Elena Menéndez, redactora en La Nueva España, me escribía nuevamente el jueves pasado para trasladarme algunas preguntas respecto al impacto en cuanto a privacidad y seguridad que podrían tener dispositivos como los altavoces inteligentes y los wearables.
Un tema del cual ya hemos hablado en más de una ocasión (de hecho ya había comentado un poco el tema de los asistentes virtuales en el periódico hace algo más de medio año), y cuyas respuestas le han servido para publicar estos días una pieza en el periódico (ES/PDF).
Justo después de hablar con ella, se dio a conocer “Project Alias” (EN), el que muy probablemente podemos considerar el primer ejemplo de hack verdaderamente interesante de estos dispositivos.
Hablamos de un aparatito open source (cualquiera en casa que tenga una impresora 3D y sepa un poco de raspberry pi podría montárselo) que, colocado encima de estos asistentes, emitiría un ruido blanco continuo que solo para cuando nosotros decimos la palabra o frase previamente programada.
De esta manera, se rompe el “ambient listenning and seing” presente en los asistentes actuales, devolviendo el control de uso de la empresa al usuario. Ya no tenemos un espía continuamente escuchando, sino un dispositivo inteligente que solo es capaz de escucharnos cuando nosotros proactivamente se lo permitimos.
Así que como suelo hacer habitualmente, te dejo por aquí la conversación íntegra:
Me han regalado estas Navidades un altavoz Alexa y un reloj inteligente y quiero saber: ¿Estamos ante dispositivos seguros?
Aquí el problema, de base, es perfilar qué entendemos por seguridad. En líneas generales, y por ser lo más estricto posible, hablamos de dispositivos relativamente seguros en tanto en cuanto, sin contar el factor fallo humano, un agente externo a la propia compañía lo tiene difícil para comprometer su seguridad.
Estas grandes compañías basan su negocio precisamente en crear un ecosistema lo más seguro posible que les permita manejar únicamente ellos la información del usuario (en el caso de los dos primeros con la idea de explotarla lo máximo posible para negocio, y en el caso de Apple, con fines más bien de optimización del conocimiento de sus clientes).
Pero vaya, que cualquier dispositivo conectado es potencialmente un dispositivo vulnerable. No es la primera vez y no será la última que alguien consigue, de alguna manera, acceder al contenido de los mismos, ya sea de forma específica (ataques dirigidos a personas) o masivamente (errores en los sistemas en la nube de estas compañías que comprometen información del usuario).
Sin ir más lejos, la semana pasada conocíamos que los Chromecast, un dispositivo conectado que muchos tenemos por casa, eran vulnerables a un ataque que permitía a terceros hacerse con el control del mismo (EN).
¿Qué saben de mi o que pueden llegar a saber?
Mucho, y esa es la parte que más me preocupa.
Hablamos de dispositivos de ambient listenning and seeing, es decir, dispositivos que están continuamente escuchando. Esto no significa que estén grabando todo lo que oyen, sino que a nivel local están escuchando, y cuando reconocen una palabra clave específica (Ok Google, Alexa…), empiezan a almacenar esa información e intentan resolver la duda o petición, generalmente enviando el registro de voz a los servidores de la compañía.
Lo que en la práctica tiene dos riesgos a considerar:
- Tenemos en casa un potencial espía: Como veíamos antes, cualquier dispositivo puede ser hijackeado (es decir, secuestrado) por un tercero. Es más cuestión de tiempo que otra cosa. Y en este caso hablamos de dispositivos que potencialmente pueden servir para espiarnos. Saber cuándo estamos en casa, qué hábitos tenemos, de qué hablamos… Hace tiempo profundicé en el impacto de un estudio que demostraba cómo un nuevo modelo de barbie conectada podía ser utilizado por cibercriminales no solo para grabar a las niñas en su cuarto, sino también para incentivarlas a realizar acciones que comprometían la seguridad financiera de la familia (fraudes online). La niña simplemente estaba haciéndole caso a su muñeca. Cosas como esta dan mucho miedo.
- El error humano y la mala praxis empresarial: Alrededor de Alexa hay ya varios casos turbios, como ese ciudadano alemán que, pidiendo a Amazon que le diera acceso a todos los registros que tenía la compañía del uso de su asistente, se encontró con que junto a sus registros tenía acceso a los registros de otro usuario alemán (EN), ese caso de doble asesinato en EEUU que se resolvió gracias al registro que tenía Amazon (EN) de la discusión grabada por el asistente del salón (¿hasta qué punto la compañía puede acceder a conversaciones que en teoría no deberían haberse grabado?), y esta misma semana, el escándalo que ha salido a la luz con las cámaras de seguridad de Ring, una marca de Amazon a cuyos registros algunos trabajadores de la compañía en Ucrania tuvieron acceso casi ilimitado (EN), pudiendo consultar con un simple email todo lo que esa familia estaba haciendo tanto en tiempo real como de registros pasados. ¿Son errores? ¿Podemos considerar esto la excepción que confirma la norma? Lo cierto es que está ocurriendo, y una vez ocurre, por muchas disculpas que de la compañía el mal ya está hecho.
Y respecto a wearables como las pulseras cuantificadoras y los relojes inteligentes, estamos ante el mismo escenario. Son vulnerables a ataques de terceros que podrían comprometer nuestra privacidad en temas tan críticos como hábitos diarios, lugares habituales (casa, trabajo…). Fue muy sonado en su día el cómo los datos estadísticos recogidos por strava, una de las aplicaciones de deporte más utilizadas en occidente, servían de paso para identificar donde había bases militares en teoría secretas de la ONU en territorios en guerra como Somalia o Irak.
¿Algunas medidas o recomendaciones para utilizar estos dispositivos de forma más segura?
Me resulta complicado responderte a esta pregunta sin caer en lo obvio.
Si compras un Amazon Alexa, un Google Home, un Home de Apple, o un wearable, lo deberías hacer porque los beneficios que obtienes de ello en cuanto a funcionalidad superan a sus riesgos (sobre todo privacidad).
En mi caso sobre asistentes creo que todavía no estamos en ese momento. He probado los tres, y como mucho el único que le veo algo de sentido es el de Alexa, que claramente a día de hoy y en español es el más avanzado.
También me preocupa un tema y es la identificación del usuario. Estos dispositivos, según el modelo, o no discriminan por usuarios (cualquier persona puede pedirle acciones al asistente, que estará asociado a una cuenta personal de un único miembro de la familia), o lo hacen en base al propio reconocimiento de voz (cada miembro de la familia puede asociar su voz a su cuenta), que por mucho que queramos no deja de ser bastante inexacto (dos hermanos podrían tener una voz lo suficientemente parecida como para que asistente no los identifique correctamente, una grabación de voz podría activar el dispositivo y luego hacer la petición un tercero en nuestro nombre, accediendo quizás a nuestro calendario e incluso modificando alguna cita que tuviéramos).
Con los wearables me pasa al contrario. A fin de cuentas estas pulseras cuantificadoras me han servido para tener hábitos de vida más saludables. Así que supongo que he antepuesto, como entiendo que es normal, la salud a los riesgos de privacidad asociados a su uso.
Tiene pinta que tarde o temprano las interfaces conversacionales van a ir ganando terreno a las interfaces táctiles, hegemónicas en la actualidad, al menos para acciones puntuales e inmediatas (la mayoría de acciones del día a día).
Y bajo este prisma, es esperable que estos asistentes vayan mejorando en cuanto a seguridad y privacidad, seguramente a golpe de escándalos como los comentados y de la presión de la industria y la legislación de cada país, adaptándose a las necesidades del usuario.
Y quizás también redefiniendo lo que entendemos por privacidad y seguridad.
