Categoría: Opinión

El verdadero negocio detrás de las listas negras telefónicas
Recibir SPAM no es del gusto de nadie. Que te llamen para venderte algo no es divertido, sobre todo si eres una persona ocupada y no tienes mucho tiempo libre como para que te anden molestando para algo que no te interesa, no obstante, y como me dedico al mundo de las comunicaciones soy consciente que antes, las personas que ahora te llaman por teléfono, antes pegaban a la puerta y se quedaban esperando a que les abrieses. Ahora puedes decirle, «no gracias, no me interesa» y antes tenías que aguantar a quien te quería vender una enciclopedia, una batería de cocina o a saber… y de la misma forma que antes iban puerta a puerta, ahora te llaman por teléfono, pueden tocar más puertas y consiguen más ventas. Como me dedico a las comunicaciones también entiendo que hay empresas que no se pueden permitir gastar cientos de miles de euros en anuncios en la televisión, radio o medios de comunicación para conseguir clientes, así que lo más económico es sin duda llamar por teléfono. Igual de molesto es no contestar que recoger los panfletos de publicidad del buzón y tirarlos a la basura.
Creo que cada vez somos más sensibles, más de cristal, más «nos molesta todo»… Nos molesta que llamen a nuestra puerta, que nos interrumpan por teléfono, por email (odiamos recibir spam de cualquier tipo), que te paren en la calle para preguntar algo, incluso nos molesta recibir anuncios durante una película (ya pagamos incluso por plataformas de películas para evitar ver anuncios) o una serie. Hemos llegado hasta tal punto que nos molesta cualquier interacción social que no sea solicitada previamente (el otro día me mandaron un mensaje por Whatsapp para avisarme que estaban en la puerta y si podía abrir…) porque pulsar en el portero de la entrada era demasiado «invasivo» y podía molestar si estaba haciendo algo.
Aún así, soy consciente que, desde el momento en que contratamos una línea de móvil y nos asignan un número de teléfono, estamos dispuestos a recibir y contestar llamadas de otras personas. Quizá no venga oficialmente en el contrato de alta de la línea, pero debería venir la obligación de contestar, aunque sea para decir: «no gracias, no estoy interesado». Aún así, existen personas que han llegado hasta tal punto que ponen en peligro su propia vida por no contestar y que no les molesten…
Ha llegado hasta tal punto que si un callcenter llama a una persona, según la edad de quien recibe la llamada, se lo toma incluso como una ofensa. Cuanto más jóven es la persona que recibe la llamada, la rabia parece apoderarse más rápidamente y he escuchado verdaderos exabruptos de personas que dicen estar en la Lista Robinson (sin estarlo) e insultar hasta el punto de que la empresa de telemárketing ha emprendido acciones legales contra el usuario de lo que llegó a salir por esa boca. Y es que se nos olvida que en toda comunicación hay una persona que llama y otra que recibe la llamada, y que ambas son personas, ambas tienen una cabeza, dos orejas y un cerebro, y si bien una no quería escuchar lo que la otra tenía que decirle, hay un punto en que la humanidad y la educación nunca deben perderse.
Cómo dejar de recibir llamadas de SPAM: Paso 1
Para dejar de recibir llamadas telefónicas de SPAM (llamadas comerciales), lo primero es apuntarse a la ListaRobinson (https://www.listarobinson.es/) un mecanismo oficial que se ha puesto para apuntar a aquellas personas que no quieren recibir llamadas comerciales. Tan sencillo como esto. Siempre habrá quien siga recibiendo alguna llamada comercial, pero entonces sí se puede denunciar, pero si no te has apuntado a la Lista Robinson estás indicando a los callcenters que estás abierto a recibir llamadas comerciales. Alguna vez se me ocurrió que podría hacerse al revés: apuntarse en una lista aquellos que quieren que les llamen, pero por un tema legal que me explicaron y que es muy largo de contar por aquí, no se puede hacer así.
Como dejar de recibir llamadas de SPAM: Paso 2
Deja de dar tu número de teléfono a todo el que te lo pida. Y sí… hay concursos que te regalan una Playstation 5 si rellenas este formulario, hay empresas que para hacerte un descuento te piden unos datos personales, y sí, hay páginas en las que para ser usuario tienes que poner tu teléfono para verificar la contraseña y en todos ellos estás aceptando que te llamen empresas de publicidad. Así que deja de poner tu teléfono en chorradas.
Cómo dejar de recibir llamadas de SPAM: Paso 3
Informa a quien te llame, que no quieres recibir llamadas de publicidad, que no estás interesado y que no te vuelvan a llamar nunca más. (es importante recalcar lo de «nunca más«) porque muchas veces los agentes no tienen ninguna herramienta para sacar a nadie de las listas excepto quien dice esas palabras. También puedes decir que:
– es un teléfono de empresa,
– que trabajas para esa compañía,
– que ya tienes eso que quieren venderte,
– que no eres tú la persona que lleva estas cosas,
– que no eres el titular de ese número,
– que eres menor de edad,
– etc.
Otra posibilidad que funciona bastante bien es llamar tú a la empresa del producto o servicio que te intentan vender (la operadora, compañía de luz, banco, etc.) y decirles que no quieres que te contacten más. Ellos gestionan las listas de consentimiento y por lo tanto, es «su responsabilidad y obligación» sacarte de estas listas para que dejen de llamarte.
El negocio de las listas negras de números de teléfono
Para evitar estas molestas llamadas de alguien intentando venderte algo, empiezan a aparecer aplicaciones y servicios de «listas negras» de números que hacen que mi teléfono móvil automáticamente filtre la llamada si el número está marcado como SPAM. Los usuarios que han contestado esas llamadas y se han cerciorado que es publicidad, marcan dicho número de teléfono como Publicidad y al cabo de varios usuarios, el número queda registrado y avisa a los siguientes usuarios que esta llamada es de Spam. Algo muy cómodo, no para identificar quién nos llama, pero sí para categorizar que ese número es SPAM. A las empresas de callcenter tampoco les supone un gran esfuerzo, simplemente cambian de número por otro y continúan como si nada, pero esta marca de SPAM categorizada por mí y por varios como yo inhabilita ese número hasta que se den cuenta que nadie contesta y cambien de número por otro.
Gracias a estos callcenters que hacen llamadas comerciales, y a las aplicaciones y webs de listas negras como TrueCaller, ListaSpam, Hiya y muchos otros, asocian que un número de teléfono es spam aunque lo fuera hace 3 años y ahora sea de una empresa de zapatos. Estas listas no caducan, mantienen sus registros durante años, pese a que un callcenter cambia de número de teléfono cada pocas semanas o meses. Por lo que la función de las listas de números de spam es útil si quien vende acaba de ser «marcada» pero con el tiempo, ese número queda catalogado para siempre como número spam sin que nadie pueda hacer nada por él. La CNMC y la AEPD por el momento no se han pronunciado sobre este tipo de empresas que, aunque hacen un pequeño favor a la sociedad rechazando llamadas comerciales, favorecen una acción ilegal basada en decidir quién te puede llamar y quién no sin que ningún organismo ni nadie pueda decirle nada.
El problema viene cuando una empresa «Zapatería Montero«, tiene un número de teléfono y 10 personas deciden marcarlo como spam en las principales empresas de listas negras. 10 personas, no hacen falta más. Ese número de teléfono deja de ser útil, ya no puede llamar a nadie, ni clientes ni proveedores, siempre sale como «posible spam» y por lo tanto, un móvil Android o IOS rechaza la llamada sin que te enteres.
La empresa Zapatería Montero intenta hablar con las empresas que llevan estas listas para decirle que lleva años con ese mismo número de teléfono, que no es spam y que debe tratarse de un error. Las empresas TrueCaller, ListaSpam, Hiya, … son todas de otros países y la solución que le proponen es contratar un servicio «premium» para identificar tu número a tu empresa y así dejar de salir como spammer. (entre 20€ y 40€/mes por no salir como spammer). El callcenter simplemente da de baja un número y contrata otro, pero ese número queda marcado como spam por una empresa cuya jurisdicción no está en el país, el control está fuera del país y por lo tanto, una empresa extranjera te está impidiendo recibir llamadas sin que nadie pueda controlarla.
Las BigTech (Google, Apple, etc…) están viendo un nicho interesante en un negocio consistente en «identificar» a las empresas, mostrando que las llamadas telefónicas son algo «del pasado» quieren poder controlar esas llamadas metiéndose en esto de «bloquear números de spam» la cosa es más compleja, ni siquiera tienes que descargarte una aplicación, directamente lo trae el móvil y bloquea sin tu pedírselo. En caso de que el número se encuentre marcado como spam, es más fácil dar por perdido el número porque no hay forma de solicitar quitar el número de esas listas negras.
Lo que en principio parece una aplicación útil y práctica para evitar que nos molesten con llamadas comerciales, se convierte en un sistema de una empresa extranjera que decide qué número puede llamar o no. Alimentado por una comunidad de personas cabreadas por las llamadas que reciben y que con unos pocos votos negativos pasan a demonizar un número de teléfono de una honrada empresa de zapatos que lleva utilizando el mismo número desde hace más de 10 años. Estas listas no son españolas, son todas de UK, USA, Korea, India o Malasia, lugares suficientemente alejados como para no entender el daño que provocan cuando 10 personas deciden marcar un número como spam (10 en el mejor de los casos, he visto marcar un número como spam por tener 2 denuncias).
Entendería la utilidad de estas listas si la información caducase tras X meses sin recibirse denuncias, pero estas empresas son muy inteligentes, venden estas listas de números «bloqueados» a otras empresas para que monten sistemas similares de listas negras y ganen dinero mediante la venta de datos, publicidad y SEO. Así que, cuantos más números en la lista negra, más números pueden vender y más dinero cobran.
¿Te has fijado que para darte de alta te piden tu número de teléfono? Básicamente para tener una lista de números de teléfonos que pertenecen a personas que reciben llamadas y las contestan. ¿no es esta información interesante para otras empresas? Luego nos preguntamos de dónde sacan esta información, pero ¿te has parado a leer la letra pequeña de estas empresas?
2025-08-08
La IA nos va a quitar de trabajar a todos (o casi todos)
Últimamente me estoy encontrando con un gran número de noticias sobre IA. La Inteligencia Artificial se ha hecho de dominio público y hoy día cualquiera escribe un artículo, graba un vídeo o te muestra lo fácil que es hacer cualquier cosa con ChatGPT o con cualquiera de las 2000 herramientas que te dan una cuenta gratuita sobre IA… excepto lo que buscas hacer.
Un día estás leyendo en swahili cómo funcionan los tensores de la librería TensorFlow y al día siguiente ves que todo el mundo se apunta al carro de meter la IA con calzador para vender más y mejor la misma piedra que llevan vendiendo 10 años. Sin duda ChatGPT ha hecho una gran labor «democratizando» la IA ante todos y que cualquiera pueda utilizarla sin tener ni idea de cómo funciona, al fin y al cabo, todos conducimos un coche pero pocos saben cómo funciona un motor por dentro: No hace falta entender cómo funciona algo para poder utilizarlo y venderlo como si fueras un experto.
En el mundo de las comunicaciones, meter la IA ha sido la siguiente gran revolución más allá de «meter Whatsapp como mensajería Omnicanal multitodo y para todos«. Ya cualquiera pone un bot con el que hablar 24 horas para responder dudas sobre cualquier tema que te atormente. No es una crítica, es algo previsible en un mercado tan estabilizado como el de las comunicaciones.
Si no tienes nada con lo que destacar, métele IA en la sopa y dale un toque «fresco» a tu software. Échale un poco de transcripción, un agente en forma de robot de mensajería y un tts molón que parezca humano y ya tienes un producto actualizado.
Con DeepSeek-R1 opensource, jugando con Ollama o GPT4ALL o algún otro software para montarte tu propio servidor al que le metemos unas cuantas GPU que ya no sirvan para minar bitcoins, y ya tenemos un servidor para que nuestros clientes puedan hablar y responder las 24 horas. Por cierto ¿Qué tal la concurrencia? ¿Cómo lleva ese servidor trabajar con varias personas llamando a la vez? ummm mejor no lo pensemos, quizá no es el momento, es sólo un prototipo.
Las empresas de Cloud te alquilan servidores GPU para trabajar con IA. A precio de oro. Miras el coste de una tarjeta Nvidia H100 y no baja de 30.000€, así que alquilarse una máquina para montarte tu propio servidor IA con Ollama no es tan mala idea. Juntamos un par de tarjetas RTX4090 y eso dará para algo…
Esto en el mejor de los casos… si dependes de la API de algún servicio tienes un problema. Hoy tiene un precio, mañana será más barato, pasado lo subirán un poco, en menos de lo que esperas, estarás pagando una fortuna y tu filosofía de «el cliente pagará lo que sea por esto» se esfumará tan rápido como vino.
Hoy todo el mundo está alucinando con la IA, sus enormes posibilidades ilimitadas para mejorar hasta la calculadora del móvil. No aprendemos de las enseñanzas de la escuela empresarial americana: Haz algo lo más rápido posible. Acostumbra a los usuarios a utilizar algo de forma prácticamente gratis y así evitarás que aparezca mucha competencia. Sigue avanzando hasta que la competencia ya no pueda pillarte y cuando lo consigas, ya puedes empezar a cobrar.
Ahora todo es felicidad y gran descubrimiento del poder de la IA, mientras millones de personas regalan las fotos de sus caras a una cuenta gratuita de ChatGPT. DeepSeek-R1 fue una torta con la mano abierta, una forma de decir: Pensabas que la IA iba a ser cosa de dos o tres empresas americanas, pero acabamos de ofrecer el modelo abierto a todos para que cualquiera pueda competir y seguir desarrollando.
Ahora OpenAI quiere ofrecer un modelo Open Source (https://openai.com/open-model-feedback/) para «competir» contra Deepseek. Es como si Microsoft anunciara que va a ofrecer una versión de Windows «open source». Creo que no distinguen bien entre «software abierto» y «software libre». Te enseño cómo es por dentro, pero no te dejo usarlo porque …
En cambio Deepseek no sólo es OpenSource, DeepSeek es software libre. (tiene licencia MIT).
Para todos los expertos en IA… la IA no es simplemente usar un modelo. Son datos, muchos datos, un dataset increíblemente grande con el que enseñar al modelo en cuestión. Son formatos diferentes de modelos, algunos más compatibles que otros y algunos más interesantes que otros.
Realmente la IA nos va a quitar de trabajar, tarde o temprano, a todos los que trabajamos delante de un ordenador. Saldrá lo necesario para que le enseñemos a hacer nuestro trabajo, a ser más creativos, a probar, equivocarse y volver a intentarlo sin cometer los mismos errores. «El ser humano es el único animal que tropieza dos veces sobre la misma piedra», la IA no es humana, no caerá dos veces sobre la misma piedra, no se equivocará, aprenderá rápido y terminará haciendo lo que haces, por muy complejo y muy lejano que te parezca.
Aún así, soy un gran fan de la IA. De la primera que aprendí en la Universidad y de la nueva. No hay nada como aprender a montar tu propio modelo desde cero, enseñarle con un dataset propio, preguntarle y ver que hasta ChatGPT se ríe de la respuesta de mierda que te ha dado… pero me da una respuesta… desde cero (bueno, de cero no, con un buen puñado de librerías de Python LIBRES).
Hacer un robot usando ChatGPT o Ollama es un gran avance, montar tu propio modelo para enseñar lo que quieres que aprenda y poder ejecutar 400 peticiones concurrentes en una CPU sin necesidad de tarjetas gráficas, es mucho mejor. ;D
Así que sí… la IA tiene dos velocidades:
- Por un lado, no hay nada que asuste más que subir una foto y que te haga una caricatura perfecta, o ponerse a programar y ver cómo el Copilot se adelanta a lo que ibas a escribir o pedirle consejo sobre un diseño de una web y que te pregunte si la quieres en React o prefieres que te la dibuje en Figma. En este momento piensas que más nos vale empezar a buscarnos un hobby con el que sentirnos felices.
- Por otro lado, sigo pensando que el mundo del software libre acaba de abrir un melón muy interesante y que la IA bien usada puede ser muy, muy útil si se sabe manejar muy bien. Si no dejamos que las 3 empresas de siempre monopolicen el mercado haciéndola impracticable ante el resto del mundo.
Por lo que, tanto por un lado como por el otro… voy a ir aprendiendo botánica para montarme mi propio huerto donde plantar lechugas, patatas y tomates … por si las moscas.
2025-04-03
DeepSeek abre la guerra de los modelos de IA
A los pocos días de que el nuevo presidente de los EEUU dijera que iba a destinar 5 mil millones de dólares a las principales compañías estadounidenses que se dedican a la IA (OpenAI, Microsoft, Google, Meta, X, etc.) va y una empresa de China publica un modelo de IA llamado DeepSeek-R1 con licencia libre. Para concretar, muchos modelos son «opensource», esto significa que el código fuente es abierto, pero al cambio, tiene una licencia muy restrictiva (esto en Europa no, prohibido hacer con ello tal cosa…) en cambio la licencia DeepSeek-R1 es realmente un modelo LIBRE con licencia MIT, una de las licencias más utilizadas por los amantes del software libre.
No obstante, lo que ha provocado que se abra una guerra de los modelos de IA es el hecho de que DeepSeek parece que está mucho más optimizado y no sólo es más rápido que ChatGPT, si no que requiere de menos hardware de cómputo para funcionar, lo que implica que prácticamente cualquier persona podría tener su propio sistema LLM complejo con capacidad de razonamiento con una simple tarjeta gráfica de no más de 200€.
Por supuesto, DeepSeek tiene una versión online para que la gente pueda utilizarla completamente gratis. También tiene una API (comercial) para utilizar la versión con razonamiento (similar al modelo GPT4-o1) aunque algo más económico que la versión API de OpenAI.
Parece que EEUU quiere hacer su propia «carrera espacial versión IA» contra China pero este último acaba de enviar su primer cohete hacia la Luna dejando a EEUU con un agujero de 400 mil millones de dólares en acciones de la compañía que fabrica el hardware más utilizado para IA: NVIDIA.
En el lado de EEUU:
- GPT-4 de OpenAI: GPT-4 es un modelo de lenguaje de gran escala que ha establecido nuevos estándares en procesamiento de lenguaje natural, generación de texto y comprensión contextual. Su capacidad para generar contenido coherente y relevante ha sido ampliamente reconocida.
- Gemini 2.0 de Google DeepMind: Gemini 2.0 es un modelo multimodal que integra procesamiento de texto, imágenes y audio. Destaca por sus capacidades avanzadas en razonamiento y comprensión, permitiendo aplicaciones en diversas áreas como búsqueda de información y asistencia virtual.
- Claude de Anthropic: Claude es un modelo de lenguaje enfocado en la seguridad y la alineación con los valores humanos. Se ha utilizado en aplicaciones que requieren interacciones seguras y éticas, contribuyendo al desarrollo responsable de la IA.
- Grok-2 de xAI: La empresa de Elon Musk, Grok-2 es un modelo de lenguaje que se integra con plataformas como X (anteriormente Twitter) para mejorar la interacción y la generación de contenido. Su enfoque en la integración con redes sociales lo distingue en el panorama de la IA.
- Llama 3 de Meta AI: Introducido en abril de 2024, Llama 3 es la última versión de la serie de modelos de lenguaje grandes de Meta. Disponible en versiones de 8 mil millones y 70 mil millones de parámetros, supera a otros modelos de código abierto en diversas pruebas de referencia
En otro lado, China:
- DeepSeek-R1: Desarrollado por la startup DeepSeek, este modelo de razonamiento ha sorprendido al sector tecnológico por su eficiencia y bajo costo. DeepSeek-R1 ha superado a competidores como OpenAI en aplicaciones descargadas, demostrando que el desarrollo de IA avanzada no requiere grandes inversiones.
- Qwen 2.5-Max de Alibaba: El gigante tecnológico Alibaba lanzó recientemente su modelo Qwen 2.5-Max, que asegura supera a modelos avanzados como DeepSeek-V3, GPT-4o de OpenAI y Llama-3.1-405B de Meta. Este lanzamiento destaca la rápida evolución de Alibaba en el ámbito de la IA.
- Ernie Bot de Baidu: Baidu, conocido por su motor de búsqueda, ha desarrollado Ernie Bot, un modelo de IA conversacional que ha sido integrado en diversas aplicaciones, demostrando capacidades avanzadas en procesamiento de lenguaje natural.
- Hunyuan de Tencent: Tencent, la empresa detrás de WeChat, ha creado el modelo de IA Hunyuan, que ha sido integrado en su plataforma de mensajería, mejorando las interacciones y ofreciendo respuestas más precisas a los usuarios.
- Kimi k1.5 de Moonshot AI: Moonshot AI ha desarrollado el modelo Kimi k1.5, conocido por sus capacidades multimodales y de razonamiento, posicionándose como una alternativa competitiva en el mercado de la IA.
La importancia de la IA en Europa…
Mientras tanto en Europa, de momento estamos viendo como unos y otros buscan hacerse con el liderazgo de la IA y esperando atónitos a ver quién se hace con la supremacía de una tecnología que, tal y como cualquiera puede imaginar, será tan revolucionario como lo fue en su día Internet.
El parlamento europeo ya se ha esforzado en crear una legislación específica para la inteligencia artificial en Europa y clasificar los modelos en base a su «peligrosidad», crear un «espacio de pruebas» para estudiar que si los algoritmos son peligrosos o no… y cosas así. La legislación en sí no es mala, tan solo busca garantizar que la IA sea segura, ética y respetuosa con los derechos fundamentales, algunas empresas consideran que las obligaciones impuestas son demasiado exigentes y podrían obstaculizar la innovación y para mostrar su rechazo a ese «control», optan por prohibir su uso en Europa y presionar así para flexibilizar su uso en el viejo continente.
Sea como fuere, Europa se encuentra actualmente a la cola en esta carrera tecnológica por el liderazgo de la IA. No es algo extraño, ocurre lo mismo en otros campos como la robótica, drones, etc. y es que, mientras EEUU y China están avanzando y haciendo verdaderos avances en cuanto a drones, no sólo en espectáculos con cientos de unidades, si no también para el uso de drones para en transporte de material y/o personas. En Europa hemos hecho una legislación tan restrictiva que si hoy día vemos a alguien volando un dron, seguramente la policía ya esté llegando para ponerle una multa.
2025-01-31
La Inteligencia Artificial es una burbuja que explotará de forma diferente a otras
Desde que era pequeño, tuve conversaciones familiares sobre los avances «utópicos» de la sociedad… sobre qué nos deparará el futuro: ordenadores que cabían en la palma de las manos allá por 1986, robots que andaban con dos piernas y aguantaban el equilibrio en 1989, incluso la IA lleva avanzando paso a paso desde hace casi 40 años. La IA sólo tenía dos grandes problemas: el objetivo (herramientas muy básicas para obtener datos muy básicos) y el coste (demasiado alto para los resultados obtenidos), por lo que la IA ha estado presente siempre, pero relegada a un mero «avance utópico» que sólo podíamos vislumbrar en películas de ciencia ficción.
Hoy día la IA ha dado un salto cuantitativo y cualitativo, permitiendo no sólo desarrollar herramientas complejas y conseguir resultados complejos como: resumir el libro entero de El Quijote para que lo entienda un niño de 12 años, si no que también se han democratizado su coste permitiendo que hardware con una potencia de cálculo similar al que se utilizan para jugar a juegos en 3D, pueda ofrecer soluciones muy interesantes sin tener que gastar cientos de millones de dólares en sistemas ultracomplejos de procesamiento.
Actualmente sigo el día a día de la IA por diversos motivos, uno de ellos es porque me apasiona (lo cierto es que me apasiona cualquier tema que nos ayude a avanzar como sociedad y la IA es uno de estos temas), pero por otro lado es porque está claro que la IA es una tecnología que vendrá incorporada con cualquier nuevo sistema que tengamos, desde una lavadora, un frigorífico o un microondas, hasta la propia casa para poder hablar con ella y domotizarla como nunca nadie se hubiera imaginado.
Hoy día no es difícil encontrar cientos de herramientas «gratuitas» o «semigratuitas» que ofrecen maravillosas ventajas basadas en inteligencia artificial y que nos permiten hacer vídeos, modificar fotografías, crear canciones, componer música, escribir textos, ayudarnos a resumir y a diseñar esquemas para aprender rápido y fácil cualquier tema que queramos.
La IA tiene un coste
No obstante, estas herramientas tienen un coste, un coste intrínseco en función de la necesidad de cómputo que le pedimos. Desde el momento en que le enviamos una grabación de audio y le pedimos que nos la transcriba a texto para poder «leer» qué se ha dicho en la conversación, nos damos cuenta que hay una tarjeta consumiendo casi 800W/h , generando 20ºC que hay que refrigerar para evitar que se queme además del coste de adquisición (de la tarjeta, el equipo, aire acondicionado, etc.) si eso lo multiplicamos por el número de peticiones simultaneas, el coste se dispara. Entonces ¿cómo empresas como OpenAI, Google o Amazon pueden ofrecerlo a un precio bastante asequible?
De ahí la idea de que la IA es una burbuja en la que los costes se asumen porque interesa dar a conocer esta tecnología, hacer que la gente se acostumbre, que la gente la use, que vean lo «barato» que es con estas tarifas «baratas» pero que no cubren los costes. De ahí que OpenAI sea la empresa que ha dado a conocer la IA de forma pública y todo el mundo conoce ChatGPT y se pueden permitir pagar 20€/mes por un sistema barato que hace maravillas… pero pocos pagarían lo que realmente cuesta ese sistema y por eso OpenAI se debate entre la bancarrota o rehacer todo su sistema comercial para cubrir costes.
Cobrar todo lo posible, pero con precios bajos…
La forma de cobrar la IA no es nada sencilla, basta con ver la lista de precios y habla de un precio por «tokens» (la unidad más pequeña en la que se puede dividir una palabra o frase. Puede ser una palabra completa, un signo de puntuación, una subpalabra, como la mitad de una palabra compuesta o incluso un carácter especial), por minuto de audio a convertir. El precio de las imágenes también es bastante curioso porque depende del número de iteraciones, de la resolución, del tipo de generación, y un gran número de parámetros. Es prácticamente imposible hacer una previsión de costes ante una cantidad de interacciones.
Si hago un sistema que transcriba y conteste llamadas utilizando inteligencia artificial ¿qué costes voy a tener? Todo dependerá de las palabras que tenga que transcribir, las que tenga que utilizar como entrada, las que tenga que utilizar para salida, las que tenga que volver a pasar a audio… todo depende de muchos factores. ¿y si alguien pide algo que dispara el número de palabras de respuesta? mal tema… prepara la cartera.
Al final, estos precios son tan extraños para poder cobrar lo máximo (aparentando cobrar lo mínimo) y que permita cubrir costes, pero aún así, el coste es muy elevado y habrá un momento que las empresas que trabajan con IA necesiten verdaderamente cubrir todo el coste y empiecen a subir los precios de todo lo relacionado con GPT, generación de imágenes, etc. y entonces sí que veremos como algunas empresas que han crecido a raíz de los bajos costes de quien hacía sus cálculos a precios bajos, se quedarán sin usuarios porque nadie estará dispuesto a pagar lo que realmente cuesta la IA.
¿Cuándo ocurrirá la explosión de la burbuja?
No creo que nadie lo sepa, básicamente cuando los fondos que prestaron el dinero para invertir en la infraestructura de IA empiecen a pedir retornos. Ahora mismo estamos en una etapa de lo que en el mundo de la tecnología de Silicon Valley llamamos: «generar la necesidad». Bien ¿quién considera que ChatGPT es una herramienta necesaria? ¿Quién no echaría de menos esa herramienta? ¿qué diseñador o fotógrafo no utiliza la IA de Adobe para mejorar o modificar sus fotografías? Hoy día creo que la etapa de «generar la necesidad» ya está culminada, así que supongo que la subida de costes será próximamente… en 2025 posiblemente.
Lo que sí tengo claro es que Elon Musk acaba de crear un cluster de sistemas con más de 100.000 tarjetas NVIDIA H100 (cada tarjeta cuesta unos 30.000€) en menos de 120 días para crear su propia empresa de IA ahora pregunto: ¿Cuál es el tiempo de retorno de inversión que maneja esta empresa? ¿Quién crees que va a pagar este coste? y lo más importante ¿Cuánto beneficio nos traerá a los usuarios para poder pagar lo que necesitan que paguemos para cubrir sus costes y sacar el beneficio que esperan?
Esto es por lo que creo que ahora mismo la IA es una burbuja y dentro de uno o dos años, veremos quién sigue vivo y a qué coste…
2024-09-04
CrowdStrike: El efecto 2000 que llegó 24 años después.
Los que llevamos unos años en estos mundos, recordamos los preparativos para lo que se llamó el «efecto 2000«. El hecho de que los relojes de muchos ordenadores importantes solo guardaban los dos últimos dígitos del año dejasen de funcionar al considerar que el día 1 de enero de 2000, pasase a ser 1 de enero de 1900 y recuerdo, con cierta cercanía cómo se hablaba en los medios de comunicación que los ordenadores que gestionaban los aeropuertos se iban a parar e iban a causar un verdadero caos en todos los aeropuertos del mundo, como los cajeros iban a dejar de funcionar y la gente no podría sacar dinero de sus cajeros e incluso algunos iban más allá (los que estaban más para allá que para acá) y hablaban de que los electrodomésticos también iban a dejar de funcionar, porque muchos frigoríficos tenían un ordenador dentro que también iba a fallar. Llegó el 1 de enero de 2000 y no pasó nada… lo cual fue una desilusión para aquellos que se encerraron en sus búnkeres llenos de víveres y que llevaban meses preparando el fin del mundo.
El pasado viérnes 19 de julio de 2024, nos despertamos con la noticia de que «un error en Windows» había causado un bloqueo de «todos los sistemas con Windows» incluidos sistemas importantes como aeropuertos, cajeros, sistemas de pagos, bancos, empresas de telefonía, e incluso centrales nucleares, lo que estaba causando un caos en muchos ámbitos idéntico a lo que se esperaba que hubiera ocurrido con el temido «efecto 2000».
El motivo
El motivo fue una mezcla entre el opaco sistema de drivers de Windows y uno de los «mejores» EDR del mercado (o al menos, uno de los más usados): Crowdstrike, esta empresa tiene un producto: Falcon Pro que se instala en Windows analizando y generando alertas en caso de detectar un comportamiento anómalo. Requiere acceso al núcleo del sistema para vigilar incluso si algo accede a archivos del propio sistema operativo, de ahí que Crowdstrike utilice el subsistema de drivers de Windows para ello que fue lo que falló ayer y lo que provocó que Windows mostrara un pantallazo azul impidiendo que la gente pudiera utilizar sus ordenadores con normalidad.
Captura de pantalla de las características y precios del Falcon Pro que rompieron a Windows
Es muy curioso que hace unos días escribiéramos sobre la importancia de invertir en la seguridad de las empresas y días después, un mecanismo de seguridad para proteger a los sistemas ante comportamientos que puedan paralizar un equipo o una red, sea justamente el que provoque dicho bloqueo.
La explicación
¿Por qué ocurrió este desastre? La explicación técnica avanzada la puedes encontrar en muchos sitios, además de conocimientos avanzados de Windows, de su sistema de kernel, de su sistema de cifrado, de programación en C++, y muchas cosas más… (Por ejemplo, este artículo)
No obstante, la explicación ultra-simplificada más o menos aceptada es: Para detectar ciertos comportamientos en archivos del sistema operativo, algunos de ellos fuertemente cifrados y poder acceder a funciones del sistema que le permita acceso total a los archivos del sistema, la empresa CrowdStrike desarrolló un driver (que como la mayoría de drivers funciona con permisos de administración) y en la última actualización realizada el jueves 18 por la noche, ese driver era erróneo, provocando un pantallazo azul que bloquea el sistema.
Cuando hay un error hardware o un driver que no se ajusta a lo que debería controlar es el de siempre: pantallazo azul.
La Solución
El problema ha sido que este fallo ha afectado a más de 9.000.000 de ordenadores de todo el mundo que tenían Windows y el sistema Crowdstrike (9 millones de equipos x 99€/año es una cantidad de dinero muy interesante) pero la solución es bastante sencilla.
1. Arrancar el ordenador en modo de recuperación (o a prueba de fallos) de forma que no cargue los drivers.
2. Ve al directorio (carpeta) C:\Windows\System32\drivers\CrowdStrike
3. En esa carpeta busca el archivo C-00000291*.sys (éste es el archivo que provoca el pantallazo azul)
4. Borra ese archivo
5. Reinicia el equipo con normalidad.
La solución permanente
La solución permanente consiste en instalar Linux y optar por un sistema EDR que no provoque errores en el núcleo del sistema.
No obstante, hay muchas alternativas a CrowdStrike para sistemas comerciales basados en Windows:
No obstante, y como Sinologic es una web donde defendemos el Software Libre, os recomendamos algunas alternativas tan interesantes como estas y mucho más controladas, transparentes y accesibles:
OSSEC
Página web: https://www.ossec.net/
Uno de los sistemas EDR libres y con la comunidad más activa. Actualizada diariamente y que incluye:
- Antivirus global: conexión adicional con APIs externas como VirusTotal.
- Búsqueda activa y continua de rootkits.
- Comprueba las versiones de las aplicaciones y busca sus vulnerabilidades.
- Monitoriza los logs en búsqueda de actividades sospechosas.
- Detección de intrusiones (HIDs)
- … y mucho más…
- Compatible 100% con los estándares de ciberseguridad y certificados internacionales ISO27001, NIS2 y nacionales como ENS.
TheHive
Página web: https://thehive-project.org/
Otro sistema EDR libre que además tiene a una empresa detrás para soporte de grandes empresas, pero ofrecen todo el software de forma libre para cualquiera que quiera instalarlo y utilizarlo. Compiten con las soluciones comerciales en cuanto a soporte y actualizaciones… y precio. 😉
osQuery
Página web: https://www.osquery.io/
osQuery es una herramienta para manejar el sistema operativo que gestiona a bajo nivel analíticas, monitorización de una forma rápida e intuitiva. Es un framework para incluir scripts que analizan, monitorizan, controlan y alertan de cualquier actividad sospechosa. Una vez manejada en condiciones, ofrecen una potencia incomparable.
- Consola interactiva.
- Todo el sistema se maneja como si fuera una API.
Otras soluciones
Hay otras soluciones como: Snort, Nessus, Cuckoo, que no conozco tanto pero que también ayudan a monitorizar, auditar y alertar cuando se detecta un comportamiento anómalo en un sistema, una intrusión o algún archivo ha sido modificado sin permiso.
Seguridad ante todo
Si has llegado hasta aquí y le has echado un vistazo a las soluciones de ciberseguridad opensource, habrá comprobado que son mucho más rudimentarias (más manuales, más detalladas, hay que dedicarle algo más de tiempo a configurarlas) que las versiones comerciales en las que sólo hay que instalar y punto. OSSEC, que es el que más me ha gustado es la solución más potente que conozco, incluso tanto como las versiones comerciales, ya que actualiza diariamente las vulnerabilidades y además cuenta con API para recibir alertas y conectarse con antivirus, vulnerabilidades y control de amenazas completamente actualizados como VirusTotal, PagerDuty y Maltiverse. Sistemas centralizados de gestión de dispositivos OSSEC como Wazuh permiten controlar todas las instalaciones de los agendes OSSEC de la empresa, manteniendo vigilado todo el software y los logs con las amenazas de toda la organización, utilizando IA para la detección de alertas frente al «ruido» constantes de los logs. No os puedo enseñar la solución que tengo implementada, pero me encantaría poder hacerlo, ya que podríais ver los datos de las versiones instaladas y las alertas de vulnerabilidades que salen cada día y cómo nos llegan para proteger los sistemas cuanto antes, intentos de accesos, tecnología utilizada, etc. Al ser todo opensource, nos permite interconectar OSSEC con otros sistemas de monitorización como Zabbix, Cacti, PRTG, etc. además de llegarnos alertas mediante correo, chat o SMS en función de la criticidad.
La tecnología está en un punto de inflexión en el que la I.A. ha acelerado todo. Los datos siempre han sido importantes (recuerda el dicho de: quien controla la información tiene el poder) y el hecho de que TODO esté computerizado, interconectado y sea capaz de manejar datos ha hecho que todos los sistemas sean proclives a sufrir ataques de ciberseguridad.
Nos preparamos para cualquier ataque, cualquier vulnerabilidad explotable. Ya no pensamos que no nos va a tocar, porque hoy día un ataque es dinero y hay mucha gente necesitada de dinero. Las aplicaciones de ciberseguridad son caras, muy caras. Estamos hablando que un ataque, una filtración de datos, un bloqueo total o parcial de los sistemas puede dar a traste con una empresa entera, ya no sólo con su reputación, si no porque muchas empresas valen tanto como los datos que tienen y si esos datos son públicos, la empresa pasa a valer entre nada y poco.
No quería escribir sobre seguridad tan seguido y esperaba tener algo más de tiempo para escribir una segunda parte de cómo securizar la empresa, pero este post era necesario. Saber qué es un EDR, cuales existen y la necesidad de utilizarlo es algo vital hoy día. Cualquier equipo puede convertirse en un punto de acceso que puede bloquear nuestra organización y eso es algo que no podemos permitir.
2024-07-22
Empresa segura: Parte 1
Antes de nada, debo pedir disculpas a todos los lectores, llevo varios meses muy centrado en otros temas y lo cierto es que no he encontrado momento ni temas suficientes como para escribir con la frecuencia y el tiempo que me gustaría. Suelo aprovechar alguna noticia importante del mundo de la VoIP y/o del software libre para hacer algún comentario y hablar sobre algún tema que considero de interés, no obstante llevo varios meses con bastante lío encima de la cabeza y salvo los productos interesantes que me hacen llegar la gente de Snom y la gente de InstantByte (menos mal), apenas encuentro un momento tranquilo para sentarme a pensar sobre qué me gustaría escribir.
Entre otros temas que me trae de cabeza, es algo sobre lo que llevamos (mis compañeros y yo) algunos meses tramando… y es sobre cómo conseguir ser una «empresa segura«. Algo que daría para muchos, muchos artículos y sobre lo que está todo escrito y no se escriben otras muchas cosas para no dar pistas a los «malvados», pero sí que es cierto que llevamos muchos meses preparando el terreno para asegurar técnicamente, todo lo posible, la información con la que trabajamos todos los días.
No es que tengamos los códigos nucleares, ni los códigos de acceso a los búnkeres de seguridad nacional, pero sí que al tratar y manejar datos privados de clientes y visto lo visto en cuanto a ataques, vulnerabilidades y demás… hemos considerado interesante buscar la forma de ponérselo un poco más difícil a los malvados juankers y hacer todo lo posible para que los datos de los clientes estén a buen recaudo.
Está claro que si los hackers han entrado en Telefónica, en Iberdrola, en Endesa, en la DGT, en varios ministerios y en un sinfín de empresas muy preparadas, nada me asegura que haga lo que haga no vayan a conseguir lo mismo. Es extremadamente difícil asegurar una empresa y los datos que maneja, pero sobre todo, quizá lo más difícil es llegar a cruzar la línea de la paranoia sin que realmente uno se vuelva paranoico.
Para conseguir dar el paso para ser una «empresa segura», hemos optado por realizar varias fases:
- Fase 1: Sentido común
  Esto es… si yo conociera los puntos flacos de la empresa ¿Cómo lo haría para atacarla? ¿Qué necesitaría? En esta fase eliminamos los puntos de seguridad por ocultación y nos centramos en asegurar de verdad.
- Fase 2: Seguridad exterior
  Preparamos todo lo necesario para evitar ataques provenientes del exterior: bots, personas externas, vulnerabilidades en servicios expuestos, etc…. aquí nuestro amigo el firewall, junto con nuestros amigos «direcciones IP estáticas» van a ser nuestros mejores aliados.
- Fase 3: Seguridad interior
  Ahora le toca la parte de ¿y si el enemigo está en casa? Paranoia máxima… un cable no controlado, una red wireless vulnerable, un acceso remoto no configurado y el enemigo ya está dentro… ¿qué hacer entonces?
Una vez planificado estos puntos, toca la parte más difícil… plantearse un reto, un reto de verdad, uno que cueste dinero y así asegurarnos que no se quede en agua de borrajas:
- Obtener un certificado de Calidad y Seguridad a nivel internacional, debería ser una forma como otra cualquiera que nos garantice que los cambios que hacemos son suficientes como para prevenir y curar con garantías cualquier problema de seguridad que pueda plantearse en un hipotético caso. Por suerte (y veremos que también por desgracia), la empresa nunca ha tenido un problema de seguridad más allá de algún ssh expuesto accidentalmente y varios intentos de ataque, y eso es, sin duda, gracias a mis compañeros presentes y pasados, que de una forma u otra «blindaron» la infraestructura para evitar sustos que pudieran considerarse serios.
Claro que desde entonces hasta ahora ha llovido bastante y la tecnología y la seguridad ha evolucionado tanto que hoy día, un chaval de 17 años puede hacer estragos con unas pocas ganas de tocar las narices, así que buscamos un certificado internacional de seguridad y nos hemos tirado a por él. Contratada una consultora que nos guíe en los distintos pasos que hay que seguir y ponernos en sus manos en cuanto al asesoramiento sobre qué debemos mirar.
Somos conscientes que el 70% de los certificados son documentación y protocolos más que temas técnicos que nos puedan ayudar a proteger la información que almacenamos. No obstante, los requisitos para que, asegurar la información de una empresa no se quede simplemente en buenas intenciones, implica ponerse en serio y sacar las certificaciones, a ser posible en un tiempo record.
Hay muchas certificaciones:
- ISO27001 (el certificado de seguridad por excelencia, entre 97 y 114 puntos de control que hay que asegurar) Documentación por un tubo y cada uno de ellos con sus «necesito una evidencia de lo que dices» que te volverá loco. Hay que renovar cada 3 años.
- ENS (el certificado de seguridad nacional) un certificado que nació para que lo cumplieran los ayuntamientos, universidades y administraciones públicas y al final han terminado obligando a cumplirlo a todos aquellos que quieren trabajar con las AAPP. Reune más requisitos técnicos que la ISO27001 (porque sólo permiten cierto hardware y software homologado para AAPP, pero que ya sea de paso, también para todo aquella empresa que quiera sacarse el certificado). Hay tres tipos de ENS: simple, medio y alto. (lo bueno es que toda la información es pública: https://www.ccn-cert.cni.es/es/guias.html). Hay que renovar cada 2 años.
- NIS2 (el certificado de seguridad europea) un certificado de ciberseguridad a nivel europeo similar a los puntos de la ISO27001, pero con una organización algo más laxa.
¿Qué hay que proteger?
Para empezar a ser una empresa segura, lo primero es preguntarse, ¿qué tenemos que haya que proteger? ¿qué tienes?, ¿de dónde sale?, ¿quién es el responsable?, ¿cómo se genera?, ¿quién lo utiliza?, ¿quién lo borra?, y un largo etcétera.
En nuestras empresas hay mucha información relevante e importante: grabaciones, listados de llamadas, números de clientes, agendas, usuarios/contraseñas, etc. Si tienes CRM o ERP, la cosa se vuelve más peliaguda, ya que tienes información más confidencial de la empresa del cliente y si almacenas datos de identificaciones como CIF, nombres y direcciones, se considera que tienes datos confidenciales de nivel 2 y toca proteger la información sí o sí, bien cifrándola, bien poniéndole todas las barreras posibles para evitar que nos lo roben, la vendan, etc.
Sabiendo la información, material o cosas que hay que proteger, el siguiente paso no es más que algo evidente: ¿qué podría pasar si no se protege?
¿Qué podría pasar si no se protege?
Imagina que borran estos datos, o que un día entras en la oficina y desaparecen los servidores, o que hay una manifestación y nadie puede entrar en la oficina o que han desaparecido todos los servidores principales por un fallo en el datacenter, o que… 1000 situaciones catastróficas que se te puedan ocurrir, desde las más elementales (que entre alguien a un sistema) como las más insospechadas (que alguien con información confidencial se vaya de mal rollo de la empresa).
No es agradable ponerse en esta situación, pero es otro paso necesario. Controlar qué cosas pueden ocurrir, la probabilidad de que ocurra, y qué habría que hacer en este caso.
Backup y protocolos anti-desastres
No hay duda que tener una copia de seguridad siguiendo la regla del 3-2-1 (La norma establece que debes tener al menos tres copias de tus datos; dos de las copias de seguridad deben estar almacenadas en diferentes tipos de medios, y al menos una copia de seguridad debe estar almacenada fuera del sitio o en la nube) es algo fundamental. No siempre es posible, pero hay que buscarlo siempre que se pueda. Siempre puede, por muchas garantías que te digan, fallar algún sistema crítico y haya que recuperar cuanto antes.
O ponerse en lo peor y pensar que todo se puede ir al traste en una mañana… en ese caso, toca preparar un protocolo anti-desastres que ayude a mantener la calma y recomponerse tan rápido como sea posible. Las posibilidades son casi infinitas, pero las probabilidades no son tan bajas como nos gustarían y estar preparado ante lo insospechado es un plus.
Con esto, explicado de una forma rápida y sutil como una conversación de cafetería, tendríamos la parte vital de recomponernos si algo va mal. Ahora empezamos con la parte «divertida».
Evitar el ataque
En este caso, hay que activar algo que siempre he odiado: el modo paranoico. De hecho en Sinologic no escribía sobre seguridad porque no quería despertar al «paranoico» que llevamos en nuestro interior. Se vive mejor y mucho más feliz siendo «hormiguitas» en la que nadie se fija ni siquiera para atacarnos, pero es verdad que hoy día los bots ya no miran sólo a empresas grandes, miran a cualquier empresa o cualquier ordenador que haya conectado y sea vulnerable y la mejor forma de evitar quedarte sin empresa o sin servicio, es evitando el ataque.
Para evitar el ataque, lo primero es ver qué infraestructura tenemos, cómo está expuesta y por qué está expuesta. Evitar la «seguridad por ocultación» es algo vital…
Ejemplo: Proteger el acceso remoto:
El hecho de mover un puerto SSH estándar a uno aleatorio fue útil hace unos años, pero desde que un bot puede escanear la red entera buscando servidores SSH en todo internet buscando puerto a puerto y en cuestión de minutos, hace que tener un puerto SSH expuesto a Internet sea ya un riesgo. No es necesario ni tener una cuenta, basta con que la versión del servidor SSH no sea la última que soluciona una vulnerabilidad, para que haya un exploit que de acceso remoto al bot y avise al «nodo supremo» que tiene una nueva máquina a la que inyectar el software de minado, para que te encuentres minando bitcoin en menos de 10 minutos.
Puedes usar un fail2ban, pero nuevamente, el script detecta la versión al primer intento, por lo que el exploit funcionará en el segundo intento. Fail2ban puede servir, pero no es la panacea (esto último lo he visto con mis ojos). Así que ante la falta de soluciones sólo nos queda una posible solución:
1. Tener la distribución completamente actualizada SIEMPRE.
2. Cortar todo acceso SSH utilizando el firewall bloqueándolo a la IP desde la que vayamos a conectarnos.
3. Usar fail2ban
4. Evitar acceso mediante contraseña (siempre utilizar Autentificación mediante Clave Pública)
5. Cambiar el puerto estándar (nunca usar el puerto estándar para accesos remotos)
6. Jamás permitir acceso directo con el usuario ‘root’. Siempre acceso a usuario local con permisos limitados.
7. Monitorizar periódicamente los accesos por ssh.
Sé lo que puedes estar pensando: Desde el momento en que bloqueemos el puerto SSH a una IP ¿por qué hay que hacer todo lo demás? Nadie va a poder acceder al puerto excepto nosotros…
Ahí es donde te equivocas… recuerdo un caso hace algunos años en el que el firewall siempre estaba activo,… hasta que un día alguien tuvo que bajarlo y se olvidó subirlo… en ese caso un fallo manual provocó que el puerto SSH estuviera expuesto. El resto de acciones protegen ante el fallo del anterior.
Acuérdate del IPv6
Y es que muchos sistemas tienen IPv6 aunque se nos olvide, y configuramos el firewall para IPv4, pero para IPv6 el firewall sigue estando accesible. Es más difícil de acceder, porque los escaneos de la red son más limitados, pero aún así, sigue estando accesible si no hemos bloqueado el puerto en ambos sistemas.
El ataque no siempre viene desde fuera
Ahora viene la parte más complicada, y es que una gran parte de los ataques no vienen desde el exterior, si no del interior. Acuérdate de cuando en Mr.Robot, el protagonista metió un USB en la empresa con un virus y un empleado de la empresa lo metió en su ordenador para ver qué contenía e infectándose. Ya no es únicamente una serie de televisión, hay cientos de miles de pendrive con virus sueltos por las calles a la espera de que alguien se lo lleve y vea qué contiene.
Linux no siempre es invulnerable
Donde trabajo, prácticamente todos usamos Linux (el 95%) tanto en servidores como en puestos de trabajo, por lo que la parte de virus, troyanos, malware y demás… digamos que estábamos bastante tranquilos. Hasta que un compañero estuvo investigando acerca de OSSEC, una herramienta software libre que analiza el software instalado en cada sistema, revisa versiones y compara con una base de datos de vulnerabilidades. En ese momento empezamos a recibir una cantidad curiosa de alertas sobre versiones de paquetes vulnerables por no estar convenientemente actualizados. Es curioso como puedes pasar de la tranquilidad de saber que todos trabajamos con Linux, a ver un montón de números rojos sobre versiones vulnerables y que toca revisar, actualizar y teñir de verde como sea. (Recordad que estamos haciendo esto para obtener una certificación, y la única manera de hacerlo es que todo sea seguro).
Volviendo a «el ataque no siempre viene desde fuera» viene otra parte cruda, sospechar de cualquier compañero. Esta parte es muy fea, desagradable pero obligatoria, y es que cuando eres una empresa pequeña, hasta la chica que viene a limpiar tiene acceso root a cualquier servidor (vale, si… es una exageración,… xD) pero para obtener el certificado, lo primero que te dicen es: Sólo pueden tener acceso el mínimo número de personas. Eso implica que desarrolladores, personal de soporte, administración y demás que tenían acceso a un servidor «por si las moscas pasaba algo», ahora ya no tenían acceso. Los permisos del CRM y del ERP son revisados y ahora ya no todo el mundo tiene vista de lo que antes sí tenían visibilidad, y eso fastidia, es algo normal… quitar accesos que antes tenías suena a que no se fían de tí, pero lo cierto es que en seguridad, por cada persona que tenga acceso a un sistema, se convierte en un posible agujero de seguridad. Algo que exigen eliminarlo a toda costa salvo que haya un motivo de peso para tenerlo.
Por si fuera poco, dos cosas más que hay que añadir a «obligaciones para tener una red corporativa segura«: vigilancia de la red interna y un control de DLP, aunque sea mínimo.
Vigilancia de la red interna pueden ser muchas cosas, lo importante es que si hay un software haciendo de las suyas en la red interna un martes a las 04:00 a.m. deberías recibir algún tipo de alerta y hacerte las preguntas básicas. ¿porqué el ordenador XXX tiene 2Mb/sec de ancho de banda ocupado a las 4 a.m.? ¿Cómo se detecta este comportamiento extraño? Herramientas hay muchas, libres no tantas.,
DLP (Data Loss Prevention o en español: prevención de pérdida de datos) es el control para evitar una fuga de información por canales estándar, lo que implica disponer de un software de «detección de fuga de información», un aspecto que el Incibe ya nos habla y nos pone en sobreaviso. Ya sea por parte de un compañero, jefe o cargo-intermedio, nadie escapa a una posible «fuga de información» que hay que evitar. Ya no únicamente saber que tendrá consecuencias si ocurre, es que directamente hay que evitar que ocurran, ya que en muchos casos ésta puede ser algo sin querer. Ahí prácticamente no hay ningún sistema libre que permita controlar el DLP tal y como lo piden las empresas certificadoras, así que toca buscar alternativas comerciales. 🙁
Finalizando de forma segura…
Tener una empresa «segura» no es algo fácil, ni barato, ni siquiera cómodo. Siempre he dicho que la seguridad es incómoda, pero necesaria. Puede provocar malentendidos y alguna que otra discusión, pero es mejor discutir que perder los datos de la empresa de la que dependen muchas familias.
Si algo he aprendido estos meses que hemos estado trabajando para aumentar la seguridad de la empresa, es que la sociedad de la información nos ha obligado a los administradores de sistema a volvernos paranoicos. Es un estado necesario para la supervivencia hoy día en la que los datos, las redes de alta velocidad y accesibilidad desde cualquier lugar, se han convertido en la materia prima más importante de esta sociedad. La privacidad vs. la seguridad. ¿Cómo vigilar que es seguro algo que no podemos ver por la defensa de la privacidad? Esto es un debate muy interesante y me encantaría conocer vuestra opinión al respecto.
En fin, espero que este tema llegue a su fin (spoiler: no mucho, porque la seguridad es un estado que requiere revisiones periódicas para comprobar que todo sigue en su sitio) y pueda tener un poco más tiempo para poder escribir más sobre VoIP y Software Libre.
Lo que sí os puedo garantizar es que voy a empezar a escribir sobre esta temática que he evitado tantos años, y es que, otra de las cosas que tengo que hacer es estar al día sobre riesgos, alertas y vulnerabilidades de sistemas que usamos a diario, lo que implica estar vigilante sobre cualquier fallo de seguridad que afecte a nuestras herramientas Asterisk, Kamailio, FreeSwitch, OpenSIPs, etc. o bien a hardware VoIP (teléfonos, gateways, etc.)
2024-07-11
La Realidad Virtual será el futuro
Esta es mi apuesta, reconozco que bastante atrevida, pero debo confesar que la he probado y lo he visto claro: tanto en los juegos, como en las reuniones, como en el entretenimiento (ver películas, series, etc.) tener unas gafas de realidad virtual marcan una diferencia abismal en comparación con la forma en la que lo venimos haciendo. Esto seguro que trae a la luz multitud de opiniones a favor o en contra y seguramente más en contra que a favor, pero después de una semana probando un sistema «económico» de realidad virtual de Meta y algunas aplicaciones, me ha quedado claro que el futuro pasará tarde o temprano por la realidad virtual.
Desde las primeras películas sobre realidad virtual como «El cortador de cesped» o «Johnny Mnemonic», o las últimas tipo «Ready Player One» son un gran ejemplo de lo que la imaginación en este aspecto nos deparará en un futuro (no muy lejano), y es que la realidad virtual del presente y futuro próximo tiende más a parecerse al sistema de «Ready Player One» que al de «Johnny Mnemonic», y aún así, le faltan algunos años de avances en cuanto a desarrollo y potencia gráfica, aunque visto la velocidad de una tecnología como la I.A. cuando interesa, a la Realidad Virtual le queda muy, muy poco para llegar a ser similar al de las películas.
El primer rechazo
No os engaño, la realidad virtual me tenía un poco desilusionado después de cómo avanzaba en los últimos años, no obstante, he visto la gran comparación, la gran diferencia que hay entre «el móvil dentro de una caja de cartón» que sacó Google hace unos años a modo de hack simpático y las Meta Oculus Quest 2 de Facebook y puedo decir que lo de la caja de cartón fue algo divertido pero no tiene nada que ver con lo que hay ahora.
Apple, tras anunciar que se metía en este mercado con sus propias gafas de realidad virtual acaba de anunciar que en los próximos 3 años piensa vender hasta 10 millones de gafas de realidad virtual, lo que implica que vamos a ir viendo cómo el mundo de la realidad virtual se va a ir acelerando y va a mejorar más aún, si cabe, el interfaz humano-máquina.
Ventajas de la realidad virtual
Hubo un momento en que el propio término Metaverso me producía rechazo, aparecía en la televisión, en los telediarios, en toda la prensa, en anuncios «molones» donde se veían personas creadas por renders shaders en un entorno idílico y futurista reunido con personas con diversos avatares infantiles con formas diversas y muñecos en 3D que seguro que habéis visto en algún vídeo promocional.
Lo malo de anunciar algo que no tienes, es que tiendes a hacerte unas espectativas que se van a frustrar, y eso es lo que ha ocurrido. Facebook quería ilusionar a la gente para que comprase sus gafas y eso ayudase a financiar el desarrollo de «su metaverso», el resultado fue que las primeras impresiones fueron de decepción y eso desilusionó a muchos usuarios que estaban animados.
Ya fuera por su pobre calidad gráfica, por su poca utilidad, etc. no consiguió el éxito que esperaba. No obstante hay algo interesante en todo esto, y es que Meta ha conseguido un lugar virtual donde puedes hablar con gente de cualquier lugar, utilizando únicamente sus gafas de realidad virtual y sin necesidad de estar conectado a un ordenador. No está todo lo bien que se esperaba, pero la idea no es mala. Otro aspecto que sigo viendo como algo negativo es el uso de los «avatares infantiles». El hecho de hacerte un avatar virtual es algo que está simpático en ciertos entornos de ocio, juegos y demás, pero para dar un aspecto «profesional» y utilizarlo para cosas serias, es importante darle un aspecto algo más formal.
Esto lo digo por una de las aplicaciones más interesantes de Facebook: Meta Workrooms
Seguro que lo habéis visto en algún momento en la televisión, un sistema en el que puedes crear una reunión virtual entre varias personas y puedes seleccionar la forma de las mesas, el escenario, el contenido de la pizarra (ordenador o pizarra de dibujo), y un largo etcétera. Este sistema es uno de los mejores sistemas que he visto para realizar reuniones, impartir cursos, charlas o incluso una mesa de trabajo entre varios departamentos. La parte visual es importante para mantener el aspecto de que están todos trabajando unos al lado de otros y algunos aspectos como la posibilidad de pedir la palabra para poder hablar, disponer de una pizarra, etc… la única pega de este sistema, la compatibilidad de compartir pantalla si tienes un Linux… 🙁
Un auténtico cine en casa
Otra de las ventajas es que puedes tener una pantalla de cine completamente a tu disposición para ver películas, series o lo que quieras con sonido espacial 3D. En concreto, con la aplicación Bigscreen VR, puedes conectarte por Wifi a tu ordenador y ver cualquier vídeo que tengas compartido por DLNA (por ejemplo, si tienes tu propio Plex), o bien Netflix, Disney+, HBO y otras plataformas de streaming.
La parte negativa de la Realidad Virtual actual.
Uno de los aspectos que menos me gusta de la realidad virtual tal y como es actualmente, es que es un dispositivo individual. Esto significa que cada persona necesita sus propias gafas lo que frena la interacción con personas que tienes al lado y convierte a este dispositivo en algo «frío» y «distante».
Está claro que podríamos ver una película en un «cine virtual» con varios amigos y cada uno debería llevar puestas sus gafas para poder verla, eso sí… los amigos podrían estar cada uno en una parte del globo y virtualmente estaríamos sentados al lado charlando, pero si quieres ver una película con una persona que está en la misma habitación, mejor seguir utilizando la televisión normal por el momento.
El universo virtual pide a gritos un estándar abierto
Cada promotor de la realidad virtual quiere liderar este campo: Meta quiere que utilices su tienda de aplicaciones, Apple querrá lo mismo en las suyas y así con todo. Por suerte existe un sistema llamado OpenXR (término que unifica OpenAR y OpenVR) y que permite desarrollar aplicaciones y entornos para que las gafas puedan acceder a un entorno «compatible» con las gafas de realidad virtual de prácticamente cualquier fabricante.
OpenXR es un estándar abierto y libre de royalties que ofrece acceso a herramientas para desarrollar aplicaciones para Realidad Aumentada (AR) y Realidad Virtual (VR). Ambos sistemas unidos pasan a llamarse «XR» (AR + VR = XR) y OpenXR funcionaría en prácticamente todos los sistemas hardware (gafas y otros dispositivos). Información sobre OpenXR. De igual forma, WebXR es una API web para desarrollar aplicaciones de realidad virtual utilizando una simple página web. (Ejemplos de WebXR)
La realidad virtual como lugar de comunicación social
Actualmente las comunicaciones son individuales (como los móviles) o de grupos cerrados de usuarios (centralitas con extensiones, software corporativos como teams, zoom, etc.) o sociales pero dependientes de empresas externas (whatsapp, telegram, skype, etc.) donde los usuarios pueden comunicarse entre sí, únicamente si son usuarios de la misma plataforma.
La realidad virtual, además de ser un interfaz hombre-máquina sin igual, abre la puerta a una comunicación global que podría tener la oportunidad de crearse abierta basada en un protocolo abierto, lo que permitiría a las empresas conectarse entre sí y que usuarios de diferentes plataformas pudieran interactuar sin importar si son de Meta, de Apple, de Google o de nadie.
El proyecto Thirdroom.io es un buen ejemplo de lo que podría llegar a ser este punto de unión abierto, un entorno virtual abierto a cualquier plataforma gracias a la compatibilidad con los protocolos WebXR para el aspecto visual 3D del mundo y WebRTC para la comunicación de audio/video con el soporte de Matrix para la comunicación descentralizada y securizada.
Por supuesto, Thirdroom es un proyecto que está aún en pañales en comparación con los entornos como el de Meta, no obstante, el hecho de que sea abierto, la compatibilidad con Unity y que uno de los grandes promotores de la Realidad Virtual en entornos de entretenimiento sea Steam, pueden inclinar la balanza a favor de este sistema para poder desarrollar entornos abiertos a cualquier plataforma.
https://www.youtube.com/watch?v=VimOoGCPWWw
En resumen, desconozco si será en cinco, siete o veinte años, pero lo que sí tengo claro es que la realidad virtual unida a la realidad aumentada será tan utilizada como actualmente los monitores con nuestros ordenadores. Sólo como ejemplo de esto que digo, es que este artículo lo he escrito en mi propia sala de cine, y sí… he tenido que utilizar Windows para poder hacerlo, pero creo que merece la pena hasta que aprenda cómo hacerlo con el resto de sistemas operativos que utilizo. 😉

Captura de cómo estoy escribiendo este artículo en una pantalla de un cine
2023-12-02
Vacaciones, el mejor momento para aprender
Llega agosto y como suele ser común, para una gran cantidad de personas que disfrutan de las vacaciones de verano estos meses de descanso es el mejor momento para desconectar, pensar en otras cosas, disfrutar del buen tiempo y de unos días de viaje, unos baños en la playa o en la piscina y disfrutar de una comida especial con los amigos y familiares…
No obstante, estos tiempos de «relax» es justamente cuando nuestro cerebro está más relajado intentando desconectar todo lo posible y cuando el ritmo de los negocios y el trabajo también desciende. Por eso mismo es cuando suelo aprovechar para aprender «otras cosas». Aunque queramos descansar de ciertas tareas, leí una vez que es justamente cuando nuestro cerebro se vuelve más receptivo ante nuevo conocimiento, y si no tiene mucho que ver con nuestro trabajo, mucho mejor.
Por esta razón, estos días de baja carga de trabajo, vacaciones o incluso ambas, es cuando podemos aprovechar y apuntarnos a algún curso de alguna plataforma de cursos online de esos gratuitos o muy económicos que nos ayuden a desarrollarnos en otros aspectos diferentes, actualizar nuestros conocimientos sobre algún tema que nos interese y que no tenga mucho que ver con el trabajo.
Por ejemplo, yo suelo aprovechar para ver algunos vídeos del FOSDEM del año que hablan de cosas muy interesantes sobre otras temáticas que también me parecen interesante. Otra opción es apuntarse a algún curso de alguna plataforma tipo Udemy, Coursera o Platzi.

Lo importante es aprovechar el tiempo para descansar y para ejercitar el cuerpo y la mente.
2023-08-01
ASLAN 2023: Un evento que abarca más de lo que puede
Hace unos días aproveché para acercarme al ASLAN 2023, una feria profesional que tiene muchos años de experiencia y que, organizada por la asociación con el mismo nombre, ha culminado esta edición con una cantidad de público que ha sobrepasado las expectativas.
Quizá por las ganas de asistir a eventos, quizá por que la temática se ha abierto a demasiados campos, el tema está que ASLAN había sido un evento de referencia para todas las empresas relacionadas con las redes y en esta edición han querido abarcar más temáticas hasta convertirse en un monstruo sin cabeza en el que cabían desde hardware de red, datacenters, inteligencia artificial hasta antivirus.
Por esta razón, los expositores del Congreso ASLAN son tan variados que los visitantes acudían en masa para poder contactar con los expositores que estaban interesados: los que habían ido a ver hardware de red, tenían a muchos fabricantes especializados en cableados de red, coaxiales, antenas wireless, etc., pero aquellos que habían ido a ver las novedades cloud se encontraban con decenas de expositores sobre servicios cloud entre los que se encontraban desde datacenters como Interxion hasta AnyDesk (el software de control remoto), por lo que realmente había mucho público pero más distribuido.
Y este fue lo que a primera hora de la mañana causó un gran cabreo por parte de expositores y asistentes que no podían acceder a las instalaciones por exceso de aforo y «peligro de derrumbe» de la zona de expositores. (si, así tal y como suena). Yo iba con un amigo que tenía que asistir como expositor y llegó a las 12:30 debido a la gran cantidad de personas que querían acceder y tenían el acceso cortado por exceso de aforo. Si salían 2 personas, entraban 2 personas y eso hacía que los cientos de visitantes que se dieron cita en las primeras horas, se encontraran hacinados en el lateral de acceso al espacio dedicado a la feria.
Está claro que ASLAN ha querido abarcar demasiado con sus temáticas, o el lugar donde lo celebra ya no es suficiente para esa cantidad de temas y charlas diferentes que, pese a ser el mayor atractivo del congreso, tampoco tenían la visibilidad y la importancia que deberían.
Temática del ASLAN 2023
Lo bueno es que pudimos ver a muchos amigos y conocidos que allí se encontraban, la gente de InstantByte, Wifidom, Alhambra, Snom y muchos más.
ASLAN siempre ha sido un marco de referencia para todo lo relacionado con las redes y un poco de VoIP, pero han metido nuevos temas como ofimática, inteligencia artificial, cyberseguridad, etc. que si bien son también temas muy interesantes que tienen cierta «relación», se salen del ámbito al que el visitante del ASLAN va a estos eventos y que hace que muchos decidan no volver en próximas ediciones.
2023-03-27
La innovación, un objetivo deseado pero quizá demasiado caro.
No hay nada como empezar el curso en octubre con varios proyectos ilusionantes, y si además incluyen herramientas como Asterisk, Kamailio y una buena dosis de programación para automatizar sistemas, programación web para la gestión por parte de usuarios y datos, muchos datos, la diversión está asegurada.
Lo bueno de estos meses es que aprovechamos que comienza éste último trimestre del año para dar un empujón final y sacar tiempo para sentarse y preparar los pronósticos para el próximo curso: qué hacer, qué aprender, cómo enfocarlo y sobre todo, ¿qué sacamos de todo esto…?
Soy muy consciente que estos últimos años, la VoIP ha sufrido un gran estancamiento. Lo único que parece innovar es el mundo del WebRTC y eso cuando el 90% de los proyectos WebRTC innovadores se basan principalmente en crear servicios en los que poder hablar con otros usuarios de la misma plataforma. Salvo honrosas excepciones como Jitsi, Matrix, Janus, y algún que otro proyecto más, la VoIP que lleva la telefonía de las empresas y que engloban conceptos como SIP, un servidor de comunicaciones tipo: Asterisk/FreeSwitch/Kamailio/SEMS/etc., así como el hardware asociado (teléfonos, ATAs, Gateways, Tarjetas, etc.) tras su gran boom de hace bastantes años, ha bajado el ritmo innovador y podemos considerar que hoy día es lo estándar y estable.
Lo bueno de todo eso es que, cuando hoy día nadie parece innovar, es quizá el mejor momento de sentarse con la mente abierta, charlar con varios compañeros a los que también les gusta este mundo y dejar volar la cabeza con ideas que pueden ser realmente innovadoras en este mundo que parece avanzar seguro siempre que haya alguien que lo haga primero.
Siempre he defendido que uno de los mejores sitios para abrir la mente han sido los eventos y después de varios años, aunque la KamailioWorld 2022 ha sido online, por fin parece que empiezan a ser presenciales, por lo que espero que podamos coincidir en algunos como Fosdem, JanusCon, Astricon, ClueCon, etc.
La innovación aparece cuando nadie la espera, aparece tras una profunda reflexión en la que queremos rehacer algo completamente de cero y no basarnos en algo que ya exista, plantear otros enfoques distintos, otros planteamientos diferentes un -«¿y si probamos a hacerlo de esta otra manera?» o bien un -«¿y cómo lo haríamos en la mitad de [tiempo|dinero|esfuerzo|…]?»
Sin duda, es un enorme ejercicio, porque implica rehacerlo todo, repensar nuevamente aquello que ya habíamos pensado y sobre todo, algo que causa miedo y pesadillas por igual: volver a invertir el tiempo en hacer algo que ya habíamos hecho.
La recompensa seguramente merecerá la pena, pero ¿quién está dispuesto a empezar de cero? de ahí que la innovación sea tan deseada y tan difícil de conseguir. 😉
2022-10-03