libsodium: una biblioteca criptográfica resistente al uso incorrecto

libsodium fue creado por Frank Denis como una compilación portátil y multiplataforma de la biblioteca NaCl (Networking and Cryptography library), desarrollada por Daniel Bernstein, Tanja Lange y Peter Schwabe. La filosofía principal consiste en facilitar al máximo el uso correcto de la criptografía y dificultar al máximo su uso incorrecto. Los valores predeterminados seguros, las API sencillas y las decisiones de algoritmos deliberadas evitan los errores comunes que afectan a las bibliotecas de bajo nivel.

crypto_secretbox proporciona cifrado autenticado con clave secreta mediante XSalsa20-Poly1305. La API recibe un mensaje, un nonce de 24 bytes (generado aleatoriamente) y una clave de 32 bytes. El resultado es un texto cifrado que está cifrado y autenticado. crypto_secretbox_open descifra y verifica atómicamente la etiqueta de autenticación, y devuelve un error si detecta una manipulación. Esto impide descifrar textos cifrados dañados o modificados de forma maliciosa.

crypto_box proporciona cifrado autenticado con clave pública entre dos partes mediante X25519-XSalsa20-Poly1305. Dada la clave privada del remitente y la clave pública del destinatario, cifra y autentica el mensaje para que solo el destinatario previsto pueda descifrarlo y este pueda verificar la identidad del remitente. crypto_box_seal es la variante anónima: el remitente queda oculto y solo se proporciona cifrado, no autenticación del remitente.

crypto_sign implementa firmas digitales mediante Ed25519. La generación de claves produce una clave privada de 64 bytes (en realidad, una semilla concatenada con la clave pública) y una clave pública de 32 bytes. La firma produce una firma de 64 bytes. La verificación es rápida y se realiza en tiempo constante. Las firmas Ed25519 son deterministas (el mismo mensaje y la misma clave siempre producen la misma firma), lo que elimina las vulnerabilidades debidas a fallos de aleatoriedad que afectaron a ECDSA en algunas implementaciones.

crypto_generichash proporciona hashing de propósito general mediante BLAKE2b. A diferencia de SHA-256, BLAKE2b no requiere una construcción HMAC independiente para el hashing con clave, ya que acepta directamente una clave opcional. La longitud de salida se puede configurar entre 16 y 64 bytes. BLAKE2b es más rápido que SHA-256 y SHA-512 en los procesadores modernos de 64 bits, y ofrece propiedades de seguridad equivalentes o superiores.

crypto_kdf proporciona derivación de claves a partir de una clave maestra mediante BLAKE2b. Dada una clave maestra de 32 bytes, una cadena de contexto (de 8 bytes que identifica el propósito) y un ID de subclave (un número de 64 bits), deriva una subclave criptográficamente independiente cuya longitud se puede configurar. Esto permite derivar varias claves independientes a partir de una única clave maestra para distintos propósitos, sin ninguna correlación entre las claves derivadas.

crypto_pwhash proporciona hashing de contraseñas mediante Argon2id, ganador de la Password Hashing Competition. Argon2id combina un cálculo costoso en memoria (resistente a ataques de GPU) con un cálculo costoso en tiempo (resistente a ataques de ASIC). Sus parámetros incluyen un límite de operaciones (coste temporal) y un límite de memoria, que se pueden ajustar a los requisitos de seguridad. crypto_pwhash_str produce una cadena estándar adecuada para el almacenamiento que incluye el algoritmo y sus parámetros.

crypto_box_seal cifra un mensaje para un destinatario sin revelar quién lo envía. Genera temporalmente un par de claves efímeras, realiza un intercambio de claves con la clave pública del destinatario y después descarta la clave privada efímera. El destinatario puede descifrar el mensaje con su clave privada, pero no puede identificar al remitente. Esto resulta adecuado para sistemas de envío anónimo y canales cifrados unidireccionales.

libsodium tiene bindings para prácticamente todos los lenguajes de programación principales. PyNaCl proporciona bindings idiomáticos para Python, con excepciones propias de Python y objetos de tipo bytes. libsodium-wrappers proporciona bindings para JavaScript/Node.js (WASM para navegadores). libsodium.js es un port escrito íntegramente en JavaScript. La calidad de los bindings varía: prefiera bindings oficiales o ampliamente mantenidos que encapsulen la biblioteca C en lugar de volver a implementar los algoritmos.

La API de bajo nivel de OpenSSL requiere tomar decisiones explícitas sobre algoritmos, tamaños de clave, modos, padding y gestión del IV. Las combinaciones incorrectas se aceptan silenciosamente. libsodium proporciona una única implementación correcta para cada caso de uso, sin necesidad de configuración. Por ejemplo, para cifrar con OpenSSL hay que elegir el cifrador, el modo, la derivación de claves, la generación del IV y el padding; con crypto_secretbox de libsodium, se proporcionan la clave, el nonce y el mensaje, y el resto se gestiona correctamente.

libsodium es el punto de partida recomendado para cualquier proyecto que requiera operaciones criptográficas en los lenguajes compatibles. Su API pequeña reduce la probabilidad de uso incorrecto, sus algoritmos son modernos y han sido analizados exhaustivamente, y su implementación multiplataforma en C se ha probado rigurosamente. Solo debería ser necesario cambiar a una biblioteca de nivel inferior como OpenSSL cuando se necesiten algoritmos específicos que no estén disponibles en libsodium o se requiera la validación FIPS 140-2.

Resumen de libsodium: valores predeterminados seguros y una API difícil de usar incorrectamente, basada en las primitivas de NaCl desarrolladas por Bernstein et al.; crypto_secretbox para el cifrado con clave secreta (XSalsa20-Poly1305); crypto_box para el cifrado con clave pública (X25519); crypto_sign para firmas Ed25519; crypto_generichash para hashing con BLAKE2b; crypto_pwhash para hashing de contraseñas con Argon2id; cajas selladas para cifrado anónimo; y bindings para la mayoría de las plataformas principales.