Oura dice que recibe solicitudes del gobierno por datos de usuarios
(this.weekinsecurity.com)- Oura ring recopila datos de salud sensibles como frecuencia cardíaca, sueño, ciclo menstrual y ubicación, y la forma en que se almacenan en sus servidores determina la posibilidad de acceso externo
- Los datos de Oura no están protegidos con cifrado de extremo a extremo y se almacenan de una forma a la que algunos empleados pueden acceder, por lo que podrían quedar expuestos a órdenes judiciales, claves robadas o riesgos internos
- Oura afirma que las solicitudes del gobierno son poco frecuentes y que revisa su legalidad, alcance y necesidad, pero no revela cuántas recibe ni con qué frecuencia entrega datos
- Después del escándalo de vigilancia de la NSA en 2013, muchas empresas tecnológicas comenzaron a publicar informes de transparencia semestrales, pero Oura no ha hecho una promesa pública incluso después de ocho meses
- Oura, que ya ha vendido más de 5.5 millones de anillos en total, necesita publicar cifras agregadas sobre las solicitudes gubernamentales de datos para mantener la confianza de sus clientes
Datos de Oura y estructura de acceso
- Oura ring es un wearable de monitoreo de salud que se usa en el dedo y recopila datos de salud sensibles como frecuencia cardíaca, patrones de sueño, ciclo menstrual y ubicación
- Los datos de los usuarios se almacenan en los servidores de Oura, y la posibilidad de acceso por parte del gobierno o de hackers depende de cómo estén diseñados el producto y los servidores
- Oura quedó envuelta en una controversia en redes sociales después de firmar contratos con el Department of Defense y Palantir, y algunos clientes temen que sus datos puedan terminar en manos de la administración Trump
- Actualmente Oura es uno de los principales fabricantes de wearables de tecnología de salud y, de cara a su salida a bolsa, está valuada en más de 11 mil millones de dólares
- Oura ya anunció la presentación confidencial de un borrador de registro para una oferta pública inicial, por lo que también aumenta su responsabilidad sobre el control de acceso a los datos de los usuarios
Ausencia de cifrado de extremo a extremo
- Los datos de Oura no están protegidos con cifrado de extremo a extremo (end-to-end encryption)
- Los datos de salud del usuario pueden descifrarse en ciertos puntos del trayecto desde el ring, pasando por la app del teléfono y por internet, hasta llegar a los servidores de Oura
- Oura confirmó que almacena los datos de los usuarios de una forma a la que algunos empleados pueden acceder
- En una estructura así, un fiscal con orden judicial, un hacker con claves robadas o un empleado interno malicioso podrían llegar a acceder a los datos
- Oura reconoce que, entre esas posibilidades, las solicitudes del gobierno sí ocurren en la práctica
Solicitudes gubernamentales de datos que Oura reconoció
- Oura dijo que recibe solicitudes poco frecuentes (infrequent requests) por parte del gobierno
- Cada solicitud se revisa según criterios de “legalidad, alcance y necesidad”
- Oura afirma que se opone cuando una solicitud no es válida, es excesivamente amplia o no es consistente con sus compromisos de privacidad hacia los miembros
- Sin embargo, no revela cuántas solicitudes recibe, con qué frecuencia entrega datos de usuarios ni qué tipos de datos se solicitan
- Oura ha vendido más de 5.5 millones de rings en total hasta la fecha del artículo, por lo que su base de clientes es grande
Informes de transparencia y retraso en la divulgación
- Muchas empresas tecnológicas comenzaron a publicar conteos semestrales de solicitudes gubernamentales después del escándalo de vigilancia de la NSA en 2013
- Esa divulgación fue una forma de responder a las sospechas de que las empresas, al recibir pedidos del gobierno, entregaban en secreto grandes volúmenes de datos de usuarios
- Oura no había publicado informes de transparencia en el pasado, pero dijo que estaba “evaluando activamente formas de compartir datos agregados de una manera que mantenga la seguridad y no genere riesgos para los miembros”
- Han pasado ocho meses desde entonces, pero no ha habido una publicación del informe de transparencia ni una promesa de revelar la cantidad de solicitudes
- Ante una nueva consulta reciente y varios correos de seguimiento, Oura no respondió
La necesidad de divulgar para mantener la confianza del cliente
- Sin cifras sobre las solicitudes, es difícil saber con qué frecuencia Oura rechaza las exigencias de datos del gobierno o si realmente alguna vez las ha rechazado
- Cuando datos de salud sensibles se almacenan en servidores y algunos empleados pueden acceder a ellos, divulgar estadísticas sobre solicitudes gubernamentales está directamente ligado a la confianza del cliente
- Si Oura quiere ganar o mantener la confianza de sus clientes, debe publicar cifras agregadas sobre las solicitudes gubernamentales de datos, como ya hacen otras empresas tecnológicas
1 comentarios
Comentarios en Hacker News
En Illinois hay una ley de privacidad de información biométrica bastante fuerte
No parece que Oura esté poniendo especial cuidado, por ejemplo, en impedir que un departamento de policía de Texas consulte información protegida de residentes de Illinois
https://en.wikipedia.org/wiki/Biometric_Information_Privacy_...
“En un blog anterior se reveló que los datos de Oura no están cifrados de extremo a extremo. Eso significa que los datos de salud de un usuario de Oura podrían descifrarse en ciertos puntos mientras van del anillo a la app del teléfono, pasan por internet y llegan a los servidores de Oura”
Bastante raro. Parece que están confundiendo cifrado de extremo a extremo con cifrado en tránsito
El mensaje se cifra en el origen y solo se descifra en el destino, así que entre ambos puntos permanece cifrado en todo momento
Suena a que sí van cifrados en tránsito, que desde hace unos 20 años ya es casi lo normal. Decir que “se descifran en ciertos puntos del trayecto” es una forma bastante razonable de explicarle a un lector no técnico la diferencia real entre ambos enfoques
Tal vez están viendo cada tramo de transmisión como un intercambio IP separado de extremo a extremo
Si ves apps de mensajería que usan un servidor como intermediario, E2EE significa que solo los dos usuarios pueden ver el contenido y que los servidores de la empresa intermediaria no pueden verlo. Con Oura solo están el usuario y el servidor de la empresa, así que mucha gente asume que Oura tampoco puede leer los datos, igual que los servidores de Signal o WhatsApp no pueden hacerlo por el E2EE. El marketing normalmente permite o incluso fomenta esa confusión
Aun así, si Oura afirmara tener E2EE, entonces tendría que forzar el cifrado en la interfaz entre el usuario y el servicio, o sea, en el anillo o al menos en la app, y los datos solo deberían descifrarse en el otro extremo, en los servidores de Oura. Si los datos se descifran en cualquier punto entre esos dos extremos, entonces no es E2EE
Se siente como pagar 6 dólares al mes para que te vigile el gobierno federal
Pero no te preocupes, te dirán que están vendiendo esos tokens con pérdidas, así que esta venta de datos no importa
¿Entonces se supone que mis datos, los que no usan para entrenamiento, deben entrar en un esquema donde yo pago para que ellos me los extraigan?
Aun tomando en cuenta todo esto, me preocupa más el reconocimiento automático de contenido (ACR) de las smart TVs que compras en una tienda
El usuario ni siquiera se da cuenta, pero la TV está enviando a casa todo lo que ve
Me pregunto qué podrían hacer con mis datos de ritmo cardíaco y oxígeno en sangre
“¡El señor Smith salió a correr otra vez, hay que llevarlo a interrogatorio!”
Dicho eso, si el gobierno está pidiendo esos datos, claramente sí los está usando para algo, aunque no sé para qué
Cuando las empresas tecnológicas hablan con inversionistas de venture capital, dicen algo como: “con datos agregados e inteligencia artificial podemos hacer todo tipo de inferencias espeluznantes para maximizar ingresos por publicidad dirigida, así que valemos 50 veces más que una empresa no tecnológica del mismo sector”
Pero cuando hablan con clientes, salen con: “qué ingenuo preocuparse por la privacidad, ¿de qué serviría una variable aislada?”
¿Qué podrías hacer con esta sola variable aislada?
Si lo que quieres es actuar con mala fe, las posibilidades son infinitas
También podrían subirte la prima del seguro si tu salud es mala, y seguro hay cosas peores que ni se me ocurren
Por eso, aunque no me encanta el Apple Watch, no uso otra cosa
Los datos de salud son muy sensibles, y la única empresa a la que se los confiaría es Apple. No es perfecta, pero comparada con las demás, no hay competencia
La mejor forma de impedir que las agencias federales accedan a los datos de los clientes es simplemente no recolectarlos desde el principio
De hecho, hasta me gustaría que tuviera algo más de sincronización. Incluso para mover información de salud entre dos dispositivos conectados a la misma cuenta hace falta una app de terceros
Apple también está sujeta a las mismas leyes que Oura. Sus competidores igual
Apple, gracias a un excelente equipo de relaciones públicas, o de propaganda, ha hecho que mucha gente crea que respeta la privacidad. En realidad no es así. Puede que sea “mejor” que Google, pero por muy poco, y en la práctica casi no hay diferencia
“Apple está tomando la medida sin precedentes de retirar sus herramientas de máxima seguridad de datos para clientes en el Reino Unido, después de que el gobierno británico exigiera acceso a datos de usuarios”
https://www.bbc.com/news/articles/cgj54eq4vejo
Si ya pasó en el Reino Unido, en Estados Unidos tampoco tardará mucho
También pasó en Estados Unidos: https://www.bbc.com/news/technology-36084244
También en Francia, Alemania, Australia, Brasil y Japón: https://www.apple.com/legal/transparency/pdf/requests-2024-H...
También en Rusia: https://www.bloomberg.com/news/articles/2019-02-04/apple-fil...
También en China: https://www.article19.org/resources/apple-cares-about-digita...
Y algo más general: https://proton.me/blog/iphone-privacy
Publicar un informe de transparencia parece una forma fácil de terminar en la lista negra de la administración actual
Me sorprendería que de verdad lo publiquen
No entiendo en qué está pensando la gente que compra un dispositivo para recolectar y vender datos de salud, y además paga una suscripción
Y a cambio reciben poco más que un panel placebo lleno de números
Pero desde que empezaron a cobrar suscripción, se volvió basura electrónica
Consideré Oura, pero al final elegí Apple Watch
Para estar más tranquilo activé Advanced Data Protection en el iPhone conectado. Sobre todo en el mercado de consumo de rastreadores de actividad, casi no hay grandes negocios de datos que ofrezcan cifrado de extremo a extremo de ADP y protección comparable a cifrado de conocimiento cero
Según entiendo, incluso hay relojes sin hardware inalámbrico para que puedan usarse en entornos sensibles
Una posibilidad sería activar la sincronización de datos con Apple Health y, periódicamente, borrar la cuenta de Oura y crear una nueva para eliminar el historial de salud. No es un flujo ideal, pero te permitiría usar Oura y al mismo tiempo aprovechar la ventaja de E2EE de Apple Health. Claro, eso asumiendo que la opción de Oura de “eliminar la cuenta y todos los datos” realmente funciona como dice
No entiendo por qué habría que guardar estos datos en la nube