#### Receta para activistas: <!-- .element: style="color:#bbbbbb"--> ## Monta una web anónima y resistente a la censura

Esta presentación es también una *demo* de las técnicas que propone. Puedes verla en: https://bit.do/anonweb Y su implementación (que normalmente estaría oculta) puede verse en: https://bit.do/anonwebsrc

## Contenidos - Por qué una web anónima y replicable? <!-- .element: class="fragment fade-left" --> - Evaluando la amenaza <!-- .element: class="fragment fade-left" --> - Receta <!-- .element: class="fragment fade-left" --> - Otras consideraciones <!-- .element: class="fragment fade-left" -->

## Por qué?

### Por qué *anónima*? Motivos diversos: <!-- .element: class="fragment" --> - Por autoprotección en contextos de activismo con previsible represión estatal / policial <!-- .element: class="fragment" --> - Para denunciar un conflicto laboral sin exponerse a represalias en la propia empresa <!-- .element: class="fragment" --> - Para aislar identidades (p.e. evitar que nuestra militancia nos perjudique laboralmente) <!-- .element: class="fragment" --> - Para evitar problemas en caso de violación de copyright en los contenidos <!-- .element: class="fragment" -->

### Por qué *replicable*? Si usamos infraestructuras libres y accesibles... <!-- .element: class="fragment" --> - facilitamos la edición y difusión colectiva <!-- .element: class="fragment" --> - dificultamos la censura (estrategia del "diente de león") <!-- .element: class="fragment" -->

## Evaluando la amenaza #### ¿A quién nos enfrentamos? <!-- .element: class="fragment"-->

Debemos analizar el escenario considerando: - Las capacidades del "adversario" <!-- .element: class="fragment" style="color:#1b91ff" --> - Las consecuencias si falla el anonimato <!-- .element: class="fragment" style="color:#ff5533" --> - Las contramedidas adecuadas <!-- .element: class="fragment" style="color:#17ff2e"-->

### Los nazis del barrio

#### Capacidades <!-- .element: style="color:#1b91ff" --> - Sabe entrar en facebook y hacer búsquedas <!-- .element: class="fragment" style="color:#1b91ff" --> - Tiene un primo informático <!-- .element: class="fragment" style="color:#1b91ff" --> - Tiene mucho tiempo... <!-- .element: class="fragment" style="color:#1b91ff" -->

#### Consecuencias <!-- .element: style="color:#ff5533" --> - Ciberacoso <!-- .element: class="fragment" style="color:#ff5533" --> - Agresión física <!-- .element: class="fragment" style="color:#ff5533" -->

#### Contramedidas <!-- .element: style="color:#17ff2e"--> - No publicar datos identificativos (tu foto, email, cuenta de red social, etc). <!-- .element: class="fragment" style="color:#17ff2e"--> - Eliminar los metadatos en archivos a publicar. <!-- .element: class="fragment" style="color:#17ff2e"-->

### El centro de trabajo

#### Capacidades <!-- .element: style="color:#1b91ff" --> - Acceso a mi ordenador del trabajo <!-- .element: class="fragment" style="color:#1b91ff" --> - Control del email del trabajo <!-- .element: class="fragment" style="color:#1b91ff" --> - Monitorizacion de la red propia <!-- .element: class="fragment" style="color:#1b91ff" --> - Contratación de detectives privados <!-- .element: class="fragment" style="color:#1b91ff" -->

#### Consecuencias <!-- .element: style="color:#ff5533" --> - Sanciones <!-- .element: class="fragment" style="color:#ff5533" --> - Denuncias en Juzgado <!-- .element: class="fragment" style="color:#ff5533" --> - Acoso laboral <!-- .element: class="fragment" style="color:#ff5533" --> - Despido <!-- .element: class="fragment" style="color:#ff5533" -->

#### Contramedidas <!-- .element: style="color:#17ff2e"--> - No usar los medios de la empresa (ordenadores, red, etc) <!-- .element: class="fragment" style="color:#17ff2e"-->

### Estado "democrático"

#### Capacidades <!-- .element: style="color:#1b91ff" --> - Control de infraestructuras nacionales <!-- .element: class="fragment" style="color:#1b91ff" --> - Acceso a datos de ISPs, DNS, ubicación de teléfonos, videovigilancia,... <!-- .element: class="fragment" style="color:#1b91ff" --> - Intercepción de comunicaciones (con permiso judicial) <!-- .element: class="fragment" style="color:#1b91ff" --> - Acceso físico a dispositivos personales <!-- .element: class="fragment" style="color:#1b91ff" --> - Acceso a expertos en seguridad, informática forense,... <!-- .element: class="fragment" style="color:#1b91ff" -->

#### Consecuencias <!-- .element: style="color:#ff5533" --> - Multas <!-- .element: class="fragment" style="color:#ff5533" --> - Prisión <!-- .element: class="fragment" style="color:#ff5533" -->

#### Contramedidas <!-- .element: style="color:#17ff2e"--> - Uso de criptografía fuerte en comunicaciones y dispositivos <!-- .element: class="fragment" style="color:#17ff2e"--> - Uso de navegador anónimo (p.e. Tor) <!-- .element: class="fragment" style="color:#17ff2e"--> - Uso de S.O. anónimo y desechable (p.e. Tails) <!-- .element: class="fragment" style="color:#17ff2e"--> - Aprovechamiento de fronteras jurisdiccionales <!-- .element: class="fragment" style="color:#17ff2e"--> - Formación continua en seguridad informática <!-- .element: class="fragment" style="color:#17ff2e"-->

### Estado "desatado" ### Agencia de Inteligencia

#### Capacidades <!-- .element: style="color:#1b91ff" --> - Acceso a comunicaciones sin control legal <!-- .element: class="fragment" style="color:#1b91ff" --> - Puertas traseras en compañías de comunicaciones, ISPs, ... <!-- .element: class="fragment" style="color:#1b91ff" --> - Puertas traseras y "zero-days" en teléfonos y PCs <!-- .element: class="fragment" style="color:#1b91ff" --> - Potencia de cálculo para romper criptografía <!-- .element: class="fragment" style="color:#1b91ff" --> - Acceso a los mejores expertos informáticos <!-- .element: class="fragment" style="color:#1b91ff" -->

#### Consecuencias <!-- .element: style="color:#ff5533" --> - Montajes policiales <!-- .element: class="fragment" style="color:#ff5533" --> - Prisión sin juicio <!-- .element: class="fragment" style="color:#ff5533" --> - Secuestro / desaparición <!-- .element: class="fragment" style="color:#ff5533" --> - Tortura <!-- .element: class="fragment" style="color:#ff5533" --> - Muerte <!-- .element: class="fragment" style="color:#ff5533" -->

#### Contramedidas <!-- .element: style="color:#17ff2e"--> - Buscar un pais sin convenio de extradición <!-- .element: class="fragment" style="color:#17ff2e"--> - Vigilar el cielo (por eso de los drones...) <!-- .element: class="fragment" style="color:#17ff2e"-->

## Receta #### Parte técnica. Manejaremos conceptos de: <!-- .element: class="fragment"--> #### [Tor](https://youtu.be/Sz_J6vJ4MYw?list=PLwyU2dZ3LJErtu3GGElIa7VyORE2B6H1H&t=35) <!-- .element: class="fragment"--> [, Gitlab](https://docs.gitlab.com/ee/gitlab-basics/) <!-- .element: class="fragment"--> [, bash](https://argentinaenpython.com/django-girls/tutorial/intro_to_command_line/) <!-- .element: class="fragment"--> [, Integración Continua](https://www.youtube.com/watch?v=Jav4vbUrqII) <!-- .element: class="fragment"--> [, Tails](https://www.youtube.com/watch?v=-IfbSOjTP-w)<!-- .element: class="fragment"-->

### Ingredientes - Software libre y un ordenador fiable <!-- .element: class="fragment " --> - Tor browser (y opcionalmente Tor) <!-- .element: class="fragment" --> - Dos o más emails temporales y anónimos <!-- .element: class="fragment" --> - Dos o más cuentas dedicadas en gitlab.com <!-- .element: class="fragment" --> - Una cuenta en un redireccionador de URLs <!-- .element: class="fragment" -->

### Elaboración (resumen) - Prepara la infrastructura necesaria (cuentas,...) <!-- .element: class="fragment" --> - Crea los contenidos de la web <!-- .element: class="fragment " --> - Automatiza la generación de la web y su replicación en los proyectos sacrificables <!-- .element: class="fragment" --> - Mantén una "URL corta" apuntando a un proyecto sacrificable vivo <!-- .element: class="fragment" -->

### Elaboración paso a paso:

#### 1. Usa Software Libre y máquinas bajo control exclusivo - No uses una máquina accesible por personas que no sean 100% fiables - Mejor usa sistemas libres en todo momento (GNU/Linux, BSD,...) - Considera usar maquinas virtuales (o contenedores) dedicadas: [Tails](https://tails.boum.org/), [Qubes OS](https://www.qubes-os.org/doc/live-usb/)

#### 2. Usa Tor browser - GNU/Linux, MSWindows y MacOS: **Tor Browser** - https://torproject.org/projects/torbrowser.html - Android: **Orbot**, - https://guardianproject.info/apps/orbot/

#### 3. Crea dos o más cuentas de email dedicadas y anónimas - cuentas de email temporales: - https://www.tempmailaddress.com - https://www.throwawaymail.com - https://www.emailondeck.com - ... - cuentas de email permanentes (ojo, pide tlf!) - https://protonirockerxow.onion ([protonmail](https://protonmail.com))

#### 4. Crea dos o más cuentas dedicadas en gitlab.com (paciencia con los "captchas!") - Usa un email temporal distinto en cada una - Una ("C0") será para el proyecto principal (el generador de la web) - El resto ("C1", "C2", ...) serán para proyectos sacrificables destinados a servir la página al público

#### 5. Decide cómo vas a generar la web estática - Elige un "framework" para generar webs estáticas [Jekyll](https://jekyllrb.com/) | [Hugo](https://gohugo.io/) | **>>**[reveal.js](https://github.com/hakimel/reveal.js)**<<** | [sphinx](http://www.sphinx-doc.org/) | [...](https://gitlab.com/pages) - Alternativamente, puedes generar la web *a mano*

#### 6. Crea el proyecto principal con las fuentes de la web estática - Usando la cuenta "C0", crea un proyecto "P0" **privado** usando uno de estos métodos: * a) "New Project" -> "Create from Template" * b) "fork" de un [ejemplo de pages](https://gitlab.com/pages), eliminar la relación de fork y convertir "P0" en privado * c) "New Project" -> "Blank Project" y hacer un [push **con Tor**](https://matt.traudt.xyz/p/jgcM7xTv.html) desde un repo local

#### 7. Automatiza la generación de la web estática - Edita [`.gitlab-ci.yml`](https://docs.gitlab.com/ee/ci/yaml/) en "P0" para que: 1. haya un "job" en la *stage: build* que genere el html estático en el directorio "/public" 2. **no** haya un "job" llamado "pages" (no queremos publicar desde "P0")

- **Truco**: Si creaste "P0" usando una plantilla o mediante fork de un ejemplo de gitlab, seguramente baste con los siguientes cambios: ```console "pages:" --> "build:" ``` ```console "stage: deploy" --> "stage: build:" ```

Por ejemplo, esta presentación se autogenera por el siguiente código en `gitlab-ci.yml` ```yaml build: image: "node:latest" stage: build script: - npm install --only=dev - npm install --global grunt-cli - grunt - mkdir public - mv {css,js,lib,plugin,media}/ index.html public/ artifacts: name: public expire_in: 1d paths: - public/ ```

#### 8. Crea uno o más proyectos **publicos** sacrificables en gitlab.com - Con la cuenta "C1", crea un proyecto "P1" usando la plantilla "Pages/Plain HTML" - (opcionalmente) repetir con "C2", "C3", etc.

#### 9. Automatiza la publicación de la web estática en los proyectos sacrificables - Genera claves ssh: ```console ssh-keygen -t rsa -b 4096 -C "burner" -f burner_rsa ``` - En el proyecto "P1", [añade una "deploy key"]() cuyo valor sea el contenido de *`burner_rsa.pub`* - En el proyecto "P0", [añade una variable protegida]() con el nombre `BURNER_SSH_PRIVATE_KEY` cuyo valor sea el contenido de *`burner_rsa`*

- En "P0", añade lo siguiente a *`.gitlab-ci.yml`* (sirve para enviar mediante git+Tor la web estática a "P1"), adaptando la variable BURNER_REPO ```yaml deploy_to_git: image: alpine:latest stage: deploy variables: # Edit this to point to your own burner repo !!! BURNER_REPO: git@gitlab.com:burn01/p1.git before_script: # install necessary utils - apk update && apk add git openssh-client bash tor netcat-openbsd # Configure ssh over tor, launch tor and wait until it is ready - echo "ProxyCommand nc -x 127.0.0.1:9050 %h %p" >> /etc/ssh/ssh_config - touch /tmp/tor.launching - /usr/bin/tor > /tmp/tor.launching 2>&1 & - while ! grep "Bootstrapped 100%. Done" /tmp/tor.launching;do echo -n "."; sleep 1; done # start ssh-agent & load identity - eval "$(ssh-agent -s)" - bash -c 'ssh-add <(echo "$BURNER_SSH_PRIVATE_KEY")' # add gitlab.com to known hosts to avoid interactive fingerprint checks - mkdir -p ~/.ssh/ - ssh-keyscan -t rsa gitlab.com > ~/.ssh/known_hosts # clone & configure deploy repo - git clone $BURNER_REPO tmprepo - git config --global user.name "private" - git config --global user.email "private" script: # remove old web entirely and replace it with the current one - rm -rf ./tmprepo/public - cp -r public ./tmprepo/public - cd tmprepo - if git diff --quiet public; then echo "No changes in public/ ; exiting."; exit 0; fi - git add public - git commit -m "Update web" - git push ```

#### 10. Crea una "URL corta" - Crea una cuenta en https://bit.do (que permite actualizar el destino y personalizar la URL) - Usa un email temporal nuevo - Apunta el user/pass para poder actualizar - Crea una URL memorizable que apunte a las páginas de "P1", p.e.: http://bit.do/anonweb -> https://burn01.gitlab.io/p1

### ¡Hecho! ya has montado la web anónima A partir de ahora, las ediciones que hagas en "P0" regeneraran la web y la publicarán automáticamente.<!-- .element: class="fragment " -->

## Otras consideraciones - Actuación en caso de censura <!-- .element: class="fragment " --> - Borrando rastros comprometedores de tu máquina <!-- .element: class="fragment " --> - Posibles vectores de desanonimización <!-- .element: class="fragment " -->

### Actuación en caso de censura #### ¿Si bloquean "P1"? <!-- .element: class="fragment " --> - Cambia la variable BURNER_REPO en "P0" para que apunte a "P2" <!-- .element: class="fragment" --> - Entra en bit.do, y edita el "link" para que apunte a las páginas de "P2" <!-- .element: class="fragment" --> #### ¿Y si bloquean la URL de bit.do? <!-- .element: class="fragment " --> - Crea otro link parecido y difúndelo <!-- .element: class="fragment" --> [O monta un "onion service"](https://es.wikipedia.org/wiki/.onion) <!-- .element: class="fragment " -->

### Borrando rastros comprometedores de tu máquina

##### Al acabar, no guardes nada localmente. - Para mantenimiento, usa la interfaz web de "P0"<!-- .element: class="fragment " --> - Puedes usar una cuenta independiente en gitlab como "zulo" para guardar info adicional<!-- .element: class="fragment " --> - Basta recordar la contraseña del "zulo" para tener acceso a todo.<!-- .element: class="fragment " --> - Bonus: cifra todo con gpg simétrico antes de meterlo en el "zulo" <!-- .element: class="fragment " --> - Si aún así quieres copia local: ¡siempre cifrado!<!-- .element: class="fragment " -->

##### ¿Cómo borrar? Hay que **sobreescribir** (usa [shred](https://linux.die.net/man/1/shred)) - Si has usado Tails basta con salir (Tails es "amnésica por diseño") <!-- .element: class="fragment " --> - Si has usado máquinas virtuales/contenedores, bórralos enteros <!-- .element: class="fragment " --> - Si has usado tu propio S.O., recuerda que pueden quedar rastros en cachés, logs, metadatos, "papelera de reciclaje", ... <!-- .element: class="fragment " -->

### Posibles vectores de desanonimización (... o cómo liarla parda)

- Publicación en la web de cuentas de redes sociales o datos identificativos (duh!) - Publicación de documentos con metadatos identificativos - **Contramedida:** <!-- .element: style="color:#17ff2e"--> [MAT](https://0xacab.org/jvoisin/mat2), [Scrambled Exif](https://f-droid.org/packages/com.jarsilio.android.scrambledeggsif/), ... - Publicación de fotos hechas con nuestro móvil / cámara / scanner ("[pixel fingerprinting](https://33bits.wordpress.com/2011/09/19/digital-camera-fingerprinting)") - **Contramedida:** <!-- .element: style="color:#17ff2e"--> comprimir con pérdida, p.e. jpeg~60%

- Acceso sin Tor a las cuentas dedicadas de email / gitlab / github /bit.do / ... - Hacer "push" con git desde un repo local sin cambiar *`user.name`* o *`user.email`* - Uso del mismo circuito de Tor para acceder a servicios que nos identifican

- Dejar copias locales de la web en máquinas que puedan ser inspeccionadas - Análisis estilístico (idioma, herramientas, referencias, ...) - Análisis de tráfico (correlación de horarios, etc)

### ... o dar una charla explicando cómo has hecho tu web "anónima"

### Documentación, herramientas recomendadas: - [Introducción a Tor](https://youtu.be/Sz_J6vJ4MYw?list=PLwyU2dZ3LJErtu3GGElIa7VyORE2B6H1H&t=35) - [Introducción a Gitlab-CI](https://www.youtube.com/watch?v=Jav4vbUrqII) - [Introducción a Tails](https://www.youtube.com/watch?v=-IfbSOjTP-w) - [ObscuraCam](https://guardianproject.info/apps/obscuracam/) Aplicación de cámara con opciones de privacidad