CoronApp ni funciona, ni funcionará

Jun 27, 2020

Carolina Botero

carolinabotero19052020.jpg

Luego de ver el debate de control a esta aplicación pude confirmarlo.

Hace unas semanas había dicho que La CoronaApp podría no servir, y que en cambio le estaríamos entregando nuestra privacidad. Pues bueno, después de ver el debate de control sobre esta plataforma que hubo en La Cámara de Representantes pude confirmar que esta aplicación ni funciona, ni funcionará.

Cuando se busca prevenir el esparcimiento de una enfermedad, en este caso Covid-19, las técnicas epidemiológicas muestran que es es importante identificar a los enfermos y establecer con quiénes tuvieron contacto durante el período de contagio. Se busca avisarles y pedirles que se aislen, testearlos para controlar el contagio.

Durante los últimos meses ha habido una carrera en el mundo por desarrollar aplicaciones que usando los sensores de los celulares ayuden en este proceso que se ha denominado el rastreo digital de contacto: los dispositivos ayudan a establecer qué otros dispositivos han estado cerca del de la persona infectada durante el tiempo de incubación de la infección. Se usan unos criterios vinculados con duración y distancia para poder definir que la persona dueña del otro dispositivo fue expuesta al virus. A esa persona se le avisa de la posible exposición al contagio a través de su celular y se le guía en el sistema de salud para atender su caso. Aunque se cuestiona su efectividad, las apps se multiplican.

La CoronaApp fue de las primeras aplicaciones en el mundo que decidió incorporar la funcionalidad de rastreo digital de contacto. Para ello, desde abril, al descargar la aplicación se daban permisos para activar GPS, Bluetooth y Wifi.

La forma como esta funcionalidad de CoronApp se diseñó y está andando es un secreto bien guardado. El pasado 16 de junio la representante Juanita Goebertus citó a un debate de control sobre esta aplicación que buscaba sobre todo entender el rastreo digital de contacto. Sin embargo, de las cuatro funcionalidades que tiene el debate se enfocó en la de seguimiento de síntomas, que es la que el Instituto Nacional de Salud (INS) maneja desde 2017.

En este debate de control ninguno de los funcionarios del gobierno pudo dar detalles sobre el rastreo digital de contactos que es la funcionalidad más novedosa. A diferencia de la locuacidad con que los funcionarios dan detalles sobre el seguimiento de síntomas, cuando se pregunta sobre rastreo digital de contactos las respuestas no lo son tanto. La directora del INS, por ejemplo, contestó rápidamente que CoronApp no recoge los datos de esta funcionalidad, es decir el INS no tiene estos datos. Como puede oirse en el minuto 2:08:42 de este video.

Entonces, si el INS no recibe los datos ni los usa, ¿qué pasa con los datos de la aplicación asociados a esta funcionalidad?, y ¿cuál es el modelo de rastreo digital de contactos que desarrolla la aplicación?

Si los datos vinculados con esta funcionalidad no los recibe el INS significa que aún no está conectada con la estrategia epidemiológica. Es decir, en realidad no funciona para la finalidad para la que se está desplegando. Se puede concluir, entonces, que esta funcionalidad sigue en su fase de pruebas técnicas masivas -que incluye a toda persona que la descargue-, porque le puedo asegurar que sí se recogen datos.

Sobre esa misma pregunta Víctor Muñoz, el consejero presidencial económico y de transformación digital y gran responsable de CoronApp, indicó que los datos del bluetooth se guardan en el teléfono y que es la persona quien autoriza su entrega -no habló de los datos del GPS ni del Wifi-, y que en Colombia se adoptó un modelo descentralizado para el protocolo Bluetooth (puede escucharlo en el minuto 1.15.35).

Esta afirmación del consejero Muñoz no se sostiene con el seguimiento que Karisma ha hecho a CoronApp porque hoy en día esta aplicación usa el protocolo de Bluetooth desarrollado en Singapur que es reconocido internacionalmente como centralizado. Mientras la Agencia Nacional Digital hace ensayos con la aplicación, todavía no pasa los datos al INS. Pero sí hay datos.

Me explico. En las discusiones sobre cómo usar una tecnología que sea respetuosa de los derechos de las personas se han establecido dos alternativas, la centralizada y la descentralizada. Ambas están basadas en el intercambio de identificadores vía Bluetooth para determinar si se ha estado en contacto con una persona que ha sido diagnosticada con Covid-19 y así poder notificarla del potencial riesgo de exposición. La diferencia entre los dos sistemas es que en el centralizado la notificación también la recibe la autoridad sanitaria que controla la aplicación (además de otros datos), así lo explicó hace poco KLab+, el laboratorio de seguridad digital y privacidad de Karisma.

En abril establecimos que la CoronApp de Colombia tenía el protocolo de una empresa gringa llamada Hypelabs -aunque hay poca información sobre cómo funciona se presume en todo caso que es centralizada- y fue desactivado en mayo. A través de un periodista de Reuters nos enteramos que la razón para desactivarlo fue que no funcionó técnicamente y daba muchos falsos positivos. Según supimos, Muñoz le dijo al periodista que se adaptaría el protocolo que desarrollaban Google y Apple. Lo que vimos en una de las actualizaciones de la aplicación fue que antes de finalizar mayo, y hasta hoy, la aplicación integró el protocolo BlueTrace desarrollado para la aplicación de Singapur “Trace Together”.

Ésta ataca el problema de la privacidad generando identificadores aleatorios que se asignan a un dispositivo que son guardados en una base de datos central. Luego, estos identificadores son transmitidos constantemente vía Bluetooth por la aplicación que, a su vez, está leyendo y guardando todos los identificadores que están siendo transmitidos por otros dispositivos que se encuentren dentro de cierto rango. Dicho de otra forma, cada dispositivo guarda en una base de datos local la lista de los identificadores de dispositivos con los cuales se ha cruzado.

Entonces, es cierto que siguiendo este protocolo, como dice Muñoz, los identificadores de los dispositivos con los que se cruza un celular se guardan en ese celular, pero lo que no dice es que los identificadores los genera una base de datos que está alojada en un servidor del gobierno. Dado el rol del servidor central se dice que este es un modelo centralizado.

Esto es importante porque esto no es tan amable con la privacidad. Este sistema es un riesgo porque el servidor central tiene la capacidad de “desanonimizar” los identificadores y, en últimas, puede rastrear personas. Por eso se desarrolló una alternativa que se conoce como descentralizada que da más protagonismo a lo que sucede en el celular, el rol del servidor central es menor y no controla identificadores.

Pero además, nuestros análisis al tráfico de la aplicación confirma que efectivamente en CoronApp hay un intercambio de identificadores Bluetooth porque es el servidor el que los genera. Es decir, el celular recibe desde el servidor el identificador para presentarse ante los dispositivos cercanos. Cuando la persona que usa ese celular queda reportada como positiva envíará los datos de los identificadores que guardó al servidor central. Hoy hay tránsito de algunos identificadores a los celulares registrados desde el servidor.

Cuadro que muestra el tránsito de datos desde un servidor central

CoronApp tiene la funcionalidad desde abril en los celulares de las personas que lo descargaron. Aún no nos cuentan cómo funciona, tampoco hay resultados del ensayo masivo ni del mini piloto para centros comerciales de Medellín. CoronApp no está funcionando para lo que fue desarrollada porque los datos no los recibe ni usa el INS. El gobierno nos dice que tenemos una aplicación descentralizada cuando realmente es centralizada.

¿Qué significa que CoronApp sea centralizada?

Significa que se fue por el estándar que está perdiendo la batalla en el mundo. No sólo por consideraciones de privacidad, también porque Google y Apple (los dos colosos cuyos sistemas operativos corren en la mayoría de los celulares del mundo) están desarrollando el protocolo descentralizado para Bluetooth que inclinó irremediablemente la balanza.

Lo que sabemos hoy es que el impacto que han arrojado las evaluaciones del uso de las aplicaciones de rastreo digital de contacto en sociedades democráticas (Australia por ejemplo) han sido pobres y que la modalidad centralizada tiene pocas opciones de éxito como mostró el caso inglés. Gran Bretaña dejó su desarrollo centralizado y adopta la API de Google y Apple. No fue una decisión sencilla y es además muy costosa.

La resistencia de muchos gobiernos al modelo de Google y Apple se da porque les impone una evaluación sobre varias características del app. Por ejemplo, no pueden activar ningún otro mecanismo de geolocalización en la aplicación y tan solo les darán acceso al API para una aplicación por país. En el caso de Colombia, como la misma aplicación tiene todas las funcionalidades juntas, si decide cambiar va a tener problemas para cumplir con estos requisitos. El tema es que para el seguimiento de síntomas usa el GPS y no puede usar GPS si quiere usar Google y Apple en rastreo digital de contacto. Vaya problema.

Además, si Colombia decide cambiar de estándar, como están haciendo otros países, tendrá que sumar ese nuevo desarrollo a los más de 750 millones de pesos que ha gastado hasta hoy. Cada vez es más claro lo que advirtieron los funcionarios asiáticos cuando decían que las aplicaciones solo ayudan pero que la clave está en la estrategia epidemiológica.

Lastimosamente la mala gestión en términos de transparencia, evaluación y control de la dos funcionalidades innovadoras va a significar un impacto negativo en toda la aplicación. Resalto que vale la pena revisar y evaluar las funcionalidades de información y seguimiento de síntomas que parecen tener utilidad para el INS pero, aún así, doctora Ospina, hay que mostrar cuál es la utilidad de esa funcionalidad para las personas que entregan los datos, porque en el caso del seguimiento de síntomas, las personas esperan que les ofrezcan rutas de atención en salud, por ejemplo. Se requieren datos, evaluación y evaluación de impacto en derechos.

De otra parte, el INS tiene que saber dónde están todos los datos que transitan por la aplicación, porque el rastreo digital de contactos está produciendo datos y el INS no sabe. Lo cierto es que este debate confirmó que Colombia no será la gran innovadora en materia de rastreo digital de contacto, y que seguramente tendrá que dejar de lado su solución para notificación de exposición.

En suma, como vaticina Gemma Galdón las aplicaciones centralizadas, entre ellas la colombiana, ni funcionan, ni funcionarán.