Casi ningún teléfono tiene PIN de coacción, así que creamos un borrado de emergencia en Morse Messenger

Un PIN de coacción (en inglés, duress PIN) es un segundo código de desbloqueo. Lo configuras junto al normal. Si alguna vez alguien te presiona para que desbloquees tu teléfono, escribes el PIN de coacción en su lugar, y el teléfono se borra a sí mismo en vez de abrirse.

La idea es sencilla. El cifrado de extremo a extremo protege tus mensajes mientras viajan, y un teléfono bloqueado los protege mientras están guardados en él. Ninguno de los dos sirve cuando alguien te obliga a desbloquearlo. En ese momento, borrar es la única protección que queda.

Y no se trata solo de ti. Tus chats también guardan las palabras de otras personas: el amigo que te contó algo en confianza, tu familia, la gente con la que trabajas. Borrarlos también los protege a ellos.

Algunos momentos en los que importa:

• Alguien te quita el teléfono mientras está abierto, o te obliga a abrirlo.
• Una pareja que te revisa el teléfono. Para alguien en una relación de control, tener en él un chat con un amigo o con alguien que le ayuda puede ser peligroso.
• Periodistas, activistas y cualquier persona a la que otros confían algo delicado. Si trabajas con fuentes, nuestra guía de mensajería para periodistas cubre todo lo demás.

Casi seguro que no. GrapheneOS, un sistema Android alternativo para teléfonos Pixel, añadió uno en 2024. Si lo escribes en cualquier lugar donde el teléfono pide su PIN, «borra el dispositivo de forma irreversible», en palabras del propio GrapheneOS.

Los iPhone, los teléfonos Samsung y los Pixel con el software de Google no tienen nada parecido. Lo más cercano en un iPhone es un ajuste que lo borra tras 10 intentos fallidos de código, y eso no sirve cuando alguien te obliga a escribir el correcto. Y borrar un teléfono entero se lo lleva todo: tus fotos, tus otras apps, absolutamente todo.

Las apps de mensajería tampoco suelen cubrir ese hueco. La mayoría solo te deja eliminar tu cuenta o vaciar tus chats desde dentro de la app, y las personas con las que hablaste suelen conservar su copia.

Así que lo creamos en Morse. El borrado de emergencia viene desactivado, porque un botón que lo borra todo no debería poder pulsarse por accidente. Para activarlo:

1. 1Abre la pestaña Tú y luego Privacidad & Seguridad.
2. 2Toca Botón de pánico. En nuestra próxima actualización pasa a llamarse Borrado de emergencia.
3. 3Activa Mostrar botón de pánico. Si quieres, activa además Borrar también las fotos y videos guardados.

A partir de ese momento, aparece un botón de borrado en la app y en la pantalla de bloqueo de Morse. Dos toques lo borran todo: el botón y luego Borrar todo. No necesitas desbloquear Morse antes.

Morse está disponible para iPhone. El borrado de emergencia también está en la app de Android, que llega pronto.

En pocos segundos:

1. 1Morse pide a nuestro servidor que elimine tu cuenta, mientras tu teléfono todavía tiene conexión.
2. 2Destruye la clave que abre la base de datos de Morse. Todos los mensajes y todos los contactos que contiene se vuelven ilegibles al instante.
3. 3Elimina los archivos de la base de datos y todo lo que la clave no cubre: las fotos y los videos que abriste, las grabaciones de voz y de cámara, los archivos temporales, las notificaciones de tu pantalla, el globo del icono de la app y tu portapapeles si todavía contiene algo que copiaste en Morse.
4. 4Comprueba que no quede nada y vuelve a pasar por todo lo que haya sobrevivido.
5. 5Los teléfonos de tus contactos eliminan tu chat individual con ellos, y te eliminan a ti de sus contactos.

Después, Morse vuelve a su pantalla de bienvenida, como si se acabara de instalar. Tampoco hay nada que recuperar: las claves que abren los datos de Morse se guardan solo para tu teléfono, así que ni siquiera una copia de seguridad de él puede leerse en otro dispositivo.

¿Por qué destruir una clave en vez de eliminar archivos? En la memoria flash de un teléfono, eliminar un archivo no lo borra de forma fiable. El chip reparte sus escrituras para desgastarse de manera uniforme, así que los datos antiguos pueden quedarse en lugares a los que una app no llega. Por eso Morse no depende de eliminar. Su base de datos está cifrada en tu teléfono con una clave guardada en el almacén de claves protegido del teléfono. Destruye esa clave, y lo que quede en el chip es ruido. Eso se llama borrado criptográfico, y tarda lo mismo con diez mil mensajes que con diez.

Pero ¿esa clave no es más que otro dato en el mismo chip? Buena pregunta, y la respuesta es el bloqueo con PIN. Con el bloqueo con PIN de Morse activado, la propia clave de la base de datos está cerrada dos veces: con tu PIN y con una clave que guarda el Secure Enclave en el iPhone o el Android Keystore en Android, y que nunca puede copiarse fuera del teléfono. El borrado elimina también esa clave de hardware. Así que, aunque quede una copia cerrada de la clave de la base de datos en algún lugar del chip, ya no existe nada que pueda abrirla.

¿Por qué puede funcionar en la pantalla de bloqueo? Porque no necesitas una clave para destruirla. El borrado nunca abre la base de datos, así que Morse puede hacerlo sin tu PIN. Lo único que necesita el borrado mientras Morse está bloqueado es permiso para eliminar tu cuenta en nuestro servidor. Para eso Morse guarda un token de eliminación, que se puede leer con la app bloqueada. Solo sirve para eliminar la cuenta: no puede leer ni enviar nada.

Por qué el servidor va primero: los teléfonos de tus contactos solo se enteran de que ya no estás a través de nuestro servidor. Así que Morse se lo pide primero al servidor, mientras tu teléfono sigue conectado, y espera solo un momento. Una red lenta nunca retrasa el borrado en tu teléfono: si no llega respuesta, tu teléfono se borra igualmente.

Antes de todo eso, Morse detiene todo lo que ejecuta en segundo plano, para que nada escriba datos nuevos en mitad del borrado. Después va la cuenta, luego la clave, luego los archivos y por último la comprobación.

Las fotos guardadas fueron la parte complicada. Un iPhone no puede listar «las fotos que guardó esta app», así que Morse lleva su propia lista a medida que guarda cada una y la usa para eliminarlas. iOS te pide confirmar que quieres eliminar fotos, porque es una norma de Apple, así que Morse borra primero tus chats y esa pregunta no puede retrasar nada. En Android 10 y versiones posteriores, Morse elimina las fotos y los videos que guardó en sus propias carpetas.

Si quieres ver al completo cómo guarda y protege Morse tus datos, está en nuestro documento técnico de seguridad (en inglés).

Un borrado parece sencillo: eliminarlo todo. La mayor parte del trabajo se fue en los lugares donde se esconde ese «todo», y en las cosas que pueden interponerse:

• Puede llegar un mensaje en mitad de un borrado. En el iPhone, las notificaciones las gestiona un pequeño proceso aparte que puede activarse en cualquier momento, y un mensaje que guardara mientras se destruía la base de datos podría sobrevivir. Por eso, antes de eliminar nada, el borrado le indica a ese proceso que deje de escribir.
• Parte de la limpieza pasa por los propios servicios del teléfono: quitar el globo del icono de la app, las notificaciones de tu pantalla, las sugerencias que tu teléfono aprendió de tus chats. Esos servicios pueden tardar en responder. Ninguno puede retrasar el borrado: cada uno tiene un límite de tiempo corto, y el borrado sigue adelante.
• Un archivo no desaparece mientras algo siga apuntando a él. Para reproducir videos, la app crea enlaces adicionales a archivos descifrados, así que eliminar solo la carpeta de contenido multimedia habría dejado esos videos en el teléfono. En cambio, el borrado vacía toda la carpeta temporal, contenga lo que contenga.
• Para borrar las fotos que guardó Morse hace falta acceso completo a tu fototeca en el iPhone, algo que Morse no pide en ningún otro caso. Por eso es una opción aparte: solo das ese acceso si quieres que esas fotos también se borren.

Un borrado es tan bueno como su lista. Una app de mensajería guarda cosas en más sitios de los que crees: la base de datos, el almacén de claves del teléfono, los ajustes, las cachés, los archivos temporales, las partes de la app que se ejecutan en segundo plano. Todos ellos están en una sola lista, tanto en iPhone como en Android, con pruebas.

Esa lista solo puede quedarse atrás cuando la app crece, así que hicimos que sea difícil olvidar algo: una regla en nuestro código establece que ningún lugar nuevo donde guardar datos se publica sin añadirse al borrado, con una prueba, en el mismo cambio.

Y el borrado nunca da por hecho que ha funcionado. Cuando termina, comprueba cada elemento de la lista y vuelve a pasar por todo lo que siga ahí.

Por nuestra parte, el borrado elimina tu cuenta y todo lo vinculado a ella: tus claves, los mensajes que aún estén pendientes de entregarte, tu registro de notificaciones push, tu perfil y tu foto cifrados, tus solicitudes de contacto pendientes y tus perfiles en los grupos. Después, el servidor avisa a los teléfonos de tus contactos de que ya no estás.

El registro de tu suscripción de App Store se conserva, marcado como usado y ya sin vínculo con tu Morse ID, así que no se puede pasar a una cuenta nueva. De entrada, tus mensajes nunca se pudieron leer en nuestro servidor: lo único que hace es transmitir mensajes cifrados.

Mejor conocer los límites ahora que descubrirlos en el peor momento:

No se puede deshacer. La cuenta desaparece y necesitarás una nueva.

El borrado de emergencia cubre el momento previo. Un PIN de coacción cubre el momento en sí: un segundo PIN para la pantalla de bloqueo de Morse que puedes escribir cuando alguien te obliga a abrir la app, y que lo borra todo en lugar de abrirla. Llegará en una próxima actualización.

Hasta entonces, dos cosas reducen lo que está en juego. Activa los mensajes que desaparecen en los chats importantes, para que haya menos en tu teléfono desde el principio. Y Morse no tiene dispositivos vinculados, así que nadie puede leer tus mensajes desde otro teléfono añadiendo uno a escondidas mientras tiene el tuyo.