Secure Vault

📄 Documento técnico: SecureVault_Technical_Paper_v3.5.0.pdf · Citar en Zenodo

Cifrado de archivos local-first para Windows, protegido por una llave USB física en lugar de una contraseña.

⚠️ v3.5.0 incluye una corrección de seguridad incompatible — consulta CHANGELOG.md antes de actualizar desde una versión anterior.

---

Tabla de contenidos

• Qué es esto
• Por qué una llave USB en lugar de una contraseña
• Características
• Instalación
• Configuración inicial
• Uso de Secure Vault
  • Cifrar un archivo
  • Descifrar un archivo
  • Registrar una llave USB
  • Ver dispositivos registrados
  • Copias de seguridad
  • Restaurar un archivo
  • Alertas por correo electrónico (Opción 7)
  • Integración con clic derecho
• Uso desde la línea de comandos
• Archivos de configuración
• Compilar el instalador desde el código fuente
• Notas de seguridad
• Solución de problemas
• Licencia

---

Qué es esto

Secure Vault cifra archivos individuales (o carpetas) en tu máquina Windows usando AES-256-GCM. En lugar de proteger la clave de cifrado solo con una contraseña, la clave se genera aleatoriamente y se almacena en una unidad flash USB que tú elijas. Para descifrar cualquier cosa más adelante, esa misma unidad USB debe estar conectada físicamente.

Por qué una llave USB en lugar de una contraseña

Las contraseñas pueden adivinarse, ser objeto de phishing, capturarse con keyloggers o ser forzadas por fuerza bruta. Una llave física no puede robarse de forma remota como sí puede hacerse con una contraseña. Compensaciones que debes entender antes de confiar en esto:

• Si alguien roba tu portátil pero no tu unidad USB, no podrá descifrar tus archivos.
• No hay nada que escribir, recordar ni filtrar.
• No hay restablecimiento de contraseña. Si pierdes la unidad USB y no tienes una copia de seguridad del archivo de clave que contiene, todo lo cifrado con ella será irrecuperable de forma permanente. Trata esa unidad como una llave física de tu casa — sabe dónde está en todo momento, y considera mantener una copia de seguridad del propio archivo de clave en un segundo lugar seguro.

Características

• Cifrado AES-256-GCM con derivación de clave scrypt
• Clave maestra basada en USB, más claves opcionales por dispositivo para múltiples máquinas
• Copias de seguridad locales cifradas con rotación automática (conserva las últimas 5, caducan a los 30 días)
• Sumas de verificación de integridad de archivos (detecta manipulación/corrupción)
• Borrado seguro multipaso del archivo original tras el cifrado
• Alertas opcionales por correo electrónico cuando ocurren acciones en la bóveda
• Entrada opcional "Cifrar/Descifrar con Secure Vault" en el menú de clic derecho del Explorador de Windows
• Instalador totalmente desatendido — no requiere interacción más allá del doble clic inicial

---

Instalación

1. Ve a la página de Releases y descarga el último SecureVaultSetup-x.x.x.exe.
2. Ejecútalo.
   • Windows puede mostrar una advertencia de SmartScreen "Windows protegió tu PC". Esto es esperado para un instalador nuevo y sin firmar — haz clic en "Más información" → "Ejecutar de todas formas". Consulta las Notas de seguridad para saber por qué ocurre esto.
   • El instalador requiere derechos de administrador (puede instalar Node.js si falta, y puede registrar una extensión de shell para el clic derecho).
3. Durante la instalación se te preguntará si deseas crear un acceso directo en el escritorio y si deseas añadir la integración con el menú de clic derecho — ambas opcionales, marca las casillas que quieras.
4. El instalador hará lo siguiente:
   • Comprobar si Node.js está presente e instalarlo silenciosamente si falta
   • Instalar la aplicación en Program Files\SecureVault (o la ubicación que elijas)
   • Instalar la única dependencia requerida (nodemailer, usada solo para la función opcional de correo electrónico)
   • Crear accesos directos en el Menú Inicio / Escritorio
5. Haz clic en Finalizar — Secure Vault se inicia automáticamente.

Sin pasos manuales, sin línea de comandos para una instalación normal.

---

Configuración inicial

Lo primero que debes hacer tras instalar es registrar una unidad USB como tu clave maestra. No se puede cifrar ni descifrar nada hasta que esto esté hecho.

1. Conecta una unidad flash USB que estés dispuesto a dedicar a este propósito.
2. Inicia Secure Vault (acceso directo del Menú Inicio o del Escritorio).
3. En el menú, elige Opción 3 — Registrar USB.
4. Escribe: master
5. Introduce la letra de la unidad, por ejemplo E: (consulta Solución de problemas si esto falla).
6. Secure Vault escribe un archivo .vault_master.key en la raíz de esa unidad. No elimines este archivo y no pierdas esta unidad.

Opcional pero recomendado: copia ese archivo .vault_master.key a una segunda unidad USB almacenada de forma segura como respaldo, en caso de que la principal se pierda o dañe alguna vez.

---

Uso de Secure Vault

Inicia la aplicación mediante el acceso directo del Menú Inicio / Escritorio para obtener el menú interactivo:

========================================
  SECURE VAULT
========================================
  1. Encrypt a file
  2. Decrypt a file
  3. Register USB
  4. View devices
  5. View backups
  6. Restore file
  7. Configure email
  8. Install right-click menu
  9. Exit

1. Cifrar un archivo

Elige la opción 1, luego introduce la ruta completa del archivo o carpeta. Tu unidad USB registrada debe estar conectada. La salida es un archivo .vault; el original se elimina de forma segura (sobrescrito 3 veces) tras un cifrado y una copia de seguridad exitosos.

2. Descifrar un archivo

Elige la opción 2, introduce la ruta del archivo .vault. Tu unidad USB registrada debe estar conectada — el descifrado es imposible sin ella.

3. Registrar llave USB

Cubierto en Configuración inicial arriba. También puedes registrar claves adicionales por dispositivo (elige device en lugar de master) si quieres una clave separada para una segunda máquina manteniendo una clave maestra general.

4. Ver dispositivos registrados

Lista cada llave USB (maestra y de dispositivo) registrada actualmente, extraída de config/registered-devices.json.

5. Copias de seguridad

Cada vez que cifras un archivo, Secure Vault guarda automáticamente una copia de seguridad cifrada localmente (con rotación — conserva las 5 más recientes, caducan automáticamente a los 30 días). La opción 5 te permite listarlas y verlas.

6. Restaurar

Restaura un archivo desde una de esas copias de seguridad locales, en caso de que necesites recuperar la versión previa al cifrado sin pasar por el descifrado.

7. Alertas por correo electrónico