Apple anunció el jueves un nuevo sistema de seguridad infantil que comparará las fotos destinadas a iCloud Photos con huellas digitales criptográficas de material conocido de abuso sexual infantil antes de que las imágenes salgan del dispositivo del usuario. Se trata de un cambio técnico que, según la compañía, puede identificar material ilegal preservando la privacidad, pero que ha alarmado de inmediato a investigadores de seguridad y defensores de las libertades civiles.
El sistema previsto es una de las tres medidas de protección que Apple planea implementar en las actualizaciones de software a finales de este año. La compañía también añadirá análisis en el dispositivo de imágenes sexualmente explícitas enviadas o recibidas por cuentas infantiles en Mensajes y ampliará las respuestas de Siri y la Búsqueda para dirigir a los usuarios a recursos de seguridad infantil. Según un artículo de MacRumors sobre el anuncio, se espera que estas funciones se lancen primero en Estados Unidos con iOS 15, iPadOS 15 y macOS Monterey.
NeuralHash traslada la coincidencia de contenido al dispositivo
La función más importante tiene que ver con iCloud Photos. Apple afirma que su sistema utilizará una tecnología de hash perceptual llamada NeuralHash para crear una representación numérica de una imagen. Antes de que una foto se guarde en iCloud Photos, el dispositivo comparará su hash con una base de datos ilegible derivada de hashes de material de abuso sexual infantil conocido, proporcionados por el Centro Nacional para Niños Desaparecidos y Explotados y otras organizaciones de protección infantil.
El resumen técnico de Apple describe una combinación de NeuralHash, intersección de conjuntos privados y compartición secreta por umbral, diseñada para evitar que Apple obtenga información sobre fotos comunes o coincidencias aisladas. Cuando una imagen coincide con un hash CSAM conocido, el dispositivo crea un comprobante de seguridad cifrado que se guarda en iCloud junto con la imagen. Apple afirma que no puede interpretar estos comprobantes a menos que una cuenta supere un número determinado de coincidencias.
Solo después de superar ese umbral, Apple descifraría la información asociada a las imágenes coincidentes, realizaría una revisión humana, desactivaría una cuenta si se confirma la autenticidad del material y lo reportaría al NCMEC. Apple afirma que esta arquitectura reduce drásticamente la probabilidad de que una cuenta sea marcada erróneamente y protege mejor la privacidad que escanear cada archivo una vez que llega a un servidor en la nube.
La explicación técnica de TechCrunch señala una limitación importante: el sistema está vinculado a Fotos de iCloud. Los usuarios que no suben fotos al servicio no están sujetos al proceso de comparación de CSAM para las imágenes que guardan únicamente en su dispositivo.
El paquete de seguridad infantil contiene dos sistemas de escaneo independientes
El sistema iCloud es distinto de otra función de Mensajes. Para las cuentas infantiles en En Familia de iCloud, Apple planea usar el aprendizaje automático en el dispositivo para identificar imágenes que parezcan sexualmente explícitas. La imagen se puede difuminar y se advierte al niño antes de verla o enviarla; en algunos casos con niños pequeños, se puede notificar a los padres si el niño decide continuar.
Un informe reciente de 9to5Mac destaca que Apple afirma que iMessage seguirá utilizando cifrado de extremo a extremo, ya que la clasificación de imágenes se realiza en el dispositivo y no en los servidores de Apple. La compañía también está implementando medidas de seguridad en Siri y la Búsqueda cuando los usuarios buscan material o información relacionada con la explotación infantil.
Se trata de sistemas técnicamente independientes con propósitos distintos: uno compara las fotos almacenadas en iCloud con los hashes de material ilegal ya conocido, mientras que el otro clasifica las imágenes potencialmente explícitas en comunicaciones que involucran a menores. Sin embargo, su anuncio simultáneo ha provocado que se hable de ellos conjuntamente como un cambio más amplio en lo que los dispositivos de Apple están dispuestos a analizar localmente.
Los defensores de la privacidad temen que el mecanismo pueda ser reutilizado
La crítica más contundente no radica en que Apple pretenda buscar material de abuso infantil, sino en que la creación de un mecanismo para la identificación de contenido en dispositivos personales podría sentar un precedente que los gobiernos o las futuras políticas empresariales podrían intentar ampliar.
La Electronic Frontier Foundation argumentó en un análisis que la inspección del lado del cliente debilita la promesa práctica de las comunicaciones privadas, incluso si la criptografía continúa protegiendo los mensajes en tránsito. La preocupación de la EFF radica en que, una vez que el software pueda evaluar el contenido comparándolo con una base de datos o un clasificador antes del cifrado o el almacenamiento en la nube, el mismo mecanismo básico podría, en teoría, aplicarse a otras categorías de material.
Apple afirma que la base de datos CSAM tiene una definición estricta, que la coincidencia utiliza hashes de organizaciones reconocidas de protección infantil, que no se puede identificar a los usuarios individualmente mediante instrucciones de servidor habituales y que la revisión humana proporciona una salvaguarda adicional antes de que se denuncie una cuenta. La compañía presenta estos controles como barreras técnicas contra el tipo de expansión de la misión que temen los críticos.
Pero los investigadores de seguridad se plantean una cuestión de gobernanza más amplia: si cualquier medida de protección creada y controlada por una sola empresa puede seguir siendo limitada si los gobiernos exigen cambios. Un informe de AppleInsider describió a la compañía como un intento de preservar la privacidad del usuario mediante la comparación en el dispositivo y los cupones cifrados, si bien reconoció que la arquitectura ya está generando preocupación sobre la vigilancia futura.
Apple está defendiendo el sistema antes de su lanzamiento
La reacción negativa comenzó casi inmediatamente después de que se conocieran los detalles. El viernes, un memorando interno de Apple, obtenido por 9to5Mac, reconoció que a algunas personas les preocupaban las implicaciones y afirmó que la compañía continuaría explicando cómo funcionan las medidas de protección. El memorando describió el proyecto como un esfuerzo por proteger a los niños sin abandonar el compromiso de Apple con la privacidad.
Los críticos no esperan a que se implemente. Una carta abierta que circuló el viernes, y que fue reseñada por AppleInsider, instaba a Apple a detener el plan, argumentando que incluso un sistema bienintencionado crea una puerta trasera que podría socavar las protecciones de privacidad más amplias. La disputa ha involucrado rápidamente a tecnólogos, grupos de libertades civiles y figuras públicas en un debate sobre la frontera entre las funciones de seguridad y la vigilancia a nivel de dispositivo.
Esta decisión podría redefinir en qué ámbitos se confía en los sistemas cifrados
La importancia técnica va más allá de Apple. Durante años, el debate central sobre el cifrado se ha centrado en si los gobiernos deberían tener acceso excepcional a las comunicaciones después del cifrado. El diseño de Apple aborda el problema desde otra perspectiva: evaluar cierto contenido antes de que esté protegido por el almacenamiento en la nube o mientras aún esté disponible para el software en el dispositivo.
Esa distinción podría resultar crucial. Apple argumenta que su diseño permite un objetivo de seguridad bien definido sin exponer ampliamente los datos privados. Los críticos sostienen que la inspección de los dispositivos finales puede comprometer la privacidad incluso cuando el algoritmo de cifrado permanece matemáticamente intacto.
El sistema aún no se ha lanzado y sus medidas de seguridad prácticas no se han probado a gran escala. Por lo tanto, Apple se enfrenta a dos desafíos técnicos antes del lanzamiento: demostrar que el sistema de coincidencia y umbral funciona con la precisión que afirma y convencer a los usuarios de que el mecanismo no puede utilizarse fuera de la categoría específica para la que fue diseñado.
La empresa ha construido gran parte de su imagen de marca moderna en torno a la idea de que la privacidad es una característica del producto. El anuncio de esta semana somete esa promesa a una prueba inusualmente difícil. Apple intenta demostrar que un dispositivo puede ayudar a identificar material conocido de abuso infantil sin convertirse en un sistema de inspección de uso general. Que los usuarios y los expertos en seguridad acepten o no esta distinción podría influir no solo en la recepción de iOS 15, sino también en el debate más amplio sobre dónde termina la privacidad en un dispositivo lo suficientemente potente como para analizar los datos de su propietario antes de que nadie más pueda verlos.
