Las soluciones europeas eIDAS²⁰ y sus faltriqueras²¹ digitales (EUDI Wallet²²) están bien como idea seminal que establezca definitivamente la necesidad de 1) una identificación transfronteriza ágil y sencilla de personas físicas y jurídicas, así como de servicios prestados, que sea aceptada en toda Europa, y 2) que unifique e incentive las iniciativas que puedan existir en los distintos estados nacionales europeos. Sin embargo, sigue sin satisfacer las necesidades técnicas antes mencionadas. Mientras se siga viendo el problema de la identidad digital como una oportunidad mercantil y económica de vender documentos nacionales de identidad digitales, el problema no se resolverá, y seguiremos agrandando el panteón de carísimas intentonas que en tres décadas solo han dejado cosas que pudieron ser y no han sido.

El problema es que, a pesar de todo esto, a pesar de estar plagado de problemas potenciales y algunos muy reales como el de la carencia de credenciales de identidad no hackeables, la sociedad sigue digitalizándose cada vez más y pronto todo el tejido social será digital. Nos estamos entregando al sueño interesado de algunos sin pensar que podamos estar, con ese mismo hecho, escribiendo la inviabilidad anunciada de esa sociedad recién nacida.

Posibles desastres digitales

Puestos a pensar en posibles desastres digitales y aprendiendo del nunca bien ponderado ejemplo del ransomware, podemos encontrar profecías apocalípticas que den lustre a los cantos de Sibila que se nos piden. El problema de las sociedades es que 1) su organización interna determina el éxito histórico (duración) y el tamaño de las mismas, y 2) su fuerza de cohesión puede nacer del miedo, la coacción y/o de las creencias, fundadas o no, experimentables o fantásticas, de su población pero, en cualquier caso, se basan en la confianza que los individuos y conjuntos de individuos depositan (¿ciegamente?) en el líder o en el estado.

Erradicar las Mafias siempre ha sido muy difícil, sobre todo cuando con anterioridad han sido compañeras toleradas de viaje (la Cosa Nostra²³ en la liberación de Italia del fascismo, apoyo a los Talibanes²⁴ en la Guerras Civil y Ruso-Afgana²⁵ por parte de la CIA, la Contra nicaragüense en tiempos de Jimmy Carter²⁶, etc.) pero, en cualquier caso, lo único eficaz para acabar con ellas es 1) la asfixia económica y 2) la desmovilización espontánea de sus bases²⁷.

Un mecanismo muy eficiente en la desmovilización generalizada de las bases es la pérdida de confianza en el sistema, y la sensación de no haber futuro. Una sociedad confía en la corrección de todos los datos que utiliza para su funcionamiento y en todos los que ha generado durante los años anteriores de existencia. Toda sociedad cimenta su confianza en ella misma en la integridad de los registros que la constituyen. Alterar la integridad de registro basados en documentos de papel²⁸ ha sido el negocio de falsificadores de todos los tipos y en todas las circunstancias²⁹.

Aun siendo difícil, la autenticación de tintas, papeles, grafías y demás elementos de los registros analógicos, se puede hacer³⁰ y todos los falsificadores clásicos (analógicos) tarde o temprano han sido descubiertos, tanto ellos como sus obras. Sin embargo, en el escenario digital, el original es esencialmente idéntico a sus copias, por lo que la “falsificación” (copia) es indetectable como tal; es indistinguible del original. Lo mismo ocurre con dos versiones ligeramente distintas de un objeto digital ¿Cuál es la verdadera? Sin medidas operativas y criptográficas³¹ correctamente implementadas y utilizadas³², es imposible establecer la integridad³³ (capacidad de no haber sido alterada) de ningún objeto digital.

La contaminación de las bases de datos

Si todos los elementos de las sociedades digitales (ciudadanos, empresas, administración, el capital, la justicia, etc.) construyen y fundamentan su confianza en la integridad de sus registros y de sus bases de datos, qué pasaría si alguien lograse y demostrase (públicamente) haber sido capaz de alterar la integridad referencial³⁴ y/o de entidades³⁵ en alguna bases de datos relacionales útiles en nuestro día a día, o en nuestra historia (registro civil, catastro, banca y sistema financiero, sistema de salud, etc.). Esa contaminación de las bases de datos podría minar la confianza de la sociedad en sus registros. Está claro que los ataques por envenenamiento de bases de datos habría que hacerlos de tal manera que desactivasen la política de copias de seguridad que se esté utilizando, pero eso es relativamente posible si los ataques se hacen de forma discreta, minoritaria y prolongados en el tiempo.

¿Cuánto pagaría el afectado por recuperar la integridad de su base de datos obteniendo del atacante la relación de cosas que ha cambiado? ¿Cuánto pagaría el atacado por que todo el mundo no supiera que sus bases de datos ya no son íntegras y no hay modo de recuperarlas? Hay varios otros escenarios (potencialmente apocalípticos) relacionados con la posible falta de integridad de las bases de datos en Sanidad y en Banca y Sistemas Financieros, pero no hace falta ser mucho más prolijos para hacer entender el mensaje. El ransomware³⁶ nos ha demostrado desde agosto de 2005³⁷ que es un modelo de ataque extremadamente sencillo y productivo³⁸ para el que ataca.

Tal y como se hacen las cosas hasta la fecha, no solo no sabemos si el gato de Schrödinger³⁹ está vivo o muerto. Tampoco sabemos quién nos ha tocado las Bases de Datos en la que confiamos ciegamente y las que rigen nuestra existencia, queramos o no. Nosotros no lo sabemos, pero los responsables de saberlo... tampoco.