«Trust and safety» en Vergecast

En los últimos meses el Vergecast se ha convertido en uno de mis podcasts de referencia en cuanto a tecnología. Dedican un episodio a la semana repasar la actualidad tecnológica y es extremadamente recomendable. Cada semana hay un segundo episodio en el que Nilay Patel (un tipo con mucho criterio) entrevista a una figura relevante de la industria. Con la cercanía de las elecciones estadounidenses del año que viene la intersección de política y tecnología, un tema absolutamente inevitable en la actualidad. La semana pasada entrevistaba a Alex Stamos, actualmente director del Observatorio de Internet de la Universidad de Stanford y ex «chief security officer» en Facebook y, antes de eso, en Yahoo. La entrevista es muy interesante y gira en gran parte alrededor del concepto de «trust and safety» del título de la entrada, que es el nombre del equipo de Facebook que tiene la muy poco envidiable misión de prevenir, detectar y atajar los abusos que se dan en su plataforma. El tema es de una importancia vital. Tanto como para tomar apuntes. Y aquí abajo van mis apuntes. Absolutamente parciales y sesgados, pero ahí los dejo (y que quede claro que mis apuntes y mis opiniones no tienen por qué tener mucho en común, aun a pesar del sesgo). Espero que sirvan de acicate como para dedicarle el tiempo a bajarse el podcast y escucharlo.

Sobre las «meme wars» en las elecciones: la responsabilidad es de las plataformas tecnológicas y estas han tomado medidas. En 2016 este trabajo no correspondía a nadie y ahora es una amenaza que se tiene en cuenta en Google, Twitter y Facebook.

Todo lo que los rusos hicieron en Estados Unidos en 2016 lo habían hecho durante mucho tiempo en Ucrania.


El movimiento de Facebook hacia una plataforma más privada plantea preguntas fascinantes sobre lo que queremos de las redes sociales. Si se mueven hacia mensajería de grupos con menos amplificación, se reduce la amplificación «uno-a-muchísimos» de cuentas sociales con muchísimos seguidores de 2016. Pero la comunicación en chats privados se vuelve invisible.

Cuando das privacidad a todo el mundo también se la das a «los malos». A la larga, eso es bueno para las redes sociales porque reduce su responsabilidad, pero el daño puede continuar sucediendo.

En las elecciones en India tanto el partido en el poder como la oposición tenías sus granjas de «trolls». En lugar de lanzar un mensaje a un millón de personas, decenas de miles de personas reenviaron sus mensajes a sus amigos. La misma amplificación con algo más de trabajo y mucho más difícil de estudiar por el cifrado. El movimiento hacia el cifrado es en general positivo pero tiene sus efectos secundarios.

Opciones para parar este tipo de mensajes sin romper el cifrado de extremo a extremo sin puertas traseras. Por ejemplo, procesar el mensaje en el dispositivo antes de ser cifrado y enviado y al menos alertar al remitente, de manera respetuosa con la privacidad y la libertad del usuario. O reconocer imágenes en el dispositivo del receptor del mensaje y alertar del potencial contenido de la imagen antes de mostrarla. Las compañías adquirirían un papel más paternalista, con los problemas que esto puede suponer.

Hay una componente cínica en el cifrar las comunicaciones. A las plataformas se les pide cifrado y que no sepan qué se dicen sus usuarios y, a la vez, que protejan a esos mismos usuarios. Ambas cosas son incompatibles. Facebook, históricamente, ha intentado situarse en una posición intermedia y no ha funcionado: se les puede criticar desde los dos lados y ahora Zuck ha decidido lanzarse hacia uno de los extremos con la privacidad y el cifrado, reduciendo la moderación de contenido, que le era un problema, porque una vez que comienzas a moderar se abre un problema sin fin.

Como sociedad no hemos decidido el punto hasta el que queremos mantener segura a la gente en línea y cuánto queremos controlas sus acciones para tal efecto y quién se encarga de ello.

Se oyen voces pro control del discurso con un volumen que nunca habíamos oído en la era «pre tech». Lo que ha hecho el sector tecnológico es permitir conversaciones sobre ese control del discurso que no habrían sido aceptables en los doscientos años anteriores.

¿Las reglas se van a elaborar de manera democrática o las elaborarán actores privados? En el entorno estadounidense el gobierno no puede encargarse gracias a / por culpa de la primera enmienda. Todos los demás gobiernos angloparlantes están considerando regulaciones del discurso en línea ridículas. Australia se ha adelantado pero en el Reino Unido se están gestando cosas. Facebook no puede considerar principalmente el caso estadounidense por la distribución de sus usuarios. Y globalmente lo que pasa es más legislación pro privacidad como la RGPD.


El entrevistador pregunta si tendría sentido ofrecer el equipo de «trust and safety» como servicio «à la AWS» para start ups para poner estos servicios al alcance de compañías que no tienen la escala de Facebook («trust and safety» sería el equipo encargado de mitigar los abusos en línea en una plataforma, y es bastante diferente de lo que se considera tradicionalmente «seguridad»). Esto permitiría que surgiesen nuevas redes sociales sin tener que desarrollar un equipo encargado de estos problemas, algo potencialmente imposible. Según Stamos esto es algo que actualmente solo se puede aprender desde el rol de aprendiz en el equipo de una empresa como Facebook. Como el equipo antifraude de Paypal, son cosas que no se pueden aprender en un entorno académico tradicional. Es racional esperar que esto se convierta en una industria de la misma manera que AWS convirtió su experiencia en una industria. Twitter sería la frontera: por debajo de su escala no puedes atacar estos problemas sin subcontratar. Y, por ejemplo, en Alemania ya ha surgido alguna empresa dedicada asesorar sobre el cumplimiento de la legislación del país.

A los responsables de producto se les mide por el crecimiento, y no por si han generado una enorme cantidad de riesgo al hacer crecer su producto.

Quizá debería mirarse a la industria financiera post crisis de 2008 y su gestión del riesgo y cómo se ha llevado esa responsabilidad hacia los responsables de los productos.

Es razonable que una empresa pequeña no tenga un responsable de «trust and safety», pero es necesario que la gente de producto y de ingeniería sean conscientes de los temas asociados. Estas cosas deben considerarse y tratarse desde el inicio, no mitigarse como se pueda (o no) a posteriori. Son temas mucho más difíciles de predecir y anticipar que los tradicionales de seguridad porque son muco más específicos del funcionamiento del producto, los usuarios y sus costumbres. Va a haber más trabajo en detección y respuesta que en prevención. Pero eso no significa que no se deba anticipar y prever la necesidad. No deberías enterarte de los problemas de tu producto o servicio por la prensa.


Uno de los grandes problemas de Twitter es que es muy difícil definir qué es una cuenta falsa, dado que es perfectamente razonable que una cuenta sea anónima. En su defensa debe decirse que son mucho más transparentes con sus acciones que Facebook y Google (siendo Google la menos transparente con diferencia). Si se habla del problema chino en particular, también hay que tener en cuenta que tanto Facebook como Twitter han abandonado la esperanza de tener una buena posición en el mercado chino, mientras que Google lo está intentando con ahínco. Facebook ha añadido más recursos humanos al problema de la moderación que el total de trabajadores de Twitter.

La posición de YouTube es extremadamente opaca y la menos razonada. El poder del algoritmo de recomendación de YouTube es el mayor de todos y, por tanto, también lo debería ser su responsabilidad.

La solución de todos estos problemas pasa por los usuarios, en cualquier caso. La centralización de los medios de información del siglo XX (y los sistemas anteriores) se ha acabado. Cada vez que ha habido un cambio en esa organización la sociedad se ha tomado un tiempo en interiorizar el nuevo status quo y ha pasado por un pánico moral, y es natural que a nosotros nos toque lo mismo. Eso no elimina la responsabilidad de las empresas pero al final les toca a los individuos. La ruptura del oligopolio de la información tiene muchísimos efectos beneficiosos, pero también los negativos y en consecuencia nos exige más responsabilidad. Los trabajos académicos sobre el campo apuntan a que las nuevas generaciones son algo menos vulnerables a fenómenos como las fake news y por tanto hay espacio para el optimismo y suponer que estamos en el proceso de interiorización del cambio.

En cualquier caso, empresas como Facebook y Twitter han pasado a tener poderes casi de estado, pero sin la «accountability» y la necesidad de transparencia. En Estados Unidos, dada la primera enmienda, deben ocuparse de los problemas de los límites del discurso, y eso plantea una serie de problemas de muy difícil solución. Facebook toma más decisiones de moderación de contenidos en una hora que todo el sistema judicial federal de Estados Unidos en un año.

Comprueba el estado de tu privacidad online con Privacyfix

A través de este artículo de Ars Technica me entero de la existencia de Privacyfix, una extensión para Firefox y/o Chrome que analiza tu historial de navegador y las cookies que tienes y te hace un informe de cómo está tu privacidad en la red…

El informe comienza con los dos grandes «cocos» de la red, Facebook…

Captura de pantalla de la información de privacidad de Facebook que obtiene Privacyfix. Afirma que Facebook recibe información del 90% de páginas que visito y que mi valor estimado para Facebook es de 42 céntimos de dólar
Ese 90% da bastante miedo, pero si todos los usuarios de Facebook tuviesen la misma valoración que yo, me da a mí que no habrian llegado a donde están

…y Google…

Captura de pantalla de la información sobre Google que obtenemos de Privacyfix. Según Privacyfix Google obtiene información del 46% de páginas que visito, y valgo para ellos casi 190 dólares anuales
Me siguen mucho menos, pero valgo muchísimo más para ellos. Será (es) que no paso mucho tiempo en Facebook…

Cada cual es, desde luego, libre de hacer caso de las advertencias y sugerencias que te hace la aplicación (en mi caso, se van a quedar así, entre otros motivos porque, puestos a ver anuncios, prefiero que tengan algo que ver con mis intereses). Las estimaciones del valor que tienes tanto para Google como para Facebook deberían consumirse con unas gotas de sano escepticismo. La cosa, eso sí, no se detiene ahí. El siguiente paso es un informe de los sitios que han recopilado algún tipo de información sobre ti:

Captura de pantalla de los sitios web que me están monitorizando
No son pocos, los sitios que tienen algún tipo de información sobre mí…

Pasando por encima de cada «favicon» Privacyfix nos informa de cuáles son las políticas de cada sitio:

Captura de pantalla en la que se muestra cuáles son las políticas de un sitio en concreto
Como podéis ver, siendo estrictos casi nadie está absolutamente libre de pecado (aunque si de alguien te puedes fiar en la web es de Mozilla, la verdad)

Finalmente, Privacyfix te hace un listado de las compañías que acumulan la información recogida por los sitios web que visitas:

Listado de las empresas citadas en el texto
Apenas una docena (larga) de docenas…

De nuevo, pasando sobre cada «favicon» obtenemos información adicional:

Información específica de uno de los recolectores de información
Google tiene, como anunciante, la nota máxima en cuanto al tratamiento de la privacidad… algo que no puede decirse de la mayoría de compañías que saben algo de mí.

Resumiendo, Privacyfix es una de esas herramientas que, por un lado, uno debería instalarse para ser consciente de cómo está la cosa y, por otro, copncienciar a amigos y conocidos de lo mismo, a poder ser sin caer en alarmismos innecesarios (que con lo que realmente hay ya basta).

Las ‘moscas’ de las redes sociales, una manera más de recopilar información sobre ti…

El tema implícito de la entrada de ayer era, desde luego, que en una web movida por el dinero de la publicidad, todo el mundo quiere conocer tus hábitos tan bien como sea posible. No hace falta ponerse conspiranoico (el que desee hacerlo, que no se corte, por favor): se trata de conocerte mejor para mostrarte anuncios en los que hagas clic y, a poder ser, de entre todos los posibles, el que reporte más beneficios al editor. Eso tiene puntos buenos (al fin y al cabo, a mí los anuncios de coches no me llaman mucho, por ejemplo) y malos (no me gusta tener al gran hermano mirando por encima del hombro). La cosa, no nos engañemos, está aún bastante lejos de ser perfecta (cierta empresa publicitaria sigue mostrándome, día sí día también, anuncios de un monitor que me gusta muchísimo… tanto que me lo compré la semana pasada, algo que reduce considerablemente la probabilidad de que me compre otro igual a corto plazo, y por tanto también reduce la efectividad de la publicidad).

La tentación de conocerte mejor lleva, en muchos casos, a hacer olvidar cosas como que empeoras un poco la experiencia web de tus usuarios o a estirar como un chicle cualquiera tanto la ética como, en algunos casos, las legislaciones de privacidad y protección de datos.

Si ayer hablábamos de los acortadores (t.co, el de Twitter, sobre todo, aunque todos pecan de lo mismo, y los de Google y Facebook son también especialmente preocupantes), hoy hablamos de las ‘moscas’ de las redes sociales. En especial de los ‘me gusta’ de Facebook, aunque mucho de lo que digamos sirve tanto para los +1 de Google como para los ‘sígueme’ de Twitter.

Debería ser ya del dominio público que cada vez que visitas una web dejas un rastro en ella. Quizá sea algo menos conocido que si esa web incluye recursos que provienen de otro servidor web (pongamos por caso, el botón ‘me gusta’ de Facebook), también dejas un pequeño rastro en ese otro servidor (básicamente, la dirección IP desde la que has visitado la página). La cuestión es que si además de enlazar un recurso estático (una imagen) cargas un ‘script’ (cosa que hacen los ‘me gusta’, ‘+1’ y ‘sígueme’ mencionados, por ejemplo), la potencia del asunto crece exponencialmente. Porque ese segundo servidor (si te tiene fichado previamente de alguna forma) sabe quién eres y, por tanto, puede ofrecerte un montón de funcionalidades útiles. Claro que también quiere decir que sabe automáticamente quién eres y por tanto puede guardar algo más de información sobre ti, lo desees o no: «tú, Pepe Usuario, has estado en talsitio.com hoy».

En muchos países (todos los de la Unión Europea, entre ellos) existen leyes sobre la prestación de servicios en internet y sobre qué datos se pueden recoger y almacenar y qué derechos deben ofrecerse a las personas afectadas (aunque muy poca gente lo sabe y lo hace, casi todas las webs deberían tener algo parecido a obm.corcoles.net/acerca-de-contacto/#privacidad (aunque no puedo asegurar que lo que pone sea exactamente lo que debe poner: uno es bienintencionado pero lego en la materia :-S)).

El principal problema que suponen estas moscas (o las cookies’ de publicidad, desde luego) es que son una amenaza oculta para muchísimos usuarios: para poder hacer valer tus derechos de privacidad, deberías saber, en primer lugar, quién está recopilando esa información. Algo que, hoy por hoy, está más allá de la capacidad del usuario medio, que es un ser bastante poco educado en estos aspectos (seguramente, más allá del usuario del percentil 90, de hecho).

Esta entrada viene a cuento (además de la voluntad de informar a los pocos lectores habituales de este sitio que no supieran todo lo dicho hasta ahora, si es que hay alguno) de una noticia de la que ese hace eco Jamie Zawinski en Surprise! Facebook doesn’t like privacy countermeasures. En resumen: sitio alemán incorpora botón ‘me gusta’, pero sin incluir los recursos de Facebook (y por tanto, sin que Fb pueda monitorizar tanto a sus usuarios, a no ser que hagan clic en el botón); Facebook inmediatamente les dice que están violando los términos de servicio y que, o enlazan los recursos oficiales o quitan los ‘me gusta’.

Antes de encender la sirena conspiranoica, hay que tener en cuenta de que hay motivos lícitos e incluso encomiables para que Facebook actúe así: si permiten a cualquiera usar su imagen gráfica y recursos sin generarlos ellos mismos, el agujero de seguridad es enorme, y las posibilidades de acciones maliciosas, casi infinitas. Claro está que en este caso es un reputado sitio de noticias tecnológicas y, por tanto, no debería suponer ese riesgo… Aún podemos pensar que en Facebook, sencillamente, quieren simplificar y tener una única política universal pero, de todas formas, la pregunta está clara: ¿están recopilando mi información? ¿Puedo acceder a ella y retirarla? (Lo mismo vale, naturalmente, para Google y Twitter, desde luego.)

Se trata, admitámoslo, de un problema de difícil solución: si cada vez que visitamos un sitio web este tiene que informarnos de todos los recursos ajenos que usa, la vida en la web se volvería insoportable. Y prácticamente cualquier iniciativa que provenga del poder legislativo va a ser de ese estilo (sin olvidar que cada estado iba a imponer una norma ligeramente diferente y generar un escenario diabólicamente complicado, o que legislación e innovación no suelen ser los mejores amigos). Creo, honestamente, que esto sólo se resuelve mínimamente a partir de una industria que decide acordar unos mínimos éticos, declararlos públicamente y respetarlos, por un lado, educando al usuario, por otro, y dándole herramientas (en el navegador, seguramente; véase la opinión al respecto, de Mitchell Baker, en Mosaic y hasta en este mismo blog) para informarle y permitirle ejercer sus derechos. Pero mientras tanto, vamos a tener que mantenernos vigilantes…

+1: Google se ‘feisbuquifiza’ más…

Captura de pantalla. La herramienta Google +1 pide permiso para usar mis recomendaciones en
Va a ser que no...

Qué poco me gusta ‘+1’, el último lanzamiento de Google…

De entre las cosas que no me gustan de Facebook destaca el uso indiscriminado del ‘me gusta’. Me horroriza acceder a una web y ver cómo me saluda la cara de alguno de mis «amigos» porque en algún momento le dio al ¿inocuo? botoncito ‘me gusta’ de marras…

Pero debe ser (lo es, seguro) bueno para la cuenta de resultados, porque Google lo acaba de calcar, como anuncian en su blog. Lo llaman ‘+1’, pero es exactamente lo mismo: haz clic una vez, usaremos públicamente esa información en nuestro beneficio en todo tu grafo social.

Captura de pantalla que muestra cómo queda el botón '+1' en un resuyltado de búsqueda. En este caso, los resultados son este blog y páginas asociadas
De hecho, dudo que haga clic ni siquiera en mis webs...

Google, como siempre, es bastante más cuidadosa que Facebook al lanzar algo así: lo va a comenzar a lanzar poco a poco con usuarios radicados en Estados Unidos y que usan el inglés como lengua del interfaz (aunque, como podréis deducir de la captura, basta con tener la interfaz en inglés para poderlo activar en google.com/experimental). Y tanto la página de presentación del servicio como la que contiene la política de privacidad son bastante informativas, además de ser, de momento, un programa ‘opt in’.

Aún así, me parece una pésima idea, especialmente porque, si nada lo impide, dentro de poco estará disponible para todos los usuarios (con perfil Google) en todos los resultados de búsqueda y, tarde o temprano, alguien se va a hacer daño con esto.

Verifica tu privacidad en Facebook

No sé si algún día llegará el Chernobyl de la privacidad con Facebook pero la cosa se está poniendo caliente. Recursos como Openbook dejan bien a las claras que existen ingentes cantidades de usuarios de Facebook que no saben quién lee sus status y los usan para insultar a propios y extraños, declarar su odio por sus trabajos y jefes y gritar cómo acaban de copiar en un examen… Que probablemente haya motivos para hacerlo, pero no creo que sea una buena política de comunicación.

Uno de los problemas (probablemente el más grave, aunque ni de lejos el único) es que como contaba el New York Times en forma de infográfico, las opciones para comprobar la privacidad de Facebook han pasado de la relativa simplicidad de sus orígenes a ser un auténtico laberinto en el que saber qué compartes con quién es una odisea digna de Kafka…

Es por ello que es especialmente importante la existencia de herramientas como el ‘bookmarklet’ que nos da ReclaimPrivacy.org. Su uso es sencillo: basta arrastrar el enlace Scan for Privacy a la barra de favoritos del navegador, entrar a Facebook y hacer clic en el enlace que acabamos de arrastrar. El ‘bookmarklet’ escaneará nuestros ‘settings’ a la caza y captura de posibles agujeros y nos mostrará un diagnóstico. La cosa no es trivial: yo tenía un par de agujeros que preferiría haber subsanado antes….

Captura de pantalla del escáner de privacidad comentado en el texto. Muestra dos agujeros importantes
El amarillo no es especialmente grave, pero esos dos rojos ya no tienen ese color...

Nota importante: ahora mismo el ‘Opt-out’ para el ‘Instant Personalization’ (que es el que comparte mucha de tu información personal con muchos sitios web cuando los visitas, aunque no sea desde Facebook) no funciona correctamente. Pero es sencillo arreglarlo a mano: si tenéis el mismo problema, basta con hacer clic en el enlace ‘Instant Personalization’ que os aparecerá; accederéis a una página en la que lo podréis desactivar (tras aceptar un texto en que os dirán cómo desactivarlo hará que Ariel deje de lavar tan blanco).

Para cerrar, un par de ‘rants’ de Danah Boyd sobre el tema, muy recomendables: Facebook and “radical transparency” (a rant) y Facebook is a utility; utilities get regulated.