Resumen

  • El borrador del protocolo DULT propone registrar una identidad verificable al vincular el accesorio y devolver, en la consulta de su identificador, al menos una pista oculta en parte: los últimos cuatro dígitos del teléfono o una dirección de correo enmascarada.
  • Una pista ligada a un identificador estable también puede delatar al propietario. Por eso la consulta queda reservada a dispositivos vinculados que estén separados del dueño; Bluetooth exige una acción humana y la proximidad de NFC puede servir como señal de intención.

Una pista con doble filo

Quien encuentra un rastreador desconocido necesita algo más que una alarma. Cuatro cifras o unas letras visibles de un correo pueden ayudarle a reconocer si el objeto pertenece a alguien cercano. El texto de la IETF especifica que el registro de propietario debe asociar información verificable con el identificador cuando se configura el accesorio. La respuesta de búsqueda debe aportar una de las dos pistas descritas; no ordena divulgar ambas ni entregar los datos completos. La limitación conserva parte de la privacidad del titular mientras ofrece a la persona afectada una posibilidad real de reconocimiento.

Precisamente porque la pista sirve, puede abusarse de ella. El capítulo de seguridad advierte que un identificador único y estable, unido a información parcial de usuario, puede volver reconocible al accesorio. Desaconseja que cualquier aparato solicitante reciba directamente identificador y datos del dueño. Si cada móvil que capta una señal pudiera preguntar por esas cuatro cifras, el servicio contra el acoso acabaría ofreciendo un índice consultable de propietarios. El borrador describe ese peligro de diseño; no aporta un caso de abuso de una red específica.

La primera barrera es el estado: accesorio asociado y en modo separado. La segunda es el medio de consulta. Bluetooth alcanza a dispositivos que nadie ha tocado. El borrador exige una acción del usuario antes de acceder a la pista por una interfaz inalámbrica de largo alcance. Con NFC, acercar el lector al objeto puede constituir intención suficiente. La sección de privacidad remacha el motivo: una lectura por NFC implica posesión física, mientras que el alcance de Bluetooth no permite inferirla. Llegar con una onda no equivale a llegar con la mano.

Hay una tercera barrera en el trayecto de los datos. Ante un dispositivo distinto del propietario, el accesorio solo debe ofrecer información no identificable. El documento plantea como método una carga cifrada e imposible de relacionar entre solicitudes, que descifraría el servicio de la red del accesorio. El servidor podría limitar la frecuencia de consultas y detectar fraude. La carga debería estar autenticada y protegida frente a la repetición, para evitar que una captura antigua permita vigilar cambios posteriores en los datos parciales.

Ese diseño traslada la decisión de revelar información a un servicio que puede rendir cuentas de sus consultas.

El registro tampoco tiene una vida indefinida en el texto: debería conservarse al menos 25 días tras desvincular el dispositivo y después eliminarse. Otra disposición prevé entregar la información disponible ante una petición policial válida tramitada por procedimientos definidos. Son finalidades distintas de una consulta de alguien que ha encontrado el aparato. El lenguaje «debería» reproduce el nivel normativo del borrador; no demuestra que los productos existentes cumplan esos plazos.

Según el registro oficial, la revisión 01 sigue siendo un Internet-Draft activo del grupo de trabajo, sin rango de RFC. Falta una traza pública de una implementación concreta que enlace aviso, acción, consulta, controles contra repeticiones y borrado del registro. Esa traza cambiaría la valoración de una promesa de seguridad por una prueba de funcionamiento.

Fuentes