Lecciones de DES: lo que aprendimos

La clave de 56 bits de DES se diseñó teniendo en cuenta la capacidad de cómputo de 1977. Sus diseñadores esperaban que fuera segura durante al menos 10-15 años. En 1997, 20 años después, podía romperse en cuestión de meses; en 1999, en cuestión de horas.

La lección es que las longitudes de las claves criptográficas deben tener en cuenta los futuros avances informáticos. Actualmente, NIST recomienda que los sistemas dispongan de un margen de seguridad de al menos 112 bits para seguir siendo seguros hasta 2030, y de al menos 128 bits para ofrecer seguridad a largo plazo.

En 1883, Auguste Kerckhoffs afirmó que un cifrado debe ser seguro incluso si todo lo relacionado con el sistema, excepto la clave, es de conocimiento público. DES fue el primer cifrado estandarizado por un gobierno que se diseñó teniendo explícitamente en cuenta este principio.

La publicación de la especificación completa de DES permitió a la comunidad criptográfica analizarlo en busca de vulnerabilidades durante 20 años. El cifrado demostró ser más resistente al escrutinio público que las alternativas que dependían del secreto del algoritmo.

Cuando se publicó DES por primera vez, la NSA mantuvo en secreto los criterios de diseño de las S-box. Esto alimentó las teorías de conspiración sobre la existencia de puertas traseras. En la década de 1990 se revelaron los criterios, que demostraron que las S-box se habían diseñado específicamente para resistir el criptoanálisis diferencial.

Esta lección sobre transparencia dio lugar a las competiciones modernas de cifrados, que exigen publicar la justificación completa del diseño. Los candidatos a AES publicaron criterios de diseño y argumentos de seguridad completos, lo que permitió un análisis público exhaustivo.

La participación de la NSA en la reducción de la longitud de clave de DES de 128 a 56 bits y en la modificación de las S-box generó una desconfianza institucional duradera hacia la intervención de los gobiernos en los estándares criptográficos.

Esta desconfianza se intensificó con el escándalo de la puerta trasera de Dual_EC_DRBG en 2013, cuando se descubrió que la NSA había debilitado deliberadamente un estándar de NIST para generadores de números aleatorios. La experiencia con DES estableció el precedente de un escepticismo saludable ante las intervenciones gubernamentales en los cifrados.

Una de las lecciones de DES es la importancia de la agilidad de algoritmos: los sistemas deben diseñarse de modo que sea fácil reemplazar los algoritmos criptográficos cuando queden obsoletos. Los sistemas codificados específicamente para DES exigieron migraciones costosas de reemplazo completo.

Los protocolos criptográficos modernos, como TLS, negocian las opciones de algoritmo al inicio de cada conexión, lo que permite que ambas partes acuerden los algoritmos más robustos que admitan en común. Esto permite implementar nuevos algoritmos sin romper la compatibilidad con versiones anteriores.

NIST aprendió de la experiencia con DES que un proceso gubernamental cerrado genera desconfianza y puede producir algoritmos débiles. La competición de AES, celebrada entre 1997 y 2001, fue completamente abierta: cualquier organización del mundo podía presentar un candidato.

Se presentaron quince algoritmos de equipos de Estados Unidos, Europa y otras regiones. Cinco finalistas fueron analizados públicamente durante tres años. Rijndael, desarrollado por criptógrafos belgas, ganó por sus méritos técnicos. El proceso abierto generó una confianza generalizada en AES.

La competición de AES aplicó directamente las lecciones de DES: opciones de claves grandes (128, 192 y 256 bits), un tamaño de bloque de 128 bits para abordar las preocupaciones relacionadas con los ataques de cumpleaños, criterios de diseño completamente públicos y varios años de criptoanálisis abierto.

AES ha resistido más de 20 años de criptoanálisis público sin ataques prácticos conocidos. Los mejores ataques conocidos contra AES solo son ligeramente mejores que la fuerza bruta, lo que confirma que el proceso de competición abierta produjo un cifrado robusto.

Existen millones de implementaciones de DES en hardware, presentes en cajeros automáticos, terminales de pago, decodificadores de satélite y sistemas de control industrial. Sustituir el hardware es mucho más caro y lento que actualizar el software.

La lección es que las implementaciones criptográficas en hardware deben planificar desde el principio el reemplazo de algoritmos. Los HSM modernos y los chips de tarjetas inteligentes están diseñados para admitir varios algoritmos y pueden actualizarse mediante firmware para añadir nuevos estándares.

Después de DES, el proceso de estandarización de NIST se volvió más transparente e inclusivo. Se ampliaron los periodos de comentarios públicos, los diseños de los algoritmos se publicaron íntegramente antes de la estandarización y se fomentó activamente la participación internacional.

La estandarización de la criptografía poscuántica de NIST, entre 2016 y 2024, aplicó todas estas lecciones: competición internacional abierta, varias rondas de criptoanálisis público, criterios de selección transparentes y estandarización simultánea de varios algoritmos para promover la diversidad.

La criptografía moderna ha resuelto el problema de la longitud de las claves: AES-256 proporciona márgenes de seguridad tan amplios que los ataques de fuerza bruta serán imposibles durante un futuro previsible. El desafío restante es la gestión de claves.

La generación de claves (verdaderamente aleatorias), el almacenamiento de claves (protegidas contra accesos no autorizados), la distribución de claves (compartidas de forma segura con las partes adecuadas), la rotación de claves (cambiadas sin interrumpir el servicio) y la revocación de claves (revocadas cuando se ven comprometidas) son problemas aún no resueltos que causan la mayoría de los fallos criptográficos del mundo real.

La transición a la criptografía poscuántica (PQC) es el equivalente moderno de la transición de DES a AES. Los ordenadores cuánticos amenazan a RSA y ECC, del mismo modo que el crecimiento exponencial de la capacidad del hardware amenazó a DES.

NIST finalizó sus primeros estándares de PQC en 2024: CRYSTALS-Kyber (ahora ML-KEM) para la encapsulación de claves y CRYSTALS-Dilithium (ahora ML-DSA) para las firmas. Las lecciones de DES, incluida la competición abierta y la agilidad de algoritmos, se aplicaron directamente al proceso de estandarización de PQC.

Ponga a prueba su comprensión de las lecciones aprendidas durante la era de DES.

DES nos enseñó que las longitudes de las claves deben tener en cuenta la ley de Moore, que el escrutinio público fortalece los cifrados, que deben publicarse los criterios de diseño de las S-box y que la participación de los gobiernos en los estándares requiere transparencia.

La agilidad de algoritmos, las competiciones abiertas (AES y PQC) y el diseño de hardware preparado para reemplazar algoritmos son respuestas directas al legado de DES. El problema más difícil de la criptografía moderna no es la longitud de las claves, sino la gestión de claves.