Proteus: A Practical Framework for Privacy-Preserving Device Logs

El artículo presenta Proteus, un marco práctico para el registro de dispositivos que preserva la privacidad mediante pseudonimización basada en hash y cifrado rotativo, permitiendo análisis forense sin revelar información de identificación personal ni sacrificar la fidelidad de los datos.

Lo esencial

¡Claro que sí! Imagina que Proteus es como un sistema de seguridad de doble capa para los "diarios de viaje" de tu teléfono móvil, diseñado para que las empresas puedan investigar problemas sin nunca leer tus secretos personales.

Aquí te lo explico con una analogía sencilla:

🕵️‍♂️ El Problema: El Diario Abierto

Imagina que tu teléfono es como un diario personal donde anotas todo lo que haces: a quién le envías mensajes, qué sitios web visitas y dónde estás.

• La situación actual: Cuando tu teléfono envía este diario a la empresa para que revisen si hay hackers o fraudes, lo envía abierto. Es como si le entregaras a un detective una copia de tu diario donde tus nombres, direcciones y fotos están escritos en letras grandes y claras. Si el detective es honesto pero curioso, o si alguien roba el archivo, ¡todos tus secretos quedan expuestos!
• Las soluciones viejas: Antes, intentaban borrar los nombres con un rotulador negro (redacción) antes de enviar el diario. Pero el problema es que, al borrar los nombres, también borran la conexión entre los eventos. El detective ya no puede saber que "Juan" y "María" hicieron la misma acción a la misma hora, porque ambos nombres fueron borrados por igual.

🛡️ La Solución: Proteus (El Sistema de Códigos)

Proteus cambia las reglas del juego. En lugar de enviar el diario abierto o borrado, envía un código secreto que solo se puede leer bajo ciertas condiciones. Funciona como una caja fuerte con dos cerraduras:

1. La Primera Capa: El "Alias" (Pseudonimización)

Cuando tu teléfono escribe algo sensible (como tu correo electrónico), en lugar de escribir "[e-mail]", lo convierte instantáneamente en un código único (como X7Z9-ALIAS).

• La magia: Este código es siempre el mismo para "[e-mail]". Si Juan envía dos mensajes, ambos tendrán el código X7Z9.
• El beneficio: El detective puede ver que X7Z9 apareció dos veces y entender que fue la misma persona, pero no sabe que es Juan. Es como si en el diario dijera "El Espía X7Z9 hizo esto", en lugar de "Juan Pérez hizo esto".

2. La Segunda Capa: El "Candado Diario" (Encriptación)

Aquí es donde Proteus se vuelve genial. Ese código X7Z9 no se envía tal cual. Se mete en una caja fuerte que se cambia de candado cada día.

• El candado de ayer: Si un hacker roba el diario de hoy, no puede abrir el diario de ayer porque el candado de ayer es diferente y ya no existe.
• El candado de hoy: Solo el candado de hoy abre el diario de hoy.
• El resultado: Incluso si alguien roba el teléfono y ve todos los diarios de los últimos años, no puede conectar los puntos entre un día y otro. ¡Es imposible hacer un perfil de tu vida!

🔑 La Llave Maestra: El "Permiso Controlado"

¿Qué pasa si realmente necesitamos saber quién es "Juan" para atrapar a un criminal?

• El proceso: La empresa no tiene la llave. Tienen que pedir tu permiso (o el de un juez) para abrir una ventana de tiempo específica (por ejemplo, "solo el martes pasado").
• La magia de la llave: Cuando se da el permiso, el teléfono envía una llave temporal que permite abrir solo los candados de ese día específico.
• La seguridad: Al abrir la caja, el detective ve el código X7Z9, pero nunca ve el nombre "Juan". El sistema está diseñado para que el detective solo pueda confirmar que "la misma persona hizo X y Y", pero nunca pueda saber que esa persona eres tú, a menos que haya una investigación judicial muy específica que rompa la capa de alias (algo que Proteus evita al máximo).

🚀 ¿Es rápido y útil?

Sí, y aquí viene la parte divertida:

• Velocidad: Proteus es tan rápido que apenas tarda 0.2 milisegundos en proteger cada mensaje. Es más rápido que parpadear. No notarás que está funcionando.
• Espacio: Ocupa muy poco espacio extra en tu teléfono (como añadir una hoja de papel a una biblioteca entera).
• Fidelidad: A diferencia de las soluciones viejas que borraban datos, Proteus mantiene toda la historia. Los investigadores pueden reconstruir la línea de tiempo de un ataque perfectamente, sabiendo qué pasó, cuándo y en qué orden, sin saber quién eres.

En resumen

Proteus es como un traductor secreto que vive en tu teléfono.

1. Traduce tus secretos a códigos únicos.
2. Mete esos códigos en cajas que cambian de candado cada día.
3. Permite a los investigadores ver la historia completa (quién hizo qué y cuándo) sin nunca revelar tu identidad real, a menos que sea estrictamente necesario y bajo reglas muy estrictas.

Es la forma perfecta de tener seguridad y privacidad al mismo tiempo: sabemos lo que pasó, pero no sabemos quién eres.

Resumen técnico

Resumen Técnico: Proteus

1. El Problema

La recolección de registros (logs) de dispositivos es fundamental para la investigación forense, el monitoreo empresarial y la detección de fraudes. Sin embargo, con la expansión de políticas de "Trae tu propio dispositivo" (BYOD) y la recolección de datos en dispositivos de consumo (IoT, wearables, móviles), surge un dilema de privacidad crítico:

• Fuga de PII: Los registros detallados necesarios para el análisis de seguridad inevitablemente contienen Información de Identificación Personal (PII) sensible (ubicación, comunicaciones, identificadores de usuario).
• Ineficacia de las soluciones actuales:
  • Redacción posterior (Post-hoc redaction): Elimina la PII pero destruye la utilidad forense al hacer imposible correlacionar eventos o reconstruir líneas de tiempo.
  • Trazado de taint (Taint tracking): Tiene altos costos de rendimiento y brechas de cobertura.
  • Privacidad diferencial: Sacrifica la fidelidad de los eventos individuales, lo cual es inaceptable para investigaciones forenses precisas.
  • Encriptación tradicional: A menudo requiere la desencriptación total para el análisis, exponiendo la PII a servidores "honestos pero curiosos" o a adversarios que capturan múltiples instantáneas de logs a lo largo del tiempo.

El objetivo es proteger la PII in situ (en el momento de la generación) sin sacrificar la capacidad de correlación y reconstrucción de eventos necesaria para la forense.

2. Metodología y Diseño de Proteus

Proteus es el primer marco de registro que ofrece protección de privacidad in situ sin comprometer la utilidad forense. Su diseño se basa en la idea central de que el análisis forense requiere correlación (vincular eventos relacionados), no la recuperación de los valores de PII en texto plano.

La arquitectura de Proteus es un sistema cliente-servidor que implementa un esquema de doble capa y un protocolo de compartición controlada:

A. Protección de Doble Capa (en el dispositivo):

1. Pseudonimización (Capa 1): Los campos sensibles identificados como PII se procesan mediante un hash con clave (HMAC) utilizando una clave de hash específica del sistema ($K_{hash}$). Esto genera un token estable que permite vincular eventos del mismo usuario sin revelar su identidad real.
2. Encriptación (Capa 2): Estos tokens pseudonimizados se encriptan utilizando claves efímeras que rotan diariamente. Estas claves se derivan de un mecanismo de "ratchet" (trinquete) jerárquico anclado en el hardware.
   • Ratchet Diario (Interno): Genera una nueva clave de mensaje cada día. Si un adversario compromete el estado actual, no puede retroceder para desencriptar logs pasados (secreto hacia adelante).
   • Ratchet Raíz (Externo): Anclado en DICE (Device Integrity and Cryptographic Evidence), un estándar de la TCG que deriva claves de un secreto único del hardware y medidas de integridad. Esto vincula los logs a la identidad del dispositivo y su estado de arranque.

B. Protocolo de Compartición Controlada:
Para permitir el análisis forense, el cliente (dispositivo) exporta un estado de ratchet limitado a un servidor autorizado.

• El servidor recibe claves derivadas para un intervalo de tiempo específico (ventana de tiempo).
• El servidor puede desencriptar los tokens para realizar correlación, pero nunca recibe la clave de hash ($K_{hash}$), por lo que no puede revertir el token a la PII original (texto plano).
• Seguridad Post-Compromiso: Inmediatamente después de exportar las claves, el dispositivo rota su clave raíz ($R_0$) mediante un intercambio Diffie-Hellman efímero. Esto asegura que el servidor no pueda desencriptar logs generados después de la ventana autorizada, incluso si el estado del dispositivo fue comprometido.

C. Atestación:
Todo el proceso está anclado en la atestación DICE, lo que garantiza la procedencia de los logs y previene la inyección o manipulación de registros por parte de actores maliciosos.

3. Contribuciones Clave

1. Primer marco de privacidad in situ para logs móviles: Protege los datos sensibles en el punto de emisión, evitando que la PII en texto plano salga del dispositivo, manteniendo la utilidad forense completa.
2. Modelo de amenaza formalizado: Define un modelo de amenaza específico para dispositivos móviles que considera adversarios de "múltiples instantáneas" (que observan logs a lo largo del tiempo) y servidores "honestos pero curiosos".
3. Implementación práctica y evaluación: Se implementó como una extensión transparente para logcat de Android y se evaluó en tres generaciones de hardware (2017-2022).
4. Garantías de seguridad demostrables: Proporciona una prueba teórica basada en juegos que demuestra que el ratchet jerárquico de Proteus ofrece propiedades de confidencialidad y secreto hacia adelante análogas al "Double Ratchet" de Signal, pero adaptado al contexto de logs.

4. Resultados de Evaluación

Los autores evaluaron Proteus utilizando el conjunto de datos LogHub (30.3 millones de entradas de registro) y en dispositivos reales (Pixel 2, Tab S6, Pixel 6a).

• Rendimiento (Latencia):
  • Latencia mediana de 0.2 ms por mensaje en dispositivos reales.
  • El cuello de botella principal no es la criptografía, sino la detección de PII basada en expresiones regulares (Regex) y el procesamiento de formato.
• Eficiencia de Almacenamiento:
  • Sobrecarga de almacenamiento promedio del 2.41%.
  • Para tipos de PII largos (como URLs con parámetros de consulta), Proteus incluso reduce el tamaño del registro al reemplazar cadenas variables con tokens de tamaño fijo encriptados.
• Escalabilidad: El sistema procesó 30.3 millones de registros en un entorno de prueba, demostrando que es viable para cargas de trabajo de producción.
• Seguridad: La análisis formal confirma que el diseño logra confidencialidad, secreto hacia adelante y recuperación tras un compromiso (break-in recovery).

5. Significado e Impacto

Proteus resuelve la tensión histórica entre la necesidad de observabilidad de seguridad y el derecho a la privacidad en dispositivos personales.

• Cambio de Paradigma: Mueve la protección de la privacidad desde el servidor (donde los datos ya están expuestos) hacia el dispositivo (en el momento de la generación).
• Viabilidad de Producción: Demuestra que la privacidad fuerte no requiere sacrificar el rendimiento ni la utilidad forense. Los costos son mínimos (sub-milisegundo, ~2% de almacenamiento).
• Aplicabilidad: Es crucial para entornos BYOD, IoT y servicios de consumo donde la recolección de logs es continua y los datos son altamente sensibles. Permite a las organizaciones realizar investigaciones forenses y detectar fraudes sin violar regulaciones como GDPR o CCPA ni exponer la identidad de los usuarios a servidores de terceros.

En conclusión, Proteus establece un nuevo estándar para la recolección de logs en dispositivos móviles, ofreciendo un equilibrio práctico y seguro entre la forense digital y la privacidad del usuario.