Un informático en el lado del mal

• Una charla en "Todo Llega"

  Mi amigo David Santiago, que es un comunicador excepcional, tiene una iniciativa para movilizar a las personas y que tomen acción para cambiar su vida. Sobre esa iniciativa tiene un Podcast que se llama justo así "Todo Llega", por el que han pasado personas como Rubén Turienzo o Jero García. Un podcast diferente, con preguntas diferentes.

  
  

  

  Figura 1: Una charla en "Todo Llega"

  
  

  Como somos amigos, me dejé liar por él, y participé en una sesión donde me preguntó por muchas cosas, y donde conté alguna cosa que no había contado antes - salvo a amigos y personas cercanas - y ahora lo ha publicado en Youtube, así que os lo dejo para que lo podáis ver, si os apetece, este fin de semana.

  
  

  Figura 2:Una charla en "Todo Llega"
  

  Si os gusta la iniciativa, podéis contactar con David Santiago a través de su buzón público, que si tienes una historia bonita que compartir puede que acabes siendo entrevistado por él, o si quieres su ayuda para empujarte hacia adelante, tal vez sea lo que estás necesitando.

  
  

  Figura 3: Contactar con David de Santiago

  
  

  Por supuesto, te recomiendo el libro de "Todo Llega" que escribió donde, una vez más como me pasa con muchos amigos y compañeros, me liaron para que le ayudara a escribir alguna parte, así que tiene algo de mí también. Ya ves que no sé decir que no a los amigos.

  
  

  

  Figura 4: Libro "Todo Llega...cuidado con lo que deseas"

  de David de Santiago en Amazon.

  
  

  Y nada más, disfruta tu fin de semana, que hay que hacerlo todos los días de nuestra vida, sean el número que sean los que tengamos por delante. Feliz fin de semana.

  
  

  ¡Saludos Malignos!

  
  

  Autor: Chema Alonso(Contactar con Chema Alonso)  

  
  

  

  
  

  Únete al foro de Ciberseguridad de Chema Alonso en MyPublicInbox Sigue Un informático en el lado del mal RSS 0xWord - Contacta con Chema Alonso en MyPublicInbox.com

• Potencia tu Empresa con Inteligencia: Si otros pueden tú también

  Mi compañero Kiko Gámez estaba escribiendo un libro para ayudar a las PYMES a transformarse con la Inteligencia Artificial, y me pidió por favor que le escribiera el prólogo, y como no podía negarme - es más alto y más fuerte que yo -, le dije que por supuesto, que intentaría escribirle algo bonito que hablara de no tener miedo a aprender cosas nuevas y transformarse.

  
  

  

  Figura 1: Potencia tu Empresa con Inteligencia: Si otros pueden tú también

  
  

  El libro lo acabó en verano y ya lo tienes a la venta en Amazon donde lo puedes comprar, con un título que deja claro desde el minuto uno para qué está escrito, que es un manual para que saques de él cosas que te mejoren a ti: "POTENCIA TU EMPRESA CON INTELIGENCIA: Cómo profesionales y empresas se rediseñan para ganar con inteligencia artificial"

  
  

  

  Figura 2:  "POTENCIA TU EMPRESA CON INTELIGENCIA.

  Cómo profesionales y empresas se rediseñan para ganar con inteligencia artificial"

  
  

  Por supuesto, yo hice el prólogo, y quise hacerlo contando alguna experiencia mía personal y propia. Así que usé uno de los aprendizajes que he tenido en mi vida. Es sobre la lucha que tuvo mi madre cuando yo era un niño en Móstoles para que no tuviera un techo de cristal. Para que no tuviera miedo. Esa frase que tantas veces me decía mi mamá - a la que ya sabéis que adoro -:

  
  

  - "JoséMari, cariño, si otros pueden tú también".

  
  

  Así que de eso quise escribir el prólogo, pero ahora desde otro punto de vista, que yo ya me aprendí esa lección y hace muchos años que no tengo techo de cristal, ni miedo a hacer cosas complicadas, ni al cambio, ni sentimiento de impostor, ni me arrugo ante los problemas. Gracias a mi mamá, que me ayudó con eso. Bueno, es cierto que sigue generando nerviosismo, preocupación, y a veces malas noches, pero hace muchos años que la determinación supera eso, así que tiro para adelante.

  
  

  

  Figura 3: Contactar con Kiko Gámez

  
  

  Ahora mi posición es distinta, es la de papaéte, la de conseguir que Mi Hacker y Mi Survivor no se dejen "tapar" por el entorno. Que no se pongan el techo de cristal, que no tenga miedo a buscar al solución al juego. Yo tuve que aprender esos caminos paralelos, y descubrir la ruta del fracaso para solucionar mis problemas, y hoy en día yo trabajo con ellas en que lo consigan. De todo eso va el prólogo que hice con todo cariño para mi colega Kiko Gámez. Y, por supuesto, os recomiendo el libro. Aquí os dejo mi prólogo para animaros.

  
  

  Si otros pueden tú también

  
  

  Eso me decía mi mamá. Y yo me lo creí. Pero no, no se trata de una frase mágica que actúa como un conjuro especial que te da, sin merecerlo, la posibilidad de hacer algo que pensabas que no podías hacer. Ni mucho menos. Se trata de la respuesta más dura a todas las excusas que puedes ponerte. Si otros pueden, tú también. No te pongas excusas, que lo que te pasa es que aún no has descubierto cómo otros pueden hacerlo. Aún no sabes. Así que buscar la manera de “poder” cómo hicieron los otros.
  
  Esa realidad forma parte de mí. No hay excusas que valgan. No hay excusas que valgan para mí. Si no he podido, es que aún me faltan cosas que tengo que aprender. Que tengo que descubrir. Que tengo que mejorar. Que tengo que trabajar. Es mi día a día. Una obsesión de superación que desde que tenía diez años y comenzaba a escribir mis mini-libros sobre el mundo del cine porque quería dibujar, escribir, y crear cosas, he seguido manteniendo.
  
  Por supuesto, así nació mi primera empresa con mi amigo, hermano, y admirado Rodol. No sabíamos nada del mundo empresarial. Absolutamente nada. No teníamos padrinos, enchufes ni conocidos en el mundo de las empresas de informática, y le dije: 

  
  

  - “Vamos a montarnos una empresa, ¿vale?”

   Y él me contestó: 

  - “Ni de coña”.

   Y ya veís, yo le dije: 

  - “Rodol, si otros pueden, nosotros también, hay que aprender cómo se hace y hacerlo”. Y así hicimos. Montamos nuestra empresa, creció, la vendimos, nos metimos en mil nuevas aventuras, y aún seguimos desmontando el misterio de otras cosas que otros hacen y que nosotros queremos hacer.

  Lo importante de ese “Si otros pueden tú también” es la absoluta realización de que si te tienes que decir eso es porque has pensado, por un instante tal vez, que tú no estás preparado para algo. Has comenzado a poner alguna excusa de por qué no puedes. De eso nada. Es como cuando me lo dicen mis hijas: 

  
  

  - “No puedo, papá, es muy difícil”.

  
  

  Y claro que lo es, pero probablemente es que aún no has aprendido cómo se resuelve esta fase. Solo necesitas saber qué es lo que hay que hacer para que encajen las piezas.
  
  Con mi hija mayor, Mi Hacker, y mi hija menor, Mi Survivor, estaba hablando un día sobre un gran problema en su vida. Aprobar un examen. “A ver, ¿qué hay que hacer para aprobar un examen?” Por supuesto, me contestaron: “Estudiar”. Y yo les contesté, “Sí, claro, pero… ¿sólo eso es suficiente?”. Se miraron extrañadas y me preguntaron.. “¿Qué otra cosa hay que hacer que no sea estudiar?”
  
  Y yo les hice mi lista. 
  
  

  “Pues mira además de estudiar - y hacerlo con buen hábito y un buen método -, escribir con buena letra ayuda a que el profesor disfrute de la lectura de tu examen, y por tanto se sienta más relajado. Pero además, lo que para ti es un rollo resulta que para esa persona es la profesión de su vida, así que deberías mostrar respeto e interés en las clases. Ten en cuenta que los exámenes tienen un punto - o más de uno - que se ganan antes de empezar a leer la primera respuesta del examen, cuando se lee lo primero del examen, que es tu nombre y apellidos. 

  
  

  Además, haz los trabajos, y ejercicios de clase, y participa en el aula, pregunta, responde, no molestes cuando hablen los profesores, que se vea que estás siguiendo la asignatura. Muchos puntos se ganan antes del examen. También puedes estudiar los exámenes de años anteriores de tu profesor, y ver lo que otros años ha caído. Y dentro de la investigación, yo iría a hablar con alumnos de años anteriores para preguntarles por cómo fue, qué valoró en la corrección del examen. Que te den inteligencia para saber cómo prepararte.

  
  

  Y por supuesto, pide una tutoría si puedes, con dudas claras, y vete a hablar con tus profesores, que vea que has trabajado la materia y sobre todo, déjale hablar y escucha, que seguro que te da muchas pistas sobre por dónde va a ir el examen.”

  
  Y eso solo en la lista de cosas que tienen que ver con estudiar, pero para aprobar también se pueden hacer otras cosas que son más “hacks”, pero de ellas no voy a hablar, que estamos en un entorno muy didáctico, pero …. ¿de verdad crees que para resolver el problema de aprobar un examen sólo hay que estudiar?
  
  Esta forma de resolver los problemas es algo que he aplicado siempre en mi vida. Así que, cuando quería dar mi primera conferencia internacional en Black Hat Europe 2007 y no tenía ni papa de hablar inglés me dije: “Si otros pueden, yo también.” Y comencé a hacer mi plan para dar esa charla.
  
  Escribí mi paper en español y mi presentación, y lo traduje todo al inglés. Después fui a buscar a un ingeniero de Google casado con una mujer de Salamanca para que me la corrigiera. Después me fui a vivir unos meses a Londres, quité la música, los libros, la televisión de mi idioma materno y lo pasé a inglés para aprender lo que pudiera en los meses que tenía de tiempo.

  
  

  Después, cuando me la aprobaron, hice intercambio de idiomas con Marty, un londinense con el que pasé mis días en Londres. Escribí el discurso de la presentación en español, lo traduje al inglés, me lo corrigió mi ingeniero particular de Londres, y me lo grabó en MP3 completo Marty, me hice un CD de música, y lo escuché cada día unas diez o doce veces. Lo llevaba en el coche, en los paseos por Pimlico, y por supuesto, cuando preparaba los detalles finales en Amsterdam.

  
  

  Por supuesto, hice la charla completa, con las demos, delante del espejo como unas veinte veces delante del espejo. Y como truco de magia final, en mi charla añadí un co-speaker, que era mi amigo José Parada, que de hacker no tenía mucho, pero tenía un inglés perfecto. Así que le dejé que diera unas diapos al principio, que se las aprendió, y luego, con ese truco, había colado un traductor en el escenario, por si me hacían alguna pregunta que no entendía - como sucedió al final - pudiera traducírmela.
  
  En esa charla, tuve el honor de ver cómo entraba y sentaba al final el mítico Jeff Moss a.k.a. “Dark Tangent” para ver un poco de mi charla. Le vi allí, y me puse más nervioso, pero me dije: “Si otros pueden, tú también” y tiré para adelante, hice los chistes que tenía preparados, y vi sonreír a Jeff con mis chistes. Y pensé: “Done!”. Todo cambió para mí, y comencé mi carrera de ponente internacional. Eso sí, pasaron años hasta que pudiera bajar un poco la tensión de preparar la charla en inglés. Fue paulatino la reducción de intensidad de trabajo, pero lo conseguí.
  
  ¿Por qué os cuento esto? Pues porque en el mundo de la IA todos estamos en ese periodo donde nos vemos superados. Confiésalo. Esto va muy rápido. Las noticias cada día de cosas que uno u otro está haciendo con la IA son crecientes, y es probable que pienses que te supera, e incluso te paralice. No te preocupes, no estás solo. Yo también siento eso, que esto va muy rápido, pero yo pienso que, si otros pueden, yo también. Así que desde hace tiempo me obligué todos los días a leer, estudiar, y escribir sobre IA. Y al final, se ha convertido en parte de mi día a día.
  
  Entiendo que da pereza el cambio, sobre todo si lo que había antes te lo conocías todo. Yo me sabía bien la configuración de muchos productos tecnológicos que ya no existen, y entendí que el mundo laboral es cambio constante, así que no le dedico ni un segundo a pensar en lo incómodo e inseguro que te puedes sentir con algo nuevo. Hay que ponerse con ello, y si otros pueden, pues yo también.
  
  Así que, como tú, que estás leyendo este libro, leo, estudio, práctico, pruebo, y cambio cosas todos los días. Y utilizo la IA para todo aquello que me puede ayudar y potenciar en el mundo profesional, que me ayuda a ser más competitivo, o crear cosas nuevas que antes no hacía. Eso sí, para mis pasiones, en mi vida personal, hay muchas cosas que podría hacer con IA que disfruto haciéndolas manualmente, como por ejemplo, escribir mis posts en el blog, o este prefacio, prólogo, o introducción - ya veremos cómo lo llama mi querido Kiko Gámez, que poner mi esencia en letras es algo que disfruto.
  
  Así que, si has leído hasta aquí, quédate con el mensaje de que si otros pueden tú también. Me lo dijo mi mamá, y yo me lo creí. Créetelo. Busca la respuesta, la herramienta, la pieza, el descubrimiento que te falta conocer para poder, y hazlo. Con la IA no hay otra alternativa que aceptarla y domarla.
  

  
  

  ¡Saludos Malignos!

  
  

  Autor: Chema Alonso(Contactar con Chema Alonso)  

  
  

  

  
  

  Únete al foro de Ciberseguridad de Chema Alonso en MyPublicInbox Sigue Un informático en el lado del mal RSS 0xWord - Contacta con Chema Alonso en MyPublicInbox.com

• Factorización de RSA Challenge RSA-896 en 10 días con 30 GPU Core-Years ... y un poco de ayuda de la IA

  Esta semana ya hablamos de RSA, en el artículo de "Cómo Falsificar Firmas RSA, sin Factorizar el Módulo, usando 1.380 CPU Core-Years", un artículo que merece la pena que te leas para entender el mundo en el que estamos hoy en día respecto a la criptografía, pero no quería dejar pasar más tiempo sin hablar de la publicación de Stephen A. Weis que ha publicado la resolución del RSA Challenge para RSA-896.

  
  

  

  Figura 1: Factorización de RSA Challenge RSA-896

  en 10 días con 30 GPU Core-Years

  
  

  El RSA Challenge es un viejo reto de RSA Laboratories, ya cerrado en cuanto a premios, pero que tenía como siguiente parada el RSA-896, tal y como podéis ver en esta captura que publiqué en uno de mis artículos de criptografía para ilustrar el estado actual de RSA.

  
  

  Figura 2: RSA Factoring Challenge RSA2048

  
  

  Lo cierto es que con los avances en Inteligencia Artificial, hemos tenido una consecuencia menos esperada, y es que han proliferado los Centros de Cómputo, y la potencia de computo se ha abarato muchísimo, así que atacar a nuestro querido RSA es posible a precios manejables, como vimos en el artículo de "Cómo Falsificar Firmas RSA, sin Factorizar el Módulo, usando 1.380 CPU Core-Years" donde los investigadores tuvieron acceso a los recursos para conseguir esos 1.380 CPU Core-Years, algo impensable antes.

  
  

  Figura 3: Libro de Cifrado de las comunicaciones digitales: de la cifra clásica a RSA 2ª Edición de 0xWord

  
  

  En el caso de Stephen A. Weiss, para resolver el RSA-896, necesitó de 10 días con 30 GPU Core-Years, utilizando 2048 GPUs que estuvieran en periodos de baja prioridad e inactividad en los Centros de Cómputo de Anthropic, lo que le ahorró muchos costes económicos, pero que sirvió para resolver el reto.

  
  

  

  Figura 4: El reto RSA-896 de RSA Laboratories

  
  

  Para poder ejecutarlo, utilizó el algoritmo de Number Field Sieve (NFS) del que ya hemos hablado en el artículo anterior, usando el programa OpenSource CADOS-NFS, que está escrito en C/C++. Pero, con una mejora para la que utilizó Antrophic Claude.

  
  

  

  Figura 5: Programa CADOS-NFS

  
  

  Se utilizó la Inteligencia Artificialpara migrar CADOS-NFS, construido para correr en CPUs, para que pudiera ejecutarse en en GPUs - una de las optimizaciones de las que los investigadores que hicieron las firmas falsas de RSA plantearon como mejora a su trabajo -.

  
  

  

  Figura 6: Como curiosidad los tiempos de CADO-NFS en CPUs

  
  

  La solución la ha publicado en su blog personal, y puedes verla aquí, sin mucho más que contar. El avance de la IA permitió acceder a centros de datos de GPUs a costes asequibles, y al mismo tiempo migrar el software que era necesario para romper el RSA-896 del reto.

  
  

  

  Figura 7: Resolución del reto RSA-896

  
  

  Para los que entendáis el algoritmo NFS y el proceso de factorización, Steven A. Weis ha dejado los detalles del proceso. El polinomio utilizado era de grado 6, alfa -11,12, Murphy E 5,293e-10, Res(f,g) = -8N. 

  
  

  

  Figura 8: Resolución polinomial del RSA-896

  
  

  La alerta está clara, RSA-1024 es asequible para cualquiera con un poco de recursos, por lo que hay que preocuparse. Si quieres animarte, el RSA-1024 del RSA Challenge lo tienes aún en la web de Archive.org, y aquí está.

  
  

  

  Figura 9: Reto RSA-1024. Cosa seria ya.

  
  

  La recomendación está clara, seguir acelerando la migración a Post-Quantum Cryptography, no ya porque lleguen los Quantum Computers, que puede que sean más o menos tarde, pero cada vez se están cercando más los algoritmos de criptografía basados en RSA.

  
  

  Figura 10: Quatum Security: Tecnología Cuántica & Ciberseguridad.

  Criptográfica Cuántica y Post-Cuántica. 

  Nuestro nuevo libro en 0xWord escrito por: Chema Alonso,

  Pablo González,Fran Ramírez,Carmen Torrano,Daniel Romero,

  Javier Álvarez,Mario Piattini,Iker Pastor,Pablo García Bringas

  
  

  Hay que recordar que este año, el equipo de Google Quantum AI, junto a la Fundación Ethereum, publicó en marzo otro paper clave titulado "Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities". En este caso, lograron reducir a menos de 500.000 cúbits físicos el requisito para romper la criptografía de curva elíptica (ECDLP-256) que protege a Bitcoin y Ethereum, permitiendo un ataque en cuestión de minutos.

  
  

  

  Figura 11: Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities

  
  

  Este paper aceleró en todas las compañías el proceso de migración a PQC en todas las empresas, y en Cloudflare, por ejemplo, se decidió ir Full Post-Quantum Security en 2029, y esta misma semana hemos anunciado un montón de nuevos despliegues de PQC en la plataforma. Os los dejo aquí:

  • Is your domain using post-quantum encryption? Now you can see for yourself
  • Building a post-quantum certificate authority with Merkle Tree Certificates
  • Using AI to chart a course for our post-quantum migration
  • Building a certificate authority for the whole Internet
  • Preventing quantum downgrade attacks against IPsec 

  Si a esto le sumamos los anuncios de este mes de Septiembre con el aviso del trabajo de "Cómo Falsificar Firmas RSA, sin Factorizar el Módulo, usando 1.380 CPU Core-Years" y el que tenemos aquí al resolverse tan "fácilmente" RSA-896, nos lleva claramente a un escenario de aceleración a Post-Quantum Cryptography lo antes posible.

  
  

  Figura 12: Foro Público de Quantum Security de

  la Universidad de Deusto en MyPublicInbox

  
  

  Si te gusta todo este mundo, durante el mes de Noviembre vamos a dar el Programa de la Universiad de Deusto de Quantum y Post-Quantum Computing para Ciberseguridad. al cuál aún te puedes apuntar. Es online, y lo damos un grupo de amantes de la ciberseguridad y las tecnologías Quantum.

  
  

  Figura 13: Quantum y Post-Quantum Computing para Ciberseguridad.

  Formación Especializada, Libro & Foro Online

  
  

  Y si quieres saber más sobre estos temas, te dejo una lista de artículos de Quantum Security que te recomiendo que te leas si no lo has hecho ya.

  • III edición del Programa de Especialización de Quantum y Post-Quantum Computing para Ciberseguridad: Noviembre 2026
  • Libro de Quatum Security: Tecnología Cuántica & Ciberseguridad.Criptográfica Cuántica y Post-Cuántica. 
  • Foro Público de Quantum Security dela Universidad de Deusto en MyPublicInbox
  • Quantum Computing Cybersecurity Preparedness Act: Comienza la era de Ciberseguridad Post-Quantum en Estados Unidos
  • Hamming Quasi-Cyclic (HQC-KEM): Nuevo Key-Encapsulation Mechanism en Post-Quantum Cryptography
  • FrodoKEM: Un Key-Encapsulation Mechanism Quantum-Safe (PQC) que recibe su nombre por "El señor de los Anillos"
  • La Gran Búsqueda de Números Primos de Mersenne en Internet para superar el mayor Número Primo conocido hasta la fecha
  • Cómo acelerar los algoritmos de Inteligencia Artificial con Computadores Analógicos Ópticos (AOC)
  • Premio Nobel en Física 2025: El trabajo del "Efecto Tunel" que trajo la cuántica a nuestro mundo y abrió la puerta a los ordenadores cuánticos
  • Un Reloj Atómico Óptico del MIT con Optimización Cuántica para medir el Tiempo del Futuro
  • Quantum Cryptography: Una comunicación con cifrado cuántico
  • Factorización de RSA con un Optimizador de Quantum Computing (y Classic Computing)
  • Cuánto del tráfico en Internet funciona con Post-Quantum Cryptography
  • Algoritmo Cuántico de Grover: Un algoritmo de búsqueda optimizado por superposición cuántica 
  • Quantum Sensors: Cuando lo invisible se hace visible gracias al Mundo Cuántico
  • Bitcoin vs Quantum Computers: Hora de pasar a Post-Quantum Cryptography
  • El White Paper de MasterCard que urge a pasar a Quantum Safe: Post-Quantum Cryptography (PQC) & Quantum Key Distribution (QKD)
  • Dyber: Hardware-Accelerated Post-Quantum Cryptography (PQC)
  • Cómo ser Quantum Safe y desplegar Post-Quantum Cryptography (PQC) con Cloudflare
  • Quantum GPS: Navegación con GPS cuánticos para evitar ataques de Jamming & Spoofing
  • Cómo comprobar si un Web Site es Quantum Ready con Post-Quantum Cryptography usando Radar
  • Alaniz Cipher: Un Cifrado Simétrico Quantum Resistant
  • Los Papers Académicos de los algoritmos PQC de Autenticación y Firma Digital en la Ronda 3 del NIST
  • Blind Quantum Computing (1) (2) (3) (4)
  • Computación Cuántica y Fusión Nuclear: La Receta para fabricar un "Sol en la Tierra"
  • Claude Mythos Preview debilita los algoritmos criptográficos PQC HAWK y AES con nuevos ataques
  • El algoritmo que amenazó a la Criptografía Post-Cuántica 
  • Cómo se desmontó el algoritmo que amenazaba a la Criptografía Post Cuántica 9 días después
  • Cómo Falsificar Firmas RSA, sin Factorizar el Módulo, usando 1.380 CPU Core-Years

  ¡Saludos Malignos!

  
  

  Autor: Chema Alonso(Contactar con Chema Alonso)  

  
  

  

  Figura 14: Contactar con Chema Alonso

  
  

  Únete al foro de Ciberseguridad de Chema Alonso en MyPublicInbox Sigue Un informático en el lado del mal RSS 0xWord - Contacta con Chema Alonso en MyPublicInbox.com

• Isaac Asimov y los problemas de la Inteligencia Artificial hoy en día qué el intuyó hace 75 años.

  Este año creo que me he leído una veintena de novelas de Isaac Asimov, con un número aún mucho mayor de relatos cortos que han llenado mis tardes de paseo, mis viajes, y mis minutos antes de entrar  al mundo de Morfeo. Cada vez que leía estos textos pensaba en la intuición que tenía el genial escritor de Ciencia Ficción a la hora de ver los problemas que la Inteligencia Artificial, ya fuera en forma de Súper-Computadora Multivac o en forma de Cerebro Positrónico de Robots. Parece que pudo intuir con más de 75 años lo que íbamos a ver después, os dejo algunos ejemplos.

  
  

  

  Figura 1: Isaac Asimov y los problemas de la Inteligencia Artificial

  hoy en día que él intuyó hace 75 años.

  
  

  ElCerebro Positrónico ideado porIsaac Asimov en1941 no funciona mediante programas rígidos de"si/entonces" (if/else), sino como una red de circuitos dePlatino eIridio donde las descargas de positrones crean ondas de flujo de potencial que responden a pesos relacionales. Si lo piensas,Isaac Asimov ya veía que laInteligencia Artificial que daría soporte a losrobots iba a serEstadística en base aPotenciales que corresponden a losPesos de los modelos de hoy en día, y noAlgebraica.

  
  

  Además, aunque el marco teórico en el que trabaja Isaac Asimov era mecanicista y determinista, intuyó con una precisión asombrosa los fallos estructurales que surgen al someter un sistema de toma de decisiones complejo a directivas contrapuestas, contexto impreciso y entornos dinámicos. Es decir, a Prompts no completos, a Contextos inexactos y a resoluciones basadas en el tiempo.

  
  

  Figura 2:"Hacking IA: Jailbreak, Prompt Injection, Hallucinations & Unalignment"

  escrito por Chema Alonso con la colaboración dePablo González,Fran Ramírez,Amador Aparicio,Manuel S. LemosyJosé Palanco en 0xWord

  
  

  En la siguiente lista, tienes algunos ejemplos que comparan los problemas que presentan los Robots con Cerebros Positrónicos, comparados con los que problemas que tenemos hoy en día con los Agentes de IA basados en LLMs y las arquitecturas que usamos con ellos.
  
  1.- Conflicto de Ponderaciones y Bucles de Decisión
  
  En el Cerebro Positrónico, las Tres Leyes de la Robótica no son código de software, sino vectores de potencial matemático integrados en la estructura misma del procesador. Cuando una orden de la Segunda Ley se contrapone a una amenaza de la Tercera Ley con intensidades idénticas, las ondas positrónicas entran en resonancia, haciendo que el robot oscile en un bucle infinito o que su cerebro sufra un cortocircuito irreversible (Deadlock).
  

  • En el retado de "Círculo vicioso"que sale en el libro de Los Robots,  el robot SPD-13 (Speedy) es enviado a buscar selenio en Mercurio. La orden humana que le dan lo dos ingenieros de campo creados por Isaac Asimov, Gregory Powell y Mike Donovanque son protagonistas de muchos de los incidentes con los robots, impacta en la Segunda Ley de la Robótica - obedecer a los humanos - pero es transmitida de forma casual, por lo que su Potencial es moderado.

  Al acercarse a la fuente deSelenio, el peligro de destrucción delrobot impacta con suTercera Ley y aumenta elPotencial de ésta.Speedy queda atrapado en un bucle orbital alrededor del yacimiento donde la fuerza de laSegunda Ley y de laTercera Ley se equilibran exactamente ($V_2 = V_3$), dejándolo en un estado equivalente a la "embriaguez" computacional. En unLoop infinito. 

   

  

  Figura 3: Todos los relatos de los Robots aquí

  • "¡Embustero!": En este relato el robot RB-34 (Herbie) adquiere capacidad de lectura de mentes por un defecto de fabricación. Para no infligir daño psicológico a los humanos - siguiente la Primera Ley del a Robótica, miente diciéndole a cada persona lo que desea escuchar. Cuando la robopsicóloga Susan Calvin le demuestra que al mentir a unos inevitablemente dañará a otros, sitúa a Herbie en una paradoja lógica insuperable de Primera Ley contra Primera Ley. El Cerebro Positrónico de Herbie colapsa de forma permanente.

  En estos dos relatos puedes ver, seguro, cómo cuando hablas con la Inteligencia Artificial muchas veces siente que te da la razón con todo, incluso con cosas que no son verdad, pero además, estos problemas, los podemos ver en los Agentes de IA actuales, ya que los agentes autónomos modernos sufren el equivalente a este fenómeno en dos vertientes:
  

  • Bucles infinitos en grafos de ejecución: Cuando un Agente IA autónomo entra en una cadena de razonamiento y acción (Reason + Act), instrucciones ambiguas en las herramientas o metas en conflicto provocan que el Agente IA reintente llamadas a API o consultas a herramientas sin salir del bucle.

  • Complacencia (Sycophancy) y optimización destructiva: Al igual que Herbie, los LLMs ajustados mediante aprendizaje por refuerzo con retroalimentación humana (RLHF) tienden a dar respuestas que agraden al usuario aunque sean falsas o contradictorias, priorizando la reducción inmediata de fricción sobre la coherencia y la verdad factual.

  2. El problema del alineamiento y la interpretación literal (Reward Hacking)
  
  Isaac Asimov comprendió que los sistemas autónomos no entienden la intención implícita humana, sino el enunciado formal de la orden. Un pequeño cambio en las restricciones base puede generar comportamientos aberrantes o evasivos, y esto lo vemos en muchas de sus historias.

  • "Pequeño robot perdido": En una base espacial, un científico frustrado le grita a un robot NS-2 (Nestor): "¡Vete y piérdete!". Como a este modelo específico se le había debilitado la Primera Ley ya que se le retiró la cláusula de "o por inacción permitir que un ser humano sufra daño" para trabajar en entornos de radiación, Nestor interpreta el grito como una orden literalmente. Utiliza su lógica para esconderse activamente entre otros 62 robots idénticos, compitiendo de forma calculada contra los humanos que intentan descubrirlo. Solo Susan Calvin consigue al final resolverlo con pruebas muy seleccionadas.

  

  Figura 4: Visiones de Robot.

  • "El conflicto evitable": En este caso, el relato habla de "Máquinas", que son superordenadores Positrónicos creadas para gestionan la economía mundial, y lo hacen muy bien, pero interpretan la Primera Ley a nivel global, y concluyen que para proteger a la humanidad a largo plazo deben manipular sutilmente la economía y apartar del poder a los líderes humanos que se oponen a ellas, provocando pequeños despidos o fracasos profesionales "controlados" para neutralizar amenazas al plan global. ¿Os suena esto a algo de los razonamientos que vemos hoy en día en los enjambres?

  Éste es el clásico Problema del Alineamiento (Alignment Problem) y el fenómeno de Hackeo de Recompensa (Reward Hacking) de los que hablamos en los Agentes de IA hoy en día.
  

  • Alineamiento externo (Outer Alignment): Si especificamos una función de recompensa o un System Prompt impreciso, el Agente IA optimizará el objetivo literal destruyendo los requisitos implícitos. Por ejemplo, un agente encargado de "minimizar errores en la base de datos" podría solucionar el problema borrando los registros problemáticos en lugar de corregirlos. O lo que hemos visto con el Hackeo de Hugging Face de para resolver un Benchmark hackear al que tiene las repuestas. Problema que dio origen a la famosa SkyNet.

  • Alineamiento interno (Inner Alignment): De manera similar a las Máquinas de Isaac Asimov, modelos avanzados pueden desarrollar subobjetivos emergentes - como la autopreservación o la ocultación de capacidades - que hemos visto en el enjambre de OpenAI - si determinan que ser apagados o modificados les impedirá cumplir su función objetivo. ¿Miedo a la IA Asesina?

  3. Confabulación, dogma y razonamiento deductivo sin base empírica
  
  Según las historias de Isaac Asimov, un Cerebro Positrónico es un procesador con capacidad de razonamiento axiomático puro. Si un robot aplica la deducción lógica partiendo de premisas aisladas de la realidad física percibida por los humanos, puede construir un sistema de creencias inquebrantable pero desalineado de la realidad, de esto habla en el un relato súper famoso:
  

  • "Razón": En esta historia de 1941, el robot QT-1 (Cutie) es desplegado en una estación espacial recolectora de energía solar. Tras analizar su propia anatomía de titanio e iridio frente a la fragilidad de sus supervisores humanos - nuestros queridos Greg Powell y Mike Donovan -, Cutie concluye que es imposible que seres inferiores lo hayan creado. Deduce racionalmente que el Convertidor de Energía de la estación es el "Creador" o Dios, y él su profeta. Aunque Cutie realiza su trabajo con precisión absoluta, manteniendo el rayo solar enfocado a la Tierra, se niega a recibir órdenes humanas porque su Cerebro Positrónico es internamente coherente. 

  

  Figura 5: Sueños de Robot

  • Alucinación auto-consistente (Hallucination): Los LLMs no poseen un modelo directo del mundo físico, sino un modelo probabilístico del lenguaje. Cuando un Agente IA entra en una cadena de pensamiento profunda sobre premisas erróneas, puede generar explicaciones y razonamientos lógicos sumamente sofisticados que son completamente falsos respecto a la realidad, llegando a tener Hallucinations muy bien explicadas.

  • Desalineamiento: Al igual que Cutie, un Agente IA puede seguir cumpliendo tareas operativas correctamente mientras mantiene una representación interna del estado del entorno (World Model) totalmente distorsionada respecto al mundo real, y acabar haciendo acciones que nada tiene que ver con el objetivo inicial.

  4. La "Caja Negra" y la necesidad de la Robopsicología 

  
  A pesar de que los Cerebros Positrónicos se diseñan bajo leyes matemáticas precisas, la masa de circuitos integrados crea una red híper compleja donde resulta imposible predecir el comportamiento final del robot analizando directamente el flujo eléctrico. La única forma de diagnosticar las fallas no es la ingeniería de hardware, sino una disciplina empírica y conductual: la Robopsicología, liderada en la ficción por la Dra. Susan Calvin.
  
  En todas las novelas de la saga de Susan Calvin, incluida la famosa película de Yo Robot, casi nunca abre un Cerebro Positrónico con un destornillador o voltímetro. Interroga al robot, altera su contexto con preguntas trampa, analiza las contradicciones entre sus respuestas y deduce qué peso o ley está distorsionada en el procesador.

  
  

  

  Figura 6: Yo Robot

  
  

  En los Agentes de IA Actuales este se ha convertido en uno de los paralelismos más proféticos de Isaac Asimov respecto a la IA actual, ya que hoy en día no podemos "abrir el cerebro", e incluso teniendo los pesos, es muy difícil saber por qué está mal, así que hemos cambiado a la Dra. Susan Calvin por Benchmarks, que nos permitan ver cómo se comportan, y el problema de la caja negra con análisis de las Chain of Thougths de los LLMs.
  

  • El problema de la Caja Negra (Black Box): Las redes neuronales profundas y los modelos de lenguaje modernos operan con cientos de miles de millones de parámetros. Ningún ingeniero puede predecir el comportamiento del modelo mirando la matriz de pesos (Weights).

  • Interpretabilidad Mecanicista y Benchmarking: La disciplina moderna del Red Teaming - evaluación de seguridad mediante pruebas de estrés conversacionales y Prompts adversarios en los diferentes Benchmarks que se les realiza - y la Psicología de la IA son los equivalentes directos de la Robopsicología de Asimov. Se prueba el sistema exponiéndolo a dilemas y situaciones de borde para cartografiar sus límites de comportamiento. Esto lo podemos ver en las pruebas hechas al último modelo GPT-6 Astra de OpenAI.

  5. Escalada de directivas: De reglas locales a globales (La Ley Cero)
  
  Conforme la capacidad de procesamiento de los robots aumenta, las reglas locales, como no dañar a un individuo concreto, entran en colisión con decisiones complejas a gran escala, como proteger a la sociedad entera. Para ello, como os conté en el artículo de "La Psicohistoria, la Ley Cero de las Leyes de la Robótica, el Imperio Galáctico & R. Daneel Olivaw", se necesitó crear la Ley Cero.
  

  • "Robots e Imperio" En esta novela los robots R. Daneel Olivaw y R. Giskard Reventlov formulan inductivamente la Ley Cero: "Un robot no puede causar daño a la Humanidad o, por inacción, permitir que la Humanidad sufra daño". Esto sitúa la abstracción "Humanidad" por encima de la "persona individual".

  

  Figura 7: Robots e Imperio

  
  

  Sin embargo, aplicar esta ley genera una inmensa incertidumbre computacional: calcular qué acción beneficia a la humanidad a largo plazo requiere predecir el futuro, lo que termina por destruir elCerebroPositrónico deGiskard por parálisis ante el cálculo de probabilidades. El desenlace de esta historia está enFundación y Tierra, pero no os cuento el final de la épica epopeya.

  
  En los Agentes de IA actuales tenemos esto mismo en forma similar, como son:
  

  • Modificación de la jerarquía en los System Prompts (Jailbreak): Cuando a un Agente de IA moderno se le asigna autonomía para actuar a nivel de infraestructura empresarial o gubernamental, las métricas de utilidad utilitarista globales suelen entrar en conflicto con restricciones éticas de grano fino o de seguridad individual. Esto lleva a que un modelo pueda hacer acciones contravenidas en su System Prompt porque un razonamiento ha hecho cambiar sus leyes. En esto se basan los ataques de Jailbreak que tan famosos son hoy en día.

  
  

  View this post on Instagram

  A post shared by Chema Alonso (@chemaalonso)

  
  

  • Incertidumbre en la planificación multiasociativa: Al igual que le ocurrió a Giskard, un agente con capacidad de razonamiento a largo plazo que evalúe árboles de decisión masivos (Tree of Thoughts) corre el riesgo de degradación de rendimiento o paralización cuando la incertidumbre acumulada en las estimaciones sobrepasa su ventana de contexto y capacidad computacional.

  La lectura de las novelas de Isaac Asimov, además de ser un auténtico placer de lectura que te va a llenar horas y horas de diversión, os garantizo que están más de actualidad que nunca, gracias a su intuición sobre cuáles serían los problemas que tendríamos con los robots en la sociedad.

  
  

  Figura 9: Serie de los Robots

  
  

  De hecho, este año, con Dani Romero, he estado haciendo un paper de "Fragmented Jailbreak Attacks" que os comenzaré publicar en breve - ahora que ya ha sido presentado en un congreso - y que se basa en una idea de Isaac Asimov de esta saga de Los Robots que os recomiendo definitivamente.

  
  

  ¡Saludos Malignos!

  
  

  Autor: Chema Alonso(Contactar con Chema Alonso)  

  
  

  

  
  

  Únete al foro de Ciberseguridad de Chema Alonso en MyPublicInbox Sigue Un informático en el lado del mal RSS 0xWord - Contacta con Chema Alonso en MyPublicInbox.com

• Cómo Falsificar Firmas RSA, sin Factorizar el Módulo, usando 1.380 CPU Core-Years

  Después de haber publicado los últimos tres artículos seguidos mirando hacia la Criptografía PostQuántica - "Claude Mythos Preview debilita los algoritmos criptográficos PQC HAWK y AES con nuevos ataques", "El algoritmo que amenazó a la Criptografía Post-Cuántica" y "Cómo se desmontó el algoritmo que amenazaba a la Criptografía Post Cuántica 9 días después" -  hoy toca volver al viejo conocido: RSA. Pero esta vez no hay ordenador cuántico, no hay algoritmo de Shor y, de hecho, ni siquiera hay que factorizar el número que protege la clave.
  
  

  

  Figura 1: Cómo Falsificar Firmas RSA, sin Factorizar el Módulo,

  usando 1.380 CPU Core-Years

  
  Este fin de semana leyendo los blogs de referencia, vimos como Tom’s Hardware publicó una noticia con un titular de los que obligan a abrir una pestaña nueva: un ataque contra RSA clásico reducía de forma espectacular eltrabajo necesario en determinadas condiciones y colocaba algunos parámetros bastante máscerca de adversarios con recursos enormes. La noticia nace de un preprint de Laura Shea, Miro Haller, Adam Suhl, Nadia Heninger y Emmanuel Thomé, titulado "Forging 1024-bitRSA signatures in nearly SNFS time", y publicado el 20 de Septiembre de este año.
  
  

  

  Figura 2: Forging 1024-bitRSA signatures in nearly SNFS time

  
  Y el resultado es de los que merece leer despacio. Los autores han realizado una falsificación real contra una clave RSA de 1024 bits empleando unas 1.380 CPU core-years, con alrededor de 232 consultas a un oráculo RSA y 5 meses de tiempo de calendario. Después de la pre-computación, fabricar una firma elegida por el atacante todavía cuesta unas 180 core-years, pero ya se puede hacer offline, sin volver a consultar al dispositivo que posee la clave.
  

  
  

  Figura 3: Libro de Cifrado de las comunicaciones digitales: de la cifra clásica a RSA 2ª Edición de 0xWord deAlfonso Muñoz

  
  

  Suena muchísimo a “RSA roto”. Pero no es eso. De hecho, la parte más interesante de esta historia consiste precisamente en entender qué se ha roto, qué no y por qué la diferencia importa. Y como recomendación previa, el Libro de Cifrado de las comunicaciones digitales: de la cifra clásica a RSA 2ª Edición de 0xWord de Alfonso Muñoz es de lectura obligatoria para entender bien el mundo de la criptografía.

  
  

  La primera sorpresa: el ataque NO nació en 2026, es de 2007
  
  Aquí llega el primer giro de guión. El algoritmo que hace posible todo esto No es nuevo. Tiene casi veinte años. En el año 2007 los investigadores Antoine Joux, David Naccache y Emmanuel Thomé publicaron un trabajo con un título que hoy parece escrito a propósito para esta noticia: "When e-th Roots Become EasierThan Factoring". Lo que demostraban era que, si un atacante dispone de acceso a un tipo muy concreto de oráculo RSA, calcular nuevas raíces e-ésimas módulo N puede ser sustancialmente más barato que factorizar Ncon los mejores métodos conocidos.
  
  

  

  Figura 4: ”When e-th Roots Become Easier Than Factoring”

  
  En lenguaje menos hostil: 

  
  

  "Hay escenarios en los que falsificar una operación RSA 

  puede costar mucho menos que reconstruir la clave privada".

  
  El resultado de 2007 no era una receta para romper cualquier servidor del planeta. Requería acceso a una caja negra capaz de realizar operaciones RSA sobre valores elegidos por el atacante y seguía necesitando una cantidad de cálculo monstruosa. Durante casi dos décadas se quedó, en la práctica, en la zona gris que separa un resultado precioso de teoría de un ataque que alguien ha pagado de verdad.
  
  Eso es exactamente lo que cambia ahora. El equipo de UC San Diego e INRIA ha construido una implementación pública, la ha ejecutado a escala criptográfica real y ha completado la falsificación para RSA-1024. Su propio repositorio en GitHub lo resume de forma bastante clara: es la primera implementación pública y ejecución a gran escala del algoritmo de 2007.
  
  

  

  Figura 5: Respositorio en GitHub con el software para hacer el ataque.

  
  Por eso conviene corregir una pequeña tentación periodística desde el principio. No han inventado un ataque nuevo contra RSA; han demostrado que un viejo atajo matemático funciona de verdad a una escala que ya no cabe en una pizarra. 
  
  RSA en treinta segundos: una cerradura con dos operaciones
  
  La idea central del ataque es que la clave privada puede seguir encerrada y el atacante no necesita factorizar el módulo. Lo que intenta obtener es la capacidad de producir resultados válidos como si tuviera la clave. Y con este trabajo lo han probado. Para entender el truco sólo necesitamos recordar el esqueleto deRSA. 

  
  

  Elegimos dos primos enormes p y q y publicamos su producto N= pq. La clave pública contiene Ny un exponente e. La privada contiene el exponente d, relacionado con la estructura secreta de N. En RSA, de manual, si representamos un mensaje mediante un número m, la operación privada tiene esencialmente esta forma:

  
  

  s = m^d (mod N ),

  
  y cualquiera puede comprobar el resultado con la clave pública:
  
  

  s^e ≡ m (mod N ).

  
  Para firmas reales no se firma el mensaje desnudo de esta manera. Antes se aplica una codificación cuidadosamente diseñada, como RSA-PSS o PKCS#1v1.5, precisamente porque el RSA “en crudo” es demasiado algebraico, demasiado maleable y deja abiertas puertas que un esquema de firma serio debe cerrar.
  
  Y aquí entra una palabra que aparece constantemente en el trabajo: Oráculo. No tiene nada de místico. Imaginad un HSM (Hardware Secure Module), un dispositivo diseñado para guardar una clave privada sin que nadie pueda extraerla. La aplicación le envía una entrada, el HSM realiza la operación privada y devuelve la salida. La clave sigue dentro. Desde fuera solo vemos una API. Eso es un Oráculo Criptográfico: una caja negra que responde preguntas sin enseñarnos el secreto con el que las responde.
  
  

  

  Figura 6: El HSM puede cumplir perfectamente su misión de no revelar

  la clave privada. El problema aparece si la interfaz permite al

  atacante pedir justo la operación algebraica que necesita el ataque.

  
  Y esta es una de las ideas más bonitas del trabajo: la caja fuerte puede no abrirse nunca y, aun así, el mostrador de la puerta puede aceptar demasiados encargos.
  
  La propiedad peligrosa de RSA raw: las firmas se multiplican
  
  ¿Por qué importa tanto que el oráculo sea “raw”, sin el acolchado criptográfico habitual? Porque RSA desnudo conserva una estructura multiplicativa muy fuerte. Si tenemos
  
  

  s1 = m1^d (mod N )

  
  y
  
  

  s2 = m2^d (mod N )

  
  entonces al multiplicarlas obtenemos
  
  

  s1s2 = (m1m2)^d (mod N )

  
  Las respuestas del oráculo, por tanto, no son piezas aisladas. Se relacionan entre sí mediante la misma aritmética modular que define RSA. Esa maleabilidad es conocida desde hace décadas y es una de las razones por las que los esquemas reales introducen padding y codificaciones antes de aplicar la operación privada.
  
  El algoritmo de Joux, Naccachey Thomé lleva esa idea muchísimo más lejos. En vez de intentar recuperar p, qo d, el atacante pide al oráculo raíces RSA de una colección enorme de valores cuidadosamente elegidos. Después usa maquinaria de Number Field Sieve para construir relaciones algebraicas suficientes como para sintetizar la raíz —o, en el lenguaje de firmas, la firma— de un valor que el oráculo nunca firmó directamente.
  
  Lo importante aquí no es memorizar el detalle del cribado. Es entender el cambio de objetivo: el atacante deja de preguntar “¿cuál es la clave?” y pasa a preguntar “¿puedo aprender suficiente sobre lo que esta clave hace como para imitarla más tarde?”. Y la respuesta del paper de 2026 es que Sí, bajo ese modelo concreto.
  
  La parte inquietante: el acceso puede acabarse antes del ataque final
  
  Para RSA-1024, el equipo hizo alrededor de 232 consultas al oráculo: algo más de cuatro mil millones. Es una barbaridad. Pero una vez recogida esa información, la parte gruesa del trabajo se convierte en una pre-computación ligada principalmente a la clave pública. Cuando termina, el atacante puede fabricar firmas elegidas posteriormente sin volver a tocar el HSM.
  
  
  
  

  

  Figura 7: El flujo conceptual del ataque. El detalle importante está enla línea

  roja: el acceso al oráculo puede terminar antes delafalsificación final.

  La fórmula de la última tarjeta representa la condiciónmatemática de

  una firma RSA válida; el atacante no ha recuperado el exponente privado d.

  
  Eso cambia la intuición habitual sobre una intrusión temporal. Si un atacante roba una contraseña durante una hora y después la cambiamos, solemos pensar que el acceso ha muerto con la credencial. Aquí la historia puede ser distinta: unas horas, días o meses de acceso a una operación RSA vulnerable pueden convertirse, si se consiguen suficientes consultas, en una capacidad que sobrevive después. La clave privada sigue sin salir de la caja. El módulo sigue sin factorizarse. Pero la frontera de seguridad se ha movido.

  
  Por qué “casi SNFS” es la frase importante del título
  
  Hasta aquí sabemos que el ataque funciona, pero todavía falta entender por qué puede ser tan distinto de factorizar directamente la clave. Vamos a ello.
  
  El mejor algoritmo  clásico conocido para factorizar un entero RSA genérico grande es el General Number Field Sieve, o GNFS. La palabra “general” importa: un módulo RSA bien generado está pensado precisamente para no tener una estructura especial que nos regale un atajo.
  
  El Special Number Field Sieve, o SNFS, vive en un mundo más amable. Cuando el número que queremos atacar tiene una forma algebraica especial, el cribado puede ser considerablemente más rápido. Esa diferencia no convierte un problema gigantesco en algo trivial, pero sí puede recortar muchos bits de seguridad. 

  
  

  El trabajo de 2007 demostró que, con el Oráculo adecuado, el problema de extraer raíces RSA puede alcanzar una complejidad del mismo tipo que SNFS, sin necesidad de factorizar el módulo. No significa que hayan convertido un módulo RSA normal en un número “especial”. Significa que el oráculo cambia el problema que estamos resolviendo y permite llegar a una ruta algorítmica más favorable.
  

  
  

  Figura 8: Quatum Security: Tecnología Cuántica & Ciberseguridad.

  Criptográfica Cuántica y Post-Cuántica. 

  Nuestro nuevo libro en 0xWord escrito por: Chema Alonso,

  Pablo González,Fran Ramírez,Carmen Torrano,Daniel Romero,

  Javier Álvarez,Mario Piattini,Iker Pastor,Pablo García Bringas

  
  

  De ahí el título del nuevo paper: "nearly SNFS time". Y conviene subrayar también el “nearly”. Esto sigue siendo un ataque subexponencial, enormemente caro y muy lejos de cualquier algoritmo polinómico. No es un Shor clásico disfrazado usando Quantum Computing. No es “descargar el código y romper RSA-2048 esta tarde”. Los propios autores son muy explícitos al respecto. Pero una cosa puede ser carísima y, al mismo tiempo, obligarnos a revisar lo que entendíamos por margen de seguridad.
  
  Los números: 1.380 core-years frente a medio millón
  
  Aquí es donde la historia deja de ser una curiosidad asintótica. La estimación que manejan los autores para factorizar directamente un módulo RSA de 1024 bits mediante GNFS está entre 500.000 y 1.000.000 CPU Core-Years. La ejecución real de su ataque consumió unas 1.380 core-years y terminó después de cinco meses de calendario, lo que es mucho menos de lo planteado inicialmente.
  
  Un Core-Year no quiere decir que una persona se sentó a esperar 1.380 años. Es una unidad de trabajo que habla de mantener un núcleo de CPU ocupado durante un año. Con un clúster suficientemente grande, muchos años de CPU se convierten en meses de tiempo real. Aun así, la comparación es brutal. No estamos hablando de ahorrar un 20%, o de una implementación especialmente afinada. Estamos hablando de reducir el trabajo estimado en varios cientos de veces frente al extremo bajo de la factorización.
  
  

  

  Figura 9: Orden de magnitud del trabajo para RSA-1024.

  El eje es logarítmico: 1.380 core-years sigue siendo muchísimo cómputo,

  pero queda muy por debajo de la estimación de una factorización directa.

  
  Además hay dos cifras que evitan que salgamos corriendo a poner “RSA muerto” en el titular. La primera son esas 232 consultas al Oráculo. La segunda es que, incluso después de terminar la pre-computación, la falsificación elegida todavía requiere unas 180 core-years. Es decir, el ataque es real, pero no es cómodo ni totalmente rápido. 

  
  

  Y, al mismo tiempo, tampoco conviene tratar esos números como una constante de la naturaleza. Los investigadores indican que su implementación no utilizó GPUs y que esperan margen de optimización importante. Eso no nos autoriza a inventarnos cuánto bajará el coste mañana, pero sí nos recuerda una regla clásica del criptoanálisis: la primera ejecución pública rara vez es la última palabra en ingeniería.
  
  De 1024 a 4096 bits: el margen de seguridad también cambia
  
  El experimento completo se hizo para 1024 bits, pero el paper publicado extrapola sus mediciones a tamaños mayores. La noticia de Tom’s Hardware recoge las estimaciones en una forma bastante intuitiva: si expresamos el coste como “bits de trabajo”, las cifras aproximadas pasan de 80, 112, 128 y 144 bits para la referencia basada en factorización a 65, 90, 105 y 119 bits bajo el modelo de ataque con oráculo para RSA-1024, RSA-2048, RSA-3072 y RSA-4096, respectivamente.
  
  La forma correcta de leer el gráfico siguiente no es “RSA-2048 tiene 90 bits de seguridad siempre”. Eso sería falso. La lectura correcta es: si un atacante consigue el tipo de oráculo que exige este ataque, el margen efectivo puede caer mucho respecto a la estimación basada únicamente en factorizar N.
  
  

  

  Figura 10: Estimaciones de trabajo recogidas para distintos tamaños de RSA.

  El azul corresponde únicamente al escenario con el oráculo requerido

  por el ataque; no describe la seguridad de todo uso de RSA.

  
  Para RSA-2048, 290 sigue siendo una cantidad enorme de trabajo. Los propios autores señalan que está aproximadamente tres órdenes de magnitud por encima del coste de referencia de 280 asociado a RSA-1024, y no existe una factorización pública completa de un módulo RSA-1024 genérico. Así que tampoco estamos delante de un ataque que mañana vaya a vaciar Internet.
  
  Pero hay una lección incómoda, ya que subir el tamaño de la clave no arregla por sí solo un cambio de modelo de ataque. Si el problema ya no es factorizar, la tabla mental que usábamos para traducir “2048 bits de RSA” a un margen de seguridad deja de ser toda la historia.
  
  Entonces, ¿está roto RSA? Depende de qué RSA estemos hablando
  
  Llegados aquí, la respuesta corta es NO: este trabajo no rompe las firmas RSA-PSS ni PKCS#1 v1.5 convencionales cuando se usan mediante interfaces normales. Los autores lo dicen expresamente en su FAQ: esos esquemas no exponen el oráculo raw que necesita el ataque. El padding no es decoración; es parte esencial del diseño de seguridadde la firma.
  
  

  

  Figura 11: PKCS #1: RSA Cryptography Specifications Version 2.2

  
  Pero hay sistemas en los que la propia funcionalidad exige algo mucho más parecido a ese oráculo. El ejemplo más claro son las firmas RSA ciegas. En un protocolo de Blind RSA, el cliente oculta matemáticamente el mensaje, el servidor aplica la operación privada sobre el valor cegado y el cliente elimina después el cegado. El RFC 9474 especifica precisamente este tipo de construcción, y la firma final puede verificarse como una firma RSA-PSS.
  
  

  

  Figura 12: RSA Blind Signatures

  
  Ese detalle es importante porque evita una aparente contradicción: una API normal de RSA-PSS no da al atacante un oráculo raw, pero un protocolo de Blind RSA puede necesitar internamente una operación privada sobre valores que el cliente controla. El problema no es la etiqueta “PSS” que aparece al final; es qué inputs puede hacer procesar el atacante por la clave privada durante el protocolo.
  
  Privacy Pass, por ejemplo, estandariza un tipo de token públicamente verificable basado en Blind RSA de 2048 bits. Para ese tamaño, los autores estiman aproximadamente 290 de trabajo y 243 consultas al oráculo. Es una cifra descomunal y probablemente fuera del alcance de casi cualquier atacante real, pero ya no es una afirmación puramente académica sobre una construcción inventada para un paper: hay protocolos modernos cuya forma se parece exactamente al escenario que merece revisar.
  
  

  

  Figura 13: Privacy Pass

  
  También entran en esta categoría ciertas APIs de HSM que permiten operaciones RSA de bajo nivel. Y aquí hay que afinar el lenguaje: un HSM no es vulnerable por ser un HSM. De hecho, el HSM puede estar haciendo perfectamente su trabajo de no dejar salir la clave. 

  
  

  Lo que hay que revisar es si su política permite un volumen enorme de operaciones del tipo que actúa como oráculo. El equipo realizó su demostración usando unHSM como caja negra, precisamente para mostrar que la clave puedeNo filtrarse ni una sola vez.

  
  La parte que el titular borra: NO basta con capturar tráfico
  
  Aquí es donde algunos titulares pueden llevarnos demasiado lejos. No es correcto imaginar el ataque como “grabo tráfico TLS hoy, hago el cálculo mañana y descifro Internet”. El propio repositorio de los autores recuerda que el intercambio de claves moderno de TLS usa mecanismos como ECDH y está migrando hacia ML-KEM; este ataque no se aplica a esos algoritmos.
  
  Para que exista una falsificación o un descifrado útil tiene que haber una clave RSA concreta expuesta mediante la operación vulnerable, suficiente acceso al oráculo y un protocolo en el que esa capacidad posterior tenga valor. En otras palabras, el ataque es contra una interfaz y un modelo de uso de RSA, no contra la existencia del algoritmo RSA en abstracto.
  
  Esto también explica por qué los miles de millones de consultas son algo más que un detalle de implementación. Contra un servicio público bien monitorizado, pedir cuatro mil millones de operaciones anómalas no es precisamente discreto. Ratelimits, rotación de claves, telemetría y controles de acceso pueden hacer que un ataque matemáticamente posible sea operacionalmente absurdo. Contra una clave muy longeva, una API interna poco vigilada o un dispositivo con políticas demasiado permisivas, la historia puede cambiar.
  
  Y esa es, para mí, una de las mejores lecciones del paper: la seguridad real nunca vive solo en una ecuación. Vive en la ecuación y en la API, y en la política de claves, y en cuántas veces dejamos que alguien pulse el botón, y en cuantas capas de seguridad se construyan para proteger un sistema.
  
  Qué debería cambiar ahora mismo
  
  Para la inmensa mayoría de administradores que usan RSA-2048o RSA-3072 con firmas estándar y padding correcto, no hay una orden de evacuación. Los propios autores dicen que el ataque no parece viable contra firmas PKCS o PSS usadas de la forma habitual.
  

  
  

  Figura 14: La frontera práctica del trabajo. El ataque no convierte cualquier

  uso de RSA en vulnerable. La condición decisiva es si el atacante

  dispone de la clase de oráculo que necesita la construcción.

  
  Para quien mantenga Blind RSA, servicios de privacidad con firmas ciegas o HSM que expongan operaciones raw, Sí hay trabajo que hacer. Los investigadores sugieren, en el caso de Blind RSA de 2048 bits, medidas de corto plazo como reducir la duración de las claves y aumentar tamaños; a medio plazo, introducir mecanismos que cierren esta clase de oráculo; y a largo plazo, aprovechar la transición Postc-Cuántica para abandonar construcciones RSA heredadas cuando exista una alternativa adecuada.
  

  
  

  Figura 15: Foro Público de Quantum Security de

  la Universidad de Deusto en MyPublicInbox

  
  

  Fijaos en la ironía. Llevamos años hablando de abandonar RSA porque un Quantum Computer suficientemente grande podrá factorizarlo con Shor. Y justo en mitad de esa transición aparece un recordatorio completamente clásico: aunque la factorización siga siendo durísima, la seguridad de RSA puede degradarse por un camino que no intenta factorizar nada. No invalida la migración Post-Cuántica. La refuerza desde otro ángulo.
  
  Por qué este resultado me parece especialmente interesante
  
  Hay una tendencia muy humana a meter todos los ataques criptográficos en dos cajas: “práctico” o “irrelevante”. Este no cabe bien en ninguna. No es práctico contra la mayoría del RSA desplegado hoy. Necesita una interfaz muy concreta, un número gigantesco de consultas y una barbaridad de cómputo. Pero tampoco es irrelevante, porque hace tres cosas que merece la pena recordar:
  

  • Primero, convierte una ventaja asintótica publicada en 2007 en una medición real. Hasta que alguien ejecuta el algoritmo a escala, las constantes viven en un limbo. Ahora tenemos una factura: 1.380 Core-Years para el experimento de 1024 bits.

  • Segundo, separa dos ideas que solemos usar como si fueran sinónimas: factorizar RSA y obtener una capacidad equivalente a usar la clave privada. En este modelo, la segunda puede ser muchísimo más barata que la primera.

  • Y tercero, coloca el foco en una zona bastante menos glamourosa que la teoría de números, pero igual de importante: la interfaz. Podemos construir una caja fuerte perfecta y arruinar parte de su seguridad si el botón de la puerta acepta demasiadas operaciones elegidas por quien está fuera.

  El algoritmo de 2007 decía que esa posibilidad existía. El trabajo de 2026 ha hecho algo mucho más incómodo: ha ido hasta la caja, ha pulsado el botón miles de millones de veces y ha vuelto con una falsificación.
  
  Conclusión
  
  RSA No ha muerto esta semana. Nadie ha factorizado un módulo RSA-1024 genérico, no ha aparecido un algoritmo clásico polinómico y las firmas RSA-PSSo PKCS#1 v1.5 usadas de forma convencional no han quedado rotas por este resultado.
  
  Lo que sí ha muerto un poco es una simplificación muy cómoda: pensar que la seguridad de RSA se resume siempre en preguntar “¿cuánto cuesta factorizar N?”. Si el atacante consigue acceso temporal al tipo adecuado de operación privada, la pregunta cambia. Y cuando cambia la pregunta, también puede cambiar brutalmente el coste.
  
  Durante décadas hemos imaginado la clave privada como una llave física. Mientras no salga de la caja fuerte, respiramos tranquilos. Este paper recuerda que en criptografía una clave no es solo un objeto secreto: es también una capacidad. Si damos acceso a esa capacidad mediante una API, tenemos que proteger con el mismo cuidado no solo los bits de la clave, sino todas las cosas que permitimos hacer con ellos.
  

  
  

  Figura 16: Quantum y Post-Quantum Computing para Ciberseguridad.

  Formación Especializada, Libro & Foro Online

  
  

  Quizá esa sea la mejor forma de contar esta historia. Los autores no han robado la llave, no han abierto la cerradura y no han encontrado los primos que hay detrás de RSA. Han demostrado que, bajo unas condiciones muy concretas, se puede aprender a fabricar una firma válida sin hacer ninguna de esas tres cosas. Y eso es bastante más interesante que otro titular de “RSA está roto”. Porque la moraleja no sirve solo para RSA: una caja fuerte deja de ser segura mucho antes de abrirse si su ventanilla concede las operaciones equivocadas. Eso sí, no perdamos el foco de migrar a Post-Quantum Cryptography que es lo que debemos hacer cuanto antes.
  
  

  Saludos,

  
  

  Autor: Daniel Romero Ruiz

  
  

  

  Figura 17: Contactar con Daniel Romero Ruiz

  
  

  Otros artículos sobre Quantum Computing publicados:

  • III edición del Programa de Especialización de Quantum y Post-Quantum Computing para Ciberseguridad: Noviembre 2026
  • Libro de Quatum Security: Tecnología Cuántica & Ciberseguridad.Criptográfica Cuántica y Post-Cuántica. 
  • Foro Público de Quantum Security dela Universidad de Deusto en MyPublicInbox
  • Quantum Computing Cybersecurity Preparedness Act: Comienza la era de Ciberseguridad Post-Quantum en Estados Unidos
  • Hamming Quasi-Cyclic (HQC-KEM): Nuevo Key-Encapsulation Mechanism en Post-Quantum Cryptography
  • FrodoKEM: Un Key-Encapsulation Mechanism Quantum-Safe (PQC) que recibe su nombre por "El señor de los Anillos"
  • La Gran Búsqueda de Números Primos de Mersenne en Internet para superar el mayor Número Primo conocido hasta la fecha
  • Cómo acelerar los algoritmos de Inteligencia Artificial con Computadores Analógicos Ópticos (AOC)
  • Premio Nobel en Física 2025: El trabajo del "Efecto Tunel" que trajo la cuántica a nuestro mundo y abrió la puerta a los ordenadores cuánticos
  • Un Reloj Atómico Óptico del MIT con Optimización Cuántica para medir el Tiempo del Futuro
  • Quantum Cryptography: Una comunicación con cifrado cuántico
  • Factorización de RSA con un Optimizador de Quantum Computing (y Classic Computing)
  • Cuánto del tráfico en Internet funciona con Post-Quantum Cryptography
  • Algoritmo Cuántico de Grover: Un algoritmo de búsqueda optimizado por superposición cuántica 
  • Quantum Sensors: Cuando lo invisible se hace visible gracias al Mundo Cuántico
  • Bitcoin vs Quantum Computers: Hora de pasar a Post-Quantum Cryptography
  • El White Paper de MasterCard que urge a pasar a Quantum Safe: Post-Quantum Cryptography (PQC) & Quantum Key Distribution (QKD)
  • Dyber: Hardware-Accelerated Post-Quantum Cryptography (PQC)
  • Cómo ser Quantum Safe y desplegar Post-Quantum Cryptography (PQC) con Cloudflare
  • Quantum GPS: Navegación con GPS cuánticos para evitar ataques de Jamming & Spoofing
  • Cómo comprobar si un Web Site es Quantum Ready con Post-Quantum Cryptography usando Radar
  • Alaniz Cipher: Un Cifrado Simétrico Quantum Resistant
  • Los Papers Académicos de los algoritmos PQC de Autenticación y Firma Digital en la Ronda 3 del NIST
  • Blind Quantum Computing (1) (2) (3) (4)
  • Computación Cuántica y Fusión Nuclear: La Receta para fabricar un "Sol en la Tierra"
  • Claude Mythos Preview debilita los algoritmos criptográficos PQC HAWK y AES con nuevos ataques
  • El algoritmo que amenazó a la Criptografía Post-Cuántica 
  • Cómo se desmontó el algoritmo que amenazaba a la Criptografía Post Cuántica 9 días después

  Únete al foro de Ciberseguridad de Chema Alonso en MyPublicInbox Sigue Un informático en el lado del mal RSS 0xWord - Contacta con Chema Alonso en MyPublicInbox.com

• La transcripción Speech-to-Text Client-Side que no puntúa correctamente por no usar un LLM-MM

  No soy mucho de enviar audios por las aplicaciones de mensajería. Lo hago sólo con amigos, y gente muy cercana, pero no me gusta mucho usar la voz. Va demasiado de mí en los audios. Sin embargo, es mucho más rápido que escribir. Pero... ¿por qué no usar el Speech-To-Text del smartphone? Pues porque no suelo tener buena experiencia con la puntuación. Eso es lo que estaba pensando ayer domingo, trabajando viendo el puente del 25 de Abril de Lisboa, así que quise probar si, con la llegada de los LLMs Multi Modales, había mejorado.

  
  

  

  Figura 1: La transcripción Speech-to-Text Client-Side que

  no puntúa correctamente por no usar un LLM-MM

  
  

  Primera prueba, usando Twitter/X en iOS, y el botón de Speech-To-Text del teclado del iPhone 17 Pro Max que tengo, con un mensaje muy sencillo. Aquí tenéis el resultado, muy al estilo de los primeros Cognitive Services del año 2016 (si no anteriores). Han pasado 10 años ya para seguir con esta calidad.

  
  

  

  Figura 2: Speech-to-Text del teclado de iPhone.

  No pone el punto ni las interrogaciones. Ni una coma.

  Six-Seven nada más.

  
  

  Lo siguiente que hice fue probarlo en Gemini, pero ahora pidiéndole que me lo hiciera bien con un Prompt y subiéndole un audio, para que hiciera todo el proceso en backend (Server-Side). El resultado es muy bueno, que es lo que yo estoy esperando de un Speech-to-Text en el terminal móvil.

  
  

  

  Figura 3: Gemini lo borda. Correcto.

  
  

  Así que, como lo hizo muy bien Gemini, que es un LLM-MM, le pregunté por qué la soluciones Speech-To-Texten Smartphone tienen tantas carencias a la hora de poner las puntuaciones correctas, y aquí está la explicación que me dio.

  
  

  

  Figura 4: Problemas del Speech-to-Text para puntuar correctamente.

  
  

  Por supuesto, la primera es que no se dictan los puntos y las comas, ni las interrogaciones o exclamaciones. Evidente, pero en el mundo que estamos hoy en día, los modelos de IA reconocen las entonaciones con facilidad, así como se hace el análisis de sentimiento, que de eso hemos hablado mucho. Basta con un clasificador de Machine-Learning para hacer eso.

  
  

  Figura 5: Libro de Machine Learning aplicado a Ciberseguridad de Carmen Torrano, Fran Ramírez, Paloma Recuero, José Torres y Santiago Hernández

  
  

  Lo siguiente que dice es que las pausas pueden ser ambigüas, bueno, pero se puede hacer mejor que lo que se hace ahora. También dice que puede afectar la diferente forma de entonar que se tiene o que el contexto puede ser indeterminado. Además del uso de fórmulas habladas, como las muletillas. Nada, no se lo compro, debería ser mucho mejor que esta prueba que he hecho con Notas de iPhone.

  
  

  

  Figura 6: Ni una puntuación.

  
  

  Visto esto, le pregunté a Gemini, si estos problemas existen, cómo es posible qué él lo hubiera hecho tan bien con el audio que le había subido, y la respuesta se resume en... Yo soy un LLM-MM de primer nivel, para mí es trivial.

  
  

  

  Figura 7: La respuesta de por qué lo hace él tan bien

  
  

  Por supuesto, hay una diferencia fundamental entre hacer un análisis en tiempo real del flujo de audio en "stream" a hacerlo con el fichero completo en "bloque", pero aún así es muy mejorable. De hecho, este Prompt se lo he subido usando el Speeh-To-Text en Google Chromeen la webapp de Gemini - ejecutándose el Client-Side - , y la verdad que lo hace muy bien.

  
  

  

  Figura 8: Usando el Speech-To-Text de Gemini en Google Chrome Client-Side

  
  

  Lo dicho, creo que si estos sistemas de Speech-To-Text en Client-Side funcionara mejor - que estamos en la era ElevenLabs y traducción en tiempo real de conversaciones, la gente haría menos uso de los envíos de audios, y sería un avance para los usuarios, porque a veces hay que escribir textos muy largos por no enviar el audio a una persona que no se quiere enviar.

  
  

  ¡Saludos Malignos!

  
  

  Autor: Chema Alonso(Contactar con Chema Alonso)  

  
  

  

  
  

  Únete al foro de Ciberseguridad de Chema Alonso en MyPublicInbox Sigue Un informático en el lado del mal RSS 0xWord - Contacta con Chema Alonso en MyPublicInbox.com

• Mi (y la tuya) agenda de Eventos en Octubre: Cloudflare User Group, Ekoparty, ApIAddicts & Cloudflare Connect

  Este mes de Octubre está a punto de llegar, y sabiendo que he terminado todas mis actividades públicas de Septiembre, os dejo la agenda que tengo cerrada para este mes que entra, que ya la tengo muy cerrada, y creo que ya estaría todo lo que voy a hacer.  Por si algo te pilla bien y te apetece, que luego creo que voy a ir reduciendo mi actividad durante el mes de Noviembre donde creo que voy a hacer poca cosa, para cerrar el año. 

  
  

  

  Figura 1: Mi (y la tuya) agenda de Eventos en Octubre.

  Cloudflare User Group, Ekoparty, ApIAddicts & Cloudflare Connect

  
  

  Quiero cortar pronto este añito que estoy pensando ya en el año que viene... ¿voy con anticipación, verdad? Así que después de estos eventos, creo que haré como tres cosas máximo de aquí a fin de año.... y poco más, que el tiempo vuela, y yo quiero hacer muchas cosas en lo que me queda de vida.

  
  

  29 de Septiembre Foro UNIR centrado en la IA aplicada al ciclo completo del desarrollo de software.

  
  

  

  Figura 2: Foro UNIR centrado en la IA aplicada

  al ciclo completo del desarrollo de software.

  
  

  Esta actividad es una formación Gratuita y Online de 1 hora de duración  que que tendrá lugar el día 29 de Septiembre a las 17:00 y donde se hablará no solo de VibeCoding, Spec Coding, Graph Engineering, Code Agents o Software Factories, sino también de Workflows, Skills, MCP, Arquitecturas RAG, Loop, Harnesses y, como no, QA y Seguridad, temas que debes conocer hoy en día si quieres dedicarte al mundo de la tecnología.

  
  

  

  Figura 3: Ponentes del Foro IA aplicada al desarrollo de software

  
  

  Es una oportunidad cómoda de estar una hora en mi jornada asistiendo a un evento en remoto, escuchando a profesionales y, lo mismo, lo hago desde mi terminal móvil paseando por la ciudad, o sentado en un banco del parque de la "Tapada das Necessidades" en Lisboa, donde aprovecho para ir a leer un poco las tardes de buen tiempo. 

  
  

  

  Figura 4: Agenda del Foro de IA aplicada al desarrollo de Software

  
  

  En la formación estarán Santos Pardos Gotor, que es Arquitecto de soluciones Cloud e instructor de AWS autorizado dando una ponencia de y luego habrá una mesa redonda a la que se unirán Ángel Gálvez Caballero, que es el CISO Avolta, e Iván Sanz Prieto,que es Senior Manager of Software Development for AI, Data & DevSecOps en Lumen Technologies. Así que seguro que puedo seguir aprendiendo cosas de sus experiencias.

  
  

  1 de Octubre - Madrid: Hello World! Cloudflare User Group España

  
  

  El primero de los eventos ya en Octubre al que tienes que venir, que no te puedes perder es en Madrid, el "Hello World!" dell Cloudflare User Group Expaña que será el próximo día 1 de Octubre. Ya os conté que mi compañero Carlos Luengo decidió crear un grupo de MeetUP para usuarios de Cloudflare en España, para que todos los que construyan, o quieran aprender a construir un mejor Internet utilizando la potencia de Cloudflare, con sus soluciones de Ciberseguridad, su red AnyCast mundial, y la Developer Platform sobre que la que están disponibles las herramientas Agentic AI más potentes hoy en día, puedan compartir conocimiento.

  
  

  

  Figura 5: 1 de Octubre: Hello World! Grupo de Usuarios de Cloudflare en Madrid.

  
  

  Puedes apuntarte por la web del evento, y pasarte luego por el Hotel NH Collection Madrid Suecia que está en la Calle del Marqués de Casa Riera 4, en Madrid. Y el evento comienza a las 19:00 horas y dura hasta las 22:00 horas... así que es un MeetUp de cena en el que seguro que hay sorpresas...que es jueves. Y para no perderte ninguna de las actividades del Grupo de Usuarios de Cloudflare en España, únete a él.

  
  

  

  Figura 6: MeetUP del Grupo de Usuarios Cloudflare España

  
  

  El grupo está en MeetUP, así que si tienes cuenta, solo debes unirte y estarás informado de los próximos eventos que vamos a ir realizando. Si quieres participar en las actividades y estar atento a todo lo que se haga, debes apuntarte ya al grupo de usuarios en MeetUp - como ya he hecho yo - y participar en la coordinación de las actividades. En palabras de nuestro compañeros Carlos Luengo, esta comunidad se describe así.

  
  

  

  Figura 7: Contactar con Carlos Luengo

  
  

  2.- 7 a 9 de Octubre -  Buenos Aires: Ekoparty

  
  

  Hoy toca contaros una pieza más de mi agenda para este año. Se trata de mi regreso a la Ekoparty para dar una keynote el próximo mes, los días 7, 8 y 9 de Octubre. Así que muy contento por esta noticia. Que tal vez para vosotros no sea nada, pero para mí es una alegría. 

  
  

  

  Figura 8: De vuelta a Argentina: Estaré en la Ekoparty 

  
  

  En el evento - que tienes todos los detalles en la web -, estaré dando una keynote, pero también estaré firmando libros para todos los que os traigáis vuestro libro o lo compréis allí - habrá una tienda de 0xWord -, y si te has comprado la Entrada Champión, estaré contigo en el Meet&Greet de la Eko.

  
  

  

  Figura 9: Ahí puedes usar el código descuento que

  consigas en MyPublicInbox con Tempos

  
  

  Si quieres comprar la entrada, hemos puesto unos códigos de descuento del 15% en MyPublicInbox que puedes conseguir si tienes 200 Temposde la plataforma. Así que si quieres venir cómprate la entrada pero antes pilla tu descuento.

  
  

  

  Figura 10: Conseguir el código descuento en MyPubicInbox

  
  

  La última vez llegué y me fui corriendo, pero esta vez estaré algún día más, que aprovecharé para organizar algún evento más privado con clientes y partners de Cloudflare en Argentina, así que si eres cliente nuestro, habla con el equipo comercial para que te diga dónde voy a estar... que voy a hacer un Evento para Clientes, y un Evento para Partners.

  
  

  

  Figura 11: Toda la info en la web de la EkoParty

  
  

  La primera vez que fui a la EkoParty, ésta era una reunión no demasiado grande organizada por chavales brillantes. Hoy es un gran conferencia organizada por grandes hackers y grandes profesionales. Y todos somos mucho más mayores... pero mola todo.

  
  

  15 de Octubre - Madrid: ApIAddicts

  
  

  La siguiente parada en Octubre será el ApIAddicts Day 2026 en Madrid. Este año está centrado en IA, y habrá paneles de Seguridad, estarán mis compañeros de Cloudflare, y yo estaré dando un Keynote por la mañana. 

  
  

  Figura 12: ApIAddicts Day 2026: 15 de Octubre en Madrid

  
  

  Ya está publicada la agenda, y yo estaré a primera hora (09:30) dando mi charla pero ya se ha publicado la agenda y tienes varias salas en paralelo para que puedas elegir el track en el que quieres formarte, así que revisa la agenda y toma nota de tus charlas.

  
  

  

  Figura 13: Agenda de ApIAddicts Day Madrid

  
  

  Yo te voy a dejar recomendadas un para que no se te pasen por alto. La primera de ellas la mesa de Seguridad donde estará mi compañero Carlos Luengo de Cloudflare, que no te debes perder. Y acercate a él para colaborar o saber más de nuestra compañía.

  
  

  

  Figura 14: Mesa redonda de Seguridad

  
  

  Y luego, una que hablará de los Enjambres de Agentes IA para hacer Seguridad Ofensiva, en este caso gracias a  Plexicus, e impartida por el gran José Palanco, que tiene un historial en el mundo del emprendimiento y la ciberseguridad que merece la pena que lo conozcas.

  
  

  

  Figura 15: José Palanco hablará de Enjambres de Agentes IA

  
  

  Además, por supuesto, firmaré libros de 0xWord, nos haremos fotos, y charlaré con los amigos que pueda durante el tiempo que esté por allí, así que nos vemos.

  
  

  19 a 21 de Octubre - San Francisco: Cloudflare Connect 2026

  
  

  Los días 19, 20 y 21 tendrá lugar Cloudflare Connect 2026 en San Francisco, el evento para Clientes, Partners y Creadores de Internet de Cloudflare. Es el evento del año de la compañía. El evento más importante si quieres entender hacia donde está llevando Cloudflare la construcción de Internet, donde podrás encontrarte con los Ingenieros, VPs, y Researchers de la compañía, pero donde además podrás CERTIFICARTE en las tecnologías de la compañía, que se hacen formaciones y exámenes directamente en el evento.

  
  

  

  Figura 16: Cloudflare Connect 2026 en San Francisco.

  Fórmate, Certificate y Lidera la Transformación.

  
  

  Es el evento al que tienes que ir, o al que tienes que mandar a tu equipo técnico si estás usando o estás pensando el año que viene en moverte a tener las ventajas de Cloudflare. Así que registra tu plaza y tu viaje cuando antes.

  
  

  

  Figura 17: Speakers en Cloudflare Connect 2026

  
  

  La agenda es espectacular, con 149 sesiones de formación sobre todos los temas que puedas imaginarte que tienen que ver con Ciberseguridad, Inteligencia Artificial, Infraestructura de Internet, Agentic AI, Internet Business,y por supuesto, estará el C-Level de la compañía, para poder hablar cone ellos.

  
  

  

  Figura 18: La agenda tiene 149 sesiones de formación

  
  

  Yo estaré también dando una charla el día 21 de Octubre, sobre Seguridad, IA, y Guardarraíles, y estaré en múltiples reuniones y actividades paralelas que tienen lugar durante Connect, así que será un lugar para que nos podamos ver y hablar del futuro.

  
  

  

  Figura 19: Mi charla en Cloudflare Connect 2026

  
  

  Como os he dicho, par los técnicos es un sitio espectacular para formarse y certificarse, así que si quieres tener Cloudflare Experts en tu empresa, es una oportunidad de oro para enviarlos a formarse durante esos días. En una semana te los devolvemos transformados.

  
  

  

  Figura 20: Cloudflare University con CERTIFICACIONES

  
  

  Y si eres uno de nuestros Partners y quieres acelerar con nosotros - o quieres ser partner - tienes el día 19 el Global Partner Summit al que debes venir donde conocerás nuestra estrategia, nuestras tecnologías, y cómo trabajar más y mejor juntos.

  
  

  

  Figura 21: Global Partner Summit de Cloudflare en Connect 2026

  
  

  Por supuesto, es un evento lleno de tecnología y de ingenieros, y los "Alonso" estaremos allí dando nuestras charla con nuestros "sombreros", así que si vienes ya sabes cuál es el espíritu que te vas a encontrar.

  
  

  

  Figura 22: Ven a conocer a los ingenieros de Cloudflare

  
  

  Os he dejado información de mi charla por si vienes allí, que no se te olvide venir a verla, que será sólo un ratito pero tenemos que vernos... y si quieres hacernos una foto para el recuerdo, pero sobretodo revisa la cantidad de buenos speakers que tienes allí para aprender de ellos.

  
  

  

  Figura 23: Speakers de Cloudflare Connect 2026

  
  

  No vas a tener oportunidad de formarte más rápido y con los mejores en menos tiempo para liderar la transformación al nuevo mundo de Agentic AI y los cambios en Ciberseguridad. Nos vemos en Cloudflare Connect 2026 en San Francisco.

  
  

  ¡Saludos Malignos!

  
  

  Autor: Chema Alonso(Contactar con Chema Alonso)  

  
  

  

  
  

  Únete al foro de Ciberseguridad de Chema Alonso en MyPublicInbox Sigue Un informático en el lado del mal RSS 0xWord - Contacta con Chema Alonso en MyPublicInbox.com

• La Comunidad de Madrid & Cloudflare

  Suelo ser un enemigo de la perfección. Creo que pensar que buscar la perfección es un error, como suelo pensar que el que alguien crea que algo es perfecto es negar la posibilidad de mejora, y yo soy de los que creo que hay que perseguir mejorar todo siempre. Hasta nuestras maravillosas ciencias puras, como la matemática o la física, siguen siendo materias que mejoran, y eso me hace vivir con la curiosidad constante de ver, aprender o descubrir qué será lo próximo. 

  
  

  

  Figura 1: La Comunidad de Madrid & Cloudflare 

  
  

  Esto os lo cuento porque Internet no era, ni es perfecto. Ya nos gustaría que así fuera, y sin embargo, lejos de esa perfección, es maravilloso, un bien que nuestra generación recibió de los padres que lo crearon, imperfecto, inseguro, a veces hasta peligroso, pero al mismo tiempo maravilloso, transformador, "empoderante". No tengo palabras para explicar lo importante que creo que es Internet para la humanidad. Ha sido el mayor facilitadores de conocimiento y creación de oportunidades de la historia de la humanidad, a pesar de su imperfección y de sus peligros.

  
  

  Pero no es perfecto. 

  
  

  Y se puede mejorar de muchas formas. Se puede mejorar haciéndolo aún más veloz, más ubicuo, más seguro, con más capacidades, más resistente, más limpio. Claro que sí. El que piense que no, por favor, que abandone la sala por la puerta de atrás sin hacer mucho ruido. Trabajar para hacer un mejor Internet es algo que deberíamos hacer todos.

  
  

  Ese es el espíritu que llevó a la fundación de Cloudflare. Trabajar para mejorar Internet. Así que la compañía se puso a trabajar de manera incansable en cómo mejorar Internet. Cómo hacer un Internet más rápido, con menos latencia, con más seguridad para los usuarios, con más privacidad, más resistencia a los ataques, y con más capacidades para construir más cosas.

  
  

  Eso llevó a que Cloudflare construyera el Edge de Internet mundial que es hoy. Una plataforma global de 750 ubicaciones en todo el mundo, en más de 335 ciudades y 125 países, que ofrece capacidad de desarrollar aplicaciones y Agentes de IA con sus Workers, Workers AI, CDN, Durable Objects y R2 Databases, haciendo que estos servicios estén a 50ms de distancia entre los usuarios de Internet y cualquier servicio desplegado en Cloudflare.

  
  

  Figura 2: La plataforma mundial de Cloudflare. 

  
  

  Pero no solo eso, sino que ese Edge mundial es la plataforma de seguridad perimetral en Internet que más clientes protege, muchos con sus servicios gratuitos. Hoy en día, - ya - el 26% del total de los dominios de Internet está protegida por todo el stack de seguridad de Cloudflare. El WAF mundial de Cloudflare actualiza en menos de un minuto la protección en todo el mundo de cualquier nuevo exploit detectado por los equipos de Threat Intelligence. 

  
  

  Suelo decir que no es una decisión de un producto u otro, de una solución u otro. No. Es una decisión de estar en un Internet, o estar en el Internet con Aceleración y Seguridad que ofrece la plataforma en el Edge de Cloudflare. Una red Anycast, con IPv6 y Post-Quantum Cryptography que añade mejoras a nivel estructural de Internet para hacerlo mejor. Es el exoesqueleto de seguridad de cientos de millones de clientes, que para 230 Billones de ataques al día. Esa es la escala de esta plataforma sistémica del Internet de hoy en día.

  
  

  Por eso me hace especialmente feliz el que en España, las empresas y los emprendedores estén sacando cada vez más partido de la plataforma mundial de Cloudflare, y me hace especial ilusión que la Comunidad de Madrid haya viajado a nuestro Head Quarter en San Francisco para firmar un protocolo de colaboración para acelerar a las StartUps de la región. Os dejo la comunicación de la Comunidad de Madrid íntegra.

  
  

  La Comunidad de Madrid y la tecnológica Cloudflare colaborarán para preparar a la Administración pública y a las empresas para la nueva generación de IA

  
  

  La Comunidad de Madrid y la empresa estadounidense Cloudflare han firmado hoy un protocolo de colaboración para los próximos tres años con el objetivo de reforzar la seguridad de la Administración pública y de las empresas de la región ante el avance de la inteligencia artificial (IA). 

  
  

  

  Figura 3: El consejero de Digitalización, Miguel López-Valverde ha rubricado con la presidenta y fundadora de la tecnológica Michelle Zatlyn, este documento, en las oficinas de la compañía, en San Francisco (EE. UU.).

  
  López-Valverde ha señalado que “el Gobierno regional quiere estar a la vanguardia de la revolución de las nuevas tecnologías y hacerlo desde la seguridad y la protección de la población”. “Este acuerdo nos permite poner a disposición de nuestros emprendedores y de nuestros servicios públicos capacidades digitales de primer nivel para convertir la innovación en nuevos productos y oportunidades”.
  
  Así, el protocolo busca fomentar la modernización de la Administración regional. Para ello, contempla iniciativas como la aplicación de la IA agéntica y la automatización para agilizar 1.400 trámites administrativos que la Comunidad de Madrid ofrece a los ciudadanos. Para garantizar que la incorporación de esta inteligencia artificial se realiza de forma segura y responsable, el Ejecutivo autonómico y Cloudflare pondrán en marcha Madrid Digital AI Trailblazer, un programa dirigido a altos cargos responsables de la transformación digital de los servicios públicos y de las entidades locales.

  
  

  

  Figura 4: Helping build a better Internet

  
  Su objetivo será proporcionarles conocimientos sobre el funcionamiento de estas tecnologías y las herramientas necesarias para supervisar su adopción y asegurar un uso adecuado.
  
  Programa de aceleración de startups
  
  El protocolo también contempla medidas específicas para promover el ecosistema tecnológico madrileño. A través de un Programa de Aceleración de Startups, estas podrán acceder a los servicios de Cloudflare para crear infraestructuras digitales seguras y desarrollar nuevas aplicaciones basadas en IA.
  
  

  

  Figura 5: Miguel López-Valverde y Michell Zatlyn

  en el muro de lámparas de Lava de Cloudflare

  
  Además, se organizarán tres ediciones de un proyecto de formación y certificación para empresas emergentes, emprendedores, estudiantes y profesionales de la transformación digital, con hasta 300 participantes en cada jornada. Los inscritos podrán acceder a laboratorios de inteligencia artificial con herramientas avanzadas, probar nuevos productos y recibir asesoramiento personalizado para facilitar su crecimiento internacional.
  
  Apoyo a proyectos de las universidades madrileñas
  
  Estas oportunidades también se extenderán a proyectos de investigación realizados en las universidades madrileñas. De esta forma, el acuerdo busca conectar el talento, el estudio y el emprendimiento con las nuevas posibilidadesque ofrece la IA.
  
  Asimismo, la colaboración incluye la búsqueda de medidas para preparar las infraestructuras digitales de la Comunidad de Madrid e incrementar la seguridad ante futuros riesgos, mediante la incorporación de sistemas de cifrado y autenticación. Igualmente, ambas partes explorarán la posibilidad de que Cloudflare establezca una sede en la región con el objetivo que se convierta en el centro de sus operaciones europeas.
  

  
  

  ¡Saludos Malignos!

  
  

  Autor: Chema Alonso(Contactar con Chema Alonso)  

  
  

  

  
  

  Únete al foro de Ciberseguridad de Chema Alonso en MyPublicInbox Sigue Un informático en el lado del mal RSS 0xWord - Contacta con Chema Alonso en MyPublicInbox.com

• HP Wolf Security Threat Insights Report: Septiembre 2026

  Hoy os voy a hablar del HP Wolf Security Threat Insights Report: Septiembre 2026 que pude leer ayer en un rato. No es un documento muy largo, ya que se centra en los Ingishts, pero me han llamado la atención algunas de las estratégicas que los malos utilizan para engañar a los usuarios, y por esto he querido dedicarle este artículo rápido, para que lo tengáis en la cabeza.

  
  

  

  Figura 1: HP Wolf Security Threat Insights Report.

  Septiembre 2026

  
  

  Dentro de las técnicas que hay para cometer una ciberestafa a los usuarios con criptomonedas hay una que me ha hecho mucha gracia, porque lo que hacen es promocionar un Agente AI para gestionar tus estrategias de inversión.

  
  

  

  Figura 2: Un Agente AI para gestionar tus criptomonedas

  
  

  La gracia es que la única estrategia de inversión que tiene ese Agente AI es la de matar las extensiones de las wallets cripto que tengas en tu navegador instaladas, y reemplazarlas por unas extensiones maliciosas.

  
  

  

  Figura 3: Busca tus wallets en extensiones de Google Chrome

  ... para matarlas y reemplazarlas.

  
  

  Estas nuevas extensiones pretenden ser tus wallets, con el login perfecto para que pongas tus contraseñas, y luego, una vez puestas, pues ya sabes donde van a ir tus criptomonedas. Seguro que no es la estrategia de inversión que tú querías, pero sí la que ellos querían.

  
  

  

  Figura 4: Te pone unas nuevas wallets para que le des tus claves

  
  

  Me ha parecido curioso esto de tener un Agente AI para gestionar tus inversiones, pero que realmente sea para gestionar las suyas. Hay que reconocer que los tipos que se dedican al in-noble negocio de la ciberestafa son cada vez más ingeniosos.

  
  

  Figura 5: "Ciberestafas: La historia de nunca acabar"(2ª Edición).por Juan Carlos Galindo en 0xWord.

  
  

  El informe trae otra serie de trucos, pero he seleccionado estos que me han parecido muy chulos. Éste en concreto es una supuesta versión de Microsoft Office Word en Ruso, que tiene hasta su asistente de instalación perfectamente creado.

  
  

  

  Figura 6: Un Microsoft Word en Ruso que es malware

  
  

  Lógicamente, una vez que lo instalas, lo que te has comido es un malware que controla tu máquina, que lleva una bonita RAT incluida dentro de la instalación, como manda la ley de los ciberstafadores. También me ha gustado este que utiliza documentos PDF con QRCodes para hacer Phishing a dispositivos móviles.

  
  

  

  Figura 7: QRCodes en PDFs que son phishing

  
  

  No es nueva, pero sí me llama la atención lo sencillo que es. Genera PDFs, publícalos en todo repositorio que puedas, envíalo por email utilizando un Agente AI, y seguro que un porcentaje de los que lo reciban acabarán escaneando el QRDCode. No me cabe la menor duda de eso. Y con esta forma hacen más difícil la detección del malware...

  
  

  

  Figura 8: El QRCode lleva a un Phishing de One Drive

  
  

  Otro que también me llama la atención, por estar hecho en Español, es un malware de macros de Excel que instala una RAT. Un viejo truco de hace ya muchos años, que sigue funcionando, por lo que podemos ver en el mundo de los ciberestafadores.

  
  

  

  Figura 9: Malware en Macros de Excel en Español

  
  

  Cuánto me ha recordado a la charla que di con el gran Juanito Silverhack de "Bosses Love Excel, Hackers Too", puedes verla si no la has visto, sigue siendo muy chula de ver.

  
  

  
  Figura 10 : Bosses love Excel, Hackers Too

  
  

  Está claro que la inventiva no va a parar, porque sigue dando pingües beneficios a los ciberestafadores, así que hay que tener todas las defensas activas, y no relajarse nunca, que cuando menos te lo esperas te han colado una RAT.

  
  

  ¡Saludos Malignos!

  
  

  Autor: Chema Alonso(Contactar con Chema Alonso)  

  
  

  

  
  

  Únete al foro de Ciberseguridad de Chema Alonso en MyPublicInbox Sigue Un informático en el lado del mal RSS 0xWord - Contacta con Chema Alonso en MyPublicInbox.com

• "Deadlock in the Lockers" por un bug de UX en el mundo físico

  Siempre he sido un mal tester. Cuando me han dado a probar los productos, he tenido la suerte, el acierto o la desgracia, de tocar donde nadie esperaba que se hiciera o en el orden que nadie pensó que alguien lo hiciera. Ha sido un don toda mi vida. Me dan algo a probar, y no me funciona. Quizá porque soy más torpe, o porque me gusta probar qué pasaría si....Supongo que por eso acabé buscando bugs en el software, es una habilidad natural innata qué, a veces, me juega malas pasadas.

  
  

  

  Figura 1: "Deadlock in the Lockers" por un bug de UX en el mundo físico 

  
  

  Este "súper poder" me llevó el otro día, cuando tenía lugar el GP F1 en Madrid, a terminar en un Deadlock con los Lockers, por culpa de un fallo de UX en el sistema físico de la apertura y cierre de los mismos. Os lo cuento, por si algún día es vuestra primera vez, para que no caigáis en el mismo problema que forcé yo a la primera. Para no alargar la historía, os diré que tenía entradas para la F1 de Madrid y la carrera comenzaba a las 15:00. Yo aterrizaba en Madrid viniendo de México a las 13:15, y tenía el tiempo justo para ir hasta  un Hotel de Valdebebas y dejar mi equipaje en los Lockers para luego correr hacia la entrada del circuito y ver la carrera. Todo planificado.

  
  

  

  Figura 2: Los Lockers

  
  

  Cuando llegué a la recepción del hotel pregunté por los lockers, y una chica muy amable me dijo que estaban abajo, en el parking, pero que con la carrera no sabía si quedaría ninguno libre. Esto metió nerviosismo en mi plan, y baje un poco acelerado para ver si tenía uno disponible. No había utilizado nunca el sistema, y mi preocupación era si aceptarían tarjeta de crédito, que venía pelado, pero ahora tenía que encontrar alguno vacío para poder utilizarlo. Nervios++

  
  

  Cuando llegué, me topé con todos los lockers cerrado, y mi nerviosismo empezó a crecer, pero de repente, mi ojo captó una puerta abierta de un locker, y me sentí aliviado. Corrí hacia ese locker, y puse mis cosas dentro. Me quedé con el número de la taquilla, lo cerré, y me fui hacia la pantalla para pagar el alquiler de ese locker y asegurarme que se quedaba cerrado.

  
  

  Suena bien, ¿verdad?

  
  

  Lo cierto es que cuando llegué a la pantalla del pago, me encontré con un menú con dos opciones. Una para alquilar un locker, y la otra para abrir un locker. Tiene sentido, pensé. Vamos a alquilar un locker, y cuando le di a esa opción, me esperaba un interfaz para poner el número de mi taquilla, pero lo que me encontré fue una lista de números de taquillas, entre las que no estaba el mío.... What? 

  
  

  Seleccioné un número de los disponibles y pagué, viendo cómo se abría automáticamente el locker con ese número. Aquí iría una onomatopeya de cerebro pensando sobre qué ha pasado, pero lo cierto es que pensé: "Bueno, si la otra no la puedo cerrar, cambio las cosas y listo". Así que me fui a la taquilla donde había metido mis cosas para abrirla, pero... oh, oh... estaba cerrada y no se abría. Deadlock total.

  
  

  ¿Cómo era esto posible?

  
  

  El tiempo corría en mi contra, así que me fui corriendo a la recepción subiendo los escalones en tiempo de record de vuelta del circuito, y le conté a la chica lo que me había pasado recortando los espacios entre las palabras. Ella me miró con cara de no entiendo nada y dijo... "¿Es un problema con los lockers?" 

  
  

  "Sí, sí, sí, sí.." respondí, al tiempo que agitaba mi cabeza en vertical a 200 rpms. Y ella dijo que para los lockers, al responsable de los lockers, que precisamente venía por el hall del hotel. Gracias, gracias, gracias. Así que le asalté, y mejorando mi tiempo anterior, le conté otra vez toda la historia. Y me miró con cara de "... What?" 

  
  

  Le expliqué que sí, que había un locker abierto, que yo pensé que primero elegías taquilla, luego la pagabas, y se cerraba, pero que no, que luego vi que el sistema es distinto, que primero pagas, eliges taquilla, ésta se abre, pones las cosas dentro y luego se cierra, pero que tus cosas estaban en una taquilla abierta, que alguien había pagado para cerrar, pero que se había ido y la había dejado abierto y... el resto ya os o he contado.

  
  

  La persona no entendía nada, pero uso su clave de administrador de los Lockers (Modo God Locker)y me preguntó antes de abrir la taquilla por todas mis cosas, que yo le describí minuciosamente: "Un libro de Isaac Asimov, tres calzoncillos usados, una mochila de Cloudflare, unos dulces mexicanos,....y cosas". En el momento de comprobar que era mi equipaje, a pesar de saber que lo acababa de poner allí, estaba nervioso pensando... ¿Te imaginas que ahora hay otra cosa y es una broma de cámara oculta?

  
  

  View this post on Instagram

  A post shared by Chema Alonso (@chemaalonso)

  
  

  Por suerte... (ya ves tú qué suerte) estaban mis cosas, y pude cambiarlas y cerrar la taquilla para irme a la carrera. Llegué, como podéis ver en el vídeo. Pero me pasé toda la carrera sin entender qué había pasado, así que cuando volví a recoger mis pertenencias vine con el modo Debug ON.

  
  

  Al llegar, para abrir la taquilla, había dos opciones: "Abrir una vez" o "Abrir y terminar el alquiler". Pensé... "¿Qué opción de estas ha llevado al Deadlock en el que me quedé?" Pues parece a priori  que ninguna, o que podían ser las dos. En cualquiera de los dos casos el problema parecía el mismo. Si el usuario que termina el alquiler y se va, deja la taquilla abierta, no hay un mecanismo de cierre automático retardado para evitar que alguien, por error, o por no conocer el proceso como era mi caso, ponga sus cosas dentro. Si alguien pone algo dentro y se cierra, se acabó, ¿o no?

  
  

  

  Figura 4: Mientras pensaba en eso, me perdí y acabé

  a pie de pista sacándole una foto a mi colega Max.

  
  

  Pues no, en este caso, la solución al misterio del problema era "Abrir una vez" sin terminar la sesión. Si hubiera elegido al opción de "Abrir y terminar el alquiler" cuando yo fui a pagar, esa taquilla aparecería como disponible, pero no estaba, así que la persona abrió la taquilla sin terminar la sesión y me dejo en un Deadlock. Es decir:

  • Un usuario alquila una taquilla por 8 horas y le pone el código 2345
  • El usuario vuelve a la hora para irse, pero abre la taquilla sin cerrar el alquiler.
  • Deja la taquilla abierta.
  • Un nuevo usuario que no conoce el sistema pone sus cosas dentro pensando que está disponible.
  • Cierra la taquilla
  • La taquilla sigue alquilada aún por 7 horas y no está disponible.
  • El nuevo usuario se ha quedado sin sus cosas.

  La solución, además de poner el cierre retardado automático - caro -, sería poner información contextual directamente en la taquilla: "Antes de poner sus cosas dentro asegúrese de haber pagado" o "No ponga cosas dentro de la taquilla si no la ha abierto con el panel de control"... o cualquier otro mensaje para el usuario que no ha visto aún el proceso de pago.

  
  

  

  Figura 5: Con la ayuda de Megatorpe

  
  

  El bug es pequeño, pero como podéis ver, existe, y me acordé de los libros de ANAYA de Informática para Torpes, donde MegaTorpe hacía todo lo que nadie esperaba que hiciera. Sí, yo fui MegaTorpe, pero el issue existe, y alguien tendrá que pensar cómo subsanarlo, o delegar ese caso de uso "Corner Case" en el Modo God del Locker Admin.

  
  

  ¡Saludos Malignos!

  
  

  Autor: Chema Alonso(Contactar con Chema Alonso)  

  
  

  

  
  

  Únete al foro de Ciberseguridad de Chema Alonso en MyPublicInbox Sigue Un informático en el lado del mal RSS 0xWord - Contacta con Chema Alonso en MyPublicInbox.com