El Departamento de Comercio de EE. UU. ha publicado nuevas reglas diseñadas para evitar que las empresas vendan herramientas de piratería a China, Rusia y otros países que puedan usarlas con fines nefastos.
Las nuevas reglas, que entrarán en vigencia en 90 días y fueron impulsadas por la Oficina de Industria y Seguridad (BIS, por sus siglas en inglés) del departamento, rigen la «exportación, reexportación o transferencia (dentro del país) de ciertos artículos que pueden usarse para actividades cibernéticas maliciosas».
Se prohibiría a las empresas vender alguna tecnología a ciertos países sin una licencia específica del BIS.
La secretaria de Comercio de EE. UU., Gina Raimondo, dijo en un comunicado que EE. UU. está «comprometido a trabajar con nuestros socios multilaterales para impedir la propagación de ciertas tecnologías que pueden usarse para actividades maliciosas que amenazan la seguridad cibernética y los derechos humanos».
“La regla final provisional del Departamento de Comercio que impone controles de exportación sobre ciertos artículos de seguridad cibernética es un enfoque adecuadamente diseñado que protege la seguridad nacional de Estados Unidos contra actores cibernéticos maliciosos al tiempo que garantiza actividades legítimas de seguridad cibernética”, dijo Raimondo.
La regla también certifica una nueva Excepción de Licencia de Exportaciones de Ciberseguridad Autorizadas (ACE) sobre la cual el departamento ahora está buscando comentarios públicos. El Departamento de Comercio está buscando expertos externos para informarles cómo afectará la regla a las empresas estadounidenses y a la comunidad de ciberseguridad en general.
El departamento explicó en un comunicado que la excepción «permitiría la exportación, reexportación y transferencia (dentro del país) de ‘artículos de seguridad cibernética’ a la mayoría de los destinos, manteniendo un requisito de licencia para exportaciones a países de seguridad nacional o armas de destrucción masiva». inquietud.»
Cualquier país que actualmente esté bajo un embargo de armas de EE. UU. necesitará una licencia para recibir cierta tecnología.
«Además, la excepción de licencia ACE impondría una restricción de uso final en circunstancias en las que el exportador, reexportador o cedente sabe o tiene motivos para saber en el momento de la exportación, reexportación o transferencia (en el país), incluida una supuesta exportación o reexportación, que el ‘elemento de ciberseguridad’ se utilizará para afectar la confidencialidad, integridad o disponibilidad de la información o los sistemas de información, sin la autorización del propietario, operador o administrador del sistema de información (incluida la información y procesos dentro de tales sistemas)», explicó el Departamento de Comercio.
El departamento señaló que la regla está en línea con el Acuerdo de Wassenaar, que rige voluntariamente las políticas de exportación de 42 países diferentes en torno a «tecnologías militares y de doble uso».
Estados Unidos es uno de los últimos países que forma parte del Acuerdo de Wassenaar en aprobar reglas como esta. China e Israel no son miembros del Acuerdo de Wassenaar, pero Rusia sí lo es.
Las reglas surgen después de una protesta internacional por una serie de revelaciones sobre los expertos estadounidenses y la tecnología que utilizan las dictaduras represivas. Estados Unidos multó fuertemente a tres ex funcionarios de la NSA el mes pasado por proporcionar a los Emiratos Árabes Unidos una lista de poderosas herramientas de piratería.
Los tres ex funcionarios de inteligencia de EE. UU. formaban parte del Proyecto Raven, un esfuerzo de los Emiratos Árabes Unidos para espiar a activistas de derechos humanos, políticos y disidentes que se oponen al gobierno. Los tres incluso piratearon empresas estadounidenses, creando dos exploits que se usaron para ingresar a los teléfonos inteligentes.
Los funcionarios israelíes continúan enfrentándose a reacciones violentas debido a las herramientas proporcionadas por NSO Group, una empresa privada que vende potentes programas espía a dictaduras y grupos de ciberdelincuentes.
The Washington Post fue el primero en informar sobre las nuevas reglas del Departamento de Comercio, y señaló que las reglas estaban dirigidas específicamente a las empresas que venden a Rusia y China. La regla es complicada debido a excepciones específicas destinadas a apaciguar a los investigadores de seguridad cibernética que durante mucho tiempo se quejaron de cómo las reglas potenciales les dificultarían compartir información defensiva con otros en el extranjero.
Uno de los problemas más espinosos que detuvo la regla durante años fue la venta de herramientas de prueba de penetración, que se permitirán sin licencia para ciertos países pero no para otros.
Jonathan Reiber, quien anteriormente se desempeñó como director de estrategia para política cibernética en la Oficina del Secretario de Defensa de EE. UU. durante la administración de Obama, dijo que tomó mucho tiempo implementar las reglas porque el gobierno tuvo que sopesar el potencial costos y beneficios para cualquier control de exportación.
«No es solo el momento de la deliberación dentro de las agencias gubernamentales de EE. UU. y con el Congreso, sino entre el gobierno, la industria privada y la comunidad investigadora. Si observa la regla en sí e imagina la cantidad de abogados en varias agencias que tienen que estar de acuerdo para el lenguaje antes de que una regla pueda surgir públicamente, puede comenzar a tener una idea de por qué la reforma del control de exportaciones es un proceso lento», dijo Reiber.
«El Acuerdo de Wassenaar ha estado vigente durante décadas, y a medida que maduró durante los últimos once años a través del proceso de reforma del control de exportaciones, informando la adopción de los controles dentro de él por parte de los estados, surgieron preguntas legítimas sobre cómo un posible control de exportaciones podría afectar negativamente afectar el desarrollo y el uso de software de prueba destinado a mejorar la ciberseguridad».
Reiber dijo que esta pregunta era difícil de resolver porque el proceso de reforma del control de exportaciones debe mantener dos principios en equilibrio: abstenerse de impactar negativamente en la innovación de la industria y al mismo tiempo controlar los posibles escenarios negativos que pueden surgir de la proliferación de un arma potencialmente peligrosa o tecnología de doble uso.
«Divulgaciones recientes dejaron en claro los riesgos que puede plantear la proliferación de dicho software, en particular para las personas objetivo, los grupos disidentes y las poblaciones vulnerables que viven a merced de los regímenes opresores», agregó Reiber. «Estos eventos ciertamente pueden haber acelerado el desarrollo de las reglas».
Chris Clements, vicepresidente de arquitectura de soluciones de Cerberus Sentinel, dijo que no prevé que estas reglas tengan un impacto significativo en las capacidades ofensivas generales de muchos países por varias razones.
Algunos de los mayores proveedores de este tipo de software tienen su sede fuera de los EE. UU., donde es posible que la regulación no los afecte, explicó, y agregó que muchas de las herramientas más utilizadas son de código abierto por naturaleza.
La naturaleza de código abierto de ciertas herramientas hace que no quede claro cómo afectarán estas reglas a su distribución.
«Incluso si las organizaciones de alojamiento de código abierto comunes, como GitHub o Gitlab, promulgaran restricciones de GeoIP en la descarga de dicho software de intrusión designado, parecería trivial para una nación prohibida simplemente VPN a través de un proveedor de VPN común para eludir tales restricciones». dijo Clemente.
«Finalmente, a menudo sucede que los actores en estas jurisdicciones hacen uso de versiones pirateadas de herramientas comerciales, evitando por completo la necesidad de adquirir el software legítimamente».
