Intercambio de claves y cifrado híbrido

El cifrado simétrico requiere que ambas partes compartan la misma clave secreta antes de poder comunicarse de forma segura. Pero ¿cómo se comparte esa clave de forma segura cuando todavía no existe un canal seguro? Este problema de distribución de claves se consideró irresoluble hasta 1976, cuando Whitfield Diffie y Martin Hellman publicaron un artículo revolucionario. Su solución, el intercambio de claves Diffie-Hellman, permite que dos partes establezcan una clave secreta compartida a través de un canal inseguro sin transmitir nunca la clave, incluso estando expuesta a posibles interceptores.

Diffie-Hellman (DH) utiliza un ingenioso truco matemático basado en el problema del logaritmo discreto. Ambas partes acuerdan dos valores públicos (un número primo grande p y un generador g). Cada parte genera un número aleatorio privado, calcula a partir de él un valor público e intercambia los valores públicos. Después, cada parte puede calcular el mismo secreto compartido a partir de su propio número privado y del valor público de la otra parte; sin embargo, un interceptor que solo vea los valores públicos no puede calcular el secreto compartido sin resolver el problema del logaritmo discreto, lo cual es computacionalmente inviable para números grandes.

Diffie-Hellman de curva elíptica (ECDH) es la variante moderna y más eficiente del intercambio de claves Diffie-Hellman. Utiliza las matemáticas de curvas elípticas en lugar de la exponenciación modular, y consigue la misma seguridad con parámetros mucho más pequeños. Una clave ECDH de 256 bits proporciona una seguridad equivalente a la de una clave DH de 3072 bits. ECDHE (la «E» significa Ephemeral) genera un nuevo par de claves para cada sesión, lo que proporciona secreto perfecto hacia adelante. TLS 1.3 exige ECDHE para el intercambio de claves, por lo que es el mecanismo de intercambio de claves predominante en la seguridad web moderna.

El secreto perfecto hacia adelante (PFS) garantiza que las claves de sesión no queden comprometidas aunque la clave privada de larga duración del servidor sea robada posteriormente. El PFS se consigue utilizando pares de claves efímeras para el intercambio de claves de cada sesión; la clave de sesión se deriva de un par de claves temporal que se descarta al finalizar la sesión. Sin PFS (al utilizar el intercambio de claves RSA), un atacante que registre tráfico cifrado hoy y robe posteriormente la clave privada puede descifrar retroactivamente todo el tráfico anterior. Con PFS, las sesiones pasadas permanecen seguras incluso después de que se comprometa una clave.

El cifrado híbrido combina la criptografía asimétrica y simétrica para obtener tanto los beneficios de gestión de claves del cifrado asimétrico como el rendimiento del cifrado simétrico. El proceso es el siguiente: (1) generar una clave de sesión simétrica aleatoria; (2) cifrar los datos principales con esta clave simétrica (rápido); (3) cifrar la clave simétrica con la clave pública del destinatario (transmisión segura de la clave); (4) enviar tanto los datos cifrados como la clave cifrada. El destinatario descifra la clave simétrica con su clave privada y, a continuación, descifra los datos con la clave simétrica recuperada.

El handshake de TLS es la implementación real más común del cifrado híbrido. En TLS 1.3: (1) el cliente envía las suites de cifrado compatibles y su intercambio de claves (valor público de ECDHE); (2) el servidor responde con su intercambio de claves, su certificado (que contiene su clave pública) y una firma; (3) ambas partes calculan el mismo secreto compartido mediante ECDH; (4) todo el tráfico posterior se cifra con una clave simétrica derivada del secreto compartido (AES-256-GCM). Todo el proceso establece un canal cifrado en un solo viaje de ida y vuelta, sin transmitir nunca directamente la clave simétrica.

La criptografía moderna utiliza mecanismos de encapsulación de claves (KEM) como un enfoque más formal y seguro para el intercambio de claves que el cifrado asimétrico directo de una clave de sesión. Un KEM permite que una de las partes genere una clave simétrica y la «encapsule» mediante la clave pública del destinatario, de forma que solo este pueda desencapsularla (recuperarla). El estándar poscuántico de NIST, CRYSTALS-Kyber, es un KEM basado en problemas de retículas en lugar de la factorización de enteros o las curvas elípticas, lo que lo hace resistente a los ataques de ordenadores cuánticos.

Hasta TLS 1.3, el intercambio de claves RSA era habitual: el cliente generaba un secreto premaster, lo cifraba con la clave pública RSA del servidor y se lo enviaba. El problema es que esto no proporciona secreto perfecto hacia adelante. Si la clave privada del servidor se ve comprometida posteriormente, todas las sesiones anteriores cifradas de esta forma pueden descifrarse. TLS 1.3 elimina por completo el intercambio de claves RSA (solo permite ECDHE), específicamente para garantizar el secreto perfecto hacia adelante en todas las conexiones. Por eso, deshabilitar TLS 1.0 y 1.2 (que todavía permiten RSA estático) y exigir TLS 1.3 supone una mejora de seguridad.

El secreto compartido producido por un intercambio Diffie-Hellman no se utiliza directamente como clave de cifrado. En su lugar, se introduce en una función de derivación de claves (KDF) para producir las claves de cifrado y los vectores de inicialización reales. TLS 1.3 utiliza HKDF (función de derivación de claves basada en HMAC) para derivar claves independientes para el cifrado en cada dirección. Las KDF añaden un coste computacional (lo que dificulta la fuerza bruta), amplían secretos cortos hasta obtener la cantidad necesaria de bytes de clave y garantizan que las claves derivadas tengan buenas propiedades estadísticas para utilizarse como claves simétricas.

Pretty Good Privacy (PGP) y su equivalente de código abierto, OpenPGP, utilizan cifrado híbrido para el correo electrónico. Cuando Alice envía un correo cifrado a Bob, PGP genera una clave de sesión simétrica aleatoria, cifra con ella el cuerpo del correo (AES), cifra la clave de sesión con la clave pública RSA o ECC de Bob y envía ambas juntas. En los correos firmados, PGP aplica un hash al mensaje y firma dicho hash con la clave privada de Alice, lo que proporciona no repudio. El modelo de red de confianza de PGP (los usuarios firman las claves de los demás) es una alternativa a la PKI basada en autoridades de certificación.

El intercambio de claves Diffie-Hellman es seguro frente a los fisgones pasivos, pero es vulnerable a ataques activos de intermediario (MITM) si las partes no se autentican mutuamente. Un atacante puede interceptar el valor público de Alice, sustituirlo por el suyo y establecer sesiones DH independientes con Alice y Bob, mientras cada uno cree que se está comunicando con el otro. Por eso TLS combina el intercambio de claves DH con la autenticación mediante certificados: el certificado del servidor (firmado por una CA de confianza) demuestra la identidad del servidor e impide que se sustituya la clave pública durante el handshake.

Ponga a prueba su comprensión de los conceptos de CompTIA Security+ (SY0-701) de esta lección.

En esta lección ha aprendido lo siguiente: Diffie-Hellman resuelve el problema del intercambio de claves al permitir que las partes deriven un secreto compartido a través de un canal inseguro; ECDHE (efímero) proporciona secreto perfecto hacia adelante; el cifrado híbrido combina el intercambio asimétrico de claves con el cifrado simétrico de grandes volúmenes de datos para mejorar la eficiencia; y TLS 1.3 exige ECDHE para todas las conexiones. A continuación, exploraremos las autoridades de certificación y las cadenas de confianza.