He intentado cifrar todo lo cifrable en mi móvil y esto es lo que he conseguido

El problema de vivir en un mundo hiperconectado como en el que vivimos es que somos vulnerables. Lo hemos visto en infinidad de ocasiones con redes sociales que filtran nuestros datos, aplicaciones que espían y roban datos personales de los usuarios… La tecnología, aunque crece a un ritmo muy acelerado, dista mucho de ser perfecta, y eso puede suponer un riesgo para nuestra privacidad y la información confidencial.

Es por tanto normal que el interés por el cifrado, por la seguridad online, por la protección de nuestros datos y de nuestras conversaciones vaya en aumento. Hay empresas que afirman vender móviles cifrados, ultra seguros y a prueba de balas, o de hackers, en este caso, pero no todo el mundo tiene 4.500 dólares para gastarse en un “móvil blindado”. Yo el primero.

En Xataka

Sidewalk Labs (Google) sigue nuestros movimientos allá donde vayamos con la idea de vender esos datos a gobiernos y empresas

Así pues, he intentado cifrar todo lo cifrable en mi móvil con las alternativas que estarían a disposición de cualquier usuario. He intentado proteger mis archivos de ojos ajenos, mis comunicaciones y mis datos móviles. Este ha sido el resultado.

Cifrar el móvil: pocas opciones más allá de la seguridad biométrica

Android

El primer paso es cifrar el teléfono como tal, es decir, el contenido del mismo. Dependiendo del sistema operativo que usemos podremos acceder a unas opciones u otras. Empezando por Android, el sistema operativo móvil de Google cuenta con una opción para cifrar el teléfono, aunque este se reduce básicamente a archivos Nuestros compañeros de Xataka Android explicaron cómo se usa y qué hace, pero no está de más resumirlo.

Cuando encriptamos un teléfono Android lo que estamos haciendo es echar la llave a todo el contenido que hay en su interior. De esa forma, toda persona que quiera encender el móvil, ver una foto o un vídeo, tendrá que introducir la contraseña que nosotros hemos configurado previamente. Ni siquiera podría acceder conectando el móvil al ordenador. Si no hay contraseña, no hay contenido.

Cifrar un móvil Android es un proceso que lleva cerca de una hora y que puede disminuir el rendimiento del dispositivo

¿Parte positiva? La seguridad, por supuesto. ¿Parte negativa? La primera, en algunos dispositivos puede suponer una pérdida de rendimiento importante, sobre todo en los más antiguos. Aun así, no debería haber mayor problema en móviles actuales. La segunda, se ha demostrado en infinidad de ocasiones que seguimos usando contraseñas poco seguras como "123456" o "qwerty", por lo que, al final, nuestros peores enemigos somos nosotros mismos.

¿Y cómo se cifra un móvil Android? Siguiendo estos pasos:

Ve a "Ajustes".
Selecciona "Seguridad".
Pulsa en "Cifrar teléfono" y configura una contraseña (fuerte, en la medida de lo posible).
Espera tranquilamente a que el proceso acabe, puede tardar una hora fácilmente.

Es importante destacar que la única forma de quitar el encriptado es reseteando de fábrica el dispositivo, lo que significa el borrado total del contenido que en él haya almacenado. Si tienes una tarjeta microSD insertada, los datos dentro también serán encriptados y no podrás acceder a ellos en otro dispositivo.

iPhone

Pasamos al iPhone. En el caso de iOS, lo único que podemos hacer para cifrar el contenido del teléfono es establecer un bloqueo de pantalla biométrico, por lo que dependiendo del modelo que tengas podrás configurar Touch ID o Face ID. A diferencia de Android, iOS no tiene una opción de cifrado como tal, por lo que lo único que podemos hacer es asegurarnos de que, al menos, nadie pueda acceder al contendo.

En mi caso, que uso un iPhone 8 Plus, dispongo de Touch ID, algo que tengo activado desde siempre. Sin embargo, al echarle un ojo a los ajustes descubrí que había bastante información a la que cualquier persona podría acceder si me cogiese el móvil, como el calendario, mi lista de tareas, mis conversaciones recientes de WhatsApp… Incluso podría llamar a cualquier persona usando Siri. Así pues, lo primero ha sido desactivar todos y cada uno de los accesos en la pantalla de bloqueo. Los pasos son los siguientes:

Ve a "Ajustes".
Accede a Touch ID y código.
Desactiva todas las pestañas.

De esa manera, nadie puede acceder a la vista “Hoy”, desplegar las notificaciones, activar Siri, responder a un mensaje o devolver llamadas perdidas. La única forma que hay de acceder a mi móvil es usando mi huella dactilar que, hasta donde tengo conocimiento, solo yo poseo (espero).

Las únicas opciones de cifrado que iOS ofrece pasan por la seguridad biométrica, pero poco más se puede hacer para encriptar datos

Esto debería ser suficiente para que nadie acceda al teléfono, pero si eso ocurre, algo que es complicado, el teléfono está vendido. iOS no permite configurar el bloqueo por huella o el reconocimiento facial para abrir las aplicaciones, sino que es una función que tiene que ser implementada por las propias aplicaciones. WhatsApp, por ejemplo, ha sido la última en hacerlo. Lo único que se podría hacer es bloquear el móvil vía iCloud en caso de robo, pero poco más.

Ahora procede encriptar las copias de seguridad. Vale que el teléfono ahora mismo es “inaccesible” (entrecomillo porque la tecnología no es perfecta y siempre hay fallos), pero si tenemos una copia de seguridad almacenada en el ordenador y no está protegida, cualquier persona con los conocimientos adecuados podría acceder a ella y, por tanto, a nuestros datos. Tan sencillo como marcar la casilla "Encriptar copia de seguridad" al conectar el iPhone a iTunes.

Si eres usuario de la nube, antes de subir nada deberías cifrar los archivos para evitar daños mayores ante el robo de tu cuenta

En lo que a la nube se refiere, el problema es que cualquier usuario que consiga tu contraseña puede acceder a tu cuenta y, por tanto, a los archivos. De cara a minimizar daños, dos cosas que podemos hacer es activar la autenticación en dos pasos (la inmensa mayoría de servicios que usamos a diario como Dropbox o Google son compatibles) y cifrar los archivos antes de subirlos. Puedes hacerlo directamente desde Windows o usando algún sistema como Boxcryptor. Es gratuito para usuarios individuales.

En cuanto al GPS, tenerlo desactivado debería ser suficiente para que las aplicaciones y servicios no puedan acceder a nuestra ubicación, pero en más de una ocasión se ha descubierto cómo las grandes empresas pueden geolocalizar un smartphone con el GPS desactivado usando Cell ID y triangulando la ubicación según las antenas a las que se conecta el móvil. La única solución real sería quitar el chip GPS y no conectarse nunca.

Cifrar llamadas y mensajes: bienvenido al mundo del cifrado de extremo a extremo

Pasamos a las llamadas y mensajes. Si queremos cifrar nuestras llamadas, es imprescindible que no usemos la aplicación de teléfono, por el simple motivo de que viajan a través de torres de telefonía y se pueden interceptar. Varios investigadores ya sean hecho eco de las no pocas vulnerabilidades del protocolo GSM, 2G y UMTS que permiten a cualquier persona con los conocimientos adecuados capturar conversaciones y descifrarlas. No es el método más seguro, desde luego. Bueno, en realidad no hay un método seguro al 100%, pero hay alternativas más seguras que otras.

El cifrado de extremo a extremo permite mantener conversaciones de forma anónima, puesto que ni la empresa que controla el software puede descifrar el contenido

Si queremos encriptar nuestras llamadas tendremos que pasarnos al VoIP, es decir, a las llamadas de voz por Internet. Eso sí, mediante aplicaciones con cifrado de extremo a extremo. Aquí tenemos varias opciones, y seguramente sorprenda a más de uno que WhatsApp sea una de ellas (aunque no la mejor).

WhatsApp cuenta con cifrado en ambos extremos activado por defecto, lo que significa que, aunque Facebook sea la dueña de la aplicación, no puede acceder al contenido de las llamadas, videollamadas, mensajes, etc. El cifrado viene de la mano de alguien que sabe mucho sobre seguridad, como es Open Whisper Systems (seguramente te suene por la app Signal). Si quieres conocer cómo funciona exactamente y de forma detallada el cifrado de WhatsApp, en Xataka tienes la explicación.

En pocas palabras, lo que consigues con este cifrado es que solo tú y la persona con la que te estés comunicado podáis veros y oíros. Dado que la llamada o el mensaje sale cifrado del propio teléfono, por más que alguien “pinche” la red e intercepte tu comunicación no podrá descifrar el contenido porque no tiene la clave. Solo recibiría ruido.

Si a esto le sumamos que una vez el mensaje (o la foto, vídeo, lo que sea) llega el móvil del receptor, WhatsApp lo borra de sus servidores, pues tenemos una buena receta para afirmar que las llamadas y mensajes de WhatsApp son seguras y están cifradas, por lo que son una buena alternativa. Pero se puede mejorar.

También debemos tener en cuenta los datos recopilados por WhatsApp, y es que, si bien los mensajes y llamadas están encriptados, los metadatos que recopila son cuantiosos. Cito textualmente: “Recopilamos información específica de tu dispositivo cuando instalas, accedes o usas nuestros Servicios. Esto incluye información como el modelo de hardware, la información del sistema operativo, información sobre el navegador, la dirección IP e información de la red móvil, incluido el número de teléfono y los identificadores del dispositivo”.

Así pues, toca buscar una alternativa y la más asequible es Signal. Funciona exactamente igual, pero tiene algunas funciones añadidas como que bloquea la función para sacar capturas de pantalla. Aun así, nada evita que alguien pueda echarle una foto al móvil y filtrarla. Que se lo digan a Puigdemont, sin ir más lejos. También es de código abierto, lo que es un punto a favor.

En Xataka Android

WhatsApp vs Telegram vs Signal, comparativa: ¿cuál es la app de mensajería más segura?

Signal solamente archiva la última vez que te conectaste (el día, ni siquiera la hora) y el número de teléfono de tu cuenta, nada más. Es verdad que con lo que guarda WhatsApp muy mala suerte tendrías que tener para que alguien te localizase, pero la probabilidad se reduce todavía más si usamos Signal.

En definitiva, dado que ambas aplicaciones funcionan igual, mejor optar por Signal. Es de código abierto, no tiene a Facebook detrás y recopila menos datos. ¿El problema? Los usuarios. Para que un sistema de cifrado funcione, ambos participantes de la comunicación deben usar la misma plataforma, y Signal no es que sea competencia para WhatsApp en volumen de usuarios. A título personal, mi lista de contactos de WhatsApp asciende a 600 y pico usuarios, en Signal apenas roza los 20.

Cifrar el correo: un verdadero quebradero de cabeza

Pasamos al correo electrónico, que es un punto complicado. Los proveedores de correo electrónico más populares son Gmail y Outlook y ambos ofrecen encriptado, pero con matices. El problema es que sucede algo parecido al cifrado de extremo a extremo de WhatsApp, y es que necesario que ambas partes (emisor y receptor) usen un cliente compatible con, en este caso, el cifrado TLS.

GMail y Outlook lo ofrecen, pero para que funcione ambos clientes deben ser compatibles con él, por lo que si envías un correo mediante Gmail a una persona que usa un cliente no seguro, el cifrado no funcionará. Además, este cifrado protege la conexión, pero no lo encripta de extremo a extremo. Podríamos pensar en usar S/MIME autoalojado, algo posible en Outlook y Gmail pero para ello es necesario 1) en el caso de Google, ser usuario de G Suite Enterprise o G Suite para Centros Educativos y 2) contar con el certificado adecuado. Por no hablar de que es necesario que la comunicación se lleve a cabo entre dos clientes compatibles. Se escapa de las posibilidades del usuario medio.

En Xataka

ProtonMail: la empresa que quiere llevar el cifrado al correo para las masas frente al "viejuno" PGP

Una opción es usar el cifrado de extremo a extremo de Outlook, pero tiene el pequeño gran inconveniente de que solo está disponible para usuarios de Office 365. Lo bueno es que el cifrado se aplica a archivos, evita que el mensaje se pueda reenviar y, si la persona que recibe el correo no es usuario de Office 365, recibirá las instrucciones necesarias para poder acceder al contenido.

Así pues, la opción que nos queda es usar ProtonMail, un servicio con sede en Suiza que usa TLS, encriptado zero-access y de extremo a extremo. El problema es que el ya te puedes imaginar viendo los casos anteriores, y es que el cifrado que nos interesa, que es el de extremo a extremo, solo es posible entre dos clientes de ProtonMail, por lo que, a efectos prácticos, estamos en las mismas.

Para los mensajes enviados desde ProtonMail a otros usuarios de otros servicios, la única solución que tenemos es ponerle una contraseña al correo para que nadie pueda leerlo si no la conoce

Sin embargo, el cifrado zero-access cifra los correos recibidos desde clientes no seguros nada más entrar en los servidores de ProtonMail usando la clave de encriptación pública del usuario. Eso ocurre inmediatamente, y cuando se hace la empresa deja de ser capaz de descifrar el correo. Solo el usuario puede hacerlo. Es cierto que pasa una milésima de segundo en el que correo es vulnerable, pero puestos a elegir, mejor elegir el servicio que ofrece más opciones de seguridad.

Aun así, desde ProtonMail recomiendan que, para comunicaciones sensibles en las que no puede haber margen de error, se usen dos cuentas de ProtonMail. Si te interesa, es un servicio gratuito que ofrece 500 MB de almacenamiento y hasta 150 correos por día.

Cifrar comunicaciones y datos: o pagas o usas Tor

Terminamos con un tema igualmente peliagudo, los datos. Lo primero es evitar las redes WiFi públicas, por supuesto. Si estamos buscando la privacidad, lo último que tenemos que hacer es meternos en un sitio lleno de gente, ¿no? Por otro lado, no queremos que nadie sepa a dónde nos dirigimos cuando navegamos por Internet y accedemos a una web.

Usar una VPN es un buen método para cifrar nuestra conexión de datos, pero en la mayoría de ocasiones implica pasar por caja

Vamos a pararnos aquí un momento. De forma resumida, cuando accedemos a Google (o bueno, DuckDuckGo, por eso de que estamos hablando de privacidad), nuestro cliente (el móvil) contacta con nuestro ISP (la operadora), que es la que “se comunica con Internet” y, posteriormente, nos lleva a la web en cuestión. En cierto modo, saben a dónde vas y de dónde vienes. No nos interesa.

¿Cómo evitamos esto? Con una VPN. Hemos hablado largo y tendido sobre ellas, pero básicamente las VPN crean un túnel que permite acceder a Internet siguiendo el siguiente esquema (grosso modo): cliente > proveedor de Internet mediante un túnel > servidor VPN > web a la que queramos acceder. Con una VPN, nuestro operador no sabe quiénes somos. La única información que tiene es la de la VPN. Nosotros estamos a salvo… en teoría.

Hay cientos y cientos de VPN gratuitas que se pueden usar en el móvil, pero diversos informes han demostrado que tienden a ser poco seguras. Elegir una buena VPN es vital si queremos encriptar nuestras comunicaciones online, y hay varios requisitos a tener en cuenta, desde el país en el que se alojan los servidores, los registros que se guardan, los métodos de pago, etc. Por ejemplo, no tiene sentido recurrir a un VPN cuyos servers estén en un país de la organización Five Eyes, que guarde nuestra información durante años, que no esté encriptada, etc.

En Xataka preparamos hace algún tiempo una guía de comprar de VPN y, tras analizar varias opciones, llegamos a la conclusión de que la más interesante era NordVPN. No guarda registros, tiene sede en Panamá, permite usar Tor sobre VPN… Es una opción muy segura y de pago, por supuesto. Nadie dijo que la privacidad fuese gratis (algo curioso, por otro lado).

¿No quieres pagar por VPN y quieres seguir estando seguro? A grandes males, grandes remedios: Tor. En Android tenemos la posibilidad de descargar Orbot, que es el proxy oficial de Tor para el sistema operativo de Google. Simplemente hay que dirigirse a Google Play, descargar la aplicación, activarla y navegar. Todos los datos que salgan de tu móvil rebotarán entre varios servidores a lo largo y ancho del mundo y te harán (casi) indetectable. En iOS no hay un navegador similar, por lo que sí o sí habrá que pagar una VPN.

En Xataka

Una semana en la deep web. Esto es lo que me he encontrado

Lo definitivo: un móvil hecho bajo demanda

A nivel usuario, podemos encriptar el contenido de nuestro móvil y protegerlo de ojos ajenos, podemos asegurar la privacidad de nuestras conversaciones, podemos conseguir más seguridad al navegar por Internet, pero hay cosas que se nos escapan. Sigue habiendo cosas que no podemos hacer sin los conocimientos adecuados y que, de una forma u otra, pueden explotarse.

Aunque seamos anónimos, como hemos dicho anteriormente, nuestro mayor enemigo somos nosotros mismos, y eso puede llevarnos a problemas. Basta con que alguien nos infecte con malware al descargar una aplicación de donde no debemos para que pueda activar el micrófono, acceder a la cámara o de forma remota a nuestros datos, activar la ubicación GPS y saber dónde estamos, etc. No es fácil, por supuesto, pero eso no quiere decir que sea imposible.

A nivel usuario no se pueden hacer demasiadas cosas para cifrar un móvil. La protección completa requiere un dispositivo blindado hecho bajo demanda

Si bien los usuarios contamos con varias herramientas para mejorar la seguridad y privacidad de nuestros datos, con los móviles que usamos la inmensa mayoría seguimos siendo vulnerables. La única solución sería abrir el móvil y quitar el micrófono, desconectar el GPS y usar un sistema operativo propio en una red propia que solo nosotros controlásemos.

Hay empresas, como Armadillo Phone, que venden móviles ya preparados para, por ejemplo, extraer el micrófono, el módulo de la cámara o el sensor de huellas a todo aquel usuario que esté dispuesto a pagar por ellos. La red del Chapo Guzmán, por ejemplo, usaba 100 móviles Nokia y Blackberry modificados, hechos a medida por y para él, tal y como detallan en El País.

En definitiva, podemos llevar a cabo algunos procesos para ser anónimos, pero mientras estemos conectados y dependamos de software de terceros, siempre, siempre, siempre hay una posibilidad de que el tiro nos salga por la culata.