Què és el xifratge de coneixement zero? Guia senzilla
El xifratge de coneixement zero vol dir que el proveïdor no pot accedir a les teves dades.
El xifratge de coneixement zero és una arquitectura delimitada pel proveïdor en què el servei no té la clau necessària per desxifrar el contingut emmagatzemat de l'usuari. A diferència del xifratge habitual al núvol, en què el proveïdor controla la clau de contingut, el xifratge al client pot mantenir aquesta capacitat als dispositius de l'usuari. Una petició legal, una filtració o algú de dins encara pot exposar el text xifrat, els registres del compte, les dades de trànsit o altres metadades que conservi el proveïdor. Les directrius del NIST sobre gestió de claus situen la custòdia de les claus al centre de l'accés, però l'app client, el sistema operatiu i el dispositiu desbloquejat continuen formant part del límit de confiança.
Com funciona el xifratge de coneixement zero
L'analogia més senzilla: la caixa forta d'un hotel en què només tu defineixes la combinació, i l'hotel no la coneix mai. Si oblides la combinació, l'hotel no te la pot obrir. Això no és un defecte del disseny. És el disseny.
En termes tècnics, el xifratge de coneixement zero funciona en tres passos:
Derivació de la clau al dispositiu. L'usuari aporta una credencial, com ara una contrasenya, una frase de pas o un patró. Una funció de derivació de claus basada en contrasenya la combina amb una sal per produir una clau al dispositiu de l'usuari. Un disseny ben separat pot fer servir aquesta clau per desbloquejar una clau aleatòria de xifratge del contingut en lloc de xifrar cada fitxer directament amb la credencial humana.
Xifratge abans de la transmissió. Totes les dades es xifren al dispositiu amb la clau derivada abans de sortir cap a l'emmagatzematge al núvol o la còpia de seguretat. El resultat xifrat (text xifrat) és el que es puja.
El proveïdor no rep cap clau de contingut en text pla. Les claus de contingut existeixen per força a la memòria del client durant l'ús i també es poden guardar en local o en remot dins de sobres xifrats i autenticats. El proveïdor pot guardar el text xifrat i les claus embolcallades sense tenir el secret de l'usuari necessari per obrir-les. Les metadades del compte, del trànsit, de la mida dels registres i dels horaris poden continuar sent visibles.
La restricció clau: si l'usuari perd totes les credencials vàlides i totes les vies de recuperació, el contingut xifrat queda inaccessible. La recuperació pot existir igualment, però cal explicar qui custodia les claus. Si només un restabliment per correu restaura el contingut llegible sense l'aprovació d'un dispositiu antic, una frase de recuperació, una clau de recuperació o un secret equivalent en mans de l'usuari, el proveïdor ha conservat una via efectiva per tornar al text pla.
Xifratge de coneixement zero i altres tipus de xifratge
El terme "xifratge" apareix als materials de màrqueting de gairebé tots els serveis al núvol. Les diferències entre tipus són importants.
| Tipus | Qui té la clau | El proveïdor pot llegir les dades | Resisteix una filtració del proveïdor | Exemple |
|---|---|---|---|---|
| Sense xifratge | No aplicable | Sí | No | Dropbox (pla estàndard) |
| Xifratge en trànsit (TLS) | Proveïdor | Sí (en repòs als seus servidors) | No | Google Photos |
| Xifratge en repòs al servidor | Proveïdor | Sí (té la clau de desxifratge) | Parcialment (depèn de l'abast de la filtració) | iCloud (estàndard) |
| Xifratge d'extrem a extrem de la plataforma | Dispositius client i sistema de recuperació del compte | No per la via normal del servei | Depèn del client, de la recuperació i de l'exposició de metadades | iCloud amb Protecció de dades avançada |
| Xifratge al client opac per al proveïdor | Client i via de recuperació controlada per l'usuari | El proveïdor no té cap clau de contingut en text pla | El contingut pot seguir xifrat; les metadades i el text xifrat encara es poden filtrar | Caixes fortes i sistemes de còpia de seguretat xifrats |
La distinció que més es confon és la que hi ha entre "xifratge en repòs" i "xifratge de coneixement zero". Amb el xifratge en repòs, el proveïdor xifra les teves dades als seus servidors amb claus que controla ell. Això protegeix del robatori físic del maquinari del servidor. No protegeix de què el proveïdor llegeixi les teves dades, d'una ordre governamental que exigeixi les dades i les claus, ni d'una amenaça interna. El proveïdor té la capacitat de desxifrar.
Amb el xifratge al client opac per al proveïdor, el protocol documentat no dona al servei la clau de contingut en text pla. El text xifrat emmagatzemat pot seguir sent opac per a aquest proveïdor, mentre que el programari client, la via de recuperació, les metadades del compte i el canal de distribució del programari continuen requerint confiança i revisió.
Per què importa el xifratge de coneixement zero
Les filtracions de dades exposen milers de milions de registres cada any
L'Identity Theft Resource Center va registrar 3.205 compromisos de dades als Estats Units el 2023, que van afectar aproximadament 353 milions de persones. Quan un proveïdor té les claus de contingut, una sola filtració pot exposar alhora les dades emmagatzemades i una manera de desxifrar-les. El xifratge opac per al proveïdor separa aquests actius: una filtració del servidor encara pot exposar el text xifrat i les metadades, però no una clau de contingut en text pla en mans del proveïdor. L'endevinació de credencials i el compromís del client continuen sent riscos a part.
L'obligació legal és una amenaça real
Els proveïdors poden estar obligats a lliurar les dades que conserven. Un disseny opac per al proveïdor pot limitar aquesta resposta al text xifrat i a les metadades disponibles del compte, del trànsit, de la facturació o del servei, perquè el proveïdor no té la clau de contingut en text pla. Si un tercer pot obtenir una credencial de l'usuari, explotar un client o forçar-ne la revelació és una qüestió diferent. Apple va introduir la protecció de dades avançada a iOS 16.2 com a ampliació opcional del xifratge d'extrem a extrem per a les dades d'iCloud.
"Confia en nosaltres" no és una arquitectura de seguretat
El xifratge al servidor depèn de claus i polítiques que controla el proveïdor. El xifratge opac per al proveïdor canvia la custòdia de les claus perquè la via documentada del servei no tingui cap clau de contingut en text pla. És un límit arquitectònic més sòlid, però la seva eficàcia continua depenent d'un codi client correcte, d'una distribució de programari autenticada, d'una recuperació ben dissenyada, de dispositius segurs i d'una implementació que s'ajusti a l'especificació.
L'estàndard del NIST darrere la criptografia
El National Institute of Standards and Technology (NIST) va estandarditzar AES-GCM a SP 800-38D (2007). El NIST va seleccionar AES mitjançant un concurs públic el 2001. El "256" d'AES-256 fa referència a una clau de 256 bits. Una cerca exhaustiva sobre una clau aleatòria uniforme és computacionalment inviable, però una contrasenya o un patró humà pot aportar molta menys entropia encara que la funció de derivació de claus produeixi 256 bits.
GCM (Galois/Counter Mode) afegeix xifratge autenticat: el procés de desxifratge detecta qualsevol manipulació del text xifrat. Si es modifica un sol bit de les dades xifrades, el desxifratge falla en lloc de produir un resultat corrupte. Així els atacants no poden manipular les dades xifrades sense que es detecti.
PBKDF2 (Password-Based Key Derivation Function 2), especificada a RFC 8018, converteix una credencial humana en material de clau de longitud fixa mitjançant crides repetides a una funció pseudoaleatòria. Més iteracions augmenten el cost de cada intent. No afegeixen entropia a un patró o una contrasenya previsibles, de manera que l'elecció de la credencial i la verificació fora de línia continuen important.
Com aplica Vaultaire la separació de claus respecte al proveïdor
Vaultaire és una caixa forta amb xifratge al client per a iPhone. En el sentit comercial que sovint s'anomena "coneixement zero", la seva afirmació documentada, més limitada, és que Wraxle no rep el contingut de les caixes fortes en text pla ni les claus necessàries per desxifrar-lo. Així funcionen la implementació i els límits de confiança que queden a cada capa.
Derivació de la clau. L'usuari dibuixa un patró en una graella de 5x5 amb 25 punts. PBKDF2-HMAC-SHA512 combina aquesta seqüència amb una sal del clauer comuna a tot el dispositiu durant 600.000 iteracions per derivar una clau de caixa forta de 256 bits. La clau de la caixa forta autentica l'índex xifrat i embolcalla una clau mestra aleatòria independent de 256 bits. La informació de recuperació, inclòs el patró, es guarda en una base de dades del clauer xifrada amb AES-GCM, no en fitxers de text pla ni en un compte de Vaultaire.
Xifratge dels fitxers. Cada fitxer importat es xifra amb AES-256-GCM amb la clau mestra aleatòria. CryptoKit crea contenidors segellats i autenticats amb nonces nous, i el format de transmissió deriva un nonce diferent per a cada fragment ordenat.
Xifratge de les metadades. Els noms de fitxer, els tipus MIME, les dates, els registres de l'índex i les dades de les miniatures també es protegeixen amb AES-256-GCM. Vaultaire no fa servir ChaCha20 per a les metadades de les caixes fortes.
Gestió de claus. Vaultaire guarda la sal del dispositiu i la base de dades de recuperació xifrada com a elements genèrics de contrasenya del clauer d'iOS, protegits amb la classe d'accessibilitat WhenUnlockedThisDeviceOnly. Les claus de caixa forta derivades del patró i les claus mestres aleatòries es processen a la memòria de l'app amb CryptoKit. Bloquejar elimina l'estat de les claus actives, però Swift i iOS no permeten garantir que se sobreescrigui cada còpia transitòria.
Descobriment de caixes fortes. La interfície normal no mostra cap llista de caixes fortes. Les pàgines de totes les caixes fortes comparteixen una carpeta amb noms aleatoris, així que els noms dels fitxers no mostren a quina caixa forta pertany cada fitxer, i no revelen patrons, noms ni continguts en text pla. Algú amb accés al contenidor de l'app encara pot estimar quantes caixes fortes tens, perquè el nombre d'arenes d'emmagatzematge el limita. Consulta l'arquitectura de seguretat completa i l'explicació del xifratge amb patró.
Com saber si una app fa servir xifratge de coneixement zero real
Comença amb tres proves ràpides i després verifica l'arquitectura publicada:
La prova de la contrasenya oblidada. Si només un restabliment per correu recupera les dades llegibles, pregunta quin mecanisme en mans del proveïdor ha recuperat la clau de contingut efectiva. Les frases de recuperació en mans de l'usuari, l'aprovació des d'un dispositiu antic i els restabliments controlats pel proveïdor són dissenys diferents.
La prova del dispositiu nou. Si un dispositiu nou restaura contingut llegible, identifica el secret o el dispositiu de confiança que ho ha autoritzat. Si només cal iniciar sessió al compte, la via de recuperació probablement la controla el proveïdor; una frase de recuperació més registres de còpia de seguretat xifrats poden mantenir la separació de claus respecte al proveïdor.
La prova del compte. Una adreça de correu o un número de telèfon vinculen la identitat a les metadades del servei, però això sol no demostra que el proveïdor pugui desxifrar el contingut. Revisa la jerarquia de claus, el disseny de la recuperació, el codi client o l'auditoria, la política de metadades i si el text xifrat autenticat permet comprovar credencials fora de línia.
Aquestes proves són filtres, no una demostració de seguretat. Una especificació coherent ha d'identificar la clau de contingut, la clau de desbloqueig, les sals, els paràmetres de derivació, el format de xifratge autenticat, les regles dels nonces, els sobres de recuperació, l'emmagatzematge local de secrets, les metadades al núvol i el punt en què existeixen claus en text pla. Una revisió independent és una prova més sòlida que una etiqueta de producte.
Preguntes freqüents
El xifratge de coneixement zero és el mateix que el xifratge d'extrem a extrem?
Se superposen, però no són idèntics. El xifratge d'extrem a extrem (E2EE) vol dir que les dades es xifren al dispositiu del remitent i només es desxifren al del destinatari. El xifratge de coneixement zero vol dir que el proveïdor no pot accedir a les dades. Un servei pot tenir xifratge d'extrem a extrem sense ser de coneixement zero si el proveïdor ha generat les claus o hi té accés en algun moment. El xifratge de coneixement zero és l'estàndard més estricte.
Què passa si perdo la contrasenya amb xifratge de coneixement zero?
Les teves dades queden inaccessibles per sempre si es perden totes les credencials vàlides i tots els sobres de recuperació. Un restabliment o una clau mestra controlats pel proveïdor debilitarien el límit del proveïdor, així que la recuperació s'ha de dissenyar a part. Vaultaire genera una frase personalitzada de nou paraules; la clau de recuperació que se'n deriva obre un sobre xifrat amb la clau de la caixa forta. La frase no regenera ni codifica la clau, i la restauració en un dispositiu nou també requereix els registres xifrats de CloudKit corresponents.
Les forces de seguretat poden accedir a dades amb xifratge de coneixement zero?
Un proveïdor pot estar obligat a lliurar el text xifrat emmagatzemat i les metadades del compte, del trànsit, de la facturació o del servei que conservi. Sense una clau de contingut en text pla en mans del proveïdor, aquest no pot fer servir la via normal del servei per desxifrar el contingut. L'explotació del dispositiu, el descobriment de credencials, les còpies de recuperació i la revelació forçada són vies diferents, i la seva legalitat i eficàcia varien segons la jurisdicció i els fets.
El xifratge de coneixement zero és més lent que el xifratge habitual?
El rendiment d'AES-256-GCM no depèn de qui té la clau. La derivació a partir d'una contrasenya afegeix feina durant el desbloqueig, i la seva durada depèn de l'algorisme, el nombre d'iteracions, el dispositiu i la implementació. Les apps haurien de mesurar aquest cost al maquinari compatible i equilibrar la rapidesa de resposta amb el cost que imposen a cada intent fora de línia.
Coneixement zero vol dir que l'app no recull cap dada?
No necessàriament. El terme es refereix al límit de la clau de contingut del proveïdor, no a tots els fluxos de dades. Una app encara pot processar dades del compte, analítica, informes d'errors, adreces IP, mides dels registres, horaris o altres metadades del servei. Vaultaire no requereix cap compte d'identitat. L'analítica de l'app i els diagnòstics d'errors estan activats per defecte i es poden desactivar amb “Comparteix els errors de manera anònima” a Configuració. La política d'esdeveniments documentada exclou el contingut de les caixes fortes, els patrons, les frases i les claus de desxifratge; la política de privacitat descriu les regles actuals de recollida i conservació.
Com es compara el xifratge de coneixement zero amb la protecció de dades avançada d'Apple?
La Protecció de dades avançada (ADP) d'Apple, introduïda a iOS 16.2, estén el xifratge d'extrem a extrem a més categories d'iCloud i fa servir el model de recuperació del Compte d'Apple. Vaultaire xifra el contingut de les caixes fortes al dispositiu i no requereix cap compte d'identitat de Vaultaire; la seva còpia de seguretat a iCloud, activada per defecte, i la sincronització i la compartició fan servir registres de CloudKit xifrats al client al Compte d'Apple de l'usuari. Vaultaire també ofereix accés a caixes fortes separat per patró i el mode de coacció, amb els límits d'emmagatzematge i de recuperació que es descriuen a la documentació sobre la negació plausible.
En resum
El millor és entendre el xifratge de coneixement zero com una afirmació de separació de claus respecte al proveïdor: el servei no té la clau en text pla necessària per desxifrar el contingut emmagatzemat. És més sòlid que el xifratge al servidor amb claus controlades pel proveïdor, però no vol dir que les claus només existeixin a la memòria, que les metadades desapareguin ni que es resisteixi qualsevol compromís del client o del dispositiu. Jutja el producte per la seva jerarquia de claus, el disseny de la recuperació, la implementació i la revisió independent.