Wyden pide a la NSA que reconozca que un solo salto de VPN no basta

Un senador estadounidense en ejercicio ha pedido a la Agencia de Seguridad Nacional que diga en voz alta lo que los investigadores de privacidad repiten desde hace años: una VPN comercial corriente no protege frente a un adversario estatal. El 2 de septiembre de 2026 Ron Wyden escribió al director de la NSA, el general Joshua Rudd, señalando que las recomendaciones federales siguen tratando una VPN de un solo salto como protección suficiente, y pidió respuestas no clasificadas antes del 14 de octubre. La petición es estrecha y técnica, y apunta justo a la suposición más frágil del argumentario con el que se venden estos servicios.

Qué dice la carta

El argumento de Wyden se apoya en un análisis del Servicio de Investigación del Congreso que cita literalmente: una VPN de un solo salto, por muy cifrada que esté, prácticamente no ofrece protección frente a un adversario capaz de obligar a ese único proveedor o de infiltrarse en él. El punto débil no es el cifrado, sino el único punto de concentración. Todo lo que haces pasa por una sola empresa, en una sola jurisdicción, sobre un solo conjunto de servidores, y quien llega a esa empresa ve el otro extremo de cada conexión.

Frente a eso, la carta nombra las arquitecturas que eliminan ese punto único: el enrutamiento por varios nodos y las mixnets. Wyden pide a la NSA que evalúe cómo funcionan en la práctica, citando Tor, Nym y Apple Private Relay, y que explique cómo se comparan los sistemas de proxy multi-hop con los diseños de mixnet.

El ataque no exige romper el cifrado

El mecanismo descrito se llama correlación de tráfico y conviene entenderlo, porque explica por qué el "cifrado de nivel militar" no responde a esto. Quien puede observar los dos lados de un servidor VPN no necesita descifrar nada. Compara el momento y el volumen de los datos cifrados que entran con el momento y el volumen de los que salen, y el patrón enlaza a un usuario con un destino. El cifrado oculta el contenido. No oculta la forma del tráfico.

Esa observación no está al alcance de un vecino ni de la red de una cafetería. Está al alcance de una organización que ve grandes porciones de internet a la vez o que puede colocarse dentro de un proveedor. Ese es exactamente el modelo de amenaza del que habla Wyden.

De qué tratan en realidad las recomendaciones oficiales de hoy

El hueco que señala la carta no es que el Estado haya dicho algo falso, sino que los consejos existentes responden a otra pregunta. Lo publicado por la NSA y CISA sobre VPN va sobre todo de impedir que los equipos VPN de acceso remoto sean hackeados: parchearlos, endurecerlos, retirar productos obsoletos. Es una guía para el administrador que protege una pasarela corporativa.

No es una guía para quien elige una VPN de consumo con la idea de que un servicio de inteligencia extranjero no lea sus comunicaciones. Wyden lo formula así: los estadounidenses que se enfrentan a amenazas extranjeras avanzadas, incluidos empleados públicos, contratistas de defensa, periodistas y defensores de derechos humanos, merecen consejos claros y honestos sobre cómo proteger sus comunicaciones de la vigilancia de adversarios extranjeros. Ahora mismo esas personas leen un consejo escrito para otro problema.

Qué significa para un usuario corriente

Sería fácil leer esto como "las VPN no sirven", y no es lo que dice la carta. Una VPN de un solo salto sigue haciendo lo de siempre: aparta tu tráfico de la red local y del proveedor de acceso, evita que las webs deduzcan tu zona a partir de la IP, sortea bloqueos basados en desde dónde pareces conectarte. Frente a un anunciante, un operador de red o un censor, eso es real.

Lo que cambia con el modelo de amenaza es el papel del propio proveedor. Cuando el adversario puede obligar o comprometer a la empresa, aquello que era la ventaja, un operador que ve los dos extremos, se convierte en el punto de fallo. Por eso existe el enrutamiento multi-hop y por eso Tor y las mixnets están construidas como están: ningún operador debería saber a la vez quién eres y qué has pedido. El precio es la velocidad, y para la mayoría de la gente y la mayoría de las veces ese cambio no compensa.

Por qué la pregunta llega ahora

Wyden lleva años tirando del mismo hilo: qué sabe el Estado sobre la vigilancia de los estadounidenses y qué les cuenta al respecto. Hemos cubierto sus avisos anteriores, entre ellos que usar una VPN puede debilitar la protección legal de un usuario estadounidense bajo las leyes de inteligencia exterior. Esta carta es la mitad técnica del mismo argumento: si la posición oficial es que una VPN comercial basta, hay que sostenerla con pruebas o actualizarla.