Privacidad

[Ulises Manzano]

Hola quiero saber qué tipo de datos concretos y cómo acceder a los míos con respecto a los que se mandan desde los routers de fibra óptica en hogares (por ejemplo el model Askey355VW) a la compañía de inteligencia y analítica Devo que viene activada por defecto a la dirección collector(.)logtrust(.)io a través del puerto 444 , en la configuración avanzada del configurador web en el submenú 'system log'.

Gracias.

[Técnico-Movistar]

Hola @Ulises Manzano

Vamos a estudiar y notificar la información que nos comentas y en cuanto tengamos algún datos te lo confirmamos en este mismo hilo.

Un saludo. 

Fernando.

[Técnico-Movistar]

Hola @Ulises Manzano

Seguimos a la espera de que nos faciliten la información para darte los datos.

Un saludo.

Galder

[Técnico-Movistar]

Buenos días @Ulises Manzano,

Sentimos la demora y las molestias ocasionadas, estamos a la espera de recibir avances al respecto de tu consulta, en cuanto dispongamos de ellos, procederemos a comunicartelos.

Muchas gracias, un saludo

Irene

[Ulises Manzano]

Hola, Gracias, disculpe que haya dejado unos días de por medio para volver a conectarme, me imaginaba que no iba a haber repuesta rápida.

Seguimos pendientes entonces... a ver si en 3 o 4 días más, hay alguna respuesta que no sea sinónimo de lo contrario.

Gracias por la atención.

[Ulises Manzano]

Disculpe, hay una errata en mi consulta, aunque no creo que afecte, por hacer las cosas bien. El modelo del router no es 355, es: el Askey3505VW.

[Theliel]

Buenas @Ulises Manzano 

Creo que puedo echarte una mano en esto, mientras que esperas si quieres algo oficial.

Por defecto como bien dices el Router envía parte del registro interno que recopila a un servidor externo. que básicamente es por medio de un syslogd modificado. Hace un reporte cada 5 minutos, exceptuando cuando hay un error de conexión/restablecimiento/conexión del cliente PPP

¿Que información recopila? Hay en esencia 4 tipos de mensajes que envía:

<9>FechaHora IP oem.wd.ppp.MACROUTER.v1: TiempoEpoch|CEASE_CONN_OK|UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1492 Metric:1|IP|ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff##HMAC-SHA256

<14>FechaHora IP oem.wd.infgen.MACROUTER.v1: TiempoEpoch|CPU|Mem|UP##HMAC-SHA256

<14>FechaHora IP oem.wd.infcnx.MACROUTER.v1: TiempoEpoch|xxx|xxx|xxx|xxx|xxx|xxx|xxx|xxx|xxx|xxx|xxx|xxx|xxx|xxx|xxx|xxx##HMAC-SHA256

<14>FechaHora IP oem.wd.infprc.MACROUTER.v1: TiempoEpoch|PPPD|TR69C|DNSProxy|VODSL|MCPD|RIPD|WLMNGR|1##HMAC-SHA256

De todo ello hay datos que he sustituido por variables para entender la información que aportan:

-Común a todos:

-FechaHora: Es la fecha de la entrada en formato legible: Jul 29 02:25:37

-IP: La IP pública actual del Router
-MACROUTER: Es la MAC del Router

-TiempoEpoch: Formato de tiempo estándar estilo Unix: 1595989537195
-HMAC-SHA256: Cada mensaje tiene de cola un HMAC-SHA256 en Base64 calculado sobre el mensaje enviado, es a modo de verificación de los datos. La Key del HMAC la tengo por ahí apuntada, pero es irrelevante, como digo se usa para verificar los datos enviados.

Los nombres de los tipos de mensajes/reportes me los he inventado, pero por el nombre y lo que aportan, podrían ser perfectamente 😉

-Mensajes PPPoE (oem.wd.ppp)

No hay editado ningún dato, es básicamente el estado de la conexión en el caso puesto de conexión, MTU y otros

-Mensajes de Reporte General (oem.wd.infgen)

Aporta información muy básica del Router:

-CPU: El uso de la CPU en el momento del reporte
-Mem: La cantidad en MB de la memoria RAM libre en ese momento
-UP: El tiempo que lleva encendido el Router en segundos

-Mensajes de Reporte sobre conexiones (oem.wd.infcnx)

Esto no lo he desgranado porque es un coñazo, sinceramente. Son 16 campos numéricos que recogen las estadísticas del tráfico de paquetes de las interfaces WAN: Enviados, Recibidos, Errores, Drops... Como digo, no quería aburrirme sacando exactamente el orden y el significado de cada

--Mensajes de Reporte sobre procesos (oem.wd.infprc)

Son Flags de estados, un 0 indica que el proceso no está en ejecución, un 1 que lo está. El último no lo tengo claro del todo. Tal como puse arriba, el orden de los procesos es ese, el cliente PPP, el proceso TR69c que se encarga no solo de TR69 sino de muchos otros asuntos del sistema, DNSProxy, VODSL que se encarga de tareas de VoIP y de sistema, MCPD que es el encargado de gestionar Multicast (igmpproxy y snooping), RIPD que se encarga de recibir las rutas del sistema de cada una de las interfaces WAN y WLMNGR que se encarga de gestionar/controlar la interfaz WIFI

--------------------------

Es posible que registre algún que otro suceso anómalo que ocurra, no podría certificar que no lo hace. En cualquier caso no es mucho lo que recolecta, los datos realmente más relevantes son MAC e IP, los procesos en ejecución, la información básica del Router o incluso la estadística de tráfico es un poco irrelevante, el problema sí podría ser que está asociada, repito, a una MAC e IP, con lo que no son datos anónimos, y potencialmente se podría crear una base de datos con registros de todo el tráfico de los usuarios.

En cualquier caso no lo veo demasiado alarmante, podría ser mucho peor teniendo en cuenta la información que podrían recolectar.

Saludos y espero que te sirva 🙂

[Técnico-Movistar]

Hola @Ulises Manzano.

Agradecer a @Theliel su colaboración. ¿Tienes alguna duda más en la que podamos ayudarte?

Un saludo.

Fernando. 

[Técnico-Movistar]

Buenas tardes @Ulises Manzano.

No hemos recibido mas comunicaciones por tu parte, si consideras que tu consulta está resuelta, te agradeceríamos que en el hilo que has abierto, pulsases en el botón “Aceptar como solución” del post en el que se te ha resuelto tu caso. Es importante para nosotros que vuestras consultas queden resueltas y para otros usuarios es útil utilizar estas respuestas para sus dudas.

Un saludo

Miriam

[Ulises Manzano]

Hola, disculpa el retardo en contestar. Es tal tu nivel y tal la falta de documentación sobre el tema que me da miedo estropear esta, tu respuesta, con algún comentario demasiado ignorante. Y espero no acabar de hacerlo 🙂 pero más vale un día colorado que ciento amarillo..

Muchísimas Gracias por responder y a ese nivel de detalle. 

La respuesta me vale en gran parte. Hay otra parte, la menos técnica, la opinativa, con la que no estoy de acuerdo. Quizás por mi insuficiencia de conocimientos técnicos al respecto que no puedo formarme una imagen que coincida con la tuya en términos de gravedad del asunto o de 'alarmarse'.

En los días en los que esperaba respuesta he ido informándome por mi cuenta, cada día, para intentar explicarme qué es lo que estaba viendo.

Para ello, busqué quién es Devo/Logtrust, las capacidades de su plataforma, leí 3 o 4 leyes, busqué analogías pasadas y coincidentes en ciertos términos y el resultado es un 'artículo' o 'paper' con casi 60 pantallazos comentados que al final me ofrece una visión más amplia y alarmante sobre el asunto.

No soy persona de creer conspiraciones de moda y esas cosas, me gustan los datos pero también tiro de la experiencia.
Según lo que he ido recabando, si alguien le metiera mano a este asunto seriamente, Telefónica se iba a meter en un lío... es mi opinión.

El problema y obviando la desinformación a los usuarios, tal como dicta la ley, es ya no solo qué datos en crudo manden por la tubería a Devo, sino que se puede hacer con esos datos aplicándoles las capacidades de la Plataforma Devo, osea incluyendo analítica y machine learning, y lo que les dé la gana puesto que una vez que los datos son procesados son ya suyos...o no.. En todo caso, pueden analizar los comportamientos de los usuarios e identificarlos revertiendo el proceso de anonimización. 
También esos datos ya enriquecidos o cocinados se pueden usar para diversos fines que no no están del todo claros. Por ejemplo, la plataforma de Devo/Logtrust tiene el sistema MISP de Intelligencia, y otra vez salen con lo de que es detección de malware,, claro... una comunidad de inteligencia para hacerle la competencia a virustotal no? pues no me lo puedo creer.

He visto en las 'alertas' preinstaladas en Devo como una es 'Track User', como los extractores pueden detectar casi cualquier tipo de formato de archivo y extraer un buen monton de ellos. A la plataforma Devo, se le pueden implementar software de código abierto para lo que uno desee, no en vano CyberCheff viene preinstalado. Cualquiera se puede hacer una idea de lo que se puede obtener si se monitorizan los datos de los usuarios con este programa, sus características son púbicas y está en Github.

Por eso y con todo el respeto del mundo, no puedo estar de acuerdo en tu afirmación de que no es para alarmarse.

De momento, a nivel general parece que no se cumple esta ley
Ley de Protección de Datos de Carácter Personal.
Artículo 11. Comunicación de datos.
3. SERÁ NULO EL CONSENTIMIENTO PARA LA COMUNICACIÓN DE LOS DATOS DE CARÁCTER PERSONAL A UN TERCERO, CUANDO LA INFORMACIÓN QUE SE FACILITE AL INTERESADO NO LE PERMITA CONOCER LA FINALIDAD A LA QUE DESTINARÁNLOS DATOS CUYA COMUNICACIÓN SE AUTORIZA O EL TIPO DE ACTIVIDAD DE AQUEL A QUIEN SE PRETENDE COMUNICAR.

Por eso no puedo dar por resuelta del todo mi pregunta, porque me falta saber como accedo a TODOS mis datos, concernientes ya no solo al router o a la IP sino a los datos que han dado lugar esos datos y que conciernan a mi persona. Es decir, si han aplicado analítica u otra tecnología a los datos del router y con ello generan datos de mi persona, quiero saber como acceder a TODOS y si no me los quieren dar, que lo digan aquí por escrito, y si niegan su existecia, que lo nieguen aquí también públicamente y a la vista de todos.

Gracias de nuevo, ahora ya sé prácticamente que datos mandan, en teoría, ahora me falta saber que hacen con ellos y en qué los transforman y como afecta eso a millones de españoles.

"las herramientas de control de tráfico permiten identificar con facilidad el comportamiento de una máquina y, por tanto,
la del usuario que se encuentra detrás. Así pues, se unen las diferentes piezas que componen la personalidad del
individuo con el fin de atribuirle determinadas decisiones. Sin ni siquiera solicitar el nombre y la dirección de la persona,
es posible incluirla en una categoría, sobre la base de criterios socioeconómicos, psicológicos, filosóficos o de otro tipo y
atribuirle determinadas decisiones, puesto que el punto de contacto del individuo (un ordenador) hace innecesario
conocer su identidad en sentido estricto"
'Así, es posible que "en muchos casos exista la posibilidad de relacionar la dirección IP del usuario con otros datos de
carácter personal, de acceso público o no, que permitan identificarlo, especialmente si se utilizan medios invisibles de
tratamiento para recoger información adicional sobre el usuario, tales como cookies con un identificador único o sistemas
modernos de minería de datos unidos a bases de datos con información sobre usuarios de Internet que permite su
identificación". '
Fuente:https://telos.fundaciontelefonica.com/archivo/numero089/el-derecho-al-anonimato-en-internet/
 
Al Equipo de Movistar, Me falta saber como acceder a todos los datos que tengan en propiedad referentes a mi persona, ya sean de extracción directa o a partir de otros datos, ya los tenga Télefónica o se los hayan cedido a terceras partes, ya sean estas, Devo o alguna comunidad de Inteligencia.
Sólo pido Cómo y Dónde realizar de forma oficial el trámite.

Gracias.

[Ulises Manzano]

Una errata:"El problema y obviando la desinformación a los usuarios, tal como dicta la ley,"

Es "El problema y obviando la desinformación a los usuarios, al contrario de como dicta la ley,"

[Ulises Manzano]

Hola Miriam, disculpa la tardanza, no es por falta de interés en absoluto.

Me queda una parte, que especifico en la respuesta a Theliel. Gracias !

[Técnico-Movistar]

Hola @Ulises Manzano

Te hemos enviado mensaje privado, con la información que nos solicitas.

Un saludo,

Natalia.

[Theliel]

Buenas @Ulises Manzano 

Son dos cosas totalmente diferente compañero. Tienes razón total y absoluta sobre la cuestión de que tienes derecho al acceso/rectificación/eliminación y por supuesto conocimiento de que se hacen con cualquier dato que pudiese ser de caracter pesonal, y con el nuevo reglamento de de protección de datos requerir incluso tu aprobación explícita. En ese punto espero que te lo hayan facilitado e informado bien

Ahora bien, respecto a lo otro, como dices, una cosa es lo que una plataforma potencialmente permita hacer, otra cosa lo que se haga. En este caso concreto lo que citas está muy lejos de lo que realmente se hace. Repito que esto no tiene nada que ver con que se debiese de informar. Pero como te puse, los datos que se recogen, aunque puedan tener por supuesto un valor sobre todo global, no los tienen a nivel personal. Por ponerte un ejemplo simple, Movistar recoge infinitamente más datos de ti y de tu alrededor cuando usas su app y otros servicios del Router, que lo que puedan hacer estos con el registro que envía. Los únicos datos más personales que puedan tener se limita a la IP y a la cantidad de paquetes transmitidos. En modo alguno se transmite ningún tipo de información específica, ni tipo de tráfico, ni destinos ni nada. Es cierto que se podría crear una gráfica temporal del tráfico generado por el Router, pero nada más. Es más, técnicamente hablando no proporciona datos de caracter personal, son solo datos estadísticos del Router.

Reitero que eso no significa que no se debiese de informar, y en alguna ocasión ya he reportado problemas de privacidad importantes infinitamente más acuciantes/preocupantes. De ahí a decir que en este caso concreto, no hay mucho que preocuparse realmente, al menos en cuanto a tipo de información que se transfiere. Por supuesto, en cuanto a práctica se refiere, si sería muy cuestionable

[Técnico-Movistar]

Buenos días @Ulises Manzano,

Lamentamos las molestias, hemos trasladado el caso apra su revisión interna en cuanto dispongamos de avances al respecto procedemos a informarte.

Muchas gracias, un saludo

Irene

[Ulises Manzano]

Hola y de nuevo gracias por el tiempo.

Soy plenamente consciente de que la visión que puedes hacerte del asunto es infinitamente más precisa y detallada que la mía por la diferencia de conocimientos técnicos al respecto. es más, cada vez que 'hablas', aprendo. 🙂

Sin embargo, en cuanto a lo de si la capacidad potencial se usa o no, me es imposible no tener en cuenta la experiencia que nos brinda la hemeroteca sobre las grandes corporaciones y las compañías (malas) de analítica, matrimonio que solo les beneficia a ellos aunque necesiten hacerlo pasar por 'servicios esenciales' para mantener su legalidad  y por eso quisiera que Movistar me respondiera públicamente, no por privado, de que No usan por ejemplo CyberCheff y otras analíticas y ML, con los datos que les suministra el router a Devo y a su vez en la plataforma a Telefónica y estos a las terceras partes que aparecen en la página de privacidad  www.movistar.es/privacidad  punto 8 y en  www.movistar.es/privacidad/info-adicional  , Y si lo hacen, que lo digan, de forma explícita e inequívoca, como marca la ley, y en ese caso, saber qué datos -se producen- a raiz del raw data o del stream o como quieran llamar lo que mandan a desde del 'collector', el que te advierten poco menos que se rompe el mundo si accedes a su config.

Teléfónica, ya sabemos que desde que Aznar la vendió, empezaron a olvidar la devolución del cambio en las cabinas públicas, que salió en los Papeles de La Castellana como indemnizan millonariamente a sus directivos al despedirlos, para recontratarlos después, que tiene un miembro del Consejo en la cárcel, Rato, y que en la alianza de Devo y Elevenpath, en esta última está a la cabeza el Sr Alonso, el cual es capaz de hacer cosas que nadie sería capaz de controlar. Así que los precedentes ético-profesionales de Telefónica nos indica que sí son capaces y que es Muy Muy posible que dada su capacidad técnica, usen la plataforma Devo en todo su 'resplandor'.

Todo esto es un 'presunto', lo sabremos con el tiempo.
Esa es mi opinión. que si pueden, no se lo piensan, llaman al equipo de 'compliance' y adecúan que su equipo de hackers se puedan poner a jugar al CyberCheff con nuestros datos.

  Ahora veamos si aún queriendo, podrían hacerlo o no.

Es posible que solo esté en desacuerdo contigo por mi incapacidad de entender apropiadamente lo que me dices. Lo tengo en cuenta, aún así, sigo pensando lo mismo.

Con respeto, te digo que creo que no puedes saber lo que 'extraen' de los usuarios, sólo teniendo en cuenta los datos que me dices, los 4 tipos de archivos que comentaste de forma aislada, tal y como lo veo es como si alguien transmitiera el contenido de un mensaje de email y sólo se tuvieran en cuenta que viajan letras, desatendiendo el dato de que estas forman palabras y estas frases y estas guardan información en su significado conjunto y no solo individual. Sean cuales sean y por muy inocuos que parezcan los datos que el router les manda, son los suficientes para poner en práctica el producto que venden.

Sobre la respuesta por privado que me mandó el Staff de Movistar:
Bueno, lo esperado en parte, lo de que fuera en privado no sé si fue para decirme como que 'mira chaval no seas pesado, esta el la pag de privacidad leétela tu mismo y eso es lo que hay" o que, no pueden/saben contestarme, por la causa que sea. En cualquier caso vaya mi respeto a todos los trabajadores de base que nada tienen que ver con decisiones corporativas y si es decisión personal lo entiendo, somos personas.

A la pag que me remitió, no sale nada de Devo/Logtrust, ni siquiera en la parte de donde los datos se mandan fuera de España, será que los datos a Devo se quedan en algún servidor localizado en el país,, pero ves, ni eso sabemos,, En esa página de privacidad, sí menciona el MISP y hay por ahí un vergonzoso 'Etc' que claro, como tal puede incluir lo que quiera, pero sería muy raro que Devo sólo estuviera implícitamente añadido en un Etc. 
Tambíen están las clasificaciones de las empresas que prestan servicios 'esenciales' pero de Devo o Logtrust, ni rastro,, que casualidad...

Yo no tengo ninguna esperanza de que me vayan a contestar formal y detalladamente por ningún medio público o privado y que será imposible sin una orden institucional o de algún organismo o una denuncia que provoque una judicial, de que nadie se entere de cuales son los datos una vez ya procesados que albergan los 'ficheros' o conjunto de datos sobre un usuario/'entidad'.

Para no robar más tiempo, desde mi punto de vista, dada la capacidad tecnológica de Devo, la ventaja de Telefónica sobre sus clientes/usuarios y la falta de información pública sobre el envio de datos de los usuarios desde los routers Askey30505, al menos, hacia una compañía la cual nadie prueba cual es el servicio de caracter 'esencial' para el desarrolo de la actividad principal contratada por el usuario/titular de la línea, y dada la falta de conocimiento del mismo, del producto que sus datos generan y el uso que se le da, le es imposible conocer los riesgos relativos a su privacidad de forma suficiente para determinar su consentimiento en la cesión de sus datos de caracter personal a terceras partes y por tanto dicho consentimiento sería invalido desde el principio. Sin olvidar que es siempre de caracter Revocable, puesto que el 'consentimiento' no se da, se presta.

Repito que es solo mi opinión y se que soy un tozudo.

Vídeo de Devo, de hace ya 2 años,
https://www.youtube.com/watch?v=KLYWfPwyVEA 

 Gracias.

[Ulises Manzano]

Devo presenta, 'Observability', hay que olvidarse del simple monitoreo, esto es ya otra cosa:
https://www.devo.com/resources/observability/

[Ulises Manzano]

Hola, un saludo vaya por delante! Mi respuesta a Theliel es tambien para vosotros.

[Técnico-Movistar]

Buenos días @Ulises Manzano

Agradecemos tu respuesta, seguimos a la espera de recibir noticias, en cuanto tengamos respuesta te informaremos lo antes posible.

Un saludo

Victoria 

[Ulises Manzano]

Ok Gracias.

[Ulises Manzano]

https://en.wikipedia.org/wiki/Data_re-identification

[Técnico-Movistar]

Hola @Ulises Manzano

Seguimos a la espera de recibir la información que nos indicas, en cuanto tengamos más datos, te los confirmamos.

Un saludo.

Fernando.

[Theliel]

Buenas @Ulises Manzano 

Creo, sin acritud alguna, que en este caso en concreto se está conspirando más que otra cosa. Existen todo tipo de plataformas para gestionar datos de todos los tipos posibles, y servicios de análisis, bigdata... pero al final todo se limita a que tipo de datos se están transmitiendo.

Aquí "solo" se están transmitiendo: MAC del Router, carga de CPU/RAM, estado de algún servicio y paquetes transmitidos, nada más. No estoy diciendo con ello que no se debiese especificar concretamente, repito, que información se transmite, pero una cosa es que se salten eso un poco por donde les da la gana, y otra cosa muy diferente es que puedan extraer de esos datos algo más. No hay Cookies de sesión, no hay ningún tipo de identificativo de usuarios ni nada de nada. Lo más identificativo que hay es la MAC del Router.

Podría tratar esos datos para otros fines?? Pues hombre, en este caso para mucho más no va a dar los datos que no sea crear estadísticas de tráfico, y con estadísticas de tráfico no me refiero a que webs ni nada por el estilo. No soy jurista, pero los datos transferidos no creo que entrasen realmente siquiera a datos de carácter personal, a menos que el Router se pudiese contar como una entidad propia. No pueden extraer ningún dato personal de lo que se envía

[Técnico-Movistar]

Hola @Ulises Manzano

Agradecemos a @Theliel como siempre su aportación. Confirmarte que  seguimos a la espera de una respuesta para tu consulta, en cuanto tengamos más datos te informamos.

Un saludo.

Fernando,

[Técnico-Movistar]

Buenas tardes @Ulises Manzano

Sentimos las molestias que te estamos ocasionado, seguimos a la espera de recibir respuesta respecto a tu consulta, una vez tengamos respuesta, te lo haremos saber cuanto antes,

Un saludo

Victoria