Explicación de las puertas traseras criptográficas
La criptografía es, con mucho, uno de los temas más importantes en la era de la información. Cada vez que inicias sesión en algún lugar, hay un algoritmo de algún tipo verificando tu contraseña contra un valor hash que determina si puedes autenticarte en tu cuenta o no. Así es como mantenemos a los hackers a raya. Entonces, ¿qué sucede cuando el algoritmo que se supone que te mantiene seguro tiene una puerta trasera que permite a ciertas personas tener acceso sin restricciones a tus cuentas y registros personales?
El 19 de mayo de 2015, Apple y Google instaron al presidente estadounidense Barack Obama a reconsiderar la imposición de que las empresas tecnológicas del sector privado incluyan puertas traseras en sus algoritmos criptográficos. Mi objetivo es explicar cómo esto nos afecta como consumidores de tecnología y los resultados finales de las corporaciones que nos proporcionan dicha tecnología.
Un Poco de Historia: Dual_EC_DRBG
Podrías perdonarte si el término “Dual_EC_DRBG” te suena a un galimatías arcaico, pero es quizás un término vinculado a uno de los mayores escándalos en la historia de la tecnología de cifrado. Nuestra historia comienza a principios de los años 2000, cuando la criptografía de curva elíptica comenzaba a afianzarse en los sistemas informáticos. Hasta entonces, generar un número aleatorio era un problema debido a su inherente previsibilidad. Verás, las personas pueden generar números aleatorios de manera muy eficiente ya que todos pensamos de manera diferente. ¿Puedes adivinar qué número entre 1 y 100,000 estoy pensando en este momento? Tienes una oportunidad de 1 en 100,000 de acertar si simplemente adivinas al azar. Eso no es lo mismo con las computadoras. Son absolutamente horribles en esto ya que generalmente dependen de otros valores fijos para llegar a sus “conclusiones”. Como no pueden “pensar”, debemos sintetizar el proceso por ellos. La criptografía de curva elíptica hace que el proceso de generar un número aleatorio sea mucho menos predecible que los métodos convencionales.
Regresando a la historia. La Agencia de Seguridad Nacional (NSA) impulsó un módulo llamado Dual_EC_DBRG como una posibilidad para generar estos números. No fue aprobado.
Sin embargo, no termina ahí. En 2004, la NSA hizo un trato de $10 millones con los creadores del criptosistema RSA (las personas que en ese momento tenían la mayor participación de mercado en criptografía) para hacer de su módulo favorito el predeterminado para RSA. No sabemos si la NSA incluyó la puerta trasera, pero Dual_EC_DRBG ciertamente tenía una. El hecho de que la NSA estuviera tan insistente en incluir este módulo en la criptografía RSA no ayuda al caso de la falta de conocimiento previo.
Avanzamos hasta 2015, y ahora tienes al gobierno de EE. UU. así como a otros gobiernos en todo el mundo pidiendo a las empresas privadas que incluyan puertas traseras en sus algoritmos de cifrado.
Por qué las puertas traseras son malas para todos los demás
Quizás ya tienes una idea de por qué las puertas traseras son malas. No es de extrañar, ¿verdad? La cuestión es que hay otras consecuencias no vistas al introducir puertas traseras en la criptografía además de la invasión de la privacidad por parte de entidades gubernamentales.
Primero que todo, si un hacker descubre la puerta trasera (que es exactamente como comenzó el fiasco de Dual_EC_DBRG mencionado anteriormente), puedes casi garantizar que cualquiera puede explotarla para echar un vistazo a cosas que son muy privadas para ti.
La segunda razón por la que las puertas traseras son horribles se puede expresar mejor en forma de pregunta: Sabiendo que no solo el gobierno, sino cualquier Juan Pérez, puede ver tus datos privados, ¿alguna vez abrirías una cuenta en algún lugar otra vez? La gente confía en la tecnología en este momento porque les da confianza. Elimina la confianza, y verás muy pocos clientes en el mercado empresarial. Sí, los consumidores pueden seguir usando tecnologías cifradas y conectadas, pero las empresas se retirarán en masa. Muchos de nuestros fabricantes favoritos dependen en gran medida de sus bases de clientes de negocio a negocio.
Por lo tanto, esta idea no solo es mala para los consumidores, sino también mala para la línea de fondo de los negocios que nos proporcionan las cosas que amamos. Por eso gigantes como Apple y Google están tan preocupados por estas políticas.
¿Qué crees que deberíamos hacer? ¿Es siquiera posible hacer cumplir una posible ley sobre esto? ¡Cuéntanos en un comentario!
