Cómo salvaguardar sus datos privados en la frontera de EE. UU.

El 27 de enero, el presidente Donald Trump firmó una orden ejecutiva que cambió de inmediato las políticas de inmigración y viajes de Estados Unidos en relación con siete países de mayoría musulmana. El cambio provocó protestas que afectaron a la industria de la tecnología, tanto que más de 100 empresas finalmente firmaron conjuntamente un documento que objetaba la orden.

Una versión revisada de la orden, destinada a tener una posición legal más firme que la primera, se firmó el 6 de marzo y estaba programada para entrar en vigencia el 16 de marzo, pero también fue suspendida por los tribunales.

En medio de historias de titulares de visas, portadores de tarjetas verdes e incluso ciudadanos estadounidenses detenidos en la frontera de Estados Unidos, también se informó que agentes de Aduanas y Protección Fronteriza (CBP) registraron los teléfonos de algunas personas. En algunos casos, parece que el CBP obligó a las personas a desbloquear sus teléfonos como parte de una búsqueda.

Tómese un momento para considerar su teléfono inteligente. En él están todos sus mensajes de texto y fotos. Su lista de contactos y registro de llamadas muestran con quién se ha estado comunicando, una información crítica en las investigaciones contra el terrorismo.

Considere también, todas las aplicaciones en su teléfono que no requieren autenticación adicional. Una vez que su teléfono está abierto, cualquiera puede navegar por la totalidad de su perfil de Facebook, leer todos sus mensajes en servicios de mensajería encriptados como WhatsApp o Signal. Tener acceso físico inmediato a un dispositivo, incluso uno bloqueado, es un riesgo de seguridad importante.

Nathan Wessler, un abogado del personal del proyecto de privacidad y tecnología de voz de ACLU, dijo que los agentes de CBP tienen dos tácticas cuando realizan búsquedas de dispositivos digitales. (Tenga en cuenta que el autor es un donante de ACLU).

"En algunas circunstancias, harán una búsqueda rápida y se pararán allí y hojearán o harán clic en el dispositivo para ver si pueden mirar correos electrónicos, imágenes y contactos, solo buscando algo sospechoso", dijo. "Luego están las búsquedas forenses reales, donde están descargando el contenido del dispositivo en su propio sistema informático y ejecutando algoritmos de búsqueda forense en él, que pueden revelar todos los datos, incluidos los archivos eliminados que aún no se han sobrescrito y metadatos que el dueño ni siquiera sabía que estaba allí ".

Teniendo en cuenta lo que está en juego, es posible que los viajeros no deseen simplemente entregar sus dispositivos a los agentes del orden para que los busquen. Pero Wessler me dijo que la jurisprudencia para este tema en particular no está desarrollada y no está clara.

"CBP afirma la autoridad para buscar el dispositivo electrónico de cualquier persona en la frontera en cualquier momento que lo desee, por cualquier motivo o sin motivo alguno, y una persona no tiene ninguna opción real y práctica para evitar que un agente fronterizo se apodere de su teléfono", dijo. dijo.

No hay forma, explicó, de evitar que un agente de CBP saque su bolsa de una cinta transportadora en el aeropuerto. La agencia tiene un claro derecho a buscar equipaje y viajeros, después de todo. Así es como funciona la policía. "Del mismo modo, no hay una buena manera de evitar que saquen su teléfono de su bolso o de su mano", según Wessler.

Ciudadanos estadounidenses en la frontera

Por supuesto, tener el dispositivo en la mano no significa que se pueda buscar fácilmente, lo que presumiblemente es la razón por la cual los agentes de CBP están obligando a las personas a desbloquear esos dispositivos. Wessler dijo que para los ciudadanos estadounidenses, a quienes no se les puede negar el reingreso a los Estados Unidos, negarse a desbloquear sus teléfonos tiene menos riesgos. Pero seguramente habrá consecuencias.

"No creemos que se pueda obligar legalmente a entregar sus contraseñas, pero cada persona debe tomar su propia decisión práctica", dijo Wessler. "Es posible que los agentes fronterizos confisquen su teléfono celular y usted no lo recupere durante semanas o meses mientras lo envían a otra instalación para que un examinador lo intente y entre en él".

"Hemos tenido noticias de personas que han tratado de negarse a entregar sus contraseñas, y los agentes de CBP les dieron lo que se presentó como una opción, aunque es bastante coercitivo: o nos das la contraseña o no vas a ver tu teléfono durante un mes mientras intentamos obtener acceso a estos datos nosotros mismos ".

Presioné a Wessler sobre este punto acerca de si CBP u otras agencias de inteligencia o aplicación de la ley realmente estaban trabajando para entrar en los teléfonos de los ciudadanos. "No tenemos información sobre con qué frecuencia o si alguna vez logran descifrar las contraseñas. Pero cuando confiscan un teléfono, eso es claramente lo que pretenden hacer", dijo. Me puse en contacto con CBP para obtener comentarios, pero no escuché a tiempo para publicar.

Tarjeta Verde y Visa, todos los demás

Ser ciudadano en la frontera de los EE. UU. Significa que CBP y otras fuerzas del orden no pueden simplemente enviarlo de regreso al país de donde proviene. En el peor de los casos, puede terminar bajo la custodia de la CBP o la policía, pero aun así permanece en territorio de los Estados Unidos y dentro del ámbito del sistema legal de los Estados Unidos.

Ese no es el caso de los no ciudadanos, a quienes simplemente se les puede negar la entrada a los Estados Unidos y volver a subirlos a un avión. Esto crea un enorme incentivo para que los no ciudadanos cooperen plenamente con CBP y otros agentes fronterizos.

"Los titulares de la tarjeta verde tienen un derecho mucho más fuerte a reingresar al país después de un corto viaje al extranjero, mientras que los titulares de la visa pueden ser más vulnerables", dijo Wessler. "La gente en esa situación debería considerar hablar con un abogado de inmigración antes de su viaje, para que tengan una buena idea de cuáles son sus riesgos".

Biométrico o contraseñas?

Apple y otros fabricantes de teléfonos inteligentes ahora incluyen una opción biométrica para desbloquear teléfonos. Esto se realizó principalmente como un medio para una autenticación más rápida, pero también para alentar a las personas a bloquear sus teléfonos. Los usuarios de teléfonos inteligentes se habían resistido a bloquear sus dispositivos con un código de acceso durante años, pero la acción rápida y simple de usar autenticadores biométricos es muy tentadora.

Dicho esto, existen numerosos argumentos en contra del uso de la biometría solo como medio de autenticación. Los investigadores han demostrado que el Touch ID de Apple puede ser engañado con los pulgares falsos. Y los expertos en seguridad han criticado la excesiva dependencia de la biometría, porque las características físicas únicas de nuestros cuerpos no se pueden cambiar en la forma en que cambiamos las contraseñas. Si los datos biométricos se ven comprometidos, no se pueden arreglar.

La biometría también puede ser una responsabilidad legal en la frontera. Wessler dijo que actualmente no hay jurisprudencia sobre la aplicación de la ley que exige información biométrica en los cruces fronterizos. Pero existe un precedente más establecido para obligar a las personas a tomar las huellas digitales en contextos policiales domésticos que simplemente para entregar contraseñas. Eso podría significar que CBP y las fuerzas del orden podrían tener una base legal más firme al tratar de obligar a los viajeros a desbloquear dispositivos biométricamente que al obligarlos a entregar contraseñas. Desafortunadamente, Wessler explicó que no está claro cómo esto se traduciría en el contexto de un cruce fronterizo.

Con eso en mente, Wessler recomienda desactivar la protección biométrica en el borde y confiar únicamente en un código de acceso. Por supuesto, siempre puede reactivar las capacidades biométricas de su teléfono una vez que haya despejado el control de aduanas.

El riesgo de rechazo

Dejando a un lado los problemas legales, también existe el problema de si los teléfonos y otros dispositivos digitales son lo suficientemente seguros como para resistir un escrutinio enfocado. En general, la regla es que si un atacante (o investigador) puede acceder físicamente al dispositivo, eventualmente se descifrará.

En el caso de los teléfonos inteligentes, muchos de los riesgos dependen del tipo de teléfono que posea. "Algunos teléfonos son muy seguros desde el primer momento porque tienen características de seguridad preestablecidas. El propietario no tiene que hacer nada para obtener una seguridad sólida. Otros teléfonos requieren que el propietario establezca los estándares de seguridad", dijo Leo Taddeo, Jefe de Seguridad Oficial de Cryptzone y ex agente especial a cargo de Cyber ​​y Special Ops para el FBI.

Sabemos por el reciente volcado de documentos de la CIA de WikiLeaks que las agencias de inteligencia de los Estados Unidos están trabajando activamente para obtener acceso a los teléfonos inteligentes de los consumidores. Sin embargo, las vulnerabilidades descritas en estos documentos que afectan a los teléfonos Android parecen ser bastante antiguas, y Apple dice que sus problemas ya se han solucionado.

"No importa cuáles sean las configuraciones, si su teléfono (o tableta o computadora portátil) está abierto y ejecutándose cuando las autoridades lo confiscan, tendrán acceso casi completo a todo lo que tenga", dijo Taddeo. Esto también ha sido un problema en otros casos. Cuando las fuerzas del orden se movieron para arrestar al cerebro de Silk Road, Ross Ulbricht, estaban seguros de asegurar su computadora portátil antes de que pudiera apagarla. Recuperar la información de una computadora con contraseña bloqueada sería mucho más difícil que simplemente evitar que se bloquee en primer lugar.

Después de escuchar las advertencias de Wessler sobre los agentes del gobierno que confiscaron teléfonos celulares y otros dispositivos con la intención de descifrar su protección y recopilar datos de los usuarios, le pregunté a Taddeo qué capacidades (si las hubiera) tiene la policía a su disposición.

"Como hemos visto en casos recientes, como el ataque terrorista de 2015 en San Bernardino, las agencias policiales como el FBI tienen acceso a técnicas muy sofisticadas para acceder, examinar y extraer evidencia de los teléfonos incautados", dijo.

En ese caso, el FBI afirmó que no podía acceder a los datos en un dispositivo bloqueado sin la ayuda de Apple. Al final, el FBI dijo que pudo acceder a la información con la ayuda de un contratista externo.

Un factor importante en cuanto a si las fuerzas del orden podrán acceder a los datos en su teléfono tiene menos que ver con la tecnología y más con el dinero: Taddeo explicó que no todas las agencias o comisarías tienen un presupuesto lo suficientemente grande para análisis forenses de datos sofisticados. El FBI y el Departamento de Policía de Nueva York son ejemplos de organizaciones que tienen acceso a la experiencia y la tecnología para potencialmente evitar las medidas de seguridad y recuperar información de los dispositivos bloqueados.

"Sin embargo, muchos departamentos más pequeños saben dónde encontrar la experiencia requerida cuando la importancia de la evidencia lo exige", dijo. "Al final, si el caso es lo suficientemente grave, se llamará a una unidad forense de la policía estatal o una agencia federal".

Privacidad por omisión

Dado todo eso, Wesler sugiere que la mejor manera de proteger su información cuando viaja a los Estados Unidos es simplemente traer lo menos posible. "Lo primero en lo que las personas deben pensar es si necesitan o no viajar con todos sus dispositivos cuando realizan un viaje internacional".

Alternativamente, puede limpiar su teléfono antes de ingresar a la aduana, o mantener un teléfono separado solo para viajar. Estas podrían ser buenas opciones, ya que los servicios basados ​​en la nube como Google Drive y Google Photos se pueden volver a conectar y desconectar de los dispositivos según sea necesario. Sin embargo, tenga en cuenta que el análisis forense digital muy avanzado puede recuperar información que se ha eliminado de los dispositivos pero que aún no se ha sobrescrito.

Taddeo sugirió usar medidas de seguridad adicionales además de las disponibles en su teléfono o computadora. "Esto podría incluir una segunda capa de encriptación y requerir una autenticación de múltiples factores separada para los archivos y las aplicaciones que debe mantener a salvo", dijo.

Si bien las personas pueden estar en desacuerdo sobre las políticas de la administración Trump, es innegable que la atmósfera en la frontera de los Estados Unidos ha cambiado. La nueva realidad es extraña para cualquiera que haya pensado en este país como un bastión para la privacidad personal. "Desafortunadamente estamos llegando a un lugar donde la gente tiene que tomar algunas de las mismas decisiones que los viajeros a China y Rusia han tenido que tomar desde hace algunos años", dijo Wessler.