Apple permite a algunas apps de iOS rastrear la ubicación del usuario mediante listas de SSID cercanos

Artículo original ↗ Discusión en Hacker News ↗

iOS de Apple incluye una API de hotspot Wi‑Fi que puede exponer SSID y direcciones MAC cercanos, los cuales a su vez pueden mapearse con precisión a ubicaciones mediante grandes bases de datos de Wi‑Fi. El acceso a esta API está restringido por entitlements especiales concedidas por Apple, en lugar de permisos visibles para el usuario, y supuestas “superapps” como WeChat y Alipay tienen este acceso, lo que genera preocupación de que solo los grandes actores puedan rastrear silenciosamente los movimientos de los usuarios. Los comentaristas debaten si esto es un descuido o un problema estructural del ecosistema cerrado e incentivos de Apple, comparándolo con los permisos de ubicación más explícitos de Android y pidiendo avisos más claros, controles más estrictos y mayor transparencia sobre las capacidades de las apps.

Lo que habilita la API

  • API discutida: NEHotspotHelper y las APIs de Wi‑Fi relacionadas exponen SSID/BSSID cercanos y pueden usarse para inferir la ubicación al compararlos con bases de datos de ubicación Wi‑Fi.
  • El acceso está restringido por una entitlement especial concedida por Apple, no por un permiso normal visible para el usuario.
  • Existen otras vías para obtener información de SSID (por ejemplo, mediante perfiles VPN o APIs específicas de configuración de Wi‑Fi), a veces sin permiso explícito de ubicación.

Privacidad, consentimiento y precisión de la ubicación

  • Muchos consideran que esto es, en la práctica, una API de ubicación, ya que las huellas Wi‑Fi pueden dar precisión a nivel de calle o edificio, a menudo mejor que la IP y a veces comparable al GPS.
  • Una minoría sostiene que el Wi‑Fi solo ofrece una ubicación “aproximada” o poco fiable; otros responden con ejemplos (bases de datos de Wi‑Fi públicas, comportamiento previo de iOS, navegación en interiores, indicaciones giro a giro sin GPS).
  • La preocupación principal: la capacidad no se muestra claramente a los usuarios y puede no poder revocarse salvo desinstalando la app.

Modelo de entitlement y permisos de Apple

  • Las entitlements las concede Apple tras revisión; la mayoría de los comentaristas coincide en que esto frena a las “apps pequeñas de spam”, pero no a los grandes actores.
  • No queda claro para los lectores si esta entitlement concreta activa algún aviso al usuario; la documentación de Apple se percibe como vaga.
  • Varios señalan un sistema de “tres clases”: desarrolladores normales, apps “bendecidas” con entitlements especiales y las apps de Apple, con poderes adicionales de facto.

Confianza en Apple frente a alternativas

  • Un bando ve esto como otro ejemplo de que los usuarios no “poseen” realmente los dispositivos iOS y deben confiar en las decisiones de Apple.
  • Otros aceptan el control de Apple como el precio de un “electrodoméstico” estable y de bajo mantenimiento, y aun así lo ven más seguro que los ecosistemas Android impulsados por anuncios.
  • Algunos argumentan que las plataformas abiertas/OSS permiten mejor auditoría y correcciones más rápidas; otros replican que las plataformas abiertas también dependen de “promesas al meñique” y tienen peores problemas de malware.

Superapps, gobiernos y poder

  • Conceder esta entitlement a “superapps” como grandes apps chinas de pagos o mensajería se considera especialmente preocupante, dada su centralidad y la posible presión estatal.
  • Concentrar muchas funciones (y permisos) en una sola app hace más difícil detectar abusos y evita la elección del usuario por función.

Mitigaciones y solicitudes

  • Entre las sugerencias están: vincular explícitamente el escaneo de SSID a los Servicios de localización, añadir avisos claros al usuario (con “permitir una vez/mientras se usa/nunca”), mostrar las entitlements en la interfaz y listar los permisos/entitlements solicitados en las páginas de la App Store.
  • Los usuarios mencionan soluciones prácticas (bloqueadores DNS, bloqueadores de anuncios, automatizaciones para desactivar el Wi‑Fi), pero señalan que el Wi‑Fi/Bluetooth es difícil de desactivar por completo en iOS y a menudo se vuelve a activar tras las actualizaciones.