La noticia de que Interpol está a punto de “condenar” la difusión del cifrado robusto es solo la última andanada de las guerras criptográficas, una controversia de décadas entre los defensores del cifrado robusto, las fuerzas del orden y los organismos de investigación por el uso generalizado del cifrado por parte de las empresas tecnológicas. El principio central del argumento de las fuerzas del orden es que el cifrado robusto de extremo a extremo obstaculiza la investigación y el enjuiciamiento de delitos cuando los sospechosos lo utilizan en sus dispositivos personales. Por su parte, los defensores de la privacidad y los derechos humanos sostienen que no existe ningún mecanismo “que (a la vez) proteja la seguridad y la privacidad de las comunicaciones y permita el acceso de las fuerzas del orden”.
¿Qué es el cifrado?
Cifrado es la codificación de la información de modo que solo las partes autorizadas puedan acceder a ella en el destino final del mensaje. Uno de los primeros ejemplos de cifrado – y el más citado en la literatura sobre la materia – es el cifrado César, un cifrado por sustitución en el que cada letra de un mensaje se desplaza 3 caracteres.
El cifrado César dependía más del secreto del método de cifrado que de la clave, y puede descifrarse fácilmente observando la frecuencia de las letras.
En el siglo XX, los usos notables del cifrado y, más pertinentemente, del descifrado de códigos tuvieron importantes repercusiones históricas. Esto incluye el telegrama Zimmermann de la Primera Guerra Mundial, en el que Alemania instó a México a invadir Estados Unidos si Washington se unía a la guerra contra ella. La capacidad de los británicos para descifrar el código alemán y la filtración del contenido del telegrama fueron decisivas para volver la opinión pública estadounidense en contra de Alemania y llevaron a Estados Unidos a entrar en la guerra del lado de los Aliados.
Más adelante, durante la Segunda Guerra Mundial, un equipo británico dirigido por el matemático Alan Turing descifró el código Enigma de Alemania. Según algunas estimaciones, esto acortó la guerra en dos años y salvó 12 millones de vidas.
Mientras que todos los métodos de cifrado utilizados hasta la máquina Enigma se basaban en el concepto de seguridad por oscuridad, la criptografía moderna se basa en lo contrario: la seguridad por transparencia.
Los planos de Enigma estaban muy bien ocultos y descifrarla no era fácil. Marian Rejewski, de la Oficina de Cifrado de Polonia, y más tarde Alan Turing y su equipo en Bletchley Park tuvieron que construir un ordenador para ayudar a descifrar los códigos a gran escala. Los métodos criptográficos modernos se basan en teoremas matemáticos bien conocidos que son prácticamente indescifrables con las tecnologías actuales.
Por ejemplo, multiplicar dos números primos es un problema sencillo. El resultado se denomina número semiprimo. Ahora bien, averiguar qué dos números primos se multiplicaron para obtener un número semiprimo es computacionalmente difícil: la única forma para la generación actual de ordenadores es un proceso de prueba y error que puede tardar siglos, según la longitud del número semiprimo. El ampliamente utilizado método de cifrado RSA 2048, por ejemplo, tardaría un ordenador clásico 300 billones de años en descifrarlo (aunque los ordenadores cuánticos podrían algún día hacer el trabajo mucho más rápido).
¿Cuál es el problema?
Facebook Messenger, WhatsApp y otras aplicaciones de comunicación utilizan una implementación de criptografía de clave pública denominada cifrado de extremo a extremo. Solo los usuarios finales tienen acceso a los datos descifrados; el proveedor del servicio, como Facebook, no. Así, teóricamente es imposible que la empresa entregue datos descifrados a las autoridades.
Este es el núcleo del debate. Es lo que ha llevado a las fuerzas del orden a pedir que Facebook no implante el cifrado de extremo a extremo, o que se introduzcan “puertas traseras” para facilitar la vigilancia o la recuperación de datos.
Un primer ejemplo fue el atentado terrorista de San Bernardino de 2015, en el que el FBI quería la ayuda de Apple para abrir uno de los teléfonos del atacante. La negativa de Apple llevó al FBI a presentar una demanda ante el Tribunal de Distrito de los Estados Unidos para el Distrito Central de California con el fin de obligar a Apple a colaborar con las investigaciones del FBI. La solicitud se retiró finalmente cuando una empresa israelí encontró y explotó una vulnerabilidad del teléfono para descifrar los datos en nombre de la agencia. Aunque los datos no revelaron nada sobre la trama, el caso suscitó críticas generalizadas hacia la empresa por lucrarse con las vulnerabilidades del sistema operativo de sus teléfonos, que los ciberdelincuentes, los terroristas y los Estados parias también pueden comprar, encontrar y explotar. La buena práctica en el sector de la ciberseguridad es que los investigadores comuniquen estas vulnerabilidades al editor del software o al fabricante del dispositivo; esto se denomina divulgación responsable.
Un segundo ejemplo fue el de este año, el “Ghost protocol” propuesto por la agencia de inteligencia británica GCHQ para evitar debilitar el cifrado, que consistía en transferir a un agente de las fuerzas del orden los mensajes enviados por un sospechoso a través de WhatsApp o iMessage sin notificárselo al sospechoso. Esta propuesta encontró una enérgica oposición de las empresas tecnológicas.
Los defensores de la privacidad no cuestionan la necesidad de que las fuerzas del orden puedan investigar delitos como la explotación infantil y el terrorismo. La objeción general de ellos y de otras partes interesadas en mantener los mensajes privados es que cualquier debilitamiento del cifrado en beneficio de los investigadores también beneficia a quienes tienen intenciones más perversas. Sostienen que la “puerta trasera” o el acceso excepcional de las fuerzas del orden equivale a introducir una debilidad en los sistemas de seguridad que puede ser explotada por los delincuentes. Esta consecuencia no deseada del deseo de ofrecer mejor protección a, por ejemplo, los niños explotados, las víctimas del terrorismo o de la trata de personas también expone a los usuarios habituales a la explotación por parte de los ciberdelincuentes, al dar a estos grupos una forma integrada de acceder a su información.
Lo que dicen los líderes
En 2015, durante una charla en West Point, el entonces vicepresidente del Estado Mayor Conjunto de los Estados Unidos, el almirante James A. Winnefeld, afirmó: “Creo que todos ganaríamos si nuestras redes fueran más seguras. Y creo que preferiría vivir en un entorno de redes seguras y con un problema más difícil para Mike [entonces director de la NSA, Mike Rogers] en el ámbito de la inteligencia, que en un entorno de redes muy vulnerables y con un problema fácil para Mike”.
¿Qué hace el Foro Económico Mundial en materia de ciberseguridad?
El Centro de Ciberseguridad ofrece una plataforma de confianza donde los líderes se reúnen para comprender los riesgos cibernéticos cambiantes y sus implicaciones sistémicas. Se centra en generar comprensión y confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a sus socios a reforzar la resiliencia cibernética y a afrontar retos que requieren respuestas colectivas.
En Europa, la Agencia de la UE para la Ciberseguridad y Europol publicaron una declaración conjunta sobre este tema, en la que reconocen los obstáculos que supone el cifrado robusto para el trabajo policial, pero también reconocen que debilitar las tecnologías de cifrado para todos no es el camino a seguir. En su lugar, pidieron esfuerzos de investigación y desarrollo para encontrar soluciones técnicas que permitan descifrar las comunicaciones, todo ello bajo supervisión judicial.
Mientras las guerras criptográficas siguen buscando el equilibrio adecuado entre las necesidades de las fuerzas del orden de acceder a la información para llevar a cabo investigaciones y la necesidad de que las poblaciones vulnerables tengan libertad de expresión y de que el público en general tenga protegida su información financiera y personal, las decisiones finales serán sopesadas por quienes tienen una visión de todo el ecosistema.
