Un grupo de expertos europeos en privacidad ha propuesto un sistema descentralizado para el rastreo de contactos COVID-19 basado en Bluetooth que, según ellos, ofrece una mayor protección contra el abuso y el mal uso de los datos de las personas que las aplicaciones que extraen datos en macetas centralizadas.
El protocolo, que llaman Rastreo de proximidad descentralizado para preservar la privacidad (DP-PPT), ha sido diseñado por alrededor de 25 académicos de al menos siete instituciones de investigación en Europa, incluidos el Instituto Federal Suizo de Tecnología, ETH Zurich y KU Leuven en Los países bajos.
Han publicado un Libro Blanco que detalla su enfoque aquí.
El elemento clave es que el diseño implica el procesamiento local del seguimiento de los contactos y el riesgo en el dispositivo del usuario, basado en dispositivos que generan y comparten identificadores efímeros de Bluetooth (denominados EphID en el documento).
Se utiliza un servidor de fondo para enviar datos a los dispositivos, es decir, cuando una persona infectada es diagnosticada con COVID-19, una autoridad sanitaria sancionaría la carga desde el dispositivo de la persona de una representación compacta de EphID durante el período infeccioso que se enviaría a otros dispositivos para que puedan calcular localmente si existe un riesgo y notificar al usuario en consecuencia.
Según este diseño, no es necesario centralizar las identificaciones con seudónimo para que los datos agrupados representen un riesgo de privacidad. Lo que a su vez debería facilitar persuadir a los ciudadanos de la UE para que confíen en el sistema, y descargar voluntariamente la aplicación de rastreo de contactos utilizando este protocolo, dado que está diseñado para resistirse a ser reutilizado para la vigilancia estatal a nivel individual.
El grupo discute algunas otras amenazas potenciales, como las que plantean los usuarios expertos en tecnología que podrían espiar los datos intercambiados localmente y descompilar / recompilar la aplicación para modificar elementos, pero la disputa general es que tales riesgos son pequeños y más manejables en comparación con la creación de botes centralizados. de datos que corren el riesgo de allanar el camino para la ‘vigilancia progresiva’, es decir, si los estados utilizan una crisis de salud pública como una oportunidad para establecer y retener la infraestructura de seguimiento a nivel ciudadano.
El DP-PPT ha sido diseñado teniendo en cuenta su propio desmantelamiento de propósito limitado, una vez que la crisis de salud pública haya terminado.
“Nuestro protocolo demuestra el hecho de que los enfoques de preservación de la privacidad para el rastreo de proximidad son posibles, y que los países u organizaciones no necesitan aceptar métodos que respalden el riesgo y el mal uso”, escribe la profesora Carmela Troncoso, de EPFL. “Cuando la ley requiere una estricta necesidad y proporcionalidad, y el apoyo social está detrás del rastreo de proximidad, este diseño descentralizado proporciona una forma resistente al abuso para llevarlo a cabo”.
En las últimas semanas, los gobiernos de toda Europa se han apoyado en los controladores de datos para entregar los datos de los usuarios para una variedad de propósitos de seguimiento de coronavirus. El sector privado también está lanzando aplicaciones al mercado, incluidas las aplicaciones de informes de síntomas que dicen ayudar a los investigadores a combatir la enfermedad. Si bien los gigantes tecnológicos espían las oportunidades de relaciones públicas para reempaquetar el seguimiento persistente de los usuarios de Internet por una causa de salud pública reclamada, sin embargo, la utilidad real es vaga.
El próximo gran impulso tecnológico del coronavirus parece ser aplicaciones de rastreo de contactos: aplicaciones Aka que usan tecnología Bluetooth de rastreo de proximidad para mapear contactos entre individuos infectados y otros.
Esto se debe a que sin alguna forma de seguimiento de contactos existe el riesgo de que las ganancias obtenidas con tanto esfuerzo para reducir la tasa de infecciones al reducir los movimientos de las personas se reviertan, es decir, una vez que la actividad económica y social se vuelva a abrir. Aunque si las aplicaciones de rastreo de contactos pueden ser tan efectivas para ayudar a contener COVID-19 como esperan los encargados de formular políticas y tecnólogos, sigue siendo una pregunta abierta.
Sin embargo, lo que está claro en este momento es que sin un protocolo cuidadosamente diseñado que cuente con la privacidad mediante el diseño de aplicaciones de rastreo de contactos presentes un riesgo real para la privacidad y, donde existan, para los derechos humanos duramente ganados.
El derecho de antorcha en nombre de la lucha contra COVID-19 no es bueno ni necesario, es el mensaje del grupo que respalda el protocolo DP-PPT.
“Una de las principales preocupaciones en torno a la centralización es que el sistema puede expandirse, que los estados pueden reconstruir un gráfico social de quién ha estado cerca de quién, y luego pueden expandir la creación de perfiles y otras disposiciones sobre esa base. Los datos pueden ser cooptados y utilizados por la policía y la inteligencia para fines no relacionados con la salud pública “, explica el Dr. Michael Veale, del University College London, otro patrocinador del diseño descentralizado.
“Si bien algunos países pueden establecer salvaguardas legales efectivas contra esto, al establecer un protocolo centralizado en Europa, los países vecinos se ven obligados a interoperar con él, y también a usar sistemas centralizados en lugar de descentralizados. Lo inverso es cierto: un sistema descentralizado impone límites técnicos estrictos a los abusos de vigilancia del rastreo Bluetooth COVID-19 en todo el mundo, al garantizar que otros países utilicen enfoques de protección de la privacidad “.
“Tampoco es simplemente necesario”, agrega sobre la centralización de los datos de proximidad. “La protección de datos por diseño obliga a minimizar los datos a lo que es necesario para el propósito. Recopilar y centralizar datos simplemente no es técnicamente necesario para el seguimiento de contactos de Bluetooth “.
La semana pasada informamos sobre otro esfuerzo de la UE, por una coalición diferente de tecnólogos y científicos, dirigida por el Instituto alemán de telecomunicaciones Fraunhofer Heinrich Hertz (HHI), que dijo que está trabajando en un estándar de “preservación de la privacidad” para el rastreo de contactos de Covid-19 que han denominado: Rastreo paneuropeo de proximidad para preservar la privacidad (PEPP-PT).
En ese momento no estaba claro si el enfoque estaba bloqueado o no a un modelo centralizado de manejo de las identificaciones seudoanonimizadas. Hablando con TechCrunch hoy, Hans-Christian Boos, uno de los co-iniciadores del proyecto PEPP-PT, confirmó que el esfuerzo de estandarización apoyará enfoques tanto centralizados como descentralizados para manejar el rastreo de contactos.
El esfuerzo se enfrentó a las críticas de algunos miembros de la comunidad de privacidad de la UE por aparentar favorecer un enfoque centralizado en lugar de descentralizado, por lo que sus críticos sostienen, socavando el reclamo central de preservar la privacidad del usuario. Pero, según Boos, de hecho apoyará ambos enfoques, en un intento por maximizar la aceptación en todo el mundo.
También dijo que será interoperable independientemente de si los datos están centralizados o descentralizados. (En el escenario centralizado, dijo que la esperanza es que la organización sin fines de lucro que se está estableciendo para supervisar PEPP-PT podrá administrar los servidores centralizados en sí, a la espera de un financiamiento adecuado, un paso destinado a reducir aún más el riesgo de centralización de datos en regiones que carecen de marcos de derechos humanos, por ejemplo).
“Tendremos ambas opciones: centralizada y descentralizada”, dijo Boos a TechCrunch. “Ofreceremos ambas soluciones, dependiendo de quién quiera usar qué, y las haremos operativas. Pero te digo que ambas soluciones tienen sus méritos. Sé que en la comunidad de cifrado hay muchas personas que desean la descentralización, y puedo decirles que en la comunidad de la salud hay muchas personas que odian la descentralización porque temen que demasiadas personas tengan información sobre las personas infectadas. “
“En un sistema descentralizado, tiene el simple problema de que transmitiría las identificaciones anónimas de las personas infectadas a todos, por lo que la legislación sanitaria de algunos países lo prohibirá por completo. Aunque tiene un método criptográfico, está transmitiendo las identificaciones a todo el lugar, esa es la única forma en que su teléfono local puede averiguar si he estado en contacto o no “, continuó Boos.
“Ese es el inconveniente de una solución descentralizada. Aparte de eso, es algo muy bueno. En una solución centralizada, tiene el inconveniente de que hay un solo operador, en quien puede elegir confiar o no confiar: tiene acceso a ID anonimizados, de la misma manera que si fueran transmitidos. Entonces, la pregunta es si puede tener una parte con acceso a identificaciones anónimas o tiene a todos con acceso a identificaciones anónimas porque al final las está transmitiendo a través de la red [because] es falsificable “.
“Si su suposición es que alguien podría hackear el servicio centralizado … entonces también debe suponer que alguien podría hackear un enrutador, lo que sucede”, agregó. “El mismo problema.
“Por eso ofrecemos ambas soluciones. No somos religiosos Ambas soluciones ofrecen buena privacidad. Tu pregunta es ¿en quién confiarías más y en quién desconfiarías más? ¿Confiarías en más usuarios a los que les transmites algo o confiarías más en alguien que opera un servidor? ¿O confiarías más en que alguien puede hackear un enrutador o que alguien puede hackear el servidor? Ambos es posible, cierto. Ambas opciones son totalmente válidas, y es una discusión religiosa entre personas criptográficas … pero tenemos que equilibrarla entre lo que quiere criptografía y lo que quiere la atención médica. Y debido a que no podemos tomar esa decisión, terminaremos ofreciendo ambas soluciones.
“Creo que tiene que haber una opción porque si estamos tratando de construir un estándar internacional deberíamos intentar y no ser parte de una guerra religiosa”.
Boos también dijo que el objetivo del proyecto es realizar una investigación de los respectivos protocolos (centralizado versus descentralizado) para comparar y realizar evaluaciones de riesgos basadas en el acceso a los datos respectivos.
“Desde el punto de vista de la protección de datos, esos datos están completamente anonimizados porque no hay datos adjuntos a la ubicación, no hay datos adjuntos al tiempo, no hay datos adjuntos al número de teléfono, dirección MAC, número SIM, ninguno de esos. Lo único que sabe es que hay un contacto, un contacto relevante entre dos ID anónimas. Eso es lo único que tienes “, dijo. “La pregunta que les hicimos a los informáticos y a los piratas informáticos es si le damos esta lista, o si le damos este gráfico, ¿qué podría obtener de él? En el gráfico son solo números conectados entre sí, la pregunta es ¿cómo puede derivar algo de él? Lo están intentando, veamos qué sale “.
“Hay muchas personas tratando de tener razón sobre esta discusión. No se trata de tener razón; se trata de hacer lo correcto, y proporcionaremos, desde la iniciativa, las buenas opciones que haya. Y si cada uno de ellos tiene inconvenientes, haremos públicos esos inconvenientes e intentaremos obtener tanta confirmación e investigación sobre estos como podamos. Y publicaremos esto para que las personas puedan elegir qué tipo de sistema desean en su geografía ”, agregó.
“Si resulta que uno es factible y el otro no es factible, dejaremos uno, pero hasta ahora ambos parecen factibles, en términos de” preservación de la privacidad “, por lo que ofreceremos ambos. Si resulta que uno no es factible porque es pirateable o podría derivar metainformación con un riesgo inaceptable, entonces lo abandonaríamos por completo y dejaríamos de ofrecer la opción “.
En cuanto al punto de interoperabilidad, Boos lo describió como “un desafío” y dijo que se reduce a cómo los sistemas calculan sus identificaciones respectivas, pero enfatizó que se está trabajando y que es una pieza esencial.
“Sin eso, todo no tiene sentido”, nos dijo. “Es un desafío por qué la opción aún no está disponible, pero estamos resolviendo ese desafío y definitivamente funcionará … Hay varias ideas sobre cómo hacer que eso funcione”.
“Si cada país hace esto por sí solo, no tendremos fronteras abiertas de nuevo”, agregó. “Y si en un país hay múltiples aplicaciones que no comparten datos, entonces no tendremos un grupo suficientemente grande de personas que participen y que realmente puedan hacer posible el rastreo de infecciones, y si no hay un solo lugar donde podamos tener discusiones sobre lo que es hacer lo correcto con respecto a la privacidad, entonces probablemente todos harán algo más y la mitad de ellos usará números de teléfono e información de ubicación “.
La coalición PEPP-PT aún no ha publicado su protocolo ni ningún código. Lo que significa que los expertos externos que desean aportar comentarios informados sobre opciones de diseño específicas relacionadas con el estándar propuesto no han podido obtener los datos necesarios para llevar a cabo una revisión.
Boos dijo que tienen la intención de abrir el código esta semana, bajo una licencia de Mozilla. También dijo que el proyecto está dispuesto a asumir “cualquier buena sugerencia” como contribuciones.
“Actualmente, solo los miembros beta tienen acceso a él porque se han comprometido con nosotros a actualizar a la versión más reciente”, dijo. “Queremos asegurarnos de que cuando publiquemos la primera versión del código, debería haber pasado por la validación de la privacidad de los datos y la validación de la seguridad, por lo que estamos tan seguros como podemos estar de que no hay ningún cambio importante que alguien en un sistema de código abierto pueda omitir. . “
La falta de transparencia en torno al protocolo había causado preocupación entre los expertos en privacidad, y llevó a las llamadas a los desarrolladores a retener el soporte en espera de más detalles. E incluso para especular que los gobiernos europeos pueden estar interviniendo para impulsar el esfuerzo hacia un modelo centralizado, y lejos de los principios centrales de la UE de protección de datos por diseño y por defecto.
Tal como están las cosas, la antigua ley de protección de datos de la UE se basa en principios como la minimización de datos. La transparencia es otro requisito central. Y la semana pasada, el regulador de privacidad líder del bloque, el SEPD, nos dijo que está monitoreando los desarrollos en torno a las aplicaciones de rastreo de contactos de COVID-19.
“El SEPD apoya el desarrollo de tecnología y aplicaciones digitales para la lucha contra la pandemia de coronavirus y está monitoreando estos desarrollos de cerca en cooperación con otras autoridades nacionales de supervisión de protección de datos. Opina firmemente que el RGPD no es un obstáculo para el procesamiento de datos personales que las autoridades de salud consideran necesario para combatir la pandemia ”, nos dijo un portavoz.
“Todos los desarrolladores de tecnología que trabajan actualmente en medidas efectivas en la lucha contra la pandemia de coronavirus deben garantizar la protección de datos desde el principio, p. mediante la aplicación de aplicar la protección de datos por principios de diseño. El SEPD y la comunidad de protección de datos están listos para ayudar a los desarrolladores de tecnología en este esfuerzo colectivo. La orientación de las autoridades de protección de datos está disponible aquí: Directrices EDPB 4/2019 sobre el Artículo 25 Protección de datos por diseño y por defecto; y opinión preliminar del SEPD sobre la privacidad por diseño “.
También entendemos que la Comisión Europea está prestando atención a la repentina cosecha de aplicaciones y herramientas de coronavirus, con efectividad y cumplimiento de los estándares de datos europeos en su radar.
Sin embargo, al mismo tiempo, la Comisión ha estado impulsando una agenda de big data como parte de un reinicio de la estrategia industrial del bloque que pone la digitalización, los datos y la IA en el centro. Y justo hoy Euroactiv informó sobre los documentos filtrados del Consejo de la UE que dicen que los Estados miembros de la UE y la Comisión deberían “analizar a fondo las experiencias obtenidas de la pandemia de COVID-19” para informar futuras políticas en todo el espectro del dominio digital.
Entonces, incluso en la UE, existe un gran apetito por los datos que corren el riesgo de cruzarse con la crisis del coronavirus para impulsar los desarrollos en una dirección que podría socavar los derechos de privacidad individuales. Por lo tanto, el feroz retroceso de ciertos barrios pro-privacidad para descentralizar el seguimiento de contactos, para protegerse contra cualquier captura de datos del estado.
Por su parte Boos argumenta que lo que cuenta como la mejor práctica de “minimización de datos” se reduce a un punto de vista sobre en quién confía más. “Podrías hacer una discusión [for] ambos [deccentralized and centralized approaches] que están minimizando los datos, solo porque haya minimización de datos en un punto no significa que tenga minimización de datos en general en un sistema descentralizado “, sugiere.
“Es una pregunta en quién confías? Es en quién confiarías más: esa es la verdadera pregunta. Veo el punto crítico de los datos como no la lista de contactos anonimizados: los datos críticos son los infectados confirmados.
“Mucho de esto es una vieja discusión religiosa entre centralización y descentralización”, agregó. “Generalmente, la TI oscila entre esas herramientas; distribución total, centralización total … Porque ninguno de esos es una solución perfecta. Pero aquí, en este caso, creo que ambos ofrecen opciones de seguridad válidas, y luego tienen implicaciones diferentes sobre lo que está dispuesto a hacer o no con los datos médicos. Y luego tienes que tomar una decisión.
“Lo que tenemos que hacer es asegurarnos de que las opciones estén disponibles. Y debemos asegurarnos de que haya una investigación sólida, no solo conjeturas, en las discusiones de peso pesado: ¿cómo funciona qué, cómo se comparan y cuáles son los riesgos?
En términos de quién participa en las discusiones de PEPP-PT, más allá de los participantes directos del proyecto, Boos dijo que los gobiernos y los ministerios de salud están involucrados por la razón práctica de que “tienen que incluir esto en sus procesos de salud”. “Muchos países ahora crean sus aplicaciones de rastreo oficiales y, por supuesto, deberían estar conectadas al PEPP-PT”, dijo.
“También hablamos con las personas en los sistemas de salud, cualquiera que sea el sistema de salud en los países respectivos, porque esto debe tener una interfaz final con el sistema de salud, debe interactuar con las pruebas … debe interactuar con las leyes de enfermedades infecciosas, así que las personas podrían ponerse en contacto con los CDC locales sin revelarnos su privacidad o su información de contacto, por lo que esa es la conversación que también estamos teniendo “.
Los desarrolladores con acceso temprano (beta) ya están pateando los neumáticos del sistema. Cuando se le preguntó cuándo podrían estar en circulación las primeras aplicaciones que utilizan las tecnologías PEPP-PT, Boos sugirió que podría ser tan pronto como un par de semanas.
“La mayoría de ellos solo tienen que poner esto en su capa de rastreo y ya les hemos dado suficiente información para que sepan cómo pueden conectar esto con sus procesos de salud. No creo que esto lleve mucho tiempo “, dijo, y señaló que el proyecto también proporciona una aplicación de referencia de rastreo para ayudar a los países que no tienen recursos para desarrolladores disponibles.
“Para la participación del usuario, tendrá que hacer más que solo rastrear: tendrá que incluir, por ejemplo, la información de los CDC … pero ofreceremos la implementación esquelética de una aplicación para que comenzar esto como un proyecto [easier],” él dijo.
“Si todas las personas que nos han enviado un correo electrónico desde la semana pasada lo ponen en sus aplicaciones [we’ll get widespread uptake]”, Agregó Boos. “Digamos que 50% creo que tenemos un muy buen comienzo. Diría que la afluencia de los países y diría que las empresas, especialmente las que desean recuperar su fuerza laboral, tienen una gran presión, especialmente para ir a un sistema que permita el intercambio internacional y la interoperabilidad “.
En el punto más amplio de si las aplicaciones de rastreo de contactos es una herramienta útil para ayudar a controlar la propagación de este nuevo coronavirus, que ha demostrado ser altamente infeccioso, más que la gripe, por ejemplo, Boos dijo: “No creo que haya Muchos argumentos de que aislar la infección es importante, el problema con esta enfermedad es que no hay síntomas mientras ya eres contagioso. Lo que significa que no puedes simplemente medir la temperatura de las personas y estar bien. Realmente necesitas esa mirada al pasado. Y no creo que se pueda hacer con precisión sin ayuda digital.
“Entonces, si la teoría de que es necesario aislar las cadenas de infección es cierta, muchas enfermedades han demostrado que lo es, pero cada enfermedad es diferente, por lo que no hay una garantía del 100%, pero todos los datos hablan de ello, entonces eso es definitivamente algo que debemos hacer … El argumento [boils down to] Si tenemos tantos infectados como los que tenemos actualmente, ¿tiene sentido? ¿No terminamos muy rápido, porque el mundo está tan interconectado, con el mismo tipo de mecanismo de bloqueo?
“Es por eso que solo tiene sentido presentar una aplicación como esta cuando se han roto estos valores R0 [i.e how many other people one infected person can infect] – una vez que lo haya obtenido por debajo de 1 y haya reducido el número de casos en su país a un buen nivel. Y creo que, en el lenguaje de una persona con enfermedad infecciosa, esto significa volver al enfoque de contener la enfermedad, en lugar de mitigarla, lo que estamos haciendo ahora “.
“El enfoque de la evaluación de la cadena de contactos le permite establecer mejores prioridades en las pruebas, pero actualmente las personas no tienen la pregunta de prioridad real, tienen una pregunta de recursos sobre las pruebas”, agregó. “Las pruebas y el rastreo son independientes entre sí. Necesitas ambos; porque si estás rastreando contactos y no puedes hacerte la prueba, ¿para qué sirve eso? Entonces sí, definitivamente [also] necesita la infraestructura de prueba con seguridad “.
