La Clavis Aurea o “Llave maestra” ¿resuelve realmente los problemas de cifrado?

La gente cifra fuertemente sus comunicaciones y los gobiernos no pueden acceder a ellas cuando lo necesitan. ¿Es algo malo?

Al hilo de las recientes acusaciones de ataques terroristas, se vuelve a hablar de las formas de cifrado de las comunicaciones online. Sin embargo, las soluciones propuestas podrían traer aún más problemas.

Los diferentes gobiernos mundiales, desde Rusia a Estados Unidos, China o Reino Unido, siguen el mismo mantra: la comunicación entre las personas está tan cifrada que los gobiernos no pueden acceder a ella cuando lo necesitan. Según afirman, esta es la razón por la que la policía no puede investigar de forma eficiente los casos de pederastia o terrorismo, por lo tanto, “se debe hacer algo al respecto”.

Las soluciones propuestas por los gobiernos plantean que los sistemas de cifrado existentes deberían tener ciertas vulnerabilidades, así las agencias nacionales tendrían la oportunidad de interceptar la correspondencia según sus necesidades.

En un artículo reciente, el Washington Post creó un término bastante poético para este enfoque: Golden Key (interpretado en castellano como llave maestra). Los autores citan varios casos de secuestro y otros actos delictivos en los que  algunos investigadores no pudieron avanzar en sus indagaciones, porque el sistema Golden Key no se desplegó. Los autores declaran que todas las empresas de tecnología, incluyendo empresas de la talla de Google, Apple, Facebook y Telegram, deberían ceder a los gobiernos estas “llaves maestras”.

Dejando por el momento a un lado la ética (de lo contrario este debate duraría eternamente), en una situación en la que los policías nobles tendrían dichas claves, también habría una gran probabilidad de que los malhechores se hicieran con las mismas.

Hay muy pocos ejemplos en los que se haya llevado a cabo esta idea de Golden Key. El caso más evidente sería el de las cerraduras y candados TSA, creados por la Administración de Seguridad en el Transporte. El concepto es sencillo: los viajeros utilizan en sus equipajes candados aprobados por la TSA con una cerradura que las autoridades pueden abrir en caso de necesitarlo (para no tener que romper el candando en caso de tener que abrir las maletas para registrarlas). Hay diez llaves maestras que pueden usarse en la mayoría de los candados para el equipaje. La idea se basa en la suposición de que solo la TSA tiene acceso a las mismas, mientras que los delincuentes que asaltan los equipajes tienen que utilizar algún otro medio para romper el candado.

Sin embargo, hace poco se filtraron en Internet las imágenes de todas las claves de TSA, además de sus modelos en 3D. Ahora algunos mercados chinos ofrecen el conjunto completo de estas llaves de oro, por lo que están al alcance de cualquiera. ¿Qué se podría hacer para remediar esta situación? Por desgracia, nada en particular, no se pueden reemplazar los candados de equipaje en todo el mundo.

https://twitter.com/J0hnnyXm4s/status/642396940261531648

Otro ejemplo de estos sistemas serían las tiendas de apps, como la de Apple. Su paradigma de seguridad está basado en su totalidad en la idea de que tan solo los empleados pueden publicar una app: primero la analizan en busca de malware y luego la añaden un certificado digital.

Obviamente, las claves de Apple no se han visto comprometidas, pero los criminales han encontrado otra forma de eludir los estrictos controles de seguridad. Los cibercriminales lograron hacer que algunos desarrolladores, utilizaran, sin darse cuenta, un marco de desarrollo Xcode modificado que inyectaba un código malicioso enmascarado en las aplicaciones. Los ingenieros de seguridad de Apple no descubrieron este problema a tiempo, por lo que la App Store, que antes era una fortaleza digital infranqueable, quedó inundada por docenas de aplicaciones maliciosas, entre ellas una app de mensajería muy popular.

Adentrémonos en las profundidades de la historia de la tecnología recordando una técnica de protección de cifrado de los DVDs que se anunció por todas partes. A finales del siglo XX, los DVDs empleaban un sistema de protección de cifrado basada en el infame algoritmo CSS. Fue diseñado para restringir el acceso al contenido de los DVD en otras regiones. Bueno, todos recordamos el final de esta tecnología, que pasó sin pena ni gloria. Unos activistas digitales descifraron una serie de claves y las publicaron para que todo el mundo tuviera acceso a ellas. Ahora las películas en DVD se pueden reproducir en cualquier lugar, independientemente de la región cifrada en el CSS.

4e759eef8e

El código para descifrar estos DVDs se imprimió hasta en camisetas.

La moraleja de estas estas historias es sencilla: el sistema, basado en el supuesto de que los buenos tienen la información necesaria y los malos no, tarde o temprano, está abocado al fracaso. En cuanto los malos acceden a las claves, los datos de los ciudadanos se encuentran en peligro en todas las formas imaginables, y las posibilidades coincidirán con las de la policía o el gobierno.

Se trata de una situación muy poco deseable, porque, al igual que los candados de equipaje, también es muy complicado reemplazar el firmware de todos los smartphones del mundo. El daño que el filtrado de las Golden Keys supondría, eclipsa los beneficios gubernamentales de su uso.

También existe la posibilidad de que la idea de las Golden Keys no sea nada eficiente: los terroristas y los delincuentes suelen utilizar sistemas no comunes, sistemas de cifrado, que se ocultan con éxito de los oficiales. Teniendo esto en cuenta, los gobiernos deben crear otras formas para vigilar a los criminales, formas más fructíferas y menos invasivas para los ciudadanos.

Consejos
Suscríbete para recibir nuevas publicaciones en tu buzón
  • Para el resto de países