Paranoia preventiva

El 27 de marzo de 1943, un grupo de la resistencia holandesa entró disfrazado al Registro Civil de Ámsterdam, sedó a los guardias y le prendió fuego a los archivos. No a un arsenal, no a una vía de tren, no a un cuartel: a un mueble lleno de fichas. Doce de los participantes fueron fusilados meses después. Vale la pena detenerse en la pregunta obvia, porque su respuesta es el tema entero de este texto: ¿por qué un grupo de personas decidió que valía la pena morir por quemar una base de datos?

Porque Holanda tenía el mejor registro de población de Europa. Décadas de burocracia ejemplar, meticulosa, moderna — que anotaba, entre otras cosas, la religión de cada habitante. Ese dato se recolectó en tiempos de paz, con fines administrativos, bajo un Estado que no tenía ninguna intención de usarlo para nada peor que la estadística y el presupuesto parroquial. Cuando la ocupación llegó, en 1940, no tuvo que construir la máquina de encontrar judíos: la máquina ya estaba construida, mantenida y actualizada. Hubo hasta un mapa de Ámsterdam impreso a partir del registro, con un punto por cada residente judío. El resultado está en la comparación que ningún manual de privacidad debería omitir: en Francia fue asesinado alrededor de un cuarto de la población judía; en Bélgica, cerca del cuarenta por ciento; en Holanda, unas tres cuartas partes — la tasa más alta de Europa occidental ocupada. La diferencia no fue la crueldad del ocupante, que era la misma. Fue la calidad del archivo.

El dato no cambió entre 1936 y 1941. Cambió el lector.

Eso es lo que quiero pensar acá: qué pasa con la seguridad personal cuando se toma en serio que los datos sobreviven a los regímenes que los recolectan. La nota mental de donde sale este texto llevaba un título medio en broma — guía de paranoia preventiva — y la broma merece ser desarmada con cuidado, porque debajo hay un concepto exacto.

El modelo de amenaza tiene un eje que no se modela.

El modelo de amenaza estándar — el que se enseña, el que se practica, el que yo mismo he operado — es espacial: quién es mi adversario, qué capacidades tiene, a qué superficie mía puede llegar. Adversario presente, capacidades presentes. Es un modelo correcto y tiene un punto ciego del tamaño de una época: asume que el contrato bajo el cual entregas un dato es el contrato bajo el cual será leído. La permanencia del almacenamiento rompe ese supuesto en silencio. Un mensaje escrito hoy no se negocia con el Estado de hoy, ni con la empresa de hoy: se negocia con todos los tenedores futuros del archivo — el gobierno que viene, el comprador de la empresa, el atacante que exfiltra la base dentro de una década, la agencia de un país que todavía no existe. Con todos a la vez, sin poder elegir.

Y esto dejó de ser hipótesis hace años. En Turquía, después del intento de golpe de 2016, decenas de miles de personas fueron detenidas o despedidas por un solo hecho: haber tenido instalada una aplicación de mensajería llamada ByLock, asociada al movimiento gülenista. No mensajes incriminatorios — la presencia de la app, legal cuando se descargó, convertida retroactivamente en prueba de pertenencia a organización terrorista. El Tribunal Europeo de Derechos Humanos tardó siete años en decir lo evidente — que condenar por el mero uso de una aplicación viola derechos básicos — y para entonces las vidas ya estaban gastadas. En Nebraska, en 2022, una madre y su hija fueron procesadas por un aborto con sus mensajes privados de Facebook como prueba central: Meta recibió la orden judicial y entregó la conversación, porque eso es lo que hace un custodio con una orden judicial. Las palabras se escribieron bajo un supuesto de intimidad; se leyeron bajo un régimen jurídico que había cambiado entre la escritura y la lectura.

El patrón es siempre el mismo y conviene enunciarlo seco: lo que un dato significa no lo decide quien lo escribe sino quien lo lee, y el lector llega después. La religión en el censo holandés era un dato inocuo con el lector de 1936 y una sentencia con el de 1941. La app en el teléfono turco era una preferencia de mensajería con un lector y terrorismo con el siguiente. Escribimos en el lenguaje del presente y el archivo se lee en el idioma del futuro, y entre los dos idiomas no hay traductor ni tratado de extradición.

La paranoia, desagregada.

La palabra «paranoia» hace un trabajo sucio en esta conversación y hay que quitárselo. La paranoia clínica es un error de inferencia: ver agencia hostil donde no la hay, un prior roto que ninguna evidencia corrige. Si la protección de datos personales fuera eso, el consejo correcto sería terapéutico, no técnico. Pero la paranoia preventiva no afirma que el Estado actual sea malicioso, ni que la empresa actual te quiera mal. Afirma algo mucho más modesto y mucho más difícil de refutar: que la varianza de los regímenes futuros no se puede acotar, que el dato es permanente mientras el contrato es transitorio, y que por lo tanto guardar de más es tomar una posición corta contra el cambio político. No es miedo: es actuaría. La misma lógica por la que se paga un seguro contra incendios sin creer que la casa se va a incendiar. Nadie llama paranoico al que tiene matafuegos.

Ahora la parte del paquete que no compro, porque este razonamiento, comprado entero, también destruye. Llevado al límite, el argumento exige protegerlo todo contra todos para siempre — y eso no es un modelo de amenaza, es su ausencia. El modelado de amenazas existe precisamente para decidir qué no se defiende: recursos finitos, atención finita, una vida que tiene que poder vivirse. He visto el modo de falla de cerca — la seguridad como identidad, el endurecimiento como estética, gente que gasta en defenderse de la NSA el presupuesto cognitivo que necesitaba para defenderse de su jefe. La totalización es el error simétrico a la negligencia, y el instrumento para no caer en ninguno de los dos es aburrido: perfil de riesgo explícito, decidido en frío. Un activista en un país que criminaliza la disidencia y un oficinista en una democracia aburrida no comparten modelo de amenaza; lo único que comparten es el eje temporal — los dos escriben archivos que van a leer regímenes que no conocen. Cambia cuánto pagar de prima. No cambia que la deuda existe.

Lo que no se tiene no se entrega.

Las técnicas concretas de esta disciplina se ordenan solas cuando se entiende qué las une, y lo que las une es un principio de una línea: la única respuesta que sobrevive a una orden judicial es la que no existe.

En 2013, Lavabit — el proveedor de correo cifrado que usaba Snowden — recibió la exigencia de entregar sus claves TLS privadas, con las que el gobierno podía descifrar el tráfico de todos sus usuarios para llegar a uno. Ladar Levison eligió cerrar el servicio antes que entregarlas. Gesto honorable; arquitectura equivocada — el gesto solo fue necesario porque las claves existían en manos del proveedor. Compárese con las citaciones judiciales que ha recibido Signal: la respuesta documentada, publicada por ellos mismos, consiste en la fecha de creación de la cuenta y la fecha de última conexión. No entregaron poco por heroísmo: entregaron poco porque el protocolo está diseñado para no saber. Eso es soberanía de claves, y es la diferencia entre prometer resistencia y no necesitarla. El cifrado gestionado por el proveedor es una promesa; el cifrado de extremo a extremo con claves propias es una propiedad física. Las promesas se renegocian bajo presión — las propiedades físicas no atienden citaciones.

El mismo principio gobierna el desacoplamiento de identidades, que suena a espionaje y es álgebra relacional. Las identidades no se vinculan por magia: se vinculan por claves compartidas — el número de teléfono que las dos cuentas dieron, el correo de recuperación común, el mismo dispositivo, la misma IP a la misma hora. Cada dato de recuperación es un JOIN esperando su consulta. Y lo que se une no es contenido sino metadatos, que es donde vive la información de verdad: «matamos gente basándonos en metadatos», dijo el exdirector de la NSA Michael Hayden en 2014, en público, con la tranquilidad del que describe un procedimiento. De la maquinaria que hace eso posible — STELLARWIND, PRISM, la colección a escala de población — ya escribí en detalle en Vigilancia Permanente: OpSec Avanzado, Evasión Wi-Fi y Lecciones de STELLARWIND; lo que agrego acá es el corolario temporal: el grafo de contactos no prescribe. La asociación que hoy es un grupo de estudio, con otro lector, es una lista de miembros.

¿Y las jurisdicciones? La nota original recomendaba lo canónico: alojar los datos bajo leyes robustas — Suiza, Islandia — y evitar los Five Eyes. Es un consejo razonable que necesita su propia dosis de escepticismo, porque las jurisdicciones también son contratos transitorios. El recordatorio definitivo se llama Crypto AG: la empresa suiza que durante medio siglo vendió máquinas de cifrado a más de cien gobiernos era, se supo en 2020, propiedad secreta de la CIA y el BND, que leían lo que los clientes creían proteger — bajo la bandera de la neutralidad más prestigiosa del mundo. Elegir jurisdicción reduce el riesgo; no lo elimina, porque la jurisdicción es un dato del presente y la lectura ocurre en el futuro. La única jurisdicción que no cambia de leyes es la matemática.

Canarios y el interruptor del muerto.

Hay un segundo grupo de técnicas que me interesa más, porque no intenta impedir el compromiso sino diseñar cómo se falla — y esa mentalidad, asumir la brecha y elegir el modo de derrumbe, es la más honesta que conozco en seguridad.

El warrant canary es un hack legal de una elegancia rara: un Estado puede prohibirte revelar que recibiste una orden secreta, pero difícilmente pueda obligarte a mentir afirmando que no la recibiste. Entonces el servicio publica, periódicamente, la frase «nunca hemos recibido una orden de tal tipo» — y el día que la frase desaparece, el silencio habla. Apple incluyó una declaración así sobre la sección 215 de la Patriot Act en su primer informe de transparencia, en 2013; en el informe siguiente la frase ya no estaba, y su ausencia se leyó en todo el mundo exactamente como estaba diseñada para leerse. Reddit hizo lo mismo con su canario en 2016. Es comunicación por resta: información transmitida por el hueco donde algo debía estar. Me gusta porque invierte la carga del archivo — por una vez, lo que no está escrito es lo que informa.

El dead man’s switch es el mismo pensamiento apuntado a la propia persona: un automatismo que, si el titular no da señales de vida en un plazo — el check-in que no llega, la clave que no se renueva —, ejecuta lo pactado: borra lo sensible, revoca accesos, o al revés, publica lo que el silencio forzado querría enterrado. La presencia como latido; la ausencia como instrucción. Para un periodista con fuentes, para un activista detenible, no es paranoia cinematográfica: es la admisión operativa de que uno mismo es un punto único de falla, y los puntos únicos de falla se mitigan por diseño, no por optimismo.

Y está la defensa menos técnica de la lista, que la nota llamaba «defensa contra la guerra psicológica»: endurecer el navegador, sí — pero sobre todo desconectarse selectivamente de los algoritmos de recomendación. La conexión con lo anterior es directa, aunque no sea obvia: el feed optimizado es también un lector del archivo — lee tu historial conductual y lo usa para decidir qué versión del mundo te conviene ver a ti, según una métrica que no elegiste. De lo que esa métrica hizo a escala de un país ya escribí en Cinco puntos por la ira; a escala de una sola cabeza, la defensa es la misma que contra cualquier perfilador: darle menos historial con el cual perfilarte.

Lo que la disciplina no arregla.

Sería deshonesto cerrar la caja de herramientas sin decir lo que la caja no contiene. Primero: casi todo lo anterior cuesta — tiempo, fricción, conocimiento, a veces dinero — y ese costo es regresivo. El OpSec personal es un impuesto que pagan más caro los que menos margen tienen, y la comodidad está subsidiada exactamente en la dirección contraria: lo vigilante viene preinstalado y lo soberano hay que configurarlo. Segundo, y más estructural: mis datos no son míos de la manera en que mi casa es mía. Mi grafo social me delata aunque yo no participe — cada contacto que sube su agenda me inscribe en bases que nunca toqué; la mitad de mi correo vive en los servidores de quienes me escriben. La privacidad tiene estructura de inmunidad de rebaño: cada usuario más de mensajería cifrada, de Tor, de pagos no trazables, les da cobertura estadística a los que la necesitan de verdad, y cada abandono los expone. Protegerse solo es protegerse a medias.

De esa observación no se sigue que el esfuerzo individual sobre — se sigue su límite. El problema es estructural y el remedio proporcional a él también lo es: protocolos que no saben por diseño, retención mínima por ley y no por promesa, defaults soberanos en vez de defaults extractivos. La disciplina personal, mientras tanto, es el torniquete: no cura, mantiene con vida. Necesaria, no suficiente — y sospecho de cualquier discurso que colapse esa tensión hacia cualquiera de los dos lados, porque en un lado espera el vendedor de VPNs y en el otro el que concluye que, como nada alcanza, nada vale la pena.

La pregunta del archivo.

«No tengo nada que esconder» es la respuesta estándar a todo esto, y lleva años contestada — Daniel Solove escribió el desmontaje canónico — pero mi objeción preferida es la temporal, porque es la que este texto vino a hacer: la frase está conjugada en presente, y el archivo no. Tener algo que esconder requiere saber qué cuenta como «algo», y esa definición no la escribes tú ni la escribe tu época — la escribe el lector futuro, que todavía no llegó y no te va a consultar. Los holandeses de 1936 no tenían nada que esconder en el casillero «religión». Los turcos de 2014 no tenían nada que esconder en la lista de apps. La pregunta honesta no es «¿tengo algo que esconder?» sino «¿qué va a significar esto que hoy no significa nada?» — y como esa pregunta no tiene respuesta conocible, la única gestión racional es la del monto: que haya menos esto esperando resignificación.

Por eso la imagen contable con la que cerraba mi nota vieja me sigue pareciendo la correcta, y la desarrollo una vuelta más: cada bit guardado es una deuda denominada en una moneda extranjera — la legalidad futura — cuyo tipo de cambio nadie puede fijar. Guardar de más no se siente como endeudarse porque el interés no se paga todos los meses: se paga una sola vez, todo junto, el día que el lector cambia. Así como hay ideas cuyo costo es conocerlas — lo escribí en Saberlo ya es el costo —, hay datos cuyo costo es que existan: el daño no depende de su contenido presente sino de su mera disponibilidad para una interpretación que no ocurrió todavía. La minimización no es ascetismo digital. Es cancelar deuda antes del vencimiento.

Vuelvo a Ámsterdam, porque la historia tiene un detalle final que no quise gastar al principio. Entre los fusilados por el ataque al Registro Civil estaba Willem Arondéus, artista, abiertamente homosexual en una época en que eso era su propia ficha en otros archivos posibles. Su último mensaje antes de la ejecución fue pedir que se supiera que los homosexuales no son cobardes. Murió quemando una base de datos cuya lógica — la categoría administrativa convertida en sentencia por un cambio de lector — se había aplicado y volvería a aplicarse contra gente como él, con otros casilleros, en otros siglos. El incendio, por cierto, destruyó solo una fracción de las fichas. Los bomberos simpatizantes dejaron arder lo que pudieron; aun así, la mayoría del archivo sobrevivió y siguió sirviendo a sus lectores. Quemar el archivo casi nunca funciona. Llega tarde por definición: para cuando el lector hostil existe, el archivo ya está en sus manos.

La versión moderna del gesto de Arondéus no es un fósforo en un datacenter — los archivos de hoy tienen réplicas, y yo no ando recomendando incendios. Es anterior y más silenciosa: el bit que no se escribe. La ficha que no existe no necesita héroes que la quemen. Escribo esto en un blog público, indexado, archivado por terceros que no controlo — sé perfectamente que cada entrada es un asiento más en mi propia contabilidad, y la publico igual, porque la soberanía nunca fue el silencio: es que la deuda que uno toma sea la que eligió tomar, sabiendo la moneda, aceptando el riesgo del tipo de cambio. Lo que no perdono — a los sistemas ni a mí — es la deuda tomada sin mirar, el archivo que crece por default, la ficha llenada por comodidad de un empleado que hace décadas que se murió y cuyo formulario sigue decidiendo quién vive.