Yahoo Finanzas El rastreo de Google y Apple podría convertir a los enfermos en parias: "Da mucho miedo"
Apple (APPL) y Google (GOOG, GOOGL) de Alphabet dicen que la privacidad y la seguridad es lo primero que tienen en mente en su colaboración para que las app de “rastreo de contactos” puedan funcionar en dispositivos móviles iOS y Android para contener el nuevo coronavirus. Sin embargo, expertos en telecomunicaciones y seguridad cibernética dicen que la tecnología podría no proteger por completo a los usuarios, lo que plantea posibles escenarios en los que las identidades de las personas infectadas quedarían expuestas.
La tecnología prevista en el plan está diseñada para usar la funcionalidad estándar de Bluetooth de baja potencia en los sistemas operativos de teléfonos iPhone y Android. Ambas empresas proponen que mientras el Bluetooth de un teléfono móvil permanezca encendido y habilitado, se pueda intercambiar información sobre el estado de los positivos de COVID-19 en teléfonos situados entre 3 metros y 4,5 metros de distancia el uno del otro a través de una “baliza”.
De acuerdo a Ben Levitan, un experimentado ingeniero en telecomunicaciones, los cuestionamientos sobre la privacidad radican en la dificultad de establecer una distancia de seguimiento efectiva y un lapso de tiempo desde que el dispositivo detecta que el dispositivo de un usuario infectado está cerca hasta que se recibe la notificación que advierte de esa proximidad.
“La única forma de solucionarlo es crear un área de notificación que sea bastante amplia”, dijo Levitan, quien explicó que dicha solución podría hacer que el seguimiento sea menos eficaz. “Si me envías notificaciones cuando una persona está a menos de tres metros, la estás marcando con la letra escarlata. Puede que haya perdido su privacidad, pero es muy valioso para mí. Sin embargo, si se configuran los parámetros para que notifique a menos 1,6 kilómetros, entonces es inútil para todos”.
Así funciona el rastreo de Google y Apple a enfermos
La tecnología requiere dos niveles de cooperación voluntaria: primero, por parte de los usuarios que introducirán voluntariamente su diagnóstico positivo en la app y que aceptarán que su estado se haya “balizado” de forma anónima por la app de la autoridad sanitaria competente, y, segundo, por parte de los usuarios que acepten recibir notificaciones si su dispositivo móvil se acerca a uno que esté identificado como positivo de COVID-19.
Un portavoz de Apple explicó que los dispositivos móviles pueden estar atentos a estas “situaciones de proximidad” y luego permitir que las apps se lo notifiquen a los usuarios cuyos dispositivos hayan entrado en contacto con usuarios positivos de COVID-19. Las notificaciones se generan para los contactos de proximidad ocurridos en los últimos 14 días. Si bien la información no permite a los usuarios evitar entrar en contacto con usuarios positivos de COVID y, por tanto, no los protege frente a un contacto de alto riesgo, sí que advierte a los usuarios después del evento para que busquen un tratamiento apropiado, se hagan las pruebas y se pongan en cuarentena si se han cruzado con un dispositivo cuyo usuario tenga el estado de positivo en COVID-19.
Durante una rueda de prensa celebrada el lunes, representantes de Google y Apple dijeron que los datos se almacenan localmente en el dispositivo del usuario, por lo que no se requiere recopilar o compartir la ubicación ni otra información identificativa. La información de la baliza se sube al servidor local y se guarda durante 14 días para que los dispositivos que estén ejecutando una app que forme parte del programa accedan a ella.
Según el experto en seguridad cibernética y profesor adjunto de Tecnología y Gestión de la Información en el Instituto Tecnológico de Illinois, Louis J. McHugh IV, a cada usuario de la app se le asigna un número identificativo único para su dispositivo. Cuando la app está activa, el número ID es encriptado mediante cifrado unidireccional de tres envíos.
“De acuerdo al borrador, todo pasa por una base de datos central que realiza un seguimiento de todas las personas que conocemos”, dijo McHugh.
Incontables situaciones en las que la identidad del usuario se hace evidente
Si bien los gigantes tecnológicos dicen que la privacidad sigue siendo lo primero que tienen en mente, la arquitectura de la app, tal y como se describe, podría no garantizar un anonimato total.
Como ejemplo, imagina a un usuario de la app que camina durante 30 minutos y solo ve a una persona. Si se notifica al usuario la proximidad de un positivo antes de que entre en contacto con otra gente y este no ha entrado en contacto con alguien a una distancia equivalente a la del alcance del Bluetooth durante las últimas dos semanas, entonces podría revelarse la identidad de la persona con positivo en COVID-19. Esta situación es solo una de las incontables posibilidades en las que se podría deducir la identidad de un usuario que haya dado positivo en COVID-19.
“Esa idea da mucho miedo”, dijo McHugh, quien explicó que la mayor o menor dificultad para identificar a una persona que haya dado positivo en COVID-19 dependerá de cómo se desarrolle la aplicación, ya sea fijándose solo en los contactos pasados o mediante un monitoreo activo. “Si estoy señalado con esta letra escarlata y camino por el parque con mi perro, ¿se notifica a todo el mundo mientras estoy caminando?”.
Ninguna de las compañías ha abordado el tema de cuánto tiempo tardará en enviarse la notificación al usuario de la app una vez ocurrido el contacto de proximidad.
Obstáculos para que la tecnología llegue siquiera a funcionar
Levitan, quien se ha dedicado durante 30 años a desarrollar redes de telefonía móvil por todo el mundo para la empresa matriz de Yahoo Finance, Verizon, Sprint, y otras, dijo que es poco probable que se alcance el nivel de cooperación requerido. Señala varios factores que juegan en contra de la adopción de esta tecnología.
Dijo que además del obstáculo menor de tener que mantener el Bluetooth activado constantemente y los teléfonos móviles encendidos, también hay obstáculos emocionales.
“Pienso que si tuviera la COVID-19 y quisiera salir, para comprar algo de comida ‒incluso caminar por la playa‒, de repente los teléfonos de la gente echarían fuego y huirían de mí corriendo, yo me cansaría de ser un paria y apagaría mi teléfono”, dijo.
“Y a menos que apagar tu teléfono sea delito o que sea delito no informar de tu positivo, como se hace con los delincuentes sexuales, y que tus vecinos te repudien porque estás incluido en una base de datos”, dijo, entonces será difícil lograr la colaboración necesaria para que el nuevo software ayude a reducir la transmisión.
“Es bastante draconiano”.
Para que la tecnología funcione, como mínimo, McHugh dijo que se tendría que recopilar información sobre la fecha y la hora. “¿Quién posee datos de esos 14 días?” preguntó.
El hecho de que la tecnología no use datos de ubicación, según McHugh, es positivo. Sin embargo, advirtió, Google y Apple no han explicado qué información personal ‒como nombres, direcciones, números de teléfono‒ se recopilará, qué requisitos establecerán y con cuáles se quedarán los desarrolladores y las agencias que dirigen las apps.
“Creo que el gran problema es que el negocio es tener la app y que introduzcamos nuestra información. Ese es el quid de la cuestión”, dijo McHugh.
Además, McHugh dijo que la tecnología Bluetooth no es ideal para estar conectada permanentemente en el teléfono, lo cual es necesario para que el software de seguimiento sea eficaz.
“Es por eso que [Google y Apple] tuvieron que usar cifrado”, dijo McHugh. “Si vieras la lista de ataques a los que eres vulnerable con el Bluetooth, no lo volverías a usar nunca. Existen numerosos factores de ataque con infraestructura del Bluetooth porque este, desafortunadamente, es inherentemente inseguro”. Una violación de la seguridad del Bluetooth puede comprometer archivos, fotos, registros de llamadas, contactos y la mayoría de datos almacenados en el dispositivo, con excepción de la información encriptada, dijo.
Ante la pregunta de si los datos almacenados en los servidores del sistema pueden verse vulnerados, Apple y Google admitieron que se pueden producir ataques a pesar de su esfuerzo para evitarlo. También insistieron en que la naturaleza descentralizada del proceso de guardado ‒datos guardados localmente en dispositivos individuales y entre múltiples servidores‒ desincentivaría los intentos de infiltrarse para acceder a esa información, ya que sería difícil y costoso.
Sin precedentes en Estados Unidos
Durante la Fase 1 de implementación, Apple y Google planean actualizar los sistemas operativos de los dispositivos iOS y Android y proporcionar las funcionalidades que los desarrolladores de apps necesitan para crearlas. Los usuarios necesitarían iniciar la descarga para usar la app ofrecida por su agencia regional de salud.
Durante la Fase 2, las empresas planean otra actualización de los sistemas operativos con la que se preinstalará una interfaz de usuario incorporada que permitirá a los usuarios de dispositivos iPhone y Android comenzar a usar las app antes de instalarlas. Lo que justifica la preinstalación es, según dijeron, el hecho de que reduce las barreras para llegar a más gente que las puedan usar. Una vez desarrolladas, las app permanecerán sometidas a la autoridad de las agencias regionales de salud pública.
Incluso sin sanciones penales o civiles formales, tipos de software como este no se han implementado nunca antes en Estados Unidos y, por tanto, no existen precedentes sobre cómo podría usarse esa información contra sus usuarios. La mayoría de estados del país tienen leyes que penalizan con cárcel la transmisión intencionada o imprudente de enfermedades infecciosas, como las enfermedades de transmisión sexual. Los estatutos federales también prevén la pena de cárcel por saltarse la orden de permanecer en cuarentena.
Integrar el software en los sistemas operativos de los dispositivos móviles podría ser un “callejón sin salida”, dijo McHugh. “¿Me van a impedir apagar el Bluetooth? Porque sé que cuando no uso el Bluetooth, lo apago”, dijo.
Jeremy Hajek, colega de McHugh en el Instituto Tecnológico de Illinois, dijo que debido a que los dispositivos Apple representan cerca del 20 % de dispositivos móviles en todo el mundo y los dispositivos Android de Google representan en torno al 80 %, si la app de rastreo está preinstalada, entonces podría funcionar en el 100 % de dispositivos del mundo.
“‘Pienso que hay gente en Apple y Google que realmente quiere ayudar y dice: ‘Hola, tenemos esta enorme cantidad de poder: la CIA no lo puede hacer, el ejército no lo puede hacer, pero nosotros sí podemos’”, dijo Hajek. Entonces, dijo, cuando se implementa una tecnología como esta, surge la pregunta de si se extenderá gradualmente a otros sectores.
“¿Crees que este sistema desaparecerá el día después de que se declare el final de la COVID-19?”, preguntó Levitan.
“Valoro el trabajo que están haciendo dos empresas competidoras en tiempos difíciles para, seamos sinceros, para toda la humanidad”, dijo McHugh. “Tenemos que ser coherentes con los riesgos de privacidad y seguridad en su conjunto y que no sea solo por el apuro de sacar eso al mercado”.
Alexis Keenan
