Cripto. Cómo los informáticos libertarios vencieron al gobierno y salvaguardaron la intimidad en la era digital

Cripto. Cómo los informáticos libertarios vencieron al gobierno y salvaguardaron la intimidad en la era digital (en inglés Crypto: How the Code Rebels Beat the Government Saving Privacy in the Digital Age) es un libro escrito por Steven Levy sobre criptografía.

Crypto: How the Code Rebels Beat the Government Saving Privacy in the Digital Age
de Steven Levy
Género	Divulgación científica
Tema(s)	Criptografía
Idioma	Inglés, traducido al español
País	EE. UU.
Fecha de publicación	2001

El libro fue publicado en el 2001, y la traducción al español ha sido realizada por Dimitri Fernández Bobrovski para Alianza Editorial (publicada dentro de su colección La sociedad red en 2002 con ISBN 978-84-206-9108-4).​

Resumen

El libro trata la lucha, que se estableció desde los años 70 a los años 90, por mantener el derecho a la intimidad en la red frente al gobierno y a otros estamentos interesados en violarla. El libro mezcla el thriller, divulgación científica e intriga política.​

Partes

El libro tiene un prólogo, nueve capítulos y un epílogo:

Prólogo

En el prólogo se adelanta que el libro va a tratar de la lucha que se estableció, desde los años 70 a los años 90, entre:

• Los que querían que la criptología fuera un campo secreto usado por gobiernos para mantener segura su información y por otro lado violar la seguridad de la información a la que quisiera tener acceso.
• Los que querían poder explotar comercialmente sus conocimientos en criptología y con ello permitir, entre otras cosas, que los particulares pudieran usarla para proteger su privacidad e intimidad.

El solitario

Este capítulo nos introduce en la personalidad, inquietudes y en la formación de Bailey Whitfield Diffie . También explica como poco a poco se va introduciendo en el mundo de la criptografía y como finalmente empieza a trabajar con Martin Hellman.

Diffie tenía un espíritu rebelde y estaba muy interesado en la protección de la privacidad personal. Hasta los años 70 el mundo de la criptografía estaba controlado por el gobierno de los Estados Unidos y más concretamente por la Agencia de Seguridad Nacional (NSA). La NSA en los años 60 aplicaba una política de secretismo de tal forma que no había prácticamente información pública disponible sobre el tema (criptosecretismo). Por tanto los particulares no tenían acceso a herramientas efectivas para proteger sus datos. Este estado de las cosas provocó en Diffie un estado de indignación que le llevó a investigar sobre criptografía con el objetivo de permitir que los particulares tuvieran acceso a herramientas para proteger su privacidad. Poco a poco se va dedicando a estudiar la poca información pública disponible y finalmente se toma dos años dedicados en exclusiva a estudiar sobre el tema y a viajar por todo Estados Unidos para entrevistarse con personas que le pudieran dar cualquier tipo información útil. Entre ellos estuvieron David Kahn, Alan Konheim, Richard Schroeppel, Alan Tritter, Jim Reeds y Bill Mann. Muchos se niegan a hablar pero otros le dan información muy útil para conseguir su objetivo (por ejemplo le suministran trabajos inéditos y trabajos desclasificados pero de difícil acceso como los de Willian Friedmann o le dan contactos con otras personas que le pueden dar más información). Además, al conversar con distintas personas involucradas en el tema, va recogiendo impresiones, pistas e ideas que le serán de utilidad. Por ejemplo de la conversación con Bill Mann surgió el concepto de función unidireccional con trampa que tan útil le será en sus trabajos posteriores. En 1974 conoce al profesor de la Universidad de Stanford Martin Hellman, otro investigador solitario sobre el tema, con el que pronto empezará a colaborar estrechamente.

El objetivo de Diffie y de Hellman era encontrar un sistema que protegiera la privacidad de las comunicaciones de personas corrientes. En este marco el secretismo del sistema no tenía ningún sentido ya que debería ser transparente para aportar confianza. Buscaban un sustituto al sistema clásico de criptografía de clave simétrica que era inutilizable en un entorno con un volumen alto de comunicaciones entre muy diversas entidades. La razón de su inviabilidad era que en cada caso las partes necesitarían pactar previamente la clave a usar para luego usarla sin que en ningún momento los intrusos tuvieran acceso a la misma. La única solución factible era la existencia de centros de distribución de claves. Sin embargo la existencia de este tipo de entidad representaba en sí mismo un problema debido a la gran confianza que había que depositar en su comportamiento honesto y en su seguridad.

El estándar

A finales de los 60 Horst Feistel, un criptógrafo trabajador de IBM, empezó a trabajar en los llamados posteriormente cifradores de Feistel. Horst Feistel no era una recién llegado al mundo de la criptografía. Anteriormente había trabajado para otras organizaciones en la identificación amigo-enemigo y en otros proyectos criptográficos. Sin embargo, debido a la presiones de la NSA para que sus proyectos no avanzaran, finalmente fichó por IBM. A principios de los 70 Horst estaba desarrollando para IBM un sistema que garantizara la privadad de personas y organismos no militares. A este sistema primero se le llamó Demon y luego se le cambió el nombre por el de Lucifer.

Lucifer era un sistema de cifrado simétrico con claves de 128 bits que ejecutaba 16 rondas de un complicado sistema de sustituciones. Las sustituciones cruciales se hacían mediante las cajas S-Box que implementaban ecuaciones no lineales y que determinaban la forma en la que se operaba con las letras. Había sospechas de que esas cajas habían sido proporcionadas directa o indirectamente por la NSA.

La seguridad del sistema dependía de la clave, sin conocerla, un enemigo que conociera el algoritmo no podría descifrar el mensaje en tiempo razonable. Para aplicaciones no militares había que asumir este conocimiento ya que el sistema sería ampliamente producido y comercializado y por tanto finalmente sería conocido.

Finalmente el sistema Lucifer es patentado y se decide que se use como base para el sistema que se use en la red de cajeros automáticos. A este algoritmo final que se quiere obtener se le llamará DSD-1, aunque algunos le siguen llamando Lucifer, y como requisito tiene que ser implementable en un chip.

Al diseñar DSD-1 se ve que el punto fuerte de la seguridad de Lucifer son las S-Box. Por este motivo se pasa de 2 a 8 S-Box's.

Debido a la importancia donde se quiere utilizar el nuevo algoritmo (cajeros automáticos) dentro de IBM poco a poco se van posicionando una serie de críticos que por un lado dudan de la fortaleza del algoritmo que se va creando y por otro lado se asustan de las posibles consecuencias que puede tener una violación pública de la seguridad. No solo en pérdidas económicas directas sin sobre todo en pérdida de confianza, demandas judicionales, indemnizaciones y muy mala reputación. Por esta razón el nuevo algoritmo se diseña de forma concienzuda y se ve sometido a importantes pruebas de seguridad. Estas pruebas de seguridad se hacen con el personal disponible en el mundo comercial. Sin embargo no es posible hacerlas con los criptólogos profesionales de los servicios de inteligencia (NSA).

En el proceso de obtención de DSD-1 poco a poco se va dejando de lado a Horst Feistel. Este en 1973, en lo que podría interpretarse como una rebelión, publica una descripción detallada del criptosistema Lucifer. Esto provoca un disgusto a la NSA.

Desde principios de 1974 la NSA presiona a IBM para que:

• La NSA controle la implementación del sistema
• No haya implementación en software, solo hardware (chips)
• No se venda a ciertos países
• La NSA controle el proceso y pueda 'sugerir' cambios
• Haya una lista de posibles países a los que se puede vender el chip con licencia de exportación. Esta licencias dependerán de que el cliente sea autorizado por la NSA y haya firmado un documento en el que se comprometa a no revender a nadie el chip.

A cambio la NSA se comprometía analizar y calificar el algoritmo. Si detectara algún punto débil lo diría y sería corregido. Finalmente IBM tendría un certificado de confianza dado por la NSA sobre la fiabilidad del algoritmo.

IBM aceptó el trato y empieza a trabajar codo con codo con la NSA. En este marco el gobierno emitió una orden secreta haciendo secreta la patente de Horst Feistel sobre Lucifer. Además prohíbe publicar artículos ni discutir en público sobre el algoritmo salvo una autorización por escrito de la Oficina de Patentes.

En el proceso de colaboración entre IBM y la NSA, la NSA se da cuenta de que IBM ha descubierto el criptoanálisis diferencial y que habían descubierto forma de hacerlo inoperativo rediseñando las S-Box. Esto hace que la NSA obligue a extremar la seguridad para que no se escape ningún tipo de información. Por esta razón Don Coppersmith no podrá escribir artículo sobre el criptoanálisis diferencial hasta 1994 cuando investigadores independientes redescubrieron la técnica.

Por otro lado en mayo de 1973 la Oficina Nacional de Normalización (de siglas NBS actual NIST), publica una lista de criterios para un algoritmo criptográfico estándar para la industria. El plazo se cierra y nadie cumple los requisitos. Sin embargo desde IBM se cree que es una buena oportunidad proponer el algoritmo que están desarrollado (DSD-1) aunque manteniendo en secreto los trucos de optimización. En julio de 1974, fuera de plazo, presenta al DSD-1 como candidatos a estándar. Esto provoca que en agosto de 1974 la Oficina Nacional de Estándares vuelva a publicar la solicitud de propuesta para que IBM se pueda presentar.

Finalmente el algoritmo DSD-1 es dado por seguro por la NSA y posteriormente, en 1977, será aprobado como estándar federal y se le denomina como DES siglas de Data Encryption Standard.

Las principales consecuencias, a nivel de diseño del algoritmo, de las imposiciones de la NSA fueron:

• Se mantienen en secreto los principios de diseño de las S-Box para que otros nos puedan blindar sus propios cifrados. Esto provocó sospechas de la existencia de puertas traseras.
• Se obliga a que la longitud de la clave sea 56 bits cuando el Lucifer original tenía 128. Esto provocaba que el sistema más fácil de integrar en un chip. Pero sobre todo este tamaño de clave hacía el sistema inseguro ya que permitía ataques por fuerza bruta de potentes organizaciones (Ej. NSA). Además. la potencia necesaria para el ataque sería cada vez más pequeña debido a que la potencia de los equipos disponibles evolucionaba según la Ley de Moore.

Esto provocó quejas a la Oficina Nacional de Estándares. Estas quejas no fueron atendidas objetando que el sistema era suficientemente seguro. Esto hace sospechar que lo único que pretende el gobierno es que se utilice un sistema de cifrado vulnerable a ataques realizados por la NSA. Entonces los medios hicieron pública la controversia e incluso se hizo una investigación con declaraciones secretas en el Comité Selecto del Senado sobre Inteligencia.

En 1990 se redescubre el criptoanálisis diferencial y en 1994 se descubre el criptoanálisis lineal. Ninguna de estas formas de ataque suponen una amenaza real al DES. Por los descubrimientos públicos hechos hasta ahora parece ser que el único problema del DES era la longitud de la clave.

El DES no solo se usó en bancos y organizaciones similares. También empezó a ser usado en toda clase de comunicaciones comerciales y privadas. Aunque la NSA controlaba las exportaciones, el algoritmo se propagó libremente por todo EE. UU. Por otro lado programadores extranjeros crearon sus propias versiones del DES. Además tecnologías informáticas cada vez más rápidas y baratan hacía factible, de hecho lo convirtieron en una norma, cambiar las claves más de una vez al día. Todo esto puso en dificultades a la NSA.

La clave pública

Para conseguir la privacidad de las comunicaciones entre personas corrientes, Whitfield Diffie busca un sistema de cifrado con puerta trasera. Este sistema permitiría descifrar el contenido solo si se dispone de información clave sobre la puerta trasera.

Para conseguir esto se le ocurre la idea de dividir la clave en dos: Una parte pública, distribuible por todas partes, y otra privada, que se mantendría en secreto. La pública sería capaz de cifrar el mensaje original para que los extraños no pudieran leerlo, pero dejaría una puerta trasera. La otra clave sería como una llave para la puerta trasera y permitiría a su dueño leer el mensaje. En definitiva el sistema sería una función unidireccional con trampa. Esta idea es la base de la llamada criptografía de clave pública

Esta idea se la comenta a Hellman y juntos escriben un artículo exponiéndola, 'Técnicas criptográficas multiusuario'. A continuación siguen trabajando en la búsqueda de una función unidireccional con trampa práctica que funcionara según la idea.

El artículo anterior es leído por Ralph Merkle y este se pone en contacto con Hellman enviándole otro artículo en el que hablaba sobre un descubrimiento similar (los Puzles de Merkle) que permiten que dos individuos sin conocerse puedan establecer una comunicación segura sobre un canal inseguro. Ralph Merkle también le propone a Hellman trabajar juntos. Para Diffie y Hellman este artículo, pese a proponer un sistema bastante limitado en su seguridad, es una revelación de que su idea se puede poner en práctica. Al poco tiempo los tres empiezan a colaborar.

Poco a poco distintos investigadores dan ideas de como buscar la función unidireccional con trampa. Por ejemplo Donald Knuth propone usar la factorización en números en primos. John Gill propone usar exponenciación discreta (para cifrar) y logaritmos discretos (para descifrar) y así construir una función unidireccional con trampa. Inicialmente Diffie y Hellman buscan la ansiada función a partir de los problemas NP-completos pero no llegan a ningún éxito. Finalmente Hellman y Diffie elaboran el algoritmo de Diffie-Hellman que consigue que dos interlocutores puedan generar conjuntamente una clave compartida que los intrusos, pese a que pueden escuchar el canal de comunicación, no pueden interceptar. Luego ambas parte podrían usar esa clave como una clave simétrica. Este algoritmo, tiene la misma utilidad que los puzles de Merkle pero es más eficiente y seguro. Sin embargo no sirve para firma digital, ni proporciona medios para cifrar mensajes. Por tanto el sistema ideado no implementa de forma completa la idea del criptosistema de clave pública que habían ideado.

Mientras Merkle acepta que su esquema basado en puzles no puede llegar a cumplir unos buenos requisitos de seguridad. Entonces, en el verano de 1976, investiga con Hellman para conseguir esquemas de criptografía pública basados en la construcción de funciones unidireccionales con puerta trampa basados en el problema de la mochila (problema NP-completo).

La hora estelar

Ronald Rivest, un profesor asistente del MIT, lee el artículo Nuevas direcciones en la criptografía y le resulta muy interesante. A partir de entonces empieza a buscar una implementación práctica y completa al planteamiento que proponía el artículo. Poco a poco va implicando en la búsqueda a Adi Shamir y a Leonard Adleman. Paulatinamente empiezan a centrar sus investigaciones en el uso de la factorización en números primos y en aprovechar la dificultad de encontrar esa factorización cuando los números primos involucrados son muy grandes. Finalmente Rivest idea un sistema que permite cifrar y firmar y que ninguno de los tres logra un método para romper su seguridad. Rivest insiste en que el algoritmo es fruto del trabajo conjunto de los tres investigadores y, pese a las reticencias iniciales de los otros dos, el algoritmo es publicado como un descubrimiento de los tres y bautizado como RSA por las iniciales de Rivest Shamir Addleman. La primera publicación del trabajo fue como un memorando técnico del laboratorio de ciencias de computación del MIT al que titulan Un método para la obtención de firmas digitales y sistemas de criptografía de clave pública. Este documento es famoso, además de por ser la primera publicación del algoritmo RSA, por ser la primera vez que se usa la nomenclatura de Alice y Bob.

Los investigadores envían copias del documento para que otros colegas examinen el artículo y finalmente, al no encontrar nadie flaquezas, es mostrado al gran público en agosto de 1977 en la revista Scientific American. En el artículo se describe a grandes rasgos el sistema y se pone un reto usando una clave pequeña. Además se invita a los lectores a enviar una carta al MIT solicitando una copia del artículo original. Esta petición provoca una avalancha de peticiones.

Estos acontecimientos suceden en un ambiente muy complicado para la NSA. Desde 1975 sus actividades estaban siendo investigadas por el Comité Church. Por esta razón la NSA quiere permanece agazapada pero el trabajo de Whitfield Diffie y Martin Hellman pone en peligro el dominio que tenían del mundo de la criptografía (criptosecretismo) ya que fomentaban el uso masivo de la criptografía. Por esta razón empiezan a actuar y advierten a la NSF que la NSA es la única agencia autorizada a financiar las investigaciones sobre criptografía. Ante esta advertencia el responsable de la NSF Fred Weingarten y su equipo piden justificación legal de la pretensión de la NSA. Al no obtenerla ignoran la advertencia y le pide a la NSA que pongan por escrito la advertencia para poder comunicárselo a sus asesores legales. En esta situación llega la publicación del memorando de RSA. Esto provoca un viaje de personal de la NSA a la NSF para presionarles y conseguir bloquear la financiación a proyectos sobre criptografía. La NSF le responde que no hay base legal para ello. Sin embargo accede a hacer llegar a la NSA cualquier solicitud de financiación relacionada para que puedan evaluarla técnicamente con vista a la concesión de financiación.

Por otro lado el 7 de junio de 1977 una carta de John A. Meyer, un trabajador de la NSA, dirigida al director del consejo de publicaciones de IEEE les advierte que la publicación y exportación de información sobre criptografía podrían estar infringiendo la norma federal ITAR. Esto incluiría los artículos y las ponencias hechas en simposium patrocinados por el IEEE. Advertía que estas ponencias y publicaciones técnicas tenían carácter restringido y si las ponencias eran enviadas al extranjero podría haber problemas ya que según ITAR, se requería licencia de exportación. También advertía que el no cumplimiento de la norma podía conllevar multas, arrestos e incluso cárcel. John A. Meyer afirma que no recibió ninguna orden para que escribiera la carta. Sin embargo la NSA se negó a desautorizar la carta y finalmente el director de la NSA asegura en un congreso que las afirmaciones de Meyer son válidas.

Ante estas amenazas la gente de IEEE analizan la ITAR y sacan la conclusión de que los posibles responsables de violación de la ITAR son los autores. Esta conclusión se la comunican a la NSA y avisan a los autores para que analicen las posibles consecuencias recomendándoles que sometan sus artículos al Departamento de Estado. Los investigadores en general no quieren someter sus artículos de esta forma porque pierden el control sobre su trabajo y se lo ceden al Gobierno. Sin embargo hay mucho miedo entre los investigadores. Rivest, por ejemplo, consulta a un abogado y le pregunta si es legal la distribución del artículo sobre el RSA entre los lectores de Scientific American. El abogado como medida de precaución le recomienda parar el envío del artículo. Finalmente los abogados le asesoran que en su opinión no es ilegal. Por otro lado la Universidad le promete que si le acusan de violar la ITAR la propia Universidad le defendería.

Finalmente se celebra una conferencia con ponencias que potencialmente infringen la norma. Algunos alumnos de doctorado tienen reticencias a leer sus ponencias y Martin Hellman se ofrece a leerlas. Posteriormente se envían también, con seis meses de retraso, las cartas con el artículo de RSA a los lectores de Scientific American.

En octubre de 1977 George Davida presenta una solicitud de patente de un dispositivo que utiliza técnicas matemáticas para la producción de cifras continuas. El 28 de abril de 1978 la NSA declara su invento como materia reservada por lo que se le prohíbe vender o utilizar su invento. Además se le indica que tiene que comunicar el nombre de todas las personas con conocimiento sobre el invento y si no lo hace se le podrá imponer una multa de 10 000 dólares y dos años de cárcel. Análogo procedimiento se le aplica a Carl Nicolai con su dispositivo para deformar la voz.

Ambos casos se hacen públicos y se realizan campañas de cartas, prensa y presión a los congresistas acusando a la Oficina de patentes de ser un instrumento de censura. Bajo todo este revuelo se levantan las restricciones.

En este momento se produce una gira de gente de la NSA por centros de investigación para sofocar las investigaciones sobre asuntos relacionados con el mundo de la criptografía. La reacción en general es hostil. Entonces la NSA empieza a presionar sobre la financiación de investigaciones sobre criptografía. Hay un intento de la NSA para que todo lo relacionado con criptografía no lo financie la NSF sino exclusivamente la NSA. El asunto va a la prensa y la NSA se echa finalmente para atrás en sus pretensiones.

Por otro lado se crean dudas de que la ITAR fuera constitucional. La Oficina del fiscal de los Estados Unidos opinaba que la ITAR era anticonstitucional porque establecía restricciones a la divulgación de ideas criptográficas y de información desarrolladas por matemáticos o científicos del sector privado, derechos respaldados por la Primera enmienda. Estas consideraciones se mantuvieron en secreto, permitiendo a la NSA seguir amenazando. Todo esto se supo en 1980 en el Subcomité de operaciones del gobierno de la Cámara de Representantes.

Como último recurso la NSA realiza una campaña pública para que el público confíe en su criterio. Los investigadores no lo aceptan. Finalmente en marzo de 1980 se celebra una reunión entre la NSA y el mundo académico en la que se acuerda un periodo de 2 años en el que los autores de criptografía podían someter su trabajos voluntariamente a revisión de la NSA. Si la NSA juzgaba que la información podía comprometer la seguridad nacional el investigador podía o no tener en cuenta las advertencias. Mientras, la NSA continuaría financiando a aquellos que aceptaran las reglas y permitiría a los demás buscar financiación de la NSF o de cualquier otro sitio. El periodo de prueba terminó pacíficamente y la NSA abandonó poco a poco sus pretensiones de exigir inspección previa.

Vendiendo cripto

En 1981 Alan Gersho un profesor de la Universidad de California invita a 120 personas de la criptografía no gubernamental para que asistan a su campus. Finalmente asisten un centenar de estudiosos y hay distintas ponencias. Poco después, en Alemania, hay un evento similar.

Un año después David Chaum, un estudiante de postgrado, organiza Crypto'82 en Santa Bárbara, el cual es todo un éxito. El evento incluía ponencias sobre criptoanálisis aplicados principalmente al ataque a las criptografía basada en el Problema de la mochila. En ellas Lem Addleman romple el esquema de mochilas de una iteración con un Apple II. Dos años después Ernie Brickell rompió un sistema de mochila de cuarenta iteraciones con un Cray del gobierno. Con el contenido de esta reunión se demuestra que es posible que un gobierno extranjero forme personal en criptografía llevando personal a universidades, leyendo revistas y yendo a este tipo de conferencias.

El único campo que todavía quedaba por conquistar a la criptografía civil era que la gente corriente utilizase este tipo de tecnologías. No había una industria de comercialización de la misma y por tanto no había protección criptográfica de la información que guardaba o transmitía la gente normal. Tener esta protección era muy importante ya que el uso cada vez mayor de los ordenadores y de Internet necesitaba del uso de protección y autenticación de la información. Por esta razón algunos pensaron que a los algoritmos criptográficos se les podía sacar un rendimiento monetario y empezaron a solicitar patentes. En diciembre de 1977 el MIT solicita patente de RSA. La Universidad de Stanford solicitó varias patentes que iban desde el esquema general de criptografía de clave pública hasta las especificaciones del protocolo de intercambio de claves de Diffie-Hellmann incluyendo el esquema de la mochila de Merkle. Estas patentes solo eran válidas en Estados Unidos pero no en Europa ya que los hallazgos se habían hecho públicos antes de solicitar la patente. El hecho de solicitar la patente para un algoritmo obligaba a que para usarlo se necesitase comprar una licencia lo que, según el precio, podría desincentivar la adopción de este tipo de tecnologías.

Además los beneficios de la patentes eran limitados ya que el principal consumidor de criptografía, el gobierno americano, no les tenía que pagar por usar las patentes del MIT o Stanford ya que las investigaciones habían sido financiadas por la NSF y en sus condiciones se dejaban los descubrimiento a disposición de todas las agencias gubernamentales a perpetuidad.

Los creadores de RSA querían comercializar sus investigaciones pese a que ninguno tenía experiencia en el mundo de los negocios. Además estaba el posible problema de que las licencias se habían pedido a nombre del MIT. Aunque el MIT no solía poner pegas a la hora de otorgar licencias sobre la propiedad intelectual a sus creadores, los descubrimientos estaban en una situación única ya que el único comercio de ese tipo realizado hasta el momento estaba en la industria de defensa y el nuevo mercado de productos basados en DES estaba en las instituciones financieras.

Por otro lado en esos momentos los ordenadores de propósito general más extendido no tenían potencia suficiente para cifrar usando RSA. Por ello crearon una tarjeta de circuito impreso con chips específicamente diseñados pero se dieron cuenta de que, por su relativo alto coste, no podrían conseguir que aquellas tarjetas fueran de amplio consumo. Así que en 1981 decidieron meter el RSA en un chip. La idea era generar muchísimos chips para así bajar los costes. Además al ser pequeños se podrían integrar de muy distintas formas. Diseñaron el chip según las reglas del libro de Carver Mead pero cuando se llevó el diseño a fabricación el chip real no funcionó. Las reglas eran incompletas.

Mientras todo esto sucedía buscaban clientes. Por su nula experiencia en el mundo de los negocios, los resultados eran muy escasos. A pesar de las dificultades siguieron adelante y en 1983 crearon la RSA Data Security Incorporated. Después de varias dificultades comprendieron que necesitaban a alguien con experiencia en los negocios que los asesorara. Contrataron a Ted Izen. Éste estableció un plan de negocio y encontró un inversor, Jack Kelly de Sierra Microsystems, que les aportó 225 000 dólares. Esto permitió, en septiembre de 1983, comprar al MIT los derechos en exclusiva del RSA (el MIT se reservó adicionalmente un 5% de los beneficios), establecer una oficina en Silicon Valley y contratar a un gestor profesional para dirigir la compañía, Ralph Bennet. Éste reclutó trabajadores. Entre ellos estaba Bart O'Brien.

El primer producto de la compañía fue Mailsafe, un software para PC que permitía cifrar mensajes de correo electrónico y la información almacenada en los ordenadores. Mailsafe tardó bastante en desarrollarse y el dinero de Jack Kelly y otros inversores se fue agotando. La situación era precaria cuando Bart O'Brien recurrió a su amigo Jim Bidzos. Este, poco a poco, pasa a dirigir el negocio. A finales de marzo todos los empleados habían abandonado la empresa o habían sido despedidos. Incluido Ralph Bennet al que le compraron su importante paquete de acciones de la compañía. Bidzos entiende que los grandes beneficios de la empresa no vendrían de la venta de Mailsafe sino de las ventas a grandes compañías de licencias de uso. Se pone enérgicamente a buscar este tipo de clientes. En octubre consigue un contrato con Lotus para el producto Notes que salva a la compañía. El algoritmo RSA se usaría para que los usuarios de Notes puedan intercambiar sus documentos de forma segura. Con este dinero se empieza a comercializar Mailsafe.

Después de este contrato con Lotus se cierran otros con Motorola (para sus teléfonos), con DEC y Novell (para sus redes informáticas) etc. Bidzos además empieza a propagar ideas criptográficas lo que produce un efecto red que le proporciona nuevos clientes. A finales de 1986 había conseguido reflotar la compañía y esta había empezado a despegar. Este triunfo de la comercialización de herramientas criptográficas disparó las alarmas de la NSA.

Patentes y claves

Lotus se preparaba para incluir RSA como componente de Lotus Notes para proteger los datos de los usuarios cuando descubre que, según los reglamentos de exportaciones, cualquier programa estrictamente comercial con criptografía es considerado como un arma. Para Lotus renunciar a exportar es impensable ya que esto reduce las ganancias potenciales a menos de la mitad. El problema concretamente viene por la llamada certificación del usuario final al que las licencias de exportación para productos con cifrado obliga. Según este requerimiento las licencia de exportación solo se emitirán si el exportador era capaz de identificar y responder de la honradez e intenciones del usuario final. Este requerimiento es impensable porque era un producto de masas.

Para superar este problema contratan a Dave Wormser el cual les aconseja hablar directamente con la NSA. Se reúnen con ellos a mediados de 1986. La gente de Lotus les explica que quieren usar RSA para el intercambio de claves y DES para el cifrado del mensaje. La NSA se niega a la exportación del DES argumentando que es un cifrado demasiado poderoso para ofrecerlo en masa. Finalmente, a mediados de 1987, llegan a un acuerdo con la NSA de que si no usan el DES y usan un sustituto adecuado el gobierno evaluaría el sistema y podría dar el permiso de exportación. Para ello encargan a Rivest la creación de un nuevo algoritmo de cifrado. El resultado fue RC2. Lotus pagó los gastos de desarrollo pero RSA Data Security se quedó con la patente. La clave de este algoritmo era variable. Enviaron el algoritmo a la NSA la cual le hizo un par de retoques. A mediados de 1989 llegan a un acuerdo verbal para que se exporte RSA con RC2 con clave de 32 bits. El tamaño de la clave era demasiado pequeño y la gente de RSA Data Security estimaba que se podría romper con ordenadores personales en 60 días. La Ley de Moore establecía que esos plazo se reducirían en breve. Así las cosas decidieron lanzar dos versiones del producto: Una para exportación y otra para Estados Unidos que usaría 64 bits de longitud de clave. Esto provocó a la empresa más costes y a los usuarios de Estados Unidos tener dos claves una para Estados Unidos y otra para el exterior. Los clientes internacionales al principio no se preocuparon pero luego empezaron a preguntar las causas de tener un sistema más débil.

Pasado el tiempo la NSA consideró que la versión de exportación era demasiado sólida, debido a la posibilidad de cifrar un mensaje ya cifrado, y solicitó cambios en el diseño. Hubo negociaciones durante meses obligando al rediseño del sistema como resultado del cual, en determinadas circunstancias, la ejecución del programa se relentizaba.

Mientras, el sistema de revisión previa de artículos a la NSA le funcionaba bastante bien. Un porcentaje muy alto de los investigadores se sometían al procedimiento. 9 de cada 10 no recibían sugerencias y al resto se le sugerían pequeños cambios. Mención especial cabe hacer de lo que le sucedió a Adi Shamir. Este desarrollaba algoritmos de compartición de secretos y pruebas de identidad de conocimiento cero. Shamir, junto con sus colegas del Instituto Weizmann solicitaron una patente de este último tipo de algoritmos. A principios de 1987 la Oficina de patentes se lo deniega por orden del ejército de los Estados Unidos. Se le avisa de que no pueden hablar con nadie del tema y se les advierte de que deben avisar a cualquiera que tenga conocimientos que difundirlo les puede acarrear 2 años de cárcel. La ponencia había sido presentada en Crypto'86 y había sido enviada a una revista para ser publicada. Además los autores no eran estadounidenses.

Aparentemente la NSA no tenía nada que ver con la orden pero pronto se enteró de su existencia a través de científico del New York Times. En dos días intervienen y levantan la orden. Se supone que lo hicieron para preservar su programa de revisión previa de artículos.

El punto de inflexión del programa de revisión previa se produjo a finales de los 80. Ralph Merkle, que estaba trabajando en Xerox Corporation, escribió un artículo en el que se describía una serie de algoritmos que aumentaban la velocidad de cifrado haciéndola más barata. Además se hablaba también del diseño de las S-box del DES. Xerox envió el artículo a la NSA para revisión y esta respondió que quería suprimir el artículo entero alegando la defensa de la seguridad nacional. Xerox, como importante proveedor del gobierno, aceptó sin rechistar. Sin embargo alguien hizo llegar el documento a John Gilmore, un millonario hacker informático independiente. Éste lo publicó en un grupo de Usenet. En un instante llegó a 8000 ordenadores de todo el mundo. De esta forma Internet había hecho inútil el sistema de revisión previa de la NSA. La NSA entonces retiró la prohibición de publicar el artículo.

Mientras, la compañía RSA Data Security seguía intentando abrirse camino. Parecía como si una mano invisible quitara de repente el interés por sus productos a los potenciales clientes. Sin embargo el principal problema para la empresa era Cylink. Cylink era una empresa que se había centrado en proteger las comunicaciones de las grandes compañías proveedoras del gobierno. Su primer producto se había llamado CIDEC-HS y era una cajita metálica con chips que cifraban las comunicaciones telefónicas usando un sistema híbrido de Diffie-Hellman para intercambio de claves y DES para cifrar la información. Cylink no tenía problemas de exportación ya que sus clientes ya habían conseguido la autorización para usar criptografía basada en DES. Para poder hacer este tipo de negocios Cylink se dirigió a Stanford para conseguir una licencia de uso de la patente de Diffie-Hellman. Al principio el acuerdo no era exclusivo pero con el tiempo Cylink propuso a la universidad que le otorgara los derechos para controlar todas las patentes. Si alguien quería usar las patentes de Stanford sobre criptografía de clave pública tendría que dirigirse a Cylink por los derechos de sublicencia, no a Stanford. Stanford accedió.

Sin embargo permanecía el conflicto sobre los derechos de las patentes de Stanford y el MIT. Stanford pensaba que sus patentes eran las patentes de clave pública ya que eran más generales. Según esa lógica para usar RSA se necesitaban las licencias de Stanford. Los abogados del MIT no pensaban así. Las discusiones no eran muy importantes porque no había mucho dinero en juego. Finalmente llegan a un acuerdo y se sublicencian las licencias de clave pública una a la otra. De esta forma Cylink queda en desventaja ya que RSA Data Security podía dar la licencias de clave pública pero Cylink no podía dar licencias de RSA. Al inicio no hubo problemas porque el mercado de cada empresa era muy distinto. Sin embargo al final Cylink, que no tenía acceso a RSA, empieza a estudiar y promover ideas de que usando las patentes de Diffie-Hellman se puede hacer lo mismo que con RSA. Ante esto RSA Data Security propone a Cylink juntar todas las patentes y llegar a un acuerdo con el NIST para establecer un estándar de clave pública bajo esas patentes. Cylink acepta con el beneplácito de Stanford. Todas las patentes serían de una nueva entidad Public Key Partner (PKP) y su control estaría repartido al 50% entre ambas empresas. Las participaciones se repartirían entre ambas compañías al 55% (para RSA Data Security) y 45% (para Cylink. El MIT recibiría un 14% y Stanford el 9% de cada licencia vendida.

La primera tarea de PKP fue intentar que el NIST adoptara como estándares de las empresas privadas las tecnologías controladas por las patentes de PKP. El primer estándar que el NIST decidió establecer fue el de firma digital. Cylink y RSA Data Security llegaron al acuerdo de proponer RSA, en lugar de usar la firma de Diffie-Hellman de Cylink, y luego para intercambio de claves propondrían el Diffie-Hellman. Al principio el NIST estaba entusiasmado con RSA. Sin embargo el 30 de agosto de 1991 se supo que el NIST apoyaba otro algoritmo: DSA. DSA había sido propuesto en secreto por la NSA. El esquema de funcionamiento era muy similar a RSA salvo que la pareja de claves pública y privada no permitía cifrar. Además el algoritmo era: Más lento para firmar, más rápido para verificar la firma, más difícil de incorporar a los programas, más complicado y además usaba un clave de 512 bits (en contraste con los 1024 del RSA) lo que para mucho críticos lo hacía vulnerable a ataques hechos por la NSA.

PKP acusó al Departamento de Comercio de ponerse al servicio de los espías perjudicando a la industria estadounidense. La sospecha de que la NSA estaba detrás se confirmó en la investigación del Comité de Operaciones Gubernamentales del Congreso. Además en su lucha alegó los derechos de patente. El Gobierno alegó que su esquema usaba una implementación distinta diseñada por otro criptógrafo de Stanford Taher Elgamal. Elgamal había cometido el error de publicar su algoritmo antes de solicitar su patente por lo que perdió sus derechos sobre esta. Por esta razón el DSA sería gratuito y libre de derechos de patente. PKP al ver que seguir por ese camino llevaría mucho tiempo intentó utilizar los derechos de patente de Claus Schnorr. Claus Schnorr en febrero de 1991 había patentado un sistema de firma digital. Se pensaba que este sistema estaba basado en el Elgamal pero la patente permitía poner una reclamación y empezar un largo proceso. para ello convenció a Schnorr y PKP recibe todos sus derechos de patente.

Mientras todo esto sucede, en junio de 1991, RSA Data Security consigue vender la licencia de RSA a Microsoft pese a los intentos de la NSA por abortar la operación.

En junio de 1993 el gobierno le ofrece a PKP una patente exclusiva sobre DSA. Los Estados Unidos usaría el DSA como estándar y pagarían a PKP por sus derechos 1 dólar por usuario. PKP aceptó. Sin embargo el trato no llegó a formalizarse debido al enorme revuelo que se formó al no hacer el algoritmo gratuito. El gobierno de Canadá y la Unión Europea dijeron que no iban a pagar por los derechos. Así que el NIST retiró la oferta y volvió a afirmar que el estándar tendría que ser gratuito.

En octubre de 1994 el NIST hizo pública su elección y eligió el DSA como estándar oficial de firma digital. Además asumió todas las responsabilidades que pudieran caer sobre cualquier usuario que fuera demandado por violación de derechos de patentes. Además aumentó la clave de 512 a 1024 bits.

Sin embargo era un sistema creado por la NSA que nadie en la industria quería adoptar. La elección normal hubiera sido elegir RSA, un sistema ya adoptado por Microsoft, Apple, IBM y Novell. Por esta razón todavía no hay un estándar de firmado de correo electrónico

Criptoanarquía

En 1989 Charlie Merritt, junto con dos amigos, funda una compañía para crear un sistema de cifrado usando RSA sobre un microordenador basado en Z80 con el sistema operativo CP/M. Finalmente lo consiguen pero el sistema es un poco lento. Intentan vender el producto pero no tienen mucho éxito. Además la NSA les advierte de los problemas que tendrían si vendían su programa de cifrado a algún cliente extranjero. Esto era un tema crucial ya que los potenciales clientes eran grandes compañías extranjeras que querían cifrar sus documentos para evitar la vigilancia de gobiernos. Por eso en 1983 toman la decisión de contactar con empresas locales con el fin de rentabilizar el producto. De esta forma se ponen en contacto con una pequeña empresa local llamada Metamorphic System a la que está vinculada Phil Zimmermann.

Phil Zimmermann era un activista político muy interesado en la criptografía para evitar la vigilancia electrónica. Phil se entusiasma con el proyecto de Merrit, ya que demuestra que es posible el desarrollo de programas que den al gran público la oportunidad de tener privacidad en el correo electrónico. Por ello se pone a desarrollar su propio programa de cifrado. Consciente de la lentitud de los sistemas de clave pública pensó en un sistema híbrido que usara RSA para intercambio de claves y otros algoritmos para cifrar. Decide usar C, compatible con cualquier clase de procesador. El programa debería ser fácil de usar y debía ser fácil de usar y estar muy extendido para aprovechar el efecto red. Merrit y Zimmerman empiezan a colaborar por teléfono en este proyecto y finalmente, para colaborar mejor, acuerdan en 1986 que Merrit visitara a Zimmermann una semana en la cual Zimmermann aprendió un montón de criptografía.

Merrit estaba subcontratado por RSA Data Security para un proyecto de cifrado. Antes de reunirse con Phil, Merrit llama al nuevo presidente de RSA Data Security, Jim Bidzos ofreciéndole una reunión. Bidzos acepta y Merrit también invita a Phil Zimmermann. Con el tiempo esta reunión sería motivo de discordia. Bidzos asegura que se quedó perpleto cuando Phil Zimmermann le habló de sus planes de crear un programa que usara sus protocolos patentados RSA. De hecho su compañía ya tenía un software similar, mailsafe, y le da una copia de dicho programa. Sin embargo Zimmermann asegura que Bidzos se quedó muy impresionado con sus planes y le ofreció una licencia gratuita del algoritmo RSA. Bidzos siempre negó haber hecho una oferta semejante.

Zimmermann se pasó unos años mejorando sus conocimientos de criptografía para poder terminar su propio programa de cifrado. Desartó el DES y el RC4 y diseñó su propio algoritmo basado en un sistema de cifrado que le mostró Merritt y le llamó Bass-O-Matic. En 1990 se dedicó por completo a terminar el programa al que llamó Pretty Good Privacy (PGP). Pensaba distribuirlo mediante shareware y que la gente le pagara una cantidad voluntariamente. Cuando el programa está casi terminado llama a Jim Bidzos para que le regale o le ponga a un precio módico la licencia de RSA. Jim Bidzos se niega y le propone que busque un cliente rico que le financie. Phil sigue con su trabajo e ignora el problema.

A principios de 1991 Phil termina su sistema. Entonces sucedión que Joseph Robinette Biden, senador de EE. UU. y copatrocinador de la nueva legislación antiterrorista (proyecto de ley 266), había introducido en el borrador un párrafo en el que obligaba a los ISP y fabricantes de equipos de transmisión garantizar que sus sistemas permitan acceder a los contenidos originales de las comunicaciones. La única forma de asegurar esto era prohibiendo cualquier sistema que tuviera una puerta trasera que pudiera ser abierta a petición. Este proyecto creó mucha polémica. Una puerta trasera una vez creada es susceptible de sers usada aunque no se tenga autorización legal. Phil considera que si no lanza PGP ahora el gobierno lo prohibiría. Así que decide lanzar el PGP al máximo número de personas y para ello lo lanza como freeware de libre distribución. De esta forma si hay millones de copias de PGP en circulación el proyecto de ley quedaría invalidado ya que las empresas no pueden garantizar la legalidad de los mensajes. Para la distribución se apoya en Kelly Goen, un criptoentusiasta. Éste aprovecha Internet y distribuye por todo el país muchas copias las cuales son accesibles desde el extranjero. Además contacta con un periodista para que le de publicidad. La distribución fue un éxito y al día siguiente el programa ya circula por todo el mundo. Finalmente la cláusula de Joseph Robinette Biden fue retirada pero dejó el legado de un PGP propagado si poder volver a ponerlo bajo control.

A PKP la distribución de PGP le cayó muy mal. Vulneraba sus patentes. Phil se defendió alegando cuestiones políticas. Además los usuarios de PGP no eran los clientes potenciales de PKP. Acusaron a Phil de hacerle el juego a la NSA por querer arruinar a RSA Data Security. Finalmente Phil llega a un acuerdo con PKP por el que se compromete a no distribuir software basado en RSA y PKP retira la demanda. A partir de entonces Phil deja que el software lo distribuyan otros lo que provoca la ira de PKP

PGP 1.0 era un software limitado y su código era lioso. Phil se disculpaba por ello. Entonces se pone manos a la obra y se pone a trabajar en la versión 2.0 de PGP. Para ello se poya en criptógrafos que colaboran con él entusiasmados con la idea de mejorar el programa. Quitaron Bass-O-Matic, el cual tenía varias debilidades, y lo sustituyeron por el algoritmo IDEA, mucho más potente que el DES y que había sido sometido a escrutinio público. También se mejoró el sistema de autenticación de las claves públicas. Establecen el mecanismo de red de confianza.

PGP 2.0 tuvo un éxito mayor que la versión 1.0. La licencia y documentación del producto enfadó mucho PKP se enfadó mucho a PKP.La documentación aseguraba que PKP timaba al pueblo estadounidense haciéndole pagar por una tecnología desarrollada con dinero del gobierno. A continuación dice que el programa está hecho con fines educativos y que la obtención de licencia es cuestión del usuario no de Phil Zimmermann. Insinúa que PKP es una compañía dedicada a litigios que hace el trabajo sucio de la NSA impidiendo cifrar la información. Aunque sin asegurarlo firmemente, aseguraba que lo usuarios no tenían que preocuparse por la violación de derechos de patente ya que el programa tenía millones de usuarios y sería altamente improbable que persiguieran a un usuario particular.

La publicación de PGP deja un panorama con un sistema criptográfico altamente disponible, usado por mucha gente en todo el mundo que se va convirtiendo en un estándar de Internet y en un reto para la NSA.

Por otro lado, en mayo de 1992 se reúnen Eric Hughes, joven matemático que adoraba la criptografía, y Timothy May, joven físico retirado de Intel. En esta reunión acuerdan la fundación de una confederación informal para producir herramientas criptográficos (como su venerado PGP) que protejan la privacidad, seguridad y libertad individual de la gente frente a ciberladrones y el gobierno. Es decir, proponen la creación de un criptomovimiento popular. Pronto reciben el apoyo de John Gilmore. En septiembre se produce la reunión de inauguración del movimiento a la que asisten una veintena de personas. Estos asistentes no tenían por qué ser criptógrafos sino personas cuyo interés radicaba en cómo la gente podía y debía usar herramientas de cifrado. Eran criptorebeldes que blandían como arma el concepto de criptoanarquía.

La escritora y compañera de Hughes, escuchando las visiones de la sociedad que promulgaban y pensando en el reciente surgimiento de los llamados cyberpunks (hackers que había unido la actitud iconoclasta de los rebeldes del punk a la revolución digital) exclamó "Soys los Cypherpunks" y el nombre gustó a todo el mundo como nombre del movimiento.

Después de la reunión Eric Hughes esbozó una pequeña declaración de principios para explicar los fines del grupo: "El manifiesto Cypherpunk". Además montó en Internet una lista de correo donde cualquier miembro del grupo recibía sin filtrar los mensajes que enviaban el resto de componentes. Esta lista se convirtió en el lugar de reunión principal del movimiento. En pocas semanas la lista tenía más de 100 usuarios y más de 150 mensajes al día. Poco a poco el grupo fue creciendo y un año después había 700 participantes en la lista de correo y sus propuestas estaban en los medios de comunicación de masas como el New York Times. Los cypherpunks se habían puesto de moda.

Sin embargo La base matemática y filosófica para conseguir los objetivos del movimiento provenía de una sola persona: David Chaum. Él no estaba en la lista de correo ni asistía a sus reuniones. Sin embargo sus patentes e ideas tenían un gran potenciales. David Chaum era un hombre de negocios y criptógrafo. Desde finales de los 70 había erigido, sobre los cimientos de la clave pública, los protocolos para que la gente pudiera realizar cualquier operación electrónica preservando el anonimato. Por ejemplo había ideado protocolos para realizar votaciones electrónicas, firma digital ciega, moneda digital (equivalente electrónico al dinero en efectivo) o los remailers. Algunos Cypherpunks creían que Chaum, al patentar su trabajo, impedía que se pudieran aplicar. Sin embargo él pensaba que la patente permitía vender licencias de las mismas que potenciaban la utilización de la tecnología.

Una de las ideas de Chaum adoptada por los Cypherpunks fue la creación de los servicios de remailer. Un remailer recibía un correo, le quitaba cualquier marca de identidad o de origen y lo pasaba al destinatario final o a otro remailer (creando así las llamadas cadenas de remailers). De esta forma se permitía el envío de correo de forma anónima. Erich Hugles implantó el primer remailer. En 1993 ya había 20 remailers operando en Internet gracias a los cypherpunks. Estos remailers permitían un método seguro poder hacer denuncias ciudadanas por parte de víctimas de delitos, pero también permitían un método seguro para envía correos basura, intimidatorios o chantajes.

Sin embargo la idea que más entusiasmaba a los Cypherpunks era el de la moneda digital. Sabían que era posible ya que Chaum ya lo había propuesto y tenía patentes sobre el tema. Pensaban que la existencia de una moneda digital que permitiera usarla sin dejar rastro que identificara al cliente abriría toda una gama de posibilidades como puertos francos fuera del alcance de los países industrializados donde la gente podría guardar su dinero e incluso apostar con dinero digital.

Los Cypherpunks también especularon con la posibilidad de un mercado anónimo de todo tipo de información. Para demostrar las posibilidades de este tipo Timothy May hizo un experimento secreto mandando un correo, sobre una cadena de remailers, anunciando los servicios de una empresa ficticia a la que llamó BlackNet que ofrecía servicios de compra venta de cualquier tipo de información digital (por ejemplo historiales médicos, planos de misiles,...) sin ningún riesgo de que el cliente fuera identificado. Además la misma empresa se ofrecía para manejar el dinero y realizar depósitos anónimos. El trato con esta empresa se haría con dinero real o digital. La empresa carecía de ideología salvo "Considerar los estados, leyes de exportación, leyes de patentes, consideraciones de seguridad nacional y similares como reliquias del pasado". Mucha gente se tomó el anuncio en serio y se creó una gran alarma. Todo esto atrajo la atención del establishment para establecer mecanismos para que este tipo de situaciones no se dieran en el mundo real.

El chip Clipper

En 1992 le autorizan a Clinton Brooks, director adjunto de la NSA para implementar una solución que permite por un lado que el gran público utilice criptografía fiable para proteger sus datos y también salvaguardar la capacidad del gobierno para leer los mensajes y escuchar las conversaciones cifradas. La forma para conseguir esto es usar un esquema de depósito de claves donde se obligue a que las claves de cifrado estén en un depósito disponibles para que cualquier que tuviera autoridad legal pudiera acceder a ellas. Para establecer esta política es crucial convencer al gran público de que es una solución de compromiso para obtener los máximos beneficios de las tecnología criptográficas sin tener grandes riesgos. El proyecto de desarrollo e implementación de este sistema se llamó Capstone.

En el proyecto Capstone se usaba el sistema de cifrado Skipjack, un sistema parecido al DES pero más resistente, el sistema estándar de firma digital DSA. El principal problema del sistema era implementar el esquema de depósito de claves. Había que buscar una forma de aislar cada clave y enviarla a alguna parte para su almacenamiento. La NSA pensó que lo mejora era hacerlo mediante un chip sellado, el chip Capstone. En grandes líneas el sistema asociaba a cada chip un identificador único, el cual se asociaba con la clave única del chip que se asignaba a cada uno de los chips en el proceso de fabricación. Si dos personas querían mantener una conversación en secreto deberían utilizar dos dispositivos que tuvieran incorporado el chip. Una vez que los dispositivos se comunicaran se enviarían señales para calcular una nueva clave simétrica de sesión para el algoritmo Skipjack. Junto con la conversación cifrada, por los cables viajarían otro conjunto de bits llamados Law Enforcement Access Field (LEAF) que permitían obtener una versión cifrada de la clave de la sesión y el identificador único del chip todo ello cifrado por una clave especial para todo el sistema. Para evitar problemas de seguridad las claves depositadas se dividirían en dos partes que se almacenarían en dos lugares distintos. Las elecciones son en 1992 y al ser un asunto tan espinoso se acuerda esperar a después de las elecciones para implementar todo este proyecto. Sin embargo en 1992 ocurren dos imprevistos por un lado AT&T piensa lanzar al mercado el Telephone Security Device (TSD) 3600 y por otro lado hay un cambio de presidente y gana las elecciones William Jefferson Clinton en principio no muy amigo de la NSA.

El TSD 3600 es una caja de quinientos gramos de peso que se conectaba al teléfono, ya fuera fijo o móvil, y que permitía establecer conexiones seguras y orientado al gran público. Se conectaba fácilmente y era portátil. Para proteger una información solo había que pulsar un botón y la conversación se codificaba automáticamente haciéndola segura. La calidad del sonido era buena y utilizaba el algoritmo DES. Distintos organismos del estado se asustan y piden a Brooks y su equipo que introdujera el chip del proyecto Capstone en el TSD 3600. Tal y como se había concebido el chip era demasiado completo para el TSD 3600 y requería más potencia de cálculo de la que el dispositivo podía manejar. Así que le obligan a hacer recortes y adaptar rápidamente, sin debate público, el chip para integrarlo en el TSD 3600 dando lugar al chip Clipper. Por ejemplo pierde los algoritmos de firmas digitales, de compresión y recortaba un poco el algoritmo de cifrado. En octubre de 1992 se le propone a AT&T integrar el nuevo chip en su dispositivo ofreciendo compensaciones indicando que el gobierno federal compraría miles de unidades para su uso y permitiría la exportación del producto. Además el sistema de cifrado Skipjack era más potente que el DES. El principal inconveniente era la aceptación del esquema de depósito de claves. Además evitaría enfrentarse con el gobierno. La compañía aceptó el trato: si el gobierno adoptaban un plan para convertir el esquema de depósito de claves en su estándar, la AT&T implementaría el nuevo sistema.

El otro problema fue la elección de William Jefferson Clinton como presidente en las elecciones presidenciales. A priori parecía que iba a haber problemas con la elección de un candidato que se había posicionado en contra de la guerra del Vietnam y hacía guiños sobre lo absurdo de restringir la exportación de productos que se vendían en los supermercados. Además en el equipo de Clinton había muchas personas familiarizadas con el mundo digital y de las nuevas tecnologías como su vicepresidente Al Gore, un informático aficionado autodidacta en quien Clinton delegó la toma de decisiones relacionadas con la criptografía, o John Podesta que había apoyado con entusiasmo la campaña de la industria para flexibilizar las leyes de exportación. Sin embargo la gente de la NSA aprovecha los conocimientos del nuevo equipo para que visualizaran el problema metiéndoles miedo por las posibles consecuencias de no adoptar Clipper. Si no se adoptaba, pronto saldría TSD 3600 en su versión original. Finalmente el 16 de abril el presidente dio a conocer la iniciativa de adoptar el Chip Clipper. El anuncio no establecía Clipper como un estándar, pero el gobierno se comprometía a comprar miles de aparatos provistos de Clipper. Se confiaba que una vez adoptado por el gobierno se haría universal. La recomendación final se daría después de que Clinton recibiera las conclusiones de un amplio estudio sobre la criptopolítica nacional y de la revisión de la legislación sobre exportaciones.

Las primeras críticas importantes vinieron de la industria informática ¿Qué compañía extranjera querría comprar un sistema de seguridad cuyas claves estaban almacenadas en los depósitos controlados del gobierno de Estados Unidos?. La industria inicia una campaña para reforzar a los críticos y a los defensores de las libertades civiles que preguntaban a la ciudadanía por la analogía ¿Qué pasaría si le obligaran a dejar una copia de las llaves de su casa en una comisaría? Además había mucha gente que desconfiaba directamente del gobierno. No hacía mucho tiempo que había pasado lo del Watergate. Los cypherpunks se pusieron rápidamente en contra infectando la prensa y a la gente con mensaje anti-Clipper. El gobierno hizo lo que pudo para defender el esquema pero con escaso éxito.

En verano de 1993 Skipjack fue calificado de potente por equipo de investigadores independientes pero elegidos por el gobierno para que pudiera evaluar el algoritmo que permanecía en secreto. Sin embargo el sistema en sí seguía teniendo problemas. Un profesor del MIT Silvio Micali, había obtenido una patente en 1992 sobre otro sistema de Esquema criptográfico de claves bajo custodia, el criptosistema fair (en inglés fair cryptosystem), que se parecía mucho al esquema de depósito de claves del gobierno. El gobierno le pagó sigilosamente un millón de dólares por la licencia. Además el nombre del chip ya estaba siendo utilizado por una empresa lo que provocó que se tuviera que pagar una indemnización considerable. Otro problema fue que el chip no estaba preparado para los grandes anchos de banda que se preveía que se alcanzaran en un par de años. Esto provocaría que en breve los productos que incorporaran el chip estarían obsoletos.

Sin embargo la administración Clinton no se rindió y el 4 de febrero de 1994 el presidente aprobó formalmente clipper como un estándar de cifrado de depósito (en inglés Scrow Encryption Standard) y estándar para cifrado de la información federal. Inmediatamente empezó a comprar teléfonos AT&T y a depositar claves en el NIST y en el departamento del tesoro.

Pero las críticas seguían ¿Quién querrá utilizar Clipper cuando PGP está al alcance de cualquiera? Se especulaba con que los delincuentes listos lo evitarían y los consumidores extranjeros también. Esto último sería crucial para su adopción. Sin embargo el golpe más duro se lo dio Matthew Blaze. La NSA lo invitó como probador independiente de la tecnología y éste encontró un defecto en el LEAF de forma que era posible enviar un LEAF incorrecto sin afectar a la capacidad de cifrado de la conversación. De esta forma se conseguí un canal seguro cifrado con un algoritmo más seguro que el DES con un LEAD incorrecto de forma que los escuchas no podía descifrar la conversación. El origen del fallo fueron las prisas con las que se adaptó el chip Capstone al TSD 3600 dando lugar al chip Clipper. Por eficiencia de transmisión se había dejado 128 bits para el LEAF y esto era demasiado pequeño. La noticia sale a la prensa y, aunque el fallo es fácilmente subsanable, el hecho en sí arroja dudas sobre un sistema basado en la confianza.

El gobierno estaba perdiendo la batalla de la opinión. Varias encuestas decían que aproximadamente el 80% de los estadounidenses estaban en contra de clipper. A pesar de ello la administración confiaba en que las leyes de exportación evitaran que la criptografía fuerte fuera incorporada a los productos de uso cotidiano y que el esquema de depósito de claves, como única tecnología exportable, acabara copando el mercado. Sin embargo era el Congreso el que controlaba esas cuestiones y Maria Cantwell estaba poniendo mucho empeño en que ese tipo de tecnologías se liberaran para la exportación. Cantwell era representante por una zona llena de empresas de tecnología, como por ejemplo Nintendo o Microsoft, las cuales estaban enfurecidas por el Chip Clipper. Cantwell entendía que las restricciones a la exportación estaban entorpeciendo inútilmente los negocios ya que esas tecnologías estaban disponibles abiertamente y a la venta en varios países. Además eran fácilmente accesibles por Internet. Las leyes de exportación estaban dificultando el afianzamiento de la supremacía de los Estados Unidos en el mercado mundial. Ahogaban la capacidad exportadora de la industria. Cantwell se propone solucionarlo y cambiar la ley. Recibe muchas presiones pero no claudica. Finalmente el 20 de julio de 1994, la tarde antes de la votación del cambio de la ley, llega a un acuerdo con el gobierno. Cantwell retira su proyecto de ley y el gobierno se compromete a dar marchar atrás y reconsiderar el esquema de depósito de claves buscando alternativas. El nuevo sistema debería poder implementarse en software, firmware, hardware o cualquier combinación de los anteriores, su algoritmo no será secreto y podrá ser exportado. Además el esquema de depósito de claves sería de adopción voluntaria para los agentes privados. Por otra parte el gobierno insta al Ministerio de Comercio a realizar un estudio sobre la disponibilidad mundial de los productos criptográficos.

Superando obstáculos

A mediados de la década de los 90 la criptografía, impulsada por la creciente potencia de los ordenadores y los descubrimientos, avanzaba a toda velocidad y ya no era territorio exclusivo de los servicios de seguridad. Los investigadores empezaron a hacer esfuerzos para dejar en evidencia la debilidad de los sistemas de cifrado. Para realizar ataques por fuerza bruta idean ataques en los que varias máquinas colaboran (ya sea dedicando todo el tiempo de CPU disponible u ocupando los espacios de tiempo en que no están ocupadas) para reparirse el trabajo necesario para romper el código. Para facilitar la coordinación lo ideal es que estén conectados por una red. El 24 de abril de 1994 rompen RSA 129. En agosto de 1995 Damien Doliguez rompe el SSL RC4 de Netscape para la versión exportación la cual tenía 40 bits de longitud de clave. En 1995 Ian Goldberg y David Wagner publican un error en la implementación para obtener la semilla del generador de números aleatorios que usaba el SSL de Netscape y que hacía al sistema vulnerable. Al enemigo le bastaba un pequeño esfuerzo para probar las posibles semillas ya que se basaba en la hora del día y dos identificadores fáciles de localizar, especialmente si se compartía servidor con otros usuarios. Por otro lado se interceptan las conversaciones no cifrados de teléfonos móviles, incluyendo las de los dirigentes del grupo republicano en el Congreso. Todos estos ataques ponen de manifiesto la carencia del uso de una buena criptografía haciendo que el público sienta que sus secretos no están debidamente protegidos. Las empresas americanas empiezan a recibir quejas de sus clientes demandando una seguridad de sus datos. Esto es aprovechado por algunas compañías extranjeras que empiezan a vender productos más seguros en Estados Unidos.

Después de la promesa de Al Gore a Cantwell de revisar el esquema Clipper, la administración decide negociar un compromiso con la industria pretendiendo finalmente que las restricciones sobre exportaciones continuaran igual que siempre y las reglas de Clipper se relajaran solo parcialmente (por ejemplo el usuario podría elegir en qué agencia quería depositar las claves). Este plan fue apodado Clipper II. En 1996 se propuso el Clipper III en el que se ofrecía a las compañías que incorporaran el depósito de claves en sus productos, la autorización de exportar criptografía tipo DES. Ninguno de los planes tuvo éxito. Por otro lado era imposible vencer el recelo de los gobiernos extranjeros respecto a tener una solución en que Estados Unidos tenía un acceso privilegiado a las claves. Mientras la industria estadounidense perdía ventas en favor de empresas extranjeras, se empezaba a ver la posibilidad de un mercado muy importante en el comercio electrónico y era fundamental que éste fuera seguro y para ello se necesitaba apoyar en una criptografía segura.

El gobierno aguantaba como podía los intentos de la industria. En 1999 se abrió un nuevo frente con una sentencia a favor de Daniel Bernstein. En la demanda, presentada con el apoyo de la ESF, Bernstein solicitaba exportar un algoritmo de cifrado (Snuffle, basado en la función hash Snefru propuesta por Merkle en 1990. Las funciones hash no estaban sujetas a restricciones de exportación, sin embargo el algoritmo de cifrado, sin haber introducido ningún algoritmo de cifrado original, sí tenía restricciones. En la sentencia el juez declaraba que los intentos del gobierno por controlar el cifrado podían afectar no solo a los derechos de los criptografos protegidos por la Primera Enmienda, sino también a los derechos constitucionales de cada uno de los estadounidenses de como receptores potenciales de los beneficiós de la criptografía. La sentencia fue recurrida por el gobierno fue recurrida por el gobierno.

Con cada ataque la NSA poco a poco se va dando cuenta que se van a tener que aflojar las restricciones. Sin embargo, el FBI sigue queriendo disminuir las restricciones y consigue que el Congreso apruebe una Ley de Telefonía Digital que, presuntamente, obligaba a la industria de telecomunicaciones a diseñar sus productos de forma que pudieran ser fácilmente intervenidos. La oposición boicoteo la ley negándose a presupuestar dinero para su implementación.

Poco a poco el Congreso empezó a hacer caso al mercado. El lobby bien organizado de la industria informática tenía mucha influencia y las alianzas que estableció con grupos defensores de las libertades civiles como el ESF o el CDT le proporcionaban una imagen populista. Empezaron a tener legisladores favorables a la criptografía que con el apoyo de la industria (RSA, IBM, Novell, Sun, Microsoft,...) convencían a sus colegas sobre los beneficios políticos de apoyar la criptografía segura. Se empezó a tener conscincia de que la nación tecnológicamente más avanzada del mundo debería adoptar una criptografía que pudiera protegerlos. Cualquier ataque era muy publicitado. Los ciudadanos se sentían indefensos frente a ataques de hackers, terroristas y naciones enemigas que paralizarían la sociedad americana bloquendo sistemas controlados por ordenadores como el de distribución eléctrica o los de defensa. La herramienta esencial para realizar esa protección era la criptografía. En 1999 el Congreso formó una piña alrededor de la ley SAFE y se preveía que en el Senado ocurriría algo similar. La Casa Blanca se puso nerviosa y empezó a considerar las consecuencias de ser culpados de un desastre nacional que podría producirse como consecuencia de la falta de criptografía segura. Finalmente a finales de 1999 se aprobó una nueva ley de exportación (EAR del inglés Export Administration Regulations) que permitía la exportación de productos con clave de longitud larga.

Epílogo: el secreto desvelado

En este epílogo se relata la historia de los investigadores del GCHQ que habían desarrollado antes que Whitfield Diffie y Martin Hellman las bases de la teoría de clave pública. Concretamente en 1969 James Henry Ellis había establecido la estrategia de clave pública y posteriormente, entre 1973 y 1975, Clifford Christopher Cocks y Malcolm John Williamson propusieron protocolos de aplicación de algoritmos de clave pública. Concretamente Malcolm John Williamson propuso algo muy similar al protocolo de establecimiento de claves de Diffie-Hellman y Clifford Christopher Cocks propuso algo similar al algoritmo RSA.

Sin embargo su trabajo no fue publicado hasta 1999. En el seno del GCHQ el trabajo no tuvo prácticamente ninguna aplicación por ser considerado como poco práctico por necesitar máquinas caras y ser lento. El GCHQ podría haber bloqueado las patentes de los algoritmos RSA y el protocolo de establecimiento de claves de Diffie-Hellman, sin embargo no lo hizo y así se cedió la idea de una industria entera a los Estados Unidos de América. El problema de ser demasiado lento la industria estadounidense lo solucionó haciendo un sistema híbrido donde con clave pública se intercambiaba la clave secreta de un algoritmo simétrico. La industria además tuvo mucho interés, a diferencia del GCHQ en, a partir de los hallazgos en clave pública, desarrollar tecnologías útiles para la gente común las cuales cambiaron el mundo.

Referencias

• Datos: Q5190792