Cifrado de extremo a extremo

Qué es el cifrado de extremo a extremo (E2EE)

El cifrado de extremo a extremo convierte un mensaje o un archivo en un bloque ilegible antes de que salga de tu dispositivo, y solo el dispositivo del destinatario puede devolverlo a su forma original. El proveedor que lo transporta y lo almacena ve pasar datos que no puede leer.

Seguramente lo has visto en el aviso que WhatsApp muestra al abrir un chat. La idea parece sencilla, pero esconde una diferencia que importa a cualquier negocio: casi todos los servicios dicen que «cifran» tus datos, y muy pocos lo hacen de extremo a extremo. La pregunta útil no es si hay cifrado, sino quién tiene la llave.

Una caja que el mensajero no puede abrir

Piensa en una empresa de mensajería que lleva documentos de tu oficina a la de un cliente.

En el servicio normal, el paquete viaja en una furgoneta cerrada y pasa la noche en un almacén con alarma. Nadie de la calle puede tocarlo. Pero la empresa de mensajería tiene las llaves de la furgoneta y del almacén: si quisiera, o si un juez se lo ordenara, podría abrir la caja, mirar dentro y volver a cerrarla.

Ahora imagina que, antes de entregarle el paquete, lo metes en una caja con una cerradura cuya llave solo tienes tú y otra idéntica, tu cliente. La empresa sigue haciendo su trabajo: recoge la caja, la guarda y la entrega. Lo que ya no puede hacer es abrirla. Y si tu cliente pierde su llave, tampoco podrá ayudarle: no tiene copia.

Así funciona el cifrado de extremo a extremo. El proveedor del servicio es el mensajero; los «extremos» son tu dispositivo y el del destinatario. Esa última frase de la comparación, la de la llave perdida, es tan importante como la primera: la protección y el riesgo vienen del mismo sitio.

Cómo funciona, paso a paso

Las aplicaciones que lo usan repiten, de forma automática y en milisegundos, un proceso parecido a este:

1. Cada dispositivo crea sus propias claves. Una es pública y se puede compartir; la otra es privada y no sale nunca del dispositivo.
2. Las aplicaciones intercambian las claves públicas a través del servidor del proveedor, que hace de intermediario.
3. Tu aplicación cifra el mensaje en tu móvil (celular) o en tu ordenador (computadora), con claves derivadas de las del destinatario, antes de enviarlo.
4. El servidor recibe un bloque ilegible, lo guarda si hace falta y lo reenvía. No tiene la clave privada del destinatario, así que no puede descifrarlo.
5. El dispositivo del destinatario lo descifra con su clave privada y muestra el mensaje.

WhatsApp explica en su centro de ayuda que usa el protocolo de cifrado de Signal, que el cifrado se aplica automáticamente sin activar ningún ajuste y que, en los chats personales, nadie fuera de la conversación, «ni siquiera WhatsApp», puede leer los mensajes ni escuchar las llamadas. Cada chat tiene además un código de seguridad, en forma de código QR o de número de 60 dígitos, que los dos participantes pueden comparar para confirmar que hablan con quien creen.

Tres cifrados que no son lo mismo

Cuando un servicio de nube anuncia que tus archivos están cifrados, normalmente habla de dos protecciones distintas del cifrado de extremo a extremo:

• Cifrado en tránsito: protege los datos mientras viajan por internet, entre tu dispositivo y el servidor. Impide que alguien los lea en una red wifi pública, por ejemplo.
• Cifrado en reposo: protege los datos guardados en los discos del proveedor. Si alguien robara un disco del centro de datos, no podría leerlo.
• Cifrado de extremo a extremo: los datos llegan ya cifrados al proveedor y este no tiene la clave para abrirlos.

Las dos primeras son el furgón y el almacén cerrados de la comparación: protegen frente a terceros, pero el proveedor conserva las llaves. Google, por ejemplo, indica en su ayuda de Google Drive que los archivos se cifran «en tránsito y en reposo» con AES de 256 bits, y ofrece un cifrado adicional del lado del cliente, que Google no puede descifrar, solo con cuentas de Google Workspace en las que el administrador lo haya activado.

Dónde lo encuentras y dónde suele faltar

En la mensajería es habitual. WhatsApp lo aplica por defecto a los chats y llamadas entre personas. Hay una excepción que afecta a los negocios: cuando una empresa usa servicios opcionales de Meta para gestionar sus conversaciones con clientes, WhatsApp lo indica en el chat y deja de considerar esos mensajes cifrados de extremo a extremo.

En el almacenamiento en la nube es una opción, no la norma. Apple ofrece la Protección de datos avanzada para iCloud, un ajuste opcional que amplía el cifrado de extremo a extremo a la copia de seguridad del iPhone, las fotos o iCloud Drive. Por defecto, la cuenta usa la protección estándar. Los grandes servicios pensados para empresas, como Google Drive, trabajan por defecto con cifrado en tránsito y en reposo. Ese modelo tiene una contrapartida práctica: como el servidor puede leer los archivos, puede buscar dentro de ellos, generar vistas previas o permitir la edición en el navegador.

Las copias de seguridad merecen una mirada aparte. WhatsApp guarda las copias del historial en la cuenta de Google o en iCloud, y su ayuda sobre las copias en la cuenta de Google aclara que el cifrado de extremo a extremo de esas copias es una opción que tienes que activar.

Un ejemplo: un despacho de abogados en Bogotá

Un despacho de tres abogados en Bogotá, Colombia, intercambia contratos y poderes con sus clientes por correo y por WhatsApp, y guarda los expedientes en una carpeta compartida en la nube.

Al revisar sus herramientas, descubren tres cosas. Los chats de WhatsApp con los clientes están cifrados de extremo a extremo, pero las copias del historial en la nube de cada móvil no, porque nadie activó la opción. La carpeta de expedientes está cifrada en tránsito y en reposo, con las claves en manos del proveedor. Y el correo no tiene cifrado de extremo a extremo.

El despacho no cambia todo de golpe. Activa la copia cifrada de WhatsApp en los tres teléfonos, guarda las claves de recuperación en un sobre en la caja fuerte de la oficina y decide que los documentos de identidad de los clientes se envíen a través de un servicio con cifrado de extremo a extremo, no como adjuntos de correo. La protección de datos de sus clientes sigue rigiéndose por la ley colombiana, que no depende de la herramienta elegida.

Lo que el cifrado de extremo a extremo no hace

Es una protección muy fuerte, pero tiene un perímetro claro:

• No protege un dispositivo abierto. Si alguien desbloquea tu portátil (laptop) o tu móvil, lee los mensajes ya descifrados. Los extremos son el punto débil.
• No controla al destinatario. Quien recibe el mensaje puede reenviarlo, hacer una captura o perder su teléfono.
• No perdona la llave perdida. Apple advierte que, con la protección avanzada activada, no tendrá las claves para ayudarte a recuperar los datos si pierdes el acceso a la cuenta. Por eso exige configurar antes un contacto o una clave de recuperación.
• No equivale a anonimato. Cifra el contenido; el servicio puede seguir sabiendo con quién te comunicas y cuándo, según su política de privacidad.
• No significa que te hayan bloqueado. El aviso de cifrado aparece en los chats de WhatsApp porque el cifrado se aplica a todas las conversaciones personales de forma automática; no dice nada sobre la otra persona.

En la entrada de Wikipedia sobre el cifrado de extremo a extremo encontrarás más detalles técnicos sobre el intercambio de claves.

Qué puedes hacer hoy

1. Haz una lista de las herramientas con las que tu negocio envía o guarda información sensible (mensajería, correo, nube) y anota cuáles cifran de extremo a extremo.
2. Activa la copia de seguridad cifrada de WhatsApp si lo usas para trabajar.
3. Compara el código de seguridad del chat con los dos o tres contactos con los que intercambias documentos delicados.
4. Guarda las claves de recuperación de cualquier servicio con cifrado de extremo a extremo en un lugar seguro y separado del dispositivo.
5. Protege los extremos: bloqueo de pantalla en todos los dispositivos y verificación en dos pasos en las cuentas.

Si guardas datos de clientes en servicios online, conviene entender también qué es el almacenamiento de archivos en la nube y lo que exige el reglamento europeo de protección de datos a las empresas que trabajan en España. Para elegir y proteger la nube de un negocio pequeño, nuestra guía dedica una parte entera a la seguridad.