Protección de datos sensibles durante la ejecución de FADe project

Al iniciar FADe project, sabiamos que queriamos publicar tanta información como fuera posible para ayudar a otros investigadores a usar nuestros datos, tanto para desarrollo de trabajos de investigación como para fines educativos, sin embargo, durante la ejecución del proyecto notamos que mediante varias técnicas, algunas de baja sofisticación y otras mucho más complejas, conocer con detalle los datos de las mediciones hechas podría llevar a identificar a quienes operan estos sensores, aún y cuando la protección de esta información es uno de los principales objetivos de este proyecto. Por esta razón, durante la ejecución de FADe project se exploraron y establecieron algunas medidas que buscan proteger tanto como sea posible aquella información que pudiera poner en riesgo a los operadores y/o equipos locales involucrados.

Vale destacar que como principio fundamental del proyecto a nivel técnico, los sensores utilizados no interactúan de ninguna manera con la red celular, comportándose como equipos celulares sin tarjetas SIM que sólo escuchan a las torres celulares de la misma forma que lo haría cualquier dispositivo móvil encendido, salvo que el sensor va registrando su barrido a través de la app para un análisis posterior. Por tal motivo, en ninguna de las jurisdicciones en donde se realizó el monitoreo (y en ninguna otra que hayamos investigado) el uso de estos sensores representa ningún tipo de actividad ilegal, sin embargo, dada la naturaleza y contexto de varios países de la región, decidimos manejar el proyecto de la forma más segura posible, dada la posibilidad de criminalización de este estudio por parte de cuerpos de seguridad u otros actores que pueden verse incomodados por la realización de dicha investigación.

En función de esto para cada etapa del proyecto se tomaron las siguientes medidas:

1. Antes de la medición

• No anunciar la intención del proyecto hasta después de su publicación.
  • Esto incluye, ciudades y/o aliados locales previo a autorización.
  • Para cada teléfono inteligente se creó una cuenta google, así en caso de compromiso de un sensor, este no filtraría información sobre los demás. Esta cuenta no tendría ninguna numeración o indicativo de cuántos sensores habría en cada ciudad o de cuántas ciudades estaban bajo monitoreo.
• Definición de canales de comunicación más seguros.
  • Signal.
  • Correo electrónico cifrado con PGP (Pretty Good Privacy).
• Protección de la base de datos en donde se guardaría la información.
  • Acceso sólo desde direcciones IPs preestablecidas.
  • Acceso sólo usando certificados TLS. (Transport Layer Security).

2.  Durante la medición

• Evitar uso de líneas telefónicas, y en caso de llegar a usarlas, que no lleven el nombre de personas asociadas a la OCL (Organización Coordinadora Local), en algunos casos, dichas líneas telefónicas fueron adquiridas a nombre del equipo coordinador regional.

• Comprar teléfonos inteligentes que ya existan en la localidad. Dependiendo del caso, los teléfonos inteligentes se adquirieron en cada ciudad receptora, para minimizar el ingreso de varios equipos celulares por la aduana del país involucrado, especialmente en aquellas jurisdicciones en donde el ingreso de equipos móviles puede ser criminalizado o susceptible de incautaciones por parte de cuerpos de seguridad.

• Desarrollar estrategias de resguardo discreto de los sensores:
• Dentro de autos, motos, bicicletas, etc.
• En bolsos, gavetas, libreros, etc.

• Tomar en cuenta:
• En caso de riesgos operativos de algún miembro colaborador del proyecto u otras actividades relacionadas, se sugirió detener la medición.
• Se sugiere que las OCLs no tengan conocimiento respecto a cuáles son las otras ciudades monitoreadas hasta después de la fase de análisis del proyecto.

3. Durante el análisis

• Normalización de coordenadas, es decir:
• Usar ubicaciones aproximadas, entre 300m y 400m de margen de error.
• Ocultar datos de frecuencia de barrido, es decir, que el resultado no revele la cantidad de lecturas sobre el mismo punto geográfico.
• Aplicando lo anteriormente descrito logramos una mayor eficiencia computacional, es más rápido el análisis, y los servidores utilizados pueden ser menos potentes. 
• Evitar especificar tiempos de medición, salvo en aquellos casos en los que esta información no ponga en evidencia la identidad de los operadores (por ejemplo, que en una zona muy poco transitada a una hora específica sólo haya estado en el lugar reportado el sensor y el teléfono personal del colaborador).

4. Durante la publicación

• Sólo publicar aquellos aliados (OCLs) que deseen ser relacionados con FADe project abiertamente.
• Evitar involucrar de forma cercana en eventos a aquellas organizaciones o aliados que decidieron mantenerse anónimos.

Esta informacion también esta disponible en formato .pdf Aquí