El problema que una caja fuerte cerrada no resuelve
Imagina una caja fuerte en tu recibidor. Por buena que sea la cerradura, la propia caja hace una declaración: aquí dentro hay algo valioso. Cualquiera que la vea puede exigir que se abra — un ladrón, una pareja abusiva, un funcionario en un control. El cifrado por sí solo es esa caja fuerte en el recibidor. El contenido está protegido; la existencia del contenido queda a la vista.
El almacenamiento negable retira la caja fuerte del recibidor. Bien hecho, no hay caja visible, no hay recuento de cajas y no hay forma de demostrar que haya una. La exigencia «abre el resto» falla — no porque te resistieras, sino porque «el resto» no puede demostrarse que existe.
Cómo funciona una caja fuerte negable
Tres propiedades deben sostenerse juntas. Primero, cada caja fuerte es independiente: cada una se cifra con claves derivadas de su propio PIN o frase de acceso, así que abrir una no revela nada sobre las demás. Segundo, no hay registro: no se almacena ningún índice, lista ni contador de cajas fuertes — el propio software no sabe cuántas existen. Tercero, el texto cifrado parece ruido: una caja fuerte no revelada es indistinguible de datos aleatorios sin usar, tanto para una persona como para herramientas forenses.
El resultado invierte el ritual habitual de desbloqueo. En Sealby, un PIN no «desbloquea la app» — elige una caja fuerte. El PIN correcto revela su caja fuerte; cualquier otra entrada abre una caja fuerte nueva y vacía, de forma idéntica. Incluso un PIN mal tecleado es indistinguible de abrir una caja fuerte que siempre estuvo vacía, porque son lo mismo.
Una breve historia
La idea es más antigua que los smartphones. Herramientas de escritorio — la más famosa, TrueCrypt y sus sucesores — ofrecían volúmenes ocultos: un contenedor cifrado dentro del espacio libre de otro, con dos contraseñas revelando dos realidades distintas. Los investigadores formalizaron la propiedad como cifrado negable. Lo que cambió recientemente es dónde están en juego las cosas: el dispositivo más personal es ahora el teléfono que llevas en el bolsillo, y es lo que realmente te presionan a desbloquear.
Lo que la negabilidad no es
Límites honestos, expuestos con claridad. La negabilidad protege datos en reposo frente a inspección. No puede protegerte de alguien que te ve introducir el PIN, de que confirmes que la caja fuerte existe, o de copias en texto claro en otro lugar — una biblioteca de fotos sincronizada, un hilo de chat, una copia de seguridad anterior a la caja fuerte. Y no es una excusa para infringir la ley; es una forma de mantener la vida privada privada bajo presiones que no deberían decidirlo.