La Brecha Entre la Promesa y la Arquitectura
Actualizado para 2026
Cada proveedor cloud que maneja datos sensibles hace la misma promesa: «Ciframos tus datos.» Esa promesa es casi siempre cierta. Casi siempre es insuficiente.
El incidente de LastPass en 2022 es el mejor ejemplo. LastPass cifraba los cofres de contraseñas. Usaban cifrado real. La promesa era correcta. Y aun así 25 millones de usuarios vieron sus cofres robados. Para 2025, 438 millones de dólares habían sido sustraídos de usuarios de LastPass en ataques cripto. Coinbase Institutional rastreó esta cifra.
La Oficina del Comisionado de Información del Reino Unido multó a la entidad británica de LastPass con 1,2 millones de libras en diciembre de 2025. Motivo: «no implementar medidas de seguridad técnicas y organizativas apropiadas». El cifrado era real. Pero no cumplió el estándar requerido.
El incidente LastPass cambia la pregunta clave al evaluar cualquier herramienta cloud de privacidad. No «¿cifran nuestros datos?» sino: «¿pueden descifrar nuestros datos?»
Cuatro Preguntas que Realmente Importan
Cuatro preguntas revelan si la promesa zero-knowledge de un proveedor es real.
1. ¿Dónde ocurre la derivación de claves?
En una arquitectura zero-knowledge real, la derivación de claves ocurre en el cliente — en el navegador o la aplicación — antes de enviar datos. La clave cifra los datos localmente. Solo el texto cifrado llega a los servidores del proveedor.
Si el proveedor deriva claves en sus servidores, él las posee. Si las posee, puede descifrar. La promesa puede ser correcta — pero es engañosa.
2. ¿El proveedor accede alguna vez al texto plano?
Algunas herramientas cifran datos en reposo. Pero los descifran para procesarlos — para modelos de IA, índices de búsqueda o registros de auditoría. Durante esa ventana, el texto plano está en la infraestructura del proveedor. Un ataque en ese momento expone datos sin cifrar.
3. ¿Qué ocurre bajo proceso legal?
Un proveedor con claves en el servidor puede ser obligado a entregar contenido descifrado. Un proveedor con zero-knowledge real solo puede producir texto cifrado. No tiene nada útil que entregar, ni siquiera ante una citación judicial.
4. ¿Qué expone un compromiso total?
En un sistema zero-knowledge genuino, un compromiso total solo produce blobs cifrados. El atacante obtiene texto cifrado sin claves. En un sistema con claves del proveedor, una intrusión expone claves y datos a la vez.
La Brecha de Implementación de LastPass
El incidente LastPass reveló un fallo concreto. Las cuentas antiguas usaban PBKDF2 con solo 1 iteración para la derivación de claves. El número recomendado es 600.000 iteraciones. Ese ajuste débil hacía factibles los ataques de fuerza bruta sobre cofres robados.
Esto muestra por qué verificar el diseño solo no es suficiente. Un proveedor puede usar un diseño zero-knowledge e implementarlo mal. Pregunta por ambos aspectos: dónde se derivan las claves y qué tan robusto es el algoritmo.
Un Modo de Fallo Diferente: Okta
En octubre de 2023, Okta reveló la filtración de más de 600.000 registros de soporte al cliente. Okta es una plataforma de identidad. No fue un diseño zero-knowledge débil. Fue una intrusión en la infraestructura de soporte que contenía datos de clientes.
El aumento del 300% en ataques a SaaS en 2024 (AppOmni/CSA) refleja ambos tipos. La arquitectura zero-knowledge aborda el primer tipo. No elimina todos los riesgos. Pero garantiza que un compromiso total del sistema no exponga datos descifrable de clientes.
Cómo Es una Evaluación Real
Aquí hay una lista de verificación práctica para equipos de compras.
Revisión de arquitectura:
- Pregunta dónde ocurre la derivación de claves — en el cliente o en el servidor del proveedor
- Solicita el algoritmo de cifrado, longitud de clave y número de iteraciones
- Confirma que el texto plano nunca se envía a los servidores del proveedor
Prueba de escenario de compromiso:
- Pregunta qué expondría un compromiso total del servidor
- La única respuesta correcta: «texto cifrado que no podemos descifrar»
- Cualquier otra respuesta significa que la promesa no es zero-knowledge real
Revisión legal:
- Pregunta si el proveedor puede cumplir una citación judicial por texto plano de clientes
- Un proveedor zero-knowledge real no puede producir lo que no tiene
Verificación de cumplimiento:
- Solicita la documentación de cumplimiento RGPD Artículo 32 del proveedor
- ISO 27001 — específicamente Anexo A controles criptográficos — aporta verificación externa
La multa de 1,2 millones de libras a LastPass muestra que los reguladores ahora verifican si las promesas de cifrado cumplen un estándar requerido. Los equipos de compras pueden aplicar el mismo marco antes de que ocurra un incidente.
Consulta nuestro resumen de seguridad y cumplimiento para saber cómo anonym.legal implementa la arquitectura zero-knowledge. La documentación de cumplimiento cubre las medidas técnicas del RGPD Artículo 32 en detalle. Para preguntas frecuentes, consulta el FAQ zero-knowledge.