¡No olvide sus claves!
&Բ;“En el pasado, solo las personas con autorización de acceso a los equipos de transmisión altamente sofisticados de la empresa podían dedicarse al espionaje. Por tanto, eran casos relativamente aislados. En cambio, ahora todo el mundo puede transmitir datos”, afirma Dietmar Hilke, director de Desarrollo de Negocio y Ciberseguridad de Thales en Alemania. “Puedo ir a cualquier sitio con Wi-Fi e intentar captar transmisiones. Por ejemplo, puedo lanzar ataques intermediarios y conseguir códigos PIN, información de tarjetas de crédito y datos bancarios, y puedo hacerlo con hardware estándar y software de código abierto que se encuentra en internet. La amenaza ha evolucionado: ya no procede únicamente de un reducido grupo de expertos, sino de prácticamente cualquiera.”
Según Dietmar Hilke, la digitalización de nuestras vidas implica un cambio en lo que él denomina el vector de la amenaza. Además, no solo la transmisión de datos es vulnerable, sino que se está utilizando software malicioso para obtener información valiosa sin que los afectados se den cuenta. La nube se utiliza para almacenar cada vez más datos en servidores de terceros: dicho de otro modo, estamos confiando nuestra información privada a sistemas de otras personas. Cuanto más conectados estamos, más vulnerables somos.
“Ya no basta con proteger la información durante su transmisión. Las interacciones sociales en línea aumentan sin cesar y requieren la utilización de un cifrado de extremo a extremo”, afirma Dietmar Hilke.
La criptografía consiste en tomar información en formato de texto plano y cifrarla de manera que sea ininteligible. El cifrado emplea un algoritmo de cifrado y una “clave” o información secreta. Los piratas pueden obtener el texto cifrado e incluso conocer el método de codificación, pero sin la clave les será imposible descifrar el código y leer el texto plano.
Desde un punto de vista matemático, es como guardar un mensaje en una caja bajo llave. La dificultad radica en proteger la transmisión de la clave. Eric Garrido, jefe del equipo de criptografía de Thales Communications & Security, está especializado en el diseño y la evaluación de sistemas criptográficos.
“Una cosa es tener una buena solución matemática, y otra es aplicarla con seguridad”, explica Garrido. “Si el equipo o el software son malos, es como cerrar la puerta con llave y dejar una ventana abierta.”
La televisión de pago constituye un caso especial: las emisoras envían contenido cifrado a los abonados y les proporcionan claves individuales para poder descodificarlo. La emisión transmitida es la misma, pero las claves son diferentes. Esta tecnología nació a principios de los años noventa, pero ahora necesita modernizarse, y precisamente ha sido objeto de una colaboración reciente entre Thales y la empresa suiza de medios digitales Nagra.
“Todos los protocolos antiguos eran demasiado teóricos para que pudieran funcionar eficazmente en la práctica. Así pues, el objetivo era salvar esa distancia para darles una realidad práctica”, explica David Pointcheval, responsable del equipo de criptografía en École normale supérieure de París, que ha participado en esta colaboración.
En la práctica, el coste del desarrollo de equipos y software es el mayor obstáculo en el diseño de sistemas eficaces de descifrado. Por ejemplo, el descodificador que se necesita para el descifrado de la televisión de pago tiene que ser fácil y económico de producir. Sin embargo, esto puede afectar a la calidad de la descodificación matemática y hacer que estos sistemas sean más fáciles de piratear por personas que no estén abonadas.
Además, cuanto más amplio sea un sistema, más probabilidades tiene de convertirse en el blanco de los piratas informáticos. Muchos sitios web y aplicaciones se jactan de ser capaces de piratear los sitios de las redes sociales como Facebook, Twitter e Instagram, poniendo en peligro nuestra vida privada.
También aumenta el pirateo de blancos militares y gubernamentales. Por ejemplo, el 12 de enero de 2015 las cuentas de los medios sociales del mando militar de Estados Unidos fueron objeto de un ataque de presuntos islamistas. Aunque queda claro que la cuenta de Twitter del ejército estadounidense no está ni mucho menos tan cifrada como sus servidores clasificados, los fallos de este tipo siguen resultando inquietantes.
“Si puedo robar información, también puedo manipularla y causar daños físicos reales en los sistemas”, afirma Dietmar Hilke.
En 2010 se actualizó el programa Stuxnet, que atacaba los controladores lógicos programables (PLC) altamente precisos que sirven para controlar los parámetros de funcionamiento de ciertos sistemas industriales. Su objetivo consistía en sabotear estos sistemas introduciendo comandos aleatorios en las máquinas sin aparentemente levantar sospechas. Los controladores infectados se utilizaban en las centrifugadoras nucleares de Irán. Según la información que se hizo pública, el virus había provocado que un quinto de estos equipos se pararan haciéndolos girar a una velocidad superior al límite establecido. Según Dietmar Hilke, este ataque ha sido solo un pequeño anticipo de lo que nos espera.
“Imaginaos un ataque contra un buque de guerra. Aunque hay muy pocas posibilidades de alcanzar el ultraprotegido sistema de mando del armamento, sí es posible acceder al sistema de regulación del motor y así tomar el mando de las turbinas para destruirlas. Pensad en la inversión que se necesita para causar unos daños así a un buque y preguntaos lo que pasaría en el caso de un misil de buque a buque”, prosigue Hilke.
La comparación es para echarse a temblar. Según los cálculos de Dietmar Hilke, por el precio de un carro blindado se podrían emplear hasta mil personas al año para lanzar ciberataques contra sistemas.
“En este punto pasamos del ámbito abstracto del simple robo de información a otro mucho más concreto: el de los daños reales”, destaca Hilke.
El estudio de 2015 sobre las tendencias mundiales en materia de cifrado y de gestión de claves, basado en una investigación independiente realizada por la empresa estadounidense Ponemon y patrocinada por Thales, ha revelado que el uso del cifrado no deja de aumentar en respuesta a las preocupaciones de los consumidores, los reglamentos sobre privacidad y a los ciberataques actuales.
Según la encuesta, realizada en más de 4.700 empresas y responsables de informática de Estados Unidos, Reino Unido, Alemania, Francia, Australia, Japón, Brasil, Rusia, India y México:
La criptografía es más importante que nunca y las reglas del juego cambian constantemente. En la actualidad, el estándar supremo en materia de cifrado es el RSA. Su nombre procede de las iniciales de sus tres creadores (Ron Rivest, Adi Shamir y Leonard Adleman), todos ellos profesores del Instituto Técnico de Massachusets (MIT), y esta norma, creada en 1977, se puede describir mediante la analogía siguiente: una persona envía una caja fuerte abierta a otra para que esta última deposite en ella un mensaje cifrado. La persona que ha enviado la caja fuerte es la única que tiene la llave para abrirla y leer el mensaje que contiene.
El algoritmo RSA se basa en la utilización de dos números primos grandes que, multiplicados entre sí, permiten obtener un número todavía más grande. Si tienes la clave es fácil factorizar el resultado; si no, resulta prácticamente imposible.
“En la actualidad no conseguimos factorizar números compuestos de más de 600 cifras. Aunque tuviéramos ordenadores ultrapotentes, se necesitarían décadas para hacerlo”, destaca David Pointcheval. ¿Es ésta la solución? ¿Nuestros datos están completamente protegidos con este sistema?
Por desgracia no. Aunque factorizar un número tan grande es imposible por el momento, los científicos e ingenieros están trabajando en la construcción de ordenadores cuánticos capaces de realizar cálculos de un modo completamente diferente.
“Si se consigue perfeccionar un ordenador cuántico en los próximos años, todas las claves podrían quedar inutilizadas”, afirma David Pointcheval. Por eso Thales está trabajando en nuevos métodos de cifrado que resulten difíciles, si no imposibles, de descodificar hasta para los ordenadores cuánticos.
Otro de los objetivos consiste en desarrollar lo que llamamos un “cifrado completamente homomórfico”, lo que Dietmar Hilke entiende por cifrado de extremo a extremo. Este tipo de cifrado permitiría garantizar la confidencialidad manteniendo los datos codificados aun en caso de que sean procesados por un servidor remoto. Según David Pointcheval, es exactamente la solución más conveniente para proteger la computación en la nube.
Actualmente, por mucho que cifremos los datos para transmitirlos, es necesario descodificarlos antes de poder evaluarlos. Así pues, los datos se vuelven vulnerables cada vez que se reconvierten a texto plano. Después del caso Snowden, que ha permitido comprobar el grado de intrusión por parte de ciertas agencias gubernamentales en los datos personales, la cuestión del respeto de la privacidad se ha impuesto como prioridad para las empresas de medios digitales. En este contexto, el cifrado homomórfico es el Santo Grial.
“Un sistema homomórfico permite llevar a cabo diferentes operaciones sobre los datos cifrados sin recurrir a la de descifrado. Por ejemplo, alguien puede enviar datos cifrados a la nube. Todos los cálculos que quiera hacer se realizan con los datos cifrados, y el resultado se transmite también de forma cifrada. Siempre que esta persona sea la única que tiene la clave, también será la única que pueda leer el resultado. La nube nunca ve los datos no cifrados ni el resultado. Esto parece increíble, pero, con semejante característica, cualquiera podría hacer una búsqueda en Google sin que Google sepa lo que se está buscando. Es posible obtener respuestas sin que la persona a la que se pregunta sepa lo que buscáis”, dice David Pointcheval.
El día en el que se hayan perfeccionado estos sistemas -es decir, cuando los internautas puedan hacer lo que quieran en el más absoluto anonimato- se planteará inevitablemente la cuestión de la necesidad de los organismos de seguridad nacionales de poder interceptar las comunicaciones para garantizar nuestra seguridad. Una cosa está clara: la criptografía va a ser cada vez más importante con el paso del tiempo.