¿Pueden confiar los anunciantes en las direcciones IP?
Hace dos semana, Google actualizó la documentación de GitHub en su herramienta IP Protection para aclarar que, para ocultar la dirección IP de un usuario de ciertos servicios AdTech, operará a través de dos proxies, similar al Hide IP Address de Safari:
Tanto IP Protection, de Privacy Sandbox en Chrome, como la función Hide IP Address de Safari, enrutan el tráfico específico a través de un sistema de two-hop proxy para evitar que determinados servicios aprendan la dirección IP de un usuario. La función Hide IP Address de Safari oculta las direcciones IP a los servicios externos presentes en su tracker list, que se compila a través de un proceso de aprendizaje automático y puede verse en el dispositivo. La lista de Google sobre qué servicios de terceros son sensibles a la ocultación de direcciones IP del dispositivo se hará públicamente, según han confirmado desde IP Protection GitHub.
Tanto Hide IP Address como IP Protection están enfocados en los navegadores, pero con diferencias:
Hide IP Address puede aplicarse en sites además de a servicios third-party tracking conocidos. IP Protection solo se aplica a servicios de terceros, no a primeros como websites (incluso los sites que están en la lista de exclusión).
Hide IP Address está activado por defecto para Safari para los trackers, pero se puede desactivar. IP Protection se lanzará como una configuración de consentimiento.
Apple ofrece otra herramienta para ocultar la dirección IP de un usuario: iCloud+ Private Relay. Private Relay es más amplio que Hide IP Address: enruta casi todo el tráfico de la red del dispositivo a través del sistema two-hop proxy, evitando que los operadores del site vean la dirección IP de sus usuarios. Private Relay solo está disponible para suscriptores de iCloud+ y no está claro qué tan extendida es su adopción. Pero la diferencia clave entre Private Relay y las herramientas Hide IP Address e IP Protection es que Private Relay oculta las direcciones IP del usuario para todas las partes y no solo para los trackers conocidos, eliminando completamente la dirección IP de la experiencia del producto y haciéndola no disponible como entrada para las técnicas fingerprinting del dispositivo.
Podríamos hacer un símil de la dirección IP con un glaciar que desaparece en el que un oso polar se encuentra varado en un océano cálido: el último refugio de identidad no consentida en un clima de privacidad que es hostil a ella. Después del anuncio de los 'Privacy Manifests and the Required Reasons API’s', el ecosistema de apps en iOS ha retrocedido a la dirección IP como la única fuente de attribution en iOS en ausencia de una App Tracking Transparency (ATT). El Fingerprinting en iOS persiste, solo que es aún más impreciso, confiando casi exclusivamente en inputs como: la dirección IP, el modelo de dispositivo y la versión del sistema operativo, que son propensos a falsos positivos.
Pero ¿estará la dirección IP completamente oculta en el dispositivo por un Private Relay de uso global? Es obvio que tanto Google como Apple ven la dirección IP como problemática desde el punto de vista de la privacidad, pero también se beneficiarían de eliminar todo acceso a ella.
Tanto Google como Apple operarán attribution systems: Privacy Sandbox de Google para Android y Chrome, Private Click Measurement y Private Ad Measurement de Apple para Safari y SKAdNetwork para iOS, que colocarían a esas empresas en el epicentro del ecosistema de publicidad digital, dándoles un tremendo poder sobre anunciantes y plataformas publicitarias por igual. El acceso a la dirección IP puede ser uno de los obstáculos para este resultado. Ocultar la dirección IP sería increíblemente disruptivo el ecosistema de publicidad digital.
Pero para que la ocultación de IP tenga éxito en el preventing IP-based attribution, tendría que aplicarse en el dispositivo, ya que, los anunciantes pueden compartir eventos de conversión registrados con IP con ad platforms a través de integraciones server-to-server. Si el anunciante como su canal publicitario pueden acceder a la dirección IP de un usuario, pueden coincidir esos datos ya sea a través de una herramienta simple de intercambio de datos server-to-server como Conversions APIs (CAPI) o con un enfoque diferente (por ejemplo, un Trusted Execution Environment). La perspectiva de este tipo de intercambio de first-party data fue planteada en el repositorio de GitHub del proyecto IP Protection: ¿qué pasa si un site comparte la dirección IP de un usuario, obtenida con privilegios first-party, con un tracking provider, o usa el camuflaje CNAME para evitar la detección por la lista? La respuesta de Google es bastante vaga.
Existen obstáculos para ocultar IP's en dispositivos como Private Relay. El más importante puede ser el coste: para que un sistema two-hop proxy system proteja la privacidad de un usuario, para evitar que el operador de red, Apple o el operador del site conozcan tanto la verdadera dirección IP del usuario como su destino, ambos proxies no pueden ser operados por la misma entidad. Private Relay actualmente solo está disponible para suscriptores de iCloud+, por lo que el coste de operarlo está sostenido por los ingresos de suscripción. Pero si Apple aplicara Private Relay a todo el tráfico para todos los usuarios de iPhone, ¿quién lo pagaría?
Otro desafío que Google y Apple pueden enfrentar al instituir la ocultación de direcciones IP en dispositivos es la percepción del consumidor. Un organismo de defensa del consumidor ya ha llamado la atención de la Competition and Markets Authority’s (CMA) del Reino Unido sobre la propuesta de Google de introducir IP Protection en Privacy Sandbox, alegando que la herramienta otorgaría a Google acceso exclusivo a la data utilizada en la entrega de anuncios y la medición de su rendimiento. La CMA es la misma autoridad que ha impedido la desaparición de third-party cookies en Google. De manera similar, el repositorio de GitHub de Google para IP Protection presenta una posición escéptica recogiendo el pensar de los profesionales del sector AdTech. Si bien Apple puede estar mejor posicionado como defensor de la privacidad del consumidor que Google, sin duda ocultar las direcciones IP a en dispositivos sería extraordinariamente disruptivo para un mercado muy grande, ya sea que los operadores de plataformas se beneficien de ello directamente o no.
Fuente: Mobiledevmemo
