¿Dónde está mi privacidad?

Cuando subimos algo comprometido acerca de nosotros mismos a, digamos Facebook, es nuestra total responsabilidad. Pero hay otras formas sutiles de obtener información acerca de nosotros. Antes de nada, aclaremos el concepto de rastreo.

Cada vez que visitas un sitio web, realizas una petición de código HTML que se ejecutará en tu navegador. Dicho código puede contener referencias externas, por lo que el navegador realizará las peticiones correspondientes. De momento nada fuera de lo normal.

Pero, ¿qué ocurre cuando las peticiones a referencias externas se utilizan para rastrear al usuario? ¿Es eso posible? Supongamos que te encuentras disfrutando de tu red social favorita, digamos de nuevo Facebook. Incluso después de cerrar sesión, tu navegador almacena cookies que te identifican en Facebook. Al visitar cualquier sitio aleatorio (www.sitiocualquiera.com) que incluya cualquier botón “Me gusta”, que en el fondo es una referencia externa a Facebook. Y dado que Facebook tiene acceso a sus propias cookies, recibe una petición con cabecera HTTP-Referer www.sitiocualquiera.com y una cookie que te identifica. Resultado: Facebook conoce todos los sitios por los que navegas mientras tengan alguna referencia a Facebook.

Podemos pensar que esto se puede solucionar fácilmente evitando el uso de cookies. Las malas notiicas son que hay varias técnias adicionales que se pueden usar para identificar a los usuarios a partir de la huella digital que dejan. Hay un estudio muy interesante que muestra que mediante la combinación del navegador, los plugins instalados e información básica acerca de tu equipo, el 83% de los usuarios dejan una huella digital única. ¡Y esto es sin utilizar técnicas agresivas! Puedes imaginar cuántas veces las referencias externas incluyen código Javascript con un potencial enorme para obtener información que te identifique.

Ok, es hora de ponerse manos a la obra. Para ver la magnituda del rastreo, hice algunos experimentos. Tengo planeado un artículo más exhaustivo mostrando todos los detalles, pero de momento me gustaría mostrar algunos aspectos destacados.

Experimento 1: navegación en el sitio de un periódico español muy popular.

El resultado de esnifar el tráfico: peticiones a 30 dominios distintos, 15 de ellos usados para rastrear al usuario o para publicidad, 10 cookies creadas en mi navegador.

¡Nada mal para una sola solicitud!

Experimento 2: Navegar los 250 sitios web más populares en España (según Alexa.com)

EL 20% del tráfico va a sitios de rastreo o publicidad, 11.2 peticiones de rastreo por sitio visitado, 93% de los sitios tienen referencias externas a sitios de rastro. Google y Facebook comparten la primera posición como compañías que realizan más rastreo de usuarios, casi con el mismo número de peticiones.
Finalmente, unas palabras acerca de las opciones por defecto. Durante el SAS2012 de Kaspersky, tuve la oportunidad de asisitir a la excelente charla de Christopher Soghoian en la que mostraba cómo las opciones por defecto no son totalmente inocentes. En este caso, Google Chrome y Safari tienen distintas opciones por defecto para permitir o bloquear peticiones y cookies a terceras partes. Dejaré a criterio del lector decidir quién de estos dos navegadores tiene un mayor interés en rastrear al usuario, pero quería comprobarlo en un experimento final.

Experimento 3: Navegar los 100 sitios más populares en España usando Chrome y Safari con opciones por defecto

Básicamente consiste en visitar los mismos sitios con navegadores distintos y comparar el tráfico. Para mi sorpresa, no había una gran diferencia ni en el número de peticiones ni en el número de dominios de rastreo al que habían realizado peticiones ambos navegadores. No obstante, sí había una gran diferencia en el número de cookies creadas:

Chrome: 1029 cookies, Safari: 269 cookies

Usando los 100 dominios más solicitados por ambos navegadores (que representan el 75% del total de peticiones) y buscando diferencias entre ambas listas, sólo se encuentran 5 dominios de rastreo en la lista de Chrome que no aparecen en la de Safari. Por lo tanto la balanza se inclina ligeramente hacia Chrome como más agresivo en el rastreo que Safari. Eso no significa que no existan sitios de rastreo también en Safari.

Reflexiones finales

Este tema es realmente interesante, especialmente cuando uno empieza a mirar quién se encuentra detrás de estas compañías de rastreo y publicidad. De este modo tienes una idea de quién está obteniendo todos estos datos, lo cuál da un poco de miedo al comprobar sus políticas de privacidad. Pero prefiero esperar a finalizar más experimentos antes de realizar conclusiones precipitadas.

No obstante la pregunta es: ¿porqué tanto rastreo? La respuesta es: por el dinero. No es acerca de la publicidad, es acerca de hacer un perfil de los usuarios. Piensa cuando pides un préstamo en el banco: comprueban tu perfil y, no importa lo que digas, obtendrás el préstamo únicamente si el sistema informático cree que tu perfil cumple las exigencias. En un futuro cercano, todas las compañías podrán tener acceso a superperfiles en los que todos nuestros datos estén disponibles, y entonces será la computadora quién decida …