6º-11º
viernes | 18 abril | 2025
Después de que Microsoft tomase la decisión de pausar el lanzamiento de Recall, dando la razón a las significativas inquietudes planteadas en materia de seguridad y privacidad, la empresa informática ha anunciado su regreso.
La magnitud de la reacción negativa inicial no se limitó a un defecto menor; tocó preocupaciones fundamentales sobre la seguridad de los datos y el control del usuario. Esto obligó a Microsoft no solo a ajustar, sino a repensar fundamentalmente su enfoque.
La nueva versión de Recall presenta anuncios y actualizaciones clave en relación con su anterior encarnación. La funcionalidad central sigue siendo la misma: capturar instantáneas de la pantalla del usuario de manera periódica para crear un historial consultable de su actividad en el PC.
Sin embargo, un cambio fundamental es la adopción de un modelo de activación voluntaria (opt-in) durante la configuración inicial de los PC Copilot+.
Esto significa que los usuarios ahora tendrán una elección clara sobre si desean habilitar Recall, y si no optan por activarla de forma proactiva, permanecerá desactivada. Además, se ofrece a los usuarios la opción de eliminar completamente Recall de su sistema a través de la configuración de características opcionales de Windows.
Es importante destacar que la versión actualizada de Recall será exclusiva para la línea de PC Copilot+, que están diseñados con capacidades de hardware específicas para soportar el procesamiento de inteligencia artificial que la función requiere.
El cambio a un modelo de activación voluntaria es una respuesta directa y significativa a las preocupaciones de privacidad que rodeaban la configuración inicial predeterminada. Este cambio permite a los usuarios tomar una decisión informada sobre si se sienten cómodos con la funcionalidad de Recall y las posibles contrapartidas en materia de privacidad.
Microsoft ha implementado mejoras específicas en la seguridad y la privacidad en la versión mejorada de Recall. En primer lugar, se ha introducido un cifrado mejorado. Todas las instantáneas y los datos asociados, incluidos los vectores del índice semántico, ahora están cifrados.
Las claves de cifrado están protegidas por el TPM (Trusted Platform Module) del dispositivo y vinculadas a la identidad de seguridad de inicio de sesión mejorada de Windows Hello del usuario. También mencionan la implementación de un "cifrado de prueba de presencia", lo que sugiere que se requiere la presencia física para ciertas operaciones.
La implementación de un cifrado robusto aborda directamente la vulnerabilidad crítica del almacenamiento inicial en texto plano, elevando significativamente la barrera para el acceso no autorizado a los datos. Esta es una mejora de seguridad fundamental. La falta de cifrado en la versión inicial fue un grave fallo de seguridad. Ahora Microsoft dificulta mucho más el acceso a los datos capturados por parte de los atacantes, incluso si obtienen acceso local al dispositivo.
En segundo lugar, Recall ahora utiliza enclaves de seguridad basados en virtualización (VBS) para sus procesos centrales y el manejo de datos. VBS crea un entorno seguro aislado y reforzado por hardware en la memoria, separado del sistema operativo principal, utilizando la misma tecnología de hipervisor que la plataforma en la nube Azure de Microsoft.
Este aislamiento ayuda a proteger los datos de Recall del malware y otras posibles amenazas que se ejecutan en el sistema. Además, se utiliza la atestación criptográfica dentro de estos enclaves para verificar la integridad y seguridad del entorno antes de realizar operaciones sensibles.
En tercer lugar, se han implementado mejoras en el control de acceso y la autenticación. El acceso a la configuración y la interfaz de usuario ahora está protegido por la seguridad de inicio de sesión mejorada de Windows Hello, lo que requiere autenticación biométrica (huella dactilar o reconocimiento facial) o un PIN seguro para la autorización.
También mencionan medidas de limitación de velocidad y anti-martilleo para proteger aún más contra ataques de fuerza bruta e intentos de acceso no autorizados. Microsoft añade así una capa crucial de protección contra el acceso no autorizado, incluso por alguien con acceso físico al dispositivo.
Finalmente, la compañía ha reafirmado su compromiso con el aislamiento de datos y el almacenamiento local. Todas las instantáneas de Recall y los datos asociados se almacenan localmente en el dispositivo del usuario. Estos datos no se comparten con Microsoft ni con terceros, ni son accesibles para otros usuarios en el mismo dispositivo.
Al mantener los datos locales y no compartirlos externamente, Microsoft pretende tranquilizar a los usuarios de que su actividad capturada permanece bajo su control directo y no está sujeta a las políticas de privacidad o posibles vulnerabilidades de los servicios en la nube.
Microsoft está proporcionando a los usuarios controles mejorados para la gestión de sus datos de Recall. La elección de activación voluntaria sigue siendo el control fundamental. Además, ahora incluye un filtrado de contenido sensible predeterminado para evitar el almacenamiento de información como contraseñas, números de identificación nacional y detalles de tarjetas de crédito en las instantáneas.
Este filtrado utiliza tecnología del producto de prevención de pérdida de datos (DLP) empresarial Purview de Microsoft. Si bien no es una solución infalible, la inclusión del filtrado de contenido sensible por defecto demuestra un esfuerzo por minimizar de forma proactiva el riesgo de que se capture y almacene información altamente personal de forma inadvertida.
Otra mejora importante es la exclusión de la navegación privada. Recall está rediseñado para excluir automáticamente el contenido de las sesiones de navegación privada en los navegadores compatibles. Esto aborda una expectativa específica de privacidad de los usuarios que utilizan modos de navegación privada para actividades en línea sensibles.
Los usuarios también tendrán la capacidad de configurar el tiempo de retención de datos y los límites de almacenamiento para las instantáneas. Finalmente, se han implementado capacidades de eliminación granular.
Los usuarios dispondrán de varias opciones para eliminar los datos capturados, incluyendo la eliminación de instantáneas de rangos de tiempo específicos, la eliminación de todo el contenido de aplicaciones o sitios web particulares, o el borrado de todo el historial de Recall.
Las reacciones ante la reintroducción de Recall han sido variadas. Aunque algunos expertos reconocen las mejoras significativas en las medidas de seguridad y privacidad implementadas, persisten preocupaciones sobre la naturaleza fundamental de la función.
Hay quien argumenta que mantener un registro exhaustivo de la actividad del usuario, incluso con fuertes medidas de seguridad, siempre supone un riesgo inherente. Existe el temor de que, a pesar de las mejoras, puedan surgir nuevas vulnerabilidades o que la función pueda ser objeto de sofisticados métodos de ataque en el futuro.
El sentimiento de los usuarios también refleja una cautela con cierto optimismo. Una parte de los usuarios siguen preocupados por el potencial de uso indebido, como el espionaje por parte de parejas abusivas o la posibilidad de que se exploten vulnerabilidades desconocidas. Otros, sin embargo, pueden encontrar la función genuinamente útil a pesar de las consideraciones de privacidad.
Desde la perspectiva de las organizaciones y los profesionales de TI, las implicaciones de Recall en las redes corporativas y las políticas de seguridad de datos siguen siendo un punto de debate. Aún existen preocupaciones sobre las amenazas internas o la posibilidad de que se capture información corporativa sensible. Recall podría ser incompatible con las prácticas de seguridad de datos empresariales que prohíben el almacenamiento persistente de datos confidenciales en dispositivos cliente remotos.
El éxito a largo plazo de Recall dependerá no solo de su solidez técnica, sino también de la capacidad de Microsoft para generar y mantener la confianza del usuario. Incluso con las mejores medidas de seguridad, cualquier sistema que recopile y almacene una gran cantidad de datos personales representa un objetivo potencial.
Los usuarios deben ser conscientes de este riesgo inherente y tomar decisiones informadas en función de sus circunstancias individuales. Microsoft, a su vez, deberá permanecer vigilante y transparente en su enfoque de la seguridad y la privacidad de Recall.
