La Criptografía Moderna

Este elemento es un complemento de los cursos y guías de Lawi. Ofrece hechos, comentarios y análisis sobre la encriptación y criptografía moderna. Puede ser de interés también lo siguiente:

• Informática
• Criptografía en la Ciberseguridad
• Políticas Nacionales de Controles Criptográficos
• Escrutinio de las Criptomonedas
• Criptodivisas
• Ciberseguridad Europea
• Televisión
• Satélite
• Encriptación

Visualización Jerárquica de Criptografía

Educación y Comunicación > Informática y tratamiento de datos > Tratamiento de datos > Codificación

A continuación se examinará el significado.

¿Cómo se define? Concepto de Criptografía

Véase la definición de Criptografía en el diccionario.

Criptografía en el Marco de la Seguridad de Datos

Una evaluación de riesgos debería determinar el nivel necesario de protección que debe darse a la información, y debería realizarse un ejercicio de coste-beneficio. Esta evaluación de riesgos también debe abordar cuestiones como la circulación no autorizada de claves de encriptación; podría ser conveniente que la organización conservara copias de todas las claves de encriptación de los empleados ante el peligro de que se pierdan o de que un empleado descontento encripte primero la información crítica y luego destruya la clave o la extraiga y pida un rescate a la organización.

“El Libro de los Códigos: La ciencia del secreto desde el Antiguo Egipto hasta la criptografía cuántica” es otra obra superventas, como “El enigma de Fermat”, de Simon Singh. Aquí ofrece una historia arrolladora de la encriptación, trazando su evolución y revelando los dramáticos efectos que los códigos han tenido en las guerras, las naciones y las vidas individuales. Desde María, reina de Escocia, atrapada por su propio código, pasando por los codificadores navajos que ayudaron a los aliados a ganar la Segunda Guerra Mundial, hasta el increíble (e increíblemente sencillo) avance logístico que hizo seguro el comercio por Internet, este libro (de los códigos) cuenta la historia del arma intelectual quizás más poderosa jamás conocida: el secreto. A lo largo del texto hay claras explicaciones técnicas y matemáticas, y retratos de las notables personalidades que redactaron y descifraron los códigos más difíciles del mundo.

Si la evaluación de riesgos indica que los controles criptográficos son apropiados, la organización necesita desarrollar una declaración de política dentro de su SGSI que establezca cómo pretende tratar este asunto. Los principios básicos que la organización va a aplicar deben implantarse en toda la organización. La declaración de política debe incluir una descripción del enfoque de gestión y de los principios generales bajo los que debe protegerse la información.

Estos deben incluir lo siguiente:

• Deberían identificarse las circunstancias en las que debe protegerse la información empresarial, por qué podría ser necesario (es decir, los riesgos que se están abordando) en relación con la sensibilidad de determinados tipos de información y los medios por los que se transportan (ya sean inalámbricos, dispositivos móviles, medios extraíbles, etc.), y cómo se determina el nivel adecuado de protección criptográfica (suponiendo que el operador individual tenga alguna discreción en la cuestión).
• Debe evaluarse el nivel de protección requerido (y esto debe reflejarse mediante una evaluación de riesgos documentada), teniendo en cuenta el tipo, la fuerza y la calidad del algoritmo de cifrado que se está desplegando.
• Cómo deben gestionarse las claves de cifrado y cómo tratar las claves perdidas, comprometidas o dañadas, deben especificarse las responsabilidades, normas, etc.
• Deberán establecerse las funciones y responsabilidades en relación con la aplicación de la política y la generación y gestión de las claves.
• Cuando se vaya a desplegar más de una norma criptográfica, la política deberá identificar qué norma se aplica a cada proceso y clasificación de la información, de modo que no haya lugar a errores o incertidumbre.
• La política debe comunicarse a todos los usuarios antes de que comience cualquier uso de estos controles.
• Debe tenerse en cuenta cualquier legislación o normativa que pueda cubrir el uso de la encriptación. En el Reino Unido, por ejemplo, el uso de la criptografía y las firmas digitales está sujeto a la Ley de Comunicaciones Electrónicas de 2000.
• Es posible que la política de la organización sea no permitir la encriptación; aun así, dicha política debe documentarse.

Cifrado

El cifrado permite a la organización proteger la confidencialidad de la información sensible o crítica. Existen dos tipos de cifrado: el cifrado simétrico, que utiliza la misma clave (o código) para cifrar y descifrar los datos; y el cifrado asimétrico, que utiliza una clave para cifrar la información y otra completamente diferente (pero relacionada matemáticamente) para descifrarla.

Cifrado simétrico

El estándar de cifrado de datos (DES) es un estándar de cifrado simétrico muy utilizado. Se utiliza para comunicaciones largas y su uso es relativamente rápido. Sin embargo, es un sistema bastante antiguo, lo que ha dado lugar al DES triple, en el que los mismos datos se cifran tres veces, empleando claves diferentes, lo que aumenta exponencialmente la fuerza del cifrado. Sólo el creador y el receptor disponen de la clave (o claves) DES; la(s) clave(s) suele(n) intercambiarse utilizando una clave maestra compartida o un protocolo de intercambio de claves existente.

Cifrado asimétrico, o de clave pública

Con esta metodología, una organización dispone de dos claves: una privada y otra pública. Cualquiera puede utilizar la clave pública para cifrar un mensaje para la organización, sabiendo que sólo el poseedor de la clave privada podrá descifrarlo. Del mismo modo, cualquier cosa que se descifre correctamente utilizando la clave pública debe haber sido cifrada utilizando la clave privada complementaria. Una cuestión crítica en la criptografía de clave pública es atestiguar la validez del par de claves y, en particular, que la clave pública nombrada es realmente la clave pública de la organización. Esto se hace con un certificado digital (a veces llamado identificador de servidor, pero más correctamente identificador de clave de sujeto, o SKI).

Un certificado digital es un archivo cifrado que da fe de la autenticidad del propietario; lo crea un tercero de confianza conocido como autoridad de certificación (CA). Una CA revisará las credenciales de cualquier organización que desee un certificado digital antes de emitirlo. Esta revisión incluirá el número Dun & Bradstreet o los estatutos y una comprobación exhaustiva de los antecedentes para asegurarse de que la organización es lo que dice ser. Por lo general, las solicitudes pueden realizarse en línea, a través del sitio web de la CA, y el proceso de verificación suele durar entre uno y tres días.

Se demuestra que el certificado digital es auténtico porque contiene el nombre distinguido de la CA y se descifra correctamente utilizando la clave pública de la CA. La CA puede ser un servidor seguro de la red (el modelo de confianza única) o una organización externa reconocida por muchos (el modelo de confianza multipartita). Las claves utilizadas son de 40, 128 o 256 bits.

Infraestructura de clave pública

Los proveedores de tecnología de clave pública han estado trabajando para crear una implementación estándar en la industria que normalice los tipos de certificados, así como los principios utilizados para reconocer y gestionar una CA, la parte de confianza que emite certificados a terceros identificados y conocidos. Entre las cuestiones críticas en el desarrollo de la infraestructura de clave pública (PKI) se incluyen los servicios de directorio para localizar los certificados de personas concretas y los medios para comunicar eficazmente la revocación de certificados, en particular cuando una organización deja de operar y su certificado y tecnología son adquiridos por un operador menos escrupuloso que el que obtuvo el certificado originalmente. X.509 es la norma actual para PKI; define formatos estándar para los certificados y un algoritmo de validación de certificados. La organización debe, de nuevo, utilizar una evaluación de riesgos para determinar si el cifrado es un componente clave de su SGSI. Las dos áreas principales para las que debería considerarse la encriptación son la protección de la información sensible en ordenadores portátiles y la protección de la información que se envía a través de redes públicas. Sólo la información más sensible (dependiendo de su clasificación) que viaje por redes públicas debería necesitar ser encriptada, y una política de este tipo sólo debería adoptarse si todos sus componentes pueden aplicarse plenamente. Entre los peligros se incluye que los empleados pierdan las claves (lo que inutilizaría, y haría potencialmente irrecuperable, cualquier cosa cifrada con ellas).

“Hay que reconocer que con la criptografía ninguna cantidad de violencia resolverá jamás un problema matemático”.
– Jacob Appelbaum (Cypherpunks: La libertad y el futuro de Internet)

Si el resultado de la evaluación de riesgos es que la encriptación es una protección adecuada, entonces debe buscarse el asesoramiento de un especialista para seleccionar una tecnología apropiada y para considerar cualquier implicación legal que pueda haber en el uso de la encriptación, o de la tecnología criptográfica. La mayoría de las grandes organizaciones especializadas en seguridad podrían proporcionar asesoramiento especializado sobre criptografía. Este asesoramiento debería reflejar la situación más reciente en términos de restricciones gubernamentales (en el Reino Unido, la Ley de Comunicaciones Electrónicas de 2000) sobre el uso de la tecnología criptográfica y los países en los que puede y no puede utilizarse.

Firmas digitales

Las firmas digitales pueden aplicarse para proteger la autenticidad y la integridad de la información electrónica. Pueden aplicarse a cualquier forma de documento electrónico, como pagos electrónicos, transferencias de fondos, contratos y acuerdos. Los sistemas de criptografía simétrica no admiten la prueba mejorada de la integridad de los datos que requiere una firma digital. La metodología de clave pública es ideal para esto; una firma digital se utiliza para garantizar tanto al remitente como al destinatario que un documento sensible se originó tal y como se representa y que no ha sido manipulado desde su origen.

Esto se consigue utilizando una función hash unidireccional para transformar un documento en una cadena de caracteres única y de longitud fija (o compendio), que se incluye con el documento transmitido y cifrado. Cualquier cambio que se realice en el documento original modificará el compendio, y cuando el receptor ejecute la función hash en el archivo recibido, no duplicará el compendio. Las firmas digitales son, por tanto, una prueba sólida de que un archivo es auténtico y está en su forma original, y por ello las firmas digitales tienen un papel que desempeñar en el no repudio. Sin embargo, las organizaciones también deben asesorarse legalmente sobre el estatus de las firmas digitales dentro de la jurisdicción en la que quieran mantener el acuerdo subyacente. No todos los países tienen el mismo nivel de reconocimiento de las firmas digitales, por lo que pueden ser necesarios acuerdos adicionales entre las organizaciones, en los que se establezcan claramente las bases sobre las que utilizarán y reconocerán las firmas digitales. Esto significa que las organizaciones deben considerar la ecuación coste-beneficio respecto al uso de firmas digitales y no deben embarcarse en este camino a la ligera.

Evidentemente, la confidencialidad de la clave privada debe protegerse, y la organización debe ocuparse de ello específicamente para poder garantizar que sólo el personal autorizado tenga acceso a ella y que se mantengan registros de su uso. Lógicamente, la clave pública debe protegerse utilizando una de las autoridades de certificación reconocidas.

Servicios de no repudio

Los servicios de no repudio pueden resolver disputas sobre la ocurrencia o no de un evento o acción. Aunque alguien podría, por ejemplo, copiarse un correo electrónico a sí mismo o conservar una copia en su bandeja de salida para proporcionar una prueba tanto del origen como del envío, esto no es infalible. Un correo electrónico de prueba de recepción (que puede configurarse en la instancia de Outlook de la persona remitente) desde el servidor de correo electrónico del destinatario tampoco es infalible.

La discusión, más arriba, sobre la infraestructura de clave pública trataba de los servicios ofrecidos por las CA. Estas organizaciones de confianza pueden proporcionar pruebas de origen, envío y recepción que son férreas. Lo hacen aplicando certificados digitales a los documentos electrónicos. La prueba de origen, por ejemplo, la proporciona la CA adjuntando su firma digital, cifrada con su clave privada, a la comunicación que se va a autenticar, y esto da fe de la autenticidad tanto del documento como de su creador. La prueba de recepción la proporciona un documento firmado digitalmente que se envía a través de la CA declarando que se ha recibido.
Una vez que la organización ha elegido y ha sido aceptada por una CA, debe haber un contrato en vigor con la CA que especifique el servicio a prestar, todo ello de acuerdo con los requisitos del SGSI. Estos contratos deben cubrir cuestiones de responsabilidad, fiabilidad de los servicios y tiempos de respuesta para la prestación de los mismos.
Los servicios de firma electrónica de documentos, que suelen ofrecerse en modo SaaS, pueden proporcionar mecanismos muy económicos para compartir firmas digitales en un entorno sin repudio, siempre que ambas partes acepten formalmente las firmas digitales.

Gestión de claves

El control 8.24 de la norma ISO 27002 dice que la organización debe establecer, en su SGSI, un sistema de gestión de claves de cifrado que se base en un conjunto acordado de normas, procedimientos y métodos que apoyen el uso de técnicas criptográficas. Como señala la ISO 27002, cualquier compromiso o pérdida de una clave criptográfica puede comprometer la confidencialidad, integridad o disponibilidad de la información. Por lo tanto, es evidente que la organización debe implantar un sistema de gestión que refleje la evaluación de riesgos y sea adecuado para la técnica criptográfica que utilice. Existen, como se ha explicado, dos tipos de cifrado, y la organización puede utilizar uno o ambos.

Una técnica de cifrado simétrica requerirá que la organización mantenga en secreto su clave, ya que cualquiera que la obtenga podrá descifrar cualquier información cifrada con ella. La clave privada de un sistema asimétrico también debe mantenerse en secreto, por la misma razón, aunque la clave pública está obviamente destinada a ser accesible al público. Todas las claves, tanto secretas como públicas, deben estar protegidas contra modificaciones o destrucciones no autorizadas. Debe considerarse la protección física de cualquier equipo utilizado para generar o almacenar claves criptográficas.

El SGSI debe establecer cómo se van a gestionar estas claves. La aportación técnica a esta sección del SGSI debe ser proporcionada por el asesor de seguridad de la información o el proveedor de las herramientas criptográficas seleccionadas por la organización. La norma ISO 27002 establece las cuestiones que recomienda tener en cuenta para su inclusión en un procedimiento de gestión de claves privadas o secretas.

Las preguntas que deben responderse como parte de un proceso de evaluación de riesgos son las siguientes:
-¿Cómo deben generarse las claves para los distintos sistemas criptográficos y las distintas aplicaciones?
-¿Cómo deben generarse y obtenerse los certificados de clave pública?
-¿Cómo deben distribuirse las claves a los usuarios previstos y cómo deben activarse?
-¿Cómo deben almacenarse las claves y cómo deben acceder a ellas los usuarios autorizados? ¿Cómo deben cambiarse o actualizarse las claves y cuándo? (Como preferencia, las claves deberían tener fechas definidas de activación y desactivación para reducir el riesgo de compromiso).
-¿Cómo deben gestionarse las claves comprometidas?
-¿Cómo deben revocarse, retirarse o desactivarse las claves y cuándo? (Por ejemplo, cuando un usuario de claves abandona la organización).
-¿Cómo deben recuperarse las claves que se han perdido o corrompido (para poder recuperar la información cifrada)?
-¿Cómo deben archivarse las claves (porque la información cifrada con ellas puede necesitar ser descifrada con ellas más adelante)?
-¿Cómo deben destruirse las claves, si es que deben destruirse, y cuándo y con qué autorización?
-¿Cómo debe registrarse, supervisarse y auditarse la actividad relacionada con las claves?
-¿Cómo deben gestionarse las solicitudes legales de acceso a material codificado criptográficamente? (¡La versión sin cifrar de la información actualmente cifrada podría, por ejemplo, ser requerida como prueba en un caso judicial!)

Basado en la experiencia de varios autores, mis opiniones, perspectivas y recomendaciones se expresarán a continuación (o en otros lugares de esta plataforma, respecto a las características en 2026 o antes, y el futuro de esta cuestión):

Las claves públicas también deben protegerse. A menos que se utilice un certificado de clave pública, siempre existe el peligro de que alguien pueda falsificar una firma digital sustituyendo la clave pública de una organización. La única forma fiable de producir un certificado de clave pública de este tipo es utilizar una autoridad de certificación reconocida.

Revisor de hechos: Hellen

Medios de Comunicación

• Prensa
• Bibliotecas
• Códices
• Biblioteconomía
• Carreteras
• Comunicación
• Libro
• Correo
• Escritura
• Artes Gráficas
• Lectura
• Lenguaje

Criptografía

Recursos

Traducción de Criptografía

Inglés: Cryptography
Francés: Cryptographie
Alemán: Verschlüsselung
Italiano: Crittografia
Portugués: Criptografia
Polaco: Kryptografia

Tesauro de Criptografía

Educación y Comunicación > Informática y tratamiento de datos > Tratamiento de datos > Codificación > Criptografía

Véase También

• Internet
• Educación
• Cifrado
• Criminalidad Informática
• Criptoprocesador seguro
• Historia de la Amenaza de Ciberguerra
• Ciberseguridad en Vietnam
• Bioinformática
• Productos de Ciberseguridad
• Privacidad Digital
• Privacidad de Datos Personales en Internet
• Políticas sobre Ciberseguridad
• Ataque de colisión
• Lista de Controles en Ciberseguridad
• Huella Digital
• Sistema bancario
• Contabilidad
• Comunicación
• Utilización de las Tierras
• Terrorismo
• Teledetección
• Telecomunicación

Bibliografía

▷ Esperamos que haya sido de utilidad. Si conoces a alguien que pueda estar interesado en este tema, por favor comparte con él/ella este contenido. Es la mejor forma de ayudar al Proyecto Lawi.