As¨ª revelan las ¡®apps¡¯ de Android nuestros secretos sin que lo sepamos

El rastreo digital fue uno de los ¨¦xitos ef¨ªmeros de la pandemia. En Espa?a, Radar Covid naci¨®, creci¨®, fall¨® y muri¨® r¨¢pido. La idea nunca cuaj¨® por muchos motivos, pero uno que le dio la puntilla fue que, a pesar de todas las promesas iniciales de seguridad y privacidad, un error de Google provocaba que los datos se escaparan en m¨®viles Android por un lugar insospechado: los registros de actividad (logs, en ingl¨¦s) de las apps. Ahora una nueva investigaci¨®n ha descubierto que por ese agujero se sigue escapando informaci¨®n privada de los usuarios de Android, a la que tienen acceso m¨¢s empresas de las que deber¨ªan.

¡°Esta investigaci¨®n descubre un agujero muy importante, que no est¨¢ bien regulado ni estudiado¡±, dice Carmela Troncoso, investigadora de la Escuela Polit¨¦cnica Federal de Lausana (Suiza) que lider¨® un grupo europeo encargado de la creaci¨®n de las aplicaciones de rastreo en 2020. ¡°Pero es un problema general, en las apps de rastreo y en todo. La conclusi¨®n es que no puedes hacer algo privado por dise?o en una plataforma como Android, que es defectuosa por definici¨®n¡±.

Los logs son un largo y exhaustivo diario que recopila lo que ocurre en una app. Su uso original y aceptado es detectar bugs (errores en el c¨®digo) antes de lanzar las apps al p¨²blico. Pero, en realidad, no es eso lo ¨²nico que ocurre. Google pide a los desarrolladores de apps que retiren los logs una vez que las aplicaciones est¨¢n publicadas, porque pueden contener informaci¨®n sensible. Y la reciente investigaci¨®n demuestra que siguen ah¨ª, y que en ellos puede encontrarse de todo.

¡°Encontramos que los logs no tienen informaci¨®n puramente t¨¦cnica, sino que por descuido o de forma intencionada tambi¨¦n pueden contener datos personales o informaci¨®n que revela la actividad del usuario¡±, dice Juan Tapiador, catedr¨¢tico de la Universidad Carlos III y uno de los autores del art¨ªculo. ¡°Un ejemplo es el caso de Microsoft Teams o Discord, o las apps farmac¨¦uticas CVS y Drug Mart, que tienen unas actividades que dan mucha informaci¨®n. En el caso de Teams es posible saber, por ejemplo, el momento exacto en que has realizado una llamada. En el caso de CVS y Drug Mart se almacenan, entre otros datos, las categor¨ªas de productos que se usan para filtrar los resultados de b¨²squeda¡±. As¨ª queda registrado el tipo de producto farmac¨¦utico que alguien busca, desde anticonceptivos a pastillas para el colesterol.

El permiso para acceder a esa extensa informaci¨®n privada personal en Android est¨¢ limitado a Google, a los fabricantes de los dispositivos y a las apps preinstaladas que esos fabricantes han querido colocar ah¨ª. Entre ellas, hay empresas que se dedican a la publicidad. El bot¨ªn al que tienen acceso en las tripas de los m¨®viles Android es dif¨ªcil de calcular. Por ah¨ª corren todas las apps, y puede haber desde nuestra localizaci¨®n a nuestros intereses o nuestras relaciones amorosas.

Android se basa en un proyecto de c¨®digo abierto mantenido por Google. Pero no es un ecosistema cerrado como el de los iPhone de Apple. ¡°Cualquier fabricante de tel¨¦fonos puede introducir cambios en el sistema operativo y apps de otras organizaciones con las que tenga acuerdos comerciales, incluso apps de empresas que forman parte de la industria basada en la comercializaci¨®n de datos personales y publicidad¡±, dice Narseo Vallina-Rodr¨ªguez, investigador de Imdea Networks y cofundador de AppCensus, dedicada al an¨¢lisis de la privacidad en las aplicaciones m¨®viles. ¡°El gran problema es que esas apps preinstaladas son parte del sistema operativo y pueden acceder de forma privilegiada a datos y recursos sensibles a los que una app normal no puede acceder, como es el caso de los logs del sistema desde la versi¨®n Android 4.1¡å.

Una jungla de ¡®hardware¡¯ y ¡®software¡¯

Es un equilibrio complejo en un panorama ca¨®tico. Los dispositivos Android viven en un entorno similar a una jungla, donde docenas de empresas tratan de extirpar datos y beneficios sin el conocimiento del usuario. ¡°Los riesgos de seguridad y privacidad derivados de la cadena de suministro son complejos de resolver. En la fabricaci¨®n de un producto y de todo el software que incluye intervienen muchas partes, a veces con relaciones complejas entre s¨ª, y donde los riesgos de una entidad pueden ser heredados f¨¢cilmente por otras¡±, dice Juan Tapiador.

A preguntas de EL PA?S, una portavoz de Google respondi¨® que intentan hacerlo todo a la vez: proteger al usuario y dar m¨¢s posibilidades a los desarrolladores de las apps. ¡°La seguridad y privacidad del usuario es una prioridad principal para Android. Apreciamos mucho la investigaci¨®n de la comunidad que ayuda a que Android sea seguro. Realizamos mejoras constantes en las funciones de Android para garantizar que los datos de los usuarios est¨¦n seguros y sean privados, al mismo tiempo que permitimos a los desarrolladores crear las mejores aplicaciones posibles¡±, dice la portavoz.

Google admite a este peri¨®dico que todas las aplicaciones que tienen acceso a los registros del dispositivo son aplicaciones autorizadas por los fabricantes de dispositivos, con lo que traslada parte de la responsabilidad de las intromisiones que puedan surgir a otros actores.

¡°Me sorprendi¨® genuinamente el nivel de datos confidenciales registrados por los fabricantes de dispositivos de hardware¡±, dice Serge Egelman, investigador de la Universidad de California, en Berkeley (EE UU) y tambi¨¦n cofundador de AppCensus. ¡°Si estos dispositivos est¨¢n siendo certificados por Google como dispositivos Android oficiales, realmente debe haber cierta supervisi¨®n de que est¨¢n siguiendo las pol¨ªticas de Google y las mejores pr¨¢cticas b¨¢sicas¡±.

Pero nadie vigila ni asegura que esa informaci¨®n no est¨¦ ah¨ª o no sea accesible a actores que puedan potencialmente hacer un mal uso de la informaci¨®n privada de usuarios. Bart Preneel, catedr¨¢tico de la Universidad Cat¨®lica de Lovaina y director t¨¦cnico de la app belga de rastreo digital Coronalert, describe el problema en tres puntos: ¡°Uno, se facilita a los desarrolladores el registro de mucha informaci¨®n, y la mayor¨ªa contiene datos confidenciales, en particular si se combinan los registros de varias aplicaciones. Dos, esta informaci¨®n es ¨²til para Google y para los fabricantes. Pero muchas otras aplicaciones autorizadas por ellos tambi¨¦n tienen acceso, as¨ª que el riesgo de abuso es muy alto: permite la creaci¨®n de perfiles de usuario por parte de un gran n¨²mero de partes. Y tres, Google advierte a los desarrolladores que no registren demasiado, pero los desarrolladores hacen esto de todos modos, y no se vigila¡±, dice Preneel.

Un remedio insuficiente de Google

En este caso la informaci¨®n que aparece en los logs no deber¨ªa en realidad estar ah¨ª. Hace a?os que los consejos de Android tratan de evitar incluir actividad privada en esos registros. Pero ni se controla ni se vigila y para los desarrolladores de aplicaciones y fabricantes el problema no es directamente suyo. Es un ejemplo claro de que la peor parte se la lleva el usuario, que no sabe nada de lo que ocurre. Es software que ya est¨¢ ah¨ª cuando le llega a las manos, dentro de su m¨®vil.

Tras tener conocimiento de la investigaci¨®n, Google ha introducido una advertencia para los usuarios en la versi¨®n 13 de Android: ¡°Los mecanismos que ha introducido Google en Android 13 para mejorar la transparencia e informar a usuarios sobre el acceso a los logs por apps preinstaladas son un buen paso¡±, dice Vallina-Rodr¨ªguez. ¡°Permitir¨¢n que los usuarios puedan controlar cuando y qui¨¦n puede acceder a esta informaci¨®n. No obstante, la mejora del sistema de permisos solo mitiga este problema concreto, y no puede abordar los problemas generales asociados con la falta de control sobre la cadena de suministro de los productos digitales¡±, a?ade. Es un remedio insuficiente, a?ade Preenel: ¡°Es solo un parche, la mayor¨ªa de usuarios no tienen ni el tiempo ni las ganas de controlar este tipo de configuraciones¡±.

Google no tiene obviamente toda la responsabilidad aqu¨ª. Los desarrolladores de apps deber¨ªan ser m¨¢s cuidadosos con la informaci¨®n que permiten que aparezca en los logs y saber que no son los ¨²nicos que tienen acceso a esa informaci¨®n: ¡°Los creadores de aplicaciones podr¨ªan registrar menos datos¡±, sugiere Joel Reardon, investigador de la Universidad de Calgary y cofundador de AppCensus. ¡°Muchas apps usan servicios como Crashlytics para recopilar registros de errores, lo que les permite depurar con la app ya desplegada. Antes, los usuarios de ese tipo de software se llamaban probadores beta y la participaci¨®n era voluntaria. Si los creadores de aplicaciones no tienen la intenci¨®n de mirar los registros, hay muchas menos razones para registrar tantos datos como hemos encontrado¡±.

Puedes seguir a EL PA?S Tecnolog¨ªa en Facebook y Twitter o apuntarte aqu¨ª para recibir nuestra newsletter semanal.