Un Manual de Vigilancia Móvil: ¿Están espiando tu teléfono?

Por http://www.mobilemediatoolkit.org

Los teléfonos celulares pueden ser herramientas útiles para reunir, planear, coordinar y registrar actividades para personal de ONG y activistas. Pero, ¿sabías que cuando tu teléfono está prendido, el operador de la red conoce tu ubicación? ¿O que todos los teléfonos y tarjetas SIM transmiten un código único de identificación que, a menos que seas muy cuidadoso acerca de cómo adquirir el teléfono y la SIM, puede rastrearte hasta llegar únicamente a ti?

Con las cámaras, GPS e Internet móvil, las posibilidades de vigilancia se ha vuelto más peligrosas, lo que permite que, una vez que un observador haya ganado el control del teléfono, lo convierta en un sofisticado dispositivo de grabación. No obstante, hasta un simple teléfono puede ser rastreado cada vez que está en red, y las llamadas y mensajes de texto están lejos de ser privados. Cuando se emprende vigilancia en complicidad con el operador de la red, tanto el contenido de la comunicación como la identidad de las partes intervinientes pueden ser descubiertas, a veces incluso retroactivamente. También es posible que subrepticiamente se instale software en los teléfonos en la red, ganando así acceso potencial a cualquier registro que esté guardado en el teléfono.

Esto es comprensiblemente preocupante para los activistas que realizan trabajo delicado.

Obviamente, la manera más segura de usar un teléfono es no usarlo. Aun así, aunque entiendan los riesgos implicados, la mayoría de las organizaciones considera que los teléfonos son demasiado útiles como para descartarlos completamente. Entonces, lo mejor es minimizar el daño: identificar y entender los riesgos y tomar los pasos apropiados para limitar la exposición. En este artículo, tratamos de identificar estos riesgos y de hacer sugerencias para hacer comunicaciones móviles seguras.

Información transmitida en la red a través de teléfonos

Por cada teléfono que hay actualmente en la red (uno que reciba señal, independientemente de si el teléfono ha sido usado para llamar o para enviar mensajes) el operador de la red tiene la siguiente información:

• El número IMEI, número de identificación único para el hardware del teléfono.
• El número IMSI, número de identificación único para la tarjeta SIM.
• El número TMSI, número temporal que se reasigna frecuentemente según la ubicación o cambios en la cobertura, pero que se puede rastrear con sistemas para escuchar a escondidas y que están disponibles comercialmente.
• La celda de la red donde el teléfono se encuentra actualmente. Las celdas pueden cubrir cualquier área desde unos cuantos metros a varios kilómetros, con celdas mucho más pequeñas en zonas urbanas e incluso celdas pequeños en edificios que usan una repetidora aérea para mejorar la señal exterior.
• La ubicación del suscriptor al interior de esa celda, determinada por la triangulación de la señal de torres cercanas. De nuevo, la exactitud de la ubicación depende del tamaño de la celda - cuantas más torres haya en la zona, más precisa es la ubicación.
• 
  
• Además, los teléfonos en la mayoría de los estados estadounidenses y canadienses están diseñados para transmitir sus posiciones en el servicio denominado E911 para uso de emergencia. El servicio usa triangulación de señal así como GPS incorporado en el teléfono (si está disponible), y que está habilitado por defecto en todos los teléfonos nuevos. En realidad, el servicio E911 podría rastrear el teléfono aun cuando parece aparezca como apagado. Aunque esto no es probable, no hay nada para evitar que el software del teléfomo simule estar apgado aunque en verdad siga en la red. Para tener la seguridad de que el teléfono está fuera de línea se necesita sacarle la batería o usar una bolsa de bloqueo de señal - más sobre esto más adelante.

Por supuesto, los servicios de determinación de ubicación como E911 colocan una restricción sobre quién puede acceder a la información referida a la ubicación de un teléfono en particular. Para E911, los servicios de emergencia tienen acceso automático garantizado, pero las autoridades competentes tienen que tener una orden judicial para rastrear un teléfono. En teoría, los terceros solamente pueden tener acceso a la información sobre la ubicación con la autorización del propietario del teléfono, pero los mecanismos para conceder esa autorización a menudo son simplistas; responder a un SMS opcional de rastreo desde el teléfono del objetivo, que no responde, puede bastar para permitir un rastreo continuo. En esencia, debes decidir si puedes confiar en el operador de tu red para mantener en secreto la información de tu ubicación. Si no, deja el teléfono en casa, sácale la batería, o lee las recomendaciones acerca de cómo usar el teléfono anónimamente para evitar que se vincule su ubicación con tu identidad.

Información guardada en el teléfono

Todos los teléfonos celulares tiene una pequeña cantidad de espacio de almacenamiento en la tarjeta SIM. Esta se usa para guardar:

• Tu libreta de teléfonos, como nombres de contactos y números de teléfono.
• Tu historial de llamadas, incluido a quién llamaste, quién te llamó y a qué hora se hizo la llamada.
• Mensajes SMS que has enviado o recibido.
• Información de cualquier aplicación que uses, como un calendario o una lista de cosas por hacer.
• Fotos que has tomado usando la cámara del teléfono, de ser el caso. La mayoría de los teléfonos registran la hora en que se tomó la foto y también podría incluir información sobre la ubicación.

Para teléfonos que te permiten navegar en la web, también deberías considerar cuánto de tu registro de navegación está guardado en el teléfono. ¿Tu navegador guarda contraseñas de los sitios a los que has entrado desde el teléfono? Los correos electrónicos serían un peligro potencial adicional si un atacante obtuviera acceso a la tarjeta SIM o la memoria del teléfono.

Como el disco duro de una computadora, la memoria SIM de tu teléfono celular conserva la información que ahí se guarda hasta que esté llena, cuando escribe encima de la información antigua. Esto significa que hasta los mensajes SMS que han sido borrados, los registros de llamadas y los contactos pueden ser recuperados de la tarjeta SIM. (Hay una aplicación gratuita para hacer esto usando una lectora inteligente de tarjeta inteligente.) Lo mismo se aplica para teléfonos que tienen memoria adicional, ya sea incorporada al teléfono o que use una tarjeta de memoria. Por regla general, cuanto más almacenamiento tiene un teléfono, los elementos borrados podrán ser recuperados durante más tiempo.

¿Se pueden interceptar los SMS?

Los SMS clasicos se envían en texto puro, incluyen ubicación e identificadores de teléfono y tarjeta SIM, y son visibles para el operador de la red. Es poco probable la interceptación realizada por terceros sin ayuda del operador, pero en los últimos años ha habido varios vacíos relacionados con clonación de teléfonos que ha permitido que más de un teléfono se registre con el mismo número y reciba los SMS enviados a ese número. Así, aun cuando algunas redes aseguran que los SMS no se guardan más del tiempo necesario para enviarlos (y muchos no dan esa garantía), vale la pena pensar quién podría ser capaz de acceder a los mensajes durante ese tiempo.

Según un reciente documento que trataba del rol del SMS como medio de transmitir bromas políticas en China, el gobierno chino tiene un programa establecido para seguir de cerca a los SMS:

"Como hay ideas aberrantes que se difunden rápidamente a través de SMS, el gobierno ha empezado a establecer mecanismos para seguir de cerca y censurar mensajes de texto, con 2,800 centros de vigilancia de SMS en todo el país. En junio de 2004, la empresa china Venus Info Tech Ltd. anunció que había recibido el primer permiso del Ministerio de Seguridad Pública para vender un sistema de seguimiento y filtración de contenido en tiempo real para SMS. El sistema usa las pruebas de contenido de información de la Academia China de Ciencias como la base de su algoritmo de filtración, que cubre una amplia gama de una combinación de caracteres "políticamente sensibles".

Además de buscar palabras clave en el contenido del mensaje, los sistemas de seguimiento también podrían marcar mensajes basándose de sospechas ligadas con el remitente o receptor. Los mensajes SMS de puro texto podrían no ser considerados seguros, particularmente cuando es posible que el remitente o el receptor del mensaje haya sido identificado para vigilancia.

El manual de SaferMobile enumera riesgos adicionales de seguridad asociados con el uso de SMS:

• Los mensajes SMS se mandan en puro texto. No están encriptados, así que el contenido no está oculto ni disimulado de ninguna forma. Cualquiera que intercepte los mensajes (con la ayuda del operador de la red móvil o escuchando el tráfico de una celda particular de una red) puede leer tus SMS.
• Los operadores de la red móvil conservan registros de SMS enviados a través de su red. Esto incluye detalles de hora y fecha de envío, detalles sobre el remitente y el destinatario, así como contenidos no encriptados del mensaje.
• Los mensajes enviados o recibidos guardados en el teléfono o SIM son vulnerables si el teléfono o la SIM se pierden o los roban.
• Es posible que las aplicaciones móviles tengan acceso a mensajes de texto enviados y recibidos que están guardados en tu teléfono.

El manual también ofrece consejos para protegerte mejor en este campo.

• Mantén el contenido de tus mensajes al mínimo - supón que se puedan leer y que quien los lea sabrá la fecha y hora en que se enviaron así como la ubicación del remitente.
• Si tienes que usar mensajes de texto, hazlo desde un teléfono básico y no desde un teléfono con aplicaciones.
• Configura el almacenamiento de SMS a muy pocos o ninguno. Desactiva la opción de guardar mensajes salientes. Borra los mensajes con frecuencia.
• Evalúa usar una aplicación de mensajería encriptada en vez de SMS. Muchas de estas aplicaciones requieren conexión de datos, y necesitarás un teléfono en el que se puedan instalar las aplicaciones. Hay varias aplicaciones de mensajería encriptada que funcionan en teléfonos Java y muchos para sistemas operativos de smartphone como Android, iPhone OS (iOS) y Blackberry. Cuál es el mejor para ti dependerá del sistema operativo de tu teléfono. Pon atención en que muchas aplicaciones de mensajería encriptada requieren que tanto remitente como destinatario usen la misma aplicación (y por lo tanto el mismo tipo de teléfono), así que esta estrategia tal vez funcione mejor para comunicaciones de grupos pequeños.
• Si estás configurando un sistema de mensajería SMS para enviar textos de SMS a muchos destinatarios, asegúrate de que tus servidores e infraestructura sean seguros. Si estás enviando SMS a un sistema manejado por otra organización, evalúa sus precauciones de seguridad lo mejor que puedas, y sobre todo revisa cómo planean distribuir tus datos. Ushahidi, por ejemplo, se puede configurar para hacer que todos los informes entrantes estén disponibles públicamente en Internet. Esto puede ser útil para difundir información ampliamente, pero podría ser problemático en una situación de agitación política.

¿Las llamadas telefónicas pueden ser escuchadas a escondidas?

La idea de que alguien esté 'escuchando' llamadas telefónicas confidenciales es un legado familiar del tiempo de los sistemas telefónicos análogos. Escuchar a escondidas en sistemas digitales es técnicamente complicado, aunque totalmente posible usando equipo que está disponible comercialmente. Sin embargo, una manera mucho más simple de escuchar llamadas telefónicas es captar la conversación en el teléfono y transmitir una grabación a un oyente furtivo. Esto se puede hacer con pequeñas aplicaciones de software instaladas subrepticiamente o con dispositivo de interceptación oculto inserto en el teléfono.

También resulta que el operador de la red puede activar remotamente un teléfono para que funcione como un dispositivo de grabación, independiente de llamadas o SMS o si el teléfono está prendido. Esteartículo brinda más antecedentes e información sobre vigilancia remota en redes estadounidenses.

Esencialmente, los operadores de redes siempre han podido mandar mensajes indetectables de control a teléfonos en la red. Esta capacidad existe para permitir que los operadores actualicen el software guardado en la tarjeta SIM, pero también podría usarse para transformar el teléfono en un dispositivo de rastreo, o para acceder a mensajes o información de contacto guardada en la tarjeta SIM. Una vez que la vigilancia se realiza con la cooperación del operador de la red, es muy poco lo que se puede hacer para evitarla.

El manual de SaferMobile identifica riesgos adicionales asociados con llamadas móviles. En términos de escuchar a escondidas o de grabar llamadas:

• Como en cualquier conversación, alguien que esté cerca te puede escuchar o grabar.
• Tu conversación puede ser escuchada a escondidas o grabada con una aplicación instalada en tu teléfono sin que tú lo sepas.
• Las llamadas de voz están encriptadas entre el aparato y la torre de la celda. No obstante, son posibles diversos ataques sofisticados en contra de redes móviles, particularmente los estándares más antiguos (el estándar GSM, todavía el estándar preponderante en el mundo, es más vulnerable que 3G). Por ejemplo, está disponible comercialmente el hardware que se hace pasar por una estación de base GSM.

Y en términos de grabaciones continuas:

• Los detalles de tu llamada (a quién llamaste, a qué hora, cuánto tiempo) se guardan en la red, aun cuando el contenido no se guarde. A menos que hayas tomado precauciones específicas, tú y la persona a la que llamas están usando teléfonos que están vinculados a ti por medio del número IMEI (identificador del aparato) y el IMSI (identificador de la tarjeta SIM).
• Los mensajes de correo de voz los guarda el operador de la red móvil y no deberían ser considerados seguros, ni cuando están protegidos por un PIN personal.
• Las interacciones con un sistema de Respuesta Interactiva de Voz (IVR) son solamente tan seguras como el propio sistema. Asegúrate de que la organización o entidad que maneja el sistema sea confiable, técnicamente competente y que no permitirá que tus llamadas se sigan de cerca ni se graben.
• Cualquier uso de teléfono revela tu ubicación al operador de la red. El registro guardado de tu actividad (llamadas, textos, uso de datos) te coloca en un lugar en particular en un momento en particular.

El manual también ofrece consejos para protegerte mejor cuando haces llamadas de voz.

• Usa un teléfono básico, sin aplicaciones, antes que un smartphone.
• Si tienes que usar un smartphone, usar una aplicación encriptada de VOIP (voz sobre protocolo de Internet) en lugar de llamar a través de la red móvil.
• Compra tu teléfono y tarjeta SIM sin identificarte, si es posible en tu país, y cámbialos con frecuencia. Usa una tarjeta SIM prepagada.
• Evalúa hacer tus informes delicados desde teléfonos públicos, o, si sientes que te pueden reconocer, pídele a otra persona que los haga.
• Borra los registros de llamadas (entendiendo que los pueden recuperar aunque los borre alguien con conocimiento especializado y herramientas forenses).
• Ten cuidado con la forma en que guardas tus contactos en tu libro de direcciones - ten en cuenta que tu teléfono o SIM pueden ser robados y los registros de llamadas pueden ser asociados con personas que llaman y reciben las llamadas.
• Un número virtual de teléfono como Skype Online Numbers (“Skype In”) o Google Voice brinda un nivel de protección porque desvincula al que llama y a ti y no permite que se exponga tu número de celular. Sin embargo, usar Skype In o Google Voice para llamadas deposita algo de confianza en Skype, Google o cualquier servicio que escojas. Esa puede no ser una buena idea en algunos países donde dichos servicios pueden estar en peligro.

Virus en celulares, programas espías y registradores de digitación

Los modernos celulares sofisticados son, esencialmente, computadoras a escala reducida, con poder de procesamiento, memoria y conectividad para hacer funcionar todo tipo de aplicaciones, incluidas las maliciosas. Afortunadamente, los virus en celulares siguen siendo pocos frecuentes y afectan mayormente a los teléfonos sofisticados. Sin embargo, los expertos en seguridad prevén que las aplicaciones móviles maliciosas serán cada vez más comunes. Esto incluye virus y también programas espías móviles y registradores de digitación, que secretamente podrían espiar tus actividades en tu celular, recoger contraseñas y otra información delicada.

Para protegerte, considera la posibilidad de comprar un teléfono muy simple, tal vez incluso uno que no permita la instalación de aplicaciones de terceros. Si necesitas usar un smartphone, instala solamente aplicaciones de confianza - muchos virus se hacen pasar por útiles aplicaciones, pero causan estragos una vez instalados (o, peor aun, ponen en peligro la información guardada en tu teléfono). Bluetooth en particular ha demostrado ser un medio popular para que los virus en celulares se esparzan, y se deberían estar apagados cuando no están en uso. También podrías considerar la posibilidad de instalar software antivirus en tu teléfono. La mayoría de los principales vendedores de antivirus, incluidos Norton, Kapersky and F-Secure han lanzado recientemente productos de seguridad para celulares.

Agregar información también puede ser peligroso

Hasta ahora, se ha hablado de la vigilancia en términos de personas. Pero con sofisticado software de análisis de red, también es posible detectar patrones de grandes cantidades de datos de la red celular - registros de llamadas, registros de mensajes, contenido de mensajes - que podrían conducir a la identificación de grupos disidentes. Un post de ICT4Peace cita a Daniel Soar en el London Review of Books, donde describe cómo podría funcionar esto:

"[..] empresas como ThorpeGlen (y VASTech y Kommlabs y Aqsacom) venden sistemas que realizan ‘investigación pasiva', que analizan grandes cantidades de datos de las comunicaciones para detectar a sujetos de potencial interés para los servicios de seguridad, por lo que realizan su costoso trabajo preliminar para ellos. El Vice Presidente de Venta y Marketing de ThorpeGlen exhibió una de esas herramientas en la transmisión de un ‘seminario web’ a la comunidad de sistemas de seguridad en Internet (ISS, por sus siglas en inglés) el 13 de mayo. Usó como ejemplo la información de ‘una red móvil a la que tenemos acceso’ – como optó no ocultar los números, sabemos que está en Indonesia – y explicó que se habían procesado llamadas de toda la red de 50 millones de suscriptores, en un periodo de dos semanas, para elaborar una base de datos de unos ocho mil millones de ‘acontecimientos’. Dijo que todos en una red son parte de un grupo; la mayoría de grupos hablan con otros grupos, con lo que se crea una telaraña de interacciones".

Extraído de 

http://www.mobilemediatoolkit.org/es/asuntos-de-seguridad#encrypt&panel1-2