La API de Estado de Batería o "Battery API" es uno de los componentes de HTML5, el nuevo estándar de la web W3C hace dos años. En principio, la API hace algo tan inocente como permitir que las páginas que visitamos sepan en estado de la batería de nuestros dispositivos para que puedan ofrecernos versiones más ligeras.
Pero diferentes estudios presentados por investigadores de seguridad apuntan a que las combinaciones de los datos que se pueden obtener con esta API son las suficientes como para poder utilizarlos como identificadores de dispositivos. Con ellos no se puede saber quienes somos, pero sí espiar nuestro comportamiento en la red sin pedirnos permiso.
Una buena idea que se vuelve en nuestra contra

La API de Estado de Batería sólo ofrece tres datos concretos, el porcentaje de carga actual del dispositivo, el tiempo total que falta para que la batería se descargue y el que haría falta para que se cargase por completo si el dispositivo estuviera conectado a un cargador. Con ellos se pretende que las webs puedan detener la ejecución de contenidos u ofrecer versiones menos exigentes dependiendo del estado de nuestra batería.
En la página de la propia W3C se asegura que la información revelada por la API tiene un impacto mínimo sobre la privacidad de los usuarios. Sin embargo, el año pasado apareció un primer estudio que apuntaba en la dirección contraria, argumentando que con los datos de estos tres parámetros se pueden obtener hasta 14 millones de combinaciones numéricas, suficientes para utilizase como un identificador único bastante fiable.
El otro gran problema reside en que los datos ofrecidos por la API no se actualizan demasiado rápido. Esto quiere decir que, al mantenerse estáticos, pueden servir para que el identificador les permita a empresas y webs utilizar scripts con los que registrar las páginas que visitan los usuarios de un dispositivo.
Imagináos un script concreto que ha sido alojado en las páginas X e Y, y que sea capaz de obtener el código numérico de la API de Estado de Batería. Aunque tras visitar X eliminásemos cookies u otros elementos de rastreo, incluso aunque utilizásemos VPNs, si cuando visitemos Y la API no se ha actualizado el script volverá a identificarnos, y sus responsables podrán saber que hemos ido de X a Y.
Las webs ya se están aprovechando de ello
En otro estudio publicado el mes pasado por investigadores de la Universidad de Princeton ha demostrado que esta técnica está siendo utilizada por diferentes empresas para identificar la huella dactilar efímera que crea esta API en diferentes contextos. Lukasz Olejnik, uno de los investigadores del estudio del año pasado, especula en su blog con la posibilidad de que haya empresas que estén analizando la posibilidad de monetizar el acceso a los niveles de batería de los usuarios.
El que estos datos hayan salido a la luz ya ha causado varias reacciones. En primer lugar Mozilla, cuyo navegador Firefox es uno de los más vulnerables al utilizarse en Linux, ha lanzado un fix para tratar de parchear el problema. La W3C también ha avisado del problema en su web, aunque una vez descubierto qué se puede hacer con la API es posible que vayan saliendo nuevos métodos para aprovecharse de ella.
Vía | Lukasz Olejnik
Imágenes | Martin Abegglen y slavik_V
En Xataka | Así te pueden espíar y grabar conversaciones a través del micrófono de tu smartphone
Ver 11 comentarios
11 comentarios
whisper5
Cuando leí esta noticia en varios sitios web me dio la sensación de que no estaba bien planteada. Tal como se ha dado la noticia parece que es algo nuevo y que ahora es posible algo que previamente no lo era. No es así. Identificar, en mayor o menor medida, a un usuario de un navegador se viene haciendo desde hace tiempo y se denomina (en inglés) 'browser fingerprinting', que se podría traducir como obtener la huella dactilar de nuestro navegador.
Que a toda la gran cantidad de información que identifica nuestro navegador (su versión, versión del sistema operativo, resolución de pantalla, zona horaria, idioma del navegador, etc.) se añada ahora la información de la batería es interesante, pero no deja de ser un dato más.
Recomiendo la página de Electronic Frontier Foundation para conocer la información que revela nuestro navegador: https://panopticlick.eff.org/
kilek
Que pedazo de diseño tenia el Lumia 800, ojalá lo plagiaran
endinyat
"Firefox es uno de los más vulnerables al utilizarse en Linux"
¿Qué quiere decir esta frase? ¿Que Firefox es más vulnerable en Linux que en Windows/MacOS? ¿Que los demás navegadores no se utilizan apenas en Linux? ¿Que en Windows/MacOS da menos información de la batería?
fenris123
Dado que hay 14 millones de combinaciones, y que el numero de moviles es solo en españa, era de 23 millones de usuarios activos hace mas de un año, (eso solo en españa), estos datos NO sirven para identificar a un usuario. Ya que estadisticamente habra mas de un movil con el mismo numero. Y eso solo tomando el numero de moviles de España. Si tenemos en cuenta el numero de moviles de hispanohablantes (para webs en español), ese numero se dispara, y ni te digo para el numero de moviles que pueden visitar webs en ingles. ¿cuantos millones de moviles hay en el mundo? Si hubiese 1400 millones de moviles (cifra que es razonable) significa que habra 1000 moviles, cada uno de su padre y de su madre, con el mismo numero. Y dado que solo hace referencia a la bateria, sin ningun otro dato mas, no podemos saber cual de ellos es.
ilwp
Que cosas tiene la vida.
Recuerdo que cuando salio el lumia 800 y el 900 algunas de las lindezas que se contaban por estos lares, es que solo se podia usar internet explorer y que este no era demasiado compatible con HTML5.
Añadiendo entre los expertos habituales que como siempre microsoft no quería adoptar los estándares y bla bla bla. Todo negativo.
Ahora y después de cierto tiempo en una web donde No se acuerdan de windows phone para nada, ponen una imagen de portada de un windows phone asociado a una noticia de falta de seguridad por cumplir estándares HTML5.
Que cosas tiene la vida.
Busquen en esta web fotos de portada de un windows phone que no sean de noticias generalistas y positivas. A ver si son capaces.
Ni en las de fotografía donde suelen salir vencedores.
Cosas de la vida.