En setiembre de 2017, colaboramos con SUNEDU para solucionar un filtrado de datos personales que comprometía a todos los estudiantes del Perú. Gracias al oportuno reporte de Hiperderecho, la información personal de todos los portadores de un carné universitario válido hoy se encuentra más segura.

El problema

La historia comienza con La Liga Juvenil de Defensa de Internet, un proyecto de Hiperderecho para reunir y potenciar ideas de estudiantes universitarios que quieran hacer incidencia en la sociedad usando tecnología. En nuestras interacciones con los miembros de la Liga acabamos descubriendo que el nuevo carné universitario tiene impreso un código QR en la parte de atrás. Siguiendo nuestra curiosidad, nos pusimos a revisar qué era lo que el código contenía. Para nuestra sorpresa el código era simplemente una dirección web del siguiente formato:

https://www.carneuniversitario.com.pe/Search.aspx?CodAlumno=0180020140000

Al entrar a esta dirección, se podía ver una representación web del carné universitario original, y con algunos cambios se podían ver los datos de otros alumnos:

Sin embargo, lo que hacía potencialmente peligrosa esta representación online es que los datos como nombre, carrera, universidad, estaban todos mostrados como texto simple. Es decir, resultaban fácilmente recolectables al igual que la foto del alumno, y estaban disponible como datos para ser consumidos y guardados por cualquiera.

Peor aún, como los códigos de alumno están conformados exclusivamente por números, con algo de astucia se podía automatizar el ingresar a todos los carnés emitidos por SUNEDU, desde el “0000000000000” hasta el “9999999999999”. El sistema no impedía este tipo de consultas automatizadas, y según nuestro cálculo preliminar, en un día se podría haber descargado una copia completa de la base de datos de alumnos universitarios del Perú, incluyendo nombre completo, DNI, universidad, carrera. Todo sin vulnerar ninguna medida de seguridad ni adivinar contraseñas.

Al confirmar la gravedad del problema, preguntamos a algunos estudiantes amigos de Hiperderecho qué les parecía que su información estuviese expuesta de esta manera en internet. La mayoría se sorprendió de ver sus datos disponibles de forma tan pública, y otro buen grupo encontró innecesario que con el simple cambio de un dígito se pudiese acceder a la información de cualquier otro alumno, y no solo la personal.

Reportando el problema

Reunidas estas impresiones y el análisis y evidencia del problema, decidimos contactar a las autoridades responsables. Empezamos contactando a PeCERT, la institución del estado encargada de coordinar la respuesta ante problemas de seguridad en las plataformas digitales del estado. Nos comunicamos con PeCERT a finales de setiembre pero nunca obtuvimos respuesta. De hecho, hasta ahora no sabemos nada de ellos.

En paralelo, pudimos entablar comunicación con el área de Comunicación de SUNEDU, la entidad precisamente encargada de emitir los carnés. Gracias a la intervención del área de Comunicación, logramos canalizar nuestro descubrimiento hacia el área técnica de SUNEDU y entendieron la magnitud del problema. Al poco tiempo, logramos reunirnos con ellos para conversar más a detalle de lo ocurrido. En la reunión nos presentaron las acciones que ya habían tomado luego de nuestro reporte y que planeaban tomar: una auditoría independiente al proveedor que se encargaba de manejar el sitio carneuniversitario.com.pe (el cual resulta es el proveedor también responsable de imprimir los carnés físicos), según SUNEDU la auditoría no había encontrado signos de abuso del sistema. No tuvimos acceso a ese reporte, pero creemos que es poco probable que se haya explotado la vulnerabilidad.

Adicionalmente, el equipo de SUNEDU nos aseguró que dos medidas se implementarían tan pronto como fuese posible: (1) exigir un segundo dato único antes de mostrar los datos del carné (los últimos dígitos del DNI); y, (2) añadir una salvaguarda a usos automatizados del sitio (en este caso el aditamento reCAPTCHA de Google).

Para finales de octubre pudimos confirmar que los cambios ya se habían aplicado y el sitio ya no era susceptible al error de seguridad que habíamos detectado.

Lecciones aprendidas

Al final de la experiencia, quedamos muy satisfecho de haber encontrado en SUNEDU a una institución tan receptiva de nuestros comentarios y preocupaciones además de muy felices de haber contribuido a mejorar la seguridad de un servicio del estado.
Sin embargo, hay una lección más grande en esta historia. Seguimos igual preocupados por la manera en que instituciones del estado continúan usando nuestros datos de manera poco reflexiva, sin informarnos, y potencialmente exponiéndonos a empresas o grupos que nada tienen que ver con la relación de confianza entre ciudadanos y estado.

En este caso, tenemos que cuestionar cuál es la real utilidad de tener un código QR en el carné universitario cuando dicho código es solo un link a un sitio web que replica la información del carné. Si lo que se busca es evitar falsificaciones, ¿es realmente lo más efectivo? ¿Tiene sentido esperar que en una boletería, o en un bus, el encargado de cobrar el medio pasaje: escanee un código QR e ingrese a un sitio web en su celular solo para verificar si el carné es válido? Nuestra impresión es que la idea no tiene aplicación pragmática, más aún con los cambios ahora introducidos para asegurar el sistema contra el filtrado tremendo de datos que estaba presente en el diseño original. Consideramos que otras soluciones de verificación podrían aplicarse. Pensemos en que el DNI no tiene un sitio web donde verificarse, y no por eso la gente ha perdido confianza en ese documento.

Por otro lado, la base de datos, o cuando menos el sitio web, está alojado en un dominio privado, un .com.pe que cualquiera de nosotros pudo haber comprado, o podría comprar, y cuyos contenidos son administrados por el proveedor de la impresión de carnés universitarios para SUNEDU. No creemos que exista ningún tipo de mala fe, pero sí es necesario cuestionar si poner en manos de un tercero el distribuir esta información a través de la web es un buen cuidado de nuestro datos.

Para terminar solo nos queda desear que futuras interacciones con otras instituciones del estado en temas de seguridad digital sean tan positivas como la que tuvimos en esta ocasión con SUNEDU. Hiperderecho se debe a los ciudadanos y no a instituciones o patrocinadores, y los usuarios que merecen que su información y derechos (privacidad incluida) sean respetados por el estado.