Amazon presentó hace poco una nueva función para sus cámaras Ring que la empresa llama Throw Away the Key Encryption (TAKE, "cifrado de tirar la llave"). La idea es reducir la cantidad de contenido de video al que la empresa tiene acceso y, por lo tanto, el que potencialmente puede llegar a manos de las fuerzas del orden. Pero aunque técnicamente añade un obstáculo para acceder al contenido completo de los videos, no ofrece ni de cerca el nivel de privacidad que deberíamos exigirles a los timbres con video y a otras cámaras de seguridad.

TAKE introduce una nueva manera de que Ring administre las claves de cifrado: el dispositivo del usuario tiene su clave y la empresa guarda claves de cifrado de forma temporal dentro de su propia infraestructura en la nube. Los servidores de Ring reciben las claves temporalmente para poder ofrecer una variedad de funciones que, según dice, no puede ofrecer cuando un usuario opta por el cifrado de extremo a extremo —como descripciones de video, alertas inteligentes, búsqueda dentro del video y más—, y luego borra la clave al cabo de 24 horas. 

Esto es distinto de cómo funciona hoy, donde las grabaciones se cifran en tránsito y en reposo, y luego Ring —que siempre tiene acceso a ellas— las descifra para procesar esas funciones. 

En comparación, esto es una mejora respecto de la configuración predeterminada actual de Ring, porque al menos le pone algunas restricciones al material grabado en el pasado, pero tiene agujeros serios que vale la pena examinar.

Ring tiene acceso al video sin cifrar durante un periodo corto

Ring diseñó su servicio de modo que muchas de las funciones de sus cámaras, incluidas las alertas inteligentes y la búsqueda dentro del video, necesitan procesamiento en la nube para funcionar. Eso significa que, para ofrecer esas funciones, Ring necesita descifrar las grabaciones mientras están almacenadas en sus servidores en la nube. 

Con TAKE, para descifrar las grabaciones y poder ofrecer esas funciones, Ring obtiene acceso durante 24 horas al material almacenado en la nube. TAKE agrega algunas medidas menores basadas en enclaves seguros para dificultar la exportación directa del material criptográfico de base, pero las claves igual se le entregan a servicios que pueden ser modificados. Con acceso a las claves, el procesamiento en la nube hace lo suyo y le entrega al usuario la función solicitada. La clave se borra 24 horas después, hasta que el usuario quiera ver un video antiguo o usar otras de las llamadas funciones "inteligentes", momento en el cual las claves vuelven a enviarse al servidor. 

En la práctica, eso hace que el sistema en su conjunto apenas se distinga del cifrado en reposo en el que el servidor guarda las claves. El dispositivo del cliente básicamente ocupa el lugar de un módulo de seguridad de hardware (HSM), e incluso pone esas claves a disposición del servidor cada vez que hacen falta. El resultado final es una mejora respecto del estado actual, pero ni siquiera se acerca a las protecciones de privacidad del cifrado de extremo a extremo. 

La empresa dice que no guarda copias de respaldo de las claves y que ningún empleado de Ring puede acceder a las grabaciones. También afirma que todo contenido descifrado se borra de sus servidores. 

Pero eso no significa gran cosa cuando las acciones del propio usuario devuelven las claves al servidor. Y poner funciones como "Búsqueda de video" y "Descripciones inteligentes de video" a disposición del dueño del dispositivo implica que, si bien Ring no puede ver las grabaciones, las descripciones sí quedan al alcance de la empresa. Ante una pregunta sobre esa capacidad, Ring nos respondió: "A medida que Ring siga ampliando y reforzando las protecciones de TAKE, las descripciones de video quedarán incluidas".

Además, las claves de recuperación de cuenta se almacenan por defecto en la propia cámara. Si a eso le sumas que hoy los índices del contenido de los videos están al alcance de la empresa, resulta que TAKE ni siquiera es una protección contra la vigilancia masiva. Las fuerzas del orden podrían solicitar una búsqueda masiva de ciertos términos en todas las cámaras y luego profundizar incautándole al dueño las cámaras que les interesen, descifrando las copias de respaldo de la cuenta y usando esa información para descifrar los videos cifrados. 

La policía todavía puede intentar obligar a que se le dé acceso a las grabaciones

Por la forma en que funcionan el acceso y la rotación de claves, técnicamente sigue siendo posible que Ring modifique su práctica actual si las fuerzas del orden la obligan a hacerlo, del mismo modo que ocurre con otros sistemas de cifrado en reposo donde la empresa guarda las claves. Por ejemplo, Ring podría recibir una orden que le exija guardar en disco, desde la memoria, las claves de cifrado del contenido o los videos sin cifrar, lo que implicaría que conservaría cierto nivel de acceso. 

En un correo electrónico enviado a la EFF, Ring afirmó: "Por diseño, bajo TAKE, Ring no podrá entregar claves de cifrado ni contenido descifrado. Con TAKE, Ring solo conservará y entregará archivos de video cifrados en respuesta a un proceso legal válido. La política de Ring ha sido y sigue siendo oponerse a las solicitudes legales excesivamente amplias". La EFF preguntó específicamente por la posibilidad de acatar órdenes policiales que exijan modificar la práctica vigente para entregar o conservar video sin cifrar —algo que parece técnicamente posible—, pero la empresa no respondió a ese punto.

El cifrado de extremo a extremo mantiene la confianza de su base de usuarios porque la empresa que lo implementa nunca tiene acceso a las claves en ningún momento, lo que le imposibilita acceder al contenido cifrado. Eso también significa que las fuerzas del orden no pueden exigirle al servicio que conserve las claves o que decida no rotarlas. Tal como está descrito, TAKE no ofrece ese nivel de protección.

En última instancia, es Ring quien administra este software y su implementación y, más allá de un documento técnico, "confíen en nosotros" es el único nivel de verificación que les ofrece a los observadores externos. Aunque no resolvería los problemas de fondo, como mínimo absoluto la empresa necesita abrirle toda la infraestructura a auditores externos para que verifiquen sus afirmaciones. Ring parece estar de acuerdo, ya que nos dijo: "Ring realiza revisiones de seguridad rigurosas de todos sus productos antes de lanzarlos, y componentes críticos de la infraestructura de TAKE fueron sometidos a pruebas de seguridad independientes antes del lanzamiento. Estamos explorando opciones para nuevas revisiones independientes".

TAKE no es cifrado de extremo a extremo, en el que Ring nunca tendría acceso a las claves, y por suerte la empresa no lo presenta como tal. Ring ya ofrece la opción del cifrado de extremo a extremo, y activarla por defecto sí traería las mejoras reales de privacidad que todos queremos de los timbres con video.