China está inmersa en un proceso de control estatal de las tecnologías que utilizan sus ciudadanos a diario. Entre sus esfuerzos, el gigante autoritario aprobó una legislación que afectaba a todos los proveedores de servicios cloud en el país, entre ellos a Apple. Esta nueva ley entra hoy en vigor, lo cual ha levantado numerosas dudas acerca de la situación de iCloud en China que intentaremos resolver a continuación.
Qué significa la nueva legislación para iCloud en China
¿En qué consiste el nuevo cambio legislativo chino?
La República Popular China es un estado abiertamente comunista que restringe una serie de libertades individuales como el acceso libre a internet, libertad de prensa, de reunión y de religión entre otras. Como consecuencia de preservar el status quo político y social del país, China ha llevado a cabo una reforma legislativa sobre servicios cloud que utilizan los ciudadanos chinos.
A partir de hoy, todas las empresas que alberguen datos de usuarios del país deberán almacenarlos en un data-center dentro de sus fronteras. Hasta ahora, esos datos podían guardarse en cualquier país del mundo. Como añadido, las empresas extranjeras deberán subcontratar a una compañía china para la prestación del servicio cloud a los usuarios del país.
Es decir, que los usuarios chinos tendrán sus datos alojados en centros de datos dentro de las fronteras de su país y gestionados en colaboración con empresas chinas.
¿Qué servicios tiene Apple en la nube?
Desde hace varios años, todos los servicios cloud de Apple se ofrecen bajo el paraguas (convenientemente) llamado iCloud. Los servicios de Apple que se apoyan o utilizan iCloud son los siguientes:
- Calendario.
- Contactos.
- Favoritos de Safari.
- Notas.
- Recordatorios.
- Fotos.
- iCloud Drive.
- Copias de seguridad.
- Buscar mi iPhone.
- Buscar mis amigos.
- iCloud.com.
- Mail.
- FaceTime.
- Volver a mi Mac.
- Llavero de iCloud.
- Información de pago.
- Información de la red Wi-Fi.
- Datos de Hogar.
- Información de Siri.
- Biblioteca musical de iCloud (Apple Music).
- Datos de Salud.
- Mensajes en iCloud (a partir de iOS 11.3).
Aunque no todos los servicios están disponibles en todos los países, la cantidad de información privada de un usuario es elevadísima. De ahí que cualquier información acerca de los datos de iCloud genere automáticamente cierto recelo. Especialmente cuando se combina con un país autoritario como China.
¿En qué afecta esta legislación a Apple?
Esta nueva legislación afecta a Apple al igual que cualquier otra compañía que ofrezca servicios cloud en China. A partir de hoy día 28 de febrero, Apple está obligada a almacenar los datos de usuarios chinos dentro de las fronteras y a operarlos con una compañía local.
Esto se traduce en que, tal y como anunció hace unos meses, la compañía Guizhou on the Cloud Big Data Industrial Development Co., (GCBD) se hará cargo a partir de hoy de la gestión de datos en el país en conjunción con Apple.
La alianza con GCBD es consecuencia del anuncio de un data-center en China y una inversión de 1.000 millones de dólares. En su momento, Apple dio las siguientes declaraciones:
La adición de este centro de datos nos permitirá mejorar la velocidad y confianza de nuestros productos y servicios al mismo tiempo que cumplimos con las regulaciones recientemente aprobadas.
Estas regulaciones requieren que los servicios cloud sean operados por compañías chinas, razón por la que nos aliamos con GCBD para ofrecer iCloud [en el país].
¿Pueden los usuarios chinos rechazar las nuevas condiciones del servicio?
Si lo que quieren es poder utilizar iCloud en China, no tendrán más remedio que aceptar las nuevas condiciones. O bien, desactivar iCloud. También pueden cambiar los datos de facturación de su Apple ID y la región para evitar utilizar a GCBD como proveedor de iCloud, aunque esto sólo es posible si tienes un método de pago extranjero.
¿Puede Apple negarse a cumplir esta nueva legislación?
Todas las compañías que operan servicios cloud en China están obligadas a cumplirla. Negarse supondría saltarse la ley, motivo por el que Apple podría enfrentarse a una denuncia por parte del estado chino y a la prohibición de operar en China. Con la evidente pérdida de negocio que supondría para la firma de Cupertino (18.000 millones de dólares sólo en el último trimestre).
¿Significa que los datos de los usuarios chinos están expuestos a los caprichos del estado chino?
Este es el punto más conflictivo y que más confusión ha generado. Especialmente tras un informe de Reuters en el que afirmaba que las "llaves" de iCloud pasarían a estar almacenadas en China en vez de EEUU, permitiendo al estado chino solicitar acceso a las cuentas de iCloud de los usuarios que estime pertinente.
China tiene un proceso judicial diferente al de EEUU. En Estados Unidos, la policía debe acudir a un juez independiente para solicitar una orden de registro de un sospechoso, que puede incluir iCloud o no. En China, la propia policía tiene un proceso interno para obtener este tipo de permisos, haciéndolo mucho menos transparente y abusivo. Un tema que genera preocupación a la hora de suprimir la disidencia política en China.
El problema con el artículo de Reuters es que las llaves utilizadas para cifrar el contenido de iCloud siempre se encuentran en EEUU, sin importar que quien gestione el data-center sea un tercero (como Amazon, Google o Microsoft y ahora GCBD). De las directrices para procesos legales fuera de EEUU, Apple afirma lo siguiente:
Todos los datos con contenido de iCloud almacenados por Apple se cifran en el lugar donde se encuentra el servidor. Cuando se recurre a proveedores externos para el almacenamiento, Apple nunca les da las claves. Apple conserva las claves de cifrado en sus centros de datos de Estados Unidos.
Es decir, que el proveedor elegido por Apple en China no tiene las llaves de iCloud ni va a poder dárselas al estado chino para que pueda consultar los datos ahí almacenados a su discreción.
Entonces, ¿no va a tener el estado chino una puerta trasera a las cuentas de los usuarios de iCloud?
No. Apple dijo en su momento en declaraciones a la cadena CNBC:
No vamos a crear ningún tipo de puerta trasera a cualquiera de nuestros sistemas.
Apple en su declaración de privacidad afirma lo siguiente:
Apple no ha creado nunca una puerta trasera ni una llave maestra para ninguno de sus productos o servicios. Tampoco hemos permitido nunca que un gobierno acceda a los servidores de Apple. Y nunca lo haremos.
¿Puede Apple entregar datos y contenido de una cuenta de iCloud bajo petición judicial?
Sí. De hecho, lo lleva haciendo desde hace varios años con todos los gobiernos de los países en los que opera. Apple publica cada seis meses y desde 2013 informes de transparencia donde especifica todas las peticiones que recibe, acepta y rechaza de una manera bastante detallada. Los tipos de peticiones que recibe la compañía son: dispositivos, identificadores financieros, cuentas de Apple (iCloud), restricción de cuentas, preservación de cuentas y situaciones de emergencia.
En la tabla superior pueden verse todas las peticiones recibidas acerca de cuentas de Apple (iCloud) durante los seis primeros meses de 2017 (la última mitad de ese año se publicará en las próximas semanas). En el caso de China, se realizaron 24 peticiones en ese periodo de tiempo, mientras que en España se realizaron 29.
Y aquí se encuentran cuántas cuentas hay en total involucradas, de modo que cada petición puede tener una o más cuentas. Volviendo a China, aquí queda de relieve que cada petición tendría varios miles de cuentas, ya que el total son más de 35.000. España tiene tan sólo 32 cuentas en total.
En cuanto a qué tipo de información se obtiene de estas peticiones, Apple especifica que:
Las peticiones de cuentas generalmente buscan detalles de las cuentas de iTunes o iCloud de clientes, como nombre y dirección. En determinadas circunstancias, contenido de la cuenta de iCloud como fotos almacenadas, email, copias de seguridad, contactos o calendarios.
Este apartado no aclara si se obtiene acceso al contenido por completo que se encuentra en iCloud (según Apple, todo el contenido está cifrado tanto en tránsito como en el servidor) o si se limita a que pueden obtener el archivo con sus metadatos sin poder "visualizarlo".
Sobre el elevado número de peticiones de dispositivos y cuentas de usuarios chinos, en las notas de este documento se aclara que:
- El elevado número de dispositivos se debe a investigaciones de dispositivos robados.
- El elevado número de cuentas se debe a investigaciones de phishing y fraudes en iTunes.
Entonces, ¿en qué cambia la nueva legislación china sobre servicios cloud?
En principio y como ya hemos visto, lo que cambia es la ubicación de los datos de los usuarios chinos que ahora pasarán a estar en territorio chino exclusivamente, gestionados por un proveedor local en conjunto con Apple. Seguirán estando cifrados y seguirá requiriéndose una orden judicial supervisada por el equipo de Apple antes de entregarse información a las autoridades, tal y como se ha hecho hasta ahora.
No va a haber una puerta trasera en iCloud para que acceda el gobierno chino. De suceder, Apple estaría exponiéndose a que gobiernos de todo el mundo aprobaran legislaciones similares exigiéndole acceso libre a esos datos. Lo que sí parece que va a ocurrir es que regiones como la UE va a pedir a las compañías tecnológicas almacenar los datos de sus ciudadanos dentro de las fronteras europeas.
¿Qué diferencia hay entre la nueva ley china de iCloud y el iPhone del terrorista de San Bernardino?
Tal y como explicamos hace dos años, el FBI pidió a Apple diseñar una versión de iOS que le permitiera desbloquear el iPhone 5c del terrorista. Un software que luego podría utilizarse en otros dispositivos, algo a lo que Apple se negó por tratarse de la creación efectiva de una puerta trasera.
El FBI acabó contratando a una compañía experta en seguridad para acceder al terminal, donde al parecer no se encontró información relevante a la investigación. En esta ocasión, Apple sí que ayudó al FBI a recabar información de la cuenta de iCloud del autor del atentado. Sin embargo, no se obtuvo nada significativo ya que las copias de seguridad de iCloud fueron desactivadas seis semanas antes del ataque.
En Applesfera | Tim Cook explica el lío de las apps de VPN en China.
Imagen | futureatlas.com.
Ver 11 comentarios