- En España está surgiendo una práctica en la que la policía perfila a las personas que usan dispositivos Google Pixel asociándolas con criminales, pero esto no se debe al chip de seguridad Titan M2 integrado por defecto en los Pixel, sino a GrapheneOS, un sistema operativo enfocado en la privacidad
- GrapheneOS no incluye servicios de Google por defecto, pero aun así permite instalar Play Store y usar normalmente la mayoría de las apps, incluso las bancarias, y reemplaza por completo las funciones principales de Android sin grandes inconvenientes de instalación o uso
- Tiene un sandboxing de apps y un control de permisos muy estrictos, de modo que incluso Google funciona solo con las limitaciones de una app común, y además ofrece funciones avanzadas de seguridad como el PIN de coerción (
duress)
- La razón para usar GrapheneOS no es “porque haya algo que ocultar”, sino para que el usuario tenga el control de sus datos y de su dispositivo
- La idea de vincular las herramientas de privacidad con el crimen más bien demuestra la importancia de la privacidad, y el problema no es el software en sí, sino su mal uso
Policía española sospecha de usuarios de Pixel + GrapheneOS por “vínculos criminales”
- Se reporta que la policía de Cataluña, en España, está perfilando a quienes poseen dispositivos Google Pixel asociándolos con criminales
- La razón por la que los narcotraficantes prefieren Pixel no es el chip de seguridad Titan M2, sino GrapheneOS, un sistema operativo centrado en la privacidad
- El autor, que también es un usuario común de GrapheneOS, siente rechazo ante este tipo de narrativa
Por qué usar GrapheneOS
- GrapheneOS es fácil de instalar y puede usarse sin perder funciones modernas de software
- Aunque es un fork de Android de código abierto, ofrece una gran compatibilidad con Play Store y las aplicaciones
- La mayoría de las apps funcionan con normalidad, incluidas las bancarias
- Sus principales características son varias funciones de seguridad, un sandboxing de apps reforzado y una reducción de vectores de ataque maliciosos
- En Android convencional, las apps de Google pueden acceder a información personal a nivel de sistema
- En GrapheneOS, las apps de Google también funcionan dentro de un sandbox como apps normales, con permisos desactivados por defecto y control manual
- La separación de perfiles de usuario permite aislar con más seguridad los permisos de las apps, e incluso soporta reenviar notificaciones al perfil principal
- Permite una gestión detallada de permisos, como bloquear Internet o el acceso a sensores por app
- También permite autorizar de forma selectiva solo los contactos, fotos o archivos que una app específica puede ver
- Ofrece la función de PIN de coerción (Duress: al ingresarlo cuando alguien te obliga a revelar la contraseña, borra por completo los datos)
Malentendidos sobre GrapheneOS y la privacidad
- Frente al argumento de que “si no tienes nada que ocultar, no hay razón para usarlo”, el verdadero objetivo es asegurar que el usuario tenga el control directo sobre su dispositivo y sus datos
- Una de sus mayores ventajas es que permite minimizar al máximo el acceso de Google a los datos
- La función de aislamiento de apps de GrapheneOS es muy eficaz para prevenir infecciones remotas o ataques maliciosos
- Algunas mejoras de seguridad también se han incorporado a AOSP, contribuyendo a elevar la seguridad de todo el ecosistema Android
- El hecho de que GrapheneOS atraiga la atención de las fuerzas del orden demuestra justamente lo eficaz que es para reforzar la privacidad
Por qué la privacidad y seguridad de GrapheneOS se vuelven una controversia política
- Al igual que servicios de mensajería cifrada como Signal, GrapheneOS enfrenta sospechas y presión porque dificulta la vigilancia
- En la UE existe un movimiento para exigir, mediante la ley de "Chat Control", el escaneo incluso de mensajes cifrados de extremo a extremo
- Aunque el cifrado en sí se permitiría, el escaneo previo dentro del dispositivo equivaldría en la práctica a introducir una puerta trasera
- Esto podría aumentar los riesgos de vigilancia ciudadana o de hackeos maliciosos
- Irónicamente, en 2019 Cataluña fue uno de los epicentros del escándalo del spyware Pegasus
- Muchos políticos y activistas sufrieron hackeos por el uso de herramientas de vigilancia reservadas a gobiernos
- Aun así, ahora quienes quedan bajo vigilancia son ciudadanos comunes y usuarios avanzados que intentan protegerse por sí mismos
La neutralidad de las herramientas de código abierto
- Los desarrolladores de GrapheneOS y Signal no pueden controlar para qué se usa su software, y la mayoría de los usuarios lo emplean para reforzar su privacidad y seguridad
- Pedir la regulación de herramientas de privacidad con el pretexto de prevenir delitos plantea problemas de fondo
- Es una lógica parecida a decir que “las cajas de fósforos sirven para provocar incendios y el efectivo para lavar dinero”
— regular las herramientas de privacidad en sí es injusto
- Debe reconocerse la neutralidad instrumental del código abierto
- En última instancia, es injusto que por usar herramientas como GrapheneOS alguien se convierta en objetivo de perfilamiento por parte de las fuerzas del orden
- Si buscar privacidad se convierte en motivo de sospecha, eso ya es de por sí un problema social
2 comentarios
Si fuera un problema menor, algunas empresas suelen usar apps de autenticación push como DUO (inicio de sesión en Okta/Jira, aprobación de pull requests, etc.), así que supongo que en este tipo de SO no oficiales habría limitaciones para instalarlas y usarlas. Claro, se podría resolver usando dos teléfonos, pero...
Opinión de Hacker News
En las redes oficiales de GrapheneOS, señalaron que algunos autoritarios y medios de Europa están tergiversando a GrapheneOS y a los teléfonos Pixel como herramientas usadas por criminales
GrapheneOS enfatiza que se opone a un sistema de vigilancia masiva que lleve a un Estado policial
Interpretan que funcionarios públicos, desde posiciones oficiales, difundan información inexacta para presentar a GrapheneOS como un sistema operativo para criminales, y que incluso traten a su comunidad de usuarios como criminales, como un ataque a nivel estatal
Comparten enlaces a declaración 1 de GrapheneOS en redes / declaración 2
Nunca he estado en España y no conozco bien Barcelona ni la cuestión catalana, pero esta situación da para pensar
Lo irónico es que Cataluña fue antes el centro del escándalo del spyware Pegasus
Pegasus es una sofisticada herramienta de vigilancia que solo se vende a gobiernos, y se usó en 2019 para hackear los teléfonos de miembros del Parlamento Europeo
Por eso me parece grave que ahora la policía de esa región sospeche de ciudadanos que usan Pixel y GrapheneOS para protegerse de la vigilancia ilegal
GrapheneOS tampoco es perfecto, pero se sigue fomentando un miedo muy exagerado
Creo que están llevando a cabo una campaña organizada de propaganda para hacer que la gente siga dudando de la capacidad de GrapheneOS para proteger la privacidad
Sorprendentemente, la policía y otros lo presentan como algo para criminales, pero al mismo tiempo afirman que en realidad no sirve para la privacidad ni la seguridad
Referencia: publicación relacionada en redes
En realidad, para llamarlo “un ataque estatal contra GrapheneOS”, un Estado de verdad tomaría medidas mucho más pesadas, como arrestos masivos o bloqueo de fondos
Cada quien está haciendo PR y tiene una visión distinta
Hay que refutar la lógica de “si no tienes nada que ocultar, ¿para qué necesitas privacidad?”
No soy yo quien decide qué debería ocultar, sino el poder
El poder siempre puede corromperse, y basta ver a Estados Unidos hoy
Por ejemplo, alguien puede ser gay y hoy no necesitar ocultarlo, pero con un nuevo gobierno podría ser perseguido en cualquier momento
Al final, si la información queda registrada, puede llegar una sociedad en la que eso se convierta en delito
Ni siquiera hace falta ir tan lejos
A alguien que responde así puedes pedirle su información bancaria, sus contraseñas o aunque sea fotos sensibles
Todo el mundo tiene algo que ocultar; si no, hay un problema serio
Hay un buen ejemplo que leí hace tiempo
Decía que “no necesito privacidad porque no tengo nada que ocultar” es como decir “no necesito libertad de expresión porque no tengo nada que decir”
En ambos casos, las consecuencias son enormes
Me preocupa mucho el movimiento anti-privacidad en Europa
Sobre todo porque el público general no presta atención a los temas de privacidad, así que espero cambios grandes
Me pregunto de dónde empezó este cambio tan extremo y si habrá algún lobby detrás
Esto no pasa solo en Europa; en Estados Unidos es igual
Por ejemplo, Roman Storm está siendo juzgado recientemente por haber creado una herramienta de privacidad
Solo periodistas como los de Rage están cubriendo bien este tema
Mucha gente no entiende las consecuencias de la propuesta ChatControl (permitir backdoors del gobierno en todos los mensajeros)
Los políticos dicen que es solo para proteger a los niños, pero por ejemplo en Suecia
la policía y los servicios de inteligencia podrían acceder a los datos de los ciudadanos, y al compartir datos con la NSA todos los DM podrían terminar almacenados en Estados Unidos
Agencias de inteligencia de otros países también podrían conocer esa información, y en el momento en que yo tome un avión hacia ese país, mi identidad sexual o mis inclinaciones políticas ya quedarían expuestas
Todo esto ocurriría fuera de las leyes o facultades de mi propio país
También existen sospechas relacionadas con la política Ylva Johansson
Wiki de ChatControl
Libertad de expresión en Suecia
Ley antidiscriminación de Suecia
Johansson y la política de vigilancia
Si se crea un sistema así, algún día podría usarse para eliminar adversarios políticos cuando el gobierno se degrade
Pensar que “el centro siempre va a tener el poder” es demasiado ingenuo
Igual que en Estados Unidos era vana la seguridad de que “Trump nunca va a ser presidente”, también en Reino Unido Reform o en Francia National Rally tienen muchas posibilidades de llegar al poder
Nadie debería hacerse el desentendido
Por supuesto que hay lobby detrás
Lo más grave es que países que solían defender los derechos humanos y la privacidad dieron un giro completo en los últimos 10 a 15 años
No es solo por la extrema derecha; es un intento descarado de bloquear la voz de la población
Se puede entender en un país como Hungría, pero que la UE y otros impulsen estas políticas no tiene ningún sentido
La mayoría llama a esto un ataque contra la privacidad, pero en realidad no vi esa parte en el artículo
El punto clave es que la policía está perfilando a los usuarios de teléfonos Pixel
No es lo mismo que ilegalizar algo o prohibir el cifrado
Yo también me preocupo por la privacidad al punto de usar Mullvad en un teléfono Pixel
Pero en esta discusión parece que muchos leyeron solo el título y están atacando a un enemigo imaginario
La discusión real debería ser si es apropiado que la policía haga perfiles de este tipo o, a la inversa, si de verdad los usuarios de GrapheneOS son criminales
Es cierto que Europa está atacando el cifrado y la privacidad, pero esta vez no aplica
Para llegar al contenido central de que la policía perfila a los usuarios de teléfonos Pixel hay que abrir varios enlaces
En realidad, es una sola línea dicha al pasar por un policía
Me da la impresión de que los medios están inflando muchísimo el tema a partir de esa frase
La esencia de este asunto es que se está difundiendo la falsa idea de que usar GrapheneOS equivale a ser criminal
También debería discutirse el propio concepto de crimen
En una sociedad que no convierta en delito actos inocentes de la gente común, ni siquiera habría tanta necesidad de demonizar tecnologías concretas
Hace falta debatir qué efectos reales tiene el perfilamiento policial
No es lo mismo que un policía piense “esto se ve un poco más sospechoso” a que una persona sea detenida o registrada repetidamente por motivos triviales
Lo segundo ya depende de la base legal de cada país, como las normas sobre controles de identidad y revisiones preventivas
Me sorprendería que alguien creyera que el perfilamiento basado en máquinas o software no perjudica la privacidad
En la mayoría de los países occidentales, la vigilancia solo se justifica si hay pruebas de un delito
Si la marca del teléfono o el sistema operativo pasan a ser base para sospechar de un crimen, eso por sí solo ya es una violación grave de la privacidad
Usar dispositivos orientados a la privacidad no debería convertirse en motivo de sospecha criminal
Yo uso GrapheneOS, no por motivos negativos, sino porque no quiero que Google tenga demasiado control sobre Android en general
Irónicamente, para eso tuve que comprar un teléfono de Google, pero los Android de otras marcas al final también son objetivo del marketing y la recolección de datos al estilo de Google
También me molesta que Android haya bloqueado el acceso a la carpeta Android>Data con el pretexto de reforzar la seguridad
Es mi teléfono y debería poder usarlo como quiera
En GrapheneOS me gusta poder acceder libremente a esas carpetas
Parece un gran sistema operativo, pero se siente contradictorio tener que comprar un teléfono de Google para alejarse de Google
Toda esta polémica empezó por un comentario de una línea hecho por un policía anónimo en la sección de “sociedad” de un periódico
Para llegar a la fuente original hay que pasar por nada menos que cinco enlaces
Al final, una sola frase, además filtrada por múltiples traducciones automáticas, terminó expandiéndose como un gran debate
Traducción del artículo en español / Original en catalán
El efectivo ya es objeto de regulación y sospecha en varios países
El uso de tarjeta es tan cómodo que la transición fue fácil, y lugares como Suecia son de hecho casi sociedades sin efectivo
Las transacciones en efectivo por encima de cierto monto son casi imposibles, y hasta pagar impuestos o el autobús en efectivo se ha vuelto difícil
En algunos países incluso hay personas sin cuenta bancaria
Incluso hay países que rastrean el efectivo con RFID (por ejemplo, Australia)
En la superficie todo se presenta como buena intención, pero en la práctica es una herramienta de vigilancia y control
La tecnología es moralmente neutral
Puede usarse con fines buenos o malos, y la tecnología en sí no emite juicios morales
Cuando se regula la tecnología, la carga casi siempre cae más sobre quienes cumplen la ley
Pasa con el cifrado, el DRM e incluso con herramientas básicas como un cuchillo
Al final, el miedo y el pánico moral suelen imponerse a la razón
Instalé GrapheneOS hace poco y estoy migrando las apps poco a poco
Soy una persona muy común, así que no me importaría demasiado ser vigilado, pero protejo mi privacidad para evitar desperdiciar recursos de las autoridades y para que las empresas no me quiten mi información
Por experiencia, la policía considera que cualquier pequeña diferencia respecto al resto ya es “prueba suficiente”
Si uno anda con ganas de llevar la contraria, GrapheneOS satisface eso hasta cierto punto
Por ejemplo, se puede aislar la libreta de contactos para impedir que una app de mensajería se lleve todos mis contactos
Dejé de usar GrapheneOS porque su PR me resulta molesto
En cada red social repiten críticas a lo que otros proyectos hacen mal y tienden a menospreciar cualquier enfoque que se aparte un poco de sus estándares de seguridad o privacidad
Abusan de palabras como “insulto” y “ataque” sin fundamento
En la práctica, GrapheneOS sí es lo mejor en rendimiento, usabilidad y seguridad, pero me decepciona que actúen así
Esa arrogancia que percibo desde hace años parece un bug que “no van a arreglar”
A mí sí me parece positivo que expliquen en detalle qué están haciendo mal otros proyectos (aunque coincido en que al equipo de GOS le falta diplomacia)
Antes, cuando preguntabas por qué no daban soporte a Fairphone, la respuesta no pasaba de “por seguridad”, pero últimamente ya dan razones concretas, como el Secure Element (chip de seguridad)
Eso me permite investigar y comparar por mi cuenta
De hecho, busqué el material y me da la impresión de que cuando GOS habla de “insultos”, tiene fundamentos claros
Cuando “critican” a otros proyectos, por ejemplo, lo hacen con base cuando /e/OS presume ser lo máximo en privacidad pese a usar hardware con seguridad débil y un AOSP desactualizado
Decir que GOS generaliza y desprecia a todos los proyectos de código abierto me parece, más bien, un insulto contra GOS
Cuando GOS habla de “ataques”, suele ser cuando aparecen críticas infundadas en masa
Incluso hubo usuarios que pidieron ejemplos de acusaciones sin sustento
Los proyectos que GOS recomienda realmente tienen motivos razonables
Sobre el término “Custom ROM”, GOS no dice que le moleste como tal, sino que lo considera una expresión imprecisa
Puede haber un problema de tono, pero no de contenido
No creo que un desarrollador de sistemas operativos móviles necesite hacer buen PR
Lo que yo quiero son actualizaciones de seguridad regulares, y en eso sí cumplen bien