Qué se ve aunque vaya cifrado

Cifrar protege el mensaje, no el hecho de que haya mensaje. Sigues viendo los metadatos: origen, destino, hora, duración y volumen. Una fuga de datos cifrada hacia un destino raro sigue siendo visible como «este equipo mandó muchos datos a un sitio con el que nadie más habla». El contenido está tapado; la conversación, no. En Salitre, los metadatos de las sesiones cifradas cuentan la historia sin leer una palabra.

Es la idea que desmonta el falso alivio de «va cifrado, estamos seguros»: el cifrado es necesario, pero no te vuelve invisible.

Uno de los metadatos más útiles es cuántos datos salieron y durante cuánto tiempo. Una sesión cifrada normal mueve poco y dura poco; una que manda gigas durante toda la noche a un destino con el que nadie más habla es una fuga, aunque no se lea su contenido. El volumen y la duración, cruzados con el destino, bastan para dar la alarma. En Salitre, un equipo así salta entre todos los demás.

No necesitas descifrar para medir. Cuánto salió y hacia dónde es, muchas veces, toda la prueba que hace falta para mirar de cerca.

Para que un volumen raro salte hace falta saber cuánto es lo normal. Las sesiones de actualizaciones o de correo interno mueven poco y duran poco: esa es la línea base. Lo que se sale de ella —muchos más datos, mucho más tiempo, un destino que no aparece en ningún otro equipo— es lo que se mira. Conocer la forma normal del tráfico es lo que deja ver la anormal, igual con cifrado que sin él.

Sin una idea de cómo suena un día tranquilo, cualquier sesión parece sospechosa y ninguna lo es. La línea base es lo que convierte el dato en alarma.

La fuga cifrada no se intuye: se lee en los metadatos. Abre el laboratorio, revisa el volumen y el destino de las sesiones cifradas de Salitre y baja hasta el código de sala al pie.