor denominada Intelcompras.

El abogado de Enjambre Digital y yo decidimos no aceptar la propuesta de conciliación debido a que el problema planeado por mí desde un inicio (la deshabilitación de Secure Boot) no fue resuelto.

La queja contra Lenovo

Al no lograrse la conciliación, la Profeco inició formalmente el procedimiento por infracciones a la ley en contra de Lenovo, otorgándole un término de diez días hábiles para que ofreciera las pruebas y manifestara por escrito lo que a su derecho conviniera como parte de su defensa.

Por nuestra parte, el abogado de Enjambre Digital y yo entregamos un escrito en los días siguientes en el que reiteramos los puntos expresados en la queja, y señalamos adicionalmente que no procedía sostener que la obligación de informar sobre el llamado Secure Boot corría a cargo del distribuidor (Intelcompras), como argumentaba el representante de Lenovo, por dos razones de fondo: la primera, es que Lenovo es el fabricante del bien que consiste en un equipo de cómputo, por lo que las características intrínsecas del producto son responsabilidad del mismo; y la segunda, que legalmente no pueden trasladar la responsabilidad de dichas características al vendedor/distribuidor Intelcompras.

Con los anteriores elementos expresados por mi parte y por Lenovo, la Procuraduría Federal del Consumidor resolvió que “Lenovo de México S DE RL DE CV infringió lo dispuesto en el artículo 7 de la Ley Federal de Protección al Consumidor, tal y como quedó debidamente demostrado en la presente resolución”.

El artículo 7 de la Ley Federal de Protección al Consumidor indica que:

Todo proveedor está obligado a informar y respetar los precios, tarifas, garantías, cantidades, calidades, medidas, intereses, cargos, términos, plazos, fechas, modalidades, reservaciones y demás condiciones conforme a las cuales se hubiera ofrecido, obligado o convenido con el consumidor la entrega del bien o prestación del servicio, y bajo ninguna circunstancia serán negados estos bienes o servicios a persona alguna”.

Conclusiones

Actualmente el modelo Yoga 2 de Lenovo sigue en el mercado con el Secure Boot instalado y sin la opción para deshabilitarlo. Tampoco se advierte en la documentación oficial sobre esta característica.

Las comunidades de desarrollo de software libre buscan conseguir con estrategias técnicas que los sistemas operativos que desarrollan sean autorizados por Microsoft y funcionen con Secure Boot. Sin embargo, esto no deja de ser una medida unidireccional, ya que depende de un tercero, además del fabricante, la decisión sobre las condiciones del software que hacen funcionar las computadoras, dejando al propietario de un equipo sin opciones.

Frente a un violación a la ley que tiene el potencial de impactar nuestros derechos masivamente no se espera una respuesta con acciones mínimas, por el contrario, un papel activo. Ya que la sanción económica de Profeco no solucionó la falta de información relevante para la compra, en conjunto con Enjambre Digital estamos estudiando las vías que tenemos para que este reconocimiento que hace Profeco y que califica de muy grave tenga efectos concretos.

Teclado. Imagen de Pixabay. Usada bajo licencia CC0.

Publicado en Global Voices, 5 de mayo de 2016