Seguridad en Hidden.Irish: cifrado, claves de descifrado y límites
Hidden.Irish cifra los mensajes con AES-256-GCM y deriva la clave mediante PBKDF2-SHA256 con 600 000 iteraciones. La ocultación es un método de transmisión experimental e independiente del cifrado. La aplicación web recibe el mensaje o el token y la clave de descifrado: no ofrece cifrado de extremo a extremo frente al propio servicio.
Qué protege el contenido
El contenedor cifrado incluye una sal aleatoria y un nonce nuevos para cada cifrado. AES-GCM verifica la autenticidad del contenido cifrado y rechaza una clave incorrecta o una modificación de los datos autenticados. Las sumas de comprobación del soporte ayudan a detectar datos ocultos dañados en las imágenes, pero no constituyen una autenticación criptográfica.
Siempre que sea posible, utiliza la clave de descifrado aleatoria de 256 bits que se sugiere. Puedes introducir una propia, pero una contraseña corta o reutilizada sigue siendo más fácil de adivinar pese al coste de cálculo de la derivación. Comparte la clave por separado y consérvala: la aplicación no puede recuperar una clave perdida.
Dónde se procesan los datos
El cifrado y el descifrado se realizan en el servidor de Hidden.Irish. Las imágenes se crean y se leen en el navegador; para descifrar el mensaje solo se envían el token cifrado recuperado y la clave. La aplicación no almacena mensajes ni claves, pero utilizarla exige confiar en su alojamiento y en el código que entrega.
La generación opcional con OpenAI recibe el estilo neutro elegido para el texto o la imagen que servirá de soporte y la clave de API del usuario, pero no el mensaje secreto, la clave de descifrado ni el token cifrado. Puede consumir créditos de pago de la API. La analítica que requiere consentimiento no recoge el contenido de los formularios.
Qué no se promete
No se ha demostrado que la ocultación sea indetectable, que los datos se conserven en todas las redes sociales ni que exista protección frente a un dispositivo o un servicio comprometido. El cifrado no oculta el tráfico, la identidad de las cuentas ni el hecho de que dos personas se comuniquen.
Utiliza esta herramienta experimental solo cuando estos límites sean aceptables. Prueba primero con un mensaje sin información sensible, comprueba la copia que realmente se haya recibido y conserva una copia de respaldo del original o del token cifrado.