Cómo funciona Clavenzo

Por qué una grabación de la llamada de hoy sigue ilegible

Hay un ataque común y realista que consiste en tener paciencia: grabar ahora el tráfico cifrado, conseguir la clave más tarde (por orden judicial, por robo, entrando en un dispositivo años después) y descifrar la grabación con calma.

Las claves efímeras lo derrotan. La clave que cifró de verdad tu llamada existió lo que duró la llamada, en dos dispositivos, y se destruyó al final. Tu clave de identidad de larga duración solo firma el intercambio; no cifra ni un segundo de audio. Comprometerla mañana permite suplantarte mañana. No permite abrir lo que se grabó ayer.

Esta propiedad se llama secreto hacia el futuro, y es lo más valioso que puede tener una llamada cifrada.

Además, cada llamada vuelve a generar sus claves con ML-KEM-768, un algoritmo poscuántico, una fracción de segundo después de conectar, cuando las dos aplicaciones lo admiten. Responde al mismo atacante paciente con una herramienta mejor: tráfico grabado ahora y abierto más tarde por un ordenador cuántico. Con los mensajes y los archivos, por ahora, es distinto. Se sellan con RSA y ML-KEM-768 a la vez, pero hoy la clave ML-KEM se deriva de la clave RSA, así que todavía no los llamamos poscuánticos. Y un mensaje que espera en el servidor a un móvil apagado no tiene secreto hacia el futuro: quien lo haya grabado y más tarde consiga la clave de identidad del destinatario podría abrirlo.

Qué hace el servidor y qué no puede hacer

Hay un trabajo que una aplicación entre pares no puede hacer sola: despertar a un móvil con la aplicación cerrada. Para eso existe un servicio de encuentro, construido para saber lo menos posible sin dejar de hacerlo.

• Nunca ve el contenido. Las ofertas y los mensajes sin conexión se sellan con la clave del destinatario antes de salir de tu móvil. El servicio guarda bytes que no puede abrir.
• No sabe cómo te llamas. Su directorio guarda la dirección, las claves públicas y la plataforma de cada dispositivo y, si es un móvil, su token de notificaciones. No tiene nombres, ni números de teléfono, ni correos, porque la app nunca los pide. Cualquiera que tenga una dirección puede preguntar si está registrada.
• Sus notificaciones no llevan remitente ni contenido. El aviso que despierta tu móvil dice solo si se trata de una llamada o de un mensaje. En el iPhone, la notificación de un mensaje dice «New message» y «Tap to read». Apple y Google ven que se ha enviado algo y cuándo, pero no qué ni de quién.
• Olvida deprisa. Una invitación de llamada vive 60 segundos. Un mensaje sellado, 72 horas como mucho. Un registro de dispositivo caduca a los 30 días sin renovarse.
• Ve quién llama a quién, mientras dura la espera. Una invitación de llamada o un mensaje sin conexión tiene que nombrar la clave a la que va y la clave de la que viene, así que el servidor ve pasar las dos. No guarda ningún registro de esa pareja una vez que la invitación o el mensaje desaparecen: una invitación se olvida a los 60 segundos y un mensaje, como mucho, a las 72 horas. Ocultar también el remitente (remitente sellado) está en nuestra lista. Nuestros servidores están detrás de Cloudflare, que ve los mismos datos, y nunca el contenido.

Cuando una llamada no puede ir directa (porque las dos redes se niegan, cosa que pasa con algunas operadoras móviles), un relé reenvía los paquetes cifrados: nuestro propio relé por UDP, después por TCP y después los relés de Cloudflare. El relé solo pasa los datos. No tiene clave y no puede conseguirla. Sí ve las direcciones IP de los dos dispositivos. Hoy no hay ningún ajuste que envíe todas las llamadas por un relé, y en cada llamada, vaya por un relé o no, cada dispositivo conoce la dirección IP del otro.

Cuando algo se rompe

Clavenzo se diseñó alrededor de una pregunta difícil: ¿qué sigue funcionando cuando las cosas van mal? Una tormenta tumba un centro de datos. Un país estrangula sus conexiones. Un proveedor desaparece. Las antenas fallan y solo queda una red local. Cada uno de esos casos tiene su respuesta aquí abajo.

• Sin ningún internet. Los teléfonos en la misma Wi-Fi o punto de acceso pueden llamarse directamente, dentro de los límites que se explican arriba. Sin servidor, sin nada fuera de la habitación.
• Los servidores son pequeños, y hay varios. Solo presentan a dos teléfonos y guardan mensajes sellados. El audio y el vídeo no pasan por ellos salvo que haga falta un relé, así que todo el servicio funciona con un puñado de máquinas pequeñas de distintos proveedores y en distintos lugares.
• Ninguno de ellos es imprescindible. Tu teléfono se registra en todos los servidores y recoge de todos. Si uno cae, los demás siguen, y una llamada se contesta a través del servidor que la entregó.
• La lista de servidores va firmada. Los teléfonos la descargan de los propios servidores y la comprueban con una clave que nunca toca un servidor. Pueden sumarse servidores nuevos sin actualizar la app, y nunca se puede reutilizar una lista antigua para mandar los teléfonos adonde no deben ir.
• Sin DNS, sin problema. La lista incluye direcciones de red directas con certificados fijados, así que los teléfonos pueden llegar a un servidor aunque un servidor de nombres esté caído o mienta, o falle una red de distribución de contenidos, sin confiar en ninguna autoridad de certificación.
• Dos relés, una escalera. Cuando dos redes impiden una ruta directa, un relé lleva la llamada cifrada: nuestro propio relé por UDP, después por TCP y después los relés de Cloudflare. Si falla uno, se pierde un escalón, no la llamada.
• Enlaces finos y poco fiables. La voz necesita 13,2 kbit/s. El búfer de fluctuación mide la red y se adapta, los paquetes perdidos se disimulan en vez de sonar como chasquidos, y los archivos grandes se pausan y reanudan solos.
• Redes que estorban. Hay proxies SOCKS5 y HTTP CONNECT incorporados, para redes que obligan a usar uno o donde el resolvedor local está bloqueado o manipulado.

Cambiar de móvil

Dos exportaciones distintas, deliberadamente separadas, porque llevan cosas distintas.

Una copia de seguridad cifrada guarda tus conversaciones, fotos, historial de llamadas y contactos en un archivo que dejas donde quieras. Se abre solo con un código que se muestra una vez al exportar y no se guarda en ningún sitio. Importar añade lo que falta y no sobrescribe nunca lo que ya está.

Una exportación de identidad mueve la clave que es tu dirección. Va sellada con su propio código de traspaso de un solo uso, se sitúa detrás del bloqueo de pantalla de tu móvil y es la única forma en que esa clave sale de un dispositivo. Importarla hace que el móvil nuevo responda como esa identidad.

Dónde se detiene este diseño

Todo diseño tiene límites. Estos son los nuestros.

• Quién habla con quién. Una invitación de llamada o un mensaje sin conexión nombra las dos direcciones entre las que pasa, así que el servidor, y Cloudflare delante de él, ven esa pareja mientras se guarda. Además, el saludo inicial de una llamada directa lleva las dos claves de identidad sin cifrar, así que quien observe esa red puede saber qué dos identidades hablan. Ninguna de las dos cosas revela una palabra de lo que se dice. Las dos son metadatos, y las dos están en la lista para arreglar.
• Tiempos y metadatos. El servidor ve necesariamente cuándo se registra tu dispositivo. El ritmo de los paquetes durante una llamada puede revelar cuándo habla alguien, aunque nada de lo dicho escape del cifrado.
• Tu dirección IP. En cada llamada, incluso en una que acaba pasando por un relé, la aplicación de la otra persona conoce tu dirección IP, porque los dos dispositivos intercambian direcciones de red para buscar una ruta directa. Puede revelar aproximadamente dónde estás. Un relé también ve las dos direcciones IP.
• Tu dispositivo es el punto débil. Quien tenga tu móvil desbloqueado tiene tus mensajes. Un programa malicioso en el móvil lee lo que escribes antes de que llegue a cifrarse. Esto vale para todos los mensajeros que se han escrito.
• No ha sido auditado de forma independiente. Está hecho con cuidado y probado a fondo. No es lo mismo y no vamos a fingir que lo sea.

Si tu modelo de amenaza incluye a un adversario capaz de vigilar una red entera, entiende estos límites, usa la compatibilidad con proxy y no te juegues a una sola herramienta (esta incluida) nada que no puedas permitirte perder.