Cifrado VPN explicado: cómo protege realmente tus datos
En el instante en que tocas conectar en la app de VPN, tu teléfono y un servidor en otro lugar tardan mucho menos de un segundo en acordar una clave secreta que ninguno de los dos pronuncia jamás en voz alta. Ese intercambio es todo el fundamento de confianza del cifrado VPN, y ocurre antes de que un solo byte de tu tráfico real salga del dispositivo. Entender qué pasa en ese segundo marca la diferencia entre confiar en una VPN porque una página de marketing dice “cifrado de nivel militar” y confiar en ella porque sabes lo que esas palabras realmente significan.
Qué le hace realmente el cifrado a tu tráfico
El cifrado toma datos legibles — un formulario de inicio de sesión, un video en streaming, una consulta DNS — y los convierte en texto cifrado: un bloque de números que parece ruido para cualquiera sin la clave. La matemática es simétrica: la misma clave que revuelve los datos en tu dispositivo los ordena de nuevo en el servidor, y viceversa en el camino de vuelta.
Lo que un túnel correctamente cifrado oculta a cualquiera en la misma red:
- El contenido de cada solicitud y respuesta — páginas cargadas, mensajes enviados, archivos descargados
- Credenciales de inicio de sesión y tokens de sesión intercambiados entre apps y sitios
- Qué recursos específicos estás consultando en un servicio, más allá del hecho de estar conectado a un servidor VPN
AES-256, el cifrado en el que se apoyan la mayoría de las VPN, no es un término de marketing — es el estándar FIPS 197, publicado por el NIST en 2001. La Commercial National Security Algorithm Suite 2.0 de la NSA (publicada en 2022) aprueba AES-256 para proteger datos del gobierno de EE. UU. hasta el nivel Top Secret. Ese es el listón real del que toma prestado el término “cifrado de nivel militar”.
AES-256 frente a ChaCha20: los dos cifrados que hacen el trabajo pesado
Los protocolos VPN modernos eligen entre dos cifrados bien estudiados, y la elección correcta depende más del hardware que de la ideología.
| AES-256-GCM | ChaCha20-Poly1305 | |
|---|---|---|
| Tipo | Cifrado de bloque | Cifrado de flujo |
| Mejor en | Dispositivos con aceleración AES por hardware (la mayoría de chips insignia modernos) | Teléfonos económicos o antiguos, dispositivos de baja potencia sin aceleración criptográfica |
| Rendimiento (ARM, sin aceleración de hardware) | ~100 MB/s | ~160 MB/s |
| Uso en | TLS, IPsec, la familia de protocolos WireGuard, sistemas gubernamentales | La familia de protocolos WireGuard, VPN orientadas a móviles |
| Estado de seguridad | Sin ataque práctico conocido; aprobado por la NSA para Top Secret | Sin ataque práctico conocido; usado en la infraestructura de Google y Cloudflare |
Ningún cifrado es “más fuerte” de una manera que importe en el día a día — ambos han resistido dos décadas de criptoanálisis público sin una ruptura práctica. La pregunta real es cuál puede ejecutar tu dispositivo más rápido sin agotar la batería — por eso los protocolos VPN orientados a móviles usan cada vez más ChaCha20 por defecto.
El intercambio de claves: acordar un secreto sin decirlo en voz alta
Antes de que cualquier dato se cifre, tu dispositivo y el servidor VPN deben acordar un secreto compartido — en una red que un atacante quizás ya esté observando. Esto se resuelve con un intercambio de claves al estilo Diffie-Hellman, típicamente sobre Curve25519, envuelto en un marco de intercambio llamado Noise (el mismo que usa la familia de protocolos WireGuard).
El proceso, simplificado en pasos:
- Tu dispositivo genera un par de claves temporal y envía su mitad pública al servidor.
- El servidor hace lo mismo y responde con su propia clave pública, ya en condiciones de calcular un secreto compartido de su lado.
- Ambas partes derivan de forma independiente la misma clave simétrica a partir de ese intercambio — sin transmitir jamás la clave en sí.
- Todo el tráfico a partir de ese momento se cifra con esa clave de sesión, que suele rotarse mucho antes de que pudiera romperse de forma realista por fuerza bruta.
Idea clave: la seguridad de todo el sistema depende del intercambio de claves, no solo del cifrado. Un cifrado fuerte envuelto en un intercambio débil sigue siendo un sistema débil — por eso la elección del marco de intercambio de claves importa tanto como AES frente a ChaCha20.
Por qué esto importa en el Wi-Fi público, no solo en teoría
Esto no es un modelo de amenaza abstracto. Las investigaciones sobre el comportamiento en Wi-Fi público encuentran que una gran parte de los usuarios — se cita con frecuencia una cifra cercana al 60% — revisa el correo personal en redes públicas sin protección, y el Internet Crime Complaint Center del FBI registró más de 21.000 denuncias relacionadas con acceso a redes comprometidas en un año reciente, con más de 180 millones de dólares en pérdidas reportadas. Dos de las técnicas más comunes ni siquiera requieren romper el cifrado:
- Captura de paquetes (packet sniffing) en redes abiertas, que captura todo lo enviado sin protección en la capa de transporte
- Puntos de acceso “evil twin”, redes Wi-Fi falsas que interceptan una conexión antes incluso de que empiece cualquier cifrado, VPN u otro
El túnel cifrado de una VPN cierra ambas brechas a nivel de red: todo lo que sale del dispositivo ya está envuelto antes de que la red local —confiable o no— llegue a verlo en claro.
Lo que el cifrado no cubre — y por qué importa el resto del sistema
El cifrado protege el contenido de tu tráfico en tránsito. Por sí solo, no garantiza que el proveedor de VPN no esté observando lo que pasa por sus propios servidores — eso es una cuestión de política, no de matemáticas. Una política de no registro (no-logs) es lo que cierra esa segunda brecha: el proveedor se compromete a no registrar qué sitios visitas ni qué envías una vez que descifra tu tráfico de su lado para reenviarlo.
RunVPN funciona sobre dos protocolos cifrados de fondo — AmneziaWG (basado en WireGuard, usado por defecto) y VLESS-Reality con XTLS-Vision sobre el motor Xray — ajustados para una conexión rápida y estable, resistentes al tipo de inspección profunda de paquetes que degrada el rendimiento en redes congestionadas o ruidosas. No tienes que elegir ni configurar ninguno de los dos: inicia sesión con Google, correo o Telegram, toca conectar, y la app obtiene su configuración automáticamente. No hay configuración manual, ni archivo de configuración que importar, ni código QR que escanear.
Nota: RunVPN sigue una política de no registro y admite hasta 5 dispositivos por cuenta. Android ya está disponible; iOS y escritorio llegan próximamente.
Preguntas frecuentes
¿Es irrompible el cifrado VPN? Nada es matemáticamente “irrompible” para siempre, pero AES-256 y ChaCha20 no tienen ningún ataque práctico conocido tras casi dos décadas de escrutinio público. El riesgo real está en otra parte — intercambios de claves débiles, registro por parte del proveedor o el propio dispositivo —, no en romper el cifrado por fuerza bruta.
¿El cifrado ralentiza mi conexión? Los cifrados modernos son lo bastante rápidos como para que el paso de cifrado rara vez sea el cuello de botella; la mayor parte de la lentitud percibida viene de la distancia de enrutamiento al servidor o de la congestión de red, no de la criptografía.
¿Puede mi proveedor ver lo que hago si uso RunVPN? El tráfico entre tu dispositivo y el servidor de RunVPN está cifrado de extremo a extremo en ese tramo, y RunVPN sigue una política de no registro del lado del servidor — no se registra qué sitios visitas.
¿Debería importarme si mi VPN usa AES-256 o ChaCha20? No demasiado en el día a día. Ambos son seguros; la diferencia práctica está en la batería y la velocidad en tu dispositivo concreto — precisamente por eso RunVPN hace esa elección por ti, en lugar de pedirte que la configures.
¿Listo para ver el túnel cifrado en acción? Descarga RunVPN — conoce más sobre los protocolos en las páginas de AmneziaWG y VLESS-Reality, o revisa los compromisos de privacidad de RunVPN.