Llevaba tiempo dándole vueltas al asunto de la privacidad y las cámaras
de los móviles, pensando ¿por qué si tapaba la cámara del PC no hacía lo
mismo con la del télefono? A fin de cuentas, es un dispositivo que cada
vez se usa más o incluso ha llegado a prácticamente sustituir al
ordenador para el usuario medio. Siempre se ha dicho que hay que tapar
la cámara para protegernos, aunque como veremos más adelante no todo el
mundo comparte la misma opinión, sin embargo, yo nunca he visto a nadie con conocimiento de causa recomendar tapar la cámara de los móviles.
Esto me llevó a crear una pequeña encuesta en un foro que frecuento,
preguntando sobre si los otros usuarios tapaban o no las cámaras de su
smartphones o tablets. Para mi sorpresa, muchos empezaron a contestar
diciendo que ni si quiera tapaban la del ordenador, como para tapar la
del móvil. Esto me chocó bastante, ya que estamos hablando de un foro
técnico en el que hay gran cantidad de gente con certificaciones de
seguridad. Visto esto, decidí crear una encuesta en Google Forms que
publiqué en distintos sitios dónde se supone que el público tiene
concienciación sobre la privacidad y la seguridad informática:
- Un foro sobre certificaciones y trabajo en IT, con gran cantidad de gente con CISSP, CISM, CISA, Security+, OSCP, CEH....
- El canal ##security de FreeNode
- Un foro sobre cypherpunk
- El grupo de LinkedIn de la EFF
- La lista de correos de la RootedCON
Por lo tanto, los resultados de este análisis están basados en gente que
se supone que tiene cierta base en seguridad y privacidad.
Antes que nada, me gustaría aclarar una cosa, ya que recibí varias
quejas sobre por qué hacía una encuesta anónima y sin embargo requería
tener cuenta en Google. Esto era simplemente por utilizar la opción de
evitar que una misma persona pudiera votar más de una vez, pero en
ningún caso yo podía ver quién votó y quién no.
 |
| Figura 1 - Aparte de los resultados sólo aparecía la hora a la que se votó |
Dicho esto, veámos los resultados de
esta pequeña encuesta en la que han participado 100 personas. En el caso
de los ordenadores:
 |
| Figura 2 - Votación sobre la cámara de los ordenadores |
Considerando el público que fue encuestado, me parece sorprendente que hayan tantos que han votado no. Las opiniones de los que defienden que tapar la cámara es irrelevante se pueden resumir en:
- El micrófono es más importante que la cámara.
- No es necesario ya que la luz indica cuando está en funcionamiento.
- La probabilidad de que te hackeen es mínima.
- Si alguien tiene acceso a la cámara, significa que ya tiene acceso al sistema, por lo que que pueda verme la cara es el menor de mis problemas.
- Me da igual que me saquen una foto, no hay nada que esconder.
- No es una amenaza seria.
- No cubrir la cámara permite identificar a un posible ladrón.
En mi opinión, esta última es la única que tiene una base razonable, y de hecho, se han recuperado ordenadores gracias a eso.
El resto son ampliamente debatibles. Por ejemplo, el caso del
micrófono, yo también estoy de acuerdo en que el micrófono es igual o
incluso más importante que la cámara, especialmente en un entorno
laboral. Pero, y qué? Por este motivo no hay que decidir implementar
otra medida de seguridad? Me quedo con el comentario de Kinomakino en la lista de la Rooted:
por que pones un un waf, si actualizas wordpress? por que fortificas
wordpress, si tienes waf y updates? porque gestionas el siem, si tienes waf,
updates, fortificación? por qué pones un antivirus si tienes...
TODAS las medidas que pongamos para velar por nuestra seguridad y la de los
que nos rodean (empresa-familia) que no impliquen una perdida/Deterioro delservicio, no se porque no ponerlas en marcha.
Sobre el tema de la luz, está demostrado que se puede activar la cámara sin encender el LED. De hecho, esta es una de las técnicas que usó el FBI en la búsqueda de un terrorista.
La opinión de que si se tiene acceso a la cámara significa que se tiene
acceso al sistema no la veo acertada (puedo equivocarme que conste),
pero entiendo que está opinión se basa en que el sistema tiene un RAT y no tiene por qué ser siempre así. Veáse por ejemplo la reciente vulnerabilidad de Flash Player, CVE-2015-3044.
Que la probabilidad de tener problemas a través de la cámara sea mínima
es aceptable teniendo en cuenta la base de los votantes, ya que se
supone que cada uno sabe como defender sus sistemas. Pero, tanto cuesta
colocar un trocito de cinta como media preventiva ante un 0day?
Por último y no menos importante, no hay que ser tan narcisista. No sólo
se trata de que se pueda ver a la persona física que hay detrás, que
esto ya de por sí es una violación de privacidad, sino también de ver el
entorno, con el objetivo de obtener cualquier pieza de información que
pueda ser utilizada posteriormente en un ataque. Por ejemplo, en una
búsqueda rápida por "webcam selfies", me encuentro esta imagen de un
adolescente en el que se puede observar en el fondo que es fan de One
Direction. Un dato tal vez irrelevante, pero quién sabe... También se
pueden encontrar títulos, diplomas, fotos....
 |
| Figura 3 - Un fan de One Direction |
Los resultados de la votación sobre los smartphones son los siguientes:
 |
| Figura 4 - Votación sobre la cámara de los smartphones |
Como me imaginaba se puede observar que la mayoría no tapamos la cámara
de nuestros teléfonos. La opción de Yes implica tanto la cámara
delantera y la trasera, como solo la trasera en caso de que el terminal
no disponga de cámara frontal. Como era de esperar, nadie protege
únicamente la cámara trasera en caso de tener ambas cámaras.
Añadido a lo dicho anteriormente, otro de los motivos por los que no se
tapan las cámaras es porque generalmente el móvil se encuentra o bien en
el bolsillo o bien sobre una mesa. Respecto a lo segundo, hay que tener
en cuenta el campo de visión de la cámara.
Qué medidas se pueden tomar para hacer frente a esto? Algunos más
radicales sugieren quitar los drivers del dispositivo, pero esto afecta
directamente a la usabilidad. Si nunca vas a utilizar la cámara, pues
bueno..., pero generalmente no es una buena opción. La solución más
fácil y práctica es aplicar algo tan simple como un trozo de cinta negra
o algo "más elaborado" como un parche con una pestaña deslizante,
aunque esto puede provocar que no se pueda cerrar la tapa correctamente.
En el caso de una webcam externa, mirando para la pared o desenchufada
cuando no se use (y así se evita el problema del micrófono también!).
Ayoze Fernández (@ayozint)
