**Flock: La Nueva Autoridad en la Asignación de CVE y sus Implicaciones en la Ciberseguridad**

En un contexto donde la privacidad y la seguridad pública son cada vez más debatidas, Flock, una empresa que ha estado en el ojo del huracán debido a la controversia en torno al uso indebido de sus productos por parte de las fuerzas del orden, ha obtenido la autoridad para asignar identificadores de vulnerabilidad (CVE) a sus propios productos. Esto la convierte en una Autoridad de Numeración de CVE (CNA), un estatus que le permite clasificar y gestionar internamente las vulnerabilidades de sus sistemas de vigilancia, que incluyen lectores automáticos de matrículas (ALPR) y cámaras impulsadas por inteligencia artificial.

La decisión de Flock de ingresar al grupo selecto de más de 550 CNAs a nivel mundial se presenta como una estrategia para mejorar la respuesta a vulnerabilidades y reducir la confusión generada por entradas duplicadas o conflictivas en la base de datos de CVE. Chris Castaldo, director de seguridad de la información de Flock, declaró que esta medida permitirá a la empresa actuar más rápidamente al recibir reportes de investigadores de seguridad, proporcionando a sus clientes una fuente única y confiable de información sobre la seguridad de sus productos.

No obstante, la compañía enfrenta un escrutinio público y legal significativo debido a preocupaciones sobre la privacidad y el uso indebido de sus tecnologías por parte de las fuerzas policiales. Este entorno adverso ha puesto en entredicho la credibilidad de Flock y podría influir en cómo los investigadores de seguridad perciben su papel como CNA. En este sentido, Katie Moussouris, fundadora y CEO de Luta Security, enfatiza que la efectividad de Flock como CNA dependerá de la precisión y detalle de sus registros, permitiendo a las ciudades y departamentos de policía rastrear riesgos específicos relacionados con versiones de productos y la naturaleza de las vulnerabilidades.

Flock ha optado por no responder preguntas de los medios ni ofrecer ejecutivos para entrevistas, refiriéndose en cambio a una publicación en su blog. En agosto, la empresa lanzó su política de divulgación de vulnerabilidades, y ha creado una página de asesoramiento de seguridad donde publicará todas las vulnerabilidades descubiertas y confirmadas en el futuro.

Investigadores en ciberseguridad, como Zach Edwards, han llevado a cabo análisis técnicos de los productos de Flock y anticipan que algunos continuarán divulgando vulnerabilidades sin coordinación con la empresa. El año pasado, se reportaron múltiples defectos en el sistema de lectura de matrículas y detección de disparos de Flock, que la compañía presentó para inclusión en la National Vulnerability Database, aunque los consideró no materiales debido a que las vulnerabilidades requerían acceso físico al dispositivo.

Moussouris señala que, dado que las cámaras de Flock están instaladas en postes en las calles públicas, la naturaleza de estas vulnerabilidades es especialmente preocupante. La crítica hacia la autoridad CNA se intensifica al considerar que los CNAs "califican sus propias tareas", lo que puede comprometer la confianza si las vulnerabilidades no se abordan de manera adecuada. La experiencia y madurez organizativa de un vendedor son cruciales para una evaluación precisa de los defectos y sus impactos.

Flock también ha establecido restricciones en su política de divulgación de vulnerabilidades, que prohíbe pruebas en implementaciones en vivo de clientes, acceso a datos de fuerzas del orden o investigaciones, ataques físicos, pruebas de denegación de servicio y técnicas de ingeniería social. Cabe destacar que la empresa no cuenta con un programa de recompensas por errores (bug bounty) remunerado.

La singularidad de Flock como CNA radica en que sus productos rastrean los movimientos de los conductores, sus clientes son cuerpos policiales y su política se reserva el derecho de posponer la publicación si considera que la divulgación podría representar un riesgo para la seguridad. Esto plantea una preocupación acerca de un posible abuso de su autoridad y control sobre los CVEs, a menos que la empresa adopte un enfoque más maduro y centrado en la seguridad del cliente, que implique divulgaciones de vulnerabilidades de manera oportuna, transparente y precisa.

Edwards comparte sus reservas respecto a la posición de Flock como CNA, aunque reconoce que muchos otros vendedores, incluidos algunos que ofrecen productos similares, ya forman parte del programa. La falta de normas claras sobre cómo operan los CNAs también es un factor a tener en cuenta, ya que la responsabilidad recae en cada vendedor participante. Algunas empresas con autoridad CNA son muy activas, mientras que otras no han divulgado públicamente vulnerabilidades en años.

El futuro de Flock como CNA y su manejo del programa de CVEs aún está por verse. Edwards argumenta que, si su historia reciente es un indicativo, es probable que enfrenten desafíos significativos que podrían unir a personas en Estados Unidos en un llamado a la reforma en la emisión de CVEs. La evolución de esta situación será crucial no solo para la empresa, sino también para la confianza general en el sistema de gestión de vulnerabilidades en el ámbito de la ciberseguridad.

En conclusión, la reciente adquisición de la autoridad CNA por parte de Flock marca un punto de inflexión en la forma en que las empresas de tecnología de vigilancia pueden gestionar y reportar vulnerabilidades. Este desarrollo resalta la necesidad de un equilibrio entre la innovación tecnológica y la responsabilidad en la gestión de la privacidad y la seguridad pública. Solo el tiempo dirá si Flock podrá mantener la confianza de la comunidad de seguridad y cumplir con las expectativas de transparencia y responsabilidad que se requieren de un CNA.