El estado del registro de datos: una evaluación de los niveles de amenaza y las prácticas de seguridad
15/5/2018 - 12 min de lectura
Actualizado: 26/9/2021
Psiphon Inc. lleva años liderando la lucha para abrir internet a quienes viven bajo regímenes censores. A pesar de no enfrentar restricciones de contenido en línea, los usuarios de países occidentales recurren a VPNs como Psiphon para proteger su privacidad personal en línea. Sin embargo, en marzo de 2017, el Pew Research Center publicó una alarmante estadística que indicaba que alrededor del 70% de los internautas estadounidenses no está seguro de cuál es el propósito de una VPN.1
Si el número siempre creciente de cuentas de Psiphon sirve de indicio del aumento de usuarios de VPN en todo el mundo, una afluencia sustancial de usuarios independientes está entrando en un mercado en el que no disponen de ninguna métrica para evaluar críticamente los productos. Este grupo asume ahora la carga de comprender los riesgos en el desconocido campo de la ciberseguridad. Por lo tanto, son muy vulnerables a la desinformación. Uno de los términos que pone a los usuarios en máxima alerta es la omnipresencia del término registro de datos en sitios web y foros sobre VPNs, junto con una tergiversación de los riesgos individuales y de los métodos para protegerse eficazmente.
Según Techopedia, «el registro de datos es el proceso de recopilar y almacenar datos a lo largo de un período de tiempo para analizar tendencias específicas o registrar los eventos/acciones basados en datos de un sistema, red o entorno de TI. Permite el seguimiento de todas las interacciones a través de las cuales se almacenan, se accede o se modifican datos, archivos o aplicaciones en un dispositivo de almacenamiento o aplicación».2 Muchas VPNs comercializan una política de cero registros como una característica supuestamente exclusiva del producto, insinuando así que el tráfico de internet de los ciudadanos comunes se encuentra, de lo contrario, en constante riesgo de ser registrado y posiblemente explotado con fines comerciales y legales.
Esto se ha convertido en un tema candente tras la derogación en abril de 2017 de ciertas protecciones de la FCC que habrían exigido a los proveedores de servicios de internet (ISPs) estadounidenses obtener permiso antes de compartir los datos de los usuarios (en caso de haber entrado en vigor como estaba previsto en diciembre de 2017). La idea de que su propio gobierno promueva que los ISPs guarden registros de nuestros historiales personales de internet para luego venderlos o revelarlos sin consentimiento resulta alarmante para la mayoría de los usuarios de internet.
Como firme defensor de la libertad en internet, Psiphon se esfuerza a diario por garantizar que nuestros usuarios tengan un acceso justo y abierto a una internet sin censura y sin repercusiones. La creciente legalidad del uso no autorizado de los datos de los usuarios y del historial de navegación genera una narrativa preocupante que demuestra que los beneficios económicos a menudo prevalecen sobre la ética. Pero Psiphon ha querido profundizar en la comprensión del panorama de las prácticas de tráfico y registro de datos.
Un breve análisis comparativo de las políticas de registro de datos en EE. UU., la UE y Canadá
En general, los países occidentales han definido las protecciones y regulaciones a través del prisma de la seguridad de los datos almacenados. Estas leyes establecen disposiciones relativas a los estándares de seguridad que deben cumplir las empresas al recopilar y almacenar los datos de los usuarios. También describen los aspectos legales pertinentes a la divulgación de información. Sin embargo, todas las leyes a las que se hace referencia en este documento dejan las decisiones relativas al tipo de datos y a las situaciones en las que se recopilan, así como a la duración de la retención de dichos datos, a discreción de la entidad recopiladora. Aunque en muchos casos estas entidades deben justificar la lógica de sus políticas ante un órgano de gobierno central, dicha legislación crea un arma de doble filo, ya que respalda tácitamente la retención de datos en muchos casos.
Por ejemplo, actualmente no existen regulaciones generales en los EE. UU. respecto al registro de datos. Los ISPs son libres de recopilar y almacenar datos de los usuarios, siempre que se informe a estos de que están sujetos a tales prácticas en los términos de servicio o en el acuerdo de licencia de usuario. Sin embargo, las empresas se rigen por la Ley de Comunicaciones Almacenadas (Stored Communications Act), que prohíbe la divulgación de datos de usuarios, incluidas las comunicaciones electrónicas, «a cualquier persona distinta del destinatario previsto».3 Aunque el gobierno estadounidense exige a todas las empresas proteger los datos de los usuarios, no limita de forma expresa las prácticas de registro ni la duración razonable del almacenamiento de datos.
La cuestión más amplia del registro por parte de los ISPs no es nueva, ni tampoco es un problema aislado. De hecho, la cuestión del registro de datos tiene su origen en los mismos interrogantes jurídicos del debate recientemente resurgido sobre la neutralidad de la red en los EE. UU.
La Unión Europea aprobó en abril de 2016 una legislación a escala comunitaria denominada Reglamento General de Protección de Datos (GDPR), que amplía la Directiva de Protección de Datos original de 2012 y establece pautas de seguridad de los datos, derechos de los usuarios y clasificaciones jurídicas de los sujetos. Sin embargo, cada Estado miembro tiene la obligación de determinar el período de retención de datos adecuado y no está sujeto a un plazo obligatorio a escala comunitaria.
Las empresas independientes son responsables de determinar la duración adecuada de la retención de los datos recopilados, al tiempo que pueden establecerse períodos adicionales de retención para fines de «archivo en interés público, uso científico, estadístico o histórico».4 Sin embargo, según las disposiciones del GDPR, los ciudadanos particulares tienen el «derecho al olvido» y pueden solicitar que sus datos personales se eliminen de un servidor.
Por último, la estructura federalista de Canadá ha creado una organización jurisdiccional de varios niveles con respecto a sus normativas de registro de datos. Ha promulgado la Ley de Protección de Información Personal y Documentos Electrónicos (PIPEDA), que establece directivas y regulaciones nacionales sobre la recopilación de información para actividades comerciales y define un estándar nacional para la información de identificación personal, que incluye:
• edad, nombre, números de identificación, ingresos, origen étnico y grupo sanguíneo;
• opiniones, evaluaciones, comentarios, estatus social o medidas disciplinarias, etc.
• expedientes de empleados, informes crediticios, registros de préstamos, registros médicos, la existencia de una disputa entre un consumidor y un comerciante, intenciones (por ejemplo, adquirir bienes o servicios o cambiar de trabajo).5
Al igual que en la Directiva de la UE, se incluyen disposiciones que permiten la divulgación de información al Centro de Análisis de Informes y Transacciones Financieras de Canadá (FINTRAC) en relación con personas sospechosas de actos delictivos como la financiación del terrorismo. Sin embargo, la PIPEDA no detalla explícitamente los procesos para proteger la información ni para limitar la duración legal de su almacenamiento. Aunque el apartado 4.5.3 establece que «la información que ya no sea necesaria para cumplir con los fines identificados debe destruirse», las empresas individuales tienen la libertad de implementar sus propios procedimientos.
Más abajo en la cadena, las provincias con capacidad para promulgar sus propias leyes de protección de datos pueden prevalecer sobre las disposiciones de la PIPEDA.
Entonces, ¿tienen razón las VPNs alarmistas?
Las VPNs logran alarmar a los clientes potenciales debido a tres fallos fundamentales en los regímenes de registro actuales:
1. Es posible que sus datos de identificación personal no estén adecuadamente protegidos
2. Los ISPs y las empresas en línea pueden utilizar sus datos personales para obtener beneficios comerciales
3. Las bases de datos con información personal en manos de ISPs y empresas en línea están a disposición de los organismos encargados de hacer cumplir la ley y agencias gubernamentales
Los tres Estados evaluados han permitido la recopilación y retención legal de datos personales identificables de los usuarios. Aunque los ISPs y las empresas en línea están legalmente obligados a proteger dicha información, en el fondo esto ha creado un sistema débil basado en la confianza que carece de una supervisión clara en prácticamente todas las jurisdicciones. Es fácil decir que quienes no usan internet para actividades comprometedoras o ilegales no tienen de qué preocuparse, pero en Psiphon creemos que todos los internautas tienen una expectativa razonable de privacidad, independientemente de sus conductas en línea.
Por lo tanto, se puede asumir que los ISPs tienen derecho a registrar los datos de los usuarios. Esto puede resultar inquietante para los usuarios individuales de internet que temen el uso no autorizado de información privada, como historiales médicos o datos bancarios, o la intrusión maliciosa en dichas bases de datos. Además, si un ISP recibiera una Carta de Seguridad Nacional o una orden judicial solicitando registros de usuarios, estaría obligado por ley a proporcionar dicha información a las autoridades.
Con las leyes actuales vigentes, las empresas en línea no tienen libertad para vender datos de identificación personal con fines comerciales ni para divulgar dicha información. Sin embargo, están plenamente en su derecho de retener y utilizar estos datos para diversos procesos internos, como las estadísticas de clientes. Con la posible e inminente erosión de la neutralidad de la red en los Estados Unidos, los almacenes de datos de identificación personal podrían explotarse o divulgarse sin consentimiento. Aun así, uno de los principales motivos de preocupación entre los usuarios de VPN es el riesgo de que dichos datos sean extraídos de forma maliciosa, a pesar de las mejores intenciones del proveedor del servicio.
Los internautas siempre llevarán la carga de informarse sobre las prácticas de las empresas con las que interactúan. Una preocupación fundamental es que algunos usuarios finales no comprendan el significado o las consecuencias de los términos de uso y basen su elección en estándares sociales y técnicos vagos y a menudo engañosos sobre si la VPN es fiable y segura. Por no hablar del análisis de mercado que debe hacerse para garantizar que las VPNs cumplen verdaderamente las políticas de privacidad que presentan a los usuarios potenciales, especialmente si el servicio de VPN exige la creación de cuentas de usuario vinculadas a información de identificación personal.
Es más, una vez que se toma una decisión informada, los usuarios en ubicaciones geográficas específicas y en sitios determinados pueden sentirse cómodos utilizando una conexión no cifrada o una conexión HTTPS estándar. Pero donde persista la confusión o la inquietud, puede utilizarse una VPN sin registros como Psiphon para evitar que los datos de identificación personal se recopilen en línea.
¿Puede una VPN protegerme del registro de datos?
Muchos internautas recurren a las VPNs para anonimizarse en línea y evitar las prácticas de registro de datos de los servicios comerciales en internet. Sin embargo, hay que dejar claro que ninguna VPN puede ofrecer un anonimato total en la red. Pero aquellas comprometidas con una internet libremente accesible, como Psiphon, incorporan sólidas medidas de seguridad en sus servicios para proteger la privacidad de sus usuarios. Al usar un proxy VPN, el tráfico de internet no se puede atribuir a usuarios concretos, si bien estos siguen conectados y participan en el uso de los servicios de internet.
Con el fin de ganarse la confianza de los usuarios y aumentar la privacidad individual, las VPNs disponibles comercialmente suelen destacar sus políticas de no registro. Afirman desechar todo registro de uso, haciendo que este sea imposible de rastrear. Sin embargo, muchos acuerdos de servicio de VPN no ofrecen explicaciones detalladas sobre dichas políticas. Para crear una cuenta o abrir una sesión cifrada, una VPN podría solicitar información detallada del usuario. Una vez más, la carga recae en el usuario individual para leer detenidamente los términos de servicio y decidir si confiar en la VPN.
La estructura de internet exige que se intercambie cierta información para que la comunicación en línea sea posible. No se pueden enviar ni recibir datos sin una dirección IP en funcionamiento, lo cual incluye la dirección IP legítima del usuario de la VPN. Sin embargo, dado que ninguna de las leyes analizadas en este documento exige que las VPNs almacenen los datos de los usuarios durante un período específico, los valores fundamentales de Psiphon y de otros servicios de VPN los llevan a eliminar dicha información de sus redes en cuanto finaliza una sesión cifrada.
¿Qué diferencia a Psiphon de los servicios de VPN tradicionales? Sencillamente, nacimos de y existimos predominantemente para la libertad en internet. Por diseño, la plataforma de Psiphon no almacena ninguna información de identificación personal sobre la sesión de navegación de los usuarios finales. Dado que usar Psiphon no requiere una cuenta, el software es virtualmente incapaz de crear o almacenar información relativa a cualquier usuario individual. Por consiguiente, no existe registro de uso alguno, lo que ofrece tranquilidad a quienes eluden la vigilancia o temen la divulgación de información de identificación personal a terceros no autorizados, garantizando que el uso de la red de Psiphon no puede atribuirse a un usuario único ni a una geolocalización.
Para garantizar que nuestra red siga siendo eficiente y se adapte a los cambios en el nivel de demanda, realizamos evaluaciones internas de datos, que incluyen el volumen de tráfico y la información sobre la ubicación del usuario agregada a nivel de país.6 Esta es la información más detallada que conserva el servicio. Pero si, por ejemplo, un atacante externo malintencionado vulnerara esta información estadística, ninguna información de identificación personal estaría en riesgo.
--
Por: Jacob Klein
1 http://www.pewinternet.org/2017/03/22/what-the-public-knows-about-cybersecurity/
2 https://www.techopedia.com/definition/596/data-logging
2 https://www.techopedia.com/definition/596/data-logging
3 S.Rep.
No. 99-541, 97th Cong. 2nd Sess. 37, reimpreso en 1986 U.S.C.C.A.N. 3555, 3591.
4 Ibíd. Párrafo 26.
5 http://laws-lois.justice.gc.ca/eng/acts/P-8.6/FullText.html6 Sin embargo, los datos a nivel de ciudad solo se agregarán automáticamente después de que el uso dentro de un país supere un umbral en el que sería estadísticamente imposible identificar a usuarios individuales mediante una evaluación del número de conexiones activas dentro de la ciudad.