George Conard.

—Can you explain what a DDoS attack is and does to a website?
DDoS stands for distributed denial service. A DDoS attacks means that someone who doesn’t want the content on a website to be read sends so much traffic towards that website that no one else can get inside. It’s like creating a traffic jam. It’s the simplest analogy.

—DDoS attack have existed since the beginning of internet?
I am totally not a historian of internet security. I’ve been working in this area since the late 80s and I think that the general idea is that DDoS attack have been around for very long. What we are seeing, though, is a massive explosion in the frequency and the scale of the attacks over the last few years. In Brazil we’ve seen over 200 percent year over year increases. There are roughly 125,000 DDoS attacks every day. Its getting to be a bigger and bigger problem, and the size and scale of the attacks are getting bigger as well. The attackers have more resources.

—What makes this kind of attacks different from, say, just cracking a website and destroying everything?
A couple of things. It’s obviously a different technical approach. Trying to actually crack and penetrate a server usually involves different vectors, it often involves social engineering to try to get someone’s passwords. And once you are on it you can do different things. Obviously if you actually had enter the server you can turn it off, make it inaccessible. It is easier for someone who is not particularly technical to go out on the internet and buy a DDoS attack. One can go on to the internet and buy an attack for as little as five dollars. The cheapest I’ve seen is $4,99.

—There is a market for this kind of attacks.
Absolutely. There are people out there who have services that will be called networks stressors or something like that, and you can go and pay for the attack.

—What is the role that Project Shield is going to play with this kind of attacks?
Our goal with Shield is to eliminate DDoS as a form of censorship. We have seen these attacks particularly directed at journalists and human rights websites publishing information some people might not want. Project Shield is a tool or a service to defend those news sites from DDoS attacks. We use our own defenses to shield those sites from an attack. Ultimately, though, our goal is to get to the point where every news publisher, every journalist in the world is protected from DDoS attacks, so these attacks are no longer relevant as censorship.

—What differentiates Project Shield from other services like Project Galileo from Cloudflare?
I know Galileo but I can’t speak on behalf of Cloudflare on the details of the service. I understand that they have a slightly different process where they receive sponsorship from organizations, things like that. But I think it’s great what they are offering. The more of us that are working to offer solutions to organizations who need support and who are vulnerable to these attacks, the better. I would encourage any site to look at both of them, understand what the features say and which one is going to work better for their situation.

—What type of data is Project Shield going to store?
The starting point to talk about that is to understand how DDoS protections runs. There are three different ways you can protect yourself from DDoS attacks. One, is that you can write code and try to do it yourself; if you are a big organization, you’ve got really talented network security engineers, you can try to do that. For most organizations that’s not really an option. Two, is you can buy network security hardware. And for most organizations that leaves the third, which is a cloud based service like Cloudflare or Project Shield. The way that all of these services work is that traffic towards the website first comes through the provider providing the DDoS mitigation service. That necessarily means that you see all the traffic, because otherwise there is no way to defend against attacks. And you have to see the headers for the request and things like that, in order to determine what is a legitimate traffic. Project Shield works that way as well. We have traffic logs. We commit to not store that for ever and we only use it for very specific purposes, which are 1) to actually defending against DDoS attacks, 2) to improve our defenses and more generally 3) to improve the product as a whole.

—You are now in Mexico where Project Shield is going to be launched. But SIP gathers big players in the news industry in Latin America. How are you planning to reach smaller players?
Shield is currently protecting everything from an individual investigative journalist, just one person, all the way up to number one news site in European countries, for example. It’s really for a wide range of people. We work to establish partnerships to reach all of those types of organizations. So we do things like this, talk to the press and try to help others to amplify the story we are trying to tell. Particularly because we are working to protect journalism. We promote it on other websites. I spend a lot of time out of the office —I am based in New York— but I’ve been… I kind of lost track of the number of countries this year. Talk to gatherings of journalists. I was at Hacks/Hackers, the Media Party in Buenos Aires a month and a half ago. I am going to Media Party Africa next week in Cape Town.

—We can see the web as a human body and the DDoS attacks as viruses. If we use antibiotics, viruses may grow stronger. What happens when we have full protection for DDoS attacks? What is coming next?
There are two pieces on that. I am not sure if the biological analogy quite holds. But you are right that there are a lot of different factors of attack. And as technology evolves and as people gets smarter then they come up with creative new ways. I would think about this in two tracks. One is that people are going to continue to try to make DDoS attacks stronger, more powerful, harder to block. We will continue using our great engineering to defending us. Beyond that though is just not only DDoS attacks. You talked about cracking a server. I talked to journalists who were very concerned about how can they secure their communications with their sources and protect themselves, even physically. There is a larger conversation we need to be having about digital security across the journalism space. It starts with individuals in a lot of cases. I don’t think that threats are ever going to go away. I would love to be wrong about that. But i think that we can jump much further by building awareness of all these threats. There are good tools out there that will help protect people.

—If you can give some words to Latin American reporters or small news organizations that are not aware of these threats. What would you tell them?
The threats to journalism and to free press throughout Latin America are growing. It’s not just in the digital spirit. It’s in the physical spaces. We see that. And DDoS is something that is very easy to use to stop you from publishing the great stories that you are researching and writing. And second, it’s actually quite easy to get protected from it, whether is from Project Shield or from something else. My message is usually: Don’t wait until your readers need you the most and you find out that you’ve just been wiped down under an attack. Going back to the biological analogy, get inoculated now so when your readers really need you, you are available for them.

George Conard, líder del Project Shield.

—¿Puedes explicar lo que un ataque DDoS es y hace?
DDoS significa Ataque de Denegación de Servicio. Un ataque DDoS implica que alguien que no quiere que un contenido de un sitio sea visto, envía tanto tráfico hacia ese sitio que nadie más puede entrar. Es como crear una congestión vehicular. Es la analogía más simple.

—¿Estos ataques han existido desde los inicios de internet?
No soy un historiador de la seguridad en internet. Trabajo en esta área desde fines de la década de 1980 y creo que la idea más aceptada es que los ataques DDoS han estado presentes por mucho tiempo. Lo que estamos viendo, sin embargo, es una explosión masiva en la frecuencia y escala de estos ataques en los últimos años. En Brasil hemos visto aumentos anuales de 200 por ciento. Cada día hay unos 125 mil ataques DDoS. Se está convirtiendo en un problema cada vez más grande, y la escala y tamaño de los ataques también. Los atacantes tienen más recursos.

—¿Qué diferencia a estos ataques de, digamos, simplemente vulnerar un sitio web y destruir todo?
Un par de cosas. Es obviamente una aproximación técnica distinta. Intentar vulnerar y penetrar un servidor usualmente implica diferentes vectores, requiere ingeniería social para tratar de conseguir contraseñas. Y una vez que lo logras puedes hacer distintas cosas. Obviamente si has entrado al servidor lo puedes apagar, hacer inaccesible. Para alguien que no es muy técnico es más fácil ir a internet y comprar un ataque DDoS. Uno puede comprar ataques por cinco dólares. Lo más barato que he visto son US$4,99.

—Hay un mercado para este tipo de ataques.
Absolutamente. Hay gente por ahí que tiene servicios que se llaman estresores de redes o algo así, y puedes ir y pagar por el ataque.

—¿Qué rol jugará Project Shield con este tipo de ataques?
Nuestro objetivo con Shield es eliminar los ataques DDoS como una forma de censura. Hemos visto estos ataques particularmente dirigidos a periodistas y sitios web de derechos humanos que publican información que algunas personas no quieren. Project Shield es una herramienta o servicio para defender esos sitios de ataques DDoS. Usamos nuestras propias defensas para proteger esos sitios de un ataque. En último término, sin embargo, nuestro objetivo es llegar al punto en que todos los medios y periodistas en el mundo están protegidos de ataques DDoS, por lo que ya no serían relevantes como forma de censura.

—¿Qué diferencia a Project Shield de otros servicios como Project Galileo de Cloudflare?
Conozco Galileo pero no puedo hablar a nombre de Cloudflare sobre los detalles del servicio. Entiendo que tienen un proceso diferente donde reciben auspicios de organizaciones, cosas así. Pero creo que es genial lo que están ofreciendo. Mientras hayan más soluciones para organizaciones que necesitan soporte y que son vulnerables a ataques, mejor. Yo animaría a cualquier sitio a que mire ambas opciones, entienda sus características y vea cuál trabajará mejor para sus situaciones.

—¿Qué tipo de información almacenará Project Shield?
El punto inicial para hablar de eso es entender cómo funciona la protección DDoS. Hay tres formas distintas para protegerte de ataques así. Primero, que puedas programar y hacerlo tú mismo; si eres un medio grande, si tienes ingenieros de seguridad talentosos, puedes intentarlo. Para la mayoría de las organizaciones esa no es una opción. Segundo, puedes contratar seguridad. Y para la mayoría de las organizaciones queda la tercera forma, un servicio en la nube como Cloudflare o Project Shield. El modo en que estos servicios operan es que el tráfico que va hacia el sitio web primero pasa por el proveedor que está entregando la mitigación para ataques DDoS. Eso necesariamente implica que estás viendo todo el tráfico, porque de otro modo no podrías defender contra estos ataques. Y tienes que ver los encabezados de los requerimientos y cosas así para poder determinar qué es un tráfico legítimo. Project Shield trabaja así. Tenemos ingresos de tráfico. Nos comprometemos a no almacenar eso para siempre y sólo lo usamos para propósitos específicos, que son 1) para defender en contra de ataques DDoS, 2) mejorar nuestras defensas, y más generalmente, 3) para mejorar el producto en su integridad.

—Estás en México donde Project Shield será lanzado. Pero la Sociedad Interamericana de Prensa agrupa a los medios grandes. ¿Cómo planean llegar a los pequeños?
Actualmente Shield protege a todos, desde reporteros de investigación, una sola persona, hasta sitios líderes en países europeos, por ejemplo. Es para una amplia gama de personas. Trabajamos para establecer alianzas y así llegar a ese tipo de organizaciones. Por eso hacemos cosas como ésta, hablar con la prensa e intentar ayudar a otros a amplificar esta historia que queremos contar. Particularmente porque estamos trabajando para proteger al periodismo. Lo promocionamos en otros sitios web. Paso mucho tiempo fuera de la oficina —vivo en Nueva York— pero he estado… ya perdí la cuenta del número de países este año. Charlas con agrupaciones de periodistas. Estuve en Hacks/Hacker, la Media Party en Buenos Aires hace un mes y medio atrás. La próxima semana estaré en la Media Party África, en Ciudad del Cabo.

—Podemos pensar en la web como un cuerpo humano y en los ataques DDoS como un virus. Si usamos antibióticos, los virus pueden fortalecerse. ¿Qué ocurre cuando tenemos protección total contra los ataques DDoS? ¿Qué viene después?
Hay dos cosas. No estoy seguro si la analogía biológica se ajusta. Pero tienes razón de que hay distintos factores de ataque. Y a medida que la tecnología evoluciona y la gente se vuelve más lista, dan con nuevas formas creativas. Pensaría esto en dos canales. Primero, que la gente seguirá haciendo ataques DDoS más fuertes, poderosos, difíciles de bloquear. Seguiremos usando nuestra maravillosa tecnología para defendernos. Más allá de eso, sin embargo, no hay solo ataques DDoS. Tú hablaste sobre vulnerar un servidor. He hablado con periodistas muy preocupados de cómo pueden proteger sus comunicaciones con sus fuentes y cómo protegerse a sí mismos, incluso físicamente. Hay una conversación más amplia que debemos tener sobre seguridad digital en el mundo periodístico. Empieza con los individuos en muchos casos. No creo que las amenazas se vayan. Me gustaría estar equivocado en eso. Pero creo que podemos ir más allá si creamos conciencia de todas estas amenazas. Hay buenas herramientas afuera que pueden proteger a las personas.

—Si pudieras decir algunas palabras a periodistas latinoamericanos o pequeños medios que no están preocupados por estas amenazas, ¿qué les dirías?
Las amenazas al periodismo y a la prensa libre en Latinoamérica están creciendo. No es sólo en el espíritu digital. Es en los espacios físicos. Eso lo vemos. Y los ataques DDoS son algo muy fácil de usar para detenerte de publicar las grandes historias que estás investigando y escribiendo. Y segundo, es muy fácil conseguir protección, ya sea de Project Shield o de algo más. Mi mensaje siempre es: no esperes a ese momento en que tus lectores más te necesiten y te des cuenta de que has sido arrasado por un ataque. Volviendo a la analogía biológica, vacúnate ahora para que cuando tus lectores te necesiten estés disponible.