Almacenamiento Cifrado en la Nube - La Guía Completa

Este artículo está dedicado a quienes planean o ya utilizan almacenamiento cifrado en la nube para sus datos. Primero, expliquemos qué significa el término "nube" tan utilizado hoy en día. La nube no es más que un tipo de almacenamiento que conocemos de nuestras computadoras, con la diferencia de que está ubicado en internet en un centro de datos. ¿Y para qué es bueno? Es bueno porque los datos que almacenamos allí son accesibles desde cualquier lugar con conexión a internet.

En este artículo, describiré soluciones de almacenamiento cifrado en la nube de pCloud e Internxt, y cómo cifrar datos en la nube. ¿Y por qué cifrar datos en la nube adicionalmente? Escribo sobre esto en mis otros artículos también: se trata de privacidad digital. De esta manera, tienes la seguridad de que nadie más que tú tiene acceso a tus datos.

Proveedores de Almacenamiento Cifrado en la Nube: pCloud, Internxt y Google Drive

pCloud

pCloud tiene su sede en Suiza (con centros de datos en la UE y EE.UU. - puedes elegir UE). Actualmente tienen aproximadamente 24 millones de clientes. El pago por su almacenamiento es mensual, anual o de por vida. Puedes acceder a la nube a través de una aplicación disponible en Windows, macOS, Linux y Android.

pCloud también ofrece un complemento opcional de pago llamado pCloud Crypto. Cuando lo compras, obtienes una carpeta cifrada "del lado del cliente" en el servidor. Los datos se cifran en tu dispositivo y la versión cifrada se sube al servidor en la nube. Si pierdes tu clave, pierdes permanentemente tus datos: ese es el precio del modelo de conocimiento cero. Para los datos fuera de pCloud Crypto, solo se pueden recuperar con una pCloud Recovery Key si pierdes tu contraseña. Recibes esta clave durante el registro en pCloud y debes guardarla cuidadosamente. Sin ella, los datos en el servidor no se pueden recuperar.

Internxt

Internxt tiene su sede en España (UE) y cumple plenamente con el GDPR. La legislación europea ofrece una protección de privacidad mucho más fuerte que la ley estadounidense.

Mientras que Google Drive y pCloud son software de código cerrado, Internxt es de código abierto. Esto significa que desarrolladores independientes y expertos en seguridad pueden examinar el código en cualquier momento y verificar que el servicio realmente hace lo que afirma (y que no tiene puertas traseras ocultas). Sus aplicaciones de escritorio, móvil y web están en GitHub. Para la comunidad enfocada en la privacidad, esta es una gran ventaja.

Todos los archivos se cifran en tu dispositivo antes de subirlos. Internxt no conoce tu contraseña y no tiene acceso a tus archivos. Si olvidas tu contraseña, tus datos se pierden - exactamente igual que con pCloud Crypto. Los archivos no se almacenan en un servidor masivo sino que se dividen y almacenan en diferentes servidores alrededor del mundo. Si un servidor se cae, no pierdes tus datos. Esto también dificulta los ataques físicos a los servidores.

Google Cloud

También mencionaré Google Cloud aquí, ya que mucha gente seguramente pregunta sobre él. Google Drive no es más barato a largo plazo. Aunque Google Drive puede parecer barato mensualmente, es una suscripción que pagas para siempre. Una vez que dejas de pagar, pierdes tu almacenamiento. pCloud e Internxt ofrecen planes de por vida (Lifetime).

Google es una empresa que recopila patrones de comportamiento y crea perfiles de usuario incluso a partir de datos cifrados. pCloud e Internxt son principalmente empresas de almacenamiento: su modelo de negocio no se basa en perfilar a los usuarios. Por último, pero no menos importante, también se trata de jurisdicción y protección legal bajo la que cae la empresa (EE.UU. vs. UE/Suiza).

Google Drive también está sujeto a las leyes estadounidenses (CLOUD Act, Patriot Act). Las autoridades estadounidenses pueden solicitar tus datos a Google (incluso si solo ven archivos cifrados) y Google debe entregarlos, a menudo sin que tú lo sepas.

Comparación de Soluciones de Nube

Si los argumentos anteriores te han convencido de ir con pCloud y quieres crear una cuenta en la nube, el enlace está abajo. El plan Lifetime asegura almacenamiento en la nube de por vida. Obtienes suficiente espacio para copias de seguridad regulares de documentos, fotos y videos. Y como mencioné arriba: recomiendo guardar tu pCloud Recovery Key en un lugar seguro justo durante el registro.

Si los argumentos anteriores te han interesado en Internxt y quieres cambiar a su plan, el enlace para crear una cuenta está abajo. Internxt ofrece licencias Lifetime, así que pagas una vez y no tienes que preocuparte por suscripciones mensuales. Y a diferencia de pCloud, no necesitas una Recovery Key, pero debes guardar la contraseña de tu cuenta muy cuidadosamente. Internxt es totalmente de conocimiento cero, así que si olvidas tu contraseña, tus datos se pierden permanentemente. Sin recuperación por email, sin soporte al cliente, sin puertas traseras. Ese es el precio de la verdadera privacidad.

Debido a la configuración muy estricta del cliente de Internxt, no pude configurar Cryptomator para cifrar el almacenamiento.

Software de Cifrado

En este capítulo, describiremos las propiedades y adecuación del software de cifrado. Pero primero, ¿qué pasa con la nube? ¿Necesitamos siquiera cifrar datos cuando ya están cifrados en la nube (Internxt y pCloud Crypto)? Honestamente, si somos un poco paranoicos, la certeza del 100% solo viene cuando ciframos los datos nosotros mismos en el almacenamiento local antes de enviarlos a la nube.

Existen varias soluciones que funcionan bajo el principio de cifrar datos localmente y luego sincronizarlos con la nube. Aquí están las principales alternativas:

1. VeraCrypt (Mejor para cifrado local)

VeraCrypt crea discos virtuales cifrados o contenedores, pero no es ideal para sincronización en la nube.

Por qué no para la nube:

• VeraCrypt empaqueta todos los datos en un archivo grande (contenedor).
• Cuando cambias un archivo dentro, todo el contenedor debe volver a subirse.
• Si abres el mismo contenedor en un portátil y un smartphone, arriesgas conflictos, pérdida de datos o corrupción.

Cuándo usar:

• Para cifrado local de discos enteros o particiones.
• Para crear un archivo fijo único que subes a la nube como un todo.

2. Rclone (Mejor para usuarios avanzados)

Rclone es una utilidad de línea de comandos para sincronizar con proveedores de nube con cifrado integrado.

Ventajas:

• Soporta más de 40 servicios de nube (Google Drive, Dropbox, OneDrive, S3, etc.).
• Ofrece cifrado tanto de archivos como de nombres de archivos.
• No necesita clientes propietarios para sincronización en la nube.
• Verificaciones de integridad basadas en hash.

Desventajas:

• Solo línea de comandos (sin GUI).
• Requiere conocimientos técnicos.

3. gocryptfs (Alternativa más rápida)

gocryptfs es un sistema de archivos de cifrado de código abierto que cifra archivos individuales (similar a Cryptomator).

Ventajas:

• Más rápido que Cryptomator (los usuarios reportan reducción de tiempos de inicio de 50 segundos a 6 segundos).
• Cifra archivos individuales, por lo que es adecuado para sincronización en la nube.

Desventajas:

• Comunidad más pequeña y menos amigable para el usuario que Cryptomator.
• Soporte de plataformas limitado.

4. EncFS (Alternativa más antigua)

EncFS es un cifrado de archivos de código abierto para Linux.

Problemas:

• Las auditorías de seguridad revelan prácticas criptográficas obsoletas.
• Usa la misma clave para cifrado y autenticación.
• No se recomienda para nuevas instalaciones.

5. Cryptomator (Mejor para almacenamiento cifrado en la nube)

Cryptomator fue diseñado específicamente para almacenamiento cifrado en la nube.

1. Cifrado por archivo: Cuando cambias un archivo, solo se sube ese, no todo el contenedor.
2. Cifrado AES-256: Suficiente para almacenamiento seguro en la nube.
3. Código abierto: Sin puertas traseras, código auditado por Cure53.
4. Multiplataforma: Funciona en Windows, macOS, Linux, iOS y Android.
5. Gratis: La versión de escritorio es gratuita y de código abierto.

Tabla 1: Comparación de herramientas de cifrado

Basado en lo anterior, elegí Cryptomator como software de cifrado. En la parte práctica de este artículo, cubriré la descripción de funcionalidad, instalación y configuración de Cryptomator en Windows 11.

Cómo Funciona Cryptomator

Cryptomator no funciona creando un contenedor grande (como VeraCrypt). En cambio, funciona como una capa de cifrado transparente entre tú y pCloud (en adelante referido como Nube).

Instalación y operación en PC:

1. Instala Cryptomator y crea un nuevo almacén en c:\test
2. Instala el cliente de pCloud y configura la carpeta de sincronización en c:\test
3. El nuevo almacén se mapeará como un disco virtual, p. ej., X:
4. Guarda datos en X: y se cifrarán al vuelo y se subirán automáticamente a través de la sincronización del cliente de nube

Advertencia: Siempre guarda datos a través del disco virtual X:, ¡nunca directamente en c:\test! De lo contrario, los datos se subirían a la nube sin cifrar.

Ejemplo específico

Imagina que tienes un archivo cryptomator_manual.pdf:

Sin Cryptomator:

Tú → Servidor en la nube
cryptomator_manual.pdf → cryptomator_manual.pdf
(La nube ve el contenido, puede indexarlo)

Con Cryptomator:

Tú → Cryptomator → Servidor en la nube
cryptomator_manual.pdf → [cifrado] → f8a3b2c9d1e7...pdf
(La nube ve solo un blob cifrado, no sabe qué es)

Qué hace exactamente Cryptomator

1. Crea un disco virtual

Cuando desbloqueas el almacén, aparece un nuevo disco en el sistema (p. ej., X:). Se ve y funciona como un disco normal: puedes copiar archivos allí, eliminarlos, crear carpetas.

2. Cifra cada archivo por separado

Cuando guardas un archivo en el disco virtual, Cryptomator:

1. Lee el archivo
2. Lo cifra con AES-256
3. Escribe el archivo cifrado en la carpeta destino (p. ej., pCloud/Cryptomator Vault/)

3. Cifra también los nombres de archivos

Esto es importante. Cuando guardas cryptomator_manual.pdf, no se almacenará en la Nube como cryptomator_manual.pdf, sino como algo como f8a3b2c9d1e7f4a2.pdf. La Nube no conoce el nombre del archivo.

4. Cifra también la estructura de carpetas

Incluso los nombres de las carpetas están cifrados. La Nube solo ve:

/Cryptomator Vault/
  /d5a1e7b9c3f2.../
    /a8b2c7d4e1f6.../
      f8a3b2c9d1e7...pdf
      b3c1d9e7a2f5...docx

5. Almacena la clave localmente

La clave de cifrado maestra se almacena como un archivo llamado masterkey.cryptomator dentro del almacén. Este archivo está cifrado con tu contraseña. Sin tu contraseña, la clave no se puede descifrar.

¿Cómo se ve en la práctica?

En tu computadora:

X: (disco virtual - normalmente visible)
├── Documentos/
│   ├── cryptomator_manual.pdf
│   └── contrato.docx
└── Fotos/
    └── vacaciones.jpg

Nube/Cryptomator Vault/ (cifrado)
├── d5a1e7b9c3f2.../
│   ├── f8a3b2c9d1e7...pdf
│   └── b3c1d9e7a2f5...docx
└── a8b2c7d4e1f6.../
    └── c9d1e7b3a2f5...jpg

En el servidor de la Nube:

La Nube solo ve:
├── d5a1e7b9c3f2.../
│   ├── f8a3b2c9d1e7...pdf
│   └── b3c1d9e7a2f5...docx
└── a8b2c7d4e1f6.../
    └── c9d1e7b3a2f5...jpg

La Nube no sabe:

• Cómo se llaman los archivos
• Cuál es su contenido
• Cuál es la estructura de carpetas

Así que la Nube no puede ver el contenido ni los nombres de los archivos: el contenido es solo código binario ilegible. Esto plantea la pregunta: ¿qué pasa cuando te conectas a la Nube desde otra PC? Sí, realmente no tienes acceso a tus datos: solo ves los archivos cifrados mencionados arriba. ¿Cómo accedes a tus datos? Es simple.

El procedimiento en una segunda PC es así:

1. Primero, descarga e instala el cliente de Nube en la nueva PC. Inicia sesión con tu cuenta y configura la sincronización. Esto descargará tu carpeta de almacén desde la nube a la nueva PC. En esta etapa, solo verás archivos cifrados incomprensibles en esa carpeta (sin fotos, sin documentos).
2. Descarga e instala la aplicación Cryptomator.
3. Abre Cryptomator y no hagas clic en "Nuevo almacén", sino elige "Abrir almacén existente". Apúntalo a la carpeta que el cliente de pCloud acaba de descargar. Cryptomator reconocerá el archivo vault.cryptomator (o anteriormente masterkey.cryptomator), te pedirá la contraseña del almacén, y una vez que la ingreses, el almacén se desbloqueará.
4. Usando la clave maestra descifrada, desbloquea tus archivos y los monta como un nuevo disco virtual.

Qué significa esto para la seguridad

• Tu contraseña nunca dejó tu computadora. No se envió a pCloud, no se almacenó en ningún servidor.
• Si un hacker obtuviera acceso a tu cuenta de pCloud, descargaría tus datos y el archivo de clave, pero sin tu contraseña, es solo un montón de caracteres sin sentido.
• La contraseña existe solo en tu cabeza (o en tu gestor de contraseñas).

Lo único que necesitas recordar (o almacenar en algún lugar) es tu contraseña del almacén.

Por qué es mejor que pCloud Crypto

pCloud ofrece su propio cifrado (pCloud Crypto), pero tiene desventajas:

Cryptomator - Instalación y Configuración

En la primera PC, descarga Cryptomator desde su sitio web cryptomator.org/downloads. Ejecuta la instalación y crea un nuevo almacén haciendo clic en el botón "+" como se muestra en la imagen de abajo. También, selecciona la ubicación de almacenamiento.

Fig. 1: Seleccionando nuevo almacenamiento

Según la Figura 1, selecciona "Create new vault..." para crear nuevo almacenamiento. Luego sigue las imágenes de abajo.

Fig. 2: Seleccionando ubicación de almacenamiento

Fig. 3: Eligiendo contraseña y clave de recuperación

Fig. 4: Mostrando clave de recuperación

En la Figura 4, puedes ver la clave de recuperación. Guárdala cuidadosamente en caso de pérdida de contraseña.

Fig. 5: Desbloqueando el almacén

Fig. 6: Completando instalación

Fig. 7: Almacenamiento mapeado como unidad D:

En la Figura 7, puedes ver un gran botón verde que dice "Show drive D:". Esto significa que el almacenamiento ha sido mapeado a la unidad D:. Aquí es donde guardarás datos y se cifrarán.

Descarga el cliente de pCloud desde el sitio web de pCloud pcloud.com/download y si aún no tienes una cuenta de pCloud, el enlace para crear una es:

Después de descargar, instala el cliente. Durante la instalación, inicia sesión en tu cuenta creada si es necesario.

Fig. 8: Configurando cliente de pCloud

En la Figura 8, puedes ver el cliente de pCloud después de la instalación. En el panel izquierdo, selecciona "Sync" y luego "Sync folder" en la parte inferior de la pantalla. Finalmente, usa los botones "Change" para seleccionar la ruta al almacenamiento.

Fig. 9: Cliente de pCloud configurado

En la Figura 9, puedes ver cómo se ve un cliente de pCloud configurado. Si quieres agregar más almacenamiento, simplemente haz clic en "Add folder".

Eso es todo para PC1.

Configuración en la segunda PC

En la segunda PC, descarga el cliente de pCloud desde pcloud.com/download.

Fig. 10: Configurando cliente en segunda PC

Después de la instalación, haz clic en el botón "Sync" en el panel izquierdo y luego "Sync folder" en la parte inferior de la pantalla.

Fig. 11: Seleccionando ubicación de almacenamiento

En la Figura 11, estamos seleccionando la ubicación de almacenamiento de pCloud.

Fig. 12: Configuración de ubicación de almacenamiento completada

En la Figura 12, puedes ver la finalización de la configuración de ubicación de almacenamiento: selecciona "Start Sync".

Fig. 13: Selección de almacén

Inicia la instalación de Cryptomator y continúa según la Figura 13, selecciona "Open Existing vault..."

Fig. 14: Información de selección de clave

En la Figura 14, estamos seleccionando la clave que se usó para cifrar el almacén. Selecciona vault.cryptomator, si no está, elige masterkey.cryptomator.

Fig. 15: Seleccionando la clave

Fig. 16: Ingresando la contraseña que cifra la clave

Fig. 17: Mapeando almacenamiento a unidad E:

Ahora tenemos la carpeta sincronizada en la unidad E:.

Conclusión

Y hemos terminado. Ahora tenemos Cryptomator y el cliente de pCloud instalados y configurados en ambas PC, dándote almacenamiento cifrado en la nube completamente funcional. También añadiré que la versión de escritorio de Cryptomator es completamente gratuita. Las aplicaciones móviles para iOS y Android son gratuitas para descargar pero solo permiten leer archivos. Para escritura, se requiere una compra de licencia única directamente en la aplicación.

Si te interesa cómo gastar cripto sin que el banco lo sepa, cómo separar tu identidad de tu dinero, lee mi reseña de ether.fi Cash Card. Finalmente, también mencionaré el artículo Email Cifrado - ProtonMail donde discuto el email con enfoque en privacidad y seguridad.