Pegasus o la normalització del control (peça ficcionada)

Una histò­ria molt quoti­di­ana

La Nicàs­sia i en Josep Manel són mare i fill. Una mare i un fill que, com totes, fan servir els seus mòbils durant el seu dia a dia. Quan en Josep Manel va comen­çar a tenir mòbil (i a sortir amb els seus amics, i a buscar noves afici­ons) la Nicàs­sia es va preo­cu­par. Què passava entre ell i aque­lla panta­lla? Què llegia o què mirava, quines noves conei­xen­ces feia?

Fruit d’aquesta preo­cu­pa­ció, Nicàs­sia va instal·­lar un programa de control paren­tal al mòbil del Josep Manel. Sabia quines webs mirava, amb qui parlava, on anava… Us sona? Quina mena de rela­ció fomenta Nicàs­sia amb el seu fill?

Podem empa­tit­zar amb la preo­cu­pa­ció d’una mare que vol prote­gir els seus éssers esti­mats, però els meca­nis­mes de control digi­tal no ens ajuden a cons­truir una rela­ció sana. Al contrari, esta­blei­xen un vincle de descon­fi­ança, tant entre ells com cap a la tecno­lo­gia. En Josep Manel, cons­ci­ent d’aquest control, s’au­to­cen­su­rava en la seva vida digi­tal. Aquesta tensió li gene­rava ansi­e­tat, i buscava meca­nis­mes per fugir d’aquesta sobre­pro­tec­ció.

La vigi­làn­cia com a meca­nisme esta­tal

Canviem el nom de Nicàs­sia pel de qual­se­vol govern i el de Josep Manel pel dels seus ciuta­dans. Els meca­nis­mes de control digi­tal de la pobla­ció estan regu­lats i només es poden fer servir en casos auto­rit­zats. Parlem de progra­mari sofis­ti­cat, que només poden fer servir estats en casos de segu­re­tat. Tenim un marc legal que, com a ciuta­da­nes amb presèn­cia digi­tal, ens prote­geix de l’ex­trac­ció de les nostres dades (GDPR), com de possi­bles acci­ons poc líci­tes de les grans plata­for­mes (Llei de Serveis Digi­tals).

Amb tot, aquest marc no ens prote­geix d’ac­ci­ons de vigi­làn­cia, com hem pogut veure recent­ment amb l’ús del progra­mari Pega­sus de l’em­presa isra­e­li­ana d’es­pi­o­natge NSO Group cap a membres del govern català i perso­nes prope­res. L’es­càn­dol polí­tic que ha gene­rat aquest cas posa sobre la taula una pràc­tica dels estats per vigi­lar les pròpies fron­te­res inter­nes, per mante­nir un equi­li­bri social tran­quil. És un cas d’es­pi­o­natge diri­git, que té un cost molt alt i que afecta tant a les figu­res públi­ques com a tota la seva xarxa de contac­tes i rela­ci­ons.

També tenim altres meca­nis­mes d’es­pi­o­natge més barat, però amb les matei­xes preten­si­ons de control social. L’es­pi­o­natge massiu, execu­tat tant pels governs com per les grans compa­nyies tecno­lò­gi­ques es realitza a través del control de l’ac­ti­vi­tat dels dispo­si­tius mòbils. Des de l’any 2006 no podem comprar una targeta mòbil sense vincu­lar-la a un número d’iden­ti­fi­ca­ció perso­nal i, tot i que el Tribu­nal Euro­peu de Drets Humans va decla­rar aquesta direc­tiva il·le­gal, pocs estats n’han reti­rat la seva apli­ca­ció.

Aquesta estra­tè­gia d’es­pi­o­natge massiu comporta desar, durant un mínim de dos anys, totes les dades reco­lli­des a través de la conne­xió dels nostres dispo­si­tius mòbils: ubica­ció (des d’on ens connec­tem), xarxa de contac­tes (a qui truquem o amb qui contac­tem) o què fem (quines apli­ca­ci­ons o serveis utilit­zem). Aquesta gran base de dades recull infor­ma­ció de totes nosal­tres, i la manté llesta per fer servir en el moment que es consi­deri oportú.

Què podem fer? Estra­tè­gies davant la norma­lit­za­ció del control

Davant d’aquest esce­nari orwel·­lià de control, apos­tem per estra­tè­gies d’au­to­de­fensa digi­tal, que sovint compor­ten un empo­de­ra­ment i apre­nen­tatge tecno­lò­gic.

Primer, cuidar la nostra xarxa de contac­tes. Fer servir apps de missat­ge­ria segu­res per comu­ni­car-nos i fer servir els serveis de trucada que aques­tes ens oferei­xen són dues bones estra­tè­gies per prote­gir la infor­ma­ció d’amb qui estàs parlant.

També és crucial confiar en les nostres tecno­lo­gies. Apos­tar per prove­ï­do­res de serveis d’In­ter­net o de produc­tes tecno­lò­gics que ens gene­rin confi­ança. Confiem en totes les apli­ca­ci­ons que tenim en el nostre dispo­si­tiu mòbil? Sabem real­ment què és el que fan? L’aposta pel progra­mari lliure i de codi obert és clau. Una bona manera d’as­se­gu­rar-nos que les nostres apps són de confi­ança és instal·­lar-les a través d’F-Droid.

Els progra­mes espia (Pega­sus, o altres menys famo­sos) fan servir els forats de segu­re­tat dels siste­mes dels nostres mòbils per poder instal·­lar els seus meca­nis­mes de segui­ment i control. Mante­nir el mòbil actu­a­lit­zat és clau per anar-los elimi­nant a mesura que es vagin detec­tant. Però els forats de segu­re­tat buscats, les portes del darrere instal·­la­des a través d’apps preins­tal·­la­des, són més difí­cils d’eli­mi­nar. Roote­jar el nostre mòbil (o fer-ne jail­break) i instal·­lar-nos siste­mes opera­tius mòbils més segurs és la manera que tindrem de saltar-nos les limi­ta­ci­ons impo­sa­des pels fabri­cants de mòbils i pren­dre el control (ser admi­nis­tra­do­res) dels nostres dispo­si­tius de butxaca.

Aques­tes són acci­ons preven­ti­ves. Però, què podem fer si sospi­tem d’al­guna app espia al nostre mòbil? Aques­tes són algu­nes de les reco­ma­na­ci­ons, que ens perme­ten detec­tar progra­mari espia menys o més sofis­ti­cat:

• Revisa les apli­ca­ci­ons que tens instal·­la­des. Hi ha alguna apli­ca­ció aparent­ment senzi­lla, però que esti­gui fent servir molts permi­sos?
• ISDi és una eina d’anà­lisi de progra­mari de dispo­si­tius Android i iOS basada en un llis­tat de progra­mari espia cone­gut. Funci­ona en Linux i MacOS i un cop instal·­lada és força intu­ï­tiva de fer servir.
• Amnis­tia Inter­na­ci­o­nal, en la col·­la­bo­ra­ció amb Citi­zen­Lab, ha desen­vo­lu­pat un programa de detec­ció de progra­mari espia, entre elles detecta Pega­sus. MVT funci­ona en dispo­si­tius Android i iOS, ens permet revi­sar si les dife­rents apli­ca­ci­ons instal·­la­des, visi­bles o no, es consi­de­ren progra­mari espia. Funci­ona sobre línia d’or­dres i neces­si­tem haver instal·­lat prèvi­a­ment Python.

Aques­tes són eines d’anà­lisi forense de dispo­si­tius mòbils. Poden donar-nos infor­ma­ció útil, però en cas de sospi­tar d’es­tar patint una vulne­ra­ció dels teus drets digi­tals, posa’t en contacte amb el teu col·­lec­tiu hack­ti­vista de confi­ança!

Durant la sessió Pega­sus o la norma­lit­za­ció del control, feta el 10 de maig del 2022 al Canò­drom, es va compar­tir infor­ma­ció i docu­men­ta­ció. Aquí podreu trobar el manual d’ins­tal·­la­ció de les eines treba­lla­des i també la presen­ta­ció amb tots els enlla­ços comen­tats.

Taller fet per dones­tech al Canò­drom