Las protestas a favor de la democracia que llenaron las calles iraníes desde mediados de septiembre no quedaron sin respuesta. La reacción del Gobierno iraní fue tomar medidas drásticas para limitar el uso de internet, pero las empresas tecnológicas occidentales se han esforzado para ayudar a restablecer el acceso a este servicio para los ciudadanos del país.

Signal pidió a sus usuarios que intentaran configurar servidores proxy con el apoyo de la empresa. Google ofreció recursos para ayudar a los iraníes a conectarse online usando Outline, la propia VPN de la compañía. Y en respuesta a una publicación del secretario de Estado de EE UU, Antony Blinken, sobre la censura de Irán, Elon Musk rápidamente tuiteó: "Activando Starlink…".

No obstante, estas soluciones no son suficientes. Aunque los primeros satélites Starlink se han activado clandestinamente en Irán, la restauración de internet probablemente requerirá varios miles más. Signal le confiesa a MIT Technology Review que ha tenido problemas con los "proveedores de telecomunicaciones iraníes que impiden que se entreguen algunos códigos de validación por SMS". E Irán ya detectó y cerró la VPN de Google, que es lo que suele pasar cuando cualquier VPN se vuelve demasiado popular. Además, a diferencia de la mayoría de las VPN, Outline se tiene que pagar.

Además, "no existe un mecanismo fiable para que los usuarios iraníes encuentren estos proxies", señala el director de la organización sin ánimo de lucro de ciberseguridad global Kandoo, Nima Fatemi. Se promocionan en las redes sociales, pero están prohibidas en Irán. "Aunque aprecio su esfuerzo", añade Fatemi, "parece poco práctico y a medio hacer".

Hay algo más que las Big Tech podrían hacer, según algunos activistas a favor de la democracia y expertos en libertad digital. Sin embargo, se les ha prestado poca atención, a pesar de que es algo que varios proveedores de servicios ofrecían hasta hace unos pocos años.

"Algo de lo que la gente no habla es del domain fronting", indica la investigadora de internet de la Universidad de Oxford (Reino Unido) y de la organización de derechos humanos centrada en la libertad de expresión e información Article19, Mahsa Alimardani. Se trata de una técnica que los desarrolladores utilizaban durante años para esquivar las restricciones de internet, como las que han hecho que sea complicado para los iraníes comunicarse de manera segura. En esencia, el domain fronting permite que las apps oculten el tráfico dirigido hacia ellas. Por ejemplo, cuando alguien escribe un sitio en un navegador web, esta técnica interviene en esa comunicación entre el navegador y el sitio y puede codificar lo que el ordenador ve en el back-end para ocultar la verdadera identidad del sitio final.

En los días del domain fronting, "las plataformas en la nube se usaban para eludir", explica Alimardani. Desde 2016 hasta 2018, las apps de mensajería segura como Telegram y Signal utilizaban la infraestructura de hosting en la nube de Google, Amazon y Microsoft, donde se ejecuta la mayor parte de la web, para ocultar el tráfico de los usuarios y contrarrestar con éxito las prohibiciones y la vigilancia en Rusia y en todo el Medio Oriente.

No obstante, Google y Amazon paralizaron esa práctica en 2018, debido a la presión del Gobierno ruso y las preocupaciones de seguridad sobre cómo los hackers podrían abusar de ella. Actualmente, los activistas que trabajan en la intersección de los derechos humanos y la tecnología creen que restablecer esta técnica, con algunos ajustes, sería una herramienta que las Big Tech podrían usar para que los iraníes vuelvan a estar conectados rápidamente.

El domain fronting "es un buen punto de partida" si los gigantes tecnológicos realmente quieren ayudar, señala Alimardani. "Deberían invertir para ayudar con la tecnología de elusión, y el hecho de haber eliminado el domain fronting no es realmente bueno".

El domain fronting podría ser una herramienta fundamental para ayudar a los manifestantes y activistas a mantenerse en contacto con fines de planificación y seguridad, así como permitirles poder informar a sus familiares y amigos que estén preocupados durante este periodo peligroso. "Reconocemos la posibilidad de no volver a casa una vez que hemos salido", resalta Elmira, una mujer iraní de 30 años, que pidió ser identificada solo por su nombre por razones de seguridad.

Aun así, ninguna gran empresa ha afirmado públicamente que considerará lanzar o restaurar esta herramienta contra la censura. No hemos conseguido contactar a dos de los tres principales proveedores de servicios que anteriormente permitían el domain fronting, Google y Microsoft, para sus comentarios. El tercero, Amazon, dirigió a MIT Technology Review a una publicación de blog de 2019 en la que un responsable de producto describía las medidas que la compañía había tomado para minimizar el "uso abusivo de las prácticas del domain fronting".

'El juego del gato y el ratón'

A estas alturas, los ciudadanos iraníes ya saben que sus comunicaciones y búsquedas digitales están siendo rastreadas por los poderes del Estado. "Escuchan y controlan casi todas las comunicaciones para contener las manifestaciones. Es como si nos estuvieran asfixiando", señala Elmira. 

En líneas generales, no se trata de un fenómeno nuevo en el país. Sin embargo, llegó a un punto crítico en los últimos dos meses, durante la creciente oleada de protestas antigubernamentales provocadas por la muerte de Mahsa Amini, de 22 años, que tuvo lugar el 16 de septiembre, después de que la Patrulla de Orientación de Irán, más conocida como la policía de la moralidad, la arrestó por llevar su hiyab de manera incorrecta.

"El mundo se dio cuenta de que el tema del hiyab, que yo creo que es una elección personal, se podría convertir en un incidente por el cual una joven podría perder la vida", explica Elmira.

Según algunos grupos de derechos, más de 300 personas, incluidos al menos 41 niños, han muerto desde que comenzaron las protestas. La represión ha sido especialmente brutal en el oeste de Irán, mayoritariamente kurdo, de donde era Amini y donde vive Elmira. Restringir severamente el acceso a internet ha sido una forma del régimen de reprima aún más la disidencia. "Esta no es la primera vez que los servicios de internet se interrumpen en Irán. La razón de esta acción es el miedo del Gobierno, porque aquí no existe la libertad de expresión", según Elmira. 

El germen de la actual represión digital actual se remonta a 2006, cuando Irán anunció sus planes para crear su propia intranet, una red nacional exclusiva diseñada para mantener a los iraníes fuera de la World Wide Web. 

"Esto es algo realmente difícil de llevar a cabo", asegura el analista senior de la organización sin ánimo de lucro de democracia global Freedom House, Kian Vesteinsson. Se debe a que necesita reproducir la infraestructura global con recursos nacionales, mientras se reduce el acceso a la web global.

El resultado son "espacios digitales más fáciles de supervisar y controlar", asegura Vesteinsson. De los siete países que intentan aislarse de internet global, Irán es el que está más avanzado en la actualidad.

Irán estrenó con su Red Nacional de Información en 2019, cuando las autoridades activaron el interruptor nacional en la web global en medio de las protestas por los precios de la gasolina. Durante una semana en la que el país estuvo desconectadp del resto del mundo, el régimen asesinó a 1.500 personas. La economía iraní, que depende de una conectividad más amplia para hacer negocios, perdió más de mil millones de dólares estadounidenses durante aquella sangrienta semana.

Aunque recientemente Irán ha ido cortando de forma ocasional el acceso a todo internet global en algunas regiones, no ha realizado otro cierre total de la web global. En cambio, está aplicando, en gran medida, las estrategias de censura diseñadas para doblegar a la disidencia, mientras protege la economía. Los "toques de queda digitales" están vigentes desde aproximadamente las 16 horas hasta las primeras horas de la mañana. Esto provoca que el acceso a la web sea tremendamente difícil durante el período en el que se producen la mayoría de las protestas.

El Gobierno ha bloqueado las apps más populares, incluidas Twitter, Instagram, Facebook y WhatsApp, en favor de las apps locales en las que ningún mensaje o búsqueda es privado.

Elmira destaca que "las apps de mensajería que usamos, como WhatsApp, tienen un cierto nivel de protección integrado en su código". Y añade: "nos sentimos más cómodos usándolas. El Gobierno no puede tener control sobre ellas, y como reacción, restringen el acceso".

El régimen iraní también está cerrando de forma agresiva las VPN, que fueron un salvavidas para muchos iraníes y la solución más popular en contra de la censura del país. Alrededor del 80% de los iraníes usan herramientas para esquivar la censura y las apps que prefieren. "Incluso mi abuelo sabe cómo instalar una app VPN", narra una mujer iraní que pidió mantener el anonimato por razones de seguridad.

Para acabar con el uso de VPN, el Gobierno de Irán ha invertido mucho en la "inspección profunda de los paquetes", una tecnología que analiza la letra pequeña del tráfico de internet y puede reconocer y cerrar casi cualquier VPN en poco tiempo.

Eso condujo al "juego del gato y el ratón", según Alimardani, la investigadora de internet. "Hay que ofrecer miles de VPN", señala la experta, para que algunas permanezcan disponibles mientras Irán encuentra y bloquea diligentemente a otras. Sin suficientes VPN, los activistas no tienen muchas opciones para comunicarse de manera segura, una situación que dificulta bastante más que los iraníes se coordinen para las protestas y se comuniquen con el mundo exterior mientras el número de muertos no para de crecer.

El 'domain fronting' para vencer a los censores

El domain fronting funciona ocultando la app o el sitio web al que el usuario finalmente quiere acceder. Es como poner una postal con la dirección correcta en un sobre con un destino diferente e inexacto, y luego hacer que alguien en la dirección falsa la entregue personalmente a la adecuada.

La técnica es atractiva porque es implementada por los proveedores de servicios en vez de individuos, que pueden ser expertos en tecnología o no. También complica más la censura para los gobiernos. La única forma de prohibir una app con el domain fronting es desactivar el proveedor de web hosting que utiliza la app y eso provoca una avalancha de bloqueo de otras apps y sitios web. Y dado que Microsoft, Amazon y Google brindan servicios de hosting para la mayor parte del mundo digital, el domain fronting de esas empresas obligaría a los países a colapsar gran parte de internet para negar el acceso a una app no deseada.

"No hay forma de desactivar solo Telegram. Ese es su poder", afirma el experto en seguridad y CTO de la empresa de ciberseguridad SixGen, Erik Hunstad.

Sin embargo, en abril de 2018, Rusia bloqueó a Amazon, Google y una serie de otros servicios populares para prohibir la app de mensajería segura Telegram, que inicialmente usó el domain fronting para vencer a los censores. Estas interrupciones hicieron que la prohibición fuera muy impopular entre los rusos, no solo entre los activistas que estaban a favor de esa app.

El Gobierno ruso, a su vez, presionó a Amazon y Google para que pusieran fin a la práctica del fronting.

En abril de 2018, estas empresas terminaron por completo con el soporte para el domain fronting. "Amazon y Google simplemente deshabilitaron completamente este servicio que podría ser muy útil", recuerda Alimardani.

Google lo hizo discretamente, pero poco después, describió el domain fronting a The Verge como una "peculiaridad" de su software. En su propio anuncio, Amazon indicó que el domain fronting podría ayudar a que el malware pasara por tráfico estándar. Los hackers también podrían abusar de esta técnica: el grupo de hackers rusos APT29 ha utilizado el domain fronting, junto con otros medios, para acceder a los datos clasificados.

Aun así, Signal, que comenzó a utilizar el domain fronting en 2016 para operar en varios países de Medio Oriente que intentaban bloquear la app, emitió una declaración en ese momento: "Los censores en estos países habrán logrado, al menos temporalmente, sus objetivos".

"Aunque el domain fronting todavía funciona con los dominios en redes más pequeñas, esto limita mucho la utilidad actual de la técnica", afirma el experto en privacidad digital y jefe de investigación del sitio web independiente de VPN Top10VPN, Simon Migliano.

Microsoft anunció la prohibición del domain fronting en 2021, pero la infraestructura de la nube que permite esta técnica se mantiene intacta. A principios de esta semana, Microsoft escribió que, en el futuro, "bloquearía cualquier solicitud HTTP que muestre un comportamiento del domain fronting".

Migliano coincide con Google al describir el domain fronting como "esencialmente un error", y admite que integra "riesgos de seguridad muy reales. Es realmente una pena que las empresas lo revoquen, pero se puede entender su posición", opina.

Sin embargo, Hunstad, que también trabaja en ciberseguridad, cree que hay formas de minimizar los riesgos de ciberseguridad del domain fronting al mismo tiempo que se preserva su uso como herramienta contra la censura. Hunstad explica que la forma en la que las redes procesan las solicitudes de los usuarios significa que Google, Amazon o Microsoft podrían dar luz verde fácilmente al uso del domain fronting para ciertas apps, como WhatsApp o Telegram, mientras que de lo contrario prohibirían la táctica.

En vez de las limitaciones técnicas, Hunstad cree que es los grandes proveedores se enfrentan a una "situación de dilema del prisionero", una realidad que les impide volver a habilitar el domain fronting: están atrapados entre la presión de los gobiernos autoritarios y las protestas de los activistas. Y considera que los imperativos financieros también son parte del cálculo.

"Si alojo mi sitio web con Google, y deciden habilitarlo para Signal y Telegram, o tal vez para todo el mundo, y varios países deciden eliminar el acceso a todo Google debido a eso, entonces tengo potencialmente menos alcance. Iré al proveedor que no lo hace y Google tendrá un impacto en el negocio", explica Hunstad.

La probabilidad de que Amazon o Google restablezcan el domain fronting depende de "lo cínicos que sean sobre sus motivos de lucro frente a sus buenas intenciones para el mundo", agrega Hunstad.

Qué vendrá

Si bien Fatemi, de Kandoo, argumenta que restaurar el domain fronting sería útil para los manifestantes iraníes, también resalta que no sería una panacea.

"A corto plazo, si pueden relajar el domain fronting para que las personas, por ejemplo, puedan usar Signal, o conectarse por VPN, eso sería fenomenal", señala. Y añade que, para avanzar en las soluciones más rápidamente, empresas como Google podrían colaborar con las organizaciones sin ánimo de lucro especializadas en implementar la tecnología en situaciones vulnerables.

Sin embargo, las grandes empresas tecnológicas también deben dedicar una mayor parte de sus recursos y talento para desarrollar tecnologías capaces de vencer la censura en internet: "El domain fronting es una tirita para un problema mucho mayor. Si queremos abordar un problema mucho más grande, tenemos que dedicar ingenieros".

Hasta que el mundo encuentre una solución duradera a los intentos autoritarios de fragmentar la red global, las empresas de tecnología que quieran ayudar a las personas se verán obligadas a buscar tácticas reactivas.

"Debería haber un conjunto de herramientas completo de diferentes tipos de VPN y herramientas de elusión en estos momentos, porque lo que están haciendo es muy sofisticado", señala Alimardani, quien también afirma que "Google es una de las empresas más ricas y poderosas del mundo y ofrecer solo una VPN realmente no es suficiente".

De momento, tras siete semanas desde el inicio de las protestas de Irán, el acceso a internet y VPN sigue limitado, las restricciones no muestran signos de desaceleración y el domain fronting sigue inactivo. Y son los ciudadanos en primera línea los que tienen que cargar el mayor peso.

"Las condiciones son terribles aquí", cuenta Elmira. La falta de conectividad ha hecho que las masacres sean difíciles de verificar y ha complicado los esfuerzos para mantener las protestas y otro tipo de activismo.

"Para contrarrestar las manifestaciones, nos cortaron el acceso a internet y a las redes sociales", afirma Elmira.

No obstante, Elmira se mantiene firme: "Yo misma y muchos de mis amigos salimos a la calle sin miedo. Sabemos que nos pueden disparar, pero vale la pena correr este riesgo y esforzarnos al máximo en vez de quedarnos en casa y seguir aguantando todo esto".