La batería compromete la privacidad online de los usuarios
Juan Carballo
Después de un año de investigación, un equipo de investigadores ha llegado a la conclusión de que el estándar web que permite a los desarrolladores y propietarios de sites saber cuánta batería ha consumido un dispositivo en su página puede ser utilizado para realizar seguimientos online y, en líneas generales, para espiar a los usuarios.
La API en cuestión se introdujo el año pasado en HTML5, la quinta versión del lenguaje de programación más utilizado para desarrollar páginas web. Desde agosto del 2015, funciona en Firefox, Opera y Chrome. Aunque fue lanzado como una herramienta para desarrolladores con el objetivo de ayudar a crear sites y aplicaciones de bajo consumo, los investigadores de seguridad alertaron entonces de que podría ser utilizado con fines ilícitos.
La duración de la batería y la combinación de otros datos relacionados proporcionan un identificador prácticamente único a cada dispositivo. En total, existen cerca de 14 millones de combinaciones posibles, así que la probabilidad de que dos aparatos compartan un mismo identificador es bastante reducida.
Por ejemplo, si un usuario accede a una página web desde su navegador Firefox y luego hace lo mismo con una web ilícita utilizando la navegación privada de Chrome a través de una VPN segura, lo normal sería que ambas conexiones fueran muy difíciles de relacionar entre sí. Sin embargo, si un anuncio se ha cargado en las dos páginas, gracias a esta API se podrían asociar los dos dispositivos con un margen de error muy reducido.
Los dos investigadores de seguridad de la Universidad de Princeton han demostrado que este indicador del estado de batería se está utilizando para realizar seguimientos de los usuarios. Steve Engelhard y Arvind Narayanan encontraron comandos de esta API que permiten identificar contínuamente un dispositivo en concreto a través de varios sites.
A estas conclusiones se ha sumado Lukasz Olejnik, uno de los cuatro investigadores que advirtieron de estos riesgos en el año 2015. Según Oleknik, esta API puede ser utilizada de forma perversa y recuerda que otros actores sin escrúpulos podrían aprovecharse de esta vulnerabilidad en el futuro. “Algunas empresas pueden estar estudiando la posibilidad de monetizar el acceso a los niveles de batería” dice.
[Fuente:theguardian]
Conoce cómo trabajamos en Computerhoy.