No, Microsoft, no actives Recall por defecto en Windows 11

Cuando Microsoft presentó Copilot+ PC, hace ahora dos semanas, Recall apuntaba a ser la función estrella de todas las anunciadas que se basan en la inteligencia artificial computada en el propio dispositivo, es decir, sin depender de la nube. Y es que es cierto que, desde el prisma empleado para su anuncio, contar con la «memoria fotográfica» que nos contaron en el evento, y que por lo tanto nos facilitaría recuperar cualquier «recuerdo» sobre la actividad llevada a cabo en el PC durante los últimos meses, parecía una propuesta bastante interesante.

Sin embargo, tal y como cabía esperar, tardaron bastante poco en aparecer los primeros resquemores sobre Recall, y en cuestión de días se abrió una primera investigación oficial, por parte de un regulador británico, para comprobar los posibles problemas de esta función en relación con la privacidad, que es precisamente sobre lo que se había venido advirtiendo desde el primer problema, junto con los potenciales problemas de seguridad.

Microsoft told media outlets a hacker cannot exfiltrate Copilot+ Recall activity remotely.

Reality: how do you think hackers will exfiltrate this plain text database of everything the user has ever viewed on their PC? Very easily, I have it automated.

HT detective pic.twitter.com/Njv2C9myxQ

— Kevin Beaumont (@GossiTheDog) May 30, 2024

Hasta ahora los temores se basaban en suposiciones. Creíbles, sí, pero suposiciones, pero como puedes ver en el tweet que se muestra sobre este párrafo, un investigador de seguridad ya ha detectado un problema que, potencialmente, puede comprometer la privacidad y la seguridad de todos los usuarios que opten por emplear Recall en sus sistemas. Y esto, como veremos un poco más adelante, apunta a una enorme cantidad de personas a medio plazo.

El problema es que, como cabía esperar, Recall va almacenando toda la información que recopila en una base de datos, y tal y como ha podido comprobar el investigador los datos se almacenan en texto plano. ¿Qué quiere decir esto? Muy sencillo, que si un potencial atacante logra obtener acceso al sistema y escala hasta obtener permisos de administrador, nada le impedirá acceder a la carpeta en la que se almacena dicha base de datos, hacerse con ella y, claro, a partir de ese momento acceder a su contenido.

Sorprende, sorprende mucho, que para almacenar información potencialmente tan sensible, Microsoft no haya optado por el cifrado de la base de datos, algo que se traduciría en que el robo de la misma no fuera un problema de seguridad tan serio. Y es que, como ya te contamos en su momento, Recall no discrimina el tipo de información que guarda. Esto es lo que se indica, al respecto, en su  FAQ «Note that Recall does not perform content moderation. It will not hide information such as passwords or financial account numbers. That data may be in snapshots that are stored on your device, especially when sites do not follow standard internet protocols like cloaking password entry«.

For what it’s worth I’ve heard this might change by the time Copilot+ PCs launch on June 18. The option to not enable Recall during OOBE is actively being discussed internally. https://t.co/zBXLEcxIvu

— Zac Bowden (@zacbowden) June 1, 2024

Vista la polémica y los riesgos, cabía esperar que Microsoft hubiera optado por entregar la función Recall desactivada por defecto. Sin embargo, según leemos en Neowin, la experiencia OODB (Out of the Box) de Windows 11 en los Copilot+ PC activa Recall por defecto y no permite desactivarlo durante la configuración. Durante este proceso se muestra una pantalla informativa sobre la función, que además nos permite obtener más información, pero no hay un botón o algún otro elemento que permita desactivarla desde ese punto.

Sin embargo y afortunadamente, según leemos en dicha publicación, parece que se ha abierto una discusión en el seno de Microsoft, en la que se están planteando si esto debería cambiar y, por defecto, Recall debería estar desactivada y le correspondería al usuario el activar (o no) esta función. El problema es que esperamos el debut en el mercado de los equipos Copilot+ PC en apenas dos semanas, por lo que incluso si toman la decisión más adecuada, que sería desactivarlo por defecto, no está claro si hay tiempo para que esta nueva política se aplique en esos equipos.

Preocupación por parte de usuarios y expertos, reguladores alertados, profesionales de la seguridad que ya han detectado potenciales problemas… el debut de Recall pinta bastante peor de lo que debieron imaginar en Microsoft al diseñar y presentar esta función, pero todavía tienen cierto margen para darse cuenta de que deben desactivar Recall por defecto, y que sean los usuarios los que decidan si quieren activar lo que, cada vez más voces, califican como una pesadilla para la privacidad y la seguridad.