• 9 de septiembre de 2020

De cara al control de la crisis del COVID-19, se ha puesto en marcha el lanzamiento de la APP Radar Covid con un único y ambicioso objetivo:

• Controlar, dentro de lo posible, el coronavirus es poder trazar un rastreo de los contagiados y así poder evitar la propagación del COVID-19

La aplicación ha sido desarrollada por la Secretaria de Estado de Digitalización e Inteligencia Artificial del Gobierno de España, y puesta a disposición de los usuarios tanto en plataforma Android como IOS, totalmente gratuita.

Según la información publicada en medios e información revisada por nuestro equipo técnico, la aplicación necesita una amplia implantación para ser efectiva. Según los cálculos del gobierno, si el 20% de la población se la descarga, ayudará a frenar la pandemia un 30%; y a partir de ahí la contribución será lineal. Entre los grandes países europeos solo en Alemania se roza este porcentaje.

Los dos grandes rasgos del funcionamiento de la aplicación es sencillo y claro:

• Proximidad: Cuando los teléfonos de dos usuarios de la app estén durante al menos 15 minutos a una distancia inferior a dos metros, intercambiarán unos ficheros a través del bluetooth (que deben tener activado) que se guardarán en sus móviles durante 14 días.
• Diagnostico positivo: Si a un usuario le diagnostican como positivo por coronavirus, el médico le suministrará un código alfanumérico aleatorio. Cuando lo introduzca en la aplicación los usuarios con los que haya tenido ese contacto estrecho recibirán una alerta: “Has estado en contacto con una persona contagiada de covid-19″.

Hasta aquí, todo esta claro, la incertidumbre por parte del usuario empieza cuando se plantea cuestiones referentes a su privacidad y el uso de los datos que hacer Radar Covid. Ante esta cuestión se debe de partir del supuesto conocido por el cual desde que se produce la descarga de cualquier aplicación en un terminal móvil, es imposible asegurar que la privacidad del usuario esta garantizada al 100%.

La técnica que se ha utilizado con Radar Covid es la aplicación de un protocolo descentralizado, denominado DP-3T https://github.com/DP-3T/documents, que implica la imposibilidad de identificar los usuarios registrados en la aplicación, ni mucho menos los registrados como positivos.

Una de las cuestiones mas visibles a pie de calle con los usuarios, es que ocurre con la geolocalización del dispositivo y su registro dentro de Radar Covid. Al utilizar la tecnología Bluetooth para el intercambio de los códigos entre los terminales móviles, se impide cualquier registro de geolocalización (si se utilizara posicionamiento GPS esto no ocurriría).

Hasta aquí, todo lo indicado en versión oficial por Radar Covid. Ahora bien, nuestro equipo de trabajo en base a la revisión en profundidad de la aplicación, se plantea diversos puntos de análisis:

• Falta de transparencia

En un primer momento, desde los desarrolladores de Radar Covid se indicó que el código fuente de la aplicación seria abierto. Hoy en día continua sin ser accesible para cualquier programador que quiera revisarlo. Se estima un lanzamiento a nivel nacional en España el próximo día 15 de septiembre.

• Falta información pública Oficial

Prevalecen cientos de artículos de opinión sobre el funcionamiento de Radar Covid y sus ventajas/inconvenientes frente a una versión oficial del gobierno clara y directa en cuestiones criticas como son la ciberseguridad y la protección de datos.

• Apple y Google

No se esta diciendo nada sobre el papel que los dos gigantes juegan en el uso de Radar Covid, donde por ejemplo para usar la aplicación Google requiere que se habilite también la localización del usuario. Y por otro lado Google Play Services cuenta con un mecanismo que envía a su compañía cierta información, que puede ser personal, cada cierto tiempo.

En este contexto la situación a plantear desde un punto de vista de la integridad, seguridad y vulnerabilidad de la aplicación radica en su código fuente y en el servidor de base de datos que almacena la información con el objetivo de ver realmente el anonimato de los datos.

• Código fuente:

La publicación del código fuente de la aplicación Radar Covid para dar transparencia a la aplicación y al mismo modo poder revisar por cualquier experto en la materia informática, aspectos como la seguridad del código, procedimientos de almacenamientos, metodología de desarrollo etc.

• Base de datos:

A nivel de almacenamiento lo más adecuado sería poder tener la información en un sistema de base de datos distribuido, de tal manera que en los terminales móviles de los usuarios se almacenaría la información a nivel de contactos para avisar en caso de ser un individuo positivo. Tanto si se hace mediante un sistema centralizado como en uno distribuido, se estarían recogiendo datos de teléfonos, usuarios etc y se debería de tratar la información almacenada de manera totalmente anónima, esto es, la información se somete a un proceso irreversible que impide que, dichos datos, una vez han sido anonimizados, puedan ser utilizados para identificar a los usuarios reales que se hallan tras los mismos (singularización), o para inferir atributos adicionales que, en principio, se desconocían, asociados a éstos (inferencia).

Algunas de las principales técnicas de anonimización de información son:

• Aleatorización
• Adición de ruido
• Permutación
• Privacidad diferencial
• Generalización
• Agregación y anonimato ‘k’
• Diversidad ‘l’ y proximidad ‘t’

Por todo ello tendremos que esperar durante las próximas semanas para ver como evoluciona la aplicación, comunicaciones oficiales y sobretodo la respuesta por parte de los usuarios. Todo será en conjunto clave para el éxito o fracaso del proyecto.