Si vives en Corea del Norte, sólo puedes usar un sistema operativo: Red Star OS (https://en.wikipedia.org/wiki/Red_Star_OS). A finales de 2014 un turista consiguió sacarlo del país y publicarlo en Internet, lo que atrajo a algunos expertos ansiosos por despiezarlo, entre ellos el español Simón Roses. El código de Red Star dice que Internet en Corea del Norte es una gran Intranet y el Sistema Operativo, un gran hermano que monitoriza sistemáticamente a una población obligada a usarlo sí o sí.

Mercè Molist Imagina que eres el enemigo número uno de Estados Unidos, principal productor de software del mundo y sospechoso de introducir puertas traseras para que las usen sus servicios secretos. ¿Instalarías programas hechos en EEUU en tus redes más sensibles? Rusia, China, India o Corea del Norte tienen claro que no y por eso han creado o están creando sus propios sistemas operativos, la mayoría versiones de GNU/Linux.

Uno de los que lleva más tiempo funcionando es el sistema operativo de Corea del Norte, Red Star OS, que el gobierno empezó a desarrollar en 2002, partiendo de la distribución Linux Fedora. A diferencia de otros países, que crean su propio sofware para usarlo sólo en puntos sensibles, como el ejército, infraestructuras críticas o agencias de inteligencia, Corea del Norte obliga a toda la población a usar Red Star.

En 2010, un estudiante ruso de visita en aquel país escribió en su blog una reseña sobre el prácticamente desconocido SO, que fue ámpliamente replicado. En 2013, otro estudiante filtró capturas de pantalla, pero no fue hasta finales del año pasado que alguien compró (sí, se puede comprar) y publicó diversos ficheros ISO del sistema operativo, que rápidamente se distribuyeron por Internet.

Expertos de todo el mundo lo han estado analizando en los últimos meses. Entre ellos, Simón Roses, CEO de la empresa de ciberseguridad VULNEX, quien se sorprendió al ver el alto grado de monitorización que aplica Red Star a sus usuarios: "Analizando el navegador podemos concluir que toda Corea del Norte es una gran red local (LAN) y que filtran la salida a Internet. Además, el navegador, una versión modificada de Firefox, envía información de las páginas que visita el usuario a un servidor controlado por el gobierno norcoreano".

Como todo sistema operativo, Red Star tiene clientes de correo, audio, vídeo y editores de texto, que son modificaciones de programas conocidos. Y además incluye un software, llamado "Contents Guard", que según el CEO de VULNEX "firma de forma oculta todo tipo de documentos y gráficos para poder identificar el origen de todos los ficheros". Como curiosidad, el salvapantallas muestra fotos de paisajes de Corea del Norte, algunos inéditos, que ilustran este artículo.

Simón Roses concluye: "Red Star es un SO para control de la población, su finalidad es controlar al ciudadano, impedir su libertad limitando su navegación y firmando todos sus documentos para identificarle". A nivel defensivo, incluye un antivirus propio y la llamada Canción de Pyongyang, un programa para gestionar un cortafuegos y un detector de intrusos.

Por su implantación generalizada en un país, Red Star podría ser primo hermano de Nova (https://en.wikipedia.org/wiki/Nova_(operating_system)), un sistema operativo creado por el gobierno cubano en 2009, con la intención de ser usado por toda la población, aunque sin las características de monitorización descubiertas en Red Star.

Otros SO gubernamentales ciñen su uso exclusivamente a ámbitos donde se maneje información sensible y su principal función no es de espionaje de la población sino defensiva, como el Chino Kylin SO (https://en.wikipedia.org/wiki/Kylin_(operating_system)), o Plan X, desarrollado por DARPA en Estados Unidos para uso militar, en operaciones de guerra cibernética.

En los últimos tiempos se están creando también SO gubernamentales para telefonía móvil, basados en Android, como la versión segura que según Simón Roses estaría desarrollando la Agencia de Sistemas de Información de Defensa de EEUU ,para ser usada en todos los dispositivos móviles del gobierno. O COS (https://en.wikipedia.org/wiki/COS_(operating_system))(China Operating System), basado en Linux y desarrollado por el gobierno chino con la intención de sustituir a Android y iOS entre la población.

"Otros países, como India, Rusia y Estados Unidos, han anunciado sus propios SO, pero no están publicados. Conseguir este tipo de software suele ser bastante complicado", afirma Simón Roses. Su importancia estratégica, por los sitios clave donde se usan, los hace especialmente codiciados: "Un país enemigo pagaría muy bien por un 0day (vulnerabilidad desconocida públicamente) que le permitiera conseguir sus objetivos ofensivos".

Es la llamada "seguridad por la oscuridad": son sistemas operativos seguros mientras no se conozca su código. Es esto lo que hace que se paguen caros los fallos que allí se descubran y no lo seguros que sean en sí mismos. En realidad son versiones más o menos securizadas de Linux, sobre todo las distribuciones Fedora y Ubuntu, que incluyen las últimas defensas conocidas a nivel de usuario y sistema operativo. En el caso de teléfonos móviles, son versiones de Android a los que se han quitado los servicios de Google.

Lo ratifica Simón Roses: "Conseguirlos es lo realmente difícil, una vez que se tiene acceso no son complicados de analizar". De hecho, asegura, cuando pudo acceder al código de Red Star fue fácil descubrir que "incluye diferentes vulnerabilidades que permiten obtener privilegios de administrador en el sistema, con el perfil desactivado por defecto".

El CEO de VULNEX imagina escenarios de infoguerra donde los estados crean falsos sistemas operativos, para que sus adversarios gasten recursos tratando de obtener copias y analizarlas; o bien sistemas operativos gubernamentales con "sorpresa": un software ofensivo que infecte a quien intente analizarlo y tome el control de su red.

Mercè Molist