Cifrado con patrón: cómo un dibujo protege tus archivos

Vely no te pide una contraseña ni un PIN. Abres tu bóveda dibujando un patrón sobre una cuadrícula de 5 × 5 puntos, y ese patrón es lo que Vely convierte en una clave. Vely llegará pronto al App Store. La app está en inglés, así que los textos de la app aparecen en inglés, con su traducción entre paréntesis la primera vez.

Cuando dibujas tu patrón, Vely lo convierte en una clave mediante Argon2id, una función deliberadamente lenta, combinándolo con un secreto que se guarda en el Llavero de este iPhone y que nunca sale de él. El patrón en sí no se guarda en ningún lugar, y solo funciona en este iPhone. Puedes abrir tu bóveda con tu patrón, tu frase de recuperación o Face ID si lo has activado.

¿Qué es el cifrado con patrón?

La forma habitual de bloquear algo en un teléfono es un PIN o una contraseña. Escribes cuatro dígitos y aparecen tus fotos. Parece suficientemente seguro, pero vale la pena contar lo que alguien tendría que probar.

Un PIN de cuatro dígitos tiene exactamente 10 000 combinaciones posibles. Seis dígitos dan 1 000 000. Una contraseña de ocho letras minúsculas da 26⁸, unos 209 000 millones. Cuánto se tarda en probarlas todas depende de cuánto tarda cada intento, y eso lo decide la app.

El cifrado con patrón sigue otro enfoque. En lugar de escribir caracteres en un campo, dibujas un recorrido sobre una cuadrícula de puntos. Qué puntos tocas, y en qué orden, es tu patrón. Vely no se limita a compararlo con algo guardado: convierte tu patrón en la clave que descifra tu bóveda, como muestra el paso 2.

Contar las posibilidades

Esta es la misma cuenta para los PIN, una contraseña y los patrones de Vely, si cada intento tardara el medio segundo que tarda un intento en un iPhone con Vely:

Lo que habría que adivinar	Combinaciones posibles	Todas, a ½ segundo por intento
PIN de 4 dígitos	10 000	unos 83 minutos
PIN de 6 dígitos	1 000 000	unos 6 días
Patrón de Vely de 6 puntos	19 174 112	unos 111 días
Patrón de Vely de 8 puntos	3 428 210 784	unos 54 años
8 letras minúsculas al azar	208 827 064 576	unos 3300 años

Hay dos cosas que esta tabla no muestra. Alguien con hardware especializado puede probar mucho más rápido que un iPhone, y la gente no elige los PIN, las contraseñas ni los patrones al azar, así que los reales caen mucho antes. Un patrón tampoco es magia: una contraseña de ocho letras al azar tiene más combinaciones que un patrón de 8 puntos. Lo que te da un patrón son miles de millones de combinaciones en algo que puedes dibujar en un segundo, y cada intento tiene que pasar por Argon2id. En Los números que hay detrás están las cifras aprobadas.

Por qué importa la diferencia

Un bloqueo puede funcionar de dos maneras. Puede comprobar lo que escribiste y luego mostrar archivos que se podían leer desde el principio. O puede convertir lo que escribiste en la clave que necesitan los archivos, de modo que sin la correcta no hay nada que mostrar. Vely funciona de la segunda manera.

La diferencia clave

Esto es lo que hay detrás del patrón de Vely:

Todo lo que añades —documentos, fotos, videos, notas, escaneos y los nombres de tus archivos y carpetas— se cifra en este iPhone antes de guardarse. Cada archivo recibe su propia clave aleatoria de 256 bits y se cifra con AES-256-GCM, mediante CryptoKit de Apple. Los nombres, las carpetas y las notas se guardan en una base de datos cifrada con SQLCipher.

Cómo funciona, paso a paso

Esto es lo que pasa desde que tu dedo toca la cuadrícula hasta que tu bóveda vuelve a bloquearse.

Paso 1: Dibujas tu patrón

Cuando configuras Vely, la pantalla Draw a pattern (Dibuja un patrón) muestra una cuadrícula de 5 filas y 5 columnas de puntos. Su indicación dice "Connect at least 6 dots. You'll draw it to open your vault." (Conecta al menos 6 puntos. Lo dibujarás para abrir tu bóveda.) Desliza el dedo de punto en punto sin levantarlo. El orden en que pasas por los puntos forma parte del patrón.

Si unes menos de 6 puntos, Vely muestra "Use at least 6 dots" (Usa al menos 6 puntos). Cuando levantas el dedo, Vely califica el patrón: con menos de 8 puntos muestra "Easy to guess. 8 or more dots is safer." (Fácil de adivinar. Con 8 puntos o más es más seguro.), y con 8 o más muestra "Good pattern" (Buen patrón). Toca Continue (Continuar) y luego dibuja el mismo patrón otra vez en Draw it again (Dibújalo otra vez) para confirmarlo.

La cuadrícula de Vely tiene 25 puntos, lo que deja espacio para recorridos largos con muchos giros. Lo difícil que sea adivinar tu patrón sigue dependiendo del recorrido que elijas: una letra o una forma sencilla es fácil de adivinar en cualquier cuadrícula.

Paso 2: Tu patrón se convierte en una clave

Cuando dibujas tu patrón, Vely lo convierte en una clave mediante Argon2id, una función deliberadamente lenta, combinándolo con un secreto que se guarda en el Llavero de este iPhone y que nunca sale de él.

Con más detalle:

Vely pasa tu patrón por Argon2id con una sal guardada en el Llavero de este iPhone, usando 256 MiB de memoria, ajustado para que cada intento tarde aproximadamente medio segundo en un iPhone. El resultado se combina con un secreto aparte de 32 bytes, también guardado en el Llavero de este iPhone, para crear la clave de tu patrón. La clave de tu patrón nunca se guarda. Con ella se descifra la clave maestra de tu bóveda, una clave aleatoria que se genera al crear la bóveda.

Tu clave maestra nunca se usa para cifrar archivos directamente. De ella se derivan dos claves: una abre la base de datos que guarda los nombres, las carpetas y las notas, y la otra cifra la clave aleatoria propia que recibe cada archivo y cada miniatura. Tu frase de recuperación y Face ID tienen cada uno su propia clave, que descifra la misma clave maestra, así que cambiar tu patrón no vuelve a cifrar tus archivos.

Tu patrón solo funciona en este iPhone, así que, si restauras tu copia de seguridad en un iPhone nuevo, dibujas un patrón nuevo:

Para restaurarla en un iPhone nuevo, necesitas la misma Cuenta de Apple y tu frase de recuperación, y después dibujas un patrón nuevo.

Paso 3: Tus archivos se cifran

Tus archivos se cifraron al añadirlos, cada uno con su propia clave. Los detalles de cada elemento muestran dónde está guardado (en español: "Cifrado con AES-256-GCM en este iPhone"):

Encrypted with AES-256-GCM on this iPhone

AES-256-GCM comprueba cada archivo al abrirlo: si sus datos cifrados se han modificado, no se abrirá.

Paso 4: Sales y se bloquea

Dibujas tu patrón cada vez que vuelves:

Vely bloquea tu bóveda en cuanto sales de la app, oculta su contenido en el selector de apps y difumina la pantalla durante la grabación o la duplicación de pantalla. Una copia de seguridad en curso puede seguir subiendo datos ya cifrados durante un tiempo.

Los números que hay detrás

Tres números deciden cuánto se tarda en adivinar: cuántos patrones hay, cuánto tarda cada intento y cómo se eligió el patrón.

• 19,2 millonesPatrones posibles de 6 puntos
• 3400 millonesPatrones posibles de 8 puntos
• ½ segundoPor intento en un iPhone
• 2¹²⁸Frases de recuperación posibles

Patrones y tiempo para adivinar

Hay 19 174 112 patrones posibles de 6 puntos en la cuadrícula de Vely, y 3 428 210 784 patrones posibles de 8 puntos. Con aproximadamente medio segundo por intento, un iPhone tardaría unos 111 días en probar todos los patrones de 6 puntos, y unos 54 años en probar todos los de 8 puntos. Alguien con hardware especializado puede probar mucho más rápido, y la gente no elige los patrones al azar, así que un patrón real puede caer mucho antes.

Pasar de 6 puntos a 8 multiplica el número de patrones posibles por unos 179 (3 428 210 784 ÷ 19 174 112). Por eso Vely recomienda 8 o más. Cada intento cuesta el mismo medio segundo, así que el número de patrones que alguien tiene que recorrer es la parte que controlas tú.

Las claves y la frase de recuperación

Tu frase de recuperación tiene 12 palabras de una lista de 2048. Sus últimos 4 bits son una suma de comprobación, lo que deja 2¹²⁸ frases posibles, demasiadas para adivinarlas, así que la frase no necesita una función lenta. La clave de cada archivo tiene 256 bits: hay 2²⁵⁶ claves posibles.

Doce palabras de 2048 dan 2048¹² = 2¹³² combinaciones. La suma de comprobación quita 4 bits y deja 2¹²⁸, unos 3,4 × 10³⁸. Ningún patrón se acerca a eso, y por eso el patrón pasa por Argon2id y la frase no.

Lo que tendría que superar un ataque

Estas son las principales formas en que alguien podría intentar entrar en tu bóveda, y dónde termina la protección de Vely.

Fuerza bruta: probar todos los patrones

En la propia pantalla de tu iPhone, los patrones incorrectos hacen esperar al siguiente intento:

Después de varios patrones incorrectos, tienes que esperar antes de volver a intentarlo, hasta 15 minutos. Esto frena a quien intente adivinar tu patrón en tu pantalla. Es un elemento disuasorio, no una función de cifrado, y no detiene a quien haya copiado el almacenamiento de tu iPhone.

Fuera de la pantalla, cada intento sigue costando una ejecución completa de Argon2id. En Patrones y tiempo para adivinar se ve cuánto se tardaría en probar todos los patrones, y por qué importan los 8 puntos o más.

Incautación del dispositivo: quitarte el iPhone

Lo que alguien puede hacer depende de si tu bóveda está abierta y de si puede sortear el código de tu iPhone:

• Alguien que tiene tu iPhone mientras tu bóveda está abierta.
• Alguien que conoce o sortea el código de tu iPhone y copia el almacenamiento de tu iPhone. Podría intentar adivinar tu patrón en sus propias computadoras, sin las esperas. Un patrón más largo y menos predecible lo hace mucho más difícil.
• Software malicioso, un iPhone con jailbreak o alguien con control total de tu iPhone desbloqueado.

Ataques por manchas: leer tu pantalla

Las marcas que tu dedo deja en la pantalla pueden mostrar el recorrido que dibujas. Vely no puede ocultarlas. Limpiar tu pantalla de vez en cuando hace que sean más difíciles de leer.

Mirar por encima del hombro: verte dibujar

• Alguien que conoce tu patrón o te ve dibujarlo. Puedes ocultar el rastro del patrón en Settings.
• Capturas de pantalla o fotos de tu pantalla.

Vely dibuja una línea a lo largo de tu patrón mientras lo trazas. Para que no se vea, activa Hide pattern trail (Ocultar el rastro del patrón) en Settings (Ajustes de Vely).

Cómo elegir un patrón sólido

El patrón lo eliges tú. Así puedes hacer que sea difícil de adivinar y fácil de recordar.

Qué hace sólido un patrón

• Usa más puntos. Sigue la indicación de Vely y une 8 o más.
• Cambia de dirección varias veces. Un recorrido que gira a menudo es más difícil de adivinar que una línea o una curva.
• Usa toda la cuadrícula. Un patrón metido en una esquina o a lo largo de un borde deja sin usar la mayor parte de la cuadrícula.

Qué evitar

• El mínimo. Vely acepta 6 puntos, pero entonces muestra "Easy to guess. 8 or more dots is safer."
• Letras y formas sencillas. Una L, una Z, un cuadrado o una diagonal recta son de lo primero que alguien probaría.
• Empezar en una esquina por costumbre. Empieza en cualquier punto.

El punto justo

Busca 8 puntos o más con varios cambios de dirección, en un recorrido que puedas dibujar sin pensar. Lo dibujas cada vez que abres tu bóveda, así que tu mano lo aprende, como aprende una firma. Practícalo unas cuantas veces al configurarlo.

Cambiar tu patrón

En Settings, toca Change Pattern (Cambiar patrón) y sigue los pasos. Al terminar, Vely lo confirma con este mensaje (en español: "Usa tu nuevo patrón a partir de ahora. Tu patrón anterior ya no abre tu bóveda."):

Use your new pattern from now on. Your old pattern no longer opens your vault.

Por qué todo encaja

Tu patrón se convierte en una clave en este iPhone, y Vely no tiene cuenta ni servidor propios:

No hay registro ni servidor de Vely. La app se conecta a internet solo para las compras, a través del App Store de Apple y de nuestro proveedor de pagos, RevenueCat, y para la copia de seguridad de iCloud si la activas. Apple y RevenueCat ven tu compra, nunca tus archivos.

Dibujas una forma. Vely la convierte en una clave. Lee Cómo se protegen tus datos para ver el panorama completo, incluido lo que podría seguir viendo alguien con acceso al almacenamiento de tu iPhone.

Preguntas frecuentes

¿Qué pasa si olvido mi patrón?

En la pantalla de desbloqueo, toca Use recovery phrase (Usar frase de recuperación), escribe tus 12 palabras y dibuja un patrón nuevo.

Tu frase de recuperación de 12 palabras abre tu bóveda si olvidas tu patrón, y la necesitas para restaurar tu copia de seguridad de iCloud en un iPhone nuevo. Te la mostramos una sola vez y nunca la guardamos, así que no podemos volver a mostrártela. Guárdala en un lugar seguro y sin conexión.

Si pierdes tanto tu patrón como tu frase de recuperación, no podemos ayudarte a abrir tu bóveda. No tenemos tus claves.

¿Mi patrón se guarda en mi iPhone?

El patrón en sí no se guarda en ningún lugar, y solo funciona en este iPhone.

¿Puedo usar Face ID en su lugar?

Sí, si lo activas. No sustituye a tu patrón:

Face ID está desactivado a menos que lo actives. Cuando está activado, Vely guarda en el Llavero de este iPhone una clave aparte que solo Face ID puede liberar. Si se añade o se cambia un rostro, o se desactiva el código de tu iPhone, el desbloqueo con Face ID deja de funcionar. Tu patrón y tu frase de recuperación siguen funcionando, y puedes volver a activar Face ID. Face ID no puede restaurar una copia de seguridad en otro iPhone.

¿Qué cifrado usa Vely?

Cada archivo recibe su propia clave aleatoria de 256 bits y se cifra con AES-256-GCM, mediante CryptoKit de Apple. Los nombres, las carpetas y las notas se guardan en una base de datos cifrada con SQLCipher.

¿Alguien puede grabar mi pantalla mientras dibujo?

Vely difumina la pantalla durante la grabación o la duplicación de pantalla, pero no puede impedir una captura de pantalla ni una cámara:

• Capturas de pantalla o fotos de tu pantalla.