Durante la segunda edici\u00f3n de Clojure South, Eric Bispo e Isaac Borges subieron al escenario para presentar uno de los proyectos m\u00e1s fascinantes desarrollados dentro de NuFuturo, la alianza de investigaci\u00f3n entre Nubank e instituciones como UFBA, IFBA y UFCG. Su trabajo, el NuFilebox Reverse, surgi\u00f3 de un desaf\u00edo muy concreto que enfrentaba el equipo legal de Nubank: recibir, analizar y procesar archivos externos de forma segura en un flujo de trabajo que involucra m\u00faltiples idiomas, grandes vol\u00famenes de datos y una infraestructura totalmente basada en la nube.<\/p>\n\n\n\n
La sesi\u00f3n mostr\u00f3 c\u00f3mo la investigaci\u00f3n acad\u00e9mica y la ingenier\u00eda funcional pueden complementarse para crear un pipeline de carga robusto, situando a Clojure en el centro de una arquitectura de seguridad construida sobre el principio de cero conocimiento (zero-knowledge).<\/p>\n\n\n\n
Las empresas que interact\u00faan con otras compa\u00f1\u00edas dependen del intercambio constante de documentos. En Nubank, muchos de estos archivos son grandes, sensibles y provienen de diferentes fuentes externas. Cada archivo recibido representa un riesgo potencial. El alto volumen crea desaf\u00edos de rendimiento y escalabilidad. La necesidad de seguridad va m\u00e1s all\u00e1 del simple an\u00e1lisis posterior a la carga (post-upload); una arquitectura de cero conocimiento impone una restricci\u00f3n estricta: el servidor no puede, en ning\u00fan momento, tener acceso al contenido descifrado de estos archivos.<\/p>\n\n\n\n
La pregunta clave que gui\u00f3 la investigaci\u00f3n fue simple en teor\u00eda, pero compleja en la pr\u00e1ctica: \u00bfc\u00f3mo pueden terceros enviar archivos a Nubank sin exponer el sistema a amenazas y sin crear excepciones que comprometan la privacidad o la integridad de los datos?<\/p>\n\n\n\n
Elegir Clojure no fue meramente pragm\u00e1tico, a pesar de que Nubank es la compa\u00f1\u00eda m\u00e1s grande del mundo que utiliza el lenguaje a escala. Clojure result\u00f3 ideal para manejar metadatos sensibles, tokens temporales y claves criptogr\u00e1ficas gracias a su inmutabilidad.<\/p>\n\n\n\n
La capacidad de Clojure para manejar la concurrencia facilit\u00f3 el procesamiento de archivos extremadamente grandes divididos en fragmentos m\u00e1s peque\u00f1os (chunks). El paradigma funcional hizo que la composici\u00f3n de los pasos de seguridad fuera m\u00e1s clara y confiable. Y la interoperabilidad con el ecosistema Java abri\u00f3 la puerta a librer\u00edas estables y probadas en batalla, ampliamente utilizadas en la industria de la ciberseguridad.<\/p>\n\n\n\n
Con el tiempo, incluso con otras tecnolog\u00edas rodeando el sistema, Clojure surgi\u00f3 naturalmente como el n\u00facleo del NuFilebox Reverse.<\/p>\n\n\n\n
En el modelo de carga tradicional (upload), el cliente env\u00eda el archivo a trav\u00e9s de HTTPS, el servidor recibe el contenido en texto plano y solo entonces aplica el cifrado antes de almacenarlo. Este patr\u00f3n, aunque com\u00fan, presenta una vulnerabilidad obvia: si el servidor se ve comprometido, los archivos quedan expuestos antes de ser protegidos.<\/p>\n\n\n\n
El equipo adopt\u00f3 el enfoque opuesto. El cifrado ocurre antes de que el archivo abandone la m\u00e1quina del cliente. El front-end solicita al back-end solo datos m\u00ednimos, como la clave y el Vector de Inicializaci\u00f3n (IV), que determinan d\u00f3nde comienza el cifrado. El servidor registra esta informaci\u00f3n y la almacena en DynamoDB sin tocar nunca el contenido del archivo. A partir de ah\u00ed, el propio front-end divide el archivo en partes m\u00e1s peque\u00f1as, cifra cada pieza localmente y las sube directamente a S3 a trav\u00e9s de URLs prefirmadas. El servidor nunca ve el contenido. Solo gestiona los metadatos. La l\u00f3gica permanece en un lado y los datos en el otro.<\/p>\n\n\n\n
Es una arquitectura verdaderamente de cero conocimiento (zero-knowledge), construida sobre el principio de seguridad por dise\u00f1o. Todo el pipeline fue creado para que el archivo est\u00e9 protegido desde el primer momento de su recorrido.<\/p>\n\n\n\n
Una vez que los fragmentos de archivos cifrados llegan a S3, AWS dispara una cadena de eventos. Lambdas determinan qu\u00e9 flujo de trabajo (workflow) seguir y enrutan el archivo al servicio responsable de fusionar y descifrar los fragmentos. Este paso, implementado en Clojure, consulta la informaci\u00f3n almacenada en DynamoDB, como la clave (key), el IV (Vector de Inicializaci\u00f3n), el identificador y el nombre del archivo, y comienza el proceso de reconstrucci\u00f3n.<\/p>\n\n\n\n
Cada parte se descarga de S3, se descifra individualmente y se reensambla en su orden original. Este paso es esencial para identificar patrones maliciosos, ya que una firma de malware puede estar dividida entre dos partes del archivo. La reconstrucci\u00f3n completa garantiza la precisi\u00f3n en la siguiente fase.<\/p>\n\n\n\n
Una vez que el archivo es restaurado a su formato original, NuFilebox Reverse realiza un an\u00e1lisis de malware utilizando YARA, una de las herramientas m\u00e1s consolidadas en la industria para la detecci\u00f3n de amenazas. YARA permite la creaci\u00f3n de reglas que describen comportamientos sospechosos, fragmentos de c\u00f3digo, patrones cifrados, llamadas a API inapropiadas, conexiones externas cuestionables o incluso secciones de c\u00f3digo enteras caracter\u00edsticas de familias de malware espec\u00edficas.<\/p>\n\n\n\n
El equipo combin\u00f3 reglas creadas manualmente, reglas de repositorios de confianza y la generaci\u00f3n de un archivo indexado para agilizar la exploraci\u00f3n (scanning).<\/p>\n\n\n\n
El grupo tambi\u00e9n comparti\u00f3 resultados pr\u00e1cticos. Los archivos de hasta quinientos megabytes completaron el proceso en tan solo unos pocos segundos. Los archivos de un gigabyte tardaron alrededor de cuatro minutos. Los archivos de diez gigabytes finalizaron en aproximadamente cuarenta y cinco minutos. En el escenario m\u00e1s extremo, los archivos de treinta gigabytes concluyeron en aproximadamente dos horas.<\/p>\n\n\n\n
Incluso en estos casos, el rendimiento fue mejor que el que se observa habitualmente en servicios ampliamente utilizados adoptados por grandes empresas. Y a diferencia de muchas de estas plataformas, NuFilebox Reverse integra la detecci\u00f3n de malware antes de que cualquier dato ingrese al ecosistema interno de Nubank.<\/p>\n\n\n\n
Uno de los aspectos m\u00e1s convincentes de la presentaci\u00f3n fue ver c\u00f3mo opera NuFuturo en la pr\u00e1ctica. El proyecto re\u00fane a estudiantes, profesores, investigadores e ingenieros en ciclos continuos de colaboraci\u00f3n. El equipo de Eric e Isaac recibi\u00f3 orientaci\u00f3n directa de profesionales de Nubank a partir de abril de 2024. El resultado es un sistema que resuelve un problema real, crea oportunidades para nuevo talento y expande el uso de Clojure a \u00e1reas que van m\u00e1s all\u00e1 de los flujos de trabajo t\u00edpicos de productos.<\/p>\n\n\n\n
La sesi\u00f3n final suscit\u00f3 preguntas sobre la inmutabilidad, posibles usos de Datomic, decisiones de implementaci\u00f3n y desaf\u00edos futuros. Los presentadores enfatizaron que a\u00fan hay mucho margen para evolucionar, desde explorar formas m\u00e1s eficientes para ejecutar las reglas YARA hasta experimentar con nuevos enfoques que podr\u00edan reducir el tiempo de procesamiento para archivos extremadamente grandes.<\/p>\n\n\n\n
NuFilebox Reverse es un ejemplo concreto de c\u00f3mo las alianzas entre la industria y la academia pueden generar soluciones que combinan investigaci\u00f3n profunda, ingenier\u00eda funcional e impacto directo en un problema del mundo real. Demuestra c\u00f3mo la visi\u00f3n a largo plazo, la curiosidad t\u00e9cnica y la colaboraci\u00f3n institucional pueden transformarse en tecnolog\u00eda que protege a millones de personas todos los d\u00edas.<\/p>\n\n\n\n
<\/p>\n\n\n\n