La seguridad de MEGA, a debate

Va a hacer una semana que llegó MEGA, la nueva plataforma de almacenamiento en la nube de Kim Dotcom, que tras el descalabro de Megaupload ha vuelto a escena con un servicio enfocado en ofrecer la mayor privacidad y seguridad posibles. ¿Es así realmente?

Nuestros compañeros de MuyComputer le dedicaron un artículo especial a MEGA en el que hablaron de esos temas, pero entrando más a fondo en la cuestión, que es lo que están haciendo algunos expertos ahora -hay que tener conocimientos profundos de sistemas criptográficos y programación-, más allá de lo que se dice sobre el papel, todo cambia.

A grandes rasgos, MEGA propone un sistema por el cual el acceso al sitio y el cifrado de archivos solo está al alcance del usuario, pues solo este conoce la contraseña. Algo similar a como funcionan conocidos servicios / aplicaciones como SpiderOak o Wuala. No es tan sencillo en realidad. De hecho, las afirmaciones de Dotcom y compañía tienen lagunas que están siendo refutadas desde el primer día.

Recomendamos la lectura de dos artículos del blog Genbeta, donde se hicieron eco de las primeras críticas, explicando muy bien los conceptos básicos de seguridad en torno al método empleado por MEGA para cifrar la información. Solo un apunte: se dice en el texto citado que no se puede saber «si los archivos JavaScript de su página cifran correctamente los datos». En teoría, esto no sería cierto, pues el software utilizado es de código abierto. En teoría, porque como es evidente no se puede acceder a su servidor y comprobar eso de primera mano.

Si has leído el anterior artículo, en el siguiente se trata la rápida respuesta que ha dado MEGA a través de su blog oficial a las críticas. De nuevo, otra explicación fenomenal que conviene leerse entera y que deja una cosa clara: MEGA no llega a jugar en la división de SpiderOak o Wuala, al menos por ahora. Obtienes una capa de cifrado para tu información adicional a la de servicios como Dropbox o Google Chrome -que cifran transferencia y archivos en servidor-, pero no es determinante en la seguridad debido a fallos en el diseño.

Precisamente en el blog de SpiderOak se han metido en el aspecto técnico del asunto, todo un galimatías para el común de los mortales que cierran con una recomendación: «En el corto plazo, quienes uséis Mega deberíais establecer una contraseña aleatoria muy fuerte que no utilicéis nunca en otro lugar, así como evitar el almacenamiento de datos sensibles. Luego, tan pronto como estos defectos se resuelvan, cerrar la cuenta y crear una nueva con una contraseña diferente. No os extrañe que vuestra cuenta antigua se vea comprometida».

En definitiva, la seguridad de MEGA tiene fallos de diseño y de aplicación que, según muchos expertos, hace que el servicio no sea tan seguro como afirmaba ser. La compañía está trabajando para pulir alguno de ellos, pero mientras tanto, no pueden -o no deberían- seguir presumiendo de lo que carecen.

Para terminar, la misma recomendación que daban en Genbeta o en MuyComputer: escoger MEGA basándose en una supuesta seguridad superior es un error. Eso sí, los 50 GB gratis siguen ahí.