Source: https://blog.theliel.es/2013/07/privacidad-eb-aplicaciones-moviles-cual-es-el-precio.html?replytocom=2645
Timestamp: 2019-08-18 06:47:08+00:00

Document:
Privacidad en aplicaciones móviles: Cual es el precio que estamos pagando por el uso de muchas aplicaciones para móviles? – Alma Oscura
A día de hoy, el uso de las aplicaciones en nuestros dispositivos móviles se ha convertido en algo totalmente normal, tan normal que la gran mayoría de los usuarios de teléfonos de este tipo usaran entorno a 5-10 aplicaciones diarias distintas como mínimo: Correo electrónico, navegador, juegos, agendas, redes sociales, mensajería instantánea… y todas ellas, o la inmensa mayoría al menos, hacen uso de Internet de una forma totalmente activa o pasiva. Quien quiera la conclusión de este artículo, puede ir directamente al final de este y echar un vistazo a las “tablas” con los datos expuestos, quien quiera leer un poco más, puede empezar desde aquí… como es ya costumbre en “Alma Oscura”.
En un mundo perfecto en el que todos tuviésemos buenas intenciones, en el que nuestros datos fuesen solo nuestros, en el que todos los sistemas informáticos funcionasen perfectamente… en ese mundo perfecto posiblemente el usuario no tendría que preocuparse de tener un dispositivo que está conectado 24 horas al día a la red de redes, enviando y recibiendo datos de ella sin parar, y lo que es peor… sin saber en el 99% de los casos que información se está recibiendo y que información se está enviando. En cambio, muchas personas parecen haber aceptado el echo (o al menos así puede interpretarse de sus acciones) de que no les importa que información puedan saber de él o de su entorno. Quiero pensar que en realidad nunca se pararon a pensar que tipo de información envían y reciben constantemente de y hacia Internet, y que simplemente actúan así (o no actúan mejor dicho) por desconocimiento. Y eso es lo que me gustaría hacer un poco de hincapié hoy.
Por otro lado siempre tendremos a los conspiranoicos, personas que llevan el asunto de la privacidad a límites que solo ellos saben, con el “Nos vigilan” como lema, con que las grandes empresas o gobiernos saben todo lo que hacemos, hablamos, a donde vamos… No se puede ser un irresponsable con los datos privados de cada uno, pero tampoco podemos radicalizarnos y pensar que todo es una conspiración contra nuestros intereses. Es necesario siempre llegar a un término medio que aúne ambas filosofías de ver el asunto de la privacidad y de la vida personal de cada uno. Tampoco hay que perder de vista que el uso de la tecnología misma implica evidentemente hacer sacrificios en este aspecto, no podemos pretender vivir en un mundo totalmente adaptado tecnológicamente a nuestras necesidades y pretender que esto no tenga ningún coste a nuestra privacidad. Un ejemplo muy sencillo sería una simple cámara de seguridad, nos da seguridad en nuestro hogar es evidente, pero al mismo tiempo al grabarnos nos está restando una parte de nuestra privacidad.
Volviendo al tema principal de hoy, nuestro problema es diferente. Quien instala una cámara de vídeo sabe perfectamente a que se expone, bueno y malo, en cambio quien instala una aplicación en su dispositivo rara vez sabe realmente a que se está exponiendo, o hasta que punto dicha aplicación puede resultar ser más dañina que positiva (con respecto a su privacidad por supuesto). Lo cierto es que cualquier aplicación que se conecte a Internet puede potencialmente comunicar datos nuestros con o sin nuestro consentimiento explícito. Es cierto que tanto Android como iOS ponen especial hincapié en que permisos y a que tiene acceso cada aplicación por sí misma, pero aun cuando Android o iOS (Especialmente Android) especifique con pelos y señales que permisos serán concedidos a la aplicación en cuestión (y por consiguiente a que datos tiene acceso dicha aplicación), el usuario irresponsable lejos de leer generalmente las advertencias de seguridad y pararse medio segundo a recapacitar sobre ello, tiende a aceptar todo. Esto es lógico, si no acepta que la aplicación tenga acceso a dichos permisos, no es posible instalarla, y casi como robots y lobotomizados solo sabemos aceptar aceptar y aceptar.
El principal y fundamental problema es evidentemente que la aplicación tenga acceso a la red, ya sea por WIFI o por datos. Es evidente, una aplicación puede tener acceso a todos nuestros datos, pero si no puede transmitirlos de algún modo son totalmente inservibles para quien quiere obtenerlos. Podríamos añadir a esto los SMS o las llamadas de teléfono, pero francamente existen muy pocas aplicaciones que tengan este tipo de comportamiento (aunque son evidentemente factibles, y seguro que alguna existe). Lo paradójico del caso es que aunque es cierto que muchas de nuestras aplicaciones requieren de una conexión permanente a la red para poder hacer uso del servicio que sea, muchísimas otras en realidad no lo requieren. Permitidme que categorice la necesidad de acceso a Internet de las aplicaciones de este modo:
Recopilación de datos de forma lícita o no
Posiblemente a este grupo pertenezcan la gran mayoría de aplicaciones que requiera de conexión a la red. Básicamente muchas de las aplicaciones que usamos constantementes (y muchas de ellas de forma ininterrumpida) requieren de una conexión permanente, puesto que precisamente la gran utilidad que tienen para nosotros es poder disponer de una conexión permanente. Así por ejemplo, podríamos citar tanto los servicios de sistema del propio terminal (servicios de actualización, localización…), el correo electrónico, servicios de mensajería instantánea tipo HangOut o WhatsApp, redes sociales como Google+ o Facebook…
Por por supuesto también meteremos en el mismo saco aquellas que aunque no requieren de una conexión constante y permanente, sí que requieren de una conexión desde el momento que dichas aplicaciones son pasadas a un primer plano, puesto que dependen de datos actualizados o se busca realizar una conexión puntual a algún servicio. A este grupo tendríamos por ejemplo aplicaciones como Mapas y navegadores GPS, exploradores Web para navegar por Internet, aplicaciones que nos dan el tiempo o datos sobre la bolsa, juegos Online o basados en Web…
Esto no implica ni mucho menos que dichas aplicaciones estén extensas de transmitir datos privados sin que lo sepamos, eso lo discutiremos más adelante, lo que quiere decir es que las aplicaciones de este grupo requieren sí o sí acceso a la red, es imprescindibles para ellas y si no disponemos de una conexión no funcionarán. En este caso es siempre imperativo ser muy conscientes de que permisos tienen concedidas dichas aplicaciones, y si fuese posible conocer realmente que datos transmiten a/desde Internet. A fin de cuenta si disponen de una conexión, pueden enviar y recibir de la red los datos que quieran, siempre y cuando la aplicación tenga permisos concedidos (y por tanto acceso) a los datos que quiera transmitir. Evidentemente por mucha conexión a la red que pueda tener una aplicación, si la aplicación no fue diseñada para tener acceso a nuestra agenda (y por tanto no tiene permisos para acceder a ella), no podrá nunca transmitirla.
Prácticamente la totalidad de aplicaciones que muestran publicidad de un modo u otro en las aplicaciones, requieren de una conexión a la red para mostrarla. A diferencia del primer grupo, estas pueden funcionar (en casi todos los casos) sin ningún tipo de conexión, y generalmente los programadores no bloquean su uso si no se detecta una conexión, en el peor de los casos suelen poner un banner genérico, aunque muchas veces simplemente no aparece publicidad sencillamente si no hay acceso a la red. Por supuesto si la aplicación en cuestión requiere para su uso una conexión a la red para hacer uso de cualquier servicio, sencillamente formaría parte del primer bloque, aunque igualmente muestre publicidad.
El asunto de la publicidad en las aplicaciones es mucho más controvertido y complicado de analizar de lo que uno pueda imaginarse. Es evidente que para el usuario de la calle cualquier tipo de publicidad es negativa, no solo consumen datos, sino que es molesta, a veces totalmente abusiva, ralentiza nuestros terminales, consumen a veces una parte de la pantalla importante en la aplicación, requieren de permisos extras en las aplicaciones… y generalmente incluso va unida al robo de información. Por otro lado, hay que entender que muchas de las aplicaciones que disponemos a día de hoy son mantenidas gracias a ellas, que son los programadores los que han invertido muchas horas en muchos casos en hacer llegar dicha aplicación a los usuarios sin ningún coste monetario para ellas! Y quitando contadas excepciones os puedo garantizar que ningún programador se hace rico ni mucho menos por ella.
Por tanto, no podemos recriminar tan alegremente que algunas aplicaciones tengan publicidad porque creo que es totalmente legítimo y entendible. En cambio si soy el primero que recrimina la publicidad abusiva que tenemos en muchas aplicaciones, en las que el mismo terminal y la aplicación en sí sufre considerablemente en rendimiento, un aumento considerable de la batería, consumo de datos excesivo en algunos casos, publicidad altamente intrusiva y molesta… sin contar que muchos programadores aun siendo la aplicación de pago inserta publicidad. Creo que hay que tener una medida con todo.
La publicidad por desgracia conlleva muchas veces el “robo” de información de nuestros dispositivos, a veces información que es totalmente comprensible y necesaria para la publicidad en sí misma, y otras veces totalmente absurda. Puedo entender que un servicio de publicidad necesite de mi terminal la resolución de la pantalla para saber cual es el mejor tipo de banner a mostrar, incluso puedo entender que quiera saber mi ubicación APROXIMADA (a nivel de ciudad por ejemplo) para poder ofrecer una oferta más dirigida, pero lo que no puedo tolerar es que una agencia de publicidad de dispositivos portátiles quiera mi IMEI, mi localización EXACTA (ya sea WIFI, GMS o GPS)… hay cosas que son totalmente inexcusables, y como he dicho abusivas.
Por último, tenemos aquellas aplicaciones que requieren (o quieren mejor dicho) una conexión a la red para recopilar datos nuestros y transmitirlos a sus proveedores, dueños, agencias de publicidad, sistemas estadísticos… Por supuesto una aplicación de este tipo puede formar parte al mismo tiempo del bloque anterior o incluso de los dos bloques anteriores de forma simultánea.
Generalmente encontramos que prácticamente la totalidad de aplicaciones que solicitan una conexión a la red (ya sea de forma permanente o no, para mostrar publicidad o no) hacen algún tipo de recopilación de datos. La cantidad de datos que pueden recopilar de nosotros como hemos dicho dependerá del acceso que tenga dicha aplicación, pero pueden ser desde sencillamente conocer que versión de Android tenemos instalada (o de iOS), a recopilar nuestras cuentas de correo, agenda completa, localización GPS, fotos… si tienen permisos de acceso a ciertas funciones, potencialmente pueden recopilar información sobre ellas y transmitirlas.
De nuevo, tampoco es tan sencillo judgar estas recopilaciones de datos, muchas veces es incluso necesaria para el correcto funcionamiento de un servicio, y muchas veces lo único que recopilan es información técnica vital para el desarrollador de la aplicación sin que exista ningún tipo de datos privados que puedan causarnos ninguna molestia real. Pero al igual que con la publicidad, el problema está en los excesos y en no advertir al usuario de forma clara. En el caso de la publicidad la mayoría de las veces no suele ser demasiado abusiva, pero en el caso de la recopilación de datos generalmente ES MUY ABUSIVA.
Puedo comprender que una aplicación como pueda ser Google Now necesite cada X tiempo acceso a mis coordenadas geográficas para conocer mi posición porque le servicio depende de ello, al igual que entiendo y puedo comprender que Google esos datos también le sirve para tener una mejor precisión en sus sistemas de localización. No solo soy consciente de ello sino que Google es el primero que requiere de autorización EXPLICITA del usuario para activar dichos servicios, mostrando y explicando CLARAMENTE cual es el tratamiento que se le van a dar a los datos. Por poner un segundo ejemplo igualmente necesario, pongamos por caso la recopilación de datos que pueda hacer Mozilla en Firefox en Android, la primera vez que lo abres posiblemente te preguntará si permites (de nuevo una pregunta EXPLICITA) cierta recolección de datos, informando en todo momento que datos se transmitirán o no, si tienen fines estadísticos o de reporte de rendimiento… estos dos ejemplos es lo que podríamos llamar una recopilación de datos lícita y comprensible, en el caso de Google Now necesaria y en el caso de Firefox datos que ayudan a la fundación Mozilla a mejorar la aplicación. Para mí es lícita y comprensible por dos sencilla razones. La primera es que al margen de que la aplicación nos advierta claramente a que tendrá permiso de acceso dicha aplicación, la misma aplicación nada más abrirla nos explicará de forma clara que datos quiere transmitir y la razón de ello. La segunda es que EN TODO MOMENTO podemos deshabilitar dicho reporte y recopilación de datos. Esto otorga a los programadores confianza, y soy el primero que cunado una aplicación me explica el uso que le va a dar a mis datos y son lógicos, creedme que los permito.
Por desgracia, la mayoría de las veces nos encontramos en la otra cara de la moneda. La aplicación es cierto que especifica los permisos cuando se va a instalar, pero el usuario de calle jamás sabrá que datos está transmitiendo, ni la finalidad de dichos datos, ni el tratamiento que se le van a dar, ni a cuantas empresas se van a ceder dichos datos… ni siquiera una sencilla opción para deshabilitar dicha recopilación de datos. Esto y no otra cosa, es lo que me ha hecho volver hoy a estas letras, este abuso desconmensurado y totalmente inexcusable. Si los usuarios supiesen la ingente cantidad de datos que recopilan algunas aplicaciones y el uso que le dan (venderlos, spam, publicidad, control…), más de uno estoy seguro que cogería el móvil y lo haría trizas. Esto sucede en absolutamente TODAS las plataformas por igual, que es lo peor, si usas aplicaciones en tu dispositivo móvil… Por eso no puedo sino reírme cuando me encuentro con personas que son a priori super celosas de su intimidad, de sus cosas… algunos incluso paranóicos con asuntos de seguridad o privacidad!! y en cambio tiene aplicaciones que usa a diario que transmiten más información de él a cientos de empresas que la que pueda dar a conocer en toda su vida de forma directa. Es de chiste, pero está pasando a día de hoy.
No hay que diabolizar a los programadores ni a las empresas, tenemos gracias a dios una gran cantidad de estos que se toman la privacidad y la recopilación de datos de los usuarios de forma muy seria y responsable, y es algo que te das cuenta perfectamente cuando analizas las aplicaciones. Ves perfectamente quien realmente recopila datos de una forma aceptable y de forma inteligente para no “dañar” de modo alguno la privacidad del usuario, y ves perfectamente a quien le importa bastante poco la privacidad de los usuarios y miran exclusivamente por sus intereres, “robando” toda la información que puedan de estos sin la mayor preocupación. Lo peor es que estas empresas y programadores son los que dan mala reputación al resto, que como digo hay muchos que respetan esto y lo toman muy en serio. Se puede recopilar perfectamente datos estadísticos, de rendimiento, de uso de… de forma responsable.
Para reflejar este comportamiento y que el usuario pueda tener una visión mucho más amplia de todo, me he tomado la libertad de tomar 6 de las aplicaciones más exitosas de Play Store y analizar que datos envían a Internet, como los transmiten (de forma segura o no) o que tipos de servicios usan para la recopilación de dichos datos, es decir, si es la misma empresa la que recopila los datos o dependen de empresas de terceros para ello. Hay que tener en cuenta y bien presente que como digo no he tomado aplicaciones extrañas o poco confiables, hablamos supuestamente de empresas serias donde las haya, por tanto es de esperar que su comportamiento sea igualmente ejemplar:
Angry Birds (Versión 3.2.0): Juego que la gran mayoría conoce bien, de 100 a 500 millones de instalaciones.
Facebook (Versión 3.5): Red Social que tampoco creo que requiera una descripción concreta, de 100 a 500 millones de instalaciones.
Marvell War of Heroes (Versión 1.4.1): Juego de cartas coleccionables, aplicación en el primer puesto (del mundo) por ingresos, de 5 a 10 millones de instalaciones.
Pandora Internet Radio (Versión 4.4): Aplicación para escuchar música (y comprar si se desea) en forma de “estaciones de radio”. No disponible en España, pero esta en las primeras posiciones tanto en ingresos como en usada, de 50 a 100 millones de instalaciones (teniendo en cuenta de nuevo que no está disponible en muchos países).
Instagram (Versión 4.0.2): Red Social para compartir fotos que tampoco requiere de mucha descripción, de 100 a 500 millones de instalaciones.
Google+ (Versión 4.0.2.488): Red Social de Google, tampoco requiere descripción, de 100 a 500 millones de instalaciones
Como podemos ver, no es que haya optado por aplicaciones extrañas que nadie instala, la que menos usuarios posee es un Juego, que es comprensible si tenemos en cuenta que es un juego muy específico con una temática muy muy clara, y aun así es la que está en número uno por ingresos. Evidentemente es solo una lista de 6 aplicaciones, y aunque me hubiese gustado poder crear una lista mucho más extensa con grandes candidatos que evidentemente faltan, se requiere de “bastante” tiempo para analizar el tráfico de las aplicaciones, aislarlo, lidiar con encriptaciones… Tampoco he puesto de ejemplo ninguna aplicación de pago, todas como vemos son gratuitas. Esto no es casualidad. Podría haber usado aplicaciones de pago igualmente populares, pero por un lado la tasa de instalaciones sería mucho menor, por otro el lector solo podría comprobar dichos datos sin comprarla (y siempre me gusta que el lector pueda comprobar cada punto y coma que escribo por si mismo si así lo desea), y para finalizar, las aplicaciones de pago he de decir que suelen ser INFINITAMENTE más respetuosa que las gratuitas, EXCLUYENDO a las empresas realmente serias que respetan la privacidad del usuario. Aun así, como veremos, nadie se salva por un lado o por otro… dicho de otro modo, siempre pueden mejorar (en el mejor de los casos, en el peor de los casos veremos el abuso desproporcionado).
Dado que la mayoría de las aplicaciones usan varios proveedores diferentes para la publicidad y otros, cada aplicación especificará a que hosts conectan y el tipo de información que transmiten y de que modo. La mayoría de ellos son proveedores de publicidad… lo cual no es que sea una novedad. Al final del todo sencillamente incluiré una tabla resumen de todas ellas. Por supuesto todos los datos se refieren al terminal propio.
a.jumptap.com: Navegador Web predeterminado, Versión de Android, Marca y modelo, Firmware y versión, IP, Idioma y País, tipo de conexión (WIFI/3G), Operador móvil -> Publicidad y Estadísticas
ads.mp.mydas.mob: Listado de nuestros sensores, Idioma y Pais, Marca y modelo, Versión de Android, tipo de alimentación (Cargando/Batería) -> Publicidad y Estadísticas
androidsdk.ads.mp.mydas.mobi: Listado de nuestros sensores, Idioma y Pais, Marca y modelo, Versión de Android, Firmware y versión, tipo de alimentación (Cargando/Batería) -> Publicidad y Estadísticas
an.appads.com: Marca y modelo, versión de Android, Firmware -> Publicidad y Estadísticas
neptune.appads.com: Marca y modelo, versión de Android, Firmware, Operador móvil, Idioma y País, Hash del IMEI, Hash de la dirección MAC, resolución de pantalla, otros -> Publicidad y Estadísticas
data.flurry.com: Marca y modelo, Versión de Android, Firmware y versión -> Estadísticas
media.admob.com: Idioma, tipo de conexión, tiempo de encendido (desde que se reinició), tipo de audio (auricular o altavoz), tipo de aplicación (móvil o escritorio), Operador móvil, otros -> Publicidad y Estadísticas
Al menos 7 host diferentes a los que se les manda información de nuestro dispositivo, 5 empresas diferentes (jumptap, Mydas, appads, flurry, admob). Absolutamente todo el tráfico se realizó sin el uso de protocolos seguros (TLS/SSL), con lo que cualquiera en la misma red podría interceptar dichos datos. Al menos el IMEI y la dirección MAC es transferida tan solo como Hash, usados como identificadores únicos de dispositivo, pero dado que es un Hash podemos decir que el reporte de los datos es anónimo, no es posible del Hash obtener el IMEI o la dirección MAC. Algunos datos son lógicos para crear estadísticas o publicidad, en cambio en ningún momento se permite al usuario evitar este envío de de datos anónimos
graph.facebook.com/api.facebook.com (TLS/SSL): País e Idioma, ID único del dispositivo (no es un Hash, calculado a partir del IMEI), Resolución de pantalla, Marca y Modelo, Versión de Android, Listas de cuentas (correo electrónico) añadidas en el dispositivo, Usuario y contraseña de acceso a Facebook en texto plano, Código de verificación cuando se tiene activada la autentificación en dos pasos en texto plano, tipo de conexión (WIFI/3G), Operador Móvil, Coordenadas Geográficas lo más exactas posibles (GSM, WIFI Y GPS), Agenda (De tener activada la opción de sincronización de contactos), Otros…
La aplicación de Facebook tan solo conecta a dos host diferentes para toda la transmisión de información. En este caso la conexión a Facebook desde la aplicación se realiza de forma íntegra por TLS/SSL, lo que hace que el tráfico no pueda ser interceptado a priori. La mayoría de los datos recopilados y transmitidos tienen sentido como un ID único, resolución marca modelo… pero es totalmente inexcusable que se transmita de nuestro dispositivo la lista de cuentas añadidas a nuestro dispositivo!! Es decir que si en mi dispositivo tengo añadido 5 cuentas de correo electrónicos, la aplicación de Facebook transmitirá dichos datos a Facebook, algo totalmente innecesario. Por otro lado también transmite el operador móvil que tampoco posee explicación, y mientras que la transmisión de coordenadas geográficas tiene sentido CUANDO SE USASE LA OPCIÓN de adjuntar ubicación a una publicación, no tiene ninguna razón de ser que aun cuando no se escriba absolutamente nada, la aplicación trasmite igualmente de forma periódica dichos datos.
Por último, es totalmente inexcusable que los datos de acceso como el usuario y contraseña sean transmitidos en texto plano, aun cuando se está usando TLS/SSL para la conexión, puesto que aun así se podría intentar interceptar la conexión (es difícil pero es posible). Una contraseña siempre, siempre siempre… ya sea incluso transmitida por protocolos seguros, debe de ir cifrada de algún modo, aunque sea un hash, ni siquiera el servidor de destino tiene que saber que contraseña de acceso tenemos, tan solo una representación de esta en forma de Hash. Esto es el ABC de la seguridad. Aunque es de todas las aplicaciones probadas la que menos conexiones realiza en cuanto hosts diferentes, es una de las más invasivas por la sencilla razón de que los datos transmitidos son en muchos casos totalmente innecesarios.
Marvell War of Heroes
webview.mobage.com, ultimate-i.cygames.jp, ultimate-a.cygames.jp, play.mobage.com, ava-a.mbga.jp, assets.mobage.com: Marca y Modelo, Versión de Android, Firmware y versión de esta, País e Idioma -> Requerido por la misma aplicación.
service.sponsorpay.com: Dirección MAC, IMEI, ID único del teléfono, Marca y modelo, versión de Android, Idioma -> Publicidad supuestamente
data.flurry.com: Marca y modelo, Versión de Android, Firmware y versión, ID único del teléfono -> Estadísticas
d1.appredeem.com: IMEI del teléfono, ID unico del teléfono -> Publicidad e ingresos indirectos
cvt.mydas.mobi: IMEI
control.kochava.com: IMEI, Dirección MAC, ID único del teléfono, Pais e Idioma, Marca y modelo, Versión de Android, Firmware y versión -> Estadísticas y seguimiento
api2.playhaven.com: Pais e Idioma, Marca y modelo, Versión de Android, Firmware y versión, Resolución de Pantalla, Tipo de conexión -> Estadísticas
api.w3i.com: IMEI, dirección MAC -> Publicidad y Estadísticas
ads2.greystripe.com: IMEI -> Publicidad
app.mobage.com (TLS/SSL): Marca y Modelo, Versión de Android, Firmware y versión de esta, País e Idioma, correo electrónico asociado a la aplicación, usuario y contraseña de la aplicación en texto plano -> Requerido por la aplicación
22 hosts adicionales con los que de momento no transmite datos personales, demasiados para listarlos todos
Si hay una aplicación que se lleve la palma de oro en cuanto a abusos se refiere es esta. Situada en el número uno por ingresos, no es de pago pero permite compras in-app para comprar cartas y otros, lo que le ha dado ese primer puesto. Pese a esto, Mobage, lejos de tener suficiente con esto añade a la misma hasta 6 proveedores de publicidad diferentes, otros cuentos proveedores diferentes de estadísticas, más de 22 hosts diferentes a los que transmite datos a priori no personales… y eso sin contar con por supuesto con el tipo de información que transmiten, que si bien es cierto que no transmiten datos como la agenda de uno, transmite al menos a 6 hosts diferentes el IMEI de nuestro terminal! en algunos casos la dirección MAC de este. Recordemos que tanto lo uno como lo otro puede identificar perfectamente el terminal del usuario, no es lo que llamamos reporte anónimo ni mucho menos como pudiese ser por ejemplo el caso de Angry Birds. Creo que tener más de 6 proveedores de publicidad y otros tantos para la recopilación de datos estadísticos y otros… es abusar. Eso sin contar que la aplicación recauda por otro lado, que es imposible impedir la recopilación de datos, que la aplicación funciona PERFECTAMENTE si se bloquean prácticamente todos los hosts citados, que incluso la transmisión del IMEI y la MAC se realiza a través de conexiones HTML estándar y en texto plano… tan solo la conexión establecida a app.mobage.com y bank.mobage.com de la aplicación se realiza por TLS/SSL, pero no por cuestiones de proteger los datos de sus usuarios, sino para evitar en la medida de lo posible que pueda encontrarse un agujero de seguridad que permita el acceso no autorizado a la base de datos de ellos y con ello poder obtener privilegios especiales en el juego.
Francamente me parece bochornoso. Usan TLS/SSL cuando les conviene o les preocupa a ellos, los datos de los usuarios les importa poco, y la proporción de publicidad y datos que se transmiten no tienen igual.
tuner.pandora.com: Marca y modelo, versión de Android, Firmware y versión, resolución de pantalla -> El buen funcionamiento de la misma aplicación
tuner.pandora.com (TLS/SSL): Marca y modelo, Versión de Android, Resolución de Pantalla, Operador Móvil, Contraseña de la cuenta Pandora (cifrada) -> El buen funcionamiento de la misma aplicación
settings.crashlytics.com (TLS/SSL): No transmite datos personales aparentemente -> El buen funcionamiento de la misma aplicación
stats.pandora.com: Marca y modelo, versión de Android, Firmware y versión -> Estadísticas
autocomplete.pandora.com, cont-sv*-*.pandora.com, audio-sv*-t*-*.pandora.com: Marca y Modelo, versión de Android -> El buen funcionamiento de la misma aplicación
lt.andomedia.com: Versión de Android, código postal y año de nacimiento (datos ingresados en la cuenta de Pandora -> Publicidad
b.scorecardresearch.com: Marca y modelo, Versión de Android, Resolución de Pantalla -> Estadísticas
ad.doubleclick.net: Marca y modelo, versión de Android, Firmware y versión, resolución de pantalla, código postal y año de nacimiento, tipo de conexión, IMEI -> Publicidad
En este caso vemos una empresa/compañía mucho más seria en cuanto a como tratan los datos del usuario. todas las conexiones que pudiesen ser realmente relevantes a sus servidores van bajo TLS/SSL, y la contraseña a su vez va cifrada, no se transmite en texto plano. La mayoría de los datos personales que se transmiten son relativamente comprensibles para usos estadísticos no abusivos. La publicidad que incorpora no llega a ser abusiva y comprensible, teniendo en cuenta que ofrecen igualmente servicios premium sin ella. La oveja negra la pone doubleclick.net al recopilar el IMEI. Otros datos como el código postal, operador o edad tienen sentido si tenemos en cuenta que la aplicación está totalmente prohibida en la inmensa mayoría de los países, aunque esto no es tampoco excusa dado que el principal método de detección que dispone la aplicación es la IP del terminal para saber desde donde se realiza la conexión.
Aun así, dentro de lo malo no es lo más malo.
instagram.com: Marca y Modelo, Versión de Android, Resolución de Pantalla, País, nombre de usuario de la cuenta de instagram -> Necesario para la propia aplicación
instagram.com (TLS/SSL): Marca y Modelo, Versión de Android, Resolución de Pantalla, País, nombre de usuario y contraseña de la cuenta de instagram -> Necesario para la propia aplicación
images.ak.instagram.com: Marca y Modelo, Versión de Android, Resolución de Pantalla, País, nombre de usuario de la cuenta de instagram -> Necesario para la propia aplicación
*.cloudfront.net: Marca y Modelo, Versión de Android, Resolución de Pantalla, País -> Necesario para la propia aplicación
Este es el primer ejemplo que vemos de aplicación que no transmite datos con fines estadísticos evidentes ni publicidad. No podemos decir que sea “perfecto” ya que el nombre de usuario de Instagram se transmite constantemente en conexiones no cifradas y es fácilmente interceptado. El correo electrónico asociado y la contraseña se transmiten en texto plano, aunque lo hacen en una conexión cifrada TLS/SSL ya hemos dicho que una contraseña jamás debe de transmitirse en texto plano, ni siquiera los servidores deben de conocerla, y esto es un error enorme. El resto de los datos que se transmiten están dentro de lo que puede ser comprensible no obstante. Hace un uso “responsable” de nuestros datos. pero ojo, no ovlidemos que Instagram pertenece a Facebook, lo que no recopilan por un lado, lo hacen sin duda por otro ;)
*.googleusercontent.com (TLS/SSL): Marca y modelo, Versión de Android, País -> Necesario para la propia aplicación
android.clients.google.com (TLS/SSL): Cuenta asociada al servicio, País e Idioma, sistema operativo del dispositivo (iOS, Android…) -> Necesario para la propia aplicación
www.googleapis.com (TLS/SSL): Marca y modelo, Versión de Android, País, sistema operativo del dispositivo, Tipo de conexión -> Necesario para la propia aplicación
Lo primero que vemos es que todas las conexiones se realizan mediante TLS/SSL sin excepción, lo que hace realmente complicado a cualquiera que esté conectado a la misma red o en cualquier otro punto interceptar la conexión. Lo segundo que llama la atención es que no hay nada que nos indique que hay una recolección de datos estadísticos ni publicidad, al igual que pasaba con Instagram. Lo tercero es que Google no transmite la contraseña de nuestra cuenta de ninguna de las maneras, aun siendo todas las conexiones cifradas por TLS/SSL. Google usa en este caso un sistema de tokens de seguridad para autorizar el acceso al servicio, lo que hace de la aplicación de Google+ realmente segura y confiable para el usuario. En el caso de ser capaz de interceptar la conexión cifrada (que de por sí es complicado), cualquiera que la interceptase tan solo tendría acceso a los tokens de autentificación, lo cual implica no solo que dicho asaltante jamás podría conocer nuestra contraseña, sino que en el mejor de los casos solo podría acceder a nuestra cuenta de Google+ durante un breve período de tiempo con dichos tokens de seguridad clonando la sesión.
Los datos recopilados restantes, están dentro de lo normal teniendo en cuenta que el propio servicios los necesita. En este caso vemos que aunque Google+ hace uso evidentemente de datos de geolocalización, Google+ no recolecta dichos datos a menos que el usuario los necesite en el momento concreto. Recordemos que Facebook los envía simplemente con entrar en la aplicación, con independencia de que deseemos añadir nuestra ubicación o no.
De las 6 aplicaciones, Google con Google+ es la única empresa que se toma en serio la recopilación de datos, el tratamiento que les da y como los recoge.
Si recogiésemos en una tabla los datos expuestos y puntuásemos de forma global cada una de ellas, esto es lo que tendríamos:
Aplicación Número de Hosts Tipo de Conexión Datos Accedidos Cod. Datos Sensibles Valoración Total
Google+ 3 Segura Razonables Cifrados Muy Alta
Instagram 3 Parcial Razonables Texto Plano Alta
Pandora 6 Parcial Irrazonables Cifrados Media
Angry Birds 7 Insegura Razonables Texto Plano Media
Facebook 2 Segura Irrazonables Texto Plano Baja
Marvell War Heroes 38 Parcial Absurdos Texto Plano Muy Baja
Es cierto que no vemos una flagrante recolección de datos en cuanto acceso a la agenda, registro de llamadas, correos electrónicos… pero no olvidemos que estamos hablando de aplicaciones y empresas que están en lo más alto.
¿Si empresas como Facebook recopilan de forma indiscriminada datos como ubicaciones geográfica sin ser necesarias (hablamos de datos que dicen donde está el usuario en cada momento!!) o el listado de las cuentas de correo que tenemos en nuestro dispositivo simplemente por que sí (porqué tiene que saber Facebook las cuentas de correo que tengo o no), si empresas como Mogabe (de Marvell War Heroes) no tienen escrúpulo alguno con compartir nuestro IMEI (que identifica inequívocamente nuestro dispositivo) o nuestra dirección MAC (que también identifica nuestro dispositivo de forma inequívoca) con montones de servicios y proveedores que no conocemos… no se le pone los pelos de punta a más de uno saber que harán otras empresas o programadores que no están tan en el ojo del huracán?
Evidentemente es imposible testear cada aplicación y saber con exactitud que datos comparte. En cambio, sí podemos conocer que permisos requieren una aplicación, y con ello potencialmente que datos nuestros podrían compartir. Hay dos soluciones a esto. La primera y universal, si no entiendo el motivo por el cual una aplicación requiere acceso a mi agenda o a mis cuentas de correo o a… sencillamente no la instalo!! Me da exactamente igual lo útil que sea dicha aplicación o no lo sea, no puedo sencillamente fiarme de una aplicación (y evidentemente la empresa que está detrás) que no tiene que hacer uso de dichos permisos y los integra. Por suerte hay muchos programadores y empresas que se toman esto en serio, y son los primeros que en la medida de lo posible restringen siempre al máximo el acceso de su aplicación, intentando siempre usar los mínimos permisos posibles. Otros en cambio hacen totalmente lo contrario, añadir más y más…
La primera regla de oro es bien sencillo: Si crees que los permisos son abusivos intenta enterarte si son justificados, y si no logras una respuesta que te satisfaga o sencillamente no tienes respuesta alguna, no instales nada.
Los usuarios de Android si poseen su terminal rooteado tenemos herramientas auxiliares para mitigar en la medida de lo posible estas prácticas. Como dije al principio, una aplicación puede requerir permisos de acceso a todo si lo desea, pero si le bloqueamos el acceso a la red esos datos jamás podrán transmitirlos, con lo que el problema se soluciona de golpe. Hay dos formas efectivas de realizar esto, y en iOS es igualmente posible hacerlo en algunos casos (siempre que el terminal esté Jailbreak).
Usando un Firewall: En Android tenemos programas tan sencillos y simples como WallDroid (por poner un buen ejemplo) que nos permiten configurar listas blancas o negras de nuestras aplicaciones, de modo que si usamos por ejemplo una lista negra, cualquier aplicación marcada en ella tendrá denegado el acceso a internet. Eso sin contar que es posible seleccionar incluso si deseamos bloquear el acceso por WIFI o por datos, o los dos evidentemente. De este modo podemos bloquear cualquier aplicación que sabemos no requiere de Internet, mientras que podemos mantener todas las aplicaciones de sistemas o las que sabemos que son seguras conectadas. Este sistema es muy útil, pero tiene una deficiencia, y es que si la aplicación requiere para su funcionamiento conexión a internet no podremos usarla si la bloqueamos.
Modificando el archivo Hosts del sistema: Este es uno de los trucos más viejos que existe en el mundo para filtrar publicidad y otros. A día de hoy la inmensa mayoría de los sistemas poseen un archivo llamado hosts, este archivo no es más que un listado de resolución DNS prefijado, de modo que cuando hay que resolver la dirección IP de un host, si está en dicho archivo el sistema usa la especificada en dicho archivo. Esto es una herramienta potentísima, y su uso es muy extendido en muchos entornos.
Gracias a este archivo podemos por ejemplo hacer que cada vez que nuestro navegador web pida ir a la web yahoo.com nos envíe realmente a google.es. ¿Como es esto posible? Muy sencillo, en cuanto solicitamos acceder a yahoo.com se envía una petición de resolución DNS que nos devolverá la IP de yahoo.com, que será del modo que accederemos a dicha web. Pero si en mi archivo hosts tengo una línea que diga lo siguiente:
173.194.34.247 yahoo.com
Lo que sucederá es que no habrá realmente una petición DNS que resuelva la IP de yahoo, sino que se usará la IP que está especificada en el archivo hosts cada vez que haya que resolver el dominio yahoo.com. El truco que existe es muy sencillo, y se usa para bloquear cualquier dominio concreto. Sencillamente se mapea el dominio que se quiera bloquear a la dirección de loopback (127.0.0.1). La dirección de loopback es la dirección de sí mismo. Es decir cuando un sistema usa la IP 127.0.0.1 en realidad se está llamando a si mismo. Si se redirige un dominio al propio dispositivo (dado que el dispositivo no posee los recursos que se están solicitando) el efecto es sencillamente que el acceso a dicho dominio se bloquea.
El uso es evidente. Podemos crear un listado todo lo grande que queramos de dominios bloqueados. De este modo si sabemos que la aplicación A requiere acceso a los servidores X, Y y Z para su correcto funcionamiento y que adicionalmente accede a los servidores N, M, O para publicidad y recolección de datos, solo tenemos que añadir a nuestro archivo host 3 líneas, redirigiendo los 3 servidores a la dirección de loopback. De este modo no se bloquea la conexión completa de la aplicación, se bloquea la comunicación de nuestro dispositivo con ciertos servidores/dominios. La inmensa mayoría de aplicaciones usan siempre los mismos proveedores de publicidad o estadísticas, con lo que realmente bloquear uno para una aplicación implica del mismo modo que cualquier aplicación que use el mismo dominio también lo tendrá bloqueado, lo cual es doblemente provechoso.
No obstante para el usuario medio esto tiene una complicación más grande que el uso de un Firewall (o IPtables), y es que el usuario tiene que saber que dominios bloquear o cuales no, y esto puede ser complicados para muchos. Existen multitud de listados en la red por suerte que los mantienen más o menos actualizado para bloquear estos proveedores y de paso bloquear igualmente la publicidad de las aplicaciones, pero si estoy en contra de los abusos de muchas compañías, creo que también es un abuso tomar medidas tales teniendo en cuenta que muchas empresas y particulares que usan la publicidad de un modo responsable se ven damnificados por ello. Si queremos un juego justo y limpio por parte de ellos, hay que jugar limpio tambien por nuestro lado, con lo que no recomiendo bloquear indiscriminadamente cualquier publicidad o servidor que recolecte datos, solo aquellos que realmente abusan (que son muchos muchos muchos).
Siempre que existan abusos hay que luchar de forma activa contra ellos, pero igualmente sin abusos. Una de las cosas que a día de hoy tiene más valor son los datos de los usuarios, y estos se han convertido en moneda común de cambio y venta, y es vergonzoso. Los usuarios parecen no importarles muchas veces esto, son inconscientes o simplemente están malinformados… pero la verdad es que se está llegando un punto en que los propios usuarios exponen su vida totalmente al público (o a empresas, el caso es el mismo). El mejor ejemplo es Facebook, las personas comparten lo que quieren, escriben, fotos, comentarios… y la mayoría cuando les dices: “Sabes que Facebook tiene propiedad sobre TODO lo que escribes y publicas en él?” se quedan sorprendido, no lo saben, pero tampoco hacen nada! Así la mayoría de las personas no tienen políticas de restricción de acceso a los datos, parece que es al revés! que los usuarios quieren que sus fotos, comentarios, vídeos… estén a disposición de todos, de amigos, de amigos de amigos… e incluso muchas veces de acceso público. Para mí eso es vender la vida de uno mismo a precio de saldo.
No estoy en contra de compartir de forma responsable nuestros datos, eso hace que podamos usar servicios que hace unos años sería imposible siquiera de imaginar! Vivimos una explosión tecnología sin precedentes… pero todo hay que hacerlo de forma responsable. Raro es el día o la semana que no nos enteramos de algún caso de imágenes comprometidas publicadas, frases o comentarios que transcienden por cualquier motivo… entonces es cuando todo el mundo se queja y pone el grito en el cielo, es cuando uno tiene un problema cuando parece que todo funciona mal!! Cuando en realidad el 99% de las veces es responsabilidad directa del usuario. No nos quejemos entonces si mañana o pasado en una entrevista de trabajo saben todo de nosotros, si transciende información que parecía imposible que nadie más conociese… porque a día de hoy TODA esta información, se compra y se vende. Facebook tiene derecho si así lo desea de vender los datos de cualquiera de sus usuarios a empresas de publicidad, de marketing… y a quien le de la gana, por la sencilla razón de que es dueño de todo lo que el usuario ha publicado o realizado en su red social, es así de sencillo. Las bases de datos de las empresas van aumentando día a día con nuestros datos, nuestras costumbres, nuestras preferencias… los productos que compramos, las web que visitamos… y ahora las aplicaciones móviles les brindan la información que les faltaba!! Que dispositivo tiene, donde viven… si tienen el IMEI pueden incluso saber nombre y apellidos del usuario si tienen acceso a las bases de datos de IMEI (y por descontado que tendrán acceso de forma legítima o no).
¿Conclusión? Antes de quejarnos, cerremos la boca y entonemos un mea culpa, pongamos la medidas que realmente tenemos que poner, sin llegar por supuesto al fanatismo o a la obsesión.
Por Theliel|2013-07-31T00:34:58+02:00julio 31st, 2013|Android, Internet, iPhone/iPod Touch/iPad, Seguridad|9 Comentarios
DANI 4 diciembre, 2013 en 17:17 - Responder
Hola, me encanta tu blog, llevo horas leyendo articulos y todos me parecen muy interesantes.
Gracias por compartir tus conocimientos. Eres un crack!!
Las líneas rojas de la privacidad en las aplicaciones | recolector.de {tecnologia} 3 abril, 2014 en 09:22 - Responder
[…] En Applesfera | Cómo meter la privacidad y la seguridad de tu dispositivo iOS en cintura Más información | Mcafee | Mind your Group | Inteco | TodoStartUps | Alma Oscura […]
Las líneas rojas de la privacidad en las aplicaciones | Blog actuales.es 3 abril, 2014 en 13:20 - Responder
[…] En Applesfera | Cómo meter la privacidad y la seguridad de tu dispositivo iOS en cintura En Xataka Android | ¿Cómo funcionan los permisos y seguridad de los datos en Android? Más información | Mcafee | Mind your Group | Inteco | TodoStartUps | Alma Oscura […]
pedro 23 febrero, 2016 en 11:57 - Responder
Saludos, lo primero agradecerte el blog y su calidad; en temas móviles, por un lado los contenidos es obvio que soltarlos en la red es perder el control y esa batalla esta perdida; pero lo que creo que si es alarmante es el big data de nuestra localización o seguimiento. Si yo tengo un dispositivo android tablet o móvil y lo uso sin tarjeta de red 3g sino como wifi, tengo dos dudas: las aplicaciones pueden coger mi IMEI o MAC ADDRESS y tenerme identificado? y segunda: si yo tengo una tablet o movil y lo conecto a una wifi el proveedor de internet puede saber que ese router ha dado conexión a ese dispositivo y orange o vodafone saber donde estoy? Un saludo y gracias por anticipado
Theliel 23 febrero, 2016 en 16:07 - Responder
Por supuesto que pueden acceder al IEMI y a la MAC de la interfaz sin ningún tipo de problema. En caso de que sean dispositivos Android, de echo hay un permiso específico que sirve principalmente para eso, para acceder a esa información. Si la aplicación usa dicho permiso, casi con toda seguridad está accediendo a dicha información. Otra cosa es que la aplicación (muchas lo hacen otras muchas no) conviertan ese IMEI o MAC en un ID Anónimo,
Sobre lo segundo… tu operador de telefonía móvil no necesita conocer la MAC ni el nombre del AP al que te conectas para saber donde estás, ya sabe donde estás con una precisión muy alta. Si tienes contrato con Vodafone en el móvil, por ejemplo, técnicamente les bastaría con triangular tu posición mediante las torres GSM, ya que tu propio operador tiene acceso a dichos datos. Siempre por supuesto hablando de si es posible o no, no digo que lo hagan
Por otro lado, la información de tu punto de acceso así como las redes vecinas que están a tu alrededor incluidas aunque no te conectes a ellas (nombre, mac) por defecto ya tengas Andorid o iOS se transfiere a Google o a Apple para que estos puedan crear mapas de ubicación basados en WIFI.
pedro 23 febrero, 2016 en 17:40 - Responder
Gracias por la respuesta, la primera pregunta perfecta, pero la segunda me explique mal tal vez, sabía que si uso el movil como movil por la red triangulan y tal, vamos lo vemos en la tv cuando pillan a delicuentes y tal con suma facilidad.
Pero yo iba a un paso previo, yo me compro un tablet sin conexión a red más que para conectar a un wifi o bien un movil que lo uso solo vía wifi sin meterle SIM, tendría un aparato donde el único código para identificarme con él sería el MAC address, si yo me conecto en un router de vodafone de mi casa o de casa de un amigo y el router recibe la petición de esa MAC, desconozco si lo registra y si ese registro tiene acceso el proveedor de internet.
Quizás se un poco lio, pero muchas veces te metes a un wifi público o estas en un sitio que quieres pasar desapercibido, y piensas, si pillo wifi, por el wifi y la mac me geolocalizan o la mac se queda en el router y la red local y no pasa al proveedor de servicio o otros agentes localizadores.
Imagino que no, porque sino si te roban el movil o un tablet sería facil encontrar los dispisitivos con cierta facilidad, pero la verdad me pica la curiosidad que el proveedor de internet pueda saber que mac address se conectan a mi wifi o si ellos solo juegan con la mac address del propio router quedando las tarjetas de red de mi red local anónimas.
De verás muchas gracias por la rapidez de la respuesta y perdona esta segunda pregunta pero llevo mucho tiempo dandolo vueltas y no he visto gran cosa para un lego en la materia por Internet.
Theliel 23 febrero, 2016 en 18:00 - Responder
A ver, los Routers de los ISP no mandan tu MAC a ningun lado, la gestiona el Router porque es totalmente necesaria como es natural, pero no es un dato que manden a ningun lado. Otra cosa muy difernete es que te conectes a un AP/Router público, evidentemente cualquiera que lo administre puede entrar y mirar las MAC, o incluso tener un programa que las almacene o lo que ellos quieran.
Lo que quieres decir me da ami, es si los proveedores tienen o mantienen una lista actualizada constantemente de todos los dispositivos conectados a los Routers/Ap, y evidentemente no.
pedro 23 febrero, 2016 en 18:04 - Responder
Eso es, no sabía si los router eran chivatos de los equipos que conectamos y de forma indirecta podían tenernos asi registrados; muchas gracias de veras.
Theliel 23 febrero, 2016 en 18:11 - Responder
Pedro, no he dicho que no lo sea, ojo… he dicho que al menos los que ponen los ISP no, pero ten en cuenta que los Routers puden cargarse con el software que uno quiera. Tu no puedes saber tampoco que Router tienen o si le han modidifado el software o… pero aun así, aun en ese caso, los ISP no mantienen bases de datos en cualquiera de ellos.
Por otro lado mucho más peligroso es en los AP gratis que el tráfico pueda estar siendo interceptado. Siempre recomiendo lo mismo… si usas la conexión WIFI que no es la tuya o no tienes una garantía de fiabilidad, no transmitas absolutamente nada que no vaya bajo protocolos seguros

References: resolución 
 resolución 
 Resolución 
 resolución 
 Resolución 
 resolución 
 Resolución 
 Resolución 
 resolución 
 Resolución 
 Resolución 
 Resolución 
 Resolución 
 resolución 
 resolución