Mostrando entradas con la etiqueta cíberseguridad. Mostrar todas las entradas
Mostrando entradas con la etiqueta cíberseguridad. Mostrar todas las entradas

domingo, 3 de noviembre de 2019

Tranquilo, nadie te vigila o respetamos tu privacidad

Joaquín Mª Aguirre (UCM)
No sé hasta qué punto somos conscientes del mundo que hemos creado a nuestro alrededor, lo que supone vivir en un mundo híper conectado de redes y datos, de registros de actividades y huellas digitales. No es ya que seamos "vigilados" por unas tecnologías orwellianas, por "grandes hermanos"; eso quedó superado por nuestra capacidad para ordenar los espacios caóticos de los datos perfilándolos hasta hacerlos coincidir con nosotros mismos o también por el registro de actividades. Nuestros televisores almacenan y transmiten nuestros movimientos selectivos, los programas que nos gustan, creando nuestros perfiles. El tapado de los ojos de las cámaras que conectamos a ellos viene ya de fábrica y no tenemos constancia de que la comodidad de poder darle órdenes de viva voz no implique demasiada información al exterior, es decir, que lo que el micrófono recoja sea algo más que las órdenes de subir el volumen o cambiar de canal.
Los teléfonos pueden estar abiertos transmitiendo información desde nuestros teléfonos y lo hacen de nuestros movimientos a través de la geolocalización, algo que será aprovechado por el Instituto Nacional de Estadística, como tratábamos hace unos días aquí, para saber nuestros "movimientos". Por ello pagará una buena cantidad a nuestras compañías telefónicas. La reacción de los usuarios en los medios ha sido bastante negativa, pero eso es por parte de quienes lo manifiestan, que tampoco son muchos en comparación con el total.


Hay otro elemento que se ha introducido en nuestras casas, los asistentes, de cuyo nivel de intromisión en nuestras vidas no tenemos un conocimiento claro. Ya ha habido casos en los que han quedado grabadas conversaciones de las personas en la sala. No solo las instrucciones y, como suele ocurrir, es lo más pintoresco lo que sale, como declaraciones de los que escuchan para verificar la eficiencia del sistema sobre adulterios y otros casos en las casas "vacías". La idea de que no hay nadie en casa queda convertida en una peligrosa ilusión, ya que lo que ocurre está siendo "escuchado" desde unos sistemas abiertos conectados al conjunto de nuestro espacio. ¿Qué otra cosa es la "Internet de las cosas" más que un sensor absoluto de nuestra vida?
En marzo de este año, The Guardian publicó un artículo titulado "Smart talking: are our devices threatening our privacy?"*. Era un extracto de la obra de James Vlahos, "Talk to Me: Apple, Google, Amazon and the Race for Voice-Controlled AI", anticipando la publicación del libro. En el texto se hace un repaso de lo que supone la introducción en los hogares (o llevar encima) dispositivos inteligentes que transforman nuestra vida y entorno en datos. En el artículo se explica:

There are a number of ways in which home devices could be used that challenge our ideas of privacy. One is eavesdropping to improve quality. Hello Barbie’s digital ears perk up when you press her glittering belt buckle. Saying the phrase “OK, Google” wakes up that company’s devices. Amazon’s Alexa likes to hear her name. But once listening is initiated, what happens next?
Sources at Apple, which prides itself on safeguarding privacy, say that Siri tries to satisfy as many requests as possible directly on the user’s iPhone or HomePod. If an utterance needs to be shipped off to the cloud for additional analysis, it is tagged with a coded identifier rather than a user’s actual name. Utterances are saved for six months so the speech recognition system can learn to better understand the person’s voice. After that, another copy is saved, now stripped of its identifier, for help with improving Siri for up to two years.
Most other companies do not emphasise local processing and instead always stream audio to the cloud, where more powerful computational resources await. Computers then attempt to divine the user’s intent and fulfil it. After that happens the companies could then erase the request and the system’s response, but they typically don’t. The reason is data. In conversational AI, the more data you have, the better.*



Cada vez que pasamos a una página web, esta nos ofrece una declaración de amor en la que expresa que se queda con nuestros datos para que "tengamos una mejor experiencia" o "lo preocupada que está por nuestra privacidad". No son más que excusas para quedarse con nuestros datos de navegación y lo que es peor, quedarse en el interior de nuestro ordenador con intenciones —siempre por nuestro bien— poco claras y desde luego desconocidas para el que sirve de alojamiento. Esto lo están haciendo hasta los diarios que realizan campañas en contra de la invasión de la privacidad en un ejercicio de esquizofrenia o de hipocresía verdaderamente insólito. Pero es indicativo de esta situación de control en la que parece que, por una causa u otra, todos tienen derecho a introducirse en nuestras vidas y almacenar datos de diferente tipo. Somos la nueva materia prima en esta sociedad de la información. Somos el bosque, el mar, la mina... de donde sale la riqueza que otros hacen con ello, analizando, vendiendo y revendiendo a todo el que quiera comprar los datos para hacer con ellos su propio negocio. Por definición, la información es inagotable, solo puede quedar "obsoleta", es decir, ser cada vez menos representativa del universo que la produce. Mientras lo sea, su valor es enorme para aquellos que saben cómo explotar nuestros datos. Siempre nos dirán que son anónimos en un océano de datos, pero lo cierto es que entre la "persona" y el "océano" el paso es sencillo y la tentación grande.


Somos conscientes de lo que puede estar ocurriendo cuando salta a la prensa algún caso que involucra a los asistentes. The Washington Post trae hoy mismo a los titulares el siguiente caso "Police think Amazon’s Alexa may have information on a fatal stabbing case".** Este tipo de casos tienen el doble interés del caso en sí, la resolución de crímenes, junto con la demostración de los problemas legales que se plantean.

On the night of July 12, Adam Reechard Crespo and his girlfriend, Silvia Galva, got into a fight in the bedroom of his condominium, the South Florida Sun Sentinel reported. The argument ended with the blade of a spear protruding from Galva’s chest, and Crespo has been charged with murder.
A friend of Galva’s reportedly told authorities she overheard the pair arguing in the bedroom, but police wanted to hear from another source: Alexa.
Police in Hallandale Beach, Fla., have obtained a warrant for recordings from Amazon Echo devices they say were in the house at the time of Galva’s death, the Sentinel reported.
The devices allow users to instruct a virtual assistant, referred to as Alexa, to perform commands such as playing music or reading the news. Law enforcement officials have turned to the devices’ data and recordings to solve crimes.
Hallandale Beach Police Department spokesman Sgt. Pedro Abut confirmed to the Sentinel that “we did receive recordings, and we are in the process of analyzing the information that was sent to us.”**


No sé si estos casos habrían dado para una película del maestro Alfred Hitchcock, pero sí para muchas en las que se nos muestra un futuro que ya no merece ese nombre, pues está aquí.  No hay mucho interés en que lo percibamos, pero estamos sobre él como en una cinta transportadora pensando que solo caminamos.
Si el Alexa de turno puede haber recogido datos reveladores del crimen, puede haberlos recogido de cualquier otra cosa, registrando y enviando los datos hacia un mundo gris del que apenas sabemos nada. Solo sabemos de los dispositivos inteligentes aquello que nos interesa saber, pero no manifestamos tanto interés por todos aquellos aspectos que podrían ser intromisiones en nuestra vida y privacidad. Este último concepto que disuelto en la comodidad de la vida y en la aceptación sin preguntar de aquello que nos cuentan. ¿Por qué hacerlo?
El artículo de The Washington Post se cierra con una opinión legal y una descripción del mundo que estamos creando:

The use of such devices for investigations will only increase as the technology becomes more pervasive in everyday life, said Andrew Ferguson, a law professor at the University of the District of Columbia.
Ferguson warned that judges, who assess whether police have probable cause to obtain such warrants, will increasingly need to decide whether there’s a valid reason to obtain a person’s personal data, which can be “incredibly revealing of who we are.” Because Alexa is only supposed to activate and record when given a specific voice command, it was unclear whether obtaining a blanket warrant to examine a device’s transmissions could amount to a “fishing expedition,” Ferguson said.
“We live in a world where we have these little digital spies listening to us in our homes, in our cars, in our phones,” Ferguson said. “It is going to become pretty commonplace that law enforcement is going to request as much digital evidence as they can about us using the legal means available.”
“We have really created a privacy-invasive world because of consumer convenience,” he said.**

No deja de ser una frustración que las compañías manejen nuestros datos sin que podamos resistirnos o que sepamos el fin real que se le da (siempre existe esa frase, "ofrecerle una mejor experiencia", que lo justifica todo), mientras que se pueden encastillar legalmente para negar esa información a un juez.


La idea supone una cierta perversión. Nos fiamos más de una compañía, que no comunicaría nada "raro" que hiciéramos en nuestro hogar (un crimen, por ejemplo) y que se resistiría hasta el final a que un juez, como es el caso, intentara investigar. La ficción es que los datos "no existen" para unas cosas, pero sí para "otras". La idea de que todo lo que hacemos acabara en manos de un juez convertiría a las compañías en  inservibles. Nadie querría tener en casa a un "chivato" o delator. En cambio, en muchas ocasiones, lo que se necesita es un "testigo"; en ese caso, la compañía se cierra en banda resguardando lo que ha usado en cierta manera, nuestra "privacidad".
El concepto de privacidad se convierte en algo muy distinto, en algo que se viola y se defiende simultáneamente, válido solo si se usa para el beneficio de la compañía (rentabilidad) o usuario (comodidad). Lo malo es que esos dos concepto están sujetos a los intereses cambiantes, según el caso.


Nuestra comodidad tiene un precio. Pese a la información de que disponemos hoy sobre lo que se hace con nuestros datos, no hay una regulación clara de la cuestión. Y creo que no la hay porque hay una aspiración no confesada por parte del mundo de la política de poder acceder a esa información que les da mejores perspectivas. Hay indicios de ello en los últimos tiempos. Si las empresas se benefician para determinar nuestro comportamiento, ¿por qué no hacerlo ellos? Si esta percepción es correcta, estaremos cada vez más desprotegidos pues las leyes se harán cada vez más flexibles. Nos darán datos "anónimos", pero la capacidad de computación permitirá cruzar datos y hacer perfiles cada vez más claros. En esa línea es en la que avanza la industria y las empresas del ramo, en la identificación final, en el cero margen de error en el mensaje respecto al destinatario. Pero se han dado pasos más allá del "servicio" adecuado. Los datos se recogen y ya se verá su utilidad.


La ambición de los partidos —todo por el poder— hará el resto. Y si no, mirarán para otro lado mientras alguien les hace el trabajo. Siempre habrá alguien que acepte y nadie querrá perder esa ventaja. 
Es probable que cuando ha accedido a este blog, se le haya pedido aceptar cosas que no sabe para qué son. Yo tampoco y ellos probablemente tampoco. El principio del Big Data es "guarda que ya saldrá algo". Más preocupante son los fallos de seguridad, la liberación de datos, etc. que hace que las garantías que nos dan sean papel mojado en la realidad. Las noticias sobre esto son abundantes y cuanto más valioso sea el paquete, más tentaciones habrá de violar la seguridad. Esto sin contar el jaqueo de datos específicos de personas de interés. 
Un mundo de Barbies cotillas, ositos simpáticos, asistentes fieles, etc. dispuestos a vigilarnos por nuestra comodidad nos esperan en casa, oficinas o calles. Nos hemos rodeados de ellos y no será fácil silenciarlos en su misión.



* James Vlahos "Smart talking: are our devices threatening our privacy?" 26/03/2019 https://www.theguardian.com/technology/2019/mar/26/smart-talking-are-our-devices-threatening-our-privacy
** Kayla Epstein "Police think Amazon’s Alexa may have information on a fatal stabbing case" The Washington Post 3/11/2019 https://www.washingtonpost.com/technology/2019/11/02/police-think-amazons-alexa-may-have-information-fatal-stabbing-case/









martes, 20 de junio de 2017

Datos peligrosos

Joaquín Mª Aguirre (UCM)
El artículo publicado por The Washington Post, con el titular "A Republican contractor’s database of nearly every voter was left exposed on the Internet for 12 days, researcher says", pone el dedo en una de las cuestiones más preocupantes sobre el futuro de las democracias. La cuestión tiene dos momentos: a) la acumulación de datos sobre los votantes; y b) sus usos electorales. Dejo fuera por evidente lo que ha causado la noticia: la seguridad de los datos. Es obvio que sin el primero de ellos, la cuestión de la seguridad no se plantearía. También es obvio que son los fines electoralistas los que motivan los problemas de seguridad.
La democracia clásica no incluía en sus razonamientos y defensas argumentos para protegerse de gran parte de los nuevos problemas. Para la democracia, pensada en términos clásicos, la seguridad del votante incluía simplemente garantizar el anonimato del acto de votar mediante una cabina, asegurarse de que existan papeletas de los candidatos y del control de lo que ocurre en las salas de los colegios electorales. Algunos países tienen lo que llamamos "jornada de reflexión" que no es más que un intento de evitar la presión mediática hasta el último momento garantizando, simbólicamente, su derecho a no ser presionado para el voto.
Pero las democracias modernas no están protegidas frente a las técnicas de recogida y medios del tratamiento de "datos" y su conversión en "información" mediante diversas y sofisticadas formas de ingeniería.
The Washington Post nos informa de la exposición de los datos:

Detailed information on nearly every U.S. voter — including in some cases their ethnicity, religion and views on political issues — was left exposed online for two weeks by a political consultancy which works for the Republican National Committee and other GOP clients.
The data offered a strikingly complete picture of the voting histories and political leanings of the American electorate laid out on an easily downloadable format, said cybersecurity researcher Chris Vickery. He discovered the unprotected files of 198 million voters in a routine scan of the Internet last week and alerted law enforcement officials.
The precision and volume of the information, including dozens of data points on individual Republicans, Democrats and independent voters, highlights the rising sophistication of the data-mining efforts that have become central to modern political campaigns.
In some cases, that included which voters are suspicious of Wall Street and pharmaceutical firms, or who reluctantly voted for Hillary Clinton or supports the Affordable Care Act, Vickery said.*


La democracia es naif porque cree en una persona racional, capaz de sopesar las situaciones y tomar sus decisiones. Cree en una persona inteligente y capaz, cuyo voto es la traducción de sus creencias e intereses en beneficio de unas instituciones que acogen a los mejores, los electos, para el buen gobierno. Se presupone que esa persona observa lo realizado, escucha las propuestas y decide, finalmente, qué es lo mejor para ella y para todos al coincidir con otros votantes, igual de racionales que él. Puede equivocarse, pero es ahí donde entra la idea de que la mayoría no lo hará. El problema es que este es un modelo surgido de la racionalidad dieciochesca y que no existe, al igual que no existe el "homo economicus", teorizado por la economía clásica, el ser "balanza" que es capaz de elegir lo mejor en el mercado. La democracia —como el mercado— se basa en la capacidad de elegir... libremente.
Por supuesto, los críticos de este modelo naif pronto advirtieron que ese sujeto "racional" estaba lleno de incongruencias, contradicciones y rodeado de influencias que luchaban por conseguir ser su decisión. La demagogia era el mayor peligro que se vislumbraba en el horizonte. Los seductores, los manipuladores, etc. eran el peligro y lo siguen siendo.
Lo que no se contemplaba era la capacidad de establecer el comportamiento de las personas a partir de otra serie de elementos que pueden darnos las claves de su decisión. No se pensaba en que era posible alcanzar una enorme precisión hasta llegara a la identificación de las personas y diseñar una forma de presión individualizada. Los "puerta a puerta" y las llamadas directas pueden hacerse con un grado mayor de eficiencia si se sabe ya quiénes son votantes altamente probables y nos centramos en los dudosos, por ejemplo, abandonando a los claramente contrarios. La urna se llena voto a voto. Y uno solo puede ser decisivo.
Señala el diario norteamericano:

“They’re using this information to create political dossiers on individuals that are now available for anyone,” said Jeffrey Chester, executive director of the Center for Digital Democracy. “These political data firms might as well be working for the Russians.”
The data found by Vickery, who studies cybersecurity risk for the Silicon Valley start-up UpGuard, was compiled by GOP political consultant Deep Root Analytics, based on voter lists maintained by the RNC and augmented by other sources.
Deep Root did not disclose those sources but political research firms for years have been collecting information on voters from data brokers, social media postings, polling and other contacts with voters.
The company also kept information on Americans’ voting histories and their reported enthusiasm for Trump, Vickery said. Some of the files assigned voters a score based on their views of 46 different issues ranging from immigration to trade. Nearly 170 gigabytes of the exposed data consisted of social media posts scraped from Reddit, he added.*

La cuestión de los "rusos" es solo una parte y no la más importante. No son los rusos los que han acumulado esa información (que sepamos). Son los propios norteamericanos, los republicanos, los que están acumulando información sobre sus votantes. En muchos casos se dirá que es información pública, que puede ser recogida. Los datos son públicos pero la capacidad de almacenarlos, unirlos y procesarlos da lugar a situaciones en las que el comportamiento puede ser predecible y se actúa sobre él para modificarlo en un sentido u otro.
Las herramientas del análisis social tienen en el comportamiento político un objetivo claro. Ganar unas elecciones en los Estados Unidos es un gigantesco negocio para muchos, que ven recompensados sus esfuerzos con las nuevas orientaciones en los cambios. Cada vez estas herramientas son capaces de trabajar de forma más precisa con las cantidades enormes de datos que manejan.
Se dice que las estadísticas fallan cada vez más al tratar de detectar los votos. Pero la forma en la que trabajan los estadísticos políticos no es la que manejan los "influenciadores" políticos. Sus datos no son los mismos ya que no se basan en respuestas sobre acciones futuras sino en el establecimiento de trayectorias a partir de acciones pasadas.


Si a esto se le suma las amenazas exteriores a manipular mediante distintos procedimientos las elecciones, como está ahora mismo encima de la mesa, la democracia necesita de una revisión crítica ajustada a sus nuevos desafíos.
Tras las elecciones norteamericanas, las sospechas de intentos de intervención exterior sobre el cuerpo electoral de diferentes países se dispararon. Los gobiernos se prepararon para advertir cualquier movimiento destinado a dar un golpe de timón sobre la opinión pública mediante la aparición en el último momento de noticias falsas, atentado, filtraciones, etc.
Estamos en la Sociedad de la Información y lo mismo que es nuestro poder es nuestra debilidad. El aumento de la cantidad de información no significa que esta sea fiable, ni mucho menos. Más bien se ha deteriorado su calidad. La calidad de la información es también la calidad de una democracia. Todo aquello que nos ayuda a elegir bien es positivo; aquello que se usa para manipularnos deteriora nuestra calidad democrática. A algunos les parecerá una frontera muy estrecha, pero existe si se quiere ver.


Las amenazas vienen hoy tanto de la acumulación de datos, que nos hace vulnerables a las presiones selectivas, como a la falsedad de la información, que nos hace interpretar mal y tomar decisiones erróneas. El descubrimiento de las mentiras contadas a los británicos para que votaran a favor del Brexit es un ejemplo de esto último. Les funcionó y puede que estén décadas arrepintiéndose.
La noticia de que los datos han sido expuestos y que los rusos pueden haberse hecho con ellos es grave. Los rusos en esto son la segunda cuestión. La primera es el aprovechamiento de los rastros de datos que vamos dejando en nuestros universos digitales y que sirven para reconstruirnos con bastante precisión.
Los doce días de exposición pública de los datos son solo una parte del peligro. Los restantes días también lo son. Es importante, desde luego, quién los roba, pero también lo es quién los guarda o el derecho de guardarlos. Como es difícil que sean los propios políticos quienes renuncien a este tipo de "armas" electorales, deberían ser los ciudadanos los que se ocuparan de ello. No está claro que lo hagan y la democracia continuará degradándose.


* "A Republican contractor’s database of nearly every voter was left exposed on the Internet for 12 days, researcher says" The Washington Post 19/06/2017 https://www.washingtonpost.com/news/the-switch/wp/2017/06/19/republican-contractor-database-every-voter-exposed-internet-12-days-researcher-says/