211service.com
La Ley de Software Puro de 2006
El software espía es el flagelo de la informática de escritorio. Sí, los gusanos y virus informáticos causan miles de millones de dólares en daños cada año. Pero los programas de software espía que registran sus acciones para su posterior recuperación o que informan automáticamente sobre sus acciones a través de Internet combinan el comercio y el engaño de formas que la mayoría de nosotros consideramos moralmente repugnantes.
Los gusanos y los virus obviamente no traman nada bueno: estos programas están escritos por malhechores y se lanzan a la naturaleza con el único propósito de causar estragos. Pero la mayoría del software espía está creado por empresas que respetan la ley, que engañan a las personas para que instalen los programas en sus propias computadoras. Algunos programas espía también se venden con el propósito explícito de ayudar a los cónyuges a espiar a sus parejas, a los padres a espiar a sus hijos ya los empleadores a espiar a sus trabajadores. Estos programas hacen que las computadoras traicionen la confianza de sus usuarios.
Hasta ahora, la industria informática se ha centrado en los medios técnicos para controlar la plaga del software espía. Los programas de búsqueda y destrucción, como Ad-Aware, escanearán su computadora en busca de software espía conocido, cookies de seguimiento y otros elementos que puedan comprometer su privacidad. Una vez identificados, los elementos infractores pueden ponerse en cuarentena o destruirse. Los programas de firewall como ZoneAlarm adoptan un enfoque diferente: no impiden que el software espía recopile datos, pero evitan que los programas transmitan su información personal a través de Internet.
Pero hay otra forma de combatir el software espía, un enfoque que funcionaría porque los autores son organizaciones legítimas. El Congreso podría aprobar una legislación que requiera que el software distribuido en los Estados Unidos venga con etiquetas de productos que revelen a los consumidores funciones específicas integradas en los programas. Tal legislación probablemente tendría el mismo tipo de resultados favorables al consumidor que la Ley de Alimentos y Medicamentos Puros de 1906, la legislación que es responsable de las etiquetas actuales de alimentos y medicamentos.
El arte del engaño
El etiquetado obligatorio del software es una buena idea porque el problema fundamental con el software espía no es la recopilación de datos en sí, sino el acto de engañar. De hecho, muchas de las cosas que hace el software espía también las realizan programas que no lo son. La barra de herramientas de Google para Internet Explorer, por ejemplo, informa a Google qué sitio web está viendo para que la barra de herramientas pueda mostrar la clasificación de la página del sitio. Pero Google hace todo lo posible para revelar esta función: cuando instalas el programa, Google te hace decidir si quieres que te devuelvan tus datos o no. Lea esto detenidamente, dice el acuerdo de licencia de la barra Google, no es el habitual yada yada.
El software espía, por otro lado, hace todo lo posible para ocultar su verdadero propósito. Un programa de software espía afirma que configura automáticamente el reloj de su computadora desde el reloj atómico operado por el Observatorio Naval de EE. UU. Otro programa muestra informes meteorológicos personalizados para su área. Por desgracia, ambos programas también muestran anuncios emergentes cuando visita sitios web específicos. (Algunos proveedores de software insisten en que los programas que solo muestran anuncios no son software espía en sí, sino algo llamado adware, porque muestran anuncios. A la mayoría de los usuarios no les importa esta distinción).
Algunos de estos programas se ocultan al no mostrar iconos cuando se ejecutan e incluso se eliminan de la lista de programas que se ejecutan en su computadora. He oído hablar de programas que se enumeran a sí mismos en el panel de control Agregar / Quitar de Microsoft Windows, pero cuando va a quitarlos, en realidad no se quitan a sí mismos, simplemente se vuelven invisibles. Furtivo.
Sin embargo, a pesar de esta duplicidad, la mayoría de los programas de software espía y publicitario no infringen ninguna ley de EE. UU. Eso se debe a que muchos de estos programas revelan lo que hacen y luego obtienen el consentimiento explícito del usuario. Lo hacen con algo que se llama un acuerdo de licencia de ajuste de clic, una de esas cajas llenas de palabrerías legales que aparecen cuando instala un programa o lo ejecuta por primera vez. El texto explica más o menos todos los trucos encubiertos que estos programas hostiles pueden jugar en su sistema. Por supuesto, casi nadie lee estos acuerdos. No obstante, los acuerdos protegen eficazmente de responsabilidad a los proveedores de software espía y publicitario. Después de todo, no puede afirmar que el software espía supervisaba sus acciones sin su permiso si le dio permiso al programa haciendo clic en el botón Acepto.
Los estándares uniformes para el software de etiquetado no reemplazarían la necesidad de acuerdos de licencia, pero harían más difícil para las empresas enterrar las funciones de un programa. Dicha legislación, llámela Ley de Software Puro de 2006, exigiría que la Comisión Federal de Comercio establezca estándares para el etiquetado obligatorio de todos los programas de computadora que se distribuyen dentro de los Estados Unidos. Un requisito de etiquetado obligaría a los fabricantes de software espía a revelar las funciones ocultas de su programa.
El precedente histórico
Como indiqué anteriormente, hemos recorrido este camino antes. El Congreso aprobó la Ley de Alimentos y Medicamentos Puros de 1906 para hacer frente a un conjunto de prácticas comerciales engañosas notablemente similares. El problema en 1906 eran los alimentos y los medicamentos que se vendían con etiquetas engañosas o sin ninguna etiqueta.
La Ley de 1906 requirió que todos los medicamentos vendidos en los Estados Unidos se entreguen al consumidor en un paquete que indique la fuerza, la calidad y la pureza del medicamento si difieren de los estándares aceptados. La dosis del medicamento tenía que estar claramente impresa en el exterior del paquete. Varios ingredientes que solían acompañar a las medicinas patentadas del siglo XIX (sustancias como el alcohol, la codeína y el cannabis) también debían divulgarse claramente.
En el caso de los alimentos, la ley requería que las etiquetas mencionaran explícitamente cualquier colorante y sabor artificial; después de 1906, no se podía vender algo llamado refresco de naranja a menos que tuviera un sabor que provenga de naranjas genuinas. De lo contrario, vendías refrescos de naranja artificial o de imitación. Y cada botella, caja y bolsa de comida debía indicar claramente el peso exacto de la comida que estaba dentro del recipiente.
La Ley de Alimentos y Medicamentos Puros tuvo éxito por muchas razones. Obligar a los fabricantes a revelar lo que había en sus productos permitió a los consumidores evitar productos que contenían cosas que no querían ingerir. Por ejemplo, muchos de los tónicos de aceite de serpiente distribuidos a fines del siglo XIX contenían dosis significativas de drogas adictivas como la codeína o la cocaína. Obligar a revelar estos medicamentos en la etiqueta del producto, junto con una advertencia que, según se dice, puede formar un hábito, hizo posible que los consumidores tomaran decisiones informadas. El etiquetado también permitió a los científicos y, finalmente, a los grupos de consumidores comprobar las afirmaciones de los fabricantes de productos. El etiquetado obligatorio ejerce presión sobre los fabricantes para que eliminen los ingredientes más objetables, un proceso que continúa hasta el día de hoy. Finalmente, las etiquetas proporcionaron evidencia adicional a los legisladores que se utilizó para justificar la elaboración de legislación adicional.
Los paralelos entre los productos alimenticios adulterados del siglo XIX y el software adulterado del siglo XXI son asombrosos. Así como algunos tónicos afirmaron hacer una cosa (como hacer crecer el cabello) cuando en realidad hicieron otra (intoxicaron al usuario y químicamente dependiente de la codeína), hoy tenemos un software que dice hacer una cosa (establecer la hora de su PC) y en realidad hace otra cosa (muestra anuncios cuando visita sitios web en particular).
Entonces, ¿cómo sería una Ley de Software Puro? A juzgar por la legislación de 1906, es probable que los mejores resultados provengan de exigir etiquetas que aborden directamente el problema del engaño. Por lo tanto, la nueva ley requeriría que el software se identifique a sí mismo como tal: no más programas ocultos que se instalan silenciosamente y luego se ejecutan sin ninguna evidencia visible. La Ley de Software Puro haría ilegal que los programas se ejecuten sin revelarse a través de los medios estándar utilizados por el sistema operativo host. Y la ley requeriría que los programas tuvieran una función de desinstalación, o bien dejaría muy claro que no la tienen.
Documentar la instalación de un programa y prever su eliminación es solo el comienzo. La Ley de Software Puro requeriría que la Comisión Federal de Comercio identifique prácticas específicas de software que tendrían que ser reveladas explícitamente cuando los programas se distribuyen y ejecutan. En lugar de permitir que las empresas oculten las características de su software con jerga legal oscuramente escrita enterrada en acuerdos de licencia de clic, la legislación requeriría que la divulgación se haga en forma de íconos fáciles de entender en los que se pueda hacer clic para obtener información adicional. Al hacer clic en el icono, aparecerán más textos explicativos, tal vez de un sitio web mantenido por la Comisión Federal de Comercio. Los iconos también se pueden mostrar en otros lugares. En Windows, por ejemplo, el Administrador de tareas y el panel de control Agregar o quitar podrían mostrar los íconos de comportamiento obligatorios junto con el ícono de la aplicación del programa.
Una propuesta modesta
Para que mi propuesta sea más concreta, he elaborado una lista de los comportamientos del programa que deberían divulgarse y algunos iconos representativos. Estos iconos (creados por el diseñador gráfico senior de TechnologyReview.com, Matthew Bouchard) son solo ejemplos para ilustrar el concepto. Un equipo de profesionales con experiencia en interfaces de computadora humana desarrollaría íconos reales exigidos por el gobierno, los pondría a prueba en grupos focales y los pondría a disposición del público. Pero estos íconos son útiles para transmitir la idea general y comenzar la discusión.
Hook: se ejecuta en el arranque
Algunos programas se conectan al sistema operativo de su computadora para que se ejecuten automáticamente cada vez que la computadora se reinicia o un usuario inicia sesión. Otros programas no lo hacen. Hoy en día no hay forma de saberlo, excepto realizando un análisis detallado de los archivos de configuración de la computadora antes y después de que se instale el programa y anotando los cambios. Cualquier programa que se instale para que se ejecute automáticamente debería mostrar este icono de gancho.
Marcar: realiza una llamada telefónica
Una estafa común de software espía involucra programas que hacen que su computadora llame a números de teléfono que le cuestan dinero. Por ejemplo, hace unos años algunos sitios web pornográficos distribuyeron un programa llamado david.exe que hizo que la computadora de la víctima realizara una llamada telefónica de larga distancia a un proveedor de servicios de Internet en Europa del Este; la empresa de pornografía consiguió quedarse con la mitad de los ingresos (exorbitantemente altos) de larga distancia. Otros tipos de software fraudulento pueden marcar números 900 o incluso usar su computadora para enviar faxes basura sin su conocimiento. Documentar que el software tiene un código que podría hacer que marque su teléfono sería una buena manera de abordar este problema.
Modificar: altera el sistema operativo de su computadora
Algunos programas hacen más que simplemente instalarse para ejecutarse en el arranque: alteran el sistema operativo de su computadora. Ver este icono le daría una razón para hacer preguntas. Lo más probable es que forzar este tipo de divulgación simplemente ponga fin a la práctica por parte de los desarrolladores.
Supervisar: realiza un seguimiento de lo que está haciendo
La mayoría de los programas se ocupan de sus propios asuntos. Sin embargo, algunos programas observan sus pulsaciones de teclas y supervisan las páginas web que está viendo incluso cuando otros programas se ejecutan en primer plano. Los programas pueden observar cómo crea archivos, hacer copias de cada documento que se imprime o simplemente anotar cuándo su computadora está inactiva y cuándo está en uso. La clave aquí es que un programa captura información personal cuando cree que no está escuchando. Quizás este ícono podría incorporar un rayo para indicar que la información monitoreada se reporta a otra persona a través de Internet.
Muestra ventanas emergentes
Un programa educado habla solo cuando se le habla. Algunos programas, por otro lado, exigen su atención. Me sorprendió el otro día cuando Microsoft Word 2003 abrió una ventana en mi computadora invitándome a participar en algún tipo de encuesta. Hace unos años noté que un programa de billetera electrónica llamado Gator estaba abriendo ventanas a sitios web de la competencia cada vez que visitaba ciertos comerciantes en línea.
Control remoto: permite que otros programas se apoderen de su computadora
En teoría, cualquier programa que se esté ejecutando en su computadora puede tomar el control y ejecutar comandos por parte de otros. En la práctica, muy pocos programas tienen la capacidad de ofrecer a otros este tipo de control remoto. Los programas que lo hacen deben estar etiquetados.
Actualizaciones automáticas: este programa puede cambiar su comportamiento
Una de las técnicas más importantes para que los proveedores de software se ocupen de los problemas persistentes de seguridad informática es hacer que sus programas se actualicen automáticamente con el código descargado de Internet. Los programas que tienen esta característica deben anunciar esa capacidad, porque pueden cambiar su comportamiento sin ninguna intervención del usuario.
Atascado: no se puede desinstalar
Algunos programas, una vez instalados en su computadora, son imposibles de desalojar. Estos programas suelen ser actualizaciones del sistema operativo, pero es fácil para un programador inteligente crear también software espía desinstalable. Se debe informar a los consumidores de que existen algunos programas para los que no hay vuelta atrás.
Reglas del compromiso
Con los iconos vendrían reglas para su uso. Por ejemplo, muchos de los acuerdos de licencia por clic actuales dicen que el usuario acepta implícitamente cualquier cambio en el acuerdo de licencia a menos que esos cambios sean sustanciales. Pero, ¿qué es sustantivo? Una vez que se implementó un régimen de etiquetas, un cambio sustancial podría definirse legalmente como un cambio que resulta en un cambio de íconos, por ejemplo, si un programa de actualización automática descarga una función de control remoto. Entonces, la ley podría requerir que este tipo de cambio requiera un nuevo consentimiento por parte del usuario.
Una tensión inherente a cualquier régimen de etiquetado es decidir qué se pone en la etiqueta y qué se deja fuera. Cuanta más información se requiera en la etiqueta, más costosa será de producir y menos probable será que los consumidores presten atención a la información. Cualquier organismo regulador que implemente esta política deberá evitar el arrastre de íconos: tener 23 íconos diferentes en cada pieza de software no satisfará las necesidades de los consumidores, solo causará confusión.
Personalmente, me gustaría que las etiquetas de mi software distinguieran entre la información que se recopila y utiliza en forma agregada y la información de identificación personal que se almacena en un gran almacén de datos. Pero fundamentalmente no se trata de lo que hace el programa, se trata de lo que hace la empresa después de que el programa ha proporcionado su información. Es decir, esta es una práctica comercial que debe estar protegida por la política de privacidad de la empresa. Quizás también necesitemos íconos allí. (Hace años, la organización comercial TRUSTe trató de tener tres íconos para tres tipos diferentes de políticas de privacidad estándar; TRUSTe se rindió cuando sus empresas miembro se opusieron).
Otra tensión es entre el etiquetado voluntario y obligatorio. Creo que obligatorio es el camino a seguir. Hoy vivimos en un régimen voluntario: Google ha hecho un gran trabajo al explicar lo que hace la barra Google, pero otras empresas no son tan comunicativas. Casi 100 años de experiencia con la Ley de Alimentos y Medicamentos Puros de 1906 muestra que los requisitos de etiquetado no tienen por qué ser onerosos, pero sí deben ser obligatorios; de lo contrario, la etiqueta de las buenas empresas y las malas no lo hacen. Lo que se necesita ahora es extender este principio al mundo del software.
Agradecimientos
He estado discutiendo esta propuesta para el etiquetado de software durante varios meses con asociados en Cambridge. En la Facultad de Derecho de Harvard, Jonathan Zittrain ofreció comentarios muy útiles; en el Laboratorio de Ciencias de la Computación e Inteligencia Artificial del MIT, tuve discusiones y comentarios útiles con mis asesores de tesis, Rob Miller y David Clark, y con mi compañero de estudios, Steven Bauer.