Apple y Google mejoran el sistema de notificaciones de exposición al COVID-19: esto es todo lo que tienes que saber

La emergencia sanitaria del COVID-19 que sufre al mundo ha puesto a las dos grandes tecnológicas a trabajar codo con codo para ayudar a los gobiernos mundiales a disminuir la curva de contagios. Nada más y nada menos que Apple y Google trabajando juntas para conseguir un método de notificación de exposición a la enfermedad, utilizando la tecnología móvil que lideran entre ambas, basado en cuatro pilares fundamentales: la salud, la privacidad, la transparencia y que el usuario tenga control absoluto sobre la utilización (o no) de este sistema.

En una rueda de prensa especial mantenida esta misma tarde con las marcas, representantes de Apple y Google nos actualizaron de una nueva tanda de mejoras sobre el sistema inicial que desvelaron el pasado 10 de Abril. Es de agradecer el esfuerzo que están haciendo ambas compañías en explicar de la mejor forma al gran público la idea que están desarrollando: empezando por cambiar el nombre el programa, que ahora pasa a llamarse "Exposure Notification" - mucho más acorde con lo que hace el sistema, alertar de un contagio para evitar que se extienda entre el resto de población. Para esto, se utiliza la tecnología de nuestros móviles ya que se puede automatizar y ampliar para determinar si hemos estado expuestos a algún contagiado.

Para ello, Apple y Google han comenzado con una primera fase que consiste en:

• Proveer de unas herramientas de programación a los gobiernos (una API o Application Programming Interface) que permitirá a cada uno de ellos desarrollar (o incluir) en sus propias apps sanitarias esta tecnología.
• Apple y Google se encargan del desarrollo de esta API de forma conjunta, y darán soporte al desarrollo publicando todos los detalles técnicos de la misma, tanto en Android como en iOS (siendo exactamente iguales en ambos sistemas).
• Las apps integradas con estas API permitirán activar o desactivar esta tecnología. Es el usuario quien tiene control total sobre su inclusión en el programa.
• La versión final de estas herramientas de programación estará disponible a mitad de Mayo.

Puesta al día en privacidad avanzada y más posibilidades al desarrollo

Los avances en la construcción de esta herramienta de programación que Apple y Google nos han actualizado hoy con respecto a la versión inicial, son las siguientes:

Mejoras en privacidad

• Los identificadores de cada usuario que forme parte del sistema ahora serán aleatorios, en lugar de temporales. Esto evita que se pueda rastrear un ID por el origen de su creación.
• Los datos obtenidos del Bluetooth ahora están encriptados. Estos datos consisten en la potencia de la señal de un emisor, que determina la distancia de exposición. Cada país puede configurar la que considere oportuno. Han codificado incluso estos datos para evitar que nadie pueda identificar a una persona en concreto por la potencia de transmisión de la baliza Bluetooth de su móvil.
• El tiempo de exposición se limita a un máximo de 30 minutos, en fracciones de 5 minutos.

Mejoras para facilitar la creación de apps

• Se mejora la estimación de la distancia entre dos dispositivos utilizando ahora también la potencia de la señal Bluetooth, no sólo el valor recibido por el receptor. Como he comentado, esto está codificado para evitar la identificación de patrones.
• Se actualiza la API para que los identificaciones que generen aleatoriamente en lugar de estar basados en una clave temporal (que era lo que ocurría antes). Con este cambio, las compañías buscan fortalecer la privacidad del sistema, ya que imposibilitan detectar la clave temporal en la que se basa el identificador aleatorio generado. Ahora, todo es completamente aleatorio y sin incluir ningún rastro personal ni de vinculación al dispositivo.
• Se podrá obtener el número de días desde la última exposición del usuario. Esto servirá para que las autoridades puedan personalizar su plan: por ejemplo, si hemos estado expuestos hoy, la app nos dirá que vayamos a urgencias. Si estuvimos expuestos hace 10 días, nos podría recomendar que nos quedemos en casa. Todo esto es personalizadle por cada gobierno en cualquier momento - e importante, la app no sabrá ningún dato de a quien se lo dice, porque es totalmente anónimo, pero se activará el disparador al indicar esta configuración en el sistema.
• Se ha mejorado el algoritmo de encriptación, pasando de HMAC a AES, que actualmente es el más utilizado a la hora de codificar datos. Muchos dispositivos incluso tienen aceleración de codificación por hardware, que acelerará esta codificación (todos los iPhone a partir de 2015 lo tienen implementado, por cierto). Este algoritmo es más eficiente, permitiendo que se pueda utilizar de forma más ágil por las apps.

La próxima fase 2: implementación a nivel de sistema operativo

Una vez acabada la primera fase, que consiste en proveer de esta API a los gobiernos para que puedan implementar el sistema en sus apps, las compañías tienen pensado un segundo plan para mejorar la efectividad del sistema y evitar que una baja tasa de descargas de las apps resten eficacia al sistema:

• Añadir a ambos sistemas operativos (iOS y Android) la activación y desactivación de este sistema. En la fase 1 estará implementado sólo en apps que utilicen esta API, la idea en esta fase es tenerlo implementado a nivel de sistemas operativos para que al usuario le sea más sencillo entrar.
• Las notificaciones diarias serán gestionadas entre Apple y Google para mejorar la eficiencia y la facilidad de uso.
• La implementación en los sistemas operativos seguirá basándose en los principios de privacidad, transparencia y que el usuario siga teniendo el control absoluto sobre el sistema.
• Estará disponible próximamente (en el caso de iOS, posiblemente una actualización de iOS 13 la incluya, antes de que llega iOS 14 los últimos meses del año - esto es opinión mía).

Preguntas y Respuestas

El proceso es técnicamente muy sofisticado y puede dar lugar a dudas, por lo que añado aquí una pequeña sección de preguntas y respuestas a las más comunes sobre el sistema:

1.- ¿Cómo funciona la propuesta de Apple y Google?

El sistema que propone Apple y Google es el uso de la técnica de rastreo de contacto: se utiliza la tecnología Bluetooth de los móviles para ayudar en la detección de la exposición con alguien afectado. Cuando se activa, nuestro móvil envía una señal basada en un identificador aleatorio sin ningún tipo de dato personal, que además cambia cada 10 o 20 minutos.

La verificación de los positivos se hace en cada teléfono, no en servidores: Los móviles registrados en el sistema escuchan y guardan las balizas próximas a lo establecido por la autoridad que gestiona la aplicación. Al menos una vez por día, el sistema descargará en la app una lista de balizas confirmadas como positivos en COVID-19 de la autoridad sanitaria. La app comprobará si alguna de ellas está en su lista de "visitas recientes", en cuyo caso, la app notificará al usuario con la acción que debe tomar.

2.- ¿Como se protege la privacidad y seguridad?

Cada usuario DEBE EXPLICITAMENTE ELEGIR ENTRAR EN EL PROGRAMA, activando dentro de la app su permiso explícito para hacerlo. Y puede retirarse de él, en cualquier momento. Ni Apple, ni Google, ni nadie puede activar esto sin el consentimiento explícito del usuario.

El sistema no recoge datos de posición del teléfono, y no las comparte con otros dispositivos, ni con las compañías. El usuario controla en todo momento la información que quiere compartir, y si quiere hacerlo.

La baliza Bluetooth de cada usuario se vuelve a generar aleatoriamente cada 10 o 20 minutos, para evitar que se rastree a una persona por ella.

La notificación de exposición sólo se hace en el dispositivo físico del usuario y siempre bajo su supervisión. No se identifica de ninguna forma a los positivos en el sistema, ni entre otros usuarios, ni en Apple o Google.

3.- ¿Cómo se controla la información que manejan estas apps?

El sistema se ha diseñado para ser completamente agnóstico de cualquier identificación del usuario y sólo tienen acceso las autoridades sanitarias de cada país, nadie más. Las apps serán evaluadas y deben cumplir criterios específicos de privacidad, seguridad y control de los datos. Las autoridades sanitarias de cada país sólo podrán tener acceso a la lista de las balizas marcadas como positivas por COVID-19, pero no están enlazadas con ningún dato personal que permita identificar quienes son.

4.- ¿Estos datos podrían ser monetizados por Gooole o Apple?

No, de ninguna forma, al basarse en los principios de privacidad y evitar conexiones con datos reales de usuarios.

5.- ¿Cómo indican los usuarios que son positivo por COVID-19?

Sólo se podrá hacer desde las apps oficiales de los organismos de salud de cada país. Los detalles para cada uno de los territorios se darán cuando se lance la app.