Compartir archivos seguro para activistas: mantente seguro

Los activistas, periodistas y trabajadores de derechos humanos se enfrentan a un modelo de amenaza específico: adversarios a nivel estatal, malware dirigido, vigilancia de redes, confiscación de dispositivos e ingeniería social contra contactos. Compartir archivos de forma segura para este público requiere cifrado extremo a extremo donde las claves nunca toquen ningún servidor, transporte enrutado por Tor para evitar el rastreo por IP, eliminación de metadatos, almacenamiento con denegabilidad plausible y alternativas distribuidas cuando los servicios principales son bloqueados. Las herramientas de uso general como WeTransfer o Dropbox son inadecuadas aquí porque retienen registros de IP, requieren cuentas y responden a citaciones judiciales en sus jurisdicciones. A continuación, un enfoque práctico basado primero en el modelo de amenaza.

Empieza con un modelo de amenaza escrito

Antes de elegir herramientas, anota contra quién te defiendes, qué quieren y qué pueden hacer. Un activista climático en Madrid rastreando documentos de lobbying se enfrenta a un adversario diferente al de un periodista bielorruso filtrando documentos del régimen. La guía Surveillance Self-Defense de la Electronic Frontier Foundation propone responder cinco preguntas: qué quiero proteger, de quién, qué pasa si fallo, qué probabilidad tiene la amenaza y cuánto esfuerzo estoy dispuesto a dedicar.

Un activista doméstico en una democracia se preocupa por el descubrimiento civil, la contravigilancia corporativa y el doxxing. Un activista bajo un régimen autoritario se preocupa por la inteligencia de señales, la confiscación de dispositivos, los registros en fronteras y el bloqueo a nivel de red de servicios como Signal o Tor. Las herramientas que funcionan para uno con frecuencia fallan para el otro.

Tor Browser como base para el transporte

Para cualquiera bajo vigilancia de red, las subidas deben ir a través de Tor. Tor Browser (basado en Firefox ESR) enruta el tráfico a través de tres nodos, de modo que el servicio de transferencia solo ve un nodo de salida aleatorio, no la IP real del emisor. Para países que bloquean Tor directamente (China, Irán, Rusia en distintos momentos), los puentes como obfs4 y meek-azure disfrazan el tráfico de Tor como HTTPS ordinario.

OnionShare merece mención directa porque está diseñado exactamente para este caso de uso. Ejecuta un servicio oculto Tor temporal en el propio ordenador del usuario, genera una URL .onion y permite al destinatario descargar directamente. Sin servidor de terceros, sin registros centralizados, nada que pueda ser citado judicialmente. La contrapartida es que emisor y receptor deben estar en línea simultáneamente (salvo que OnionShare se ejecute en un servidor persistente).

Signal para entregar los enlaces, no para transferir archivos

Signal es el estándar de oro para mensajería pero una herramienta mediocre de transferencia de archivos. Su límite de tamaño de adjuntos (100 MB en el momento de escribir esto), almacenados brevemente en los servidores de Signal en forma cifrada, lo hace inadecuado para nada más grande que un pequeño paquete de documentos. Usa Signal para entregar los enlaces y las contraseñas de descifrado, nunca el mismo canal para ambos. El enlace por Signal, la contraseña en una reunión presencial o por un canal separado de Session, mantiene las dos mitades separadas aunque un extremo sea comprometido.

Session (basado en la red Loki), Briar (entre pares sobre Tor y Bluetooth) y Matrix con cifrado Olm/Megolm en servidores autohospedados son alternativas cuando Signal mismo está bloqueado o cuando el registro con número de teléfono es demasiado expositor.

Servicios con cifrado en el cliente

Para el propio archivo, elige servicios que cifren en el navegador antes de subir:

• Cryptpad (francés, compatible con RGPD, zero-knowledge por diseño)
• HexaTransfer (AES-256-GCM en el cliente, sin cuenta, retención máxima 7 días, límite de 10 GB)
• Tresorit Send (suizo, cifrado en el cliente, enlaces protegidos con contraseña)
• Proton Drive Share (suizo, integrado con ProtonMail)

Evita: WeTransfer (solo cifrado en el servidor), Google Drive (sujeto a las autoridades estadounidenses, analiza algunos tipos de contenido), iCloud (igual), cualquier servicio que requiera número de teléfono para registrarse.

Comprueba dos cosas en cada política de privacidad: el período de retención de IP y la jurisdicción. Suiza e Islandia tienen protecciones legales sólidas; EE. UU. y Reino Unido tienen amplios poderes de solicitud sin orden judicial bajo la CLOUD Act y la Investigatory Powers Act respectivamente. La arquitectura zero-knowledge hace que la jurisdicción importe menos porque no hay nada significativo que entregar, pero sigue determinando qué ocurre cuando se solicitan los metadatos.

Los metadatos son a menudo más peligrosos que el contenido

Un .jpg extraído de un móvil lleva coordenadas GPS, modelo de dispositivo e identificadores derivados del número de serie en el EXIF. Un .docx incrusta el nombre de usuario del sistema operativo del autor. Un .pdf incorpora el software de creación y con frecuencia el nombre del autor. Antes de compartir, elimínalo todo.

Para imágenes: exiftool -all= foto.jpg limpia el EXIF en Linux y macOS. En Android, Scrambled Exif es una aplicación de confianza disponible en F-Droid. Para documentos: exporta a .pdf y ejecuta "Desinfectar documento" de Adobe Acrobat, o usa "Eliminar información personal" en LibreOffice en Herramientas → Opciones → LibreOffice → Seguridad. Para vídeos, ffmpeg con -map_metadata -1 elimina los metadatos del contenedor.

Renombra los archivos antes de subir. informe-borrador-v3-alicia.pdf da a los investigadores tres puntos de datos. archivo.pdf no da ninguno.

Compartimentación de dispositivos y cuentas

Usa un dispositivo dedicado o una máquina virtual para el trabajo de activismo. Un USB de arranque Tails (enrutado por Tor, amnésico) no deja rastro en el ordenador anfitrión. Whonix ejecuta dos VMs (pasarela y estación de trabajo) que fuerzan todo el tráfico a través de Tor. Qubes OS aísla cada actividad en su propia VM.

En cuanto a las cuentas, cada actividad sensible tiene su propio correo, financiado de forma anónima si se requiere pago (tarjetas regalo compradas en efectivo para servicios VPS, Monero para cualquier cosa que requiera criptomoneda). El objetivo es que el compromiso de una cuenta o dispositivo no se propague a los demás.

Buzones muertos y denegabilidad plausible

A veces la transferencia más segura es la que no parece una transferencia. Patrones de buzón muerto: sube un archivo cifrado a un servicio de pegado público bajo un nombre aleatorio, comparte la URL y la clave de descifrado por canales separados. Los volúmenes ocultos en contenedores VeraCrypt permiten que un adversario que exige revelar una contraseña vea solo archivos inocuos, mientras el contenido real permanece en un volumen oculto cuya existencia puede negarse.

Para trabajo de mayor riesgo, SecureDrop (operado por la Freedom of the Press Foundation y desplegado por The Guardian, The New York Times, Washington Post y otros) proporciona un sistema de envío solo accesible por Tor donde las fuentes suben a través de un servicio oculto y los periodistas recuperan los archivos desde estaciones de trabajo con separación física de red. SecureDrop está diseñado específicamente para el patrón filtración-periodista y merece conocerse si ese es el caso de uso.

Qué hacer si confiscan un dispositivo

Asume compromiso cuando un dispositivo sale de tu control físico. En fronteras, ante detenciones o tras un ataque dirigido conocido, los dispositivos deben considerarse completamente comprometidos. Pasos prácticos:

• Usa un dispositivo de usar y tirar para viajes, con solo las apps y cuentas que puedas permitirte exponer
• Activa el cifrado completo del disco (FileVault, BitLocker, LUKS) con una contraseña no reutilizada en ningún otro servicio
• Apaga el dispositivo antes de cruzar fronteras (las claves de cifrado se borran de la RAM al arrancar en frío)
• Ten una señal de alarma acordada con contactos de confianza (una frase específica en el siguiente mensaje significa "cuenta comprometida, ignora mensajes anteriores")

Tras la confiscación, rota todas las contraseñas, revoca todas las sesiones activas (Signal: Ajustes → Dispositivos vinculados; Google: Seguridad → Tus dispositivos) y asume que cualquier archivo transferido en la última semana está en manos del adversario.

Recursos que merece la pena guardar

La guía Surveillance Self-Defense de la EFF (ssd.eff.org), la Línea de Ayuda de Seguridad Digital de Access Now (accessnow.org/help), Security in a Box de Tactical Tech y los materiales de formación de la Freedom of the Press Foundation cubren este terreno en profundidad. Para amenazas específicas por región, las organizaciones locales de derechos digitales (Xnet en España, Derechos Digitales en Latinoamérica, APC globalmente, 7amleh en Palestina) publican guías adaptadas al contexto.

Pruébalo en hexatransfer.com — gratis, sin cuenta, hasta 10 GB.