Apple y Samsung resisten las últimas demandas del gobierno indio

El gobierno indio ha propuesto una importante revisión de los requisitos de seguridad de los teléfonos inteligentes bajo los "Requisitos de Seguridad de Telecomunicaciones de la India". Esto incluye un paquete de 83 estándares de seguridad que supuestamente mejorarán la protección de datos de los usuarios ante el aumento del fraude en línea y las ciberamenazas en el enorme mercado de teléfonos inteligentes del país. 

Los gigantes tecnológicos como Apple y Samsung se oponen al movimiento, alegando que el paquete carece de cualquier precedente global y podría revelar detalles propietarios y secretos comerciales, especialmente el código fuente, algo que Apple protege ferozmente y ha resistido compartir en el pasado con países como EE. UU. y China. 

Sin embargo, el país afirma que las demandas son parte de la estrategia más amplia del Primer Ministro Narendra Modi para fortalecer la ciberseguridad en la India, que es el segundo mercado de teléfonos inteligentes más grande del mundo.

El gobierno de India exige requisitos a los fabricantes de teléfonos

A continuación se presenta una lista de algunos de los requisitos de seguridad que India propone a los fabricantes de smartphones como Apple y Samsung, lo que ha provocado una oposición tras bambalinas por parte de las empresas tecnológicas.

• Divulgación del código fuente: se obliga a los fabricantes no solo a realizar pruebas, sino también a proporcionar el código fuente propietario para su revisión por laboratorios designados por el gobierno, con el objetivo esperado de identificar vulnerabilidades en los sistemas operativos de los teléfonos que podrían ser explotadas por atacantes.
• Restricciones de permisos en segundo plano: se limita el acceso de las aplicaciones a cámaras, micrófonos o servicios de ubicación en segundo plano mientras los teléfonos están inactivos, y cuando esos permisos están activos, se requiere una notificación continua en la barra de estado. 
• Alertas de revisión de permisos: exigen que los dispositivos muestren periódicamente advertencias que insten a los usuarios a revisar todos los permisos de las aplicaciones, con notificaciones continuas.
• Retención de registros durante un año: requiere que los dispositivos almacenen registros de auditoría de seguridad, incluidas las instalaciones de aplicaciones y los registros del sistema, durante hasta 12 meses.
• Escaneo periódico de malware: los teléfonos deben escanear periódicamente la presencia de malware e identificar cualquier aplicación potencialmente dañina.
• Opción para eliminar aplicaciones preinstaladas que vienen empaquetadas con el sistema operativo del teléfono, excepto aquellas esenciales para las funciones básicas del teléfono. 
• Informar a una organización gubernamental antes de lanzar cualquier actualización importante o parche de seguridad.
• Advertencias de detección de manipulaciones: detectan cuándo los teléfonos han sido «rooteados» o «jailbreaked», y muestran banners de advertencia continuos para recomendar medidas correctivas.
• Protección contra retrocesos: bloquea permanentemente la instalación de versiones de software más antiguas, incluso si están firmadas oficialmente por el fabricante, para evitar downgrades de seguridad.

Qué opinan las empresas tecnológicas sobre los requisitos 

El Gobierno de la India ha defendido los requisitos de seguridad alegando que tienen como objetivo proteger a sus ciudadanos, una medida que se alinea con el impulso de seguridad de datos de Narendra Modi. Sin embargo, grandes actores como Samsung, Apple, Xiaomi y Google, representados por MAIT, el grupo industrial indio que representa a estas empresas, han expresado su oposición, especialmente en lo que respecta al intercambio de código fuente. 

«Esto no es posible… debido al secreto y la privacidad», MAIT, el grupo que representa a los fabricantes de smartphones, dijo en un documento confidencial redactado en respuesta a la propuesta del gobierno. «Los países principales de la UE, América del Norte, Australia y África no exigen estos requisitos.»

Afirman que tampoco existe una forma fiable de detectar teléfonos con jailbreak o evitar las manipulaciones, diciendo que la protección contra retrocesos carece de estándares, y que muchas aplicaciones preinstaladas deben mantenerse tal como están porque son componentes críticos del sistema. 

Según una fuente con conocimiento directo, MAIT habría pedido al ministerio que retire la propuesta. Los documentos de la firma también indican que el escaneo regular de malware drenaría significativamente la batería del teléfono y que es «impráctico» buscar la aprobación gubernamental para las actualizaciones de software, ya que estas deben ser correcciones oportunas. 

En cuanto a los registros de teléfono que el gobierno ha solicitado almacenar durante al menos 12 meses en los dispositivos, MAIT afirma que la mayoría de los dispositivos carecen de la capacidad para almacenar dichos registros, lo que convierte esta solicitud en imposible de cumplir. 

En respuesta a los puntos planteados por MAIT, el Secretario de Tecnología de la Información, S. Krishnan, afirmó que cualquier preocupación legítima de la industria se abordará con mente abierta, añadiendo que era «prematureo leer más en ello».

Mientras tanto, un portavoz del ministerio se negó a comentar más, alegando que la consulta estaba en curso con las empresas tecnológicas sobre las propuestas.