Hoy voy a escribir, ya que creo que puede ser interesante a gente que me lea y sea de Bizkaia, un pequeño análisis de la tarjeta de Udaleko que desde hace tiempo nos ha llegado por carta. La tarjeta tiene como utilidad, de momento, abrir el contenedor marrón, se dice que mas adelante se pretende que llegue a abrir otros contenedores. Esta novedad en lo que a contenedores se refiere parte de una base que personalmente me parece correcta, pero tiene otras cosas que no veo adecuadas. Esta tarjeta en otros municipios suele tener otro nombre pero el sistema posiblemente sea el mismo.
MANCOMUNIDAD NERBIOI IBAIZABAL
La Mancomunidad Nerbioi Ibaizabal engloba varios servicios y uno de ellos es la tarjeta de apertura de contenedores de residuos, actualmente los municipios que engloban esta mancomunidad son Arakaldo, Arrankudiaga, Arrigorriaga, Etxebarri, Orozko, Ugao, Orduña, Zaratamo y Zeberio.
Lo primero que creo que es obligatorio decir, antes de nada, es que la idea de abrir un contenedor con una «llave» la veo muy bien por que es una forma de mantener el contenedor cerrado y que no quede abierto tras el deposito de las basuras o residuos correspondientes. Ese método de funcionamiento si creo que es totalmente positivo, se asegura que queda el contenedor cerrado, pero… esta tarjeta tiene mas cosas que a mi me han parecido totalmente innecesarias. La tarjeta en cuestión es esta.
Hasta aquí puede parecer bien la cosa, a mi me lo ha parecido por lo menos, y como he dicho antes, lo veo totalmente correcto en el sentido de que se asegura que el contenedor queda cerrado, como así es. Cuando se va al contenedor este está totalmente cerrado. Así que hasta aquí me parece perfecto, y veo positivo una propuesta de este tipo. El caso es que ahora viene lo que no me ha gustado nada de nada así que escribo este artículo por si alguien que llegue a el puede aportar algo mas.
CONTENEDORES AFECTADOS
De momento esta tarjeta solo esta empezando a ser utilizada en el contenedor marrón, el de residuos orgánicos, foto de la izquierda, aunque por lo que me envía un lector, parece que ya están preparando la situación para que se utilice en otros contenedores. En este caso el contenedor en el que ha aparecido el método de apertura con tarjeta es un contenedor gris, foto de la derecha, el contenedor genérico, aunque de momento no está siendo obligatorio la apertura con tarjeta si que ha sido instalado el sistema.
LA TARJETA VA ASOCIADA AL DOMICILIO
Lo primero que hay que hacer, ya que la tarjeta abre el contenedor, y tiene un código de barras, pues vamos a ver que sale en ese código. Tras pasar el lector correspondiente nos aparece un enlace que lleva a la descarga de la aplicación, cuyo enlace no es sólamente un inocente enlace a una descarga de la app. El enlace lleva algo mas asociado y la url en cuestión es esta.
https://seigarbost.com/web/download_ireki?cli=NNNNN&tarjeta=XXXXXXXX
En este enlace aparecen dos códigos, el código cli y el código de la tarjeta (en el enlace anterior los códigos han sido cambiados por NNNNN y XXXXXXXX), así que ya se pueden sacar conclusiones y la primera es que esta tarjeta no es una tarjeta anónima. Puesto en contacto con Nerbioi Ibaizabal me confirman que la tarjeta no va a nombre de nadie, pero ojo, si va a nombre de la vivienda en cuestión, es decir, la tarjeta identifica al domicilio al que se haya enviado.
Con esto de la identificación de la tarjeta, al menos quien me atendió en Nerbioi Ibaizabal, hizo una pequeña trampa. Me dijo que la tarjeta no va a nombre de nadie, a lo que mi respuesta fue bastante lógica, si que va a nombre de alguien ya que si va a nombre de un domicilio entonces es como si fuera a nombre del propietario o propietarios que figuren en las escrituras de la propiedad.
APLICACIÓN IREKI QUE SE ACTIVA CON LA INFORMACIÓN DEL DOMICILIO
Siguiente punto, instalamos la aplicación Ireki, igual resulta que es simplemente instalar la aplicación y ya está. Ya de entrada según se ejecuta pide dos permisos, bluetooh y localización, es decir, la aplicación quiere saber donde está cuando se ejecuta para abrir el contenedor próximo y bluetooh para conectarse al contenedor. Tras lo anterior llegamos a un controvertido punto…. nos pide el código anterior. Además de eso, y tras observar en la parte trasera de la tarjeta, se puede ver que es una tarjeta identificativa ya que lleva impreso la calle, el número y la letra del domicilio.
Código anterior que, como he mostrado antes, lleva códigos identificativos. Es decir, la aplicación identifica el domicilio asociado a la tarjeta utilizada.
Respecto al número de teléfono, contactos o cuentas de usuario almacenadas no parece que, por el momento, la aplicación trate de acceder a esa información. Hay que tener en cuenta que esto es a día de hoy y con esta versión, desconozco si en un futuro se pretende que nuevas versiones accedan a esa información personal con el objetivo de ligarla a los registros de uso.
DOMINIOS CONTACTADOS E IPS
Ahora viene la pregunta, ¿se hace algo con esa identificación?. No tengo conocimientos suficientes para analizar el código pero hay algo que si se puede hacer, no es difícil, y es solicitar un informe a Virustotal a ver a donde se conecta la aplicación. Así que de ese informe obtenemos lo siguiente…. en esta captura podemos ver los dominios a los que se conecta, naturalmente que incluye el dominio seigarbost.com del servidor de la tarjeta.
Respecto a las IPs a las que contacta la aplicación, concretamente 19 IPs según Virustotal, he geolocalizado todas ellas y pertenecen 18 a servidores de Google y 1 a servidores de Amazon.
RECOPILACIÓN DE DATOS Y PERMISOS DE LA APLICACIÓN
Llegado aquí la pregunta es clara, ¿recopila datos?, pues si, yo pienso que si, aunque solo sea por que la tarjeta va identificada, la aplicación pide esa identificación para activarse y se conecta a los servidores. Al conectarse a los servidores hay mínimo tres datos que va a enviar, la fecha/hora, identificación y la ubicación, así que esos datos son totalmente recopilables. Luego están los datos de Google Analytics que vendrían gestionados por mínimo el dominio app-measurement.com perteneciente a Google.
En lo que se refiere a la aplicación, seguridad de los datos y permisos que pide, a día de hoy me he encontrado con esto. Podría ser que haya cambios en versiones futuras así que lo mejor es que cada cual verifique lo que piden las nuevas versiones que salgan a partir de ahora. En estas capturas aparecen dos detalles relevantes a mi modo de ver, los datos no se transfieren a través de una conexión cifrada, ni el desarrollador da opción de solicitar el eliminado de datos. Al tratarse de una aplicación de un organismo público lo de no se comparten datos con terceros tampoco aclara demasiado, podría ser que si se comparta pero dentro de la administración pública.
APLICACIÓN APK LIMPIA DE MALWARE
La aplicación, al menos por el momento, está limpia de malware. Podría parecer que es lo normal pero no necesariamente, no sería la primera vez que alguna aplicación da algún positivo debido a una librería sospechosa o bien debido a una IP o dominio contactado que esta marcado como malicioso. Así que, en el aspecto de que contenga malware, por lo que parece al menos no se encuentra nada, lo que no quita para que una tarjeta, que sirve para recopilar datos de uso, en parte, ya de por si, ya tiene su potencial parte no de malware pero si de uso recopilación de datos con fines dudosos o poco transparentes.
INDEFENSIÓN POR UN POSIBLE SISTEMA DE SEGURIDAD DÉBIL
En base a lo que he podido analizar, y con los conocimientos que yo tengo, veo presuntamente en esta forma de apertura un sistema de seguridad débil y que deja un tanto indefenso al usuario. No existe información que garantice absolutamente que se preserva la seguridad del ciudadano en cuanto a que otro ciudadano vaya a abrir el contenedor a nombre de un tercero. Al no garantizarse que de forma totalmente inequívoca no se produce una suplantación de identidad del domicilio asociado, el ciudadano quedaría totalmente indefenso ante una posible recopilación de datos que no son reales y le otorgan unas acciones que no ha realizado.
POSIBLES MOTIVOS DE RECOPILACIÓN DE DATOS
Supongo que alguien pensará que igual se recopila para si aparece algo delictivo dentro del contenedor saber quien ha sido, pero no, no se sabe quien ha sido, primero por que solo habrá datos de un montón de gente que lo ha abierto, segundo por que quien haya metido eso delictivo igual no lo ha hecho con su tarjeta y tercero, de sentido común, si vas a meter algo delictivo no lo haces en un contenedor con tarjeta identificativa. Por otra parte recopilar quien y cuantas veces abre un contenedor es absurdo por que eso no implica que se pueda saber si el contenedor se está usando bien por ese domicilio.
Tampoco hay que olvidar otro detalle, de momento no, pero si se podría estar implementando la infraestructura para un futuro régimen sancionatorio en base a los criterios que consideren oportunos. En general no es raro pensar que lo que empieza de forma inocente de recopilar datos acabe en un nuevo método para aplicar sanciones, tasas variables o nuevos impuestos.
CONTACTANDO CON NERBIOI IBAIZABAL
Dado todo lo anterior intenté ponerme en contacto con este servicio y si, lo que se dice atender me atendieron, pero ahí pude apreciar que no hay transparencia alguna en lo que a datos que se recopilan y para que van a ser usados. Yo creo que como consumidor estoy en mi derecho a saber esa información, pues no, me resultó totalmente imposible, no me dieron esa información. También les pedí si había publico algún informe de transparencia respecto a la recopilación de datos y su uso posterior, la respuesta fue clara, no hay nada. Respecto a mi petición de poder hablar con algún superior, a ver si me podía aclarar mi consulta, tampoco fue posible, no están disponibles.
Respecto a la recopilación de datos hay que tener clara una cuestión, el problema no está en la recopilación, por norma general mucho o poco, durante mas o menos tiempo, siempre hay registros y logs que hacen difícil no recopilar nada. La consulta viene no de la recopilación si no de que uso se va a hacer con los datos recopilados, y por supuesto, todo ello derivado de una idea sencilla de entender, para abrir un contenedor no se necesita para nada datos de quien lo ha abierto.
SENTENCIA DE LA AEPD EN PAMPLONA
Para acabar decir que esto no lo pienso solo yo, la Agencia Española de Protección de Datos (AEPD) ya ha intervenido en Pamplona con sentencia por algo similar. A raíz de esa sentencia los contenedores han dejado de recopilar datos de los números de tarjeta que abren cada contenedor por considerarse que esa información es innecesaria.
PROPUESTA DE TARJETAS ANÓNIMAS
Una propuesta constructiva, dejando de lado las ideas basadas en el control de la población, fomentando la libertad y el derecho a elegir, podría ser la creación de tarjetas anónimas. De esta forma el usuario que desee colaborar con una tarjeta o aplicación identificativa lo hace y quien no puede abrir el contenedor mediante una tarjeta totalmente anonimizada. Esto sería una forma de dejar de lado los métodos basados en la imposición y el control del ciudadano, dando la opción a que cada cual decida libremente si colabora con una apertura identificada o una apertura anónima. Lo mismo en el caso de la aplicación, que se pueda activar de una forma identificativa o de una forma anónima.
COLABORACIÓN PARA AMPLIAR INFORMACIÓN
Así que nada mas, saludos a todos los que me hayáis leído y si consigo mas información reeditaré el artículo. Mientras tanto decir que cualquiera que llegue aquí, y pueda aportar algo, desde la veracidad, educación y respeto, es libre de hacerlo en la sección de comentarios. Cualquier comentario es bienvenido siempre que sea positivo, constructivo y aclaratorio.
Última edición de este artículo: 14/10/2023
Muy interesante…. 😮
Pues si Luis, muy interesante…. que igual no es para tanto y no va a ningún lado, pero mejor podrían haber ido de cara.