El gobierno de EE. UU. paga a AT&T para que la policía busque registros telefónicos de estadounidenses sin orden judicial

• El senador Ron Wyden cuestionó que Hemisphere Project sea un programa de vigilancia de largo plazo que permite a agencias de seguridad buscar entre billones de registros telefónicos dentro de EE. UU., y que esas búsquedas se realicen “normalmente” sin orden judicial
• Mediante una estructura en la que la ONDCP paga a AT&T, las agencias de seguridad federales, estatales, locales y tribales pueden consultar registros que se remontan hasta 1987 y 4.000 millones de registros de llamadas que se agregan cada día
• AT&T dijo que la entrega de la información correspondiente se realiza en virtud de citaciones, órdenes judiciales u órdenes de tribunales, pero Wyden señaló que muchas agencias pueden emitir sus propias citaciones y que las búsquedas no están limitadas a investigaciones de drogas
• Los documentos de Hemisphere no son clasificados, pero el Departamento de Justicia los designó como Law Enforcement Sensitive, lo que impide su divulgación; además, se sostiene que por su estructura de financiamiento queda fuera de una Privacy Impact Assessment federal
• La Government Surveillance Reform Act, presentada por Wyden y legisladores de ambos partidos, incluye exigir una orden de un tribunal independiente antes de vigilar los registros telefónicos de estadounidenses

---

Alcance de Hemisphere Project y objeciones de Wyden

• En una carta enviada al fiscal general de EE. UU., Merrick Garland, el senador Ron Wyden definió a Hemisphere Project como un programa de vigilancia masiva de largo plazo
• La preocupación de Wyden es que las agencias de seguridad buscan en los registros telefónicos de ciudadanos y residentes de EE. UU. sin considerar adecuadamente las protecciones de privacidad de la Cuarta Enmienda
• Según Wyden, estas búsquedas se realizan “normalmente” sin orden judicial
• Exige que el Departamento de Justicia divulgue información relacionada con Hemisphere

Estructura de pagos a AT&T y datos consultables

• En Hemisphere, la White House Office of National Drug Control Policy paga a AT&T para permitir que las agencias de seguridad busquen en registros telefónicos
• Las agencias con acceso se describen como agencias de seguridad federales, estatales, locales y tribales
• Los datos consultables son billones de registros telefónicos dentro de EE. UU., con registros que se remontan al menos hasta 1987
• Cada día se agregan 4.000 millones de registros de llamadas
• Según Wyden, las agencias de seguridad federales y estatales pueden solicitar búsquedas en Hemisphere mediante citación
  • Muchas agencias de seguridad pueden emitir ellas mismas esas citaciones
  • Cualquier agencia de seguridad del país puede solicitar acceso para búsquedas
  • Las búsquedas no se limitan únicamente a investigaciones relacionadas con drogas

Postura de AT&T

• AT&T no respondió preguntas específicas sobre Hemisphere
• Un vocero explicó que la información mencionada en la carta de Wyden es obligatoria en virtud de citaciones, órdenes judiciales u órdenes de tribunales
• Su postura es que, como todas las empresas, debe cumplir conforme a la ley con citaciones, órdenes judiciales y órdenes de tribunales emitidas por el gobierno y las agencias de seguridad
• Remitió los comentarios al Departamento de Justicia, destinatario de la carta de Wyden

Mantenimiento en secreto y demandas por registros públicos

• Hemisphere se dio a conocer por primera vez a través de un artículo de New York Times en 2013
• En ese momento, el artículo evaluó que la escala y duración del almacenamiento de datos parecían no tener precedentes incluso en comparación con otros programas gubernamentales, incluida la recopilación de registros de llamadas telefónicas de la NSA bajo la Patriot Act
• Organizaciones de privacidad como Electronic Frontier Foundation presentaron demandas bajo la Freedom of Information Act y leyes estatales de registros públicos para conocer mejor Hemisphere demanda
• El programa y los documentos no son clasificados, pero el Departamento de Justicia los designó como Law Enforcement Sensitive
  • Esta designación se usa con el argumento de que la divulgación podría perjudicar investigaciones en curso
  • Como resultado, se impide la distribución pública de los documentos
• Wyden quiere que se retire esa designación

Alegación de eludir la Privacy Impact Assessment y capacidades de datos

• Se sostiene que, por su estructura de financiamiento, Hemisphere no está sujeto a una Privacy Impact Assessment federal
• La Casa Blanca no paga directamente a AT&T; en su lugar, la ONDCP otorga fondos al Houston High Intensity Drug Trafficking Area
  • Esta organización es una alianza entre agencias de seguridad federales, estatales y locales
  • Esta alianza paga a AT&T para operar el sistema de vigilancia
• La carta de Wyden cita a un funcionario de seguridad que describió Hemisphere como “el supermotor de búsqueda de AT&T” y “Google con esteroides”
• Con base en diapositivas de la ONDCP y correos electrónicos de la DEA, Wyden afirmó que AT&T busca en registros almacenados en su wholesale division
  • Esta división transporta las comunicaciones de otras operadoras y de sus clientes
• Según documentos de la ONDCP, Hemisphere puede usarse para identificar números alternativos usados por una persona investigada, obtener datos de ubicación y conseguir “dos niveles de registros detallados de llamadas” para un número objetivo
  • Esta cláusula significa que los registros telefónicos de todas las personas que se comunicaron con la persona investigada también pueden quedar incluidos en la búsqueda

Movimientos legislativos

• Wyden y legisladores de ambos partidos de la Cámara de Representantes y el Senado de EE. UU. presentaron la Government Surveillance Reform Act
• Entre otras disposiciones, este proyecto de ley exige una orden de un tribunal independiente antes de vigilar los registros telefónicos de estadounidenses

[GN⁺]

Opiniones de Hacker News

• Me recuerda a uno de mis textos favoritos: https://kieranhealy.org/blog/archives/2013/06/09/using-metad...
  Es un buen texto para compartir con amigos que no entienden lo peligroso que es esto.

  • No estoy tan seguro. Al final, ¿no es una demostración de cómo los británicos podrían haber identificado y detenido a las figuras clave de la rebelión?
    ¿Se supone que la gente se va a indignar por el concepto en sí?
    Este ejemplo no es bueno.
    Si somos realistas, es probable que una persona común solo piense: “podrían haber detenido una rebelión”. No es un ejemplo que explique bien las consecuencias negativas.
    La gente renuncia a todo por miedo. Incluso le entrega a Google toda su privacidad a cambio de cuentas de vidrio y baratijas.
    Este ejemplo muestra que el gobierno podría frustrar una rebelión violenta real. La gente promedio pensaría: “qué bien”.
  • https://dave.autonoma.ca/blog/2019/06/06/web-of-knowledge/
    “Los metadatos son información sobre la información. El catálogo de fichas de una biblioteca es un ejemplo de metadatos. Si los libros en sí son un tesoro de información, el catálogo contiene detalles sobre esos libros. Los metadatos de una llamada telefónica pueden incluir quién llamó a quién, la fecha y la hora, la ubicación de ambas partes y la duración de la llamada…”
    “Si esos metadatos hubieran estado en manos del Tercer Reich, es fácil imaginar que Kelly habría sido marcado con el código 3 (homosexual) en una tarjeta perforada y arrestado, luego declarado culpable por asociación, y que su muerte habría quedado registrada con el código 4 (ejecución). Si se conociera el contenido de la conversación, también podría haber otras explicaciones para las acciones de Kelly que llevarían a una interpretación completamente distinta”.
  • Estaría bueno reescribir esto como una historia en la que los romanos rastrean a Jesús con metadatos. Tal vez podríamos atraer a algunos evangélicos a nuestro lado.

• ¿Este sistema está lo bastante restringido como para impedir que un pueblo de 20 habitantes con un solo sheriff acceda a los registros de llamadas de alguien a 1,000 millas de distancia?

  • ¿Y qué pasa si un “pueblo de 20 habitantes” que ni siquiera existe crea un sitio web creíble de una comisaría, y el jefe de policía le manda un correo a AT&T solicitando acceso de emergencia para prevenir un suicidio?
  • No publican ningún detalle sobre el sistema. Ese es uno de los puntos centrales del artículo, y también la razón por la que Wyden exige su desclasificación.
  • Probablemente no, pero no entiendo por qué preocuparse por un lugar tan pequeño y no por el gobierno federal.

• Hay más información sobre Hemisphere en el sitio de la EFF: https://www.eff.org/cases/hemisphere

  • AT&T lleva mucho tiempo haciendo mucho más que simplemente recopilar registros y entregárselos al gobierno federal.
    Ha hecho minería de datos con los registros para crear mapas de comunidades, y quizá incluso ubicaciones pasadas.
    Lo lleva haciendo durante décadas, y a principios de los 2000 incluso creó su propio lenguaje de programación para eso.
    https://web.archive.org/web/20170129095532/https://www.wired...

• “Pocos intentos han tenido mucho éxito. Parece que el gobierno federal está haciendo todo lo posible para mantener Hemisphere en secreto”.
  Para mí, esta es la parte más preocupante. Es especialmente inquietante que el gobierno tenga formas legales de obtener esa información, pero sea tan hostil a colaborar en favor de los derechos de los ciudadanos. Parece que olvidaron a quién sirven y para quién trabajan.

  • No lo olvidaron; simplemente nunca trabajaron para las personas que tú creías.

• ¿Quién va a ir a la cárcel por violar derechos constitucionales?

  • Con la jurisprudencia constitucional actual, parece difícil sostener que se requiere una orden judicial para obtener de un tercero información que fue intercambiada voluntariamente con ese tercero.
    El precedente más relevante probablemente sea Smith v. Maryland.
    https://supreme.justia.com/cases/federal/us/442/735/
  • Ja, buen chiste. Nadie. Hay un ejemplo de otro artículo anterior que muestra por qué eso no va a pasar:
    “La NSA construyó una red de vigilancia capaz de llegar a aproximadamente el 75% del tráfico de Internet de EE. UU.”
    “En mayo de 2012, una auditoría interna de la NSA identificó 2,776 incidentes de incumplimiento de reglas u órdenes judiciales en la vigilancia de estadounidenses y objetivos extranjeros dentro de EE. UU. entre abril de 2011 y marzo de 2012. Funcionarios estadounidenses destacaron que ningún error fue intencional”.
    “El tribunal FISA, que debería ejercer la supervisión fundamental de los enormes programas de vigilancia del gobierno estadounidense, tiene una capacidad limitada para desempeñar ese papel”.
    “Según una opinión legal desclasificada el 21 de agosto de 2013, la NSA interceptó hasta 56,000 comunicaciones electrónicas de estadounidenses sin presuntos vínculos con el terrorismo por año durante tres años, antes de que el tribunal FISA que supervisa la vigilancia determinara en 2011 que la operación era inconstitucional”.
    https://en.m.wikipedia.org/wiki/2010s_global_surveillance_di...
    La parte clave es esta: “Hay que confiar en que el gobierno se autodenuncie cuando vigile indebidamente a estadounidenses”.
    En la práctica, el tribunal les dijo que se vigilaran a sí mismos y confesaran si cometían delitos. Era un sistema de honor, y por supuesto no se denunciaron a sí mismos ante el tribunal. ¿Por qué lo harían?
  • ¿Por qué siempre alguien tiene que ir a la cárcel? Basta con cerrar el programa. Recién cuando quede claramente establecido que es ilegal, entonces agreguen gente a la lista de presos.
  • Los primeros en la fila serán los periodistas que informaron sobre esto.

• Dejando de lado la discusión moral, ¿esto no es anticompetitivo? En lugar de aprobar una ley que se aplique a todas las telefónicas, el gobierno eligió a un ganador y le pagó.

  • “El gobierno eligió a un ganador y le pagó” es justamente lo que significa la contratación pública. El proceso competitivo ocurre antes de adjudicar el contrato, y después de eso, en general, queda una relación de un cliente con un proveedor.

• Si esto se usa para respaldar la visión de Project 2025… cuesta imaginar algo más oscuro

  • Si de verdad uno se pone a pensarlo, seguro que sí puede imaginar algo todavía más oscuro

• Es una razón aún mejor para empezar a usar sistemas operativos móviles de código abierto y comunicaciones con cifrado de extremo a extremo
  Pista: https://wiki.postmarketos.org/wiki/Devices

  • Exacto. Los consumidores deberían asumir que, en cuanto sus datos pasan a otra empresa, se van a vender de inmediato
    Facebook, Google y otros demostraron que los datos de los usuarios generan dinero. ¿Por qué sorprende que otras empresas quieran sumarse a esa misma fuente de ingresos?
    Los usuarios ya no leen los términos y condiciones. Si una empresa incluye en ellos la recopilación y venta de datos, y los clientes siguen aceptando, ¿cuál es el problema?
    Los clientes pueden votar con su billetera y cambiarse a proveedores que respeten sus datos, o presionar a los políticos electos para que hagan ilegal este tipo de venta de datos
  • Pregunta seria: ¿en qué es mejor esto que usar un iPhone con una app legal de cifrado de extremo a extremo?

• Un portavoz de AT&T dijo: “Remitimos los comentarios al Departamento de Justicia, destinatario de la carta del senador Wyden. Como toda empresa, debemos cumplir con las citaciones, órdenes de registro y órdenes judiciales del gobierno y de las fuerzas del orden conforme a la ley”
  Bien. Pero ¿tienen alguna obligación legal de conservar 40 años de registros de llamadas? ¿No solo conservarlos, sino hacerlo de una forma fácilmente indexable?
  Si no es así, claramente algo está pasando. Comparado con no conservar esos registros, el costo de mantenerlos tampoco debe ser bajo. AT&T es una empresa pública con accionistas, así que si fuera más barato eliminar los registros, ya lo habría hecho… ¿qué está pasando exactamente?

  • El gobierno federal probablemente paga cada año, normalmente con presupuesto clasificado, para obtener este tipo de acceso. Lo adquieren como cualquier otra cosa y luego lo esconden dentro de un enorme presupuesto no público

• Incluso después de los cambios recientes de la FCC, recibo tantas llamadas de spam como llamadas normales. Debe haber registros de estas llamadas de spam casi ilimitados, así que debería ser fácil investigar su origen y bloquearlas