La aplicación que no arranca
Piense en la persona más celosa de su privacidad que conozca. Usa GrapheneOS, el Android sin Google que prefieren los investigadores de seguridad y quienes tienen motivos reales para ser cautelosos: supervivientes de violencia machista, periodistas, disidentes. Este verano la Unión Europea les ofrece una aplicación de verificación de edad que es, por diseño, genuinamente buena: código abierto, construida sobre pruebas de conocimiento cero, capaz de demostrar "mayor de 18" sin revelar una fecha de nacimiento, un nombre ni nada más — justo lo que los defensores de la privacidad llevaban una década pidiendo en lugar de subir el pasaporte. Y se negará a funcionar en su teléfono. No porque su teléfono sea inseguro. Porque no lleva la bendición de Google.
Esa negativa es toda la historia de las últimas dos semanas, y en realidad no va de menores. Debajo de los controles de edad, de las peleas por la tienda de aplicaciones y de las normas para desarrolladores hay una sola exigencia: demuestre que tiene permiso para ejecutar esto. Demuestre que su dispositivo es auténtico. Demuestre su edad. Demuestre que el autor del software tiene un nombre legal registrado. La palabra técnica para esa exigencia es atestación (attestation): un tercero de confianza —en la práctica, Apple o Google— que responde criptográficamente ante cualquier aplicación, sitio web o regulador que lo pida. Las dos compañías dedicaron años a incrustar esa capa de aval en el propio sistema operativo. En una sola quincena de este julio, tres clases de guardián echaron mano de ella a la vez, y otras dos señalaron el rodeo como el próximo objetivo.
Primera mandíbula: el puesto de control
La tienda de aplicaciones. El 6 de julio el Tribunal Supremo de EE. UU., por la vía de urgencia —dos breves autos sin firma, sin votos particulares anotados—, dejó en pie la App Store Accountability Act de Texas, exigible desde que el Quinto Circuito levantó el 4 de junio la medida cautelar de un tribunal de distrito. Apple y Google deben ahora verificar la edad de cada usuario al crear la cuenta, clasificar a cada persona en una de cuatro franjas y encauzar toda descarga de un menor de 18 años a través de un progenitor verificado — para todas las aplicaciones, no solo las de adultos. Y fíjese en el cómo: la Declared Age Range API de Apple, introducida en iOS 26, y la Play Age Signals API de Google hacen que sea el propio sistema operativo el que responda por su edad ante cualquier aplicación que lo pida. La ley no obliga al sitio porno a comprobar su documento de identidad. Convierte al dispositivo en el oráculo.
El teléfono privado. La aplicación europea de verificación de edad está diseñada para exigir Play Integrity de Google y App Attest de Apple como confirmación del dispositivo antes de ejecutarse — de modo que, como señalaron los análisis técnicos cuando aparecieron los pilotos, "no funcionaría en GrapheneOS ni en ninguna otra ROM de Android no aprobada por Google", ni siquiera si usted mismo compilara ese código idéntico, porque no llegó desde la Play Store. La Comisión que multa a Google al amparo de la Digital Markets Act está reclutando la atestación de Google como infraestructura de identidad. La aplicación es una recomendación no vinculante, con pilotos en Dinamarca, Francia, Grecia, Italia y España y un despliegue sugerido para el 31 de diciembre — pero la decisión de diseño ya está tomada.
Su propio código. La Android Developer Verification de Google exigirá a todo desarrollador registrar una identidad legal antes de que su software pueda instalarse en un dispositivo certificado; la aplicación de la norma empieza el 30 de septiembre en Brasil, Indonesia, Singapur y Tailandia, y se extiende desde ahí. El 1 de julio, F-Droid —la tienda insignia del software libre— llamó al cliente de verificación latente, ya distribuido como servicio del sistema en los Android modernos, "un virus … a la espera silenciosa de una activación remota", y advirtió de que la norma acabaría con su proyecto, porque distribuye aplicaciones de colaboradores seudónimos que no van a entregar a Google un documento oficial de identidad. El 9 de julio publicó su propia respuesta, un verificador de software libre llamado AppVerifier.
Esto no es una fase de verano. Se está escribiendo en ley permanente. La AB 1043 de California, firmada el pasado octubre, obligará desde el 1 de enero de 2027 a todo proveedor de sistema operativo —Apple, Google y, en su literalidad, el Linux de escritorio y el SteamOS de Valve— a recabar su edad durante la configuración inicial del dispositivo y a difundir una señal de franja de edad a cualquier aplicación que la solicite. El dispositivo deja de limitarse a ejecutar su software. Empieza a informar sobre usted al software.
Segunda mandíbula: las vías de escape, señaladas por su nombre
Cierre el dispositivo y la tienda, y la gente los rodeará. Las dos últimas semanas muestran a qué recurre el Estado a continuación.
Reino Unido. La verificación de edad obligatoria para los sitios de adultos entró en vigor el 25 de julio de 2025; su primer aniversario cae este mes, con el primer informe legal de eficacia de Ofcom previsto antes de que acabe julio. El resultado medible del primer año fue migración, no seguridad: el primer día, Proton VPN informó de que las altas en el Reino Unido subieron más del 1.400 por ciento respecto de la hora anterior y más del 1.800 por ciento respecto del día anterior, y las aplicaciones de VPN ocuparon la mitad del top ten de gratuitas de la App Store británica. "Normalmente asociaríamos estos grandes picos de altas con disturbios civiles de envergadura", dijo Proton al Financial Times. La respuesta oficial no fue replantearse el muro, sino poner el ojo en la escalera: la Comisionada de Infancia de Inglaterra calificó el repunte de VPN de "un resquicio que hay que cerrar" e instó a imponer controles de edad a las VPN; una consulta del Gobierno esta primavera puso la idea formalmente sobre la mesa.
He aquí el dato que debería haber zanjado la conversación. El repunte fue de adultos, no de los menores a los que apunta la ley. Las propias directrices de Ofcom señalan que solo alrededor de uno de cada diez usuarios de VPN es un menor; dos encuestas independientes —Internet Matters, que preguntó a mil menores el pasado diciembre, y Childnet— no encontraron aumento alguno en el uso de VPN por parte de menores. Así que imponer controles de edad a las VPN identificaría a millones de adultos para cerrar un resquicio que los menores nunca estaban usando. Es el mismo error de categoría del primer muro, una capa más abajo.
Bruselas. Tras la batalla del Chat Control, la siguiente vía de la Comisión hacia los datos privados es la retención obligatoria. Su instrumento de retención de datos "Going Dark" —esperado hacia mediados de 2026 y, a día de hoy, aún no presentado— obligaría, según un documento del Consejo filtrado el pasado noviembre, a que los metadatos de conexión sean registrados por todos los servicios en línea, con los proveedores de VPN nombrados explícitamente, durante un año o más. Y aquí la exigencia choca con un muro de su propia fabricación: una VPN genuinamente sin registros no tiene nada que entregar, porque se construyó para no guardar nada. Mullvad, el proveedor sueco, dice que no registrará nada diga lo que diga el texto final — lo que, una vez que el instrumento lo reclasifique, convertiría una VPN sin registros en algo efectivamente ilegal en Europa. Una orden de retener es una orden de dejar de existir. Rodee la puerta, y el rodeo se convierte en la siguiente puerta.
La misma quincena, una capa más abajo
Cierre la puerta de la identidad y todavía queda la red: la capacidad bruta de mover un paquete hasta un servidor que no esté bloqueado. Esa puerta se estaba reconstruyendo la misma quincena, por otra mano, en otro hemisferio.
El 10 de junio, un ingeniero en Irán hizo todo lo que dicen los manuales. Puso su túnel detrás de Cloudflare y trituró el saludo inicial en fragmentos de diez a treinta bytes para que la caja de inspección del censor nunca viera entero el nombre de dominio prohibido. El dominio estaba muerto en un día de todos modos. La inspección profunda de paquetes de Irán había sido actualizada para hacer reensamblado completo de TCP: retiene los fragmentos en memoria, espera y recompone la frase antes de leerla, anulando el truco de evasión más barato de casi todas las herramientas. En Rusia, entre el 1 y el 15 de junio, Roskomnadzor tumbó más del noventa por ciento de los servidores de Amnezia VPN dentro del país, según TechRadar — no prohibiendo un protocolo, sino tomando la huella de la firma de cada servidor e inundándolo, y después inundando la propia infraestructura de Amnezia hasta que, según dijo la compañía, ya no pudo publicar sus cifras porque el ataque había inutilizado la herramienta misma con la que mide la censura. El censor cegó al testigo.
La inflexión, dicha sin rodeos: un protocolo es una idea, y una idea no se puede enumerar; un servidor es una máquina con una dirección, y sí se puede. Una vez que el objetivo es el servidor fijo y localizable, un Estado bien financiado tritura su lista de direcciones más deprisa de lo que usted puede reponerlas. Y en una ventana de setenta y dos horas de este mes el campo del código abierto respondió con un mismo diseño: el 10 de julio, OpenRung — "Snowflake para todo el dispositivo", relés voluntarios alcanzados a través de un intermediario que nunca transporta tráfico, con una lista de relés firmada criptográficamente que el censor no puede envenenar; el 11 de julio, un cliente de Android, Orden, que lleva dos protocolos a la vez y cambia en cuanto uno es estrangulado; el 12 de julio, la investigación revisada por pares sobre censura del campo, publicada antes de los simposios FOCI y PETS — incluido el análisis del kit filtrado que empaqueta el Gran Cortafuegos de China como producto y lo vende a Birmania, Pakistán, Kazajistán y Etiopía. El ataque se vende como servicio la misma semana en que la defensa se revisa por pares a la vista de todos. Dos manos, una puerta: la ley nombra las vías de escape mientras la inspección de paquetes las cierra físicamente.
El mejor argumento en contra, en toda su fuerza
Tome el otro lado en su versión más fuerte, porque es fuerte. Los menores llegan de verdad a pornografía dura en dos toques, y la tienda de aplicaciones es de verdad el punto donde se aprovisiona el teléfono — de modo que es un punto de control defendible, no un exceso evidente. Quienes lo defienden no son una minoría marginal: coaliciones de protección de la infancia presentaron escritos pidiendo a los tribunales que dejaran en pie la ley de Texas, y el Quinto Circuito no la dejó pasar sin más: sostuvo que Texas "made a strong showing that it is likely to succeed on the merits" —hizo una demostración sólida de que es probable que prospere en el fondo del asunto— y que la norma "more likely governs commercial speech" —regula más probablemente discurso comercial—, sujeto solo a un criterio de ajuste razonable. Las pruebas de conocimiento cero de la aplicación europea son, en sus propios términos, una mejora real de privacidad frente a subir un pasaporte a un sitio porno. El argumento del malware de Google también es real: informa de que el software instalado desde internet, fuera de la tienda, presenta más de cincuenta veces la tasa de infección de la Play Store, y de que las identidades de desarrollador anónimas y desechables son justamente lo que permite a un autor de malware descubierto cambiar de marca y volver a publicar por la mañana. En la capa de red se aplica el mismo realismo: la ofuscación siempre ha sido un impuesto que paga todo protocolo, el censor se adapta en días —Rusia tomó la huella del transporte Snowflake de Tor de la noche a la mañana en marzo— y repartir las salidas por dispositivos domésticos traslada la denuncia por abuso a la conexión de casa de algún voluntario, donde es donde llega la policía. Y estas medidas las escribieron legisladores distintos, en capitales distintas, por razones distintas, con relojes distintos. No hay ningún memorando. Ver un cercamiento coordinado en cinco leyes de seguridad sin relación entre sí es exactamente el patrón del que un lector cuidadoso debería desconfiar.
La réplica que sobrevive a ese argumento
Empiece por el teléfono, porque ahí la historia de la seguridad se derrumba limpiamente. GrapheneOS queda excluido no por ser menos seguro, sino por no ser de Google. El proyecto señala —y esto es verificable de forma independiente en su propia documentación— que la API estándar de atestación por hardware de Android "ofrece una forma de atestación mucho más sólida que la Play Integrity API", capaz de admitir en lista blanca las claves de un sistema alternativo, y que "la única razón por la que [Google] no lo permite es que no licenciamos Google Mobile Services … haciendo valer los intereses comerciales de Google antes que la seguridad". Una atestación más sólida y más abierta suspende el examen a propósito. Así que la puerta no está preguntando si su dispositivo es seguro. Está preguntando si está bendecido.
La historia del malware se quiebra igual. La Developer Verification no inspecciona ni una línea de código y no impide a ningún desarrollador verificado publicar algo hostil; es un mecanismo de identidad y revocación, no un escáner. Y la pista está en el precio: el nivel de pago cuesta 25 dólares y un documento oficial de identidad, pero el nivel gratuito no pide documento alguno — y le limita a unos veinte dispositivos. Lo que se está midiendo no es el dinero. Es el anonimato a escala: suficiente para probar entre amigos, nunca suficiente para llegar al público sin un nombre registrado.
Después, el punto de la "ausencia de coordinación", que es cierto, que concedemos, y que empeora la situación en lugar de mejorarla. No hace falta un memorando para producir un cercamiento. Hacen falta una primitiva cómoda y muchos guardianes. Una vez que el sistema operativo responde por el dispositivo, por la edad del usuario y por la identidad del desarrollador, toda autoridad que quiera un puesto de control echa mano de la misma capa, porque está ahí mismo y funciona. El resultado no es una trama; es un colapso gravitatorio hacia el cuello de botella — y es más difícil de detener que una conspiración, porque no hay una sola ley que derrotar ni nadie a quien pedir cuentas por la suma. Cada ley es defendible por separado. El sistema que suman es lo que nadie firmó.
La capa de red responde a su propio mejor argumento en contra de la misma manera. La afirmación nunca fue que el modelado de tráfico gane la carrera armamentística; es que el modelado más la diversidad cambian la aritmética del censor. Tomar la huella e inundar resulta devastador contra unos pocos cientos de servidores fijos —por eso cayó el noventa por ciento de los de Amnezia— y casi inútil contra millones de direcciones residenciales que parecen las de consumidores corrientes y que no pueden inundarse sin tumbar la internet de consumo de la que depende el propio Estado. El ataque ruso de junio presupone un servidor al que dar caza; quite el servidor fijo y quitará aquello para lo que se construyó el ataque.
Y esa es la pista que unifica las dos mandíbulas. Nada de lo que hay en la lista del mejor argumento en contra —una edad comprobada, un autor de malware atrapado, una orden judicial cumplida— exige excluir GrapheneOS, acabar con F-Droid, ilegalizar una VPN sin registros o tomar la huella de un relé residencial. Esas herramientas se nombran porque derrotan al puesto de control, no al objetivo de seguridad. Son el residuo que la puerta no puede procesar: los dispositivos, los autores y las conexiones que no tienen una parte central que responda por ellos. Un cercamiento se define por lo que deja fuera de la valla.
Lo que sabemos y lo que no
Mantengamos el balance honesto, porque la fuerza del patrón está en su contención. Exigible hoy: la ley de Texas (un estado, en apelación, con vista de fondo en el Quinto Circuito prevista para agosto), el régimen británico de control de edad, la fecha del 30 de septiembre de la Developer Verification de Google y —desde 2027— la señal de edad a nivel de sistema operativo de California. Una recomendación no vinculante con pilotos en marcha: la aplicación de edad de la UE, cuya exclusión de GrapheneOS es tanto diseño publicado como hecho ya desplegado, y a la que su proveedor llamó "pánico prematuro" hace un año. Una propuesta aún no presentada: la retención de datos de la UE que nombra a las VPN. Pura labor de incidencia por ahora, no ley: el empujón británico para imponer controles de edad a las VPN. Y de hace unos días, de red pequeña y nacidos en un foro: OpenRung y Orden, cuya promesa es real y cuya escala está sin probar. Nadie ha demostrado que haya coordinación, porque no la hay que demostrar. Lo documentado es más estrecho y más extraño: cinco guardianes que, de forma independiente, echan mano de la misma primitiva y nombran las mismas vías de escape en la misma quincena, mientras la inspección de paquetes las cerraba desde el otro lado.
Lo que realmente se puede hacer
Lo que no lleva aval sigue funcionando hoy, y usarlo es el argumento. GrapheneOS se instala sin cuenta y sin documento de identidad, y sus responsables dicen que seguirá siendo así; F-Droid publicó AppVerifier el 9 de julio; conserve un teléfono que todavía pueda instalar aplicaciones fuera de la tienda, porque esa capacidad es exactamente lo que el 30 de septiembre viene a recortar. Lleve más de un transporte, como hace Orden, para que un estrangulamiento sea un encogimiento de hombros y no un apagón; actualice su cliente de evasión y no se irrite con las actualizaciones forzadas, porque los trucos sin estado que llevaban dentro los antiguos son justamente los que están muriendo este mes; y ejecute una sonda de medición —OONI publicó una aplicación de escritorio el 6 de julio— porque los mapas de lo que está bloqueado se construyen con usuarios que aportan voluntariamente los datos.
El resto es político, y las palancas están vivas. El Quinto Circuito ve el fondo de la ley de Texas en agosto. La propuesta europea de retención sigue redactándose, y le espera una década de sentencias del Tribunal de Justicia contra la retención "general e indiferenciada". El despliegue de Google es una política de empresa, no una ley, y más de setenta organizaciones de veintitrés países ya se han pronunciado en contra por escrito.
La confianza que no hace falta depositar
La respuesta más profunda es aquella a la que esta publicación llega una y otra vez desde todas las direcciones. La atestación es una manera de depositar confianza en una parte central —Google, Apple, una VPN a la que se podría ordenar que registre, un servidor que se está quieto el tiempo suficiente para que le tomen la huella— y de esperar que siga siendo digna de confianza, o que siga en pie. La alternativa no es un guardián mejor. Es una arquitectura que elimina la necesidad de guardián: enrutamiento cebolla, WireGuard, relés descentralizados y redes de mezcla como URnetwork, donde ningún operador posee la identidad con la que responder por usted, ninguno puede ser obligado a registrarle y no hay una flota fija de servidores que enumerar. Digamos el límite honesto con claridad: ninguna VPN oculta su cara ante la cámara de una estación, y ninguna cantidad de descentralización conjura una señal cuando un gobierno desenchufa la red entera, como hizo Irán en enero. Dentro de esos límites, la propiedad que esta quincena no puede vallar es la que merece la pena construir: no se puede atestiguar aquello que no tiene puerta, y no se puede tomar la huella de aquello que no tiene un servidor fijo. Construya la red de modo que "demuestre que tiene permiso para ejecutar esto" no tenga ya a quién preguntar.
Referencias (1 fuentes)
Referencias
- SCOTUSblog y NPR, "Supreme Court allows Texas to enforce app-store age-verification and parental-consent law" (6 de julio de 2026); CCIA v. Paxton — suspensión de la medida cautelar de distrito concedida por el Quinto Circuito el 4 de junio de 2026; App Store Accountability Act (SB 2420), fecha legal de entrada en vigor 1 de enero de 2026; medida cautelar del W.D. Tex. (juez Robert Pitman) de diciembre de 2025; vista sobre el fondo señalada para agosto de 2026.
- Apple Developer, "Update on age requirements for apps distributed in Texas" (Declared Age Range API, iOS 26; cuatro franjas de edad); Ayuda de Google Play Console, "Changes to Google Play for upcoming app-store laws" (Play Age Signals API).
- Legislatura de California, AB 1043 (Digital Age Assurance Act), firmada en octubre de 2025, en vigor el 1 de enero de 2027 (señal de edad a nivel de sistema operativo; aplicable a todos los proveedores de SO) — leginfo.legislature.ca.gov; cobertura de Tom's Hardware que señala la exposición de Linux/SteamOS.
- Comisión Europea, "Commission recommends rollout of the age-verification app" (29 de abril de 2026; no vinculante; despliegue sugerido para el 31 de diciembre de 2026; pilotos DK/FR/GR/IT/ES); OSnews y ppc.land, "EU age-verification app requires a Google/Apple-approved device" (julio de 2025); Biometric Update, respuesta de Scytales ("Play Integrity one of the methods; premature panic", julio de 2025).
- GrapheneOS, "Attestation compatibility guide" (la atestación por hardware es más sólida que Play Integrity; la exclusión responde a la licencia de Google Mobile Services, "not security").
- F-Droid, "What We Talk About When We Talk About Malware" (Marc Prud'hommeaux, 1 de julio de 2026; "a virus … silently awaiting remote activation"); F-Droid, "This Week in F-Droid", AppVerifier (9 de julio de 2026); Google, Android Developers Blog, "Android developer verification" (marzo de 2026; afirmación de >50× de malware fuera de la tienda; 25 dólares + documento oficial de identidad; nivel gratuito de distribución limitada, ~20 dispositivos, sin documento; aplicación de la norma el 30 de septiembre en BR/ID/SG/TH); carta abierta de más de 70 organizaciones de 23 países (EFF, ACLU, FSF, Tor, Proton, LineageOS).
- TechRadar y el Financial Times, repunte de VPN en el Reino Unido tras el control de edad (Proton +1.400 % por hora / +1.800 % por día; cita sobre los "disturbios civiles"; en vigor desde el 25 de julio de 2025); directrices de Ofcom sobre verificación de edad ("about one in ten VPN users is a child"); Internet Matters (diciembre de 2025, n≈1.000) y Childnet sobre la ausencia de aumento en el uso de VPN por menores; Technadu, "loophole that needs closing" de la Comisionada de Infancia y su llamamiento a controlar la edad en las VPN; informe de eficacia de Ofcom previsto para finales de julio de 2026.
- TechRadar, "EU prepares ground for wider data retention — VPN providers among the targets"; heise, "Data retention proposal expected by mid-2026" (no presentada a mediados de julio); documento del Consejo filtrado (noviembre de 2025) que nombra a los proveedores de VPN y una retención de ~12 meses; Mullvad (política de no registros); línea jurisprudencial del TJUE contra la retención general e indiferenciada (Digital Rights Ireland 2014; Tele2 2016; La Quadrature du Net 2020).
- Convergencia (capa de red): net4people/bbs #628 (reensamblado completo de TCP en Irán, 10 de junio de 2026) y análisis del apagón iraní en FOCI 2026; TechRadar y Meduza sobre la ofensiva de Roskomnadzor contra Amnezia (>90 % de los servidores rusos, junio de 2026; herramienta de medición inutilizada); modelado de tráfico de AmneziaWG 2.0 (publicado hacia el 25 de marzo de 2026); net4people/bbs #634 (OpenRung, 10 de julio) y #635 (Orden, 11 de julio); Tor Project, Arti 2.5.0 con Counter Galois Onion estable (30 de junio de 2026); actas de petsymposium.org/foci/2026 (públicas hacia el 12 de julio; censura de QUIC-SNI en Rusia; "Geedge Cases" — kit del Gran Cortafuegos exportado a Birmania/Pakistán/Kazajistán/Etiopía); aplicación de escritorio de OONI Probe (6 de julio de 2026).