WordPress planea facilitar la gestión de los consentimientos de cookies mediante una API específica

El miércoles, Garret Hyder, miembro del equipo de desarrollo WordPress publicó que, como parte de la hoja de ruta del equipo de privacidad del core de WP, había comenzado el desarrollo de una API de consentimiento como un plugin destacado por tratarse de una característica importante que introduce cambios o tiene implicaciones significativas.

Solicitó el feedback de la comunidad con sus aportaciones para mejorar la propuesta, sin perjuicio de que, parece que de momento sería la solución intermedia por la que apostar mientras se busca una basada en una una interfaz frontal que cree una experiencia de uso adecuada manteniendo los estándares de la privacidad.

El objetivo con la nueva API sería establecer una forma estándar para que el núcleo, los plugins y los temas de WordPress obtengan el consentimiento de los usuarios, a fin de proporcionar una experiencia coherente y estable a los administradores, desarrolladores y usuarios de todo tipo.

Para ilustrarlo, ponía de relieve los problemas que se tratan de superar, mencionando algunos casos donde la gestión la privacidad y el consentimiento genera complicaciones desde la perspectiva funcional y, por ello, legal.

En este sentido, exponía varias problemáticas:

  • Que actualmente es posible que un plugin de gestión de consentimiento bloquee servicios de terceros como Facebook, Google Maps, Twitter, si un usuario no da su consentimiento. Pero si un plugin de WordPress coloca una cookie PHP, un plugin de gestión de consentimiento no puede evitarlo.
  • También hay plugins de WordPress que integran el código de seguimiento del lado del cliente en archivos javascript que, al ser bloqueados por un plugin de gestión de consentimiento, rompen el sitio. O, si el javascript de tal plugin es minificado, causando que la URL sea irreconocible, no es detectado por un script de bloqueo automático.
  • Por último, el enfoque de bloqueo requiere una lista de todos los tipos de URL que colocan cookies o utilizan otros medios de seguimiento. Una API genérica a la que se adhieran los plugins puede ayudar enormemente a un webmaster a conseguir que un sitio cumpla con la normativa de privacidad porque la API de consentimiento puede ser usada para decidir si un iframe o script debe ser bloqueado.

Transcribimos la mecánica que describe el equipo de WP por la que se recurre a una API para resolver los problemas que crea requerir consentimientos granulares (por territorios nacionales, etc.):

Hay dos indicadores que juntos dicen si se da el consentimiento para una determinada categoría de consentimiento, por ejemplo, “marketing”:

El tipo_de_consentimiento basado en la región, que puede ser “optin”, “opt out” u otros posibles tipos_de_consentimiento;
La elección del visitante: no establecer, permitir o denegar.

El tipo_consentimiento es una función que envuelve un filtro, wp_get_consent_type. Si no hay un plugin de administración de consentimiento para establecerlo, devolverá false. Esto hará que todas las categorías de consentimiento devuelvan true, permitiendo cookies y otros tipos de seguimiento para todas las categorías.

Si se establece un optin usando este filtro, una categoría sólo devolverá true si el valor de la elección del visitante está permitido.

Si el tipo_de_consentimiento basado en la región es opt-out, devolverá true si la elección del visitante no está establecida o está permitida.

En el lado del cliente, un plugin de gestión de consentimientos puede manipular dinámicamente el tipo de consentimiento y establecer las categorías aplicables.

Un plugin puede usar un hook para escuchar los cambios, o comprobar el valor de una categoría determinada.

Algunas integraciones con plugins de cookies serían: Cookiebot y Complianz.

En este link se puede acceder a una demo.

El plugin debería al menos manejar la siguiente funcionalidad:

  • Funciones PHP para establecer el nivel y el tipo de consentimiento.
  • Funciones PHP para recuperar el nivel de consentimiento y el tipo de consentimiento.
  • Funciones Javascript para establecer el nivel de consentimiento.
  • Hook Javascript que se dispara cuando se establece un nivel de consentimiento.
  • Funciones Javascript para recuperar el nivel de consentimiento.

Posteriormente, los siguientes pasos serían:

  • Aumentar el número de usuarios del plugin de características.
  • Añadir otros miembros del equipo de privacidad y desarrolladores principales interesados como colaboradores del plugin.
  • Tener plugins adicionales de gestión de consentimiento de terceros para adoptar la API.
  • Reiterar el desarrollo del plugin de características.
  • Auditar algunos aspectos específicos del plugin de características:
    seguridad
  • normas de codificación y documentación
  • Crear un ticket de trazado para manejar una potencial propuesta de fusión futura – si el plugin de características lo merece.

El plugin de la API de consentimiento de WP se puede descargar desde el portal de plugins de WordPress y su código de desarrollo está disponible en el repositorio del plugin de WordPress en GitHub.

España se une al al proyecto PEPP-PT para trazar con los móviles el comportamiento de los contagios y eso es una buena noticia

App coronavirus

España se ha sumado al proyecto PEPP-PT, en el que participan ocho países europeos con el objetivo de rastrear el coronavirus y eso es una gran noticia.

Justamente veníamos poniendo de manifiesto las dudas que suscitaba la publicación del real-decreto por el que se encargaba a la Secretaría de Estado de Digitalización e Inteligencia Artificial el desarrollo de una aplicación para trazar el coronavirus y citábamos como referencia esta iniciativa a la que ahora se suma nuestro país.

Ciertamente, aún falta información, pero, al menos, España está en una senda de buenas prácticas al apostar por esta iniciativa Paneuropea de Rastreo de Proximidad para la Preservación de la Privacidad (PEPP-PT) que busca conciliar la preservación de la privacidad con una tecnología intrusiva basada en móviles y redes que prevenga y trace los contagios epidémicos.

El despliegue de la tecnología por la que sería posible trazar geolocalizadamente las enfermedades parte de la premisa de que sería completamente anónima, cifrada de punto a punto y también descentralizada, es decir, sin un organismo central que gestione todos los datos de los posibles infectados, de modo que la información no estará almacenada en un servidor central gestionado en exclusiva por un solo país o una empresa, sino que se articulará de forma federada, parece, a través de infraestructuras locales, capaces de comunicarse entre sí.

Además, el desarrollo de la plataforma será open source, software libre, bajo la licencia Mozilla License Agreement, la misma que usa el navegador Firefox de la Fundación Mozilla, lo que es una gran noticia no solo para el mundo Open Source en general, sino para la privacidad en particular.

Efectivamente, aunque lo desarrollaremos más adelante, lo cierto es que el software libre se erige como una garantía fuerte para la privacidad ya que introduce transparencia en el sistema que procesa los datos.

Además, este aspecto, que sea tecnología open source, es bienvenido también porque el Software Libre agiliza y facilita el trabajo conjunto de los países, tal y como solicitaba el propio Supervisor Europeo de Protección de Datos, Wojciech Wiewiorowski, quien pedía una sola aplicación de la UE con una fuerte protección de datos incorporada como mejor solución a la pandemia de coronavirus “No podremos resolverlo sólo con herramientas nacionales”, advirtió, y dijo que la aplicación móvil del Covid-19 debería ser coordinada a nivel europeo.

 

El control de la movilidad de la población y los derechos fundamentales

En un artículo anterior, hacíamos mención a que la aplicación encargada por el gobierno, por Real Decreto, para controlar la movilidad de la población estaba amparada por la propia normativa de privacidad.

Junto a ello, también alertábamos de que debemos desconfiar sanamente de este tipo de medidas, en el sentido de que con una aplicación de este tipo se pueda introducir código troyano para acabar generando un perfil de cada ciudadano que ya no responda a la necesidad de salud pública, sino a una arbitrariedad del Poder Público.

Pues bien, lo dicho se sitúa en línea con lo expuesto de manera más profusa por las autoridades de control europea, nacional y desde instancias como el Consejo General de la Abogacía.

Para resumir, todos ellos reiteran que la normativa de privacidad ampara una recogida de datos masiva de la población en un contexto de urgencia sanitaria.

No puede ser de otro modo puesto que, si bien es cierto que el derecho a la protección de datos personales constituye un derecho fundamental y su ejercicio no puede suspenderse ni durante un estado de excepción, como es el de alarma, tampoco puede entenderse que sea un derecho absoluto, razón por la cual puede condicionarse o limitarse en ciertos aspectos en un supuesto como el actual.

Ahora bien, también por aplicación del derecho europeo, y más concretamente por el Reglamento General de Protección de Datos, que instaura el principio de acceso mínimo a los datos y prevé la seudonimización y anonimización de datos personales como medidas no solo de seguridad sino, casi, como una exclusión de la necesidad de recoger datos personales, cabría plantearse si no existe una alternativa que no resulte intrusiva.

¿Sería posible una funcionalidad que no invadiera la privacidad, pero, al mismo tiempo, cumpliera con el fin y el interés legítimo de monitorizar una serie de procesos individuales en favor del bien común? De ser así, ¿Perdería el gobierno su legitimación para utilizar una tecnología que fuera intrusiva si fuera innecesaria?

Parece ser que la respuesta a la primera pregunta es afirmativa, lo que haría igualmente afirmativa la segunda.

De hecho, la Oficina del Comisionado de Información del Reino Unido, la autoridad de control equivalente en UK a nuestra Agencia Española de Protección de Datos, ha considerado que estas aplicaciones son aceptables siempre y cuando los datos sean anónimos. Esta variable ha sido ratificada, por su parte, por la iniciativa Paneuropea de Rastreo de Proximidad para la Preservación de la Privacidad (PEPP-PT), la cual ha destacado la anonimización como clave para proteger nuestros derechos a la privacidad.

Efectivamente, de acuerdo a lo publicado por Financial Times, los expertos en informática Ari Trachtenberg, Mayank Varia y Ran Canetti plantean que, ciertamente, los teléfonos móviles podrían utilizarse para ayudar a las organizaciones oficiales a rastrear COVID-19, especialmente porque podemos esperar futuras oleadas cuando se levanten las medidas de cuarentena y los cierres, pero, para preservar la privacidad, se adoptaría un enfoque de mínima intrusión.

Para ello, plantean dichos expertos que se podría crear una aplicación que aproveche la tecnología de difusión de corto alcance, como las transmisiones NFC, Bluetooth o SSID, para enviar una identificación generada al azar a los vecinos. Este número de identificación aleatorio cambia en base a un marco de tiempo – que podría ser un minuto, cinco minutos, o todos los días – por lo que el número no es fácilmente rastreable o utilizable para señalar la ubicación de un usuario. Los números se mantienen en los propios dispositivos, junto con las marcas de tiempo, así como cualquier otro número que se haya emitido en las cercanías.

Estos números podrían luego ser enviados a las autoridades y organizaciones médicas, como la Organización Mundial de la Salud (OMS) o los Centros para el Control y la Prevención de Enfermedades de los Estados Unidos (CDC). El dispositivo móvil también podría conectarse a bases de datos y comprobar si un usuario puede haber estado en contacto con un nuevo caso y, por lo tanto, necesita autoaislarse o someterse a pruebas.

El mero planteamiento de una posibilidad así ya debería considerarse. Que sea o no la solución técnica idónea para conciliar salud pública y privacidad, se lo dejamos a los expertos.

Ahora bien, lo más llamativo del Real Decreto publicado por el gobierno para poner en marcha dicha aplicación es justamente lo que no menciona de forma específica: que el desarrollo de la misma debería llevarse a cabo con la anonimización de datos, siempre que ello fuera posible. Y aunque se realiza una mención genérica a que la aplicación cumplirá con la normativa de protección de datos, del Reglamento y de la LOPD, no parece suficiente detalle.

Y es que el Real Decreto debería haberse publicado con más extensión; la intrusión en la privacidad y la consiguiente limitación a un derecho fundamental, así lo merecían.

Y por extensión debe entenderse que debería haberse regulado todo un pliego de condiciones sobre las múltiples cautelas y aspectos que su implementación debe considerar. Obsérvese cómo el Real Decreto refiere expresamente que la “aplicación permitirá la geolocalización del usuario a los solos efectos de verificar que se encuentra en la comunidad autónoma en que declara estar”, es decir, portar la aplicación equivaldrá a una declaración de voluntad auto inculpatoria, nada menos.

Surge, además, otra pregunta ¿Entonces la aplicación solamente va a controlar que nadie salga de su respectiva comunidad autónoma? ¿Qué sentido tiene introducir una medida limitativa tan poco “funcional” si su finalidad es servir para enfrentar la pandemia? Es decir, ¿Estamos ante una aplicación que busca limitar, más bien, la movilidad de los ciudadanos o una que busca estudiar la movilidad de los ciudadanos y sus interacciones para determinar causas, evolución y consecuencias de las mismas desde una perspectiva del contagio? Puesto que parece que, si fuera lo segundo, lo lógico sería que los datos de geolocalización fueran mucho más detallados y no se limitaran a un espacio tan amplio ¿Acaso el estudio que hizo el INE para conocer la movilidad de los ciudadanos no era mucho más localizado al efecto de planificar mejor el transporte y circulación en las regiones y ciudades?

Estas y otras preguntas surgen de una regulación exigua que, en absoluto satisface,  no ya las exigencias de la privacidad sino, incluso, de otros derechos fundamentales como el de la libre circulación, etc.

 

 

Lecciones que podemos aprender de los escándalos de privacidad y seguridad de Zoom

En una entrada anterior, comentábamos las distintas violaciones de privacidad y seguridad de la aplicación de videoconferencia Zoom. Recordemos que en el transcurso de un par de meses, la plataforma ha sido objeto de alertas públicas del FBI, prohibiciones de uso por algunos CEO muy conocidos o por organismos públicos.

Sin embargo, merece la pena sacar algunas conclusiones que podemos extraer de un caso tan paradigmático:

  • Las empresas siguen usando Zoom y, o bien ignoran los problemas de seguridad y privacidad que son notariamente conocidos en relación a la app, o simplemente miran para otro lado. En ambos casos el asunto es grave porque significa que las organizaciones no analizan bien los sistemas en la nube que contratan.
  • Las personas que usan Zoom, a menudo, creen que por poder poner una contraseña que impida el zoombombing el sistema es seguro. Por tanto, ni los particulares ni las personas físicas están bien formados al respecto. Nuevamente, las organizaciones están siendo negligentes al no transmitir la adecuada cultura de privacidad y seguridad.
  • Las organizaciones que siguen usando Zoom no estarían cumpliendo con la normativa de protección de datos personales ya que este servicio en la nube no cumple con los principios legales de privacidad desde el diseño y por defecto.
  • La extrema usabilidad de esta aplicación parece estar por encima de cualquier otra consideración como la privacidad o la seguridad. La adopción de una tecnología es inversamente proporcional a su facilidad de uso, eso lo sabemos, pero existen soluciones más respetuosas con la privacidad y la seguridad con una experiencia de uso equivalente y no se están usando.
  • Una empresa empresa como Zoom que lleva nueve años en el mercado con tales problemas, pues ha estado prestando un servicio que ha permitido acceder a conversaciones ajenas; filtrar datos a través de servidores en China; ceder datos ilegalmente para cruzarlos con las bases de datos de Microsoft en LinkedIn; ceder datos a Facebook; tener fallos de seguridad Zero Day que permitirían secuestrar los equipos;  y que solamente ha sido subsanado cuando terceros ajenos a dicha empresa se han tomado la molestia de comprobar lo que es posible verificar sin tener el código, simplemente no puede ser fiable.
  • Una empresa que había engañado con su política de privacidad declarando primero en sus términos que usaba cifrado de extremo a extremo para luego reconocer, ante denuncias de terceros, que no era cierto que lo hubieran implementado, pone de relieve que la solución tech cuya privacidad no se puede auditar no se puede usar. Los clientes deben usar soluciones Zero Trust y Open Source (Sobre esto hablaremos otro día).
  • Carece de sentido que las empresas estén firmando cláusulas de confidencialidad a sus directivos y empleados para que luego todo lo que hablen a través de plataformas de este tipo pueda ser grabado, escuchado por cualquiera. No tiene sentido tampoco que las empresas hablen de proteger su know how y luego no elijan soluciones que lleven cifrado de extremo a extremo.
  • Las brechas de privacidad generan enormes minusvalías económicas y reputacionales. Zoom ha perdido un tercio de su valor en bolsa tras los escándalos sobre las vulneraciones de privacidad.

 

Paso 2 para mejorar tu privacidad: Cambia de navegador

Navegadores y privacidad

Si queremos proteger nuestra privacidad mientras navegamos, debemos cambiar el navegador que usamos en nuestros dispositivos porque los navegadores dominantes no solo no nos protegen, aunque lo afirmen, sino que están diseñados para rastrearnos.

El navegador con mayor cuota de uso en el mercado es el de Google, con Chrome, luego le siguen Edge e Internet Explorer (solución legacy de compatibilidad para plataformas no adaptadas a navegadores modernos), de Microsoft, y Firefox de la fundación sin ánimo de lucro, Mozilla. A mayor distancia se encontraría Brave, Opera y Safari.

Mi recomendación es elegir Brave o firefox como navegador predeterminado ya que están pensados y configurados con la privacidad como premisa y normalmente por defecto, prácticamente sin tener que hacer ajustes adicionales.

Estos dos navegadores, recomendables a día de hoy, se caracterizan por protegernos de los rastreadores de datos bloqueando algunos de los metadatos que dejamos al navegar; también adoptan medidas de seguridad añadidas para prevenir ataques procedentes de dominios sin cifrado y otras mejoras continuas que realizan al actualizarse.

Así, por ejemplo, Firefox está implementando protecciones como DNS over HTTPS por defecto (ahora mismo solo en los EEUU, pero configurable manualmente en el resto de países) o experimentando con servicios que aumenten la privacidad tejiendo alianzas para llevar el VPN al navegador del usuario (aunque esto también tiene sus riesgos en función de cómo se implemente puesto que el servicio de VPN recibe un gran tráfico de datos personales gracias al embudo que le proporciona el navegador).

Brave, por su parte, está ensayando nuevos métodos para reducir la sombra digital de los usuarios y establece como motor de búsqueda por defecto el de Duck Duck Go, un buscador que plantea su funcionamiento con la privacidad por bandera.

Firefox lo puedes descargar aquí y se instala como cualquier otro programa. Brave lo mismo y lo puedes bajar desde esta dirección.

No obstante lo dicho, el ámbito de los navegadores requiere cierta vigilancia siempre puesto que la oferta de los mismos es muy reducida y los más privados tienen dificultades para cubrir sus altos costes de desarrollo, por lo que buscan modelos de ingresos nuevos en los que la tentación de ceder la privacidad existe siempre. 

Además, estamos viendo cómo los navegadores están empezando a intermediar con los editores y anunciantes para garantizar un modelo publicitario más ponderado y menos invasivo, a cambio de proteger la privacidad de los usuarios. Teóricamente es algo bueno, pero, al mismo tiempo transmiten la idea de que el usuario que quiera una experiencia de navegación limpia tendrá que pagar por los anuncios para no verse invadido por ellos. Con el tiempo se irá viendo si se consigue un equilibrio justo o si no es más que una nueva capa de intermediación para conseguir ingresos, ya que, a día de hoy, la restricción justa de anuncios ya la llevan a cabo las extensiones de bloqueo de anuncios invasivos como uOrigen o Adblock.

En todo caso, de momento, lo mejor es usar Brave o Firefox y, en cambio, abandonar Chrome o Edge, los navegadores que han recibido peor nota desde una perspectiva de privacidad según el último estudio serio, realizado por la Universidad de Trinity College de Dublín.

Comprueba tú mismo cómo te pueden identificar de forma única con tu sombra digital

En un artículo anterior hablábamos de cómo los metadatos generan una peligrosa sombra digital sobre nosotros que permiten a las Big Tech, como grandes brokers de datos, construir enormes silos con expedientes individuales de cada uno que luego usan en provecho propio y perjuicio ajeno, bajo capa de bien.

Los metadatos son datos personales y nos identifican de forma indirecta con la misma seguridad con la que lo hacen los identificadores directos como el nombre y apellidos. Mediante acumulaciones masivas de nuestros datos personales otros construyen enormes bosques digitales con los que trafican a nuestra costa. 

Muchos consideran que la identificación y la autenticación convencionales, basadas en nombre de usuario y contraseñas, podrían ser sustituidas por patrones de comportamiento que, al ser tan exclusivos, nos hacen identificables porque la huella digital que dejamos es única.

Para que te hagas una idea más exacta, como una imagen vale más que mil palabras, puedes testearte tú mismo, activando la casilla de usar una empresa real rastreadora para la prueba, en Panopticlick para que veas tu huella digital.

Después, cuando tengas el resultado, pulsa en “show full results for fingerprinting” y podrás ver la cantidad de parámetros y scripts que se usan por los servicios de terceros para considerar única e inequívoca tu identificación. Se comprueba que con tantos indicios no les hace falta ponernos nombres y apellidos porque ellos ya nos ponen un identificador.

Como venimos diciendo habitualmente, puede que tú no seas suficientemente consciente de lo que valen tus datos, pero otros sí lo son y por eso te rastrean todo lo que pueden. Quieren información sobre cada uno porque la información es poder.

En esta charla en el TEDx que Gary Kovacs, de la Fundación Mozilla, impartió hace años, pero que sigue vigente, demuestra cómo eres seguido por una gran cantidad de servicios cuando entras en una página web llena de trackers.

Si no tienes tiempo para ver la charla entera, que solo dura seis minutos, puedes irte al minuto 2:37 y comprobar en una infografía dinámica creada con Collusion, un plugin del navegador de la fundación Mozilla, Firefox, los trackers que hay en las páginas web, aunque te animo a ello aunque sea aumentando la velocidad del reproductor.

En ella Gary Kovacs subraya que lo relevante sucede cuando yo no doy mi consentimiento a ser seguido; que existe un gran negocio detrás del seguimiento que hace años ya representaba un volumen de miles de miles de millones de dólares y que en dos horas de navegación en sitios de niños ya había un seguimiento por parte de decenas de empresas.

Los trackers son los virus de la privacidad, y hasta que no se prohíban, nos vemos obligados a tomar medidas como configurar bien nuestros navegadores; usar chats cifrados o evaluar las aplicaciones a usar con una perspectiva de privacidad previa.

Día mundial del backup, consejos sobre cómo realizar las copias de seguridad

Hoy día 31 de marzo de 2020 es la Jornada Mundial del Backup, así que no está de más dar algunas pautas sobre este aspecto que afecta a la integridad y accesibilidad de los datos personales.

Según indica dicha web, el 30% de las personas nunca ha hecho una copia de seguridad; 113 móviles se pierden o roban cada minuto; el 29% de los desastres son accidentales; 1 de cada 10 ordenadores es infectado con un virus cada mes.

Como se ve, motivos para hacer copia de seguridad sobran y son graves. Hay que tomárselo en serio.

Sirva esta pieza, si es el caso, para situar un poco mejor algunas prácticas que se producen normalmente en relación a las copias de seguridad que no son del todo correctas por los riesgos que conllevan:

  1. Las copias de seguridad no se deben hacer sobre dispositivos USB. Menos aún si son de publicidad o merchandising. La razón es que tienden a estropearse sin razón aparente alguna. Son volátiles y podemos perder información de alto valor.
  2. Los servicios en la nube de sincronización como Dropbox, OneDrive, Google Drive y otros análogos no son servicios de copia de seguridad ni deben usarse como tales porque generan riesgos que precisamente las copias de seguridad tratan de evitar :
    • Funcionan de forma distinta y se ciñen a un directorio en concreto; todo lo que quede fuera del directorio no queda salvaguardado.
    • Pueden perderse datos por sincronizaciones mal hechas entre dispositivos, por lo que la copia de seguridad de la unidad a salvaguardar seguiría siendo necesaria.
    • Al estar sincronizados, pueden expandir a otros dispositivos sincronizados un contagio de virus y, especialmente, uno de ransomware.
    • Los servicios de sincronización no cuentan con cifrado punto a punto y por defecto. En los casos en que disponen de cifrado, suelen ser, más bien, baúles de cifrado y en versiones premium. En todo caso, los usuarios que utilizan versiones gratuitas no cifradas podrían recurrir a soluciones para encriptar los directorios sincronizados con soluciones del tipo de Cryptomator.
    • Transmiten una confianza ilusoria en la seguridad de los sistemas que los albergan, pese a que, incluso, las propias tecnológicas suelen advertir de que la seguridad de sus sistemas es insuficiente y precaria si no se complementa con medidas perimetrales adicionales por parte del usuario.
    • Problemas de los servicios en la nube como una caída de su servicio  o un fallo general de Internet; un problema con un pago o maletendido con el proveedor, así como una pérdida de credenciales que impidan el acceso a la cuenta, harán inaccesible la información. Recordemos, además, que algunos servicios no guardan los archivos en local, sino únicamente punteros hacia la plataforma cloud.
  3. Normalmente, un planteamiento de copias de seguridad adecuada suele seguir esas pautas:
    • La estrategia de salvaguardia 3,2.1:
      • Existen tres versiones de la información salvaguardada de las que dos son copias de seguridad y una los directorios originales.
      • Dos de las copias de seguridad quedan salvaguardadas en repositorios distintos de la fuente original.
      • Una copia de seguridad queda guardada en una ubicación distinta a los de la fuente original que, incluso, podría ser mediante contratación de un servicio remoto con las debidas cautelas.
    • Las copias de seguridad deberían abarcar no solo la información sino también los programas que la manejan y las claves de seguridad de los mismos, que a menudo son muy importantes, por si hay que restaurarlos y poder mantenerlos en versiones actualizadas. Los mejores backup hacen copia de seguridad, incluso, de todo el sistema operativo.
    • Las copias de seguridad deberían hacerse con software especializado y no mediante copia y pega.
    • Debería cifrarse la copia de seguridad en el proceso de salvaguardia para que llegue al sopoerte receptor ya cifrada.
    • Deben hacerse pruebas de restauraciones y descifrados de la copia de seguridad una o dos veces al año para comprobar que las copias de seguridad se pueden recuperar con normalidad y sin incidencias irreversibles.
    • Los soportes a los que se copien las salvaguardas deberían desconectarse de los puertos del dispositivo fuente, una vez realizadas, al efecto de evitar contagios de virus tipo ransomware o de otro tipo que pudiera corromper la información a preservar.
    • Las copias de seguridad deben programarse para que se realicen de forma sistemática sin falta, lo cual se puede combinar con cierta automatización que sea compatible con poder desconectar los soportes de salvaguardado tras procesar la copia.

 

La app que prepara el gobierno en relación al coronavirus y las cautelas con que debería realizarse

El día 28 de marzo se publicó en el BOE la Orden SND/297/2020, de 27 de marzo, por la que se encomienda a la Secretaría de Estado de Digitalización e Inteligencia Artificial, del Ministerio de Asuntos Económicos y Transformación Digital, el desarrollo de diversas actuaciones para la gestión de la crisis sanitaria ocasionada por el COVID-19.

Esta orden regula, en su artículo segundo, denominado “DataCOVID-19: estudio de la movilidad aplicada a la crisis sanitaria” la encomienda a la Secretaría de Estado de Digitalización e Inteligencia Artificial, del Ministerio de Asuntos Económicos y Transformación Digital, el análisis de la movilidad de las personas en los días previos y durante el confinamiento.

Para ello establece que se seguirá el modelo emprendido por el Instituto Nacional de Estadística en su estudio de movilidad hace unos meses y a través del cruce de datos de los operadores móviles, de manera agregada y anonimizada.

Además, como no podía ser de otro modo, en todo momento se velará por el cumplimiento de RGPD y la LOPD vigentes, siendo designado el Instituto Nacional de Estadística como responsable del tratamiento y a las operadoras como encargados.

Destaca que se autoriza al INE a contratar subencargados directamente para que le auxilien en la ejecución del proyecto.

Por lo tanto, la iniciativa no servirá para controlar cómo se cumple el Estado de Alarma, como se ha dicho, sino para obtener información sobre qué movilidad existió de forma previa al estado excepcional y qué movilidad existe durante su vigencia, a fin, entendemos, de cruzar datos con las estadísticas sobre infectados, recuperados y fallecidos que permitan tener una radiografía sobre ciertas variables que pueden influir en la propagación del virus.

Como decimos, la medida adoptada no puede permitir controlar el cumplimiento del estado de alarma de ningún modo, puesto que los datos son agregados y anonimizados; de modo que resultaría imposible conocer la geolocalización de individuos concretos, la cual parece haberse reservado única y exclusivamente para la app en la que se registrarán las personas infectadas y que se regula en el artículo primero.

Efectivamente, el artículo primero de la norma, en cambio, establece la encomienda del desarrollo de una aplicación que permita, al menos:

  1. Realizar al usuario la autoevaluación en base a los síntomas médicos que comunique; Ofrecer información al usuario sobre el COVID-19;
  2. Proporcionar al usuario consejos prácticos y recomendaciones de acciones a seguir según la evaluación y;
  3. La geolocalización del usuario, supuestamente infectado, a los solos efectos de verificar que se encuentra en la comunidad autónoma en que declara estar.

Destaca que la dicción literal de la referida orden no regula que se obligará a los usuarios a usarla, sino que permitirá realizar esas funciones. Se trata, por tanto, de una norma que establece los requerimientos de las funciones de la aplicación únicamente.

Si embargo, podemos esperar otra norma reglamentaria que finalmente imponga dicho control como una obligación y no con carácter facultativo.

Podríamos darle un margen de confianza al gobierno, pero, visto lo visto, lo más lógico es esperar que se incoe dicha medida que, por otra parte, parece totalmente razonable. Veremos cómo se implementa y si no se aprovecha para otras cosas.

Desde aquí apuntamos a que, dada la grave intrusión en los móviles personales que esta aplicación puede tener, el código de la aplicación no solamente debería ser libre, sino que debería ser públicamente auditable por terceros ante el riesgo de que se filtre código espía que se extralimite de la finalidad coyuntural. Esto es, la posibilidad de que incluso desinstalando la aplicación tras finalizar las medidas excepcionales, quede código residual troyano en los móviles que permita al gobierno, las operadoras y los terceros intervinientes en su desarrollo espiar después a los ciudadanos.

Lo que proponemos, además, iría no solo en línea con el movimiento de Open Data, sino que también sería conforme con la exigible transparencia a la administración, como ya venía reclamándose con relación a otras iniciativas. A más intervencionismo mayores deben ser las garantías y la transparencia.

Conceptos de privacidad: Tu sombra digital, qué es y por qué es tan importante

Digital Shadow

Permítanme una pequeña historia real previa. En una noticia reciente, se conoció la sufrida experiencia real de Zachary McCoy, un ciudadano estado unidense que había recibido un mail de Google que le informaba de que la policía local había exigido  a la compañía información relacionada con su cuenta de Google. La compañía le indicó que cedería sus datos a menos que él fuera al juzgado corte y alegara para evitarlo, para lo cual disponía de un plazo de tan sólo siete días.

Zachary McCoy tenía un teléfono Android, que no puede funcionar sin una cuenta de Google, y, además, usaba múltiples servicios de Google gratuitos a cambio de sus datos, incluyendo Gmail, Google Maps o YouTube.

McCoy, alarmado, se informó y averiguó que su perfil formaba parte de una investigación sobre un robo en la casa de una anciana que había tenido lugar 10 meses antes. El crimen había ocurrido a menos de un kilómetro y medio de la casa que McCoy compartía con otras dos personas.

Tras encargar asesoramiento a un abogado supo que la notificación había sido motivada por una “orden de geocerca”, una herramienta de vigilancia policial que hace un barrido virtual de las escenas del crimen, explorando todos los datos de localización de Google -sacados de las conexiones GPS, Bluetooth, Wi-Fi y celulares de los usuarios- de todas las personas en un determinado rango de espacio y tiempo.

Para poder hacer alegaciones, primero comprobó dónde estaba él el día y horas de los hechos, por lo que comprobó el historial de su teléfono, en concreto, el de RunKeeper, su app para trazar los recorridos que hacía. La aplicación se basaba en los servicios de localización de su teléfono que, a su vez, nutría con sus datos los servidores de Google que los dejaba registrados. Pudo establecer que el día de autos él había pasado por la casa de la víctima tres veces en una hora, lo cual era parte de sus rutinas habituales.

El caso es que, cuatro días después de denunciar el crimen, la policía había solicitado a un Juez de Instrucción que requiriera datos de geolocalización a Google para que esta facilitara los registros de todos los dispositivos que usaban los servicios de Google que habían estado cerca de la casa de la mujer cuando se pensó que el robo había tenido lugar. El primer lote de datos no incluiría ninguna información de identificación. La policía buscaba dispositivos que parecieran sospechosos y pedía a Google los nombres de los datos anónimos sobre los que tenía sospechas.

Esta persona estaba en la escena del crimen sin saberlo y la consideraron posible sospechosa porque “pasaba por allí”. Pero, lo relevante es que el usuario no sabía que él dejaba todo un rastro de datos que recopilaba Google y que los cedía de forma involuntaria.

Con menos indicios ha habido personas que han entrado en el tortuoso sistema judicial de los EEUU. Sirva el susto relatado para ilustrar lo que se llama sombra digital. Ya en un artículo anterior comentamos sobre el concepto huella digital, como toda aquella impronta digital que deja el usuario voluntariamente cuando interactúa en el ámbito digital; bien  sea Internet, bien sean las aplicaciones conectadas y dejamos apuntado que había otro concepto más amplio, como es el de la sombra digital.

Pues bien, la sombra digital es toda la información personal de la que dejamos rastro sin darnos cuenta cuando interactuamos en el mundo digital. Ámbito digital que ya no es solo el Internet visible, lo es también todo lo que está conectado a la red y que está integrado por apps móviles y por lo que se ha dado en llamar el Internet of Things (IoT), tal como los electrodomésticos inteligentes; los dispositivos de vigilancia y acceso biométricos o los altavoces dotados de inteligencia artificial.

Todas estas interacciones dejan un rastro digital integrado por nombres en ficheros financieros, identificadores en listas de correos, historiales de navegación web; imágenes obtenidas por cámaras de seguridad en aeropuertos y centros urbanos, etc. Actualmente, tu sombra digital es mayor que la información digital que generas de forma activa sobre ti mismo.

Podría pensarse que la historia relatada al inicio es un caso extremo, excepcional, algo que nunca nos sucederá. Sin embargo, ¿qué pasaría si todo el historial de tus cookies, revendido por las apps y navegadores como Chrome, se cede a entidades de crédito, aseguradoras, empresas de procesos de selección y otras plataformas que luego tendrán repercusión en tu vida? ¿Qué sucedería si te negaran una hipoteca porque tienen datos tuyos de que has ido varias veces a una clínica oncológica? ¿Qué sucedería si te subieran el precio de tu póliza porque los datos de tu aplicación para correr indican que podrías tener una cardiopatía que ni siquiera conoces? ¿Qué sucedería si en los procesos de selección no das el perfil porque tus metadatos hacen pensar que si has visitado repetidas veces una clínica de fertilidad es porque te quieres quedar embarazada?

Todo esto ya está sucediendo, no es ninguna broma y por eso están apareciendo nuevos derechos digitales que nunca se habrían imaginado. Estos nuevos derechos son una parte de la respuesta a esas preguntas, pero son la parte reactiva; la respuesta proactiva debería ser ¿Qué podemos hacer para reducir nuestra sombra digital? Pues, entre otras cosas, podemos aprender a gestionarla para reducirla paso a paso.

 

 

Zoom, la aplicación de moda durante la pandemia que no deberías usar [Actualizado]

En esta coyuntura de la pandemia del Covid-19, tanto trabajar en remoto como romper el aislamiento social fruto de la reclusión ha hecho que se recurran a herramientas de video conferencia.

La herramienta de referencia en los últimos años simpre ha sido Skype. Últimamente destaca una plataforma que se llama Zoom. Sin embargo, Zoom no debería usarse porque no protege la intimidad profesional ni personal.

Zoom realiza un excesivo control sobre los participantes de las videollamadas que podría vulnerar el derecho a la intimidad del trabajador, así como su derecho a que no se recojan de él más datos que los imprescindibles.

A nivel profesional, Zoom permite a los empleadores rastrear la atención de los empleados durante las llamadas. Así es, cuando se usa para compartir pantalla, la plataforma avisa al organizador de la llamada cuando alguien no tiene el cliente de escritorio o la aplicación móvil en foco por más de 30 segundos, lo cual puede suceder con cierta frecuencia porque se puede haber minimizado para tomar notas, revisar un correo electrónico del que se está hablando o responder a una pregunta en otra aplicación.

Zoom recoge abundantes cantidades de datos que comparte y recopila con terceros.

Por otra parte, según la política de privacidad de la empresa, Zoom recoge múltiples  datos sobre el usuario, tales como: nombre, dirección física, dirección de correo electrónico, número de teléfono, puesto de trabajo, empleador.

Incluso si no te registras en Zoom, pero lo usas, este recogerá y guardará datos sobre el tipo de dispositivo que usas al conectarte y la dirección IP desde la que lo haces. También recopila información del perfil de Facebook (si utilizas Facebook para iniciar sesión) y cualquier “información que cargue, proporcione o cree mientras utiliza el servicio”.

Una aplicación que se expresa con absoluta ambigüedad en su política de privacidad ya debe hacernos sospechar. En su site se puede leer “¿Vende Zoom datos personales?” la política dice: “Depende de lo que entienda por ‘vender'” y luego vienen a decir que no venden datos personales por dinero a terceros, pero sí comparten datos personales con terceros para los “fines comerciales” de esas empresas.

En su política de privacidad, afirma que puede transferir tu información personal a Google, el traficante de datos personales por excelencia. ¿Por qué tendría que tener Google datos personales de una video llamada? ¿Son de análisis? ¿Son las conversaciones? ¿Son otros metadatos?

Además, se ha sabido que la aplicación Zoom hecha para iOS comparte una cantidad sustancial de datos del usuario con Facebook, incluso aunque el usuario no tenga una cuenta en la red social. ¿Para qué necesita Facebook estos datos? ¿Están anonimizados?

Estos datos incluyen la hora en que se abre la aplicación, detalles sobre el dispositivo que está utilizando, la zona horaria y la ciudad desde la que se está conectando, el proveedor de telefonía que está utilizando y el identificador único del anunciante de su dispositivo. Zoom no menciona el envío de datos a Facebook en ninguna parte de su política de privacidad.

Finalmente, por si lo anterior fuera poco, la seguridad de la aplicación ha quedado en entredicho y Zoom ha sido denunciada oficialmente por el Centro de Información de Privacidad Electrónica de la FTC  alegando que intencionadamente diseñó su servicio de conferencias web para evadir los ajustes de seguridad del navegador y habilitar remotamente la cámara web del usuario sin su conocimiento ni consentimiento.

Cuando se elige una herramienta, el primer criterio no debe ser si es muy fácil de usar;  o si tiene un diseño impecable o es gratuita. Eso nos puede valer para hacer una primera selección de búsqueda, pero, una vez ello, para decidir, el primer filtro para elegir una app debe ser si respeta la privadad y una vez se valida que sea cumplidora, se evalúan los demás criterios para optar por la que más interese.

¿Cómo podemos mantener video conferencias encriptadas? Podemos optar por usar soluciones como Wire que permite llamadas múltiples y están cifradas de punto a punto. Otras opciones accesibles y respetuosas con la privacidad son jitsi.org que se puede usar directamente (con llamadas cifradas punto a punto en las individuales) o instalar en servidor propio de fácilmente [Actualizado 2020/04/10 Es la aplicación que está usando el gobierno para hacer videoconferencias]. Otra opción muy recomendable por su versatilidad es recurrir a Riot. Finalmente, podemos usar una solución carente intermediario donde la comunicación se produce de dispositivo a dispositivo (peer-to-peer o p2p), robusta y veterana como Tox.

Actualización [2020/03/31]

En las últimas horas se ha conocido que Zoom no utiliza cifrado de extremo a extremo en sus comunicaciones, por lo que pueden ser accedidas por la empresa e interceptadas por terceros.

De acuerdo a la información publicada por The Intercept, los responsables de la compañía reconocen que han venido mintiendo sobre esta esencial característica por cuanto en su libro blanco así lo afirmaban: “Actualmente no es posible habilitar la encriptación E2E (de extremo a extremo) para las reuniones de vídeo de Zoom. Las videoconferencias de Zoom utilizan una combinación de TCP y UDP. Las conexiones TCP se hacen usando TLS y las conexiones UDP se encriptan con AES usando una clave negociada sobre una conexión TLS”.

En efecto, en el libro blanco de Zoom, la empresa hacía una serie de afirmaciones falsas en tal sentido al indicar la existencia de una relación de “capacidades de seguridad previas a la reunión” que están disponibles para el anfitrión de la reunión que comienza con “Habilitar una reunión cifrada de extremo a extremo (E2E)”; “Asegurar una reunión con encriptación E2E” como una “capacidad de seguridad durante la reunión” que está disponible para los anfitriones de la misma; ó cuando un anfitrión inicia una reunión con el ajuste “Requerir cifrado para puntos finales de terceros” activado, los participantes ven un candado verde que dice: “Zoom está utilizando una conexión cifrada de extremo a extremo” cuando pasan el ratón por encima de ella.

Actualización [2020/04/01]

Actualización [2020/04/04]

  • Elon Musk prohíbe a sus empleados usar Zoom debido a sus problemas de seguridads.
  • El FBI lanza una alerta sobre Zoom.
  • Nueva falla de seguridad de Zoom pone al descubierto miles de videoconferencias sobre terapia, Know How empresarial e información confidencial.
  • Una función de prospección de ventas de Zoom permitía a ciertos usuarios tener acceso a los perfiles de LinkedIn de otras personas durante una reunión sin notificárselo. Un análisis de The New York Times descubrió que cuando la gente se inscribía en una reunión, el software de Zoom enviaba automáticamente sus nombres y direcciones de correo electrónico a un sistema de la empresa que utilizaba para relacionarlos con sus perfiles de LinkedIn.
  • De acuerdo a este estudio, Zoom envía datos de credenciales a servidores chinos y tiene importantes fallos de encriptación incluso cuando se aplica.En efecto, parece que, si bien Zoom tiene su sede en los Estados Unidos y figura en el NASDAQ, la aplicación principal de Zoom parece haber sido desarrollada por tres empresas en China, todas las cuales tienen el nombre 软视软件 (“Ruanshi Software”). Dos de las tres empresas son propiedad de Zoom, mientras que una es propiedad de una entidad llamada 美国云视频软件技术有限公司 (“American Cloud Video Software Technology Co., Ltd.”) Los puestos de trabajo para Ruanshi Software en Suzhou incluyen puestos vacantes para codificadores de C++, desarrolladores de aplicaciones Android e iOS e ingenieros de pruebas. Además, el escaneo que se realizó mostró un total de cinco servidores en China y 68 en los Estados Unidos que aparentemente ejecutan el mismo software de servidor Zoom que el servidor de Beijing. Se sospecha que las claves pueden ser distribuidas a través de estos servidores. Una empresa que a veces distribuye claves de encriptación a través de servidores en China es potencialmente preocupante, dado que Zoom puede estar legalmente obligada a revelar estas claves a las autoridades en China.

Actualización [2020/04/07]

Actualización [2020/04/08]

  • Google prohíbe a sus empleados usar Zoom. Suponemos que entre los empleados usarán las soluciones propias de videoconferencia de Google y que el uso de Zoom sería con terceros, a iniciativa de los mismos.

Actualización [2020/04/09]

Actualización [2020/04/09]