Qué protege cada parte — y dónde se detiene

GrapheneOS en un Google Pixel, con arranque verificado y el gestor de arranque bloqueado de nuevo tras el aprovisionamiento.

LímiteGrapheneOS y Pixel son nombres de terceros; no se implica respaldo ni asociación. El chip de seguridad está presente en las generaciones de Pixel que lo incorporan, y las protecciones de plataforma dependen del modelo y la compilación exactos: solo indicamos resultados de modelos que hemos medido realmente.

Un PIN de coacción destruye la bóveda de GhostWire cuando se introduce en la pantalla de bloqueo.

LímiteDestruye la bóveda de GhostWire. No es un restablecimiento de fábrica de todo el teléfono y después no se puede recuperar nada.

El propietario puede armar el borrado automático por USB para que una conexión de datos active la destrucción de la bóveda.

LímiteSolicitar el borrado automático por USB lo ARMA. El disparador solo se activa cuando se cambia manualmente el modo del puerto USB-C en el teléfono: armarlo por sí solo no lo pone en marcha. Es un paso del operador y se indica aquí porque descubrirlo más tarde es como se pierden datos que se querían conservar.

Las actualizaciones del sistema GrapheneOS y la tienda GrapheneOS Apps siguen funcionando en un teléfono GhostWire.

LímiteNo bloqueamos las actualizaciones de la plataforma para que una función de GhostWire pase una prueba. Las actualizaciones las aplica el cliente.

El emparejamiento usa un intercambio de claves híbrido: X25519 junto con ML-KEM-768, mezclados en la raíz de sesión. Un atacante debe romper la primitiva clásica y la poscuántica.

LímiteAmbos teléfonos deben tener una compilación actual para emparejarse. No existe retroceso a un intercambio solo clásico.

En sesiones v2, una encapsulación ML-KEM-768 nueva en cada turno: secreto hacia adelante poscuántico para el contenido de los mensajes.

LímiteUna sesión v1 mantiene un único secreto poscuántico estático y no tiene trinquete, por lo que resiste «recolectar ahora, descifrar después» pero no ofrece esa propiedad por turno. Son cosas distintas y no las describimos como una sola. «GhostWire es poscuántico», sin matizar, no es una afirmación que hagamos.

Las llamadas en un emparejamiento actual llevan cifrado de fotogramas con raíz poscuántica por encima de DTLS-SRTP, de modo que el contenido retransmitido no depende solo del transporte.

LímiteEsas claves de fotograma derivan de la raíz creada en el emparejamiento, no de un intercambio nuevo por llamada, por lo que comprometer esa raíz expone las llamadas derivadas de ella. Una sesión migrada desde un emparejamiento anterior no tiene capa de fotogramas y es solo DTLS-SRTP.

La identidad en emparejamientos actuales es híbrida: una firma clásica junto a una poscuántica.

LímiteUna sesión migrada desde un emparejamiento anterior solo cuenta con autenticación clásica frente a un atacante activo en el momento del intercambio.

La ceremonia de emparejamiento muestra un número de seguridad que vincula la clave poscuántica, de modo que un intento de degradación hace que los dos teléfonos no coincidan.

LímiteLa ceremonia hay que realizarla de verdad. Un emparejamiento en el que ambos operadores se saltan la comparación no queda protegido por ella.

Los buzones ciegos usan una encapsulación poscuántica nueva en cada envío.

LímiteEsto describe el mecanismo poscuántico de buzón ciego, que es el que usa la aplicación. En la biblioteca central existe una ruta clásica anterior que la aplicación no utiliza.

Las notificaciones en un teléfono bloqueado no tienen contenido: el teléfono sabe que hay algo esperando, no lo que dice.

LímiteQue algo haya llegado, y cuándo, sigue siendo observable para quien pueda ver la red.

Las claves se generan y permanecen en los teléfonos. No hay depósito de claves, ni servicio de gestión de claves, ni copia en el servidor. El relé enruta texto cifrado que no puede leer.

LímiteEsto significa que nadie —nosotros incluidos— puede recuperar una bóveda de un cliente que pierda su PIN. Ese es el intercambio y no tiene marcha atrás.

La bóveda se cifra en reposo con una derivación de clave de memoria intensiva sobre el PIN de la bóveda.

LímiteUn PIN corto y previsible sigue siendo un PIN corto y previsible. La derivación de clave encarece un ataque sin conexión; no lo elimina.

Shield informa de lo que las interfaces de radio del propio teléfono le permiten observar, e indica cuándo no ha podido observar algo.

LímiteShield NO detecta capturadores de IMSI y no afirmamos que lo haga. Confirmar una estación base falsa requiere acceso privilegiado al módem que una aplicación Android normal no tiene.

Safe Room informa de lo que los sensores del propio teléfono pueden medir sobre un espacio.

LímiteEsto no es un barrido profesional de radiofrecuencia. La detección completa requiere hardware de barrido específico, y el teléfono no lo es.

SCARAB y Privacy Audit inspeccionan sin conexión la configuración, los permisos y la superficie de riesgo de las aplicaciones instaladas del propio dispositivo.

LímiteAuditan este teléfono. No pueden ver qué hace una red, un operador u otro dispositivo.

Vehicle Scanner busca las firmas inalámbricas que un teléfono puede ver cerca de un vehículo.

LímiteUn rastreador pasivo, cableado o fuera de las bandas que recibe un teléfono no aparecerá. Un resultado limpio no es prueba de que un vehículo esté limpio.

La opción de router GhostWire incluye una VPN con interruptor de corte y un observador Radio Watch que registra lo que el propio router puede ver de su conexión.

LímitePILOTO, no producto aceptado. Radio Watch observa la conexión del ROUTER. No puede ver la señalización celular independiente de un teléfono ni establecer que no haya vigilancia. La disponibilidad y el firmware admitido se indican en el punto de venta, no se suponen aquí.

La señalización de llamada viaja sellada hasta el relé: el relé nunca tiene la clave que la abriría.

LímiteUna señalización sellada no oculta que se ha producido una conexión.

Las llamadas se conectan directamente entre teléfonos siempre que la red lo permita.

LímiteCuando un cortafuegos obliga a retransmitir, el proveedor TURN puede ver que dos direcciones están conectadas y durante cuánto tiempo: eso es un servidor TURN. En cada llamada, incluidas las directas, STUN observa además que una dirección reunió candidatos en un momento dado. Ninguno de los dos ve lo que se dice.

Un teléfono recoge mensajes de su propia cola con un testigo del que el relé no tiene clave.

LímiteEse testigo de cola es visible en el borde TLS. Es un seudónimo de buzón estable: un identificador de larga duración que el relé puede usar para enlazar la actividad de un teléfono entre sesiones. No es un nombre, un número ni una entrada de agenda, y tampoco es nada.

Un repositorio curado ofrece un conjunto revisado de aplicaciones de terceros, con comprobaciones de firma y de origen.

LímiteLas aplicaciones admitidas se revisan, pero siguen siendo software de terceros usado por cuenta y riesgo del cliente. La revisión no es una garantía y no controlamos lo que publique después un proyecto externo.

Cada unidad se aprovisiona desde una compilación firmada, con su identidad registrada, y recibe actualizaciones obligatorias firmadas por aire.

LímiteUna actualización todavía debe aplicarse en el teléfono. No cambiamos en silencio un teléfono que está en el bolsillo de alguien.

El soporte se asocia a la identidad registrada de la unidad, de modo que un nuevo propietario no tiene que intercambiar códigos a mano.

LímiteEl soporte ve el estado de servicio de la unidad. No ve el contenido de los mensajes, los contactos ni las claves, porque nunca salen del teléfono.

Una unidad puede transferirse a un nuevo propietario mediante el flujo de reventa.

LímiteLa transferencia es una operación deliberada. No es automática, y un propietario anterior no debe conservar el control después de ella.

El stock en caja que no se ha vendido está deliberadamente desconectado.

LímiteUna unidad en caja sin vender que nunca se ha conectado es inventario, no un dispositivo fallido o perdido, y no la presentamos como tal.