Cada vez que enviamos un «te quiero» por una app de mensajería, compramos un producto desde el móvil o consultamos el saldo de nuestra cuenta bancaria, se activa un mecanismo tan invisible como fascinante. Aunque no percibamos ni escuchemos nada, la encriptación está trabajando en segundo plano para proteger nuestros datos. Es, en el fondo, el lenguaje secreto que permite que nuestra vida digital siga siendo nuestra y de nadie más.
Sin embargo, existe una brecha más que notable en la percepción que el público general tiene de ella. Para el usuario, y también para muchas organizaciones, el cifrado continúa viéndose como algo lejano y difícil de comprender por la complejidad de sus procesos y algoritmos. Y en un mundo donde nuestros datos son el bien más preciado, esa distancia es un problema: el cifrado debería entenderse ya como una extensión de nuestro derecho fundamental a la intimidad.
¿Qué es la encriptación y por qué debería importarnos?
En esencia, cifrar es transformar un mensaje legible en una secuencia que solo puede revertir quien posee la clave correcta. Nada más, y nada menos. A partir de ahí, el primer error conceptual de la industria es la ambigüedad con la que ciertas compañías hablan de «seguridad».
Trazar una línea que separe la seguridad del canal de transmisión y el cifrado del contenido es esencial. Una conexión cifrada, como el protocolo HTTPS, protege la comunicación frente a observadores externos: sería el equivalente a enviar una carta dentro de un tubo opaco. Pero si el contenido viaja en texto plano dentro de ese tubo, un tercero capaz de abrirlo podría leer o incluso manipular el mensaje.
Por eso la verdadera privacidad se estructura por capas y exige un enfoque de extremo a extremo (E2EE). La clave no es que el canal sea seguro, sino que la información viaje cifrada en sí misma: la carta, dentro del tubo, debe ir bajo llave. Así, aunque un agente externo intercepte el envío, descifrarlo o alterarlo resulta matemáticamente inviable.
Para lograr este nivel de robustez optamos por un enfoque pragmático: integrar la biblioteca de código abierto del Protocolo Signal en la app, en lugar de delegar el cifrado en un servicio de terceros (SaaS). Este estándar permite que dos dispositivos establezcan un secreto común sin compartir información sensible durante el proceso, manteniendo las claves privadas a salvo. Al operar nosotros mismos ese cifrado, no cedemos el núcleo de la privacidad a un proveedor externo y controlamos directamente las claves, el dato y la gestión de errores.
Volatilidad técnica y equilibrio de funcionalidades
El cifrado de extremo a extremo, en su forma más pura, es volátil: las claves son efímeras y viven en el propio dispositivo. Si se cierra la sesión o se cambia de móvil, esa información se pierde. Por ejemplo, cuando un usuario comparte su ubicación o envía un mensaje en una aplicación verdaderamente segura, ese contenido viaja cifrado de extremo a extremo, de modo que ni siquiera nosotros podemos verlo. El reverso de esa garantía es que, al estar las claves ligadas al dispositivo, cambiar de móvil implica empezar de cero: el historial no viaja contigo.
Esta volatilidad es perfecta para la mensajería instantánea, donde el contenido va dirigido a destinatarios concretos, pero penaliza el almacenamiento a largo plazo o el estado compartido, como la edición colaborativa de documentos. Encontrar el equilibrio entre privacidad y funcionalidad es, precisamente, parte del reto.
De la auto-recuperación a la era cuántica
Una de las mayores fortalezas del Protocolo Signal es su doble trinquete (Double Ratchet), que combina dos garantías. Por un lado, genera una clave distinta para cada mensaje y destruye la anterior: comprometer el estado de hoy no revela lo que se dijo ayer (forward secrecy). Por otro, cada vez que la conversación va y viene, la respuesta del interlocutor introduce material criptográfico nuevo que «resetea» el canal: si un atacante había logrado comprometer una clave y con ella podía seguir leyendo los mensajes de esa misma tanda hacia delante, queda fuera en cuanto se produce ese intercambio (seguridad post-compromiso). El canal, literalmente, se recupera o “cura” solo.
Pero el panorama de amenazas evoluciona, y no es un secreto que gobiernos y organizaciones almacenan hoy ingentes flujos de datos cifrados con la expectativa de descifrarlos en el futuro: es la estrategia conocida como harvest now, decrypt later. La computación actual tardaría años en factorizar los números que sustentan la criptografía de hoy, pero la futura llegada de la computación cuántica representa una amenaza real para los algoritmos estándar.
Por eso ya existen algoritmos de criptografía post-cuántica, como Kyber, diseñados para resistir incluso a un ordenador cuántico. Integrar estas prácticas ahora es esencial para preservar el futuro de la criptografía y Signal Protocol ya lo ha hecho.
La encriptación ha dejado de ser un asunto exclusivo de la ciberseguridad o de los departamentos de TI. Cuando el dispositivo que llevamos en el bolsillo concentra tanta información personal, propia y de nuestro entorno familiar, la soberanía del dato se convierte en un derecho fundamental.
Los profesionales de TI tenemos la responsabilidad de ser transparentes, no es suficiente con declarar que una app está cifrada, sino que es necesario explicar qué se cifra, cómo se gestionan las claves y cuál es la política real de retención. Solo con claridad técnica y rigor arquitectónico lograremos que los usuarios recuperen la tranquilidad en su entorno digital.
Miguel Araujo, CTO ēllu
