El encubrimiento espacial se define como un mecanismo de salvaguarda de la privacidad, empleado para atender requisitos específicos al disfrazar las ubicaciones exactas de los usuarios dentro de regiones encubiertas. ^[1]​ ^[2]​ Esta técnica suele integrarse en aplicaciones de diversos entornos para minimizar la divulgación de información privada cuando los usuarios solicitan algún servicio basado en la ubicación . Dado que el servidor de la base de datos no recibe la información de ubicación de manera precisa, un conjunto que contiene una solución satisfactoria será devuelta al usuario. ^[1]​ Algunos requisitos generales de privacidad son el K-anonimato, el área máxima y el área mínima. ^[3]​

Con la aparición y la popularidad de los servicios basados en la ubicación, las personas obtienen servicios más personalizados, como por ejemplo obtener los nombres y las ubicaciones de restaurantes y gasolineras cercanas. Recibir estos servicios requiere que los usuarios envíen sus posiciones de manera directa o indirecta al proveedor del servicio que lo solicite. Es posible que la ubicación de un usuario se comparta más de 5000 veces en un período de dos semanas. ^[4]​ ^[5]​ Por lo tanto, esta comodidad también expone la privacidad de los usuarios a ciertos riesgos, ya que los atacantes informáticos pueden identificar ilegalmente las ubicaciones de los usuarios e incluso llegar a sacar información personal que no se desea compartir. ^[6]​ ^[7]​ El seguimiento continuo de la ubicación de los usuarios no sólo se ha identificado como un problema técnico, sino también como un problema de privacidad. ^[8]​ Se ha descubierto que los cuasi-identificadores, que son piezas de información que no son en sí mismas identificadores únicos, pero que están suficientemente correlacionadas con una entidad como para poder combinarse con otros cuasi-identificadores para crear un identificador único, pueden usarse para volver a identificar al usuario cuando se vincula con alguna información externa. ^[7]​ Por ejemplo, el número de seguridad social podría ser usado por los atacantes para identificar a un usuario específico, ^[7]​ y la divulgación combinada de la fecha de nacimiento, el código postal y el género puede identificar de forma única a un usuario. ^[8]​ Por tanto, se han propuesto múltiples soluciones para preservar y mejorar la privacidad de los usuarios cuando utilizan servicios basados en la ubicación. Entre todos los mecanismos propuestos, el encubrimiento espacial ocupa la cima entre los más aceptados y revisados, habiéndose integrado así en muchas aplicaciones.

La preservación de la privacidad en relación con la ubicación se clasifica comúnmente dentro del ámbito de la privacidad de la información, aunque existe escaso consenso sobre la definición precisa de privacidad de la ubicación. En términos generales, la información de ubicación abarca tres aspectos: la identidad, la ubicación (datos espaciales) y el tiempo (información temporal). ^[9]​ ^[4]​ La identidad se refiere comúnmente al nombre del usuario, la dirección de correo electrónico u otras características que permitan distinguir a un usuario. Por ejemplo, en aplicaciones como Pokémon Go, se requiere una identidad de usuario constante debido a la necesidad de iniciar sesión. ^[4]​ La información espacial se considera fundamental para determinar la ubicación de un individuo, mientras que la información temporal se divide en tiempo real y no real, a menudo representada por marcas de tiempo asociadas a lugares.^[4]​ La violación de la privacidad de la ubicación ocurre cuando se establece una conexión entre estos aspectos.^[9]​ El acceso a datos de ubicación personal, incluso con el consentimiento del usuario, se ha planteado como un serio problema de privacidad.^[4]​ Por ende, la gestión cuidadosa de la privacidad de la información de ubicación se presenta como un desafío crucial, orientado a proteger la privacidad ante posibles abusos de la información de ubicación.^[8]​ La estrategia general para preservar la privacidad de la ubicación implica introducir suficiente interferencia y cuantificación para reducir las posibilidades de éxito en posibles ataques.^[10]​

El crowdsourcing espacial se basa en dispositivos equipados con GPS (sistema de posicionamiento global) para recopilar información^[11]​, especialmente datos de ubicación, que luego se emplean en el análisis de mapas y características espaciales locales.^[11]​ En los últimos años, los investigadores han estado explorando la intersección entre aspectos sociales y tecnológicos vinculados a la información de ubicación. Por ejemplo, si consideramos que la información de co-ubicación representa datos que posibles atacantes podrían obtener y tener en cuenta, se observa una disminución de más del 60% en la privacidad de la ubicación.^[12]​ Además, al informar de manera constante sobre la información de ubicación de un usuario, es posible construir un perfil de movimientos basado en análisis estadísticos. Este perfil podría ser explotado para generar una gran cantidad de información, como la ubicación de la oficina del usuario, historial médico, situación financiera y opiniones políticas.^[7]​ ^[13]​ Por lo tanto, los investigadores están cada vez considerando más la influencia social en sus algoritmos, ya que la información de las redes sociales, accesible al público, podría ser utilizada por posibles atacantes.

Con el objetivo de satisfacer los requisitos de privacidad de la ubicación del usuario durante la transferencia de datos, los investigadores han estado examinando y estudiando modelos que aborden la revelación de información confidencial. ^[3]​

El modelo multipartito seguro se fundamenta en la noción de compartir información precisa entre varias partes. Cada entidad tiene acceso a un segmento específico de la información precisa, pero al mismo tiempo se le prohíbe obtener acceso a las partes restantes de los datos.^[3]​ ^[14]​ No obstante, surge un desafío computacional en este proceso, ya que se necesita realizar un extenso procesamiento de datos para cumplir con este requisito.^[3]​

Se introdujo entonces el modelo mínimo de intercambio de información, el cual emplea técnicas criptográficas para llevar a cabo operaciones de unión e intersección. No obstante, la falta de flexibilidad de este modelo para adaptarse a otras consultas dificulta su capacidad para satisfacer la mayoría de las aplicaciones prácticas.^[3]​

El modelo de terceros que no son de confianza se implementa en entornos de transacciones entre iguales. ^[3]​

En la actualidad, el modelo más popular es el de terceros de confianza. Varios servicios prácticos ya han incorporado la noción de un tercero confiable para salvaguardar la privacidad. Por ejemplo, Anonymizer se integra en diversos sitios web, ofreciendo a los usuarios la posibilidad de navegar de manera anónima.^[3]​ Asimismo, al utilizar PayPal para realizar compras, los usuarios no necesitan proporcionar directamente los datos de su tarjeta de crédito.^[3]​ La inclusión de un tercero confiable garantiza que la información privada de los usuarios no se revele directamente a los proveedores de servicios.^[3]​

Una estrategia prometedora para garantizar la privacidad de la ubicación consiste en registrar datos sobre el comportamiento de los usuarios mientras se resguarda simultáneamente su identidad y la confidencialidad de la ubicación.^[9]​ Se han explorado diversas metodologías para optimizar el desempeño de las técnicas de preservación de la ubicación, entre las que se incluyen la perturbación de la ubicación y la notificación de elementos representativos.^[3]​

La idea de la perturbación de la ubicación consiste en sustituir la información de ubicación precisa con un rango espacial más amplio, introduciendo así incertidumbre cuando los adversarios intentan asociar al usuario con una identidad de ubicación conocida o con observaciones externas de la identidad de ubicación.^[8]​ Este proceso se logra comúnmente mediante el empleo de técnicas como el encubrimiento espacial, temporal u ofuscación de la ubicación.^[3]​ La ocultación espacial y temporal implica proporcionar a los proveedores de servicios información de ubicación y tiempo incorrectos o imprecisos en lugar de los datos exactos.^[6]​ ^[10]​ Un ejemplo sería mejorar la privacidad de la ubicación al aumentar el intervalo de tiempo entre los informes de ubicación, ya que una frecuencia más baja reduce la posibilidad de reidentificación a través de la extracción de datos.^[10]​ ^[15]​ En algunos casos, los informes de información de ubicación se retrasan hasta que se identifica la visita de K usuarios en una región específica.^[9]​

No obstante, esta estrategia podría impactar el servicio proporcionado por los proveedores, dado que los datos que reciben carecen de precisión. En este enfoque, se suelen debatir temas relacionados con la exactitud y la temporalidad. Además, se han identificado ciertos ataques que se valen de la idea de ocultar información para vulnerar la privacidad del usuario.^[6]​

Siguiendo la premisa de objetos emblemáticos, se comunica al proveedor de servicios acerca de un punto de referencia específico o un elemento significativo en lugar de referirse a una región en general. ^[3]​

Con el propósito de eludir el rastreo de la ubicación, comúnmente se proporciona al proveedor de servicios una cantidad reducida o nula de información de ubicación.^[3]​ En situaciones como la solicitud de información meteorológica, ofrecer un código postal en lugar de una ubicación precisa se consideraría suficientemente preciso para mantener la calidad del servicio.^[10]​

Un esquema centralizado se erige sobre la premisa de contar con un servidor anonimizador de ubicación central, actuando como intermediario entre el usuario y el proveedor de servicios.^[16]​ ^[17]​ Las responsabilidades típicas de este anonimizador de ubicación incluyen realizar un seguimiento de la ubicación precisa de los usuarios,^[16]​ difuminar la información específica de la ubicación en áreas encubiertas y facilitar la comunicación con el proveedor de servicios.^[1]​ ^[13]​ Un método empleado para este propósito implica reemplazar las direcciones de red reales con identificaciones falsas antes de transmitir la información al proveedor de servicios. En ocasiones, se mantiene oculta la identidad del usuario, al tiempo que se permite al proveedor autenticar al usuario y, posiblemente, cobrar por el servicio.^[7]​ Estos procedimientos se suelen llevar a cabo mediante técnicas como el encubrimiento espacial o la confusión de rutas, a menos que existan situaciones específicas que requieran el envío de información de ubicación precisa para garantizar una alta calidad de servicio. En general, la información de ubicación exacta o temporal se modifica comúnmente para preservar la privacidad del usuario, salvo en casos particulares en los que se requiera la información precisa para garantizar la calidad del servicio.^[18]​

Actuando como un intermediario entre el usuario y el servidor centrado en la ubicación, el anonimizador de ubicación típicamente lleva a cabo las siguientes tareas: ^[3]​ ^[7]​

• Recopilar datos precisos de ubicación y perfiles privados de los usuarios.
• Ocultar la ubicación en áreas específicas de acuerdo con los requisitos particulares de privacidad.
• Frecuentemente, suprimir las identidades de los usuarios de la información de ubicación.
• Enviar la ubicación encubierta al proveedor de servicios y recibir una lista de posibles soluciones, denominada lista de candidatos, que cumple con las solicitudes del usuario.
• Evaluar la solución más apropiada considerando la ubicación exacta del usuario y retornar la información precisa de la solución al usuario (algunos anonimizadores de ubicación podrían omitir este paso).

El anonimizador de ubicación puede ser considerado como un tercero de confianza,^[13]​ ya que los usuarios confían en él con la información precisa de ubicación y perfiles privados almacenados en dicha entidad.^[16]​ No obstante, esta confianza también implica riesgos significativos para la privacidad de los usuarios. En primer lugar, al seguir rastreando la información de los usuarios y tener acceso a sus ubicaciones exactas y perfiles, el anonimizador se convierte comúnmente en el blanco principal de los ataques, lo que aumenta los riesgos.^[13]​ ^[16]​ En segundo lugar, la confianza de los usuarios en los anonimizadores de ubicación es crucial. La integración de un tercero de confianza completa en el algoritmo podría implicar la continua transmisión de la información de ubicación al anonimizador,^[13]​ generando problemas de privacidad en caso de una eventual vulnerabilidad del anonimizador.^[17]​ En tercer lugar, el anonimizador de ubicación podría convertirse en un obstáculo en el rendimiento al manejar grandes volúmenes de solicitudes y la necesidad de ocultarlas.^[16]​ ^[17]​ Esto se debe a que el anonimizador es responsable de gestionar la cantidad de usuarios en una región para garantizar un nivel aceptable de calidad de servicio.^[16]​

En un entorno distribuido, los usuarios preservan el anonimato de su información de ubicación mediante infraestructuras de comunicación fijas, como estaciones base. En un esquema distribuido, se introduce comúnmente un servidor de certificación donde los usuarios se registran. Antes de participar en este sistema, los usuarios deben obtener un certificado que acredite su confiabilidad. Por consiguiente, cada vez que un usuario solicita un servicio basado en la ubicación y antes de que la información exacta de ubicación se transmita al servidor, los usuarios auxiliares inscritos en este sistema colaboran para ocultar la ubicación precisa del solicitante. La cantidad de usuarios auxiliares involucrados en este encubrimiento se determina según el nivel de anonimato K, establecido generalmente de manera específica para cada usuario.^[2]​ En situaciones donde no hay suficientes usuarios cercanos, se suele adoptar la proximidad S para generar numerosas identidades de usuarios emparejadas e información de ubicación, de manera que el usuario real resulte indistinguible en el área específica.^[18]​ A veces, los perfiles e información de ubicación adicionales enviados al proveedor de servicios también son conocidos como ficticios.^[3]​

No obstante, la aplicación de este método a aplicaciones móviles altamente dinámicas basadas en la ubicación podría enfrentar desafíos debido a la complejidad de la estructura de datos utilizada para anonimizar la ubicación.^[2]​ Además, se plantea la cuestión de la computación y comunicación intensivas al medio ambiente.^[16]​

Un entorno de comunicación peer-to-peer (P2P) se sustenta en la interacción directa y el intercambio de datos entre dispositivos dentro de una comunidad. En este contexto, los usuarios solo pueden comunicarse mediante enrutamiento de múltiples saltos P2P, sin depender de infraestructuras de comunicación fijas.^[1]​ El entorno P2P busca extender la cobertura celular en áreas dispersas, requiriendo que los pares confíen y colaboren entre sí.^[19]​ Durante la solicitud de servicios basados en la ubicación, la información de ubicación de los pares se comparte mutuamente para construir un área oculta, logrando así el nivel de anonimato K deseado.^[1]​ ^[13]​

Los investigadores han estado debatiendo acerca de algunos criterios de privacidad y seguridad que resultarían fundamentales para la idoneidad de las técnicas de preservación de la privacidad en entornos de igual a igual. Un ejemplo es la necesidad de autenticación y autorización, que busca salvaguardar e identificar a los usuarios, distinguiendo entre aquellos que tienen autorización y los que no la tienen. La confidencialidad y la integridad son esenciales para asegurar que únicamente los usuarios autorizados tengan acceso a los datos transmitidos entre pares y que la información transmitida no pueda ser alterada.^[19]​

Entre los desafíos detectados en un entorno peer-to-peer se incluyen los gastos asociados a la comunicación, la escasez de usuarios y las amenazas provenientes de posibles usuarios maliciosos que pueden ocultarse en la comunidad. ^[9]​

Los dispositivos móviles han adquirido una importancia crucial como herramientas para la comunicación, lo que ha generado un creciente interés en la investigación de la informática móvil en años recientes.^[18]​ Desde transacciones en línea hasta operaciones bancarias, los dispositivos móviles se conectan frecuentemente a proveedores de servicios para realizar actividades en la web, al tiempo que envían y reciben información.^[18]​ En general, los usuarios de dispositivos móviles pueden acceder a servicios altamente personalizados desde cualquier ubicación y en cualquier momento mediante servicios basados en la ubicación.^[17]​ En los dispositivos móviles, el Sistema de Posicionamiento Global (GPS) se destaca como el componente más utilizado para proporcionar información de ubicación,^[9]​ mientras que las señales del Sistema Global para Comunicaciones Móviles (GSM) y las redes WiFi también pueden contribuir a estimar las ubicaciones.^[9]​ La privacidad en entornos móviles generalmente aborda dos inquietudes principales: la privacidad de los datos y la privacidad contextual. La discusión sobre la privacidad contextual en dispositivos móviles^[18]​ incluye comúnmente la privacidad de la ubicación y la privacidad de la identidad, mientras que la privacidad de los datos^[18]​ se centra en el análisis de la transferencia de datos entre diferentes dispositivos móviles. Durante el proceso de solicitud de servicios basados en la ubicación y el intercambio de datos de ubicación, tanto la calidad de los datos transferidos como la seguridad de la información intercambiada podrían quedar potencialmente expuestas a personas malintencionadas.

La solución específica para preservar la privacidad y ocultar una región específica donde se encuentra el solicitante del servicio puede variar, ya que generalmente se desarrolla desde múltiples perspectivas para cumplir con diversos requisitos de privacidad. Estos estándares son ajustados por los usuarios o determinados por los diseñadores de aplicaciones. ^[3]​Algunos de los parámetros de privacidad que se consideran incluyen el K-anonimato, la entropía, así como las áreas mínima y máxima.^[3]​

El concepto de K-anonimato fue inicialmente introducido en el ámbito de la privacidad de datos relacionales con el propósito de garantizar tanto la utilidad de los datos como la privacidad de los usuarios que optan por divulgar su información.^[8]​ ^[20]​ ^[21]​ ^[22]​ En términos generales, el K-anonimato establece el requisito de que la información de un usuario sea indistinguible de al menos ${\displaystyle k-1}$ personas en la misma región, donde ${\displaystyle k}$ puede ser cualquier número real.^[3]​ ^[4]​ ^[10]​ ^[13]​ ^[16]​ Por lo tanto, se busca que la identificación de usuarios en la región forme un conjunto de anonimato de ${\displaystyle k}$ personas.^[10]​ ^[16]​ Por lo general, a medida que aumenta el valor de ${\displaystyle k}$, los requisitos se vuelven más estrictos, logrando un mayor nivel de anonimato.^[7]​ Cumplir con el K-anonimato implica que la probabilidad de identificar al usuario exacto sea aproximadamente ${\displaystyle 1/k}$, sujeto a diferentes algoritmos. En este contexto, la privacidad de la ubicación se mantiene de manera efectiva. Si el algoritmo está diseñado de manera que la región de ocultamiento sea más significativa, las posibilidades de identificar al solicitante exacto del servicio disminuyen significativamente, incluso si la ubicación precisa del usuario se expone a los proveedores de servicios.^[7]​ Además, se reduce la capacidad de los posibles atacantes para emplear técnicas avanzadas de aprendizaje automático o análisis sofisticado.

Se han explorado varios enfoques para introducir mayor ambigüedad en el sistema, como el anonimato K histórico, la sensibilidad P y la diversidad L.^[4]​ El concepto de anonimato K histórico busca asegurar la privacidad de los objetos en movimiento, exigiendo que haya al menos ${\displaystyle k-1}$ usuarios que compartan las mismas solicitudes históricas. Esto implica que el anonimizador debe rastrear no solo el movimiento actual del usuario, sino también la secuencia histórica de su ubicación.^[3]​ ^[4]​ ^[7]​ ^[16]​ De esta manera, incluso si se revelan los puntos de ubicación históricos del usuario, los adversarios no podrían distinguir al usuario específico de un grupo de usuarios potenciales.^[7]​ La sensibilidad P se emplea para garantizar que los atributos críticos, como la información de identidad, tengan al menos ${\displaystyle p}$ valores diferentes entre ${\displaystyle k}$ usuarios.^[4]​ ^[23]​ Por otro lado, la diversidad L tiene como objetivo asegurar que el usuario sea inidentificable desde diversas ubicaciones físicas.^[4]​ ^[24]​

No obstante, fijar un valor K elevado implica la necesidad de implementar un encubrimiento espacial y temporal adicional. Esto, a su vez, resultaría en una disminución de la resolución de la información, lo que podría tener como consecuencia una degradación en la calidad del servicio. ^[8]​18|doi=10.1109/TMC.2007.1062}}</ref>

La dimensión mínima del área se refiere a la región más pequeña extendida desde la ubicación precisa que cumple con los requisitos específicos de privacidad.^[3]​ En general, a medida que aumentan las demandas de privacidad, se necesita un área mayor para complicar la identificación precisa de la ubicación de los usuarios. La noción de área mínima adquiere relevancia, especialmente en lugares densamente poblados donde el K-anonimato puede no ser eficaz para garantizar la preservación de la privacidad de manera óptima. En entornos como un centro comercial concurrido, donde un usuario podría recibir una oferta especial, se considera un entorno denso. En esta situación, un K-anonimato grande, como L=100, podría corresponder solo a una región pequeña, ya que no se requiere un área extensa para incluir a 100 personas cercanas al usuario. Esto podría resultar en una eficiencia reducida en el área oculta, ya que el espacio potencial donde el usuario podría encontrarse es más pequeño en comparación con una situación de igual anonimato K, pero las personas están más dispersas entre sí.^[3]​

Debido a la relación de compensación entre la calidad del servicio y los requisitos de privacidad en la mayoría de los servicios basados en la ubicación,^[3]​ ^[4]​ ^[8]​ en ocasiones también se establece un tamaño máximo para el área oculta. Esto se debe a que una extensión considerable del área oculta podría introducir demasiada imprecisión en el servicio proporcionado al usuario. A medida que aumenta el área oculta reportada, también se incrementan las posibles soluciones satisfactorias para la solicitud del usuario.^[3]​ Si bien estas soluciones pueden cumplir con los requisitos específicos del usuario, no necesariamente se corresponden con la ubicación exacta de los usuarios.

La región encubierta creada mediante el método de encubrimiento espacial puede adaptarse a diversos contextos, como ubicación instantánea, ubicación continua, redes espaciales y redes de sensores inalámbricos.^[3]​ En ocasiones, los algoritmos que generan áreas ocultas están concebidos para ser compatibles con varios marcos sin modificar las coordenadas originales. De hecho, mediante la especificación de algoritmos y la implementación adecuada de mecanismos comúnmente adoptados, se desarrollan más técnicas de preservación de la privacidad de manera específica para ajustarse mejor a diferentes requisitos de privacidad en los entornos deseados.

Las aplicaciones geosociales están diseñadas principalmente para facilitar interacciones sociales basadas en información de ubicación. Ofrecen una variedad de servicios, como juegos y redes colaborativas, cupones de descuento, recomendaciones de amigos locales para actividades como cenar y comprar, así como la posibilidad de organizar encuentros sociales.^[10]​ Un ejemplo de esto es Motion Based, que permite a los usuarios compartir sus rutas de ejercicio con otros.^[10]​ Foursquare, por otro lado, fue una de las primeras aplicaciones basadas en la ubicación que permitió a los usuarios compartir su ubicación con amigos.^[4]​ Asimismo, SCVNGR fue una plataforma centrada en la ubicación que recompensaba a los usuarios con puntos al visitar diferentes lugares.^[6]​

A pesar de cumplir con requisitos de privacidad como el anonimato K, el tamaño máximo y mínimo del área, las aplicaciones geosociales tienen otras demandas de privacidad. Por ejemplo, la función de ubicación y desvinculación del usuario implica que el proveedor de servicios no pueda identificar al usuario que realiza la misma solicitud en dos ocasiones distintas o establecer la correspondencia entre un área oculta específica y la ubicación en tiempo real del usuario. Además, la privacidad de los datos de ubicación exige que el proveedor de servicios no tenga acceso al contenido de los datos en una ubicación particular. Un ejemplo de aplicación que aborda estos requisitos de privacidad en aplicaciones geosociales es LoX.

Con el crecimiento y la aceptación generalizada del sistema de posicionamiento global (GPS) y la comunicación inalámbrica,^[17]​ los servicios de información basados en la ubicación han experimentado un notable avance en los últimos años.^[4]​ Este avance se ha traducido tanto en aplicaciones académicas como prácticas.^[8]​ Numerosas aplicaciones prácticas han incorporado los conceptos y técnicas de los servicios basados en la ubicación,^[25]​ abarcando áreas como redes sociales móviles, búsqueda de lugares de interés (POI), juegos de realidad aumentada (AR),^[4]​ publicidad basada en la ubicación, servicios de transporte,^[1]​ ^[13]​ seguimiento de ubicación y servicios con reconocimiento de ubicación.^[18]​ En términos generales, estos servicios requieren que los proveedores de servicios analicen la información de ubicación recibida mediante algoritmos y bases de datos para encontrar soluciones óptimas, que luego se comunican al usuario que hizo la solicitud. Estos servicios se pueden solicitar a través de consultas instantáneas o consultas continuas.^[3]​ Las consultas instantáneas implican el reporte de una ubicación precisa en un momento específico, como en la pregunta "¿dónde está la gasolinera más cercana?", mientras que las consultas continuas requieren el seguimiento constante de la ubicación a lo largo del tiempo, por ejemplo, "informar continuamente sobre las gasolineras cercanas".^[3]​

Con el progreso de los sistemas de posicionamiento global y la proliferación de la comunicación inalámbrica, el amplio uso de aplicaciones basadas en la ubicación ha generado significativos riesgos para la privacidad de los usuarios.^[8]​ Tanto los proveedores de servicios como los propios usuarios enfrentan la amenaza de ataques y la posibilidad de abuso de información.^[8]​^[26]​ Se ha registrado el uso indebido de algunos dispositivos GPS para la obtención de información personal y el rastreo de ubicaciones personales.^[3]​ En ocasiones, la simple divulgación de datos de ubicación puede revelar información privada considerable.^[3]​ ^[7]​ Los servicios basados en la ubicación están expuestos a ataques específicos, como los ataques de inferencia de correlación espacial o temporal, donde la ubicación visitada se vincula con un momento específico, lo que potencialmente puede exponer la vida privada y los asuntos comerciales de los usuarios.^[8]​ ^[27]​

Entre los servicios más conocidos basados en la ubicación se encuentran: ^[9]​ ^[7]​ ^[18]​

• Servicio de emergencia con reconocimiento de ubicación
• Publicidad basada en la ubicación
• Informe de tráfico en vivo
• Buscadores de tiendas basados en la ubicación
• Mapa y sistema de navegación.

Servicio continuo basado en la ubicación

Los servicios^[13]​ que requieren informes constantes de información de ubicación plantean desafíos significativos en términos de privacidad. La emisión continua de áreas ocultas puede generar correlaciones entre estas regiones, especialmente con los avances tecnológicos. En respuesta a estas preocupaciones, se ha llevado a cabo una extensa investigación para abordar los problemas de privacidad asociados con los servicios basados en la ubicación que requieren informes continuos de ubicación.^[13]​

Servicios instantáneos basados en la ubicación

La ubicación instantánea hace referencia a la relación lineal entre un punto de ubicación específico y un punto en la escala temporal.

Se han sugerido diversos enfoques para abordar los desafíos de preservación de la privacidad en ambos entornos de manera conjunta o centrándose específicamente en cumplir cada requisito de privacidad respectivo. Un ejemplo de esto es la introducción de un sistema de cuadrícula dinámica, diseñado para adaptarse a entornos de servicios basados en ubicación, ya sean instantáneos o continuos.

Las soluciones existentes para abordar la privacidad se pueden clasificar en dos categorías principales: privacidad de datos y privacidad contextual.^[18]​ Estos enfoques, destinados a resolver los problemas de privacidad de la ubicación, también tienen aplicaciones en diversos escenarios. Herramientas como la criptografía, el anonimato, la ofuscación y el almacenamiento en caché se han propuesto, discutido y probado como mecanismos para mejorar la preservación de la privacidad del usuario. Estas estrategias buscan abordar los desafíos de privacidad desde perspectivas diversas, adaptándose así a distintas situaciones.

• Criptografía
• Anonimato
• Ofuscación
• Almacenamiento en caché
• Técnica seudónima

A pesar de la amplia aceptación de la eficacia del encubrimiento espacial y su integración en diversos diseños, persisten algunas preocupaciones. En primer lugar, ambos esquemas de encubrimiento espacial presentan limitaciones. Por ejemplo, en el esquema centralizado, a pesar de ocultar información privada, como la identidad, la ubicación en sí misma podría revelar datos confidenciales,^[16]​ especialmente cuando un usuario solicita el servicio varias veces con el mismo seudónimo.^[7]​ En un esquema descentralizado, se enfrentan problemas relacionados con el elevado cálculo y la insuficiencia de pares en una región.

Además, es necesario examinar y estudiar más a fondo la capacidad de los atacantes en consonancia con los avances tecnológicos, como el aprendizaje automático, y su relación con las interacciones sociales, especialmente el intercambio de información en línea.

En tercer lugar, surge la preocupación sobre la confiabilidad de un tercero de confianza. Con la abundancia diaria de software disponible en los mercados de aplicaciones, algunos de ellos no han pasado por evaluaciones rigurosas. Errores en el software, configuraciones defectuosas en terceros de confianza y la presencia de administradores maliciosos podrían exponer los datos privados de los usuarios a riesgos significativos.^[6]​ Según una investigación realizada en 2010, aproximadamente dos tercios de todas las aplicaciones de terceros confiables en el mercado de Android se consideran sospechosas de manejar información confidencial.^[18]​

En cuarto lugar, se reconoce la privacidad de la ubicación como un requisito personalizado y adaptable a diversos contextos.^[8]​ La adaptación de los parámetros de privacidad ha sido objeto de exploración en los últimos años, ya que diferentes individuos tienen expectativas diversas sobre la cantidad de privacidad que desean preservar. En ocasiones, las configuraciones predeterminadas no satisfacen por completo las necesidades del usuario.^[4]​ ^[28]​ Dado que suele existir un compromiso entre privacidad y personalización, y la personalización generalmente conduce a un mejor servicio,^[4]​ ^[7]​ ^[8]​ las preferencias individuales pueden variar. En situaciones en las que los usuarios pueden modificar las configuraciones predeterminadas, elegir la configuración por defecto en lugar de personalizarla parece ser una opción más común. ^[4]​ ^[29]​Además, las actitudes hacia la divulgación de información de ubicación pueden cambiar según la utilidad del servicio, las salvaguardias de privacidad y la cantidad de información revelada, entre otros factores.^[10]​ En la mayoría de los casos, las personas ponderan el costo de compartir su privacidad frente a los beneficios que reciben.^[4]​

En quinto lugar, aunque la literatura ha propuesto numerosos mecanismos de protección, pocos de ellos se han incorporado de manera efectiva en aplicaciones comerciales.^[30]​ Debido a la escasez de estudios sobre la implementación de técnicas de preservación de la privacidad de la ubicación, persiste una significativa brecha entre la teoría y la aplicación práctica de la privacidad.^[4]​

Durante el intercambio de datos, las partes clave (usuario, servidor y redes) pueden enfrentarse a posibles ataques por parte de adversarios.^[4]​ ^[18]​ Estos adversarios pueden utilizar el conocimiento que poseen, como información de ubicación observada, datos precisos de ubicación y contexto,^[4]​ para llevar a cabo ataques de ubicación. La evolución de técnicas como el aprendizaje automático y el big data ha dado lugar a una creciente preocupación en la privacidad de la ubicación,^[4]​ agravada por la proliferación de dispositivos inteligentes. En este contexto, se han empleado diversos ataques^[18]​ maliciosos, como virus, aplicaciones troyanas y diversos ciberataques.^[18]​

• Ataque de intermediario

Los ataques de intermediario son comunes en el ámbito móvil, implicando que la información transferida del usuario al proveedor de servicios está expuesta a posibles ataques. Esto podría resultar en la manipulación de la información por parte de los atacantes, exponiendo así más detalles personales.^[18]​

• Ataque entre servicios

Los ataques a servicios cruzados generalmente ocurren cuando los usuarios emplean una conexión inalámbrica poco segura, especialmente en entornos públicos. ^[18]​

• Ataque basado en video

Los ataques centrados en vídeo son comunes en dispositivos móviles, principalmente debido al uso de Bluetooth, cámara y funciones de vídeo. Se han desarrollado aplicaciones maliciosas que registran de manera clandestina el comportamiento de los usuarios y envían esa información a un dispositivo remoto. Stealthy Video Capture es un ejemplo de aplicación diseñada específicamente para espiar a un usuario sin su conocimiento y recopilar información adicional. ^[18]​

• Ataque de rastreo de sensores

Los ataques de seguimiento de sensores ocurren cuando se instalan aplicaciones maliciosas de manera intencional en un dispositivo, lo que expone la información personal de los usuarios a riesgos de divulgación, incluso cuando los adversarios no tienen contacto físico directo con el dispositivo móvil.^[18]​

• Ataque de vinculación de contexto

En un ataque de localización, se emplea el conocimiento contextual junto con la información de ubicación observada para descubrir la ubicación exacta. Además, el conocimiento contextual puede combinarse con información de ubicación precisa para realizar ataques de identidad.. ^[4]​

• Ataque de máquina/aprendizaje profundo

La combinación de algoritmos de aprendizaje y otras técnicas de aprendizaje profundo presenta un desafío significativo para la privacidad de la ubicación, especialmente debido a la gran cantidad de datos en línea.^[4]​ Por ejemplo, los actuales métodos de aprendizaje profundo tienen la capacidad de realizar predicciones de ubicaciones basadas en imágenes personales de redes sociales y realizar detección de objetos al analizar millones de fotografías y videos.^[4]​ ^[31]​ ^[32]​

En los últimos años, se ha llevado a cabo un debate sobre enfoques políticos destinados a revisar las directrices actuales o proponer nuevas regulaciones para una gestión más efectiva de las aplicaciones de servicios basados en la ubicación. El estado tecnológico actual carece de políticas y un marco legal completamente alineados, y tanto la academia como la industria están haciendo esfuerzos para abordar esta problemática.^[4]​ Dos requisitos ampliamente aceptados y bien definidos son que los usuarios estén informados sobre las políticas de privacidad de ubicación en un servicio específico y den su consentimiento para compartir su ubicación personal con un proveedor de servicios.^[16]​ Además de estos enfoques, se ha prestado atención a la protección de los mercados de aplicaciones, ya que un mercado inseguro podría exponer a los usuarios a riesgos de privacidad. Por ejemplo, se ha identificado una gran cantidad de malware en el mercado de aplicaciones de Android, diseñado para realizar ciberataques en dispositivos Android.^[18]​ La ausencia de directrices efectivas y claras para regular la información de ubicación podría generar problemas éticos y legales, por lo que se han debatido diversas directrices en los últimos años para controlar el uso de esta información.

Recientemente, se llevó a cabo una revisión de la directriz europea de protección de datos, con el propósito de incorporar y detallar la privacidad de los datos individuales y la información de identificación personal (PII). Estos cambios buscan establecer un entorno de servicio que sea seguro y, al mismo tiempo, eficiente. En particular, se ha mejorado la privacidad de la ubicación al garantizar que los usuarios estén informados y den su consentimiento sobre la información de ubicación que compartirán con los proveedores de servicios. Un ajuste significativo implica otorgar completa responsabilidad a los proveedores de servicios en el procesamiento de la información privada de los usuarios.^[18]​

La Directiva 95/46/CE de la Unión Europea, que aborda la protección de los datos personales y la libre circulación de dichos datos, establece claramente que la transferencia de datos a países no pertenecientes a la UE solo puede ocurrir si estos países garantizan "un nivel adecuado de protección de la privacidad".^[33]​ Además, la Directiva introduce el concepto de consentimiento explícito, indicando que, salvo para propósitos legales y contractuales, el procesamiento de datos personales solo es válido si el usuario ha otorgado su consentimiento de manera clara y específica.^[33]​

La Directiva 2002/58/CE de la Unión Europea, centrada en la privacidad y las comunicaciones electrónicas, proporciona definiciones claras de la información de ubicación y establece requisitos específicos de consentimiento por parte de los usuarios. Además, incorpora regulaciones sobre la retención de datos corporativos para salvaguardar la privacidad de la ubicación de los ciudadanos europeos.^[30]​ En situaciones en las que los datos no estén asociados directamente con un usuario, los marcos legales, como la Directiva de la UE, no imponen restricciones a la recopilación de datos anónimos.^[33]​

La legislación de privacidad de las comunicaciones electrónicas examina el marco legal que protege la privacidad y establece estándares para la aplicación de la ley con respecto al acceso a registros y comunicaciones electrónicas.^[34]​ Además, desempeña un papel significativo en la toma de decisiones sobre cuestiones relacionadas con la vigilancia electrónica.^[35]​

La GSMA emitió una reciente pauta de privacidad, la cual fue respaldada y adoptada por varias compañías de telecomunicaciones en Europa. Estas empresas han comenzado a implementar la directriz con el objetivo de proporcionar a los usuarios una comprensión más clara de la información que se registra y analiza cuando utilizan servicios basados en la ubicación. Además, la GSMA aconsejó a las operadoras informar a sus clientes acerca de quiénes tienen acceso a la información privada de los usuarios.^[18]​

A pesar de que varios mecanismos de preservación de la privacidad aún no se han adoptado ampliamente debido a consideraciones de eficacia, eficiencia y practicidad, algunos proveedores de servicios basados en la ubicación han comenzado a abordar las preocupaciones de privacidad en sus aplicaciones.^[4]​ Por ejemplo, Twitter ofrece a sus usuarios la capacidad de personalizar la precisión de la ubicación.^[4]​ En Glympse, las ubicaciones compartidas tienen una caducidad automática.^[4]​ Además, SocialRadar brinda a sus usuarios la opción de permanecer anónimos o invisibles al utilizar la aplicación.^[4]​

Se ha argumentado que Google no está en conformidad con las regulaciones de privacidad de datos de la Unión Europea, lo que ha llevado a un mayor enfoque en la defensa de pautas y políticas relacionadas con la privacidad de datos.^[18]​

Se ha argumentado que en menos de una semana después de que Facebook utiliza su función "Places", la información de ubicación ha sido aprovechada por ladrones y se ha utilizado para llevar a cabo un allanamiento de morada.^[6]​

En este escenario, la policía empleó un dispositivo de rastreo para seguir el vehículo del sospechoso. Después de utilizar únicamente el dispositivo de rastreo para monitorear al sospechoso, los agentes obtuvieron una orden de registro y verificaron que el individuo estaba involucrado en la producción ilícita de drogas en su camioneta. A pesar de que el sospechoso intentó impugnar la evidencia basándose en el dispositivo de rastreo utilizado durante el proceso de seguimiento, el tribunal rechazó esa objeción. La corte determinó que "una persona que viaja en un automóvil en la vía pública no tiene expectativas razonables de privacidad en su desplazamiento de un lugar a otro". No obstante, el tribunal optó por no abordar la cuestión de si la vigilancia continua durante veinticuatro horas constituiría un registro.

No obstante, los casos que involucran GPS y otros dispositivos de rastreo difieren en este contexto, ya que el seguimiento por GPS puede llevarse a cabo sin la intervención humana, mientras que el busca se considera un método para mejorar la percepción sensorial de la policía mediante el mantenimiento del contacto visual con el sospechoso.^[36]​ La utilización de buscapersonas requiere la presencia policial, a diferencia del uso de GPS para la vigilancia, donde no es necesaria. Por lo tanto, los agentes de la ley deben obtener una orden judicial antes de acceder a la información de ubicación del vehículo mediante dispositivos de rastreo GPS.^[35]​

En el caso (https://www.oyez.org/cases/2011/10-1259), la policía contaba con una orden de registro para instalar un sistema de posicionamiento global (GPS) en el vehículo de la esposa de un acusado. Sin embargo, la instalación real se llevó a cabo el día 11 en Maryland, en lugar del distrito de instalación autorizado y más allá de los diez días aprobados. A pesar de que el Tribunal de Distrito consideró que los datos registrados en la vía pública eran admisibles, argumentando que el acusado Jones no tenía una expectativa razonable de privacidad en lugares públicos, el Circuito de DC revocó esta decisión al considerar que se violó la Cuarta Enmienda debido al uso injustificado de un dispositivo GPS.^[37]​

• En la novela 1984 de George Orwell se representa un mundo en el que todos son observados, prácticamente en todo momento y lugar. ^[8]​
• El Centro de Registro de Brønnøysund ( https://www.brreg.no ) en Noruega ofrece un servicio de registro público gratuito, donde las personas pueden registrarse y especificar que no desean recibir marketing directo, ni llamadas telefónicas o correos electrónicos de venta. ^[28]​

• Servicio basado en la ubicación
• Criptografía de clave pública
• Ataque de suplantación de dentidad
• Seguimiento de teléfonos móviles
• Computación ubicua
• Dispositivo de camuflaje