«Por 500 millones de euros, crearíamos una instancia independiente de Tuta Drive en la infraestructura de BND, con cifrado resistente a la computación cuántica».
Con el fin de poder intercambiar información clasificada con mayor rapidez, el Servicio Federal de Inteligencia de Alemania (Bundesnachrichtendienst, BND), la Oficina Federal para la Protección de la Constitución (Bundesamt für Verfassungsschutz, BfV) y el Servicio Militar de Contrainteligencia (Militärischer Abschirmdienst, MAD) tienen previsto crear un sistema conjunto en la nube, en colaboración con Google. ¿Qué pasa entonces con la soberanía digital?
Tagesschau informa de que el Servicio Federal de Inteligencia alemán (BND) quiere pagar 500 millones de euros a Google por alojar información de alto secreto. Fuente.
En Tuta nos ha sorprendido mucho enterarnos de esto. Sinceramente, por 500 millones de euros, montaríamos una instancia independiente de Tuta Drive en la infraestructura del BND, con cifrado resistente a la computación cuántica. El protocolo de cifrado híbrido de Tuta garantiza que todos los datos se transmitan con cifrado de extremo a extremo, de modo que ningún tercero —ni siquiera nosotros en Tuta (y mucho menos Google)— pudiera acceder a esta información altamente clasificada. Además, el código es de código abierto y cualquiera puede verificarlo, lo que garantiza que no haya puertas traseras. Cuando las autoridades hablan de soberanía digital, deben respaldar sus palabras con acciones, en lugar de caer una vez más en la trampa de las grandes tecnológicas».
Evaluación de seguridad: alto riesgo
El NDR y el WDR informan de que la nube se basará en la Google Distributed Cloud (GDC), concretamente en una versión denominada «air-gapped». Este sistema funcionará de forma independiente y no tendrá conexión directa con Google ni con Internet. En su lugar, se supone que los datos se almacenarán en Alemania en una red informática independiente y especialmente protegida. Sin embargo, el problema, tal y como señala Sven Herpig, responsable de ciberseguridad y amenazas emergentes en Interface —una organización independiente de profesionales de las tecnologías de la información y expertos en ciberseguridad—, es «cada actualización de Google». Aunque el sistema estará verificado y debidamente protegido en el momento de su lanzamiento, cada actualización modifica este sistema, y dichas actualizaciones las realiza Google. Herpig afirma: «Esto, a su vez, plantea la pregunta: ¿qué grado de importancia deben tener los cambios para que una versión actualizada requiera una nueva evaluación y aprobación?».
Tampoco queda claro si la infraestructura en la nube «aislada físicamente» tendrá que ser, en última instancia, mantenida y gestionada in situ por empleados de Google, como ocurre, por ejemplo, con los sistemas de Palantir en Hesse o Baviera.
La decisión de adquirir Google Cloud pone en riesgo los datos sensibles. Además, también está la cuestión de la independencia: ¿qué pasaría si Google decidiera (o se viera presionada por el Gobierno de EE. UU.) incluir una puerta trasera oculta en una actualización? ¿Qué ocurriría si el Gobierno de EE. UU. ordenara a Alphabet que entregara datos específicos en virtud de la Ley CLOUD de EE. UU., la FISA o la Orden Ejecutiva 123333? ¿Rechazará Alphabet la solicitud del Gobierno de EE. UU. o entregará los datos alemanes?
Este riesgo sigue siendo real y válido y, teniendo en cuenta el valor de la información sensible, debe clasificarse como alto.
¿Alguien habla de soberanía digital?
Y, por último, ¿en qué situación queda Alemania en lo que respecta a la soberanía digital? ¿Son solo palabras? En lugar de aplicar rigurosamente el objetivo de la soberanía digital —al menos en el ámbito de la seguridad interior—, el Gobierno federal alemán está cayendo en otra dependencia más y confiando en las garantías del hiperescalador estadounidense Google.
Pero ahora es el momento de apoyar y desarrollar alternativas europeas, ¡y las autoridades deben dar ejemplo! Elegir a Google en lugar de a los proveedores alemanes es la peor decisión que el BND podría haber tomado en este caso.