Privacidad

Esta semana se ha hablado bastante de las nuevas Listas Robinson de exclusión publicitaria (Listas Robinson) puestas en marcha por la Federación de Comercio Electrónico y Márketing Directo (FECEMD) y que han recibido el apoyo de organismos como la Agencia Española de Protección de Datos (AEPD). Y ojo, porque en todas partes se dice que la lista la promueven FECEMD y AEPD: no, la AEPD no parece haber alcanzado ningún acuerdo con FECEMD.

Como decía, esta semana se ha hablado mucho de este anuncio, lanzado con mucha fanfarria como la panacea contra el acoso publicitario al que estamos sometidos. Ahora parece que te apuntas y problema resuelto.

Sin embargo, de entre los comentarios optimistas (que están por todas partes) quiero destacar la opinión de Felix Haro, abogado especializado en protección de datos personales, que en su blog nos da una serie de pistas sobre cuánto de nuevo tiene esta Lista Robinson (que es más bien poco pues ya llevan tiempo funcionando), sobre cómo de nimio ha sido el éxito hasta ahora (más bien desolador, apenas hay registros en esta lista de exclusión publicitaria), y algunos aspectos más. Además promete una continuación de su post.

En el fondo, esta lista de exclusión no es más que la renovación de un servicio que la FECEMD ya venía ofreciendo y que los ciudadanos vienen ignorando sistemáticamente. (Repito, lean el post de Felix.)

Al fin y al cabo, parece una campaña de publicidad magníficamente orquestada: anunciamos una lista de exclusión publicitaria para que nos vean respetuosos con sus vidas privadas, nadie nos hace caso y los mortificamos igual... pero con un lavado de cara porque mira que somos majos que te damos la opción de borrarte y evitar esta tortura de publicidad constante.

Si el tema sobre estas listas robinson se alarga más, volveré sobre él. Pero vamos, que si lo hago será (casi con seguridad) para volver a llevar la contraria a tanta campana que dobla por la muerte de las molestias de este sistema de venta, ya que creo que no hay motivos para ser muy optimista.

O La discriminante selección de personal según Deutsche Telecom.

[Fotograma de Fucking Amal, de Moodysson.]

Se ve que hay cierto revuelo porque Deutsche Telecom parece haber estado espiando los hábitos sexuales de sus trabajadores y de todos los que solicitaban empleo en la compañía. Lo vimos hace unos días en European Digital Rights.

La compañia, claro, lo niega todo.

Y la gente no se cree ni una palabra proveniente de la misma compañía que ya espió a los periodistas que contactaban con la compañía y que ya ha admitido haber espiado las cuentas bancarias de todos sus trabajadores.

Cada día está más claro que la privacidad no es un problema técnico, es un problema legal. Si estos actos no implican para la compañía ni pérdida de clientes (cada euro que gastas apoya algo, ¿qué estás apoyando?) ni multas millonarias, a la compañía le saldrá rentable saltarse nuestras libertades y las leyes. Lo que consumes es lo que realmente estás apoyando.

La privacidad es un problema legal.

Me enteré hace un rato gracias a la lista de correo de La Quadrature, en cuya web lo explican bien: Hadopi : le Conseil constitutionnel censure la riposte graduée.

El consejo constitucional francés se posiciona en contra de la «respuesta graduada», también conocida como la ley de los 3 avisos, ley Sarkozy o ley Hadopi.

Según este consejo, «el acceso a internet y la presunción de inocencia son más importantes que las imbéciles disposiciones exigidas por la industria para prolongar sus modelos obsoletos».

Entre los blogs en castellano que suelo leer ya lo comenta, casi tan breve como yo, David Bravo.

La cosa se pone interesante cuando en el único Estado de la UE donde aún no tienen DNI (Reino Unido), cuya introducción está levantando mucha polémica entre sus ciudadanos, el Estado va a pedir la información relativa a tarjetas de débito y crédito a todo aquel que solicite un pasaporte (Computer Weekly via Open Rights Group).

Hace tiempo Henry Porter avisó que el Estado británico pretendía aumentar el espionaje económico a sus ciudadanos gracias al DNI. Parece que ahora están interesados en saber en qué gastas todo el dinero que mueves en pagos con tarjeta. En todo caso, fuerzan con esta medida algo de lo que pretendían conseguir con la implantación del DNI.

¿Para qué querrá el Estado con tantas ganas conocer en que gastan su dinero los ciudadanos británicos? ¿Para penalizar a discreción? Suecia, Francia e incluso Reino Unido han pensado en ello en el pasado.

Hace muchos años jugué mucho a rol. En Cyberpunk, el juego de rol, existía la posibilidad de comprar implantes biónicos por una cierta cantidad de dinero. A veces, cuando no podías pagarlos, podías convertirte en esclavo de una macrocorporación implantándote además de tu pieza biónica un chip con el que te podían matar si desobedecías a la corporación. En ese juego podías querer algo, pero debías pagar el precio. A veces muy alto.

Cuando vi que habían denegado una solicitud de patente sobre un chip RFID implantable que incluía una cápsula de cianuro (FW, gracias por el chivatazo) que podía ser liberada de forma remota para matar al individuo con el chip implantado no pude más que pensar en esos personajes de ficción esclavos que habitaban el mundo de Cyberpunk. Y luego pensé que en el mundo real hay más cabrones por metro cuadrado que en el Gotham de Tim Burton [el mejor Gotham, sin duda].

Y sin embargo, la noticia no es que hayan inventado esta barbaridad, sino que han denegado la patente a tan detestable invento, que había sido solicitada en Alemania. Al menos los tribunales rechaza esta propuesta, aunque aún cabe preguntarse si muestran un mínimo de ética o inteligencia de autoconservación, al fin y al cabo, ¿cómo justificaría el Estado de cara a la ciudadanía la concesión de un monopolio de explotación exclusiva en un artículo tan polémico como éste?

Por lo demás... el chip es una muy mala idea, pero eso ya lo habíais deducido vosotros solos sin que yo os lo dijera.

Relacionado: sobre RFID y algunos de sus controvertidos usos hemos hablado mucho en el blog. También hablo mucho de ello en el libro.

OpenID es uno de los sistemas de identificación distribuida más conocidos y que aspiran a constituirse como una alternativa sencilla ante la creciente complejidad de nuestra vida online, que incluye la utilización de numerosas webs diferentes, cada una con su usuario y su contraseña. Es algo complejo, y por eso OpenID y su simplicidad (un usuario y una contraseña para todas las webs) tienen tanto poder de atracción. Nos hacen la vida (aparentemente) más sencilla, y nos encantan las cosas sencillas. OpenID vendría a sustituir a todos estos identificadores, para hacernos la vida más fácil (aunque ahora veremos que toda facilidad tiene un precio). Visto así, OpenID es el concepto de simplicidad aplicado a la identificación web.

Pero un problema complejo puede no tener una solución sencilla. Al menos, es posible que las soluciones sencillas no sean demasiado apropiadas y en el fondo estemos pagando un precio. La identificación web es un problema complejo, y simplificar demasiado ese proceso no está exento de riesgos.

Un concepto importante cuando hablamos de seguridad es la compartimentización: el aislamiento de unos elementos de un sistema respecto de otros, para evitar que un problema en uno de ellos se propague al resto. Un ejemplo de esta separación lo tenemos en los edificios más modernos, obligados por ley a instalar puertas antiincendios cada dos o tres viviendas. De esta forma, si una vivienda arde, el fuego queda recluido a una zona localizada del edificio, manteniéndose a salvo el resto. Ciertamente, es una cuestión de sentido común, y sin embargo no fue de uso obligatorio hasta que no hubo muchos, muchísimos incendios en edificios. Pero OpenID destruye este aislamiento estanco entre diferentes servicios web, al usar el mismo usuario y contraseña para cada web. Si tus datos de acceso caen en malas manos, de un soplo estás poniendo en peligro la seguridad de todas tus cuentas de usuario en diferentes servidores.

¿Qué solución se propone ante esto? Hay diferentes aproximaciones, evidentemente. Está claro que si no nos convence su modo de operación, hay que hacer algo. Tal como yo lo veo hay dos posibilidades: el rechazo total y la solución pragmática basada en niveles de seguridad (como en una cebolla con capas).

1. El rechazo sin más a OpenID. Si no te gusta o no te parece seguro, no lo uses. Y se acabó. Sigues recordando cada usuario y contraseña que necesites. Es válido, pero yo voy a optar por la opción 2.
2. Usar OpenID para lo menos importante. Si no queremos que por usar una aplicación web de importancia menor, que puede verse comprometida, nos puedan entrar en nuestro correo personal o en nuestro banco, no debemos usar OpenID en estos servicios (suponiendo que nos lo ofrecieran, que lo dudo). La idea es usar OpenID para actividades no críticas y en actividades en las que identificarte sea suficiente ventaja para el precio (en seguridad) a pagar. Si me preguntan a mí, yo uso OpenID para firmar comentarios en blogs... y para nada más. Así que resulta que este OpenID distribuido del que tanto se habla no soluciona el problema de los múltiples identificadores y que, para colmo, parchea mejor los servicios menos importantes, ¿para eso tanto alboroto?

¿Cómo hemos de recibir entonces la extensión/adopción de OpenID como identificador en cada vez más servicios web? Desde mi punto de vista: con mucha prudencia. Si me preguntan a mí, les diría que yo no lo usaría. Como argumento el problema de seguridad ya expuesto (que no me parece poco). Cuando webs como Facebook anuncian la adopción de OpenID, los análisis del moviemiento suelen dejar de lado este punto de vista. Y no uso Facebook, pero sin duda un servicio de este tipo, pese a no tener mi tarjeta de crédito, no es de los que yo catalogaría como de importancia menor: si todas tus comunicaciones están en Facebook, es vital que la identificación de esa web no se vea comprometida porque estás usando el mismo usuario y contraseña que ya usas en otra web.

Sabemos que muchos incendios hicieron falta para que la instalación de puertas antiincendios en viviendas fuera obligatoria, ¿estamos preparados para jugarnos toda nuestra identidad online a la carta única de un identificador que podría demostrarse inseguro o cuya seguridad podría verse comprometida, dejando vulnerables nuestra vida online en múltiples webs?

Aclaración antiparadoja, por si alguien no ha querido leer: mi blog acepta OpenID. Ya digo más arriba que usarla para firmar en blogs y demás actividades de importancia menor no me parece mal. Te aporta un beneficio (hay más fiabilidad de que el comentario lo hayas escrito tú) con muy poco precio (no estás comprometiendo cuentas de usuario en esa web, ni información personal especial almacenada en ese servidor). Para otros usos, para el resto, soy muy escéptico y resto mucho potencial a OpenID. Digamos que parece buena idea desde el punto de vista de la simplicidad, pero no tanto desde el punto de vista de la seguridad. Si en los servicios críticos no voy a usarlo, OpenID queda relegado a un papel de segundón bastante agrio.

Gracias a The Register llego a una nota de prensa en la que la UE hace sus recomendaciones sobre el uso de chips RFID.

• Los consumidores deberían tener el control sobre si sus productos tienen (o no) chips RFID. Al comprar, los chips deberían ser desactivados automáticamente sin cargo adicional en el punto de venta, excepto que mediante opt-in el cliente decida lo contrario.
• Quienes implanten RFID en sus productos deberían dar información a los consumidores sobre las implicaciones de estos chips en la privacidad.
• Asociaciones de vendedores deberían informar acerca de los productos conteniendo RFID mediante el etiquetado de los productos que incluyan estos chips.
• Empresas y autoridades deberían realizar evaluaciones de impacto en la privacidad y protección de datos antes de usar chips RFID, para asegurar que los datos están bien asegurados

Visto así, una sarta de tonterías. ¿Seguridad en los datos de un chip RFID, que se asegure que nadie puede leerlo sin permiso? Sencillamente: hablar es gratis. Recomendar sin implicaciones sale aún más barato. Es lo que tiene recomendar desde la frivolidad del que sabe que lo que se está recomendando no tiene porqué cumplirlo nadie ni lo va a poder cumplir (¿cómo conseguimos que nadie nos lea los chips rfid?).

Y ojo, no es que esté en desacuerdo con el hecho de que los chips sean eliminables, que los productos estén etiquetados y demás. La misma UE ya se pronunció en contra del implante en fuente de estos chips por no cumplir estas medidas.

Lo que me hace desconfiar es que estas recomendaciones (no obligaciones) sobre RFID llegan años después de que documentación oficial como son los pasaportes incluyan estos chips.