Y tu, ¿tapas las cámaras de tus dispositivos?

Llevaba tiempo dándole vueltas al asunto de la privacidad y las cámaras de los móviles, pensando ¿por qué si tapaba la cámara del PC no hacía lo mismo con la del télefono? A fin de cuentas, es un dispositivo que cada vez se usa más o incluso ha llegado a prácticamente sustituir al ordenador para el usuario medio. Siempre se ha dicho que hay que tapar la cámara para protegernos, aunque como veremos más adelante no todo el mundo comparte la misma opinión, sin embargo, yo nunca he visto a nadie con conocimiento de causa recomendar tapar la cámara de los móviles.

Esto me llevó a crear una pequeña encuesta en un foro que frecuento, preguntando sobre si los otros usuarios tapaban o no las cámaras de su smartphones o tablets. Para mi sorpresa, muchos empezaron a contestar diciendo que ni si quiera tapaban la del ordenador, como para tapar la del móvil. Esto me chocó bastante, ya que estamos hablando de un foro técnico en el que hay gran cantidad de gente con certificaciones de seguridad. Visto esto, decidí crear una encuesta en Google Forms que publiqué en distintos sitios dónde se supone que el público tiene concienciación sobre la privacidad y la seguridad informática:

• Un foro sobre certificaciones y trabajo en IT, con gran cantidad de gente con CISSP, CISM, CISA, Security+, OSCP, CEH....
• El canal ##security de FreeNode
• Un foro sobre cypherpunk
• El grupo de LinkedIn de la EFF
• La lista de correos de la RootedCON

Por lo tanto, los resultados de este análisis están basados en gente que se supone que tiene cierta base en seguridad y privacidad.

Antes que nada, me gustaría aclarar una cosa, ya que recibí varias quejas sobre por qué hacía una encuesta anónima y sin embargo requería tener cuenta en Google. Esto era simplemente por utilizar la opción de evitar que una misma persona pudiera votar más de una vez, pero en ningún caso yo podía ver quién votó y quién no.

Figura 1 - Aparte de los resultados sólo aparecía la hora a la que se votó

Dicho esto, veámos los resultados de esta pequeña encuesta en la que han participado 100 personas. En el caso de los ordenadores:

Figura 2 - Votación sobre la cámara de los ordenadores

Considerando el público que fue encuestado, me parece sorprendente que hayan tantos que han votado no. Las opiniones de los que defienden que tapar la cámara es irrelevante se pueden resumir en:

• El micrófono es más importante que la cámara.
• No es necesario ya que la luz indica cuando está en funcionamiento.
• La probabilidad de que te hackeen es mínima.
• Si alguien tiene acceso a la cámara, significa que ya tiene acceso al sistema, por lo que que pueda verme la cara es el menor de mis problemas.
• Me da igual que me saquen una foto, no hay nada que esconder.
• No es una amenaza seria.
• No cubrir la cámara permite identificar a un posible ladrón. 

En mi opinión, esta última es la única que tiene una base razonable, y de hecho, se han recuperado ordenadores gracias a eso. El resto son ampliamente debatibles. Por ejemplo, el caso del micrófono, yo también estoy de acuerdo en que el micrófono es igual o incluso más importante que la cámara, especialmente en un entorno laboral. Pero, y qué? Por este motivo no hay que decidir implementar otra medida de seguridad? Me quedo con el comentario de Kinomakino en la lista de la Rooted:

por que pones un un waf, si actualizas wordpress? por que fortificas

wordpress, si tienes waf y updates? porque gestionas el siem, si tienes waf,

updates, fortificación? por qué pones un antivirus si tienes...

TODAS las medidas que pongamos para velar por nuestra seguridad y la de los

que nos rodean (empresa-familia) que no impliquen una perdida/Deterioro del

servicio, no se porque no ponerlas en marcha.

Sobre el tema de la luz, está demostrado que se puede activar la cámara sin encender el LED. De hecho, esta es una de las técnicas que usó el FBI en la búsqueda de un terrorista.

La opinión de que si se tiene acceso a la cámara significa que se tiene acceso al sistema no la veo acertada (puedo equivocarme que conste), pero entiendo que está opinión se basa en que el sistema tiene un RAT y no tiene por qué ser siempre así. Veáse por ejemplo la reciente vulnerabilidad de Flash Player, CVE-2015-3044.

Que la probabilidad de tener problemas a través de la cámara sea mínima es aceptable teniendo en cuenta la base de los votantes, ya que se supone que cada uno sabe como defender sus sistemas. Pero, tanto cuesta colocar un trocito de cinta como media preventiva ante un 0day?

Por último y no menos importante, no hay que ser tan narcisista. No sólo se trata de que se pueda ver a la persona física que hay detrás, que esto ya de por sí es una violación de privacidad, sino también de ver el entorno, con el objetivo de obtener cualquier pieza de información que pueda ser utilizada posteriormente en un ataque. Por ejemplo, en una búsqueda rápida por "webcam selfies", me encuentro esta imagen de un adolescente en el que se puede observar en el fondo que es fan de One Direction. Un dato tal vez irrelevante, pero quién sabe... También se pueden encontrar títulos, diplomas, fotos....

Figura 3 - Un fan de One Direction

Los resultados de la votación sobre los smartphones son los siguientes:

Figura 4 - Votación sobre la cámara de los smartphones

Como me imaginaba se puede observar que la mayoría no tapamos la cámara de nuestros teléfonos. La opción de Yes implica tanto la cámara delantera y la trasera, como solo la trasera en caso de que el terminal no disponga de cámara frontal. Como era de esperar, nadie protege únicamente la cámara trasera en caso de tener ambas cámaras.

Añadido a lo dicho anteriormente, otro de los motivos por los que no se tapan las cámaras es porque generalmente el móvil se encuentra o bien en el bolsillo o bien sobre una mesa. Respecto a lo segundo, hay que tener en cuenta el campo de visión de la cámara.

Qué medidas se pueden tomar para hacer frente a esto? Algunos más radicales sugieren quitar los drivers del dispositivo, pero esto afecta directamente a la usabilidad. Si nunca vas a utilizar la cámara, pues bueno..., pero generalmente no es una buena opción. La solución más fácil y práctica es aplicar algo tan simple como un trozo de cinta negra o algo "más elaborado" como un parche con una pestaña deslizante, aunque esto puede provocar que no se pueda cerrar la tapa correctamente. En el caso de una webcam externa, mirando para la pared o desenchufada cuando no se use (y así se evita el problema del micrófono también!).

Ayoze Fernández (@ayozint)

www.ayozint.com

Etiquetas: contribuciones , privacidad