El significado real de una política de cero registros
La afirmación de que una red privada virtual no guarda registros es una de las frases publicitarias más comunes en el sector de la ciberseguridad. Para un usuario común, no-logs suele sugerir una invisibilidad absoluta frente a proveedores de internet, gobiernos o atacantes. Sin embargo, en términos técnicos, una red no puede encaminar tráfico sin procesar cierta información en tiempo real.
Para analizar la validez de estas afirmaciones, es necesario distinguir entre dos tipos fundamentales de información:
- Registros de actividad o tráfico: Incluyen los sitios web visitados, las consultas DNS efectuadas, los archivos descargados y los datos transmitidos. Prácticamente cualquier proveedor comercial de reputación descarta estos datos de inmediato.
- Registros de conexión o metadatos: Abarcan marcas de tiempo de inicio y fin de sesión, direcciones IP de origen del usuario, volumen total de datos consumidos y la dirección IP asignada por el servidor VPN.
La controversia técnica no suele radicar en si una empresa rastrea qué páginas visita un usuario, sino en cuántos metadatos temporales retiene, durante cuánto tiempo y en qué soporte físico los almacena.
Limitaciones de red y la arquitectura de memoria volátil
Desde una perspectiva operativa, cualquier servidor VPN que utilice protocolos como OpenVPN o WireGuard necesita almacenar en memoria el estado de la conexión para devolver los paquetes de datos a la dirección IP correcta. Por ejemplo, la implementación estándar de WireGuard requiere asociar la dirección IP pública del usuario con su clave pública y su dirección interna en la tabla de enrutamiento del servidor.
Para sortear este problema y minimizar riesgos, algunos proveedores modifican el código fuente de los demonios de red o implementan infraestructura basada exclusivamente en memoria RAM (conocida como servidores sin disco o diskless servers). Proveedores como ExpressVPN, Surfshark y NordVPN operan plataformas donde el sistema operativo y las aplicaciones se cargan desde imágenes efímeras. Si el servidor se apaga o se reinicia físicamente, la totalidad de los datos en memoria volátil se pierde al instante.
Una arquitectura en RAM mitiga el riesgo de incautación física del hardware, pero no previene la monitorización en vivo si el software en ejecución es modificado o si existe una orden judicial que obligue a intervenir el tráfico en tránsito.
Auditorías independientes y sus alcances reales
Ante el escepticismo generalizado, los servicios de privacidad recurren con frecuencia a firmas de contabilidad y seguridad como PricewaterhouseCoopers (PwC), KPMG o Cure53 para certificar sus sistemas. Estas evaluaciones aportan transparencia, pero presentan límites metodológicos concretos que todo usuario debe comprender:
- Naturaleza temporal: Una auditoría certifica el estado de una muestra de servidores durante un intervalo de tiempo específico. No garantiza que la configuración no haya cambiado al día siguiente.
- Acceso al código servidor: Muchas auditorías analizan la configuración del sistema operativo y los archivos de registro, pero no siempre implican una revisión profunda del código propietario que gestiona la autenticación o el balanceo de carga.
- Alcance contractual: El auditor trabaja bajo los términos y límites acordados previamente con el cliente que paga por el servicio.
A pesar de estas limitaciones, las auditorías periódicas y públicas realizadas por consultoras externas representan un estándar técnico muy superior a las simples declaraciones contractuales en una página de términos de servicio.
Pruebas judiciales y casos empíricos
La prueba más contundente sobre la fiabilidad de una política de registros ocurre cuando un proveedor es obligado por la justicia a entregar datos sobre un usuario específico. Existen precedentes documentados en los que la arquitectura técnica demostró la veracidad de las afirmaciones comerciales:
- Private Internet Access (PIA): En procedimientos judiciales en Estados Unidos en 2016 y 2018, agentes federales solicitaron registros de conexión para identificar a sospechosos. La compañía demostró ante el tribunal que no poseía registros que vincularan marcas de tiempo o direcciones IP con cuentas individuales.
- Mullvad VPN: En abril de 2023, la policía sueca se presentó en las oficinas de Mullvad con una orden de registro para incautar servidores. Tras inspeccionar los sistemas y dialogar con los ingenieros, las autoridades se retiraron sin datos, dado que la información solicitada simplemente no existía en los sistemas.
- ExpressVPN: En 2017, las autoridades turcas confiscaron un servidor físico de la empresa durante la investigación del asesinato del embajador ruso Andréi Kárlov. Los análisis periciales confirmaron que el servidor no contenía registros de conexión ni registros de actividad útiles para la investigación.
Por el contrario, otros servicios que afirmaban no almacenar registros —como HideMyAss en 2011 o PureVPN en 2017— colaboraron con agencias de la ley entregando registros de conexión que permitieron identificar a personas concretas, demostrando que sus declaraciones de marketing eran falsas.
El peso de la jurisdicción y los requerimientos legales
La ubicación legal de la sede operativa de un servicio determina qué leyes de retención de datos le son aplicables y qué tipo de órdenes judiciales está obligada a cumplir. Países que forman parte de acuerdos de inteligencia compartida, como la alianza de los Catorce Ojos (Fourteen Eyes), cuentan con facultades amplias para requerir asistencia técnica o imponer órdenes de confidencialidad (gag orders).
Operar en jurisdicciones como Suiza (donde opera Proton VPN), Panamá (NordVPN) o las Islas Vírgenes Británicas ofrece ciertas ventajas procesales, ya que los tribunales locales suelen exigir órdenes estrictas antes de obligar a una empresa a cooperar con solicitudes extranjeras. Sin embargo, ninguna jurisdicción exime a un proveedor del riesgo de comprometer la privacidad si las autoridades locales dictaminan que la infraestructura debe registrar selectivamente el tráfico de un objetivo concreto.
Diferencias de implementación entre proveedores destacados
Los métodos para abordar la privacidad difieren notablemente según el diseño del servicio:
- Mullvad: Elimina el correo electrónico en el registro. Genera un identificador numérico aleatorio de 16 dígitos y admite pagos anónimos en efectivo por correo postal o mediante criptomonedas como Monero. En su implementación de WireGuard, los servidores ejecutan scripts que eliminan la dirección IP del usuario de la memoria tras periodos breves de inactividad.
- IVPN: Ofrece un esquema similar sin necesidad de correo electrónico y publica auditorías completas tanto de sus aplicaciones como de sus sistemas internos, permitiendo el pago por horas o días.
- Proton VPN: Integra su servicio con la legislación suiza, manteniendo aplicaciones de código abierto auditadas, aunque requiere una cuenta de correo electrónico unificada para su ecosistema de herramientas.
Pautas para evaluar las declaraciones de privacidad
Para determinar si las afirmaciones de un servicio son creíbles, conviene revisar aspectos objetivos más allá de los lemas comerciales:
- Requisitos de registro: Cuantos menos identificadores personales (números telefónicos, nombres reales, métodos de pago vinculados) solicite la plataforma, menor será el daño en caso de filtración de la base de datos de clientes.
- Aplicaciones de código abierto: El software cliente debe ser auditable públicamente para comprobar que no recopila datos de telemetría invasivos sin el consentimiento del usuario.
- Informes de transparencia continuos: Los proveedores confiables publican periódicamente el número de solicitudes judiciales recibidas y el resultado de las mismas, dejando constancia de si se entregó o no información.
Ningún servicio ofrece anonimato perfecto frente a adversarios con recursos estatales y capacidad de análisis de tráfico global. Sin embargo, un diseño de red centrado en la minimización de datos reduce de forma sustancial la huella digital frente a la recolección indiscriminada.