Caja de herramientas
Caja de herramientas OSINT
Herramientas de inteligencia de fuentes abiertas que uso para comprobar mi propia exposición antes de que lo haga otra persona.
Ninguna de estas herramientas se ejecuta aquí: son servicios externos, y cada tarjeta abre el sitio de su editor. Las uso primero con mis propios dominios; así descubrí que dos de mis subdominios no aparecían en ningún registro público y que una página que yo mismo había publicado era lo único que los revelaba.
-
crt.sh (abre un sitio externo en una pestaña nueva)
Registros de transparencia de certificados. Revela los subdominios que ha firmado una autoridad de certificación, incluidos los que creías discretos.
-
Shodan (abre un sitio externo en una pestaña nueva)
Buscador de máquinas expuestas en Internet. Lo que encuentra sobre ti ya es público: mejor saberlo antes que nadie.
-
Have I Been Pwned (abre un sitio externo en una pestaña nueva)
Filtraciones de datos conocidas, por dirección de correo o por dominio. El punto de partida antes de cambiar contraseñas.
-
Wayback Machine (abre un sitio externo en una pestaña nueva)
Archivo de la web. Lo que decía una página antes de corregirla se puede seguir leyendo: borrar una información no basta para hacerla desaparecer.
-
Hardenize (abre un sitio externo en una pestaña nueva)
Configuración TLS, DNS y de cabeceras de seguridad de un dominio, puntuada punto por punto. Útil para verificar el bastionado en lugar de darlo por hecho.
-
Mozilla Observatory (abre un sitio externo en una pestaña nueva)
Auditoría de las cabeceras de seguridad HTTP, con el motivo de cada punto perdido. Un buen complemento de una comprobación propia.
-
OsirisAI Live (abre un sitio externo en una pestaña nueva)
Mapa en tiempo real que combina tráfico aéreo y marítimo, satélites, cables submarinos, cámaras públicas e incidentes en todo el mundo. Útil para situar un suceso antes de buscar la fuente que lo cuenta.
Por qué no hay aquí ninguna herramienta propia
Tenía una en mente. La idea era automatizar lo que estos servicios hacen a mano: reunir, a partir de fuentes públicas, lo que se puede encontrar sobre una persona. Técnicamente, nada insalvable. Fue el análisis de riesgos lo que la descartó, y no por donde yo esperaba.
El riesgo principal no era técnico, sino jurídico. Recoger datos personales de una fuente distinta de la propia persona activa el artículo 14 del RGPD: hay que informarle de qué datos, para qué, con qué base jurídica y durante cuánto tiempo. Con desconocidos encontrados en fuentes abiertas, esa obligación no es difícil de cumplir: es imposible. Y la excepción por esfuerzo desproporcionado no cubre una herramienta cuya razón de ser es precisamente esa.
Así que el proyecto se abandonó en esa forma y se retomó sin datos personales de terceros: las mismas técnicas, aplicadas a mi propia exposición. Yo soy la persona afectada, el artículo 14 no se aplica y la herramienta resulta útil. De ahí salieron el Observatorio y esta página.
Es el único proyecto que he detenido por un motivo de cumplimiento y no de viabilidad, y es del que más me gusta hablar: saber construir algo y decidir no hacerlo es una competencia en sí misma.
El análisis que llevó a esa decisión está publicado: el análisis de riesgos y el registro RGPD (en francés). EBIOS RM · RGPD
Lo importante no es conocer estas herramientas, sino usarlas primero contra uno mismo. Un servicio que expongo sin saberlo ya aparece en alguna de ellas.