Apple impugna una nueva exigencia del gobierno británico de acceso a los datos cifrados de iCloud

Apple ha recurrido una nueva orden legal del gobierno británico que exige que la empresa proporcione una forma de acceder a los datos protegidos por su función de Protección Avanzada de Datos, un ajuste opcional que aplica cifrado de extremo a extremo a las copias de seguridad de iCloud de modo que ni siquiera Apple pueda leer su contenido. La orden marca un nuevo capítulo en una disputa que se hizo pública por primera vez cuando Apple retiró la Protección Avanzada de Datos para los clientes del Reino Unido con anterioridad, en respuesta a una exigencia gubernamental previa.

La Protección Avanzada de Datos cifra categorías de datos de iCloud, incluidas las copias de seguridad de dispositivos, fotos y notas, de manera que solo el titular de la cuenta posee las claves de descifrado. Apple ha promocionado esta función como una protección frente a filtraciones de datos, injerencias gubernamentales y acceso no autorizado por parte de cualquiera que no sea el propio titular de la cuenta, incluida la propia Apple.

La exigencia del gobierno británico se derivaría de las facultades de la Investigatory Powers Act, una ley que permite a las autoridades obligar a las empresas de telecomunicaciones y tecnología a colaborar con solicitudes legales de acceso a datos, incluyendo, en algunos casos, exigir que las empresas creen capacidades técnicas que hagan posible dicho acceso. Los críticos de esta ley sostienen desde hace tiempo que sus disposiciones de confidencialidad, que pueden impedir que las empresas revelen públicamente la existencia de una orden concreta, dificultan una supervisión independiente.

La postura pública de Apple, reiterada a lo largo de rondas previas de esta disputa, es que no incorpora puertas traseras en sus productos para ningún gobierno, argumentando que cualquier mecanismo creado para permitir el acceso legal a un gobierno podría ser descubierto y explotado por actores malintencionados, o exigido por otros gobiernos que busquen un acceso similar a los datos de sus propios ciudadanos. La empresa ha declarado que cumplir con este tipo de órdenes exigiría debilitar el cifrado para todos los usuarios de la función afectada, no solo para las cuentas con sede en el Reino Unido, dependiendo de cómo se diseñe la implementación técnica.

Los funcionarios británicos han defendido la exigencia como necesaria para las investigaciones policiales y de seguridad nacional, argumentando que un cifrado fuerte sin ningún mecanismo de acceso legal puede blindar de toda investigación actividades delictivas graves, incluido material de explotación infantil y comunicaciones relacionadas con el terrorismo, incluso cuando las autoridades cuentan con una orden judicial válida.

Grupos de privacidad y derechos digitales se han alineado con la postura de Apple, argumentando que cualquier mecanismo de puerta trasera, sin importar las salvaguardas legales destinadas a limitar su uso, representa una debilidad estructural que compromete la seguridad de todos los usuarios del producto, no solo de quienes son objeto de investigación. Investigadores de seguridad han formulado argumentos similares en el pasado sobre mecanismos de acceso obligatorio para servicios de mensajería cifrada.

Se espera que el recurso legal sea examinado por el Investigatory Powers Tribunal del Reino Unido, el organismo encargado de revisar las quejas sobre facultades de vigilancia, aunque los procedimientos relacionados con asuntos de seguridad nacional a menudo se celebran, al menos en parte, a puerta cerrada, lo que limita la visibilidad pública de los argumentos presentados por ambas partes.

Otros gobiernos han adoptado enfoques similares hacia los servicios cifrados en los últimos años, incluida una legislación propuesta en la Unión Europea destinada a escanear mensajes cifrados en busca de contenido ilegal antes de aplicar el cifrado, un enfoque que sus críticos han calificado de puerta trasera con otro nombre. Empresas tecnológicas como Apple, Meta y Signal se han opuesto a varias de estas propuestas por motivos técnicos y de privacidad similares.

El resultado del caso británico podría sentar un precedente significativo sobre hasta qué punto un gobierno puede obligar a una empresa tecnológica a modificar su arquitectura de cifrado, y sobre si los tribunales tratarán una exigencia de capacidad técnica de forma distinta a una solicitud de datos específicos ya existentes. Los expertos legales que siguen el caso afirman que un fallo favorable al gobierno podría alentar exigencias similares de otras jurisdicciones.

Apple no ha dicho si volvería a retirar por completo la Protección Avanzada de Datos del mercado británico si el recurso legal fracasa, como hizo anteriormente en respuesta a una versión previa de la exigencia. Por ahora, la empresa afirma que la función sigue sin estar disponible para los nuevos clientes del Reino Unido mientras continúa la disputa sobre la orden legal más amplia.