Qué es el cifrado de dispositivo

El cifrado de dispositivo (Device Encryption) es una tecnología que cifra los datos almacenados en smartphones, PC, tabletas y otros dispositivos, haciéndolos ilegibles sin la autenticación legítima (contraseña, PIN, autenticación biométrica).

Si se pierde o roba un dispositivo sin cifrar, los datos pueden leerse simplemente extrayendo el almacenamiento y conectándolo a otro dispositivo. Con el cifrado de dispositivo activo, los datos en el almacenamiento están cifrados, por lo que no se pueden descifrar sin las credenciales de autenticación.

Mientras que el cifrado de datos abarca ampliamente los datos en tránsito y en reposo, el cifrado de dispositivo se refiere al "cifrado de disco completo" o "cifrado basado en archivos" que abarca todo el almacenamiento del dispositivo.

Funcionamiento del cifrado por sistema operativo

iOS: El iPhone tiene cifrado basado en hardware habilitado automáticamente desde la configuración inicial. Se utiliza cifrado AES-256, y la clave de cifrado se protege simplemente configurando un código de acceso. Hubo un caso (incidente de San Bernardino de 2016) en el que ni siquiera el FBI pudo acceder a los datos sin el código de acceso.
Android: Desde Android 10, el cifrado basado en archivos (FBE) está habilitado por defecto. Compatible con "Direct Boot" que permite que algunas funciones (alarmas, llamadas entrantes) funcionen inmediatamente después del arranque del dispositivo. Los dispositivos Android más antiguos utilizaban cifrado de disco completo (FDE).
Windows: BitLocker está disponible en las ediciones Windows Pro / Enterprise. Trabaja en conjunto con el chip TPM (Trusted Platform Module) para almacenar de forma segura las claves de cifrado. En Windows Home está disponible una versión simplificada llamada "Cifrado de dispositivo", pero requiere TPM 2.0 y UEFI Secure Boot.
macOS: FileVault 2 proporciona cifrado de disco completo. En los Mac con Apple Silicon (M1 en adelante), el cifrado a nivel de hardware está siempre activo, y FileVault proporciona gestión de claves de recuperación y una capa adicional de protección.

Alcance y limitaciones de la protección del cifrado de dispositivo

El cifrado de dispositivo proporciona una protección potente, pero no es infalible. Es importante comprender con precisión el alcance y las limitaciones de la protección.

Casos que puede proteger

Prevenir que terceros lean datos directamente del almacenamiento en caso de pérdida o robo del dispositivo
Al desechar o vender el dispositivo, hacer los datos irrecuperables simplemente destruyendo la clave de cifrado (más seguro combinado con borrado seguro de datos)
Protección de datos cuando las fuerzas del orden o atacantes obtienen físicamente el dispositivo

Casos que no puede proteger

Ataques cuando el dispositivo está desbloqueado (malware, aplicaciones no autorizadas)
Acceso a datos a través de permisos de aplicaciones autorizados por el usuario
Datos respaldados en la nube (las copias de seguridad de iCloud, Google Drive requieren configuración de cifrado por separado)
Datos en tránsito (requieren protección separada con TLS/SSL o E2EE)

Las copias de seguridad en la nube son un punto que se pasa por alto fácilmente. Incluso si los datos en el dispositivo están cifrados, si las copias de seguridad no están cifradas, existe la posibilidad de acceder a los datos desde el lado de la nube. Active la "Protección de datos avanzada" de iOS o la función de copia de seguridad cifrada de Android.

Configuración para maximizar la efectividad del cifrado

Para maximizar la efectividad del cifrado de dispositivo, verifique la siguiente configuración.

Código de acceso / contraseña fuerte: La fortaleza del cifrado depende de la fortaleza del código de acceso. Un PIN numérico de 4 dígitos es vulnerable a ataques de fuerza bruta. Configure un PIN de 6 o más dígitos, o una contraseña alfanumérica. Combinar con autenticación biométrica (huella dactilar, reconocimiento facial) mantiene la comodidad.
Configuración de bloqueo automático: Configurar el dispositivo para que se bloquee automáticamente después de un período de inactividad. Como la protección del cifrado no funciona mientras está desbloqueado, se recomienda configurar el tiempo de bloqueo automático corto (1-2 minutos).
Activación del borrado remoto: Activar "Buscar mi iPhone" de iOS o "Encontrar mi dispositivo" de Android permite borrar remotamente los datos del dispositivo en caso de pérdida. Combinado con el cifrado, proporciona doble protección contra la pérdida física.
Almacenamiento seguro de la clave de recuperación: La clave de recuperación de BitLocker o FileVault es el último recurso si se olvida la contraseña. Guardarla impresa en una caja fuerte o almacenarla en un gestor de contraseñas. Si se pierde la clave de recuperación, los datos serán permanentemente inaccesibles.

Conceptos erróneos comunes

Activar el cifrado de dispositivo reduce significativamente el rendimiento: Los dispositivos modernos incorporan procesamiento de cifrado con aceleración por hardware, y el impacto en el rendimiento es prácticamente imperceptible. El cifrado está habilitado por defecto en iPhone y dispositivos Android recientes, pero casi ningún usuario percibe una reducción de velocidad.
Si se configura el bloqueo de pantalla, el cifrado de dispositivo es innecesario: El bloqueo de pantalla solo previene la operación del dispositivo, pero no puede prevenir ataques que extraen físicamente el almacenamiento para leer los datos. El cifrado de dispositivo cifra los datos en el almacenamiento mismo, proporcionando protección incluso contra el acceso físico.

Comparación entre cifrado de disco completo y cifrado basado en archivos

Cifrado de disco completo (FDE)

Cifra todo el almacenamiento con una única clave de cifrado. No se puede acceder a ningún dato hasta ingresar la contraseña al arrancar el dispositivo. Simple, pero tiene limitaciones como que las alarmas o llamadas no funcionan inmediatamente después del arranque.

Cifrado basado en archivos (FBE)

Utiliza claves de cifrado diferentes para cada archivo. Algunas funciones como alarmas y llamadas funcionan incluso con el dispositivo bloqueado (Direct Boot). Adoptado por iOS y Android 10 en adelante. Mayor flexibilidad pero implementación más compleja.

Cifrado de dispositivo