{"id":47,"date":"2015-08-16T11:02:59","date_gmt":"2015-08-16T09:02:59","guid":{"rendered":"http:\/\/www.fortsu.es\/blog\/?p=47"},"modified":"2015-08-16T11:02:59","modified_gmt":"2015-08-16T09:02:59","slug":"privacidad-para-tus-entrenamientos","status":"publish","type":"post","link":"https:\/\/www.fortsu.es\/blog\/privacidad-para-tus-entrenamientos\/","title":{"rendered":"Privacidad para tus entrenamientos"},"content":{"rendered":"<p>Ya era hora de dar m\u00e1s privacidad a datos sensibles sobre localizaci\u00f3n y fechas\/horas (h\u00e1bitos), que es b\u00e1sicamente la informaci\u00f3n que generan todos estos cacharros modernos con receptores de GPS: las comunicaciones en la parte de gesti\u00f3n de entrenamientos est\u00e1n cifradas.<\/p>\n<p><!--more--><\/p>\n<h2>\u00bfPor qu\u00e9 es necesaria la comunicaci\u00f3n segura para preservar la privacidad?<\/h2>\n<p>La informaci\u00f3n recogida durante los entrenamientos b\u00e1sicamente es la localizaci\u00f3n y la fecha con la hora, as\u00ed que partiendo de esa informaci\u00f3n, es sencillo para alguien establecer patrones de conducta acerca del protagonista de los entrenamientos vulnerando completamente su privacidad.<\/p>\n<p>Es conocido el caso de una<a href=\"http:\/\/www.engadget.com\/2014\/05\/23\/strava-begins-selling-your-data-points-in-the-hopes-of-creating\/\"> popular web que vende los datos (y metadatos) de sus usuarios a terceros<\/a>, as\u00ed que no est\u00e1 de m\u00e1s tomar algunas precauciones antes de <a href=\"http:\/\/www.scarletfire.co.uk\/bike-thieves-strava-security\/\">contentar a alg\u00fan ladr\u00f3n<\/a>.<\/p>\n<h2>Cambios necesarios<\/h2>\n<p>No ha habido que reinventar la rueda, pero s\u00ed que hacer <a href=\"https:\/\/github.com\/fortsu\/entrenos\/issues\/12\">algunas mejoras<\/a>:<\/p>\n<h3>Crear un certificado v\u00e1lido para el dominio<\/h3>\n<p>Por <a href=\"https:\/\/www.dondominio.com\/products\/ssl\/comodo-positive-ssl\/\" target=\"_blank\">unos 6\u20ac\/a\u00f1o se puede conseguir un certificado de una entidad reconocida<\/a> y no merece la pena lidiar con certificados autofirmados que generan incertidumbre en usuarios menos acostumbrados a tecnicismos.<\/p>\n<h3>Cambiar la configuraci\u00f3n del servidor (Apache 2.4)<\/h3>\n<p>El est\u00e1ndar indica que las comunicaciones seguras van al puerto 443, as\u00ed que hay que hacer que la <a href=\"https:\/\/github.com\/fortsu\/entrenos\/commit\/25174758b1c8ab1a25f1ef3df8838bdb8d74dd80\" target=\"_blank\">aplicaci\u00f3n escuche en ese puerto<\/a> para que se pueda producir la comunicaci\u00f3n cifrada con el cliente. El tr\u00e1fico que llega al puerto 80 es redirigido (301) al 443 para evitar problemas.<\/p>\n<p>Se descartan las inseguras versiones SSLv2 y SSLv3 buscando los modernos TLS con los algoritmos de cifrado m\u00e1s seguros.<\/p>\n<h3>Obligar a que las <em>cookies<\/em> se transmitan \u00fanicamente por canal seguro<\/h3>\n<p>Al estar la aplicaci\u00f3n alojada en una instalaci\u00f3n compartida, la soluci\u00f3n elegida para las de sesi\u00f3n ha sido establecer la<a href=\"https:\/\/github.com\/fortsu\/entrenos\/commit\/0da11c4b91d019269b6de78efd3d80fbc7cd9de9\" target=\"_blank\"> configuraci\u00f3n personalizada en tiempo de ejecuci\u00f3n<\/a>.<\/p>\n<p>Para las que controlan a los usuarios hay que marcarlas como seguras en el momento de su creaci\u00f3n.<\/p>\n<h3>Verificar que los enlaces siguen el canal seguro<\/h3>\n<p>No sirve de mucho para preservar la privacidad pedir los mapas por un canal abierto. Afortunadamente tanto Google Maps como OpenStreetMaps permiten esa posibilidad, pero hay que tener en cuenta que los de <a href=\"http:\/\/www.thunderforest.com\/pricing\/\" target=\"_blank\">OpenCycleMaps no est\u00e1n disponibles a trav\u00e9s de SSL de manera gratuita<\/a>.<\/p>\n<p>Cualquier sugerencia o mejora es bienvenida.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Ya era hora de dar m\u00e1s privacidad a datos sensibles sobre localizaci\u00f3n y fechas\/horas (h\u00e1bitos), que es b\u00e1sicamente la informaci\u00f3n que generan todos estos cacharros modernos con receptores de GPS: las comunicaciones en la parte de gesti\u00f3n de entrenamientos est\u00e1n cifradas.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-47","post","type-post","status-publish","format-standard","hentry","category-sin-categoria"],"_links":{"self":[{"href":"https:\/\/www.fortsu.es\/blog\/wp-json\/wp\/v2\/posts\/47","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.fortsu.es\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.fortsu.es\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.fortsu.es\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.fortsu.es\/blog\/wp-json\/wp\/v2\/comments?post=47"}],"version-history":[{"count":7,"href":"https:\/\/www.fortsu.es\/blog\/wp-json\/wp\/v2\/posts\/47\/revisions"}],"predecessor-version":[{"id":56,"href":"https:\/\/www.fortsu.es\/blog\/wp-json\/wp\/v2\/posts\/47\/revisions\/56"}],"wp:attachment":[{"href":"https:\/\/www.fortsu.es\/blog\/wp-json\/wp\/v2\/media?parent=47"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.fortsu.es\/blog\/wp-json\/wp\/v2\/categories?post=47"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.fortsu.es\/blog\/wp-json\/wp\/v2\/tags?post=47"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}