La credibilidad agrietada (II de III)

La NSA y la criptografía. Para estar seguros, el Internet necesita encriptación fiable. Sin embargo, las normas, el software y el hardware que utiliza son vulnerables  

La criptografía depende también de las llamadas "funciones de trampa", bits de matemáticas que son fáciles de hacer en una dirección pero virtualmente imposibles de revertir. Un método común está basado en la dificultad asumida de encontrar los factores primos de números enormes. Pero la NSA (y muchos investigadores de seguridad) han estado también promocionando nuevos códigos basado en un tipo distinto de matemáticas que implican curvas elípticas. Este cifrado debe ser más fuerte y menos exigente computacionalmente. Pero sus ecuaciones requieren algunas constantes.

Bruce Schneier, un criptógrafo y comentador sobre seguridad, se preocupa de que la NSA pudiera haber seleccionado esas constantes de manera que los códigos resultantes sean vulnerables a ser descifrados. Enfatiza que no tiene pruebas, pero "es una buena suposición que la NSA sabe algo sobre curvas elípticas que no sabemos. De modo que no confío en ellos." (Schneier ha visto los documentos fuentes de Snowden pero dice que sus sospechas no surgen de su estudio. No los discutió con The Economist.)

Debe ser ligeramente más fácil sabotear software. Una de las suites de cifrados más comúnmente usadas en el internet fue creada por Microsoft. Otras revelaciones filtradas indican que la empresa ha sido objeto de mucha presión legal de parte de la inteligencia estadounidense. Su código es "código cerrado", lo que significa que es difícil para los extraños ver cómo funcionan los programas. Software de código abierto - cuyos códigos están abiertos para ser inspeccionados por cualquiera - abundan, y deberían ofrecer un poco más de seguridad. Pero los defectos afloran allí también. Un generador de números aleatorios en Debian, una versión de sistema operativo de código abierto Linux, tuvo fallos por casi dos años antes de que fuera notado en el 2008. ¿Cuántos de estos errores son accidentales?

Más difícil aún de encontrar es hardware confiable. Los enrutadores e interruptores que ordenan el tráfico en el internet son en su mayoría diseñados por empresas estadounidenses; son también infectados por errores (uno grande fue encontrado en el 2011). Los circuitos integrados (chips) mismos tienen incrustados millones de transistores y software complejo. El inspeccionar uno exhaustivamente es enormemente difícil y costoso. Intel, el fabricante mundial más grande de chips, incorpora un generador de números aleatorios en sus productos.

Steve Blank, un veterano del Valle Silicón, públicamente se ha preguntado si los espías de los Estados Unidos podrían haber modificado esos chips (con o sin el conocimiento de Intel) para hacer los números menos aleatorios. Comenta Intel: "No incluimos puertas traseras ni ningún otro acceso no autorizado en nuestros productos."

Pero lo que parecía paranoia ahora se está convirtiendo en preocupación. La suposición de Schneier es que "las probabilidades son casi cero de que la NSA no haya tratado de influenciar los chips de Intel". En el 2012 un artículo de dos investigadores británicos describía una aparente puerta trasera en un chip diseñado por una empresa estadounidense llamada Actel y fabricado en China. El chip es usado ampliamente en aplicaciones militares e industriales. Dice Actel que la característica es inocente: una herramienta para ayudar a sus ingenieros a corregir cualquier error del hardware.

¿A quién le importa?

La NSA y sus aliados ven las cosas de manera diferente. Para los profesionales de la inteligencia, los esfuerzos por comprometer productos comerciales son una tormenta en un vaso. Hubo épocas en que los adversarios de la nación empleaban códigos militares y diplomáticos. Ahora emplean privados también.

De manera que, dicen ellos, la NSA por supuesto debe cambiar el enfoque de su trabajo, al igual que ahora tiene que enfocarse en terroristas individuales al igual que en líderes extranjeros. ¿Están los críticos realmente diciendo que la NSA debe suspender su trabajo (o dar a conocer sus métodos, haciéndolos inútiles)? Una encuesta entre los estadounidenses sugiere una pequeña mayoría prefiere la seguridad.

Además, afirman los defensores del NSA, que la idea de que la criptografía comercial es ahora inútil es falsa. El software y hardware son todavía suficientemente robustos para proteger la integridad de las comunicaciones para la mayoría de usos. Solo alguien con una enorme habilidad y conocimiento computacional puede descifrarlos. Eso está mucho más allá de las habilidades de los ciberdelincuentes. Aun si se tropiezan con una o dos fallas de seguridad, no tendrán la habilidad para explotarlas. Si la NSA o las agencias aliadas necesitan una manera sutil de acceder a material que necesitan en cualquier momento, eso es útil, no escandaloso.

Los libertarios civiles no están convencidos. Desean vivir en un mundo en el cual la comunicación segura sea por lo menos teóricamente posible. Personas con menores ideales morales, están también preocupadas. A los investigadores de seguridad les disgustan las puertas traseras debido a que podrían ser útiles no solo para sus arquitectos sino también para los malhechores. Si la protección principal contra esto es la oscuridad, entonces dado el número de entusiastas, estafadores y espías que hurgan en los sistemas de cómputos de otras personas, esta podría resultar endeble. Si la criptografía que protege el comercio en línea o la banca tiene una vulnerabilidad incluida, y un estafador la descubre, las consecuencias podrían ser catastróficas. Las revelaciones de Snowden habrían acercado más cazadores a esa búsqueda.

Algunas compañías resultarán beneficiadas de las revelaciones más recientes. "La consecuencia no intencionada de todo esto es que estamos a punto de ingresar a la próxima gran ola de investigación criptográfica", dice Matthew Prince de CloudFlare, que fabrica productos para acelerar y proteger sitios en la web. Wickr, una entidad estadounidense que fabrica aplicaciones para mensajería altamente seguras, es una de las que ya se beneficia del pánico. Dice Nico Sell, un cofundador, "nuestras descargas han crecido enormemente desde las revelaciones del NSA".

© 2012 The Economist Newspaper Limited. All rights reserved. De The Economist, traducido por Diario Libre y publicado bajo licencia. El artículo original en inglés puede ser encontrado en www.economist.com

Diario Libre