Hace 11 años aprendimos que cada correo electrónico que enviábamos, cada mensaje de chat, llamada telefónica, documento compartido en la nube eran accesibles a agencias de inteligencia de EEUU y países aliados.
Esto se sabe gracias a que Edward Snowden filtró miles de documentos de la Agencia Nacional de Inteligencia (NSA) de EEUU que fueron publicados en varios de los medios más importantes del mundo. ¿Qué cambió desde entonces?
Por Rafael Bonifaz*
Edward Snowden era un analista de inteligencia que trabajó para la CIA y la NSA. Al inicio de su carrera consideró que su trabajo correspondía al deber patriótico de defender a su país. Con el tiempo se dio cuenta de que era parte de un sistema de vigilancia global secreto que era utilizado incluso para espiar dentro del país. Él consideró que la población de un país democrático debería, al menos, estar enterada de que algo así sucedía. Por este motivo filtró miles de documentos que demostraron lo que ocurría a periodistas que publicaron varios reportajes en importantes medios a escala global.
En los mismos se pude ver las diversas formas en las que la NSA recolectaba, analizaba y luego utilizaba esta información para operaciones de espionaje alrededor del mundo.
En una diapositiva se puede ver las capacidades de recolección de información a nivel global a través de un mapa mundi donde se explica cómo se recolectaba la información desde los cables de fibra óptica, a través de embajadas, espiando comunicaciones satelitales, en colaboración con agencias de otros países o mediante ataques informáticos.
Toda esta información recolectada se almacenaba en centros de datos para luego ser accedida a través del sistema XKeyScore. Este sistema funciona de forma parecida a buscadores de internet. La diferencia radica en que las búsquedas se las hace sobre información privada. Los documentos muestran que se podían hacer consultas sobre cómo leer todos los correos electrónicos de una persona X, saber quiénes usan correo cifrado en un país determinado, contraseñas de cuentas en línea, entre muchas otras. Básicamente, es un buscador sobre las vidas privadas de miles de millones de personas, sin ningún tipo de control.
Uno de los programas expuestos que más llamó la atención es el conocido como PRISM, ya que involucra a grandes empresas de internet como Google, Facebook, Apple, Youtube, Microsoft, Yahoo, entre otras. Estas empresas tienen plataformas que funcionan como software de servicio, también conocido como “la nube”. Cuando compartes un documento con Google Drive, no solo lo compartes con tus colegas, sino también con Google. Cuando envías un correo usando Outlook, ese contenido es accedido por Microsoft. Si guardas tus fotos en la nube de Apple o de Google sucede lo mismo.
Resultaba lógico entender que estas empresas tendrían acceso a nuestra información para poder brindarnos el servicio. Algunas personas considerábamos que era probable que las empresas se aprovecharan de nuestra información. Lo que la gran mayoría no imaginábamos era que además nuestras comunicaciones privadas eran vigiladas por agencias de inteligencia como la NSA. Lo que aprendimos en ese momento fue que, si no eres ciudadano de Estados Unidos y no resides en ese país, la NSA puede acceder a los datos de los servicios de estas empresas para informarse sobre ti. Estamos hablando de llamadas de voz y video, correos electrónicos, chats, documentos, fotos, ubicación, etcétera.
La recolección de este tipo de información sumada a la capacidad de análisis de la NSA permitieron hacer operaciones de espionaje a líderes mundiales como Angela Merkel, Enrique Peña Nieto o Dilma Rousseff. También existieron operaciones mediáticas para manipular la opinión pública como la operación QUITO, que promovía una visión favorable para Inglaterra sobre las Islas Malvinas en América Latina.
Este es un resumen muy superficial de lo que aprendimos hace 11 años. Es importante mirar hacia atrás y pensar qué cambió desde entonces. ¿Se suprimieron estos programas y ahora nuestra privacidad está más asegurada?
Personalmente, creo que algunas cosas mejoraron, pero otras han empeorado.
El escándalo de las revelaciones generó una discusión a escala mundial sobre la privacidad en internet. Una de las primeras consecuencias fue el Marco Civil de Internet en Brasil, donde se fortaleció la protección de los derechos civiles en internet y, en particular, la privacidad. En el caso de Europa, esto promovió la discusión de la protección de los datos personales, que en 2017 se vio reflejada en el Reglamento General de Protección de Datos Personales (RGPD). Esta legislación sirvió para que países como Ecuador tuvieran su Ley de Protección de Datos Personales, en 2021.
Estas legislaciones son muy positivas y en el caso de Europa, incluso se ha llegado a multar a empresas como Google y Meta (antes Facebook). Sin embargo, no es suficiente, ya que si bien estas legislaciones buscan el consentimiento informado para el tratamiento de datos personales, en la práctica se traduce en una incómoda ventana donde se nos pide aceptar la política de privacidad y gestionar las configuraciones de cookies. En la práctica, la mayoría de personas acepta los términos y probablemente todas las cookies.
En lo tecnológico, el cambio fue mayor. Antes de las revelaciones de Snowden, la mayoría de sitios web funcionaba bajo el protocolo inseguro de HTTP. En 2015 la EFF, en colaboración con otras organizaciones y empresas, lanzaron la iniciativa de Letsencrypt, que hizo que la implementación de sitios web con el protocolo seguro HTTPS sea accesible para cualquier sitio o aplicación web. Gracias a esta iniciativa, hoy casi todos los sitios y aplicaciones que usamos en internet cifran la comunicación. De esta manera se puede presumir que parte importante de los programas de recolección de información de la NSA quedaran obsoletas. Esta característica no solo nos protege de la NSA, sino de cualquier actor con malas intenciones, desde un cibercriminal hasta los mismos Estados. Sin duda, una mejora importantísima para la seguridad de las comunicaciones de todas las personas que utilizamos internet.
No obstante, esto no nos protege del espionaje de programas como PRISM, ya que la información que utilizamos en servicios en la nube generalmente es accesible por las empresas que proveen el servicio, como se mencionó anteriormente. Personalmente, creo que la situación ahora es peor.
Durante estos 11 años, la NSA ha seguido trabajando en secreto y sus capacidades tecnológicas debieron mejorar. Pero la debilidad más fuerte es que empresas mencionadas en PRISM siguen siendo parte esencial de nuestras vidas. Nuestros teléfonos celulares, por ejemplo, si no funcionan con Android de Google, funcionan con el iOS de Apple. Los sistemas de reconocimiento de voz como Siri, Hey Google o Cortana son todos provistos por empresas PRISM. Por citar dos ejemplos.
Otro avance importante que tenemos, desde las revelaciones de Snowden, es la adopción del cifrado extremo a extremo. A diferencia del cifrado de tráfico en la red, con este podemos proteger el contenido de la información incluso de la empresa que provee el servicio. Si ciframos un correo de Gmail, incluso Google no lo podría leer.
Si bien el cifrado de correo electrónico existe hace más de una década, su adopción es marginal. El caso más importante en la adopción de cifrado extremo a extremo es la de WhatsApp, que en 2016 permitió a miles de millones de personas cifrar sus mensajes.
Claro que no podemos olvidar que WhatsApp es una empresa de Meta (antes Facebook), que está involucrada en el programa PRISM. La aplicación es de código propietario y no se puede saber cómo está hecha, por lo que podría tener una puerta trasera. Incluso me atrevería a decir que tiene una puerta delantera cuando en las conversaciones de la aplicación tenemos la opción de que participe la inteligencia artificial de Meta. Es una forma cool de pedirnos acceso a nuestras conversaciones.
Otro gran avance que hemos tenido es el desarrollo de aplicaciones de software libre que nos permiten controlar nuestra información. Existen aplicaciones de chat, correo electrónico, colaboración, edición de documentos y más.
En Derechos Digitales, por ejemplo, utilizamos Matrix como nuestro sistema de chat, Nextcloud para compartir documentos, OnlyOffice para editarlos, Jitsi y BigBlueButton para videollamadas. Ninguna de estas aplicaciones es perfecta, algunas pueden llegar a ser incómodas o fallar en cuestiones que no quisiéramos, pero nos permiten tener agencia sobre nuestros datos y privacidad.
Snowden nos hizo saber que vivimos en una máquina de vigilancia y que estamos perdiendo nuestra privacidad. Ahora, como sociedad, debemos decidir si queremos seguir atrapados en este sistema o buscamos alternativas.
*Rafael Bonifaz es ingeniero en sistemas por la Universidad San Francisco de Quito y máster en Seguridad Informática por la Universidad de Buenos Aires. Ha trabajado durante cerca de dos décadas en la defensa de derechos digitales y actualmente es líder del Programa Latinoamericano de Seguridad y Resiliencia Digital de la organización Derechos Digitales. Esta es una publicación original de nuestra organización aliada Derechos Digitales.
