En los últimos años ha habido un incremento notable en los proyectos de ley y regulaciones que buscan restringir el acceso a algún sitio web mediante el bloqueo de dominios, direcciones IP y URLs. 

Esta tendencia, aunque impulsada por la intención de combatir actividades ilegales y proteger a los usuarios, plantea serias preocupaciones sobre la privacidad y la libertad en la red.

La diferencia entre direcciones IP, dominios y URLs

Inicialmente, es importante hacer una clara distinción entre los tres elementos que usualmente se incluyen en los proyectos de ley o en la regulación para el bloqueo de sitios: dirección IP, dominio y URL.

Una dirección IP identifica de manera única un dispositivo en una red, un dominio es un nombre legible por humanos que se asocia con una dirección IP, y una URL es una dirección completa que incluye el dominio y la ruta específica para acceder a un recurso en Internet.

Una dirección IP identifica un dispositivo en una red mediante una serie de números, mientras que un dominio es un nombre legible por humanos que se asocia con una dirección IP para facilitar la navegación. Por otro lado, una URL es la dirección dentro de un sitio web a un recurso mucho más específico, casi siempre a página web.

Podemos visualizar mejor de qué hablamos en cada caso mediante algunos ejemplos:

• Dirección IP: 190.210.32.126
• Dominio: ejemplo.com
• URL: https://ejemplo.com/secciones/política/proyecto-de-ley-de-bloqueos.html

¿Qué implica el bloqueo mediante URL?

Con anterioridad nos hemos referido a los riesgos del bloqueo de sitios mediante dominios y direcciones IP, que pueden ser desde la desconexión involuntaria de algún sitio de terceros hasta la inhabilitación total de redes de operadores de algún territorio, pudiéndose extender a toda una nación.

En los últimos años en varios de los proyectos de ley y regulación en la región nos encontramos con la utilización del término “URL” como sinónimo de “dominio”, cuando son dos términos técnicamente diferentes, como explicamos más arriba, y conllevan también medidas técnicas diferentes para su bloqueo.

El bloqueo de sitios de Internet a través de una URL permite una mayor precisión en comparación con el bloqueo de dominios o direcciones IP, ya que puede dirigirse a una página  dentro de un sitio web sin afectar el acceso al resto del contenido del mismo sitio. 

Sin embargo, para realizar un bloqueo mediante URL, se deben utilizar técnicas de inspección profunda de paquetes (DPI o Deep Packet Inspection en inglés) y otros métodos de monitoreo.

La inspección profunda de paquetes o DPI es el acto de inspección del contenido de estos paquetes realizado de manera automatizada por algún equipo de la red previo al reensamblaje que realiza el dispositivo utilizado por el usuario final. 

Sería el equivalente a revisar cada una de las cartas que una oficina de correos postales recibe, abriendo su sobre y revisando el contenido en busca de elementos específicos para después volver a cerrar el sobre para entregar al destinatario final.

Esta técnica posibilita a quien la implementa tanto funciones avanzadas de seguridad como la minería de datos, las “escuchas” ocultas y la censura. 

Permite a los proveedores de servicios de Internet (ISP) y a las autoridades no sólo identificar y bloquear URL específicas ante la presunción de algún delito, también permite de manera ilegal monitorear y registrar la actividad en línea de los usuarios de manera detallada.

Además, exigir o permitir la inspección profunda de paquetes genera motivaciones tanto a actores legítimos como a maliciosos para debilitar o romper el cifrado de extremo a extremo, esencial para la confianza del usuario final en las comunicaciones digitales.

Riesgos para la privacidad

Es evidente que la mala utilización de inspección profunda de paquetes o DPI puede tener consecuencias no deseadas o abrir la puerta a grandes riesgos para la privacidad de los usuarios de Internet. A continuación destacamos algunos de ellos: 

• Monitoreo extensivo de la actividad en línea. La implementación de bloqueos de URL requiere que los Proveedores de Servicios de Internet (ISP) inspeccionen el contenido de los paquetes de datos que circulan por sus redes. Esto significa que cada solicitud web realizada por un usuario puede ser analizada para determinar si coincide con una URL bloqueada. Este nivel de inspección puede llevar a un monitoreo extensivo y constante de la actividad en línea de los usuarios, lo cual es una invasión significativa a la privacidad.
• Uso indebido de los registro de actividades de los usuarios. Para llevar a cabo el bloqueo de URL, los ISP pueden argumentar la necesidad de mantener registros detallados de las actividades de los usuarios. Estos registros pueden incluir información sobre los sitios web visitados, las URL específicas solicitadas y el contenido de las comunicaciones en línea. La acumulación de estos datos crea un riesgo significativo de abusos, ya sea por parte de actores gubernamentales, empresas privadas o cibercriminales que logren acceder a esta información.

• Posible abuso y exceso de vigilancia. Las capacidades de monitoreo y bloqueo de URL pueden ser utilizadas para fines más allá de los inicialmente previstos. Por ejemplo, gobiernos con tendencias autoritarias pueden emplear estas herramientas para censurar contenido político, vigilar a disidentes o suprimir la libertad de expresión. Incluso en democracias establecidas, la tentación de utilizar estas herramientas para fines de vigilancia masiva puede ser grande, especialmente en contextos de seguridad nacional.
• Falsa sensación de seguridad. Los bloqueos de URL pueden crear una falsa sensación de seguridad tanto para los gobiernos como para los ciudadanos. Los usuarios pueden creer que están protegidos de contenidos peligrosos o ilegales, mientras que los actores realmente malintencionados siempre pueden encontrar formas de eludir estos bloqueos mediante la simple modificación de las URLs o registrando múltiples dominios diferentes al originalmente bloqueado.
• Riesgos adicionales. La debilitación o eliminación del cifrado extremo a extremo de las comunicaciones expone a los usuarios a riesgos adicionales de privacidad y de seguridad, con lo cual no sólo se rompe la privacidad de las comunicaciones de un presunto infractor o delincuente, sino de todas las comunicaciones y transacciones de usuario finales legítimos: empresas, gobiernos, asociaciones de la sociedad civil, etc. 

Conclusión

En LACNIC consideramos que el bloqueo de sitios de Internet mediante URL representa una herramienta poderosa y controversial en la gestión del acceso a la información en la red. 

A pesar de que puede ser efectivo para combatir ciertos tipos de contenido nocivo a nivel del proveedor de contenido o de acceso, también plantea serias preocupaciones sobre la privacidad y la libertad de los usuarios, sobre todo cuando su implementación es obligada a partir de una regulación. 

Es esencial que cualquier medida de este tipo se implemente como última opción, y en caso de implementarse, se haga con transparencia, supervisión y salvaguardas adecuadas para proteger los derechos y la privacidad de los individuos. 

En última instancia, el equilibrio entre seguridad y libertad debe ser cuidadosamente gestionado para preservar la naturaleza abierta y libre de Internet que al final del día habilita los derechos humanos y civiles de nuestra sociedad.

Ignacio Estrada, Gerente de Relaciones Estratégicas de LACNIC

Normalizar el bloqueo de sitios en Internet a la hora de limitar un acto ilícito o una conducta es ignorar las consecuencias que estas acciones pueden tener para clientes y usuarios de la región.

Desde LACNIC queremos destacar que si bien técnicamente es posible bloquear un sitio para una red, esta tarea no es simple y la probabilidad de que sus consecuencias tengan resultados indeseados crece a medida que aumenta el número de operadores involucrados, más aún si estos últimos se encuentran distribuidos en diferentes territorios o jurisdicciones.

En general, existe la falsa suposición de que bloquear el acceso a un sitio o aplicación en Internet es un proceso muy simple, pero detrás, existe una realidad mucho más compleja. 

Pensemos por ejemplo en casos frecuentes de bloqueos: un dominio mediante el cual se puede acceder a un sitio cuyo contenido infringe propiedad intelectual o que permite apuestas online. En esos casos, la creencia es que al bloquear ese dominio, el sitio dejará de ser visible en Internet, pero la realidad es que los sitios pueden tener más de un dominio registrado. Si bloqueo uno, puede que existan otros dominios por los cuales acceder a ese sitio.

El problema se agrava dado que al no ser totalmente efectivo el bloqueo a nivel dominio el siguiente paso es ir al servidor en el que se aloja el sitio. El servidor utiliza al menos una IP para conectarse a Internet entonces la decisión es bloquearla. Lo que sucede es que cada servidor puede alojar cientos o miles de sitios web: si bloqueamos esa IP, corremos el riesgo de bloquear todos los sitios de ese servidor, incluyendo los de empresas, gobiernos, entidades sin fines de lucro, etc

Adicionalmente, no hay que perder de vista que el sitio podría estar ubicado en servidores en diferentes lugares del mundo, por lo que el bloqueo a nivel servidor (IP) podría hacerse extensivo a miles de sitios que nada tienen que ver con el asunto en cuestión.

¿Por qué los bloqueos resultan inefectivos?

Desde LACNIC destacamos que existen fuertes argumentos para sostener por qué la política de bloqueos no surte el efecto buscado:

1. El bloqueo tiene un gran riesgo de perjudicar sitios y redes de terceros no involucrados

Esta desconexión involuntaria de sitios de terceros es uno de los riesgos más importantes de los bloqueos. Muchas veces, frente a un pedido de bloqueo, los jueces mandan a bloquear no sólo una IP sino un rango de IP y quizás en ese rango están incluidas direcciones de redes que se ven afectadas sin ninguna necesidad.

A finales de agosto de 2022, el equipo de atención al cliente de Cloudflare empezó a recibir quejas acerca de que los sitios de su red habían dejado de funcionar en Austria, pero la interrupción del servicio no era consecuencia de un problema técnico sino por una orden judicial: un tribunal austriaco había ordenado a los proveedores de servicios de Internet (ISP) austriacos bloquear 11 de las direcciones IP de Cloudflare. Al intentar bloquear 14 sitios web que, según algunos propietarios de derechos de autor, violaban estos derechos, el bloqueo de las direcciones IP ordenado por el tribunal dejó inaccesibles durante dos días miles de sitios web para los usuarios de Internet de Austria en general. 

2. No resuelve el problema de fondo

El bloqueo no asegura la eliminación del contenido o actividad ilegal que haya detrás de un sitio web y no brinda una solución real al problema que se busca resolver: el contenido no es removido y lo que se interrumpe es sólo una ruta de acceso a él.

Por esto último, el bloqueo puede ser evadido en corto tiempo por infractores. Los “expertos” en el mal uso tanto como los ciberdelincuentes están preparados para resolver su problema casi inmediatamente migrando a otras direcciones IP o nombre de dominio en otras jurisdicciones y/o proveedores y (en muchos casos) ya tienen preparadas estas alternativas de antemano.

Lo que esto genera es una dinámica compleja y poco efectiva: se invierte energía y recursos en mantener bloqueado un sitio con una lógica de “parches temporales” que no van a la raíz del problema.

De esta forma, se corre el riesgo de convertir a Internet en una superposición de bloqueos poco útiles que se eluden fácil sin la solución de fondo que sería poder identificar a la/s persona/s que está/n cometiendo el ilícito.

3. Genera una enorme carga administrativa para todos los involucrados

Los bloqueos generan un costo administrativo enorme tanto para los gobiernos que mantienen las listas de bloqueos como para los proveedores de Internet, principalmente para los pequeños. 

Es muy largo el tiempo que lleva recuperar los servicios de terceros afectados que no han cometido ninguna actividad ilícita. La dinámica del bloqueo es rápida pero el proceso inverso es tedioso; por ejemplo, el regulador deberá notificar a los ISP y luego verificar su cumplimiento, mantener una lista pública de sitios bloqueados y lidiar con los reclamos (administrativos y económicos) de quienes hayan sido bloqueados indebidamente.

4. Representa la puerta de entrada para limitación de derechos humanos 

Las solicitudes de bloqueo como medidas precautorias podrían convertirse en el puntapié que afecte a la libre expresión y derecho a la información de las personas.

Bloqueos bajo la lupa

A la hora de considerar el bloqueo de un sitio web, desde LACNIC sostenemos que es necesario considerar que cualquier medida que busque normar el uso de Internet debe atender criterios amplios que promuevan la innovación y desarrollo de nuevos usos y servicios en la red, criterios definidos con un modelo de participación que incluye múltiples involucrados. 

Dado este contexto, las recomendaciones que brindamos se resumen a cuatro puntos:

• No utilizar el bloqueo como primera opción para remover contenido ilegal

• Consultar a todas las partes interesadas en caso de avanzar con una regulación que prevea el bloqueo de sitios. Desde ya es necesario tener en cuenta que las urgencias difieren en relación al tipo de contenido, no es lo mismo la transmisión de contenido en vivo que un sitio de apuestas online

• Si no queda otro camino que el bloqueo, sólo bloquear los recursos (el dominio o la IP) en forma temporal, en coordinación con el área técnica de la entidad a quien le realicen la solicitud (ISP) 
• Contar, en todo momento, con el asesoramiento de expertos técnicos de la institución o mejor aún de un grupo diverso de ISPs, operadores e instituciones afines para la coordinación y atención de estos incidentes