Descubren que Rodríguez Larreta te espía a través de una aplicación móvil

Nacionales 07 de abril de 2019 Por
"BA Cómo llego" filtra importante información sobre quien la utiliza. Ocurre en medio del escándalo de espionaje que involucra a Stornelli y D'Alessio, y pone en jaque a la cúpula de la AFI.
2f435ebbafe4f68d30fb32f4b2ce5049_MAIN

El reconocido blog civilsphereproject.org realizó un completo informe sobre la aplicación creada por el Gobierno de la Ciudad llamada “BA Cómo Llego”. La aplicación es de descarga gratuita y está disponible para sistemas Apple y Android y ya cuenta con más de un millón de descargas.

Según lo denunciado por civilsphereproject.org la información que el usuario brinda no está encriptada adecuadamente y cualquier persona con acceso a la base de datos puede acceder a la ubicación en tiempo real del usuario.


Esta denuncia se da luego de que, a fines del año pasado, Horacio Rodríguez Larreta intentara aprobar una reforma del Código Procesal Penal que autorizaba escuchas en forma indiscriminada. Así lo denunciaba Amnistía Internacional:  “El proyecto impulsado por el poder ejecutivo, expediente 1790-J-2018, introduce “medidas especiales de investigación” que, de aprobarse, implicarían afectaciones muy negativas a la privacidad y la intimidad. Una de las técnicas propuestas busca autorizar el ingreso remoto a dispositivos como celulares y computadoras. El acceso remoto es una amenaza grave a la intimidad, ya que puede conducir a la vigilancia en tiempo real a través de la cámara, el micrófono o el GPS, de manera encubierta. Estas tecnologías permiten registrar: capturas de pantalla de lo que la persona está viendo, pulsaciones sobre el teclado y lo que escribe (nombres de usuario, contraseñas, historial de navegación) y acceder a todas las comunicaciones (mensajes, correos electrónicos, llamadas). El acceso remoto también permite manipular los datos almacenados, adulterarlos o borrarlos. Todas estas actividades pueden realizarse y al mismo tiempo eliminar el rastro de esa intrusión. Este acceso del poder punitivo a la esfera de la intimidad personal se realizaría, además, sin límites adecuados para su aprobación y ejecución”.

Si bien, finalmente, el artículo que establecía medidas de vigilancia fue eliminado del dictamen de mayoría, Rodríguez Larreta se las rebusca para espiar a los porteños.

Compartimos el artículo completo del blog civilsphereproject.org

RESUMEN
En esta publicación informamos sobre problemas importantes encontrados en la aplicación de transporte público “BA Cómo Llego” desarrollada por el Gobierno de la Ciudad Autónoma de Buenos Aires. En resumen, los problemas encontrados son:

. La aplicación envía la ubicación exacta de los usuarios en texto sin cifrar a través de la red. Cualquier persona con acceso al tráfico puede saber dónde se encuentra el usuario.
. Todas las búsquedas realizadas por el usuario en la aplicación se envían en texto plano sin cifrar. Cualquier persona con acceso al tráfico puede saber lo que el usuario escribe en tiempo real.
– Cada letra escrita genera una nueva solicitud en la red, enviando no solo lo que se escribe sino también cómo se lo escribe. Cualquier persona con acceso al tráfico puede analizar quién eres.
– Estos problemas afectan a la versión 5.6.0 de la aplicación para iOS, y a la aplicación actual de Android.

ACERCA DE LA APLICACIÓN
“BA Cómo Llego” es una aplicación desarrollada por el Gobierno de la Ciudad Autónoma de Buenos Aires que cuenta con más de 1.000.000 instalaciones reportadas hasta el momento. Esta aplicación ayuda a las personas a moverse por la ciudad de Buenos Aires mediante la búsqueda de transporte público. La aplicación proporciona direcciones y opciones de transporte que incluyen autobús, metro, tren, automóvil, bicicleta o pie.

Aplicación “BA Cómo Llego” como se anuncia en Google Play Store. Fuente: Google Play Store. Fecha: 2019-04-02.

La aplicación en Android solicita los siguientes permisos según Google Play Store:

. Ubicación (por ubicación de redes WiFi y ubicación precisa mediante tecnología GPS)
. Fotos/Medios/Archivos
. Almacenamiento
. Información sobre Wi-Fi

Otros permisos:

. Recibir datos de internet
. Ver las conexiones de red
. Acceso completo a la red
. Prevenir que el dispositivo entre en modo
. Prevenir que el dispositivo entre en modo sleep
. Leer la configuración del servicio de Google
. Los permisos de ubicación también se solicitan explícitamente al instalar la aplicación tanto en Android como en iOS.
 
INFORMACIÓN FILTRADA POR “BA CÓMO LLEGO”
Después de instalar con éxito la aplicación, esta ofrece dos campos de búsqueda: “Desde” y “Hasta”, donde el usuario debe escribir origen y destino para encontrar posibles rutas. Cuando el usuario comienza a escribir, la aplicación genera una solicitud HTTP que envía la búsqueda parcial a los servidores. Es importante tener en cuenta que debe escribirse un mínimo de 3 caracteres para que se realice la solicitud HTTP. A medida que el usuario continúa escribiendo, se realizan más solicitudes, casi letra por letra. Todos los datos se transfieren en texto plano a través de la red. La primera solicitud se puede observar en detalle en la Figura 1. La serie de solicitudes completas realizadas por el usuario mientras escribe puede verse en la Figura 2.

La Figura 1 muestra ademas cómo los desarrolladores usan un encabezado HTTP especial para informar que aplicación específica generó la solicitud. En este caso es “ar.gob.buenosaires.comollego”. En la respuesta es posible observar los resultados de la búsqueda parcial en formato JSON. Este campo se completará con los resultados cuando la dirección escrita coincida con algo en la base de datos.

Como se muestra en la Figura 2, cada solicitud envía el texto escrito por el usuario en tiempo real. Más importante aún, cada letra escrita se envía en una nueva solicitud que permite analizar el comportamiento del usuario y su perfil. El análisis de los patrones de escritura se conoce como dinámica de pulsación de tecla, o keystroke dynamics, y es posible utilizar esta técnica para determinar quién es el usuario. Debido a que el contenido no está encriptado, esta información está disponible para cualquier persona con acceso a este tráfico.

También parece haber un error en la aplicación, ya que está generando solicitudes para “buscar?” y “/ buscar /?”, causando mucha más filtración de datos. La figura 3 ilustra este problema. Este error también implica que la aplicación está utilizando más del doble del ancho de banda de datos de su teléfono en comparación con lo que podría usar si este problema no estuviera.

ENVIO DE TU UBICACIÓN DESDE LA APLICACIÓN PARA ANDROID
Se encontraron dos tipos de envío de la ubicación en la aplicación “BA Cómo Llego”. La primera es sobre las ubicaciones en las que el usuario está interesado y busca usando la aplicación. Estas ubicaciones se obtienen al saber qué se escribe en el destino y el origen de los campos de búsqueda. La segunda es mucho más importante y es la aplicación la que envía la ubicación actual exacta del usuario al enviar las coordenadas del GPS en texto plano en la red. La ubicación exacta se envía incluso cuando el texto escrito en los campos “Para:” y “De:” no es su ubicación actual. La figura 4 muestra este problema. Estas solicitudes se activaron cuando el usuario consultó el mapa interactivo de la aplicación.

En la Figura 4 hay varios aspectos a los que hay que prestar atención:

. La aplicación utiliza la API de Google Maps para recuperar datos según la ubicación actual.
. El protocolo usado es HTTP 1.0.
. Las API de Google generalmente usan HTTPS de forma predeterminada, pero estas solicitudes no usan cifrado.

Si observamos la respuesta de una de estas solicitudes en la Figura 5, podemos ver cómo Google las ha bloqueado y, de hecho, está prohibiendo que la aplicación realice más solicitudes. Esto significa que los propietarios de la aplicación no la están probando y no son conscientes de que Google los está bloqueando. Además, ya no es necesario enviar la ubicación del GPS.

Nota: el envío de la ubicación GPS solo se ha observado en la versión de Android de la aplicación “BA Cómo Llego”. Este envío no ocurre en la versión de iOS probada en este momento.

CONCLUSIÓN
Si usted es un individuo en riesgo debido al tipo de trabajo que realiza o a las personas a las que ayuda, es importante comprender que cualquier dato pequeño que se envíe puede ponerlo en riesgo. Hoy en día llevamos teléfonos móviles dondequiera que vamos, y es importante entender que estos pueden ponernos en riesgo. Recomendamos desinstalar “BA Cómo Llego” y usar aplicaciones de transporte más convencionales como Google Maps que garanticen un nivel mínimo de seguridad.

                                                              PUBLICIDAD

Fte: La Resistencia Noticias

Te puede interesar

Boletín de noticias

Te puede interesar

"La suya es una sociedad de clases, señora, y la suya también, señor, y ténganlo muy en cuenta, si no quieren que su amnesia termine en terapia de choque. También es una sociedad capitalista y accionada por el mercado, uno de cuyos atributos es el ir dando trompicones de una depresión/recesión a otra. Como es una sociedad de clases, reparte los costes de la recesión y los beneficios de la recuperación de forma desigual, aprovechando cualquier ocasión para dotar de mayor firmeza a su columna vertebral: la jerarquía de clases"

Zygmunt Bauman