William J. Broad, John Markoff y David E. Sanger
The New York Times/ICH
Traducido del inglés para Rebelión por Germán Leyens y revisado por Caty R.
Aunque los funcionarios estadounidenses e israelíes se niegan a hablar en público sobre lo que sucede en Dimona, las operaciones sobre el terreno, así como las actividades conectadas que se realizan en EE.UU. están entre las pistas más recientes y fuertes que sugieren que el virus fue diseñado por un proyecto estadounidense-israelí para sabotear el programa iraní.
El complejo Dimona, en el desierto del Néguev, es famoso por ser el corazón fuertemente protegido del programa de armas nucleares de Israel, que nunca se ha reconocido, donde ordenadas filas de fábricas producen combustible atómico para el arsenal.
Durante los últimos dos años, según expertos de inteligencia y militares familiarizados con sus operaciones, Dimona se ha hecho cargo de un nuevo papel, igualmente secreto, como sitio de pruebas críticas de un esfuerzo conjunto estadounidense-israelí para debilitar los esfuerzos de Irán de producir su propia bomba.
Tras las alambradas de púas de Dimona, dicen los expertos, Israel ha hecho funcionar centrifugadoras virtualmente idénticas a las de Irán en Natanz, donde los científicos iraníes se esfuerzan por enriquecer uranio. Dicen que Dimona probó la efectividad del gusano informático Stuxnet, un programa destructivo que parece haber destruido cerca de un quinto de las centrifugadoras nucleares de Irán y ha ayudado a retardar, si no a destruir, la capacidad de Teherán de producir sus primeras armas nucleares.
“Para probar el gusano, hay que conocer las máquinas”, dijo un experto de inteligencia nuclear estadounidense. “El motivo por el cual el gusano ha sido efectivo es que los israelíes lo probaron”.
Aunque los funcionarios estadounidenses e israelíes se niegan a hablar en público sobre lo que sucede en Dimona, las operaciones en el lugar, así como las actividades conectadas que se llevan a cabo en EE.UU., están entre las pistas más recientes y fuertes que sugieren que el virus fue diseñado por un proyecto estadounidense-israelí para sabotear el programa iraní.
En los últimos días Meir Dagan, el jefe de la agencia de inteligencia de Israel, el Mossad, que está en proceso de jubilación, y la secretaria de Estado Hillary Rodham Clinton, anunciaron por separado que creen que los esfuerzos de Irán se han retrasado algunos años. La señora Clinton citó las sanciones dirigidas por EE.UU., que han afectado la capacidad de Irán de comprar componentes y de hacer negocios en todo el mundo.
El ceñudo señor Dagan, cuya organización ha sido acusada por Irán de ser responsable de la muerte de varios científicos iraníes, dijo al parlamento israelí en los últimos días que Irán ha encontrado dificultades tecnológicas que podrían retrasar una bomba hasta 2015. Eso representa una pronunciada inversión del antiguo argumento de Israel de que Irán estaría a punto de tener éxito.
La causa más importante para el retraso del reloj nuclear parece ser Stuxnet, el arma cibernética más sofisticada que se ha utilizado en la historia.
En entrevistas durante los últimos tres meses en EE.UU. y Europa, los expertos que han analizado el gusano informático lo describen como mucho más complejo ‑e ingenioso- que todo lo que habían imaginado cuando comenzó a circular por el mundo, sin explicación, a mediados de 2009.
Siguen existiendo muchos misterios, el principal de ellos es quién construyó exactamente un gusano informático que parece tener varios autores en diversos continentes. Pero la pista digital está sembrada de pedacitos desconcertantes de evidencias.
A principios de 2008, la compañía alemana Siemens cooperó con uno de los principales laboratorios nacionales de EE.UU., en Idaho, en la identificación de vulnerabilidades de controladores informáticos que la compañía vende para operar maquinaria industrial en todo el mundo y que las agencias de inteligencia estadounidenses han identificado como equipamiento clave en las instalaciones de enriquecimiento de Irán.
Siemens dice que el programa formó parte de trabajos rutinarios para asegurar sus productos contra ataques cibernéticos. No obstante dio al Laboratorio Nacional de Idaho, que forma parte del Departamento de Energía y es responsable de las armas nucleares de EE.UU., la oportunidad de identificar agujeros bien ocultos en los sistemas de Siemens que fueron aprovechados el año siguiente por Stuxnet.
El gusano en sí parece que incluye dos componentes importantes. Uno se diseñó para hacer que las centrifugadoras nucleares de Irán giraran fuera de control. Otro parece sacado de las películas: El programa informático también registró secretamente qué operaciones normales se realizaban en la planta nuclear, luego volvió a introducir esos resultados en los operadores de la planta, como una cinta pregrabada de seguridad en un asalto bancario, para que pareciera que todo funcionaba normalmente mientras en realidad las centrifugadoras se estaban destrozando.
Los ataques no fueron enteramente exitosos: Algunas partes de las operaciones de Irán se detuvieron mientras otras sobrevivían, según los informes de inspectores nucleares internacionales. Tampoco es obvio que los ataques hayan terminado: Algunos expertos que han examinado el código creen que contiene las semillas para más versiones y ataques.
“Son como las instrucciones de un juego”, dijo Ralph Langner, experto independiente en seguridad informática en Hamburgo, Alemania, uno de los primeros en decodificar Stuxnet. “Cualquiera que lo estudie cuidadosamente puede construir algo semejante”. El señor Langner es uno de los expertos que expresaron el temor de que el ataque legitimara una nueva forma de guerra industrial frente a la que también EE.UU. es muy vulnerable.
Oficialmente, ni los funcionarios estadounidenses ni los israelíes articularán siquiera el nombre del malicioso programa informático, y mucho menos reconocerán cualquier participación en su diseño.
Pero los funcionarios israelíes muestran una amplia sonrisa cuando les preguntan por sus efectos. El estratega jefe de Obama de la lucha contra las armas de destrucción masiva, Gary Samore, soslayó una pregunta sobre Stuxnet en una reciente conferencia sobre Irán, pero agregó con una sonrisa: “Me alegra oír que tienen problemas con sus centrifugadoras, y EE.UU. y sus aliados hacen todo lo posible por complicarlos aún más”.
En los últimos días, algunos funcionarios estadounidenses, que hablaron con la condición de que se preservara su anonimato, han dicho en entrevistas que creen que se han subestimado los reveses de Irán. Eso puede explicar el motivo por el cual la señora Clinton presentó su evaluación pública durante su viaje a Oriente Medio la semana pasada.
Según los informes de una serie de científicos informáticos, expertos en enriquecimiento de uranio y ex funcionarios, la carrera secreta para crear Stuxnet fue un proyecto conjunto entre estadounidenses e israelíes, con alguna ayuda, a sabiendas o no, de alemanes y británicos.
Loa orígenes políticos del proyecto se encuentran en los últimos meses del gobierno de Bush. En enero de 2009 The New York Times informó de que Bush autorizó un programa clandestino para debilitar los sistemas eléctricos e informáticos alrededor de Natanz, el principal centro de enriquecimiento de Irán. El presidente Obama, al que se informó sobre el programa incluso antes de que asumiera el cargo, lo aceleró, según funcionarios familiarizados con la estrategia iraní del gobierno. Los israelíes hicieron lo mismo, dijeron otros funcionarios. Israel ha estado buscando desde hace tiempo una manera de invalidar la capacidad de Irán sin provocar el oprobio, o la guerra, que podría sobrevenir después de un ataque militar abierto del tipo del que realizó contra las instalaciones nucleares de Iraq en 1981 y de Siria en 2007.
Hace dos años, cuando Israel todavía pensaba que la única solución era militar y contactó con Bush por las bombas revienta-búnkeres y otros equipos que consideraba necesarios para un ataque aéreo, sus funcionarios dijeron a la Casa Blanca que un ataque semejante retrasaría los programas iraníes en unos tres años. Su solicitud fue rechazada.
Ahora la declaración de Dagan sugiere que Israel cree que por lo menos ha ganado tiempo sin realizar un ataque. Lo mismo vale para el gobierno de Obama.
Durante años la actitud de Washington ante el programa de Teherán ha consistido de un intento de “retrasar el reloj”, dijo un alto responsable del gobierno, aunque se negó a hablar de Stuxnet. “Y ahora, tenemos un poco más”.
Encontrando debilidades
Resulta que la paranoia ayudó.
Años antes de que el gusano afectara a Irán, Washington había llegado a estar profundamente preocupado por la vulnerabilidad de los millones de ordenadores que controlan todo en EE.UU. desde las transacciones bancarias a la red eléctrica.
Los ordenadores conocidos como ‘controladores’ dirigen todo tipo de maquinaria industrial. A principios de 2008, el Departamento de Seguridad Interior se había asociado al Laboratorio Nacional de Idaho para estudiar un controlador Siemens ampliamente utilizado conocido como P.C.S.-7, lo que quiere decir Sistema de Control de Proceso 7. Su software complejo, llamado Paso 7, puede dirigir sinfonías completas de instrumentos industriales, sensores y máquinas.
La vulnerabilidad del controlador a los ataques cibernéticos era un secreto a voces. En julio de 2008 el laboratorio de Idaho y Siemens hicieron una presentación conjunta en PowerPoint sobre las vulnerabilidades del controlador ante una conferencia en Navy Pier en Chicago, una importante atracción turística.
“El objeto de un atacante es ganar el control”, decía el documento de julio al describir los numerosos tipos de maniobras que podrían explotar agujeros en el sistema. El documento tenía 62 páginas, incluyendo fotos de los controladores mientras se examinaban y se probaban en Idaho.
En una declaración del viernes, el Laboratorio Nacional de Idaho confirmó que había formado una cooperación con Siemens, pero dijo que era una de tantas con los fabricantes para identificar vulnerabilidades cibernéticas. Argumentó que el informe no detallaba defectos específicos que pudieran ser aprovechados por los atacantes. Pero también dijo que no podía hablar sobre las misiones confidenciales del laboratorio, dejando sin respuesta la pregunta de si transmitió lo que había aprendido sobre los sistemas de Siemens a otras partes del aparato de inteligencia de la nación.
La presentación en la conferencia de Chicago, que recientemente desapareció de un sitio en la red de Siemens, nunca mencionó sitios específicos en los que las máquinas se utilizaban.
Pero Washington lo sabía. Los controladores eran esenciales para las operaciones en Natanz, una creciente instalación de enriquecimiento en el desierto. “Si se consideran los eslabones débiles del sistema”, dijo un antiguo funcionario estadounidense, “éstos saltan a la vista”.
Los controladores, como los reguladores eléctricos que dirigen, se convirtieron en un centro de los esfuerzos de las sanciones. El tesoro de cables del Departamento de Estado hecho público por WikiLeaks describe urgentes esfuerzos en abril de 2009 por detener un embarque de controladores Siemens, contenidos en 111 cajas en el puerto de Dubai, en los Emiratos Árabes Unidos. Iban dirigidos a Irán, dijo un cable, y debían controlar “cascadas de enriquecimiento de uranio”, el término utilizado para grupos de centrifugadoras giratorias.
Algunos cables subsiguientes muestran que los Emiratos Árabes Unidos bloquearon la transferencia de los ordenadores Siemens a través del Estrecho de Ormuz a Bandar Abbas, un importante puerto iraní. Sólo meses después, en junio, Stuxnet comenzó a aparecer en todo el globo. La Corporación Symantec, fabricante de software y servicios de seguridad informática, basado en Silicon Valley, lo atrapó en un sistema global de recolección de programas maliciosos. El gusano entró en acción sobre todo dentro de Irán, informó Symantec, pero también apareció posteriormente en India, Indonesia y otros países.
Pero a diferencia de otros programas maliciosos, parecía estar causando poco daño. No ralentizaba las redes informáticas o provocaba un caos general.
Eso profundizó el misterio.
Una “ojiva doble”
Nadie estuvo más intrigado que el señor Langner, un ex psicólogo que dirige una pequeña compañía de seguridad informática en un suburbio de Hamburgo. Ansioso de diseñar software de protección para sus clientes, hizo que sus cinco empleados se concentraran en desmenuzar el código y hacerlo funcionar en la serie de controladores Siemens ordenados en estantes, con sus luces parpadeantes.
Rápidamente descubrió que el gusano sólo entraba en acción al detectar la presencia de una configuración específica de controladores, que dirigían un conjunto de procesos que sólo parecen existir en una planta de centrifugación. “Los atacantes pusieron mucho cuidado en asegurar que sólo fueran afectados sus objetivos determinados”, dijo. “Era la obra de un tirador de precisión”.
Por ejemplo, una pequeña sección del código parece diseñada para enviar comandos a 984 máquinas vinculadas.
Curiosamente, cuando los inspectores internacionales visitaron Natanz a finales de 2009, establecieron que los iraníes habían retirado del servicio exactamente un total de 984 máquinas que habían estado funcionando el verano anterior.
Pero Langner siguió quitando las capas y descubrió más: lo que denominó “ojivas dobles”. Una parte del programa se ha diseñado para que permanezca inactivo durante prolongados períodos, luego acelerará las máquinas de manera que los rotores giratorios de las centrifugadoras trastabillen y se autodestruyan. Otra parte, llamada un “hombre en el medio” en el mundo informático, envía esas falsas señales a los sensores para hacer que el sistema crea que todo funciona correctamente. Eso impide que un sistema de seguridad se active, lo que detendría la planta antes de que pueda autodestruirse.
“El análisis de código deja claro que Stuxnet no tiene que ver con el envío de un mensaje o con la prueba de un concepto”, escribió posteriormente Langner. “Tiene que ver con la destrucción de objetivos con la máxima determinación al estilo militar”.
No era obra de hackers, concluyó rápidamente. Tenía que ser el trabajo de alguien que conociera la manera de evitar las peculiaridades específicas de los controladores Siemens y poseyera un conocimiento íntimo de cómo habían diseñado exactamente los iraníes sus operaciones de enriquecimiento.
De hecho, los estadounidenses e israelíes tenían un conocimiento bastante bueno.
Prueba del gusano
Tal vez la parte más secreta de la historia de Stuxnet se centra en cómo la teoría de la destrucción cibernética se probó en máquinas de enriquecimiento para asegurarse de que el software malicioso cumplía su tarea.
La información comienza en Holanda. En los años setenta los holandeses diseñaron una máquina alta y delgada para enriquecer uranio. Como es bien sabido A. Q. Khan, un metalúrgico paquistaní que trabajaba para los holandeses, robó el diseño y huyó en 1976 a Pakistán.
La máquina resultante, conocida como P‑1, centrifugadora de primera generación de Pakistán, ayudó a que ese país obtuviera la bomba. Y cuando el doctor Khan fundó posteriormente un mercado negro atómico, vendió ilegalmente P‑1 a Irán, Libia y Corea del Norte.
La P‑1 tiene más de 1,80 de altura. En su interior, un rotor de aluminio hace girar gas de uranio a gran velocidad, concentrando lentamente la parte del uranio que puede alimentar reactores y bombas.
Cómo y cuándo obtuvo Israel ese tipo de centrifugadora de primera generación sigue estando poco claro. Si fue de Europa, de la red Khan o por otros medios. Pero los expertos nucleares están de acuerdo en que Dimona llegó a contener una fila tras otra de centrifugadoras rotatorias.
“Desde hace tiempo han formado parte importante del complejo”, dijo Avner Cohen, autor de The Worst-Kept Secret [El secreto peor guardado] (2010), un libro sobre el programa israelí de la bomba, y asociado senior en el Instituto Monterrey de Estudios Internacionales. Agregó que la inteligencia israelí había pedido a alto personal retirado de Dimona que ayudara en el tema iraní, y que algunos provenían aparentemente del programa de enriquecimiento.
“No tengo datos específicos, dijo el doctor Cohen, de Israel y del gusano Stuxnet. Pero veo una fuerte firma israelí y pienso que el conocimiento de las centrifugadoras fue crítico”.
Otra pista tiene que ver con EE.UU. Obtuvo un lote de P‑1 después de que Libia renunció a su programa nuclear a finales de 2003 y las máquinas se enviaron al Laboratorio Nacional de Oak Ridge en Tennessee, otra parte del Departamento de Energía.
A principios de 2004 una serie de expertos federales y privados reunidos por la Agencia Central de Inteligencia llamaron a que EE.UU. construyera una planta secreta en la cual los científicos pudieran establecer las P‑1 y estudiar sus vulnerabilidades. “Realmente se presionó por la noción de un dispositivo de experimentación”, recordó un participante en la reunión de la CIA.
La planta resultante, dijeron los expertos nucleares la semana pasada, también puede haber jugado un papel en las pruebas de Stuxnet.
Pero EE.UU. y sus aliados enfrentaron el mismo problema que los iraníes: la P‑1 es una máquina recalcitrante, mal diseñada. Cuando el laboratorio en Tennessee envió algunas de sus P‑1 a Inglaterra, con la esperanza de trabajar con los británicos en un programa de ensayos generales de la P‑1, éstas se atrancaron, según expertos nucleares.
“Fracasaron miserablemente” recordó uno de ellos, diciendo que las máquinas resultaron demasiado primitivas y dificultosas para girar adecuadamente.
El doctor Cohen declaró que sus fuentes le dijeron que Israel había tenido éxito ‑con gran dificultad- en dominar con maestría la tecnología de las centrifugadoras. Y el experto estadounidense en inteligencia nuclear, que habó con la condición de que se preserve su anonimato, dijo que los israelíes utilizaron máquinas al estilo de la P‑1 para probar la efectividad de Stuxnet.
El experto agregó que Israel trabajó en colaboración con EE.UU. al concentrarse en Irán, pero que Washington insistía en obtener una “negación plausible”.
En noviembre el presidente iraní Mahmud Ahmadineyad rompió el silencio de su país sobre el impacto del gusano en su programa de enriquecimiento, y dijo que un ataque cibernético había causado “problemas menores en algunas de nuestras centrifugadoras”. Por suerte, agregó, “nuestros expertos lo descubrieron”.
El cuadro más detallado del daño proviene del Instituto de Ciencia y Seguridad Internacional, un grupo privado de Washington. El mes pasado publicó un largo informe Stuxnet que dijo que las máquinas P‑1 de Irán en Natanz sufrieron una serie de fallos entre mediados y finales de 2009 que culminaron en que los técnicos pusieron fuera de servicio 984 máquinas. El informe calificó los fallos de “problema importante” e identificó a Stuxnet como el culpable más probable.
Stuxnet no es el único golpe contra Irán. Las sanciones han afectado su esfuerzo por construir centrifugadoras más avanzadas (y menos dificultosas). Y, uno en el mes de enero y otro en noviembre, dos científicos considerados importantes para el programa nuclear fueron asesinados en Teherán.
Los iraníes mantienen oculto a Mohsen Fakrizadeh, un profesor universitario considerado uno de los principales responsables del programa iraní, porque saben que está arriba de la lista de objetivos.
En público, los funcionarios israelíes no hablan de vínculos explícitos entre Stuxnet y los problemas de Irán. Pero en las últimas semanas, han presentado evaluaciones revisadas y sorprendentemente optimistas sobre el estado nuclear de Teherán.
“Una serie de problemas y dificultades tecnológicas” ha afectado al programa de Irán, dijo Moshe Yaalon, ministro israelí de asuntos estratégicos, en la radio pública israelí a finales del mes pasado.
Los problemas, agregó, “han postergado los planes”.
