Qué significa el cifrado de extremo a extremo para una pareja

«Cifrado de extremo a extremo» aparece escrito en tantas partes que ha empezado a parecer una pegatina más que una garantía. Así que aquí está toda la idea en una sola imagen, sin matemáticas de por medio.

Imagina que tú y tu pareja tenéis cada uno una copia de la misma llave para una misma caja pequeña. Metes una nota en la caja, la cierras y se la entregas a un mensajero, que la lleva al otro lado de la ciudad hasta tu pareja. Tu pareja la abre con su copia de la llave. El mensajero es cuidadoso y fiable, pero tampoco puede abrir la caja. No por una política interna, ni porque prometa no hacerlo, sino porque no tiene llave.

En esta escena, nosotros somos el mensajero. Esa es la descripción honesta de lo que hacemos.

Qué está guardado bajo llave en realidad

En Duoheart, las cosas que esperarías que fueran privadas son las que están dentro de la caja: tus cinco respuestas diarias, la conversación que crece debajo de cada una, tus mensajes de chat y las fotos que envías. Se cifran en tu dispositivo antes de salir de él y se descifran en el dispositivo de tu pareja cuando llegan.

Lo que guardamos en nuestros servidores es texto cifrado. Esa palabra significa datos desordenados: una larga cadena de caracteres que no tiene sentido sin la llave. Si alguien obtuviera nuestra base de datos mañana, lo que tendría sería un montón de eso. Ni un diario, ni un álbum de fotos, ni un registro consultable de tu vida. Solo datos ilegibles.

De dónde sale la llave

Esta es la parte que marca la diferencia entre el cifrado real y la versión publicitaria. La llave compartida se genera en vuestros dos dispositivos cuando os vinculáis. No se crea en nuestros servidores para luego entregárosla, porque una llave que pasa por nosotros es una llave que podríamos conservar.

Por eso no hay ningún momento en el que tengamos lo que abre vuestra conversación. Esta es también la razón por la que no puedes pedirnos que leamos un mensaje por ti, que comprobemos si tu pareja realmente envió algo o que busquemos una respuesta antigua que has perdido. No es una norma de soporte técnico que podamos saltarnos si nos mandas un correo amable. No hay nada de nuestro lado que se pueda mirar.

La privacidad que se puede anular con una solicitud de soporte no es privacidad. Es una promesa, y las promesas cambian cuando las empresas cambian.

El peaje que no vamos a ocultar

Toda decisión de seguridad real cuesta algo, y cualquiera que te diga lo contrario te está vendiendo algo. Esto es lo que cuesta esta decisión.

Si ambos miembros de la pareja pierden sus dispositivos y no queda ningún dispositivo con la sesión iniciada en ninguna parte, la conversación no se puede recuperar. Ni tú, ni nosotros, ni nadie. La llave vivía en esos dispositivos y se ha ido con ellos. No podemos reconstruirla a partir del texto cifrado, del mismo modo que un mensajero no puede reconstruir una nota a partir de la forma de la caja.

Creemos que es el compromiso adecuado para una aplicación que guarda lo más personal que escribe una pareja. Pero lo decimos claramente, porque enterarse después sería una forma horrible de descubrirlo. Si quieres conservar tus respuestas diarias durante veinte años, mantén la aplicación instalada en un dispositivo y trata ese dispositivo como tratarías un álbum de fotos.

De qué no te protege el cifrado

Conviene dejar claros los límites, porque aquí es donde la gente se sorprende más a menudo.

El cifrado protege el mensaje en tránsito y guardado en nuestro lado. No protege un teléfono desbloqueado encima de una mesa. Cualquiera que pueda abrir tu dispositivo y abrir la aplicación puede leerlo todo, porque en ese momento, para la aplicación, esa persona eres tú. Un bloqueo de pantalla y un código de acceso hacen más por tu privacidad en el día a día que cualquier cantidad de criptografía.

Tampoco impide que tu pareja haga lo que quiera con su copia. No es un fallo, es la definición misma. Hay dos extremos, y ambos son una persona. El cifrado es una garantía sobre el medio, no una promesa sobre el otro extremo. La confianza entre dos personas se sigue construyendo a la antigua usanza.

Y tampoco hace invisible el hecho de que usas la aplicación. Sabemos que existe una cuenta, sabemos una dirección de correo electrónico para el código de inicio de sesión y sabemos que se han movido datos. Mantenemos esos datos al mínimo razonable, pero no son cero.

Por qué elegimos esto en particular para una app de pareja

La mayoría de las aplicaciones cifradas se diseñan para una noción amplia de seguridad: periodistas, activistas o cualquiera que pueda ser objetivo de alguien. Una aplicación de pareja tiene una versión más silenciosa de esa misma necesidad. Las respuestas diarias son el tipo de cosa que solo dirías en voz alta una vez, a oscuras, a una sola persona. Alguien puede escribir sobre un temor que nunca le ha contado a nadie, o sobre desear un hijo, o sobre no desearlo.

Ese contenido no necesita una amenaza dramática para merecer protección. Solo necesita quedarse entre dos personas, para siempre, sin que ninguno de los dos tenga que pensar en ello. El cifrado por defecto es lo que permite dejar de pensar en eso. La aplicación es gratuita para iPhone y Android en duoheart.app/get.