Seguridad del almacenamiento en la nube: Google Drive, iCloud y el cifrado de extremo a extremo

El problema fundamental del almacenamiento en la nube

Cuando subes un archivo a Google Drive, Dropbox o iCloud, el proveedor cifra tus datos en tránsito y en reposo. Esto suena tranquilizador. No es lo mismo que el cifrado de extremo a extremo.

Con el cifrado estándar de la nube, el proveedor conserva las claves de cifrado. Puede descifrar tus archivos para:

• Solicitudes de las fuerzas del orden y órdenes judiciales
• Auditorías de cumplimiento
• Análisis publicitario (Google lo ha hecho históricamente)
• Investigaciones internas
• Análisis de seguridad (escaneo de virus, detección de CSAM)
• Un empleado malintencionado con acceso

El cifrado de extremo a extremo (E2EE) significa que solo tú posees las claves. El proveedor no puede descifrar tus datos ni siquiera bajo requerimiento judicial. Esta distinción importa enormemente para los documentos sensibles.

Qué hacen realmente los principales proveedores

Google Drive

Google cifra los archivos con AES-256 en reposo y con TLS en tránsito. Google conserva las claves. Google sí escanea los archivos en busca de malware, infracciones de políticas y, históricamente, para orientar la publicidad. Google cumplirá con las solicitudes legales válidas. Tus archivos no son privados frente a Google.

iCloud

Apple cifra la mayoría de los datos de iCloud, pero históricamente ha conservado las claves de las copias de seguridad de iCloud, incluidos tus iMessages, que están cifrados de extremo a extremo en el dispositivo pero se respaldan sin cifrar en iCloud. La Protección de Datos Avanzada de Apple (introducida a finales de 2022) habilita un verdadero E2EE para la mayoría de las categorías de iCloud, incluidas las copias de seguridad, iCloud Drive, Fotos y Notas. Es opcional y no está activada por defecto. Actívala en Ajustes > [Tu nombre] > iCloud > Protección de Datos Avanzada.

Nota: iCloud Mail, Contactos y Calendario quedan fuera del E2EE porque necesitan interoperar con servidores ajenos a Apple.

Dropbox

Dropbox conserva las claves de cifrado de todos los archivos. Dropbox ha cumplido con solicitudes de las fuerzas del orden. Al igual que Google, un empleado de Dropbox con el acceso adecuado podría leer tus archivos. No existe una opción de cifrado de extremo a extremo para el Dropbox estándar.

OneDrive

Microsoft conserva las claves y cumplirá con las solicitudes legales. El Almacén Personal de Microsoft 365 añade una capa de autenticación adicional, pero no proporciona E2EE.

Proveedores que ofrecen verdadero E2EE

Proton Drive

Proton Drive utiliza cifrado de extremo a extremo de conocimiento cero. Proton no posee ninguna clave de tus datos. Jurisdicción suiza, auditado. Adecuado para documentos sensibles. Dispone de un plan gratuito y planes de pago para más almacenamiento.

Tresorit

Cifrado de extremo a extremo, de conocimiento cero, con sede en Suiza y Hungría. Sólidas funciones para empresas y equipos. Utilizado por bufetes de abogados, periodistas y organizaciones sanitarias. Más caro que las opciones convencionales.

Filen

Almacenamiento en la nube de código abierto, con E2EE de conocimiento cero. Considerablemente más barato que Tresorit. Auditado. Un buen equilibrio entre precio y privacidad.

Cifrar archivos antes de subirlos

No tienes que cambiar de proveedor. Puedes cifrar los archivos localmente antes de subirlos a Google Drive, Dropbox o cualquier otro servicio. Si el proveedor sufre una brecha o recibe un requerimiento judicial, solo obtiene texto cifrado que no puede leer.

Cryptomator

Cryptomator es la herramienta recomendada para esto. Es gratuita, de código abierto y crea una bóveda cifrada dentro de tu carpeta de almacenamiento en la nube existente. Trabajas con los archivos con normalidad: Cryptomator los cifra de forma transparente antes de que se sincronicen.

Configuración:

1. Descarga Cryptomator desde cryptomator.org (verifica la firma)
2. Crea una bóveda nueva dentro de tu carpeta de Dropbox o Google Drive
3. Establece una frase de contraseña robusta (guárdala en tu gestor de contraseñas)
4. Añade archivos a la bóveda con normalidad; se sincronizan cifrados en la nube

El proveedor solo ve bloques cifrados con nombres de archivo aleatorizados. Incluso los metadatos sobre qué archivos tienes quedan ocultos.

VeraCrypt

Para archivos grandes o copias de seguridad, los contenedores de VeraCrypt funcionan bien. Crea un archivo contenedor cifrado, añade tus archivos, cierra el contenedor y luego sube el archivo contenedor. Más fricción que Cryptomator para el uso diario, pero excelente para archivado.

7-Zip con AES-256

Para compartir rápidamente archivos sensibles, un archivo 7-Zip con cifrado AES-256 y una frase de contraseña robusta es aceptable. Envía la frase de contraseña por un canal distinto (Signal, no correo electrónico).

Recomendaciones prácticas según el caso de uso

Archivos cotidianos, fotos, documentos: Google Drive o iCloud estándar son suficientes. Estos archivos no son lo bastante sensibles como para justificar la fricción.

Documentos personales sensibles (declaraciones de impuestos, escaneos de pasaporte, historiales médicos): usa bóvedas de Cryptomator sobre tu almacenamiento existente, o cambia a Proton Drive.

Documentos sensibles de empresa (contratos, propiedad intelectual, archivos legales): Proton Drive o Tresorit con E2EE aplicado.

Copias de seguridad: activa la Protección de Datos Avanzada de iCloud si usas Apple. En caso contrario, cifra las copias de seguridad locales con VeraCrypt antes de subirlas.

No olvides el uso compartido

El cifrado en la nube protege los archivos en reposo. Cuando compartes un enlace, estás concediendo acceso. Ten cuidado con:

• Compartir con "Cualquier persona con el enlace" cuando querías compartir con una persona concreta
• Carpetas compartidas donde varias personas tienen acceso: la cuenta comprometida de una persona concede acceso a todos
• Aplicaciones de terceros conectadas a tu almacenamiento en la nube (audítalas en los ajustes de tu proveedor)

La conclusión clave

El cifrado del proveedor no es tu cifrado. Para cualquier cosa sensible, elige un proveedor de conocimiento cero o cifra los archivos antes de que salgan de tu dispositivo. Las herramientas para hacerlo son gratuitas, de código abierto y no son difíciles de usar.