Algún trabajo lleva un riesgo que la mayoría no lleva. Periodismo de investigación, investigación de derechos humanos, investigación de seguridad sobre el tema equivocado, activismo bajo un gobierno hostil. El peligro concreto varía. El problema de planificación tiene la misma forma.
Guardas material. Si no puedes confirmar, ese material debe llegar a personas concretas. Mientras puedas seguir confirmando, no debe llegar a nadie, incluido quien te obligue a abrirlo.
Esta entrada trata la estructura de ese problema. No es consejo de seguridad operativa para un modelo de amenaza concreto, ni sustituye hablar con el equipo de seguridad de tu organización o un grupo como Freedom of the Press Foundation.
Empieza por el modelo de amenaza
Antes de elegir cualquier herramienta, sé honesto sobre contra quién te defiendes de verdad. La respuesta correcta difiere enormemente.
Accidente y enfermedad. Te atropella un coche. Nadie te tiene como objetivo. El requisito es simplemente que tu trabajo no se pierda y tus colegas puedan continuarlo. Es el caso más habitual con diferencia, y el más fácil.
Detención. Te retienen, posiblemente con tus dispositivos. El requisito es que tu material llegue a tu editor o abogado, y que quien te retiene no pueda sacártelo quitándote el portátil.
Coacción. Alguien puede obligarte a desbloquear. El requisito es un sistema que se comporte distinto cuando te obligan, porque el cifrado no ayuda si te hacen abrirlo.
Un adversario estatal sofisticado. Si este es genuinamente tu modelo de amenaza, ningún producto de consumo es tu respuesta. Necesitas el equipo de seguridad de tu organización, herramientas específicas y probablemente un air gap. Toma el encuadre de aquí y nada más.
La mayoría que lee esto está en las dos primeras categorías y debería planificar para eso con honestidad en lugar de adoptar la postura de la cuarta.
Los cuatro requisitos
Lo que uses, una configuración de divulgación programada necesita estas propiedades.
No debe activarse antes de tiempo. Un falso positivo es peor que ningún sistema. Si tu material se libera mientras estás en un viaje de reportaje sin señal, has quemado una fuente y posiblemente la has puesto en peligro. Eso implica un periodo de espera, notificaciones escaladas y un camino de cancelación que funcione desde cualquier sitio con conectividad mínima.
Cancelar debe ser fácil y de poco ancho de banda. Puede que estés en un sitio con mala conectividad, en un dispositivo prestado, o con un teléfono que te quitaron y sustituyeron. Si confirmar exige tu portátil y una conexión estable, fallará cuando necesitas que no falle.
Los destinatarios deben ser localizables y preparados. Tu destinatario designado necesita saber que el sistema existe, esperar un mensaje suyo y saber qué hacer. Una notificación que llega en frío, de un servicio que nunca ha oído, se trata como phishing. Es el modo de fallo que nadie planifica.
El proveedor no debería poder leer el material. Cifrado en tu dispositivo antes de subir, para que el servicio guarde texto cifrado. Luego lee con cuidado la entrega, porque todo sistema debe resolver el problema de llevar una clave a otra persona en un momento futuro, y ahí viven los intercambios honestos.
El problema de la coacción
Merece tratamiento propio, porque es el requisito que la mayoría de herramientas ignoran.
El cifrado asume que el adversario no puede obligarte a descifrar. Si puede, por compulsión legal u otra vía, la criptografía no te protege.
Existen enfoques. Una contraseña de coacción es una segunda contraseña que puedes dar bajo presión y que produce un resultado distinto al real. No es magia ni universalmente aplicable, pero para el caso de detención es una opción significativa, y es la razón por la que existe.
Si tu modelo de amenaza incluye compulsión, pregunta específicamente si una herramienta tiene respuesta aquí. La mayoría no.
Dónde encaja HeirVault, con honestidad
Este es nuestro sitio, así que aquí va la cuenta directa, incluidos los límites.
HeirVault es dejar, confirmar y reclamar para entregas de contingencia. Dejas documentos, notas y archivos, designas quién recibe qué, y confirmas según un calendario. Si fallas una confirmación, empieza un periodo de espera con avisos para ti. Si confirmas, todo se detiene. Si pasa el periodo de espera, los contactos que designaste pueden reclamar lo que reservaste para ellos.
Tu bóveda activa está protegida con cifrado de extremo a extremo y se cifra en tu navegador antes de subirla. Eso significa que HeirVault almacena texto cifrado y no puede descifrar tu bóveda activa.
El plan Shield es el pensado para este caso. Añade una contraseña de coacción, una segunda contraseña para cuando te obligan a desbloquear. También permite intervalos de confirmación más cortos, hasta un día, confirmaciones de dispositivo vía API para que un script o dispositivo mantenga el interruptor, y una cola prioritaria para correos de liberación y recordatorios.
Ahora los límites, porque no deberías elegir una herramienta para esto basándote en marketing.
La entrega asistida por HeirVault, la opción cómoda por defecto, almacena una clave de entrega protegida y la transfiere a la cuenta del beneficiario tras la reclamación. Ese camino no es de extremo a extremo solo hacia el beneficiario. Si tu modelo de amenaza exige que HeirVault nunca guarde nada que pudiera abrir una entrega, usa uno de los otros modos: inscribe ya a tu destinatario para que la entrega se envuelva a su clave de cuenta, o comparte una contraseña de beneficiario única fuera de banda. Ambos mantienen esa clave de entrega fuera de nuestros servidores. La página de seguridad documenta cada modo.
También somos una empresa pequeña, y para un adversario a nivel estatal eso es un hecho relevante. Pésalo.
La página de alto riesgo y la página para periodistas cubren esto con más detalle, y la página de contraseña de coacción cubre esa función en concreto.
Consejo práctico de configuración
Lo que elijas, esto importa más que la herramienta.
- Díselo con antelación a tu destinatario. Muéstrale cómo será la notificación. Acordad cómo verificará que es real. Este solo paso evita el fallo más probable.
- Elige un intervalo acorde a tu trabajo, no a tu ansiedad. Confirmaciones diarias durante una asignación peligrosa concreta. Mensual el resto del tiempo.
- Practica la cancelación. Hazlo una vez desde el teléfono, con datos móviles, para saber que funciona y cuánto tarda.
- Separa lo sensible de lo meramente importante. No todo necesita la misma protección. Material que identifica fuentes y notas generales de trabajo pueden tratarse distinto, y mezclarlos sube el riesgo de todo.
- Escribe contexto para tu destinatario. Necesita saber qué está mirando, qué está verificado, qué no, y qué querías que se hiciera. Archivos en bruto sin encuadre pueden hacer daño.
- Revísalo cuando cambie la asignación. Destinatarios e intervalos obsoletos son cómo estos sistemas dejan de encajar en silencio con la realidad.
Lecturas adicionales
Para seguridad operativa en periodismo en concreto, Freedom of the Press Foundation publica orientación práctica y actual, y es un mejor punto de partida que cualquier proveedor, incluidos nosotros.
Esto es información general, no consejo legal. Las reglas cambian según el país y la jurisdicción. Habla con un profesional calificado sobre tu situación.
