Keybase

Qué es Keybase y cómo funciona

Keybase nació en 2014 como un directorio público que enlazaba claves PGP con identidades sociales verificadas (Twitter, GitHub, sitios web). Evolucionó hasta convertirse en una plataforma completa de comunicaciones cifradas de extremo a extremo con chat, equipos, almacenamiento de archivos cifrado (KBFS), repositorios git cifrados e integración con el monedero Stellar. En 2020, Keybase fue adquirida por Zoom Video Communications para reforzar las capacidades de cifrado E2E de Zoom. El desarrollo activo se ha ralentizado desde entonces, pero el servicio sigue operativo y los clientes open source se mantienen.

Qué datos trata Keybase

Incluso con cifrado de extremo a extremo, Keybase trata metadatos sustanciales: nombre de usuario, correo opcional, claves PGP públicas, pruebas de identidad en plataformas sociales, red de amigos y pertenencia a equipos, identificadores de dispositivo (uno por instalación), IP por sesión, marcas de tiempo de mensajes, tamaños de archivo y recuentos de chat. Las cargas cifradas se almacenan en los servidores de Keybase pero no pueden ser descifradas por Zoom. El cliente web de keybase.io deposita cookies de sesión y CSRF al iniciar sesión.

Implicaciones del RGPD

Keybase trata datos personales de residentes de la UE (nombre de usuario, correo, IP, grafo social) y por tanto está sujeta al RGPD. Como Zoom está establecida en EE. UU., las transferencias a los servidores de Zoom deben abordarse mediante CCT y el Marco de Privacidad de Datos UE, EE. UU. Los metadatos por sí solos pueden considerarse de riesgo bajo, pero revelan patrones de comunicación y vínculos de identidad que pueden ser sensibles en determinados contextos (periodistas, activistas, profesiones reguladas).

Consentimiento y base jurídica

Para una persona física que se da de alta en Keybase, la base jurídica es la ejecución del contrato (art. 6(1)(b) RGPD), pues el servicio es solicitado por la persona interesada. Para organizaciones que despliegan Keybase a sus empleados, la ejecución del contrato y el interés legítimo en comunicaciones seguras son bases típicas, con obligaciones de información. Para las cookies del cliente web aplica la ePrivacy y se exige consentimiento para las no estrictamente necesarias.

Transferencias de datos y propiedad de Zoom

Desde 2020 Keybase está operada por Zoom (EE. UU.) con infraestructura en AWS en EE. UU. Esto coloca a Keybase claramente en la categoría de transferencias a EE. UU. Aplican las CCT, Zoom está certificada en el Marco de Privacidad de Datos UE, EE. UU. y el cifrado E2E robusto del contenido de los mensajes ofrece una medida suplementaria sustancial. Realice una EIT si despliega Keybase para casos sensibles.

Pasos prácticos de cumplimiento

Para uso organizativo, firme el DPA de Zoom (que cubre Keybase), documente Keybase en su registro, realice una EIT para transferencias a EE. UU., informe a los usuarios (empleados o miembros), prefiera nombres de dispositivos que no identifiquen al portador, evite usar las pruebas de identidad de Keybase para vincular cuentas personales con identidades profesionales y considere migrar a alternativas desarrolladas activamente si necesita certeza en la hoja de ruta a largo plazo.