En el presente artículo se identifican y analizan nuevas correlaciones y caminos tendentes a una protección mejorada de la privacidad de la información. Aspectos como la no observabilidad (hacer que ítems de interés no sean distinguibles de todos los demás ítems), la confidencialidad (frente al análisis de tráfico, de contenidos multimedia, de identidades, de localización, etc.), la no enlazabilidad (incapacidad de enlazar dos o más ítems de interés como eventos, personas, acciones, paquetes, etc.).

Aunque no es posible un completo anonimato, es ventajoso desplegar: el de emisor (¿quién envió esto?), el de receptor (¿quién es el destino?) y el relacional (¿se encuentran enlazados el emisor A y el receptor B?).

INTRODUCCIÓN

    Cada día es mayor el número de tecnologías y estrategias que posibilitan mitigar algunos de los riesgos asociados a la privacidad y ciberseguridad, por ejemplo: (1) Tecnologías DRM (Digital Rights Management). Permiten el acceso condicional a la información cifrada, oportan trazabilidad y posibilitan el uso en base al usuario y dispositivo autorizado. (2) Tecnologías de cifrado y esteganografía. Protegen los datos/programas de accesos no autorizados ocultando tanto su contenido como su existencia. (3) Tecnologías de anonimato y pseudoanonimato. Automáticamente hacen borrosa la información personal, de modo que aunque autenticada la información es la justa y suficiente para las necesidades, por ejemplo basta con verificar que un canal es seguro. (4) Tecnologías de interfaz. Avisan de amenazas a la privacidad y recuerdan a las personas cómo deben establecer sus parámetros de privacidad. Por ejemplo los navegadores Web pueden ser aumentados para visualizar información normalmente oculta sobre cookies y configuración P3P. Es necesario avisar del peligro relativo a que el lado del cliente P3P puede no impactar en el lado del servidor. En Junio del 2011 se podía leer  como Internet Sega (la Web de videojuegos Sega) sufría el robo de 1,3 millones de datos. En Marzo del 2013 el Cuerpo Nacional de Policía detenía a personas relacionadas con el tráfico de datos confidenciales, adquirían información de particulares de manera ilícita, comprándosela a empleados de empresas de telefonía, Seguridad Social, Hacienda, INEM, etc. En el 2011 el Tribunal de Justicia de la Unión Europea modera la protección de datos en España señalando que la legislación comunitaria fija dos requisitos para la licitud del tratamiento: que sea necesario para satisfacer el interés legítimo de quien los trata y que se respeten los derechos y libertades fundamentales del interesado; no pudiendo los Estados añadir requisitos adicionales. En Agosto del 2015 un ciberataque contra la compañía británica de telefonía móvil Carphone-Warehouse  compromete datos de 2,4 millones de clientes como nombre, direcciones, fechas de nacimiento, información de cuentas bancarias, etc.

RAZONES PARA PROTEGER LA PRIVACIDAD. AMENAZAS A LA PRIVACIDAD.

    La privacidad de la información hace referencia al derecho o capacidad de los individuos para ejercitar el control sobre la recogida-captura, utilización y revelación por parte de otros de su información personal. Cada día va siendo mayor la cantidad de datos a proteger: PII, información de navegador Web y sistema operativo como cookies, información sobre el idioma, direcciones IP y MAC, cantidades de datos enviados y recibidos, timing del tráfico, etc. La PII (Personally-Identifiable-Information) como nombre, dirección, número de teléfono puede ser biográfica, biológica, genealógica, histórica, transaccional, de localización, relacional, computacional, vocacional o de reputación y el material que permite construir nuestra identidad moderna. La privacidad es contextual, nueva y cambiante, varía entre países y debería considerarse durante el diseño de las aplicaciones, su implantación y configuración. Donde no exista la posibilidad razonable de identificar a un individuo específico, bien directamente, indirectamente a través de manipulación, acoplamiento o conexión de información no existe problema de privacidad. Un individuo puede estar escondido dentro de una muchedumbre muy numerosa de personas, carreteras, edificios, etc. (k-anonimato) o puede haber inhabilitado su etiqueta RFID implantada utilizando  tecnología de caja de Faraday para evitar su ejecución cuando entrara en un local donde una bomba debía activarse al identificarlo. J. Craig (1997, “Invasión of Privacy and Charter Values”) identificó seis razones para la protección de la privacidad: (1) Autonomía. Promueve la autonomía animando-estimulando al individuo a hacer su propia voluntad-decisión-elección. (2) Libertad. La privacidad previene la interferencia en los actos de una persona. (3) Refugio. Permite al individuo retirarse de las presiones de la vigilancia pública y de las normas sociales. (4) Creatividad. Protegiendo al individuo contra presiones conformistas, fomenta la experimentación creativa que conduce a la diversidad social. (5) Salud mental. La privacidad ha sido ligada a la salud mental del individuo. (6) Intimidad. La privacidad es una condición necesaria para la creación de relaciones de confianza y hacer confidencias.
    Cada día va en aumento el número y gravedad de amenazas a la privacidad. Entre otras cabe destacar: (1) Revelación no autorizada. De Contenidos, identidades, direcciones, datos bancarios, etc. (2) Mal uso o uso indebido de los datos. (3) Conexión de datos no autorizada. (4) Datos no precisos. Identidades falsas, contenidos erróneos o no actualizados. (5) Function creep. Es el proceso por el cual el propósito del originador para obtener la información se amplia para incluir otros propósitos que los especificados originalmente. La function creep puede ocurrir con o sin el consentimiento o acuerdo de la persona/entidad que proporciona los datos, por ejemplo usar el número del DNI o de la Seguridad Social para nuevos propósitos o vender las fotos de los conductores a una empresa privada o volcar todas las fotocopias realizadas en una tienda de fotocopias en el disco duro del PC del dueño o del empleado de la tienda. Por ejemplo el pasaporte electrónico se utiliza en nuevas áreas como el comercio electrónico. El uso cada vez mayor de una tecnología o sistema más allá del propósito para el que fue pensado originalmente conduce a una invasión potencial de la privacidad. (6) Privacidad física. Estigmatización e higiene. (7) Tracking. Seguimiento y trazabilidad. Por ejemplo utilizar el reconocimiento facial para monitorizar individuos tanto legítimos como terroristas y delincuentes. (8) Perpetrar discriminación, ciberacoso-ciberbullying, etc. (9) Robo de datos, de identidades. (10) Control burocrático sobre la información personal sin salvaguardas judiciales adecuadas. (11) Imprecisión en la recogida-captura, verificación y conformación de datos personales de entidades. (12) Mecanismos de compensación, resarcimiento y reparación. (13) Falsos positivos.

DIMENSIONES DE LA PRIVACIDAD. PROTECCIÓN DE DIFERENTES TIPOS DE DATOS.

    Actualmente pueden identificarse diversas dimensiones en torno a la privacidad: (1) Privacidad de información. Implica el establecimiento de reglas que gobiernan la recogida-captura y manipulación de datos personales como información médica y de bancos y registros de gobierno. También se conoce bajo el apelativo de protección de datos. (2) Privacidad corporal. Se refiere a la protección de los seres físicos de las personas contra procedimientos invasivos como test genéticos, test de drogas, búsquedas dentro de cavidades corporales y acciones químicas, biológicas, radiológicas, nucleares o provocadas por explosivos. (3) Privacidad de las comunicaciones. Cubre la seguridad y privacidad del correo electrónico, mensajería instantánea, teléfonos, coreo postal, y otras formas de comunicación. (4) Privacidad territorial. Se refiere al establecimiento de límites en lo relativo a la intrusión en lo doméstico y otros entornos como espacio público y lugar de trabajo. Esto incluye búsquedas, video-vigilancia y comprobaciones de identidad. A la hora de proteger la privacidad pueden identificarse diversos tipos de datos: (a) Datos de transacciones. Creados por interacción entre agentes sociales y empresa. Existen actualmente soluciones útiles orientadas a la privacidad. (2) Datos de autor. Creados por agentes sociales. Se utilizan herramientas DRM (Digital Right Management) basados en  marcas de agua y esteganografía. (3) Datos de sensores. Representan una amenaza creciente a la privacidad. No esta claro el tiempo de creación. Crecen rápidamente. Ejemplos de datos de sensores: cámaras de vigilancia, drones de video-vigilancia incluso por la noche especialmente con software de reconocimiento facial; software de monitorización del puesto de trabajo (para detectar mal comportamiento, uso indebido o intrusión con keyloggers o agentes-spyware ocultos, por ejemplo; transmisores GPS diferencial/Glonass/QZSS y etiquetas RFID con y sin chip/NFC; sensores inalámbricos (por ejemplo para servicios basados en localización). Los datos de sensores pueden ser difíciles de identificar e incluso a los recolectores de datos, permiten cruzar la frontera entre el mundo real y el ciberespacio. La frontera entre los datos de transacción y los datos de sensores puede ser borrosa, por ejemplo los datos de navegación Web.

ANATOMÍA DE LA PRIVACIDAD DE LA INFORMACIÓN.

    La sociedad actual está experimentando un crecimiento exponencial en cuanto al número y variedad de recogidas de datos que contienen información específica de las personas y entidades. El compartir estas informaciones recogidas es valioso tanto para la  investigación como para los negocios. El publicar los datos puede poner en grave riesgo la privacidad de la persona o entidad. Por tanto el objetivo es maximizar la utilidad de los datos a la vez que se limita el riesgo a la revelación a un nivel aceptable. Actualmente no existe una definición clara del nivel aceptable de revelación (que no sea robo, apropiamiento indebido ruptura del control de acceso). Para investigación médica los hospitales poseen ciertos datos de personas específicas que desea publicar de modo que la identidad de los individuos no pueda determinarse, pero los atacantes pueden inferir los datos secretos y sensibles de la base de datos publicada. Debido a que es difícil identificar lo que pueden ser datos personales, no existe una definición universalmente acordada sobre privacidad tanto offline como online. La privacidad es contextual. Las perspectivas sobre privacidad se encuentran influenciadas por la cultura, economía, sociedad, política, religión, historia, experiencia, educación, etc.
La privacidad puede significar diversas cosas a diferentes personas y puede verse desde muy diferentes puntos de vista y perspectivas:
(1) Es el deseo de las personas y entidades a elegir y controlar libremente bajo que circunstancias y con que extensión expondrán sus datos personales, de geolocalización, etc. y se mostrará su comportamiento ante otros, para ello existe una carrera de nuevas tecnologías y legislación-leyes.
(2) Es la reclamación de individuos . . . .  a la hora de determinar por si mismos cuando, cómo y con qué extensión de información sobre ellos se comunicará a otros (Westin 1967).
(3) Es un derecho humano fundamental definido en el artículo 8 de la Convención Europea de Derechos Humanos. La privacidad de la información tiene dos características distintas: el derecho a estar sólo y el derecho a decidir por si mismo qué revelar sobre uno mismo. Actualmente la protección de la privacidad de la información para individuos se expresa a través de diferentes Directivas de la Unión Europea: Directiva de Protección de Datos 95/46/EC (tiene dos objetivos crear un elevado nivel de protección de datos personales y permitir el libre movimiento de datos dentro de la Unión Europea), Directiva sobre Telecomunicaciones 2002/58/EC, Directiva sobre Firmas Digitales 99/93/EC. Es un derecho recogido a nivel de los países más desarrollados UE, USA, la LOPD con el RMS es una Ley Orgánica en España, etc.
(4) Permite el aislamiento y la soledad deseada. El deseo a estar sólo.
(5) Posibilita la propiedad. El deseo a ser remunerado por los datos de uno.
(6) Permite la autonomía. La capacidad para actuar libremente.
(7) Es objeto de negocio. Para comprar,  vender y pagar por él.
(8) Es la capacidad para controlar la diseminación, almacenamiento, procesamiento y uso de la información personal de uno.

REGLAS Y PILARES DE LAS PRÁCTICAS DE INFORMACIÓN CON EQUIDAD.

    Es urgente abordar la privacidad con: privacidad por diseño-arquitectura (sin olvidad privacidad en la implementación y configuración), trabajar con transparencia y conseguir que la elección del usuario sea simplificada. Algunas de las preguntas clave a la hora de aborda con profesionalidad la privacidad son: (1) ¿Por qué se está pidiendo?. Recoger, especificar el propósito muy claramente y de forma simplificada. (2) ¿Cómo se va a utilizar la información?. Propósitos primarios y limitación de usos. (3) ¿Cuáles son los usos secundarios adicionales posibles? Anunciarlos y exigir consentimiento claro (y no tácito) y prohibir contra toda posible revelación no autorizada. (4) ¿Quién podrá ver mi información?. Acceso restringido de terceras partes no autorizadas.

PROTECTORES DE IDENTIDAD. PSEUDÓNIMOS DIGITALES.

    El protector de identidad permite controlar el intercambio de identidad entre diferentes dominios de identidad. El protector de identidad convierte la identidad de un usuario en una pseudo-identidad que es una identidad digital alternativa que el usuario puede adoptar cuando se utiliza en un determinado caso. Ejemplos de pseudo-identidades son los números de cuenta en bancos, los de la Seguridad Social, el DNI, los asociados a los chips  SIM, las direcciones de correo electrónico, etc. Algunas de las funciones de un protector de identidad son: (1) Generar pseudo-identidades. Pueden ser temporales o permanentes en función del lugar, contexto, fecha, etc. (2) Traducir pseudo-identidades en identidades y viceversa. (3) Convertir pseudo-identidades en otras pseudo-identidades. (4) Combatir el uso indebido. (5) Informar y controlar cuando se revela la identidad.
El usuario puede activar el protector de identidad para diferentes propósitos, por ejemplo para que su identidad se mantenga confidencial mientras se utiliza de forma legítima, para revelar su identidad sólo a ciertos Proveedores de Servicios. Un pseudónimo digital puede representarse por medio de una cadena aleatoria de caracteres (con números, letras, caracteres especiales). El Proveedor del Servicio no conoce al usuario por su identidad sino a través de esa cadena de caracteres que utiliza. El usuario puede seleccionar diferentes pseudónimos digitales uno por cada Proveedor de Servicios con quien interaccione. Por tanto, los Proveedores de Servicios no pueden intercambiar información acerca de cada usuario.  

RED DE ANONIMATO TOR.

    La red TOR (basada en onion router) esta diseñada con la finalidad de ofrecer anonimato a través de Internet. La red TOR consta de un colectivo numeroso de nodos TOR. El software cliente se encarga de encaminar tráfico de Internet como navegación Web y correos electrónicos a través de circuitos que se establecen en la red TOR.  Estos circuitos TOR son conexiones a través de tres nodos TOR y expiran cada diez minutos. La construcción de un circuito TOR  pasa por cuatro fases: (1) El originador A aprende acerca de todos los nodos TOR disponibles y selecciona tres de forma aleatoria. Es decir el cliente TOR de A obtiene una lista de nodos TOR de un servidor de directorio y selecciona un camino aleatorio al nodo o servidor destino. (2) El originador A conecta con el primer nodo que selecciona. El nodo genera un par de claves pública-privada efímeras-temporales que firma digitalmente con su clave permanente. La nueva clave pública se utiliza para intercambiar una clave simétrica. (3) El originador A puede ahora tunelizar tráfico a través del nodo 1 a su segundo nodo y de nuevo acuerda una clave efímera. (4) El originador A tuneliza tráfico a través del nodo 1 y nodo 2 al tercer nodo y de nuevo intercambia las claves efímeras. Ahora el originador A está preparado para salir de la red TOR a través del tercer nodo y de forma anónima conversa con el receptor B. Cuando A envía un mensaje a B cifra con tres capas de cifrado utilizando tres claves efímeras que acuerda con los nodos. Cada nodo descifra una capa de cifrado antes de reenviar el mensaje al siguiente nodo-servidor. Ninguno de los nodos sabe quien habla con quien y el destinatario B no necesita saber quién o donde esta el originador A. Los circuitos sólo existen durante unos pocos minutos, después de que las claves efímeras se destruyen. Incluso si el tráfico TOR se ha registrado, el contenido no puede recuperarse por el tamaño de las claves. Últimamente han aparecido mejoras de TOR como HORNET (High-speed Onion Routing at the NETwork layer) algo más segura, utiliza cifrado simétrico y cifra cada paquete de manera individual, opera a más de 90 GBps. Recordar que el anonimato perfecto no es posible ya que se necesita cooperación y este eslabón se puede romper.

CONSIDERACIONES FINALES.

    Nuestro grupo de investigación lleva más de veinte años en el campo de una  protección mejorada de datos y privacidad de la información. Como asignatura pendiente el hecho de empoderar a las personas-entidades para que puedan medir su nivel de privacidad y poder interactuar adecuadamente y con efectividad con medios apropiados.

BIBLIOGRAFIA.

-    Areitio, J. “Seguridad de la Información: Redes, Informática y Sistemas de Información”. Cengage Learning-Paraninfo. 2015.
-    Areitio, J. “Exploración y análisis de los sistemas ciberfísicos desde la perspectiva de su ciberseguridad”. Revista Conectrónica. Nº 181. Noviembre 2014.
-    Areitio, J. “La gestión de identidad, prioridad estratégica para poder minimizar los riesgos de seguridad de la información”. Revista Conectronica. Nº 146. Abril 2011.
-    Areitio, J. “Potencial oculto de la esteganografía en la moderna seguridad de la información”. Revista Conectronica. Nº 136. Abril 2010.
-    Zeadally, S. and Badra, M. “Privacy in a Digital Networked World: Technologies, Implications and Solutions”. Springer. 2015.
-    Laurent, M. and Bouzefrane, S. “Digital Identity Management”. Elsevier. 2015.
-    Metadata-Clearner: herramienta para borrar metadatos de documentos Office: http://www.pointstone.com/products/metadata-cleaner
-    Bowman, C., Gesher, A., Grant, J.K. and Slate, D. “The Architecture of Privacy: On Engineering Technologies that Can Deliver Trustworthy Safeguards”. O`Reilly Media. 2015.
-    Foca: herramienta para borrar metadatos de documentos: http://www.informatica64.com/Download Foca/
-    Herold, R. and Hertzog, C. “Data Privacy for the Smart Grid”. Auerbach Publications. 2015.
-    Editor hexadecimal xvi32 para visualizar la representación hexadecimal de imágenes u otros ficheros: http://www.chmaas.handshake.de/
-    Craig, T. and Ludloff, M.E. “Privacy and Big Data”. O`Reily Media. 2011.
-    Tor herramienta para anonimato de red: https:/torproject.org/download
-    Cherry, D. “The Basics of Digital Privacy: Simple Tools to Protect Your Personal Information and Your Identity Online”. Syngress. 2013.

Autor:

Prof. Dr. Javier Areitio Bertolín
Catedrático de la Facultad de Ingeniería. Universidad de Deusto.
Director del Grupo de Investigación Redes y Sistemas.