Muchos proveedores prometen la seguridad de sus datos, pero no todos incluyen el principio de «conocimiento cero» (zero knowledge) entre los servicios que ofrecen. ¿Por qué es tan importante el zero knowledge y cómo influye en la seguridad de sus datos?

En esencia, el «protocolo de conocimiento cero» describe la capacidad de una parte (prover = el probador, es decir, el administrador de los datos) de demostrar a la otra parte (verifier = el verificador, es decir, el propietario de los datos o usuario final) que posee un determinado secreto, sin revelarlo. Dicho de otro modo, el verificador no obtiene ninguna información más allá del hecho de que el probador posee realmente ese secreto.

En el caso concreto del almacenamiento de datos se habla de «zero knowledge storage»: solo el usuario final tiene acceso a sus datos, mientras que su almacenamiento y transmisión se realizan de forma cifrada. Si el almacenamiento no sigue un enfoque de conocimiento cero, es posible que alguien distinto del legítimo propietario pueda acceder a los datos.

Veamos este proceso con más detalle tomando como ejemplo nuestro gestor de contraseñas PassSecurium™.

Los datos de cada instancia (en las ediciones Business) o de cada cuenta individual se cifran con la contraseña que usted elige al registrarse. Con sus contraseñas individuales, los usuarios de la versión Business solo pueden descifrar la parte de la base de datos de la instancia a la que tienen derechos de acceso.

Al iniciar sesión por primera vez, además de la contraseña principal, se pide al usuario que proteja la app móvil con un código de seguridad adicional o con datos biométricos y, en la versión de navegador, con autenticación de dos factores.

Para descifrar la base de datos de la aplicación, el usuario debe introducir su código de seguridad (que solo él conoce) o sus datos biométricos. La sincronización de la aplicación a través de la nube se realiza cifrada mediante HTTPS. Tras un tiempo de inactividad o al salir de la aplicación, la base de datos vuelve a cifrarse.

Solo usted, como propietario de los datos, conoce la contraseña de descifrado. Aunque nuestros administradores son personas íntegras y de confianza, tampoco ellos tienen acceso a sus datos ni a la contraseña de su cuenta. Además, en caso de filtración, de un ataque informático o de una solicitud de las autoridades, de nuestro servidor solo pueden obtenerse datos cifrados que, con el estado actual de la técnica, terceros no pueden descifrar. Para garantizarlo utilizamos el «estándar de oro» del sector: AES-256.

En las versiones empresariales e individuales de nuestro gestor de contraseñas también puede bloquear el acceso desde determinados dispositivos o para determinados usuarios, a fin de evitar pérdidas de datos por la pérdida de un dispositivo o por un posible acceso no autorizado de un intruso.

Si un proveedor almacena los datos según el principio de conocimiento cero, podría parecer que esos datos pueden guardarse en cualquier lugar. Nosotros, sin embargo, hemos decidido ir más allá en la protección de los datos de nuestros clientes: trabajamos exclusivamente con y en centros de datos suizos de confianza (alemanes bajo petición) y ofrecemos además acceso VPN para las instancias empresariales de nuestro gestor de contraseñas PassSecurium™.

No obstante, el almacenamiento de conocimiento cero también tiene algunos inconvenientes.

El cifrado puede ralentizar la aplicación, pero solo al transferir grandes volúmenes de datos. En un gestor de contraseñas, la latencia, es decir, el retraso debido al cifrado, es prácticamente imperceptible para el usuario.

En general, hay que tener en cuenta que en los servicios con enfoque zero knowledge perder la contraseña personal de la cuenta significa perder los datos. Para esta situación crítica, los proveedores deben ofrecer una alternativa de recuperación segura (p. ej., una frase de contraseña impresa en papel que se guarde en un lugar seguro).

En la versión Corporate de PassSecurium™, un administrador puede restablecer el acceso de un usuario que haya perdido la contraseña de su cuenta creando una nueva.

La arquitectura de conocimiento cero otorga a los usuarios una gran responsabilidad sobre sus propios datos, pero ofrece el máximo nivel de protección posible. Con aplicaciones desarrolladas según este principio, no tiene que preocuparse por la seguridad de claves, archivos y otra información confidencial guardada en ellas: todo se almacena y transmite cifrado y solo usted posee la clave de descifrado.

¡Con PassSecurium™ tendrá un control total y ultraseguro de las contraseñas de su empresa y de las personales!

Fuentes adicionales utilizadas para redactar este artículo:
https://en.wikipedia.org/wiki/Zero-knowledge_password_proof
https://www.cloudwards.net/what-exactly-is-zero-knowledge-in-the-cloud-and-how-does-it-work/
https://medium.com/@vixentael/zero-knowledge-architectures-for-mobile-applications-b00a231fda75
https://tresorit.com/blog/zero-knowledge-encryption/