TikTok decide no implementar cifrado de extremo a extremo y afirma que “perjudica la seguridad de los usuarios”

• TikTok informó que no implementará cifrado de extremo a extremo (E2EE), argumentando que impediría que la policía y los equipos de seguridad revisen los mensajes, lo que dificultaría proteger a los usuarios
• La empresa explicó que tomó esta decisión especialmente para proteger a los adolescentes, y subrayó que eligió deliberadamente un camino distinto al de sus competidores
• Actualmente, plataformas importantes como WhatsApp, Messenger y Signal aplican E2EE por defecto, y TikTok señaló que solo usa cifrado general al nivel de Gmail
• Las organizaciones de protección infantil NSPCC e IWF celebraron la decisión de TikTok, al considerar que el E2EE dificulta la detección de explotación sexual infantil
• Sin embargo, expertos señalan que esta decisión va en contra de los estándares globales de privacidad y podría reforzar las preocupaciones sobre sus vínculos con China

---

Decisión de TikTok sobre su política de cifrado

• TikTok confirmó oficialmente que no implementará cifrado de extremo a extremo (E2EE)
  • La empresa explicó que esta tecnología impide que la policía y los equipos de seguridad puedan revisar mensajes cuando sea necesario, lo que perjudica la seguridad de los usuarios
  • En una sesión informativa de seguridad realizada en la oficina de la BBC en Londres, enfatizó que se trata de una medida especialmente orientada a la protección de adolescentes
• TikTok afirmó que tomó esta decisión como parte de una estrategia diferenciada frente a sus competidores
  • Esto contrasta con plataformas importantes como Facebook, Instagram, Messenger y X, que han adoptado E2EE
  • TikTok indicó que utiliza métodos de cifrado estándar y que solo empleados autorizados pueden acceder a los mensajes en situaciones específicas

La controversia en torno al E2EE

• El E2EE es considerado la tecnología de seguridad más fuerte, ya que solo el remitente y el destinatario pueden ver el contenido de los mensajes
  • Se aplica por defecto en Signal, WhatsApp, iMessage y Google Messages
  • Telegram lo ofrece de forma opcional, y Snapchat lo aplica solo a fotos y videos
  • Discord tiene previsto aplicar E2EE por defecto en llamadas de voz y video
• Sin embargo, gobiernos, policías y organizaciones de protección infantil critican que el E2EE dificulta la detección de contenido ilegal y las investigaciones
  • Sostienen que los delincuentes pueden evadir la vigilancia, lo que aumenta el riesgo de daños a los usuarios y de propagación de contenido ilegal

Protección de datos de TikTok y críticas

• TikTok explicó que protege los mensajes con cifrado estándar y que solo puede acceder a ellos ante solicitudes legales o reportes de conductas dañinas
• La empresa sigue negando las sospechas de vínculos con el gobierno chino
  • Su unidad de negocio en Estados Unidos fue separada de la operación global por orden del Congreso
  • También opera Project Clover para proteger a los usuarios europeos
• Aun así, por su estructura de propiedad bajo ByteDance, continúan las preocupaciones sobre el acceso a los datos

Reacciones externas

• NSPCC celebró la decisión de TikTok y mencionó que el E2EE dificulta detectar explotación sexual infantil y reduce la cantidad de reportes
• IWF la calificó como “un precedente importante haber pospuesto la adopción de E2EE por razones de seguridad”
• El profesor Alan Woodward, de la Universidad de Surrey, comentó que “en China el E2EE está mayormente prohibido, y podría haber influencia china en la decisión de TikTok”
• El analista de la industria Matt Navarra evaluó que TikTok sostiene una postura en la que “prioriza la seguridad proactiva por encima del absolutismo de la privacidad”, algo estratégicamente inteligente pero polémico

Contexto global y perspectivas

• La decisión de TikTok es vista como un movimiento en dirección contraria a la tendencia global de privacidad
  • Mientras otras plataformas amplían el uso de E2EE, TikTok eligió mantener la cooperación con las agencias de aplicación de la ley
• Expertos analizan que esta decisión podría estar relacionada con mantener una buena relación con legisladores y reforzar la protección de adolescentes
• Se espera que continúe el debate sobre el equilibrio entre privacidad y seguridad en torno al E2EE

[GN⁺]

Opiniones de Hacker News

• Me parece bien decir que “en esta app casi no hay privacidad”
  TikTok es básicamente una plataforma centrada en lo público, y la idea de grupos cerrados o seguimiento mutuo es débil
  Si necesitas privacidad, simplemente cámbiate a otra app como Signal o Snapchat
  Aun así, como TikTok antes estuvo bajo la vigilancia del gobierno chino y ahora se ha convertido en una pesadilla plutocrática en su versión estadounidense, me parece inútil esperar de ellos una postura de principios
  Más bien, creo que es más problemático hacer como Facebook, que presume de “privacidad” mientras no dedica suficientes recursos a combatir el CSAM (material de abuso sexual infantil)

  • TikTok también tiene función de mensajes privados 1:1 y la usan cientos de millones de personas
    Si vas a ofrecer mensajería privada entre personas, tienes que aplicar E2EE (cifrado de extremo a extremo) sí o sí
    Si no, mejor operarlo directamente como un foro público
  • En una plataforma con un efecto de red gigantesco como TikTok, en realidad no existe la libertad de elegir una app alternativa
    Para romper este monopolio, creo que hace falta una regulación que obligue a la federación
    Así las plataformas podrían competir por monetización o usabilidad en vez de basarse en el bloqueo de usuarios
  • Estaría bien si ofrecieran una opción honesta, pero TikTok miente con eso de “solo leemos mensajes cuando es necesario”
    En realidad leen los mensajes para suprimir opiniones políticas opuestas o con fines de control
    La mayoría de los usuarios no sabe distinguir esta confusión entre privacidad y CSAM
  • Está bien que TikTok siga siendo una plataforma de “te estamos vigilando”
    Pero disfrazar eso de “seguridad” es un engaño y una forma de distorsionar la opinión pública
  • También creo que apps como WhatsApp o Facebook muchas veces usan el E2EE solo como marketing
    Si de verdad fuera E2EE, entonces
    1. el par de claves se generaría en el dispositivo,
    2. el servidor jamás podría ver la clave privada,
    3. la app cliente tendría que ser open source y verificable
    4. y el usuario tendría que poder compilarla y usarla por su cuenta
       Si no cumple con estas condiciones, no deberían llamarlo E2EE

• Creo que las empresas están reempacando la vieja lógica del gobierno de que “el E2EE es peligroso para los niños”

  • Los niños se han vuelto una herramienta demasiado eficaz para construir un Estado de vigilancia
    Mejor que los menores usen “dispositivos restringidos” y que eso pueda quitarse al llegar a la adultez
    Así no haría falta que todos los SaaS verificaran directamente la identidad del usuario
  • No entiendo por qué todos los sistemas de protección infantil exigen verificación de edad
    Bastaría con que el smartphone le pase a la app una señal de tipo child
  • Al final, las empresas tienen libertad para fijar sus políticas como quieran, y los usuarios pueden elegir en función de eso
  • Esta lógica funciona porque conecta con los valores de sus vecinos
    Intentar cambiar los valores de la gente es perder el tiempo
  • La solución es simple: la forma más segura es bloquear el acceso de los niños a las redes sociales

• Hoy en día la gente ve el problema de la verificación de edad de forma demasiado superficial
  La mayoría de los servicios ya sabe la edad del usuario y usa esos datos para una optimización algorítmica opaca
  Por eso creo que no solo hay que limitar la verificación de edad, sino prohibir el data mining y el ajuste algorítmico en sí
  Más que los DM de los niños, el mayor problema es cómo se usan sus datos

  • Me parece una tontería decir “les preocupan los DM de los niños pero no la recolección de datos”
    Hay mucha gente a la que le preocupan ambas cosas
  • La responsabilidad de vigilar los DM de los niños recae en los padres
    Si quieren, pueden instalar un keylogger o grabación de pantalla, pero una empresa como Google jamás debería hacerlo
  • Para la mayoría, ya casi es costumbre poner el año de nacimiento como 1970
  • No estoy de acuerdo con la idea de “hay que prohibir la verificación de edad”
    Con tecnologías como Verifiable Credentials se puede verificar solo la edad sin entregar datos personales

• Los DM son como una conversación privada en la vida real
  Por eso toda función de DM debería incluir E2EE
  Si la plataforma no quiere hacerlo, mejor eliminar por completo los DM y dejar todos los mensajes como públicos
  Hace falta una estructura donde los padres puedan otorgar individualmente a sus hijos permiso para acceder a los DM

  • Eso de “quitemos los DM y hagamos todo público” no tiene sentido
    También en la vida real existe una zona intermedia entre lo totalmente público y lo totalmente privado
  • TikTok probablemente pronto añadirá una función para que los padres puedan vigilar los DM de sus hijos, y creo que a los padres les va a gustar
  • Incluso si hay E2EE, en la práctica el servidor puede gestionar las claves o reemplazarlas a pedido del gobierno
    O sea, el E2EE solo sirve para bloquear a un intermediario ingenuo
  • Si existiera un sistema que garantizara la privacidad por ley, no haría falta E2EE
    Son problemas distintos
  • Hay padres tan obsesionados con la vigilancia que quisieran analizar con IA todas las conversaciones de sus hijos

• TikTok es como una avanzada de la vigilancia estatal, así que no sorprende que adopte esta postura

  • En realidad, toda red social debe verse como una herramienta de vigilancia gubernamental
  • El gobierno ya puede acceder a los datos incluso cuando hay E2EE
    La ausencia de E2EE no reduce esa capacidad
  • Ya da la impresión de que la vigilancia se ha franquiciado
    Cada región compra derechos de operación para recolectar información

• Creo que eso de “hace menos seguros a los usuarios” es una excusa
  En realidad solo quieren evitar fricciones con el gobierno
  Frente al dinero, los principios desaparecen

• Decir “menos seguro” no aclara menos seguro para quién
  Para un gobierno autoritario tal vez sí, pero eso es algo con lo que ellos tendrán que lidiar

• Me parece difícil confiar en el E2EE dentro de apps cerradas
  Aunque un auditor confirme que enlazaron bien libsignal, podría haber hooks de escaneo de contenido en el código interno
  Viendo que Apple casi había terminado su tecnología de escaneo de imágenes, la posibilidad existe de sobra
  Aun así, la ventaja del E2EE es que, aunque hackeen el servidor, los datos quedan como un montón de cifrado sin sentido

  • El E2EE es difícil de implementar y se anula fácilmente por errores del usuario
    Por ejemplo, entre los usuarios de Signal casi nadie compara realmente los números de seguridad
    Al final, más que la seguridad, el problema es la usabilidad
  • La gente tiende a creer en el E2EE como si fuera una religión
    Aunque no se pueda verificar, asumen que “protección = E2EE”
    Yo ya señalé esto en el texto “I don’t trust Signal”
  • Cuando se habla de E2EE, hay que dejar claro “quién es el extremo”
    Si el servidor es el extremo, eso no es E2EE de verdad
    Además, los metadatos valen mucho más que el contenido de la conversación
  • Incluso las contraseñas podrían estar guardadas en texto plano

• TikTok originalmente es una plataforma pública de video, así que no entiendo por qué alguien la usaría para conversaciones privadas

  • TikTok es la red social de las generaciones jóvenes
    La gente mayor no la entiende bien
  • Al principio solo se comparten videos entre amigos, y de forma natural eso termina derivando en chat
    Aunque sepan que la seguridad es débil, por la naturaleza de la conversación no lo ven como un gran problema
  • Suena a comentario de alguien que nunca ha usado los DM de TikTok
  • La mayoría de los adolescentes no entiende bien los conceptos de cifrado o seguridad
    Simplemente usa TikTok por comodidad
  • TikTok es más que una simple plataforma de video

• Dicen que es una “función de privacidad polémica”, pero me pregunto quién dice que es polémica
  ¿Según los estándares de la NSA o del GCHQ?

  • Según el artículo, grupos de protección infantil como NSPCC e Internet Watch Foundation se oponen
    Dentro de Meta, Monika Bickert y Antigone Davis también mencionaron que el E2EE pone en riesgo a los niños
    Eso también puede verse en este artículo de Reuters