Tu bóveda local: todo cifrado bajo tu PIN
Cifrar los mensajes en tránsito ya no basta. Lo que te compromete casi siempre está en el propio teléfono: un dispositivo perdido, una copia de seguridad, un registro, alguien que te lo coge un minuto. Hoy activamos la bóveda local de xox: todo lo que la app guarda en tu dispositivo queda cifrado con una clave que solo se abre con tu PIN. Sin PIN no hay chats, ni contactos, ni claves. Solo ruido.
Qué cifra exactamente
Todo. Chats, contactos, grupos, identidades, licencia, ajustes: cada dato que xox escribe en el almacenamiento del navegador o de la app pasa por AES-256-GCM con una clave aleatoria de 256 bits. Esa clave se guarda a su vez envuelta por otra derivada de tu PIN con PBKDF2-SHA256 y 600.000 vueltas. Ni los nombres de las entradas se ven: también van cifrados. Quien copie el almacenamiento se lleva ruido.
Cómo funciona en el día a día
Al abrir tu área por primera vez, xox te pide crear un PIN de 6 a 12 dígitos (recomendamos de 8 a 12). Después, cada vez que abres la app tras cerrarla, tecleas el PIN en un teclado propio de xox: el teclado del sistema no lo ve, no lo aprende y no lo sugiere. Con la bóveda abierta, la app es exactamente la de siempre; con la bóveda cerrada, ni siquiera se carga el código de la app.
Bloqueo automático y bloqueo inmediato
Elige cuándo se cierra sola: al salir de la app, al minuto, a los 5, 15 o 60 minutos, o nunca. En Ajustes → Bóveda tienes además 'Bloquear ahora' para cerrarla en el acto. Si alguien prueba PIN al azar, los intentos se frenan: tras tres fallos la espera se duplica hasta un minuto por intento.
PIN de pánico
Puedes definir un segundo PIN. Si lo tecleas en la pantalla de bloqueo, xox borra todo lo que hay en el dispositivo (chats, claves, identidades, caché) y arranca limpio, como recién instalado. No hay aviso, no hay animación y no hay forma de distinguirlo de un teléfono que nunca tuvo xox. Es la salida para cuando te obligan a abrir la app.
Teclado sin aprendizaje
Los teclados de los móviles y los correctores 'mejorados' de algunos navegadores envían lo que escribes a servidores ajenos para sugerirte palabras. xox fuerza en todos sus campos de texto el modo sin corrector, sin autocompletar y sin aprendizaje, y lo vuelve a forzar cada vez que la pantalla cambia. Y el PIN nunca pasa por el teclado del sistema.
Lo que no podemos hacer, y lo que viene
Un PIN de 6 dígitos no resiste un ataque de fuerza bruta con una copia de tu almacenamiento y una tarjeta gráfica: por eso recomendamos de 8 a 12. Si olvidas el PIN, nadie, ni nosotros, puede recuperar los datos: no existe copia de la clave en ningún sitio. En la app nativa la clave irá ligada a la huella o al chip seguro del teléfono, y llegarán Tor, el ratchet post-cuántico y el relleno de tráfico, dentro del plan xox Shield.