Cifrado de iCloud explicado: qué protege Apple y qué no

TL;DR

El cifrado estándar de iCloud protege los datos en tránsito y en reposo en los servidores de Apple, pero Apple posee las claves de cifrado para la mayoría de las categorías. La Protección Avanzada de Datos (PAD) traslada 23 categorías de datos al cifrado de extremo a extremo, eliminando el acceso de Apple a las claves. La copia de seguridad de iCloud, Fotos de iCloud y iCloud Drive se unen a esa lista solo con PAD. Incluso con PAD activada, Apple no puede leer tus datos de Salud, Llavero de iCloud ni los ajustes de Tiempo de Uso – esos ya estaban cifrados de extremo a extremo. Ningún nivel de iCloud, incluida la PAD, cifra los metadatos como nombres de archivo, marcas de tiempo o estructura de carpetas con claves controladas por el usuario. Una bóveda local como App-Vault, que nunca envía datos a ningún servidor y deriva las claves dentro del Enclave Seguro, opera completamente fuera de la infraestructura de Apple: sin gestión de claves en la nube, sin exposición de metadatos, sin puerta trasera de recuperación de cuenta.

Apple cifra los datos de iCloud. Esa afirmación es cierta, pero también incompleta. El cifrado se compone de capas, y cada capa responde a una pregunta diferente sobre quién puede leer tus datos.

La primera capa es el cifrado en tránsito. Cada bit que viaja entre tu iPhone y los servidores de Apple circula dentro de un túnel TLS 1.3. Un atacante en el mismo Wi-Fi de una cafetería no puede ver tus fotos, notas o eventos del calendario en tránsito. Esa protección es universal y está siempre activa.

La segunda capa es el cifrado del lado del servidor. Una vez que los datos llegan a los centros de datos de Apple, se escriben en el disco en forma cifrada usando AES-256. Los Módulos de Seguridad de Hardware de Apple gestionan las claves de envoltura. Esto significa que un atacante físico que robe discos duros de un centro de datos de Apple no puede leer los bytes sin las claves almacenadas en esos HSM.

La tercera capa es la propiedad de las claves. Aquí es donde reside la mayor confusión. Bajo el cifrado estándar de iCloud, Apple posee las claves. Bajo la Protección Avanzada de Datos, tú posees las claves para la mayoría de las categorías de datos. La diferencia no es académica: determina si Apple puede cumplir con una solicitud legal de tus datos, si Apple puede restablecer tu acceso a la cuenta y si un empleado con privilegios en el centro de datos podría acceder teóricamente a tu texto plano.

Esta guía describe la arquitectura de cifrado de Apple a partir de iOS 19 y macOS Sequoia. Cubre qué protege cada nivel, qué cambia realmente la Protección Avanzada de Datos y dónde una bóveda local como App-Vault opera completamente fuera de la infraestructura de Apple.

Cifrado estándar de iCloud: Apple posee las claves

Cuando inicias sesión en iCloud sin activar la Protección Avanzada de Datos, Apple cifra tus datos en dos lugares: en el cable y en el disco. Pero Apple también posee las claves de descifrado.

El mecanismo técnico es sencillo. Tu dispositivo negocia una sesión TLS con los servidores perimetrales de Apple. Los datos se cifran con claves de sesión derivadas durante ese handshake. En el servidor, los datos se vuelven a cifrar con una clave de almacenamiento gestionada por el servicio de gestión de claves de Apple. Esa clave de almacenamiento reside dentro de un HSM que requiere múltiples aprobaciones administrativas para operar.

Apple publica un desglose detallado de qué categorías de datos usan qué jerarquía de claves en la guía de seguridad de la plataforma Apple. La tabla correspondiente enumera 23 categorías de datos y marca cada una como “cifrada de extremo a extremo” o “cifrada con claves retenidas por Apple”.

Bajo el cifrado estándar, las siguientes categorías principales usan claves retenidas por Apple:

• Copia de seguridad de iCloud (incluye copias de seguridad del dispositivo que contienen fotos, mensajes, datos de aplicaciones)
• Fotos de iCloud
• iCloud Drive
• Notas (a menos que el usuario haya activado la función de contraseña independiente de Notas)
• Datos del Calendario
• Contactos
• Recordatorios
• Marcadores de Safari y lista de lectura
• Atajos de Siri y datos de intenciones
• Pizarras de Freeform
• Pases de Wallet
• Búsquedas recientes y rutas de Mapas
• Correo de iCloud (Apple no puede leer el correo en tránsito, pero lo almacena con claves retenidas por Apple)

Para cada una de estas categorías, Apple puede descifrar los datos. Esto es por diseño: Apple necesita acceso a las claves para admitir la recuperación de cuenta, el acceso web a iCloud.com y funciones como bibliotecas de fotos compartidas donde varios usuarios necesitan descifrar el mismo activo.

La consecuencia práctica es directa. Si Apple recibe una solicitud legal válida de tus datos de iCloud, Apple puede producir el texto plano para cualquiera de estas categorías. Las Directrices de Cumplimiento Legal de Apple confirman esta capacidad. Apple publica un informe de transparencia que enumera el número de cuentas afectadas por dichas solicitudes.

Protección Avanzada de Datos: claves controladas por el usuario

La Protección Avanzada de Datos, introducida en iOS 16.2 y ampliada desde entonces, traslada el modelo de propiedad de claves para la mayoría de las categorías de datos de iCloud. En lugar de que los HSM de Apple posean las claves de envoltura, las claves se derivan en tu dispositivo y están respaldadas por tu Llavero de iCloud, que a su vez está cifrado de extremo a extremo.

Bajo la PAD, las siguientes categorías se vuelven cifradas de extremo a extremo:

• Copia de seguridad de iCloud
• Fotos de iCloud
• iCloud Drive
• Notas
• Datos del Calendario
• Contactos
• Recordatorios
• Marcadores de Safari
• Atajos de Siri
• Pizarras de Freeform
• Pases de Wallet
• Búsquedas recientes y rutas de Mapas
• Notas de Voz
• Historial de Safari
• Información de pago (Apple Pay)
• Atajos
• Datos de Bolsa
• Datos del Tiempo
• Datos del Hogar
• Datos de Noticias
• Datos de Game Center
• Correo de iCloud (aún cifrado con claves retenidas por Apple – el Correo está excluido de la PAD)

Apple no puede descifrar ninguna de estas categorías cuando la PAD está activada. Apple no puede cumplir con una solicitud legal del contenido de tu copia de seguridad de iCloud, tu biblioteca de Fotos o tus archivos de iCloud Drive. Apple no puede restablecer tus claves si pierdes el acceso a tu cuenta.

La contrapartida es la complejidad de la recuperación. Con la PAD activada, debes configurar al menos un contacto de recuperación o generar una clave de recuperación de 28 caracteres. Sin uno, tus datos cifrados de extremo a extremo se vuelven permanentemente inaccesibles si pierdes el acceso a todos los dispositivos de confianza y a tu Llavero de iCloud. Apple no puede ayudarte.

La PAD también requiere que todos los dispositivos que inicien sesión en tu cuenta de iCloud ejecuten al menos iOS 16.2, macOS 13.1 o watchOS 9.2. Los dispositivos con software anterior no pueden recibir los datos cifrados de extremo a extremo y quedan excluidos de la sincronización.

Lo que la Protección Avanzada de Datos NO cubre

Tres categorías de datos de iCloud permanecen cifradas con claves retenidas por Apple incluso bajo la PAD:

• Correo de iCloud. Apple cifra el correo en tránsito, pero lo almacena con claves retenidas por Apple. Apple puede leer tu correo si la ley lo exige. Esto se debe a que el correo debe interoperar con servidores de correo que no sean de Apple y que no admiten cifrado de extremo a extremo.
• Contactos, Calendario y Recordatorios de iCloud cuando se accede a través de iCloud.com. La interfaz web requiere que Apple tenga acceso a las claves. La sincronización en el dispositivo está cifrada de extremo a extremo bajo la PAD.
• Metadatos. Nombres de archivo, fechas de creación, fechas de modificación, jerarquías de carpetas, tamaños de archivo y miniaturas no están cifrados de extremo a extremo bajo ningún nivel. Los servidores de Apple necesitan metadatos para permitir operaciones de búsqueda, ordenación y sincronización.

El punto de los metadatos merece énfasis. Incluso con la PAD activada, los servidores de Apple saben cuántos archivos tienes en iCloud Drive, cómo se llama cada archivo, cuándo se creó y en qué carpeta se encuentra. Apple no conoce el contenido de los archivos, pero los metadatos por sí solos pueden revelar información sustancial sobre tus actividades.

Cifrado de la copia de seguridad de iCloud: la categoría más importante

La copia de seguridad de iCloud merece su propia sección porque es el repositorio único más grande de datos del iPhone para la mayoría de los usuarios. Una copia de seguridad estándar de iCloud contiene:

• Ajustes y preferencias del dispositivo
• Mensajes y archivos adjuntos
• Fotos y vídeos que aún no están en Fotos de iCloud
• Datos de aplicaciones de la mayoría de las aplicaciones de terceros
• Disposición de la pantalla de inicio y organización de aplicaciones
• Datos de Salud (aunque Salud está cifrado de extremo a extremo en tránsito, se incluye en la copia de seguridad bajo cifrado estándar)
• Historial de llamadas
• Buzón de voz
• Estado de Safari

Bajo el cifrado estándar de iCloud, Apple posee las claves de tu copia de seguridad. Bajo la PAD, la copia de seguridad se vuelve cifrada de extremo a extremo.

La distinción importa para cualquiera que almacene material sensible en su iPhone. Las fuentes de un periodista, las comunicaciones privilegiadas de un abogado, las notas de pacientes de un profesional médico – todo esto puede terminar en la copia de seguridad de iCloud incluso si el usuario nunca lo colocó explícitamente allí. Los datos de las aplicaciones se incluyen automáticamente a menos que el desarrollador opte por no hacerlo.

Apple proporciona un mecanismo para que los desarrolladores marquen datos específicos de la aplicación como excluidos de la copia de seguridad. El indicador NSURLIsExcludedFromBackupKey le dice a iOS que no incluya un archivo en la copia de seguridad de iCloud. App-Vault usa este indicador para sus archivos de bóveda cifrados. Combinado con la arquitectura de cero llamadas de red de App-Vault, esto significa que el texto cifrado de App-Vault nunca toca los servidores de Apple – ni siquiera en una copia de seguridad protegida por PAD.

El vacío: lo que el cifrado de iCloud no puede proteger

El cifrado de iCloud, incluso en su nivel más fuerte, opera dentro de la infraestructura de Apple. Eso significa que tres categorías de datos permanecen expuestas:

Metadatos. Como se discutió, los nombres de archivo, la estructura de carpetas y las marcas de tiempo son visibles para Apple. Para muchos usuarios, los metadatos son casi tan reveladores como el contenido. Una carpeta llamada “Historial Médico 2025” con un archivo llamado “Resultados de Biopsia.pdf” le dice a un observador todo lo que necesita saber, incluso si el contenido del archivo está cifrado.

Datos de aplicaciones de terceros. Las aplicaciones que almacenan datos en texto plano en el dispositivo y dependen de la copia de seguridad de iCloud para la persistencia dejan esos datos accesibles para Apple bajo cifrado estándar. El usuario no tiene control sobre qué datos de la aplicación se respaldan a menos que el desarrollador opte explícitamente por no hacerlo.

Telemetría de red. Los servicios de iCloud generan registros y análisis que Apple utiliza para la supervisión operativa. Apple afirma que estos registros no contienen contenido del usuario, pero sí contienen metadatos sobre cuándo y cómo se accede a los servicios.

Recuperación de cuenta. Bajo cifrado estándar, Apple puede restablecer el acceso a tu cuenta de iCloud. Bajo la PAD, puedes establecer un contacto o clave de recuperación, pero el proceso de recuperación en sí mismo requiere que Apple verifique tu identidad – un proceso que puede ser objeto de ingeniería social.

Una bóveda local como App-Vault opera fuera de todas estas categorías. App-Vault no realiza ninguna llamada de red por defecto. Ningún metadato sale del dispositivo. No se transmiten nombres de archivo. No se registran marcas de tiempo. Incluso el archivo de bóveda cifrado está excluido de la copia de seguridad de iCloud. Apple no ve nada.

Dónde encaja App-Vault en el panorama del cifrado

La arquitectura de App-Vault es fundamentalmente diferente del cifrado de iCloud porque no utiliza infraestructura en la nube en absoluto.

La pila de cifrado es sencilla:

• Cifrado: AES-256 en modo Galois/Counter, con un nonce único de 96 bits generado por archivo. Las referencias canónicas son NIST FIPS 197