Resulta innegable la comodidad de los servicios de almacenamiento de archivos en la nube como Dropbox o OneDrive. El \u00fanico inconveniente es que los ciberdelincuentes, los organismos de inteligencia o el propio proveedor de alojamiento pueden ver tus archivos guardados en la nube sin necesidad de autorizaci\u00f3n. Pero hay una alternativa m\u00e1s segura: el almacenamiento de archivos cifrados en la nube. Hay quien lo denomina cifrado de extremo a extremo (E2EE), y es similar al funcionamiento de Signal o WhatsApp. Seg\u00fan la propaganda de marketing, los archivos se cifran en tu dispositivo y se env\u00edan a la nube ya de forma segura: la clave de cifrado permanece en tu poder y en el de nadie m\u00e1s. Ni siquiera el proveedor puede acceder a esa informaci\u00f3n. \u00bfPero es as\u00ed realmente?<\/p>\n
El Grupo de Criptograf\u00eda Aplicada de ETH Zurich analiz\u00f3<\/a> los algoritmos de cinco populares servicios de almacenamiento cifrado: Sync.com, pCloud, Icedrive, Seafile y Tresorit. En cada uno de ellos, los investigadores encontraron errores en la implementaci\u00f3n del cifrado que permit\u00edan, en diversos grados, la manipulaci\u00f3n de los archivos e, incluso, el acceso a fragmentos de datos no cifrados. Anteriormente ya hab\u00edan descubierto fallos en otros dos conocidos servicios de alojamiento: MEGA<\/a> y Nextcloud<\/a>.<\/p>\n En todos los casos, los ataques se llevan a cabo desde un servidor malicioso. El escenario es el siguiente: los intrusos piratean los servidores de alojamiento cifrado o, al manipular los enrutadores a lo largo de la ruta del cliente al servidor, obligan al ordenador de la v\u00edctima a conectarse a otro servidor que imita al servidor de alojamiento cifrado aut\u00e9ntico. Si esta complicada maniobra tiene \u00e9xito, los atacantes en teor\u00eda podr\u00edan hacer lo siguiente:<\/p>\n En cada caso, el servidor malicioso es un componente del ataque dif\u00edcil de implementar, pero no puede afirmarse que sea imposible. A la luz de los ciberataques contra Microsoft<\/a> y Twilio<\/a>, la posibilidad de que un servicio importante se vea comprometido es real. Y, por supuesto, el E2EE debe ser por definici\u00f3n resistente a las acciones maliciosas del lado del servidor.<\/p>\n Sin entrar en detalles t\u00e9cnicos, observamos que los desarrolladores de todos los servicios parecen haber implementado el E2EE de buena fe y emplean algoritmos robustos y reconocidos como AES y RSA. Pero el cifrado de archivos crea muchas dificultades t\u00e9cnicas en lo que respecta a la colaboraci\u00f3n y la coautor\u00eda de los documentos. Las tareas necesarias para superar estas dificultades y tener en cuenta todos los posibles ataques relacionados con claves de cifrado modificadas siguen sin resolverse, pero Tresorit es quien mejor trabajo ha hecho.<\/p>\n Los investigadores se\u00f1alan que los desarrolladores de los distintos servicios cometieron errores muy similares de forma independiente unos de otros. Esto significa que la implementaci\u00f3n del almacenamiento en la nube cifrado est\u00e1 plagada de matices criptogr\u00e1ficos no triviales. Lo que se necesita es un protocolo bien desarrollado sometido a pruebas exhaustivas por la comunidad criptogr\u00e1fica, como TLS para sitios web o el Protocolo de se\u00f1al para los servicios de mensajer\u00eda instant\u00e1nea.<\/p>\n El mayor problema de la reparaci\u00f3n de los errores identificados es que no solo es necesario actualizar las aplicaciones y el software del servidor, sino que tambi\u00e9n, en muchos casos, es necesario volver a cifrar los archivos guardados por los usuarios. No todos los proveedores de alojamiento pueden permitirse este enorme gasto computacional. Adem\u00e1s, el nuevo cifrado solo es posible en cooperaci\u00f3n con cada usuario, por lo que no puede hacerse de forma unilateral. Esa es la raz\u00f3n por la que probablemente las correcciones tardan en llegar<\/a>:<\/p>\n Si bien los problemas identificados por el Grupo de Criptograf\u00eda Aplicada no pueden considerarse puramente te\u00f3ricos, no representan una amenaza masiva que los ciberdelincuentes puedan explotar f\u00e1cilmente. Por lo tanto, no es necesario adoptar medidas de manera apresurada; m\u00e1s bien, el usuario deber\u00eda hacer una evaluaci\u00f3n detenida de su situaci\u00f3n:<\/p>\n Si la colaboraci\u00f3n no es importante y los datos almacenados son cr\u00edticos, la mejor opci\u00f3n es pasarse al cifrado local de los archivos. Puedes hacerlo de varias maneras, por ejemplo, almacenando los datos en un archivo contenedor cifrado o en un archivo comprimido con una contrase\u00f1a segura. Si necesitas transferir datos a otro dispositivo, puedes cargar un archivo ya cifrado al servicio de alojamiento en la nube.<\/p>\n Si quieres combinar la colaboraci\u00f3n y la comodidad con unas garant\u00edas de seguridad adecuadas, y la cantidad de datos almacenados no es tan grande, merece la pena mover los datos a uno de los servicios que resisti\u00f3 mejor las pruebas de ETH Zurich. Tresorit ser\u00eda entonces la primera opci\u00f3n, pero tampoco hay que descartar MEGA o Nextcloud.<\/p>\n Si ninguna de estas soluciones se ajusta a tus necesidades, puedes optar por otros servicios de alojamiento cifrado, pero tomando precauciones adicionales, como por ejemplo: no almacenar datos muy confidenciales, actualizar siempre las aplicaciones cliente, comprobar peri\u00f3dicamente tus unidades en la nube y eliminar la informaci\u00f3n obsoleta o superflua.<\/p>\n\n
Arreglos costosos<\/h2>\n
\n
Qu\u00e9 deben hacer los usuarios<\/h2>\n
\n