Otro escándalo de privacidad: Android y iOS permiten espiar fotos de los usuarios

La privacidad se convirtió en el dolor de cabeza de los sistemas operativos móviles. Tras la denuncia de que varias aplicaciones populares guardaban copias de las listas de contactos de sus usuarios sin que estos lo autorizaran y la polémica en la que Facebook se vio envuelto luego de que se le acusara de espiar los SMS de los dispositivos en los que estaba instalado, The New York Times comprobó que tanto iOS como Android podían acceder a las fotos almacenadas en los celulares sin ninguna clase de aviso.

En el caso de iOS, la falla de seguridad ocurre cuando el usuario le permite a una aplicación tener acceso a su información de ubicación.  Cuando eso ocurre, la ‘app’  inmediatamente encuentra la puerta abierta para entrar a las imágenes y, si está programada para eso, puede enviarlas a un servidor remoto.

Por otra parte, en Android basta con que se haya autorizado el acceso a Internet para que surja la vulnerabilidad. En ninguno de los dos casos, dice el NYT, aparece “ninguna notificación o aviso” que le haga saber al usuario que la aplicación tiene acceso a sus fotos.

En uno y otro caso, la ‘app’ solo pide el permiso una vez, en el momento de la instalación. Si el usuario no accede a autorizarla, simplemente no puede agregarla a su dispositivo ni utilizarla.

El diario afirma que comprobó la falla de seguridad en los dos casos tras probar aplicaciones que pudieron publicar las fotos del usuario luego de obtener los permisos. Apple no se ha pronunciado hasta ahora sobre la denuncia, mientras que Google confirmó la vulnerabilidad y afirmó que “considerará cambiar su aproximación al problema”.

El buscador afirmó que la falla se debe “a una decisión de diseño relacionada con la manera en la que los primeros teléfonos Android guardaban las fotos en una tarjeta de memoria extraíble”. Darles vía libre a las aplicaciones para que vieran las imágenes del usuario simplificaba el proceso en tiempos en los que lo usual era utilizar múltiples tarjetas en un solo teléfono y leerlas en un computador. Pero, según Google, “en la medida en la que los teléfonos y tablets han evolucionado para depender más en memorias internas y no removibles, cambiaremos nuestra perspectiva y consideraremos añadir un permiso a las aplicaciones para acceder a las imágenes“.

Riesgos de seguridad.

En el caso de Apple se genera una vulnerabilidad adicional. Según el NYT, “cuando los dispositivos guardan archivos de fotos y videos, estos casi siempre incluyen las coordenadas del lugar donde fueron tomadas, creando otro riesgo potencial”. Como le dijo al diario David E. Chen, gerente de una empresa de desarrollo de aplicaciones, con las dos fuentes de información es posible concebir que una aplicación pueda deducir, con base en la ubicación de las fotos,  los lugares en los que ha estado el usuario.

David Jacobs, miembro del Centro de Información sobre Privacidad Electrónica de Estados Unidos, cree que esta vulnerabilidad es especialmente grave en tiempos en los que “vemos fotos de celebridades y famosos filtradas y reveladas en el pasado”. Según dice, si “hay muchas razones para pensar que si es más fácil hacerlo, ocurrirá más”, sobre todo en medio de un mercado creciente de “sitios web que están intentando obtener fotografías de personas comunes y políticos para ponerlos en línea”.

Google predica, pero no aplica.

Cuando se conoció el caso de las fallas de seguridad de las listas de contactos en iOS, Google intentó aprovechar el traspié de su competencia. Tim Bray, jefe de relaciones con los desarrolladores de Android, fue enfático en señalar que era imposible que la falla de seguridad denunciada en iOS ocurriera en el SO del buscador.

Según dijo Bray, una aplicación en su sistema operativo “no puede hacer nada que impacte negativamente la experiencia de usuario o cualquier usuario en el dispositivo”. Esto es consistente con la guía para desarrolladores de Android, en la que se les prohíbe a las ‘apps’ “leer o escribir los datos privados de los usuarios”.

Además, un vocero de Google había dicho en días pasados que “desde el comienzo, Android ha tenido un sistema de permisos líder en la industria que informa a los consumidores qué datos pueden acceder a las aplicaciones”.

NYT remarca que la decisión de diseño que causó la falla de seguridad “parece ir en contra de las declaraciones anteriores de la compañía”. Y Tom Crazit, de GigaOm, afirma que si Google alardeaba que Android “pedía permiso para hacer absolutamente todo, pero una aplicación en él hace algo que no tenía permiso para hacer”, el usuario “tiene derecho a estar enfadado“.