Cuando se construye una puerta trasera
La frase, en inglés, tiene trece palabras. La verdad de ingeniería que hay detrás es absoluta.
"When you build a backdoor into an encrypted device, anyone can walk through" — "Cuando se construye una puerta trasera en un dispositivo cifrado, cualquiera puede entrar por ella".
Erik Neuenschwander, director sénior de privacidad de usuario y seguridad infantil de Apple, pronunció esa frase ayer por la tarde ante el Comité Permanente de Seguridad Pública y Nacional de la Cámara de los Comunes de Canadá, durante la última sesión prevista sobre el proyecto de ley C-22, la Lawful Access Act, 2026.
Katherine Charlet, de Google, directora sénior de privacidad, seguridad y protección, añadió que los poderes del proyecto son "ilimitados" y podrían tener "repercusiones globales, dado que los canadienses se relacionan con personas de todo el mundo". Jeanette Patell, de Google, directora de asuntos gubernamentales y política pública en Canadá, afirmó: "Las órdenes secretas están fuera de sintonía con otros países democráticos y restringirían gravemente la capacidad de las empresas de ser transparentes con los usuarios sobre cómo se protegen sus datos".
Las dos mayores empresas tecnológicas del mundo dijeron al Parlamento canadiense, para que constara en acta, que este proyecto de ley amenaza la seguridad de todas las personas que usan sus productos.
Qué hace el proyecto de ley C-22
El proyecto de ley C-22 no emplea la palabra "encryption" ("cifrado"). No exige explícitamente a las empresas que rompan su cifrado.
Lo que hace es crear un marco jurídico en el que el Gobierno puede emitir avisos secretos de capacidad técnica ("technical capability notices"): órdenes que obligan a los proveedores de servicios electrónicos a modificar sus sistemas para permitir la interceptación legal de las comunicaciones. El proyecto obliga a los "core providers" (proveedores esenciales) a conservar metadatos hasta un año. Y establece un umbral de "reasonable suspicion" (sospecha razonable) para el acceso, inferior al estándar de "probable cause" (causa probable) que se usa en Estados Unidos.
Los avisos de capacidad técnica se pueden emitir en secreto. No hay control judicial del requisito técnico en sí: solo la orden de interceptación pasa por el escrutinio judicial. No hay obligación de transparencia. No hay mecanismo para que la empresa revele a sus usuarios que se le ha ordenado modificar sus sistemas. No hay obligación de información pública.
El ministro de Seguridad Pública, Gary Anandasangaree, ha descrito el proyecto como "neutral respecto del cifrado". Apple y Google dijeron ayer al Parlamento que esa caracterización no se corresponde con el texto dispositivo del proyecto.
Salt Typhoon
Neuenschwander, de Apple, planteó ayer un argumento probatorio concreto que el comité no había abordado antes: el ciberataque Salt Typhoon.
En 2024, piratas informáticos patrocinados por el Estado chino, del grupo conocido como Salt Typhoon, comprometieron la infraestructura de interceptación legal de las principales operadoras de telecomunicaciones estadounidenses: los sistemas construidos específicamente para cumplir con la Communications Assistance for Law Enforcement Act. Los atacantes explotaron los puntos de acceso que existían porque la ley exigía que existieran. Accedieron a datos de llamadas en tiempo real, a mensajes de texto y a las comunicaciones de altos cargos del Gobierno y de figuras políticas.
Apple dijo al comité: la legislación estadounidense de acceso legal "era más estrecha que el proyecto de ley C-22", y Salt Typhoon la explotó. La puerta trasera que exigió el Gobierno estadounidense fue la puerta trasera por la que entró China.
El argumento estructural no es hipotético. Es un caso documentado en el que la infraestructura de acceso legal de la comunidad de inteligencia técnicamente más sofisticada del mundo fue comprometida por un adversario extranjero a través de los puntos de acceso que la propia ley imponía.
Las amenazas de salida
La comparecencia llega tras semanas de advertencias cada vez más duras por parte de empresas centradas en la privacidad.
Udbhav Tiwari, vicepresidente de estrategia de Signal, afirmó que la empresa "preferiría retirarse del país antes que verse obligada a transigir en las promesas de privacidad que hemos hecho a nuestros usuarios".
Windscribe, un proveedor de VPN con sede en Toronto, confirmó que trasladaría su sede fuera de Canadá antes que cumplir con los requisitos de conservación de metadatos. La política de no conservar registros de Windscribe fue validada en un caso judicial griego en 2025.
NordVPN declaró: "No hay escenario alguno en el que transijamos en nuestra arquitectura sin registros o en nuestras protecciones de cifrado".
ExpressVPN calificó su cifrado y su arquitectura sin registros de "innegociables".
Apple y Meta han expresado públicamente su preocupación. Más de 200 expertos en criptografía e informáticos firmaron una carta abierta contra el enfoque del proyecto en materia de cifrado.
Michael Geist, titular de la Cátedra de Investigación de Canadá en Derecho de Internet y Comercio Electrónico de la Universidad de Ottawa, llamó al proyecto "the Lawful Access Two-Headed Surveillance Monster" — el monstruo bicéfalo de vigilancia del acceso legal — y comparó el desprecio del Gobierno hacia las advertencias del sector con el "desastroso manual de la Online News Act", en referencia a la ley canadiense de 2023 que llevó a Meta a bloquear los contenidos informativos en Canadá.
OpenMedia dijo al comité que "retire el proyecto de ley C-22 o vacíe sus disposiciones de vigilancia".
El precedente británico
La Investigatory Powers Act del Reino Unido contiene disposiciones similares sobre avisos de capacidad técnica. En 2025, Apple recibió una orden secreta al amparo de esa ley que le exigía facilitar acceso a los datos cifrados de iCloud.
La respuesta de Apple no fue construir la puerta trasera. Fue retirar por completo del Reino Unido la función Advanced Data Protection, eliminando el cifrado de extremo a extremo de las copias de seguridad de iCloud para todos los usuarios británicos. Los usuarios perdieron la función de seguridad. El Gobierno no obtuvo el acceso que buscaba. Los adversarios que atacan a los usuarios británicos se enfrentan ahora a un cifrado más débil en sus copias de seguridad de iCloud.
Esta es la consecuencia operativa de la arquitectura de puerta trasera: la empresa que se niega a comprometer el cifrado retira la función en lugar de debilitarla. Los usuarios pierden protección. El Gobierno no gana nada. Los adversarios ganan un objetivo más blando.
Preguntado sobre si Apple haría lo mismo en Canadá, Neuenschwander se negó a especular, pero dijo que la empresa estaba trabajando con el comité para conseguir "enmiendas positivas".
La sesión del comité
La sesión de ayer fue la última comparecencia de testigos prevista antes de que el Comité Permanente de Seguridad Pública y Nacional examine las enmiendas. El comité escuchó a decenas de testigos a lo largo de tres reuniones.
El diputado conservador Frank Caputo presionó para prolongar el debate, alegando que el proyecto se está "metiendo a la fuerza por el Parlamento". La sesión se levantó antes de que comenzara el proceso de enmiendas.
Un representante de la Asociación Canadiense de Jefes de Policía dijo al comité que tres años de conservación de metadatos serían "lo ideal", más que el año que el proyecto exige actualmente.
El ministro de Seguridad Pública, Anandasangaree, ha declarado que está "abierto a enmiendas" y espera aprobar el proyecto antes del receso estival del Parlamento. El proyecto ha completado dos de las tres lecturas en la Cámara de los Comunes y pasará al Senado para su revisión final.
El patrón
El proyecto de ley C-22 no es un hecho legislativo aislado. Es el último de un empuje simultáneo, en varios países democráticos, para imponer el acceso legal a las comunicaciones cifradas.
La Online Safety Act del Reino Unido incluye disposiciones que podrían exigir el escaneo de mensajes cifrados. Meredith Whittaker, presidenta de Signal, declaró que la empresa se marchará del Reino Unido antes que transigir en el cifrado. Se esperaba que Ofcom cerrara las normas técnicas en abril de 2026.
El Parlamento sueco estudia una ley que obligaría a las aplicaciones de mensajería a almacenar las comunicaciones de los usuarios y a facilitar acceso a ellas. El propio director de sistemas de información de las Fuerzas Armadas de Suecia adoptó oficialmente Signal para las comunicaciones no clasificadas; después el Gobierno propuso imponer el acceso a esa misma herramienta.
La Assistance and Access Act de 2018 de Australia convirtió a ese país en el primer Estado democrático en aprobar legislación que socava el cifrado. Se ha utilizado para obligar a empresas a construir capacidades de interceptación sin revelarlo públicamente.
Estados Unidos no impone actualmente puertas traseras en el cifrado, pero el FBI ha pedido reiteradamente un "responsible encryption" ("cifrado responsable") que ofrezca acceso legal. La brecha de Salt Typhoon en los sistemas estadounidenses de interceptación legal ha debilitado el argumento del FBI.
En todos los casos, el mecanismo legislativo es el mismo: otorgar al Gobierno la potestad de emitir órdenes secretas que exijan modificaciones técnicas para permitir la interceptación, sin divulgación pública y con un control judicial limitado del requisito técnico. Y en todos los casos, la respuesta de la comunidad de privacidad y seguridad es la misma: la puerta trasera construida para el Gobierno es explotable por todo adversario, y la prueba documentada — Salt Typhoon — lo demuestra.
La arquitectura que no tiene puerta trasera
La respuesta del lado del usuario al mandato de puerta trasera es la misma respuesta que esta publicación ha documentado en todos los ámbitos de la libertad en internet.
Protocolos cifrados de extremo a extremo en los que la llave la tiene el usuario, no el proveedor del servicio. El proveedor no puede cumplir un aviso de capacidad técnica porque el proveedor no tiene la llave. La arquitectura es la defensa jurídica.
El protocolo de Signal. El cifrado de Matrix. El transporte entre pares de Briar. La red superpuesta entre pares de URnetwork. Cada uno reparte la llave entre los extremos y elimina la capacidad del intermediario para descifrar. Una orden gubernamental dirigida al intermediario no produce nada, porque el intermediario no tiene nada.
Implementaciones de código abierto en las que el código es auditable y la inserción de una puerta trasera es detectable. La transparencia del código es la defensa frente a las órdenes secretas de modificación. Si el código es abierto, la orden no puede ser secreta, porque la modificación sería visible.
Servicios federados y autoalojados en los que el usuario controla el servidor. Un aviso de capacidad técnica notificado al servidor propio de un usuario es una orden de registro, no una puerta trasera: exige un proceso judicial individualizado, no una modificación técnica generalizada.
El contragolpe arquitectónico al proyecto de ley C-22 no es un argumento jurídico. Es una decisión de diseño. El sistema que nunca tiene la llave no puede recibir la orden de entregarla. El sistema cuyo código es abierto no puede modificarlo en secreto. El sistema cuyo servidor es el del propio usuario no puede ser comprometido calladamente por una orden notificada a una empresa.
"Cuando se construye una puerta trasera en un dispositivo cifrado, cualquiera puede entrar por ella".
La arquitectura que no tiene puerta trasera no tiene puerta por la que pueda entrar nadie: ni el Gobierno, ni el adversario, ni la empresa que la construyó.
URnetwork es una red superpuesta entre pares para transporte resistente a la censura. La red superpuesta de URnetwork reparte las claves de cifrado entre los extremos. El intermediario no tiene ninguna clave y no puede cumplir un aviso de capacidad técnica, porque no hay nada que entregar.
https://ur.io
Referencias (10 fuentes)
Referencias
- CBC News: Committee studying lawful access bill urged to protect encryption
- Global News: Apple, Google say lawful access bill could undermine privacy
- Bloomberg: Apple, Google blast Canada's plan to expand police data powers
- AppleInsider: Canada's online safety bill could threaten encryption
- Cybernews: Apple and Google want judges to review government encryption orders
- TechRadar: Windscribe joins Signal in threatening Canada exit
- TechRadar: ExpressVPN joins the backlash against Bill C-22
- Michael Geist: The Lawful Access Two-Headed Surveillance Monster
- OpenMedia: Withdraw Bill C-22 or gut its surveillance provisions
- Parliament of Canada: Bill C-22 LEGISinfo