Cando non hai ninguén no medio

Dúas persoas, unha conversa

Cando dúas persoas falan cara a cara nunha habitación, ninguén máis ten que prometer que non oíu nada. Non oíu porque non estaba. Cando dúas persoas pasan un papel dunha man á outra, ninguén no medio ten que xurar que non o leu. Non hai ninguén no medio.

A maior parte das cousas na vida cotiá funcionan así. Non asinamos acordos de confidencialidade co aire que transmite a nosa voz, nin co papel que sostemos. A privacidade da conversa non descansa sobre a promesa dun intermediario, porque non hai intermediario. Esa é unha das formas máis fortes que existe de ser privado: non porque algo ou alguén se comporte ben, senón porque non hai algo ou alguén.

Cando a conversa trasládase a unha canle dixital, isto cambia por defecto. O modelo habitual é o seguinte: dúas persoas conéctanse a un servidor, o servidor recibe a mensaxe, cífraa ou gárdaa cifrada, e entrégalla ao destinatario. O servidor está no medio. O servidor pode ser honesto. Pode estar auditado. Pode operar nunha xurisdición favorable e baixo unha política de privacidade estrita. Todo iso pode ser certo. Pero o servidor está no medio.

A diferenza entre cifrar e non recoller (segunda parte)

Nun artigo anterior desta mesma serie sostemos que cifrar o contido e non recoller metadatos non son o mesmo. Hai un paso máis alá que convén formular con claridade: cifrar o que pasa por un servidor e non ter servidor son tampouco o mesmo.

O primeiro modelo —servidor no medio, contido cifrado— protexe o contido do operador do servidor, do seu persoal de mantemento, dun atacante externo que comprometa o sistema. E iso é importante. Pero non elimina ao servidor: segue aí, procesando metadatos, exposto a un requirimento xudicial, unha intervención legal, unha presión política ou unha fenda de seguridade. Segue sendo, en definitiva, un punto que require depositar confianza en alguén.

O segundo modelo, sen servidor entre os dous extremos, non protexe mellor o contido cifrado: se a criptografía é sólida, o contido vai protexido en ambos casos. O que cambia é a pregunta mesma: «que pasa co servidor?» deixa de ter obxecto, porque non existe servidor sobre o que preguntar.

Confianza, ausencia, e a diferenza entre ambas

A confianza pode estar ben depositada. Empresas honestas existen. Auditores rigorosos existen. Lexislacións favorables ao usuario existen. Servizos serios que cumpren escrupulosamente con todo o anterior existen. A confianza, cando se concede a un operador que a merece, non é un mal arranxo.

Pero a confianza, por sólida que sexa, segue sendo confianza. É unha solución social, non unha solución técnica. Unha empresa pode cambiar de mans, unha xurisdición pode cambiar de goberno, unha orde xudicial pode chegar mañá, unha vulnerabilidade nova pode descubrirse o mes que vén. Nada disto sucede por mala fe: sucede porque o operador existe, e todo o que existe está suxeito ás continxencias do mundo.

A ausencia dun operador non está suxeita a esas mesmas continxencias. Unha orde xudicial non pode pedir datos a un servidor que non existe. Un atacante non pode comprometer un servidor que non existe. Un cambio na política dunha empresa non pode afectar a datos que esa empresa nunca tivo. A frase clave é sinxela: os datos que non existen non se poden perder.

Sobre o argumento lexítimo do lado do servidor

Quen ofrece un servizo de mensaxería profesional con servidor no medio adoita formular tres argumentos perfectamente válidos. Primeiro, que o servidor é necesario para garantir a entrega cando o destinatario está desconectado. Segundo, que o cifrado do contido é robusto e por tanto o operador non pode lelo. Terceiro, que o servizo cumpre a lexislación europea e que os datos están protexidos pola lei.

Os tres argumentos son certos. Ningún cambia a natureza do asunto. É certo que un servidor permite almacenar mensaxes para entrega diferida; tamén é certo que a entrega diferida pode resolverse de outra forma, mediante protocolos de comunicación directa entre dispositivos refinados desde hai décadas e operativos hoxe. É certo que o cifrado do contido en tránsito é robusto nos servizos serios. E é certo que a lexislación europea protexe aos usuarios máis que a de moitos outros lugares.

A cuestión non é se os servizos con servidor no medio son legais, nin se son seguros, nin se protexen o contido. Poden selo, son legais, e adoitan ser seguros. A cuestión é que ter un servidor no medio é unha elección arquitectónica, non unha imposición técnica. E cada elección ten consecuencias. Unha arquitectura con servidor no medio xera necesariamente un actor no que hai que confiar. Unha arquitectura sen servidor no medio non.

O que a lei di, e o que a arquitectura fai

O RGPD non esixe un modelo arquitectónico concreto. Esixe resultados: minimización de datos, finalidade limitada, protección desde o deseño e por defecto, capacidade de demostrar o cumprimento. Un servizo con servidor no medio pode cumprir todos estes requisitos. Un servizo sen servidor no medio cumpre varios deles por construción, non por declaración. A minimización absoluta —non recoller nada que non sexa estrictamente necesario para entregar a mensaxe— é trivial cando non existe un servidor que poida recoller algo.

Para os usos cotiáns non sensibles, unha arquitectura con servidor é perfectamente razoable, e a confianza nun operador serio é un arranxo válido. Para os outros usos —os que levan segredo profesional reglado, os que conlevan responsabilidade deontolóxica, os que tocan información especialmente sensible— a ausencia dun punto de confianza non é un luxo, é unha vantaxe estrutural.

O testemuña que non facía falta

Volver á habitación do principio axuda a fixar a idea. Que ninguén escoitara a conversa non depende de que a testemuña se comportara ben: depende de que non había testemuña. Un servidor no medio pode ser honesto, estar auditado, cumprir cada artigo do RGPD, e seguir sendo, precisamente, unha testemuña. Para quen manexa segredo profesional, a pregunta que de verdade importa non é se esa testemuña merece confianza: é se facía falta que estivese na habitación.

A resposta, na maioría dos servizos de mensaxería profesional que existen hoxe, é que non facía falta — e estaba de todos os xeitos.

---

Este artigo pecha o ciclo inicial de Cuadernos Lacre. Tras falar do cifrado, os metadatos e o segredo profesional, completamos o cadro arquitectónico: cifrar o contido e non ter servidor no medio son cousas distintas. As dúas poden ser legais; só unha elimina o punto de confianza.