Dropbox fue engañoso sobre la privacidad y el cifrado de datos

El servicio de alojamiento de datos en línea Dropbox se vio obligado a modificar ciertos textos que ensalzaban la seguridad de su servicio después de que la FTC (Comisión Federal de Comercio) presentara una denuncia en EE. UU. El problema se refiere al cifrado de los datos alojados "en la nube" y las posibilidades de acceso a los archivos de los usuarios por parte de los empleados.

juegos de palabras comerciales

El mes pasado, Dropbox cambió algunas menciones en su sitio que afirmaban que los archivos alojados estaban sujetos al cifrado AES 256 y eran inaccesibles sin contraseña. Hoy solo se mantiene la mención del cifrado porque los archivos son accesibles incluso sin la contraseña que solo el usuario conoce.

En realidad, los archivos están encriptados en los servidores de la empresa, pero la clave para desencriptarlos está en su posesión y no está vinculada a la contraseña elegida por el usuario. Esto limita mucho el interés de la encriptación y representa una gran diferencia para el usuario que pensaba que era el único que podía visualizar los datos depositados.

La otra referencia modificada se refería precisamente a este acceso por parte de un tercero. Hasta el momento la empresa explicó que los empleados no podían acceder al contenido de los archivos depositados sino solo a algunos metadatos como el título y el peso del archivo. Ahora se reemplazan por declaraciones que explican que los empleados no están autorizados a acceder a los archivos.

Allí también la diferencia es significativa, los empleados sí están obligados a no acceder a los archivos, pero más que una restricción técnica es una obligación impuesta por el empleador. Esto no protege a los usuarios de una falla técnica o un acto malicioso.

Competencia desleal

Sin embargo, la seriedad de estas declaraciones debe ser puesta en perspectiva. La queja se refiere principalmente a la competencia desleal con los pocos servicios que en realidad cifran los datos en línea en función de una contraseña o clave única que posee únicamente el usuario.

Si bien es preocupante que Dropbox haya engañado a sus usuarios sobre la seguridad de los datos, la forma real en que funciona es la predeterminada para la mayoría de los servicios en línea. En la nube, los datos no se cifran para que sean completamente ilegibles, sino solo como medida de protección en caso de piratería de los servidores o durante la transferencia.

Cifrado, cifrado: el gran desenfoque

Para los usuarios, el cifrado o encriptación suele ser sinónimo de confidencialidad, pero la distinción entre los diferentes tipos de encriptación desdibuja la comprensión. Si la encriptación al enviar información, como para un pago con tarjeta de crédito, asegura el tránsito de los datos, no garantiza su seguridad una vez alojados en línea.

Del mismo modo, el cifrado en un servicio online es solo una garantía contra el robo de datos por parte de un tercero, como fue el caso de la piratería de las redes PSN y SOE Sony. Esto no garantiza que una persona malintencionada del servicio o una torpeza puedan poner en peligro tus datos.

El único cifrado válido es el que se basa en una clave única (contraseña o secuencia de caracteres) que posee el usuario y él solo. Esta técnica también tiene algunas desventajas como la imposibilidad de recuperar datos en caso de pérdida de la clave, o de compartir archivos en línea sin compartir también esta famosa clave.

Por lo tanto, la confidencialidad y el cifrado de datos no van necesariamente de la mano y la seguridad solo se garantiza bajo ciertas condiciones. Un punto sobre el que habrá que estar atentos en el momento de los servicios online de tipo cloud computing y los ordenadores que dejen de proporcionar almacenamiento como los nuevos Chromebooks.

Práctico: Iphone/ipad: protegiendo sus datos con encriptación