Acta de Navegación NO certifica el contenido de una web

Recientemente un abogado, me preguntaba, cómo podría certificar los contenidos de una web, por lo visto, uno de sus clientes estaba siendo mancillado en un blog y quería adjuntar a la querella una evidencia digital que diera solidez a la demanda. Se estuvo planteando la idea de contratar un notario y que levantase un acta notarial de las injurias ya que el blog se actualizaba con bastante periodicidad. Fue así como, buscando los dos por Internet, dimos con el servicio de Colorirus "Acta de Navegación". ¿Servirá este servicio para certificar los contenidos de una web.

Figura 1: Acta de Navegación NO certifica el contenido de una web

A primera vista, según anuncia la propia web, este servicio sirve para garantizar la navegación por Internet desde un equipo a una hora en concreto mediante sellado de tiempo. Es decir, la navegación que se ve desde un equipo, y para nada que en un determinado servidor haya un determinado contenido.

Figura 2: Descripción del servicio de Acta de Navegación

Esto, para algunos, puede querer significar que se está certificando que lo que se graba es lo que hay en los servidores, pero nada más lejos de la realidad. Solo se graba que desde un equipo se comenzó una navegación a una hora concreta y que se terminó a otra hora, viéndose desde el equipo algo.

Figura 3: Dice valer como acta notarial, pero demuestra que el contenido que ves es el que hay

Con el objeto de demostrarme a mí mismo y al abogado que me solicitaba un servicio para certificar webs, que esta no es una solución hecha para esto, decidí probarme fehacientemente que sí sería posible alterar el contenido de la navegación, y certificar una navegación manipulada. Nada sería más desastroso que llevar un acta de navegación al mundo judicial y que luego un perito le sacase los colores impugnando, y con razón, la prueba que sustenta la demanda al demostrar que se pueden conseguir actas de navegación con este servicio alteradas - tal y como ya había hecho con el servicio de las fotografías con certificación de ubicación GPS en el pasado -.

Demostración de que Acta Notarial certifica lo que ves, no lo que hay

En una primera prueba de concepto, quise comprobar si sería posible certificar un contenido alterado, así que se me ocurrió hacer una prueba sencilla, y modificar mi archivos "hosts" de resolución de nombres de dominios, para redirigir el tráfico de, por ejemplo, la página del PP www.pp.es a sus amigos de Podemos www.podemos.info y ver qué pasaba. Grabé la prueba que podéis ver en el siguiente video:

Figura 4: Demostración con Acta de Navegación 1

Efectivamente, como habéis podido comprobar, tengo un certificado de navegación que garantiza que he navegado a unas determinadas horas, pero el contenido que se ve no tiene por qué estar de verdad en la web tal y como se ve en el vídeo certificado. El problema real es que alguien piense, al comprar esta solución, que esto sirve para certificar de alguna forma el contenido que hay en una web. Nada más lejos de la realidad como se puede ver.

Para que si a alguien le queda alguna dura de que esto no sirve para certificar de ninguna manera el contenido de una web, decidí dar un paso más y certificar algo más arriesgado y maligno. ¿Que tal tiendas online, con una modificación "on the fly" de los precios? Para esta segunda prueba, he usado BurpSuite gracias a una idea que me dio un amigo y su opción de "match and replace", para modificar los precios, y hacer que los productos sean un poco más asequibles.

Figura 5:  Demostración con Acta de Navegación 2

Si realmente "Acta de Navegación" ofreciera cualquier tipo de validez jurídica con respecto al contenido, acabaría de meter en un buen lío a El Corte Inglés y Mediamark, pero no es así. El sistema solo certifica que una navegación hecha desde un equipo veía a unas horas esas cosas, pero eso no demuestra que el sitio tuviera ese contenido, así que nunca en un juzgado debería ser tomada como prueba de que había un contenido cualquiera en una web. Cualquier perito forense que se precie tiraría esa prueba si se presentase como prueba en un caso.

Conclusiónes a tener en cuenta

Acta de Navegación, parte de un error grave de concepto si en algún momento hubiera pretendido ser un servicio que certificara el contenido de una servidor web. Podría servir para certificar lo que ve una máquina en un instante de tiempo, pero este resultado podría diferir entre la realidad por uso fraudulento del sistema - como se ha hecho en este caso -, por culpa de un ataque de malware que hiciera un man in the browser o de un atacante que manipule las conexiones de la red, por cualquiera de los múltiples ataques de red en IPv4 o IPv6.

Si vas a un juicio y quieres certificar que una web hay un determinado contenido, este no es el servicio de certificación de contenido en web que esperas. Hay otras soluciones que se basan en terceros de confianza que verifican el contenido de un servidor conectándose ellos mismos,  y no dejando que sea el cliente el que se conecte.

Autor: J.A.Esteban
Twitter: @Erratum_