Triple DES: prolongación de la vida útil de DES

La solución obvia a la escasa longitud de clave de DES es aplicarlo dos veces (Double DES): C = DES_K2(DES_K1(P)). Con dos claves de 56 bits, el espacio de claves nominal es de 2^112.

Sin embargo, el ataque de encuentro en el medio destruye esta ventaja: cifra todos los textos en claro con los 2^56 valores de K1, descifra todos los textos cifrados con los 2^56 valores de K2 y busca valores intermedios coincidentes. El ataque solo requiere un trabajo de 2^56 y un almacenamiento de 2^56, por lo que Double DES no ofrece ninguna ventaja de seguridad frente a DES individual.

Triple DES con dos claves utiliza tres operaciones DES, pero solo dos claves: C = DES_K1(DES^-1_K2(DES_K1(P))). Se utiliza el orden EDE (cifrado-descifrado-cifrado) por compatibilidad retroactiva.

La seguridad de 3DES de dos claves es de aproximadamente 112 bits frente a los ataques conocidos, aunque los ataques de encuentro en el medio la reducen en cierta medida. 3DES de dos claves se utiliza en muchos sistemas bancarios y de pagos heredados.

3DES de tres claves utiliza tres claves independientes K1, K2 y K3: C = DES_K3(DES^-1_K2(DES_K1(P))). La longitud nominal de clave es 3 x 56 = 168 bits, pero la seguridad efectiva frente a los mejores ataques conocidos es de aproximadamente 112 bits.

3DES de tres claves proporciona mayor seguridad que 3DES de dos claves y se recomendaba para aplicaciones nuevas en normas como NIST SP 800-131A, antes de que 3DES se declarara obsoleto.

La estructura de cifrado-descifrado-cifrado (EDE) de Triple DES no es arbitraria. Cuando K1 = K2 = K3, el descifrado intermedio deshace el primer cifrado y el cifrado final produce el mismo resultado que DES individual.

Esta compatibilidad retroactiva con DES individual fue fundamental para una migración gradual. El hardware y el software existentes de DES podían interoperar con los sistemas 3DES durante un periodo de transición sin pérdida de datos.

Triple DES puede funcionar como DES individual si se establecen las tres claves con el mismo valor. Esto significa que el hardware 3DES puede procesar datos cifrados con DES y datos cifrados con 3DES utilizando los mismos circuitos.

Esto era especialmente importante para los sistemas bancarios y de pagos que contaban con una infraestructura basada en DES valorada en miles de millones de dólares. 3DES permitió una transición gradual y compatible con versiones anteriores, sin exigir la sustitución simultánea de todos los equipos.

3DES sigue utilizándose ampliamente en la infraestructura bancaria, aunque está obsoleto para aplicaciones nuevas. Las tarjetas de pago con chip EMV utilizan 3DES para la autenticación de tarjetas y la criptografía de transacciones.

La mensajería interbancaria de SWIFT también utiliza 3DES para códigos de autenticación de mensajes de sistemas heredados. La enorme escala de la infraestructura financiera instalada significa que 3DES seguirá presente durante muchos años, a pesar de estar obsoleto.

NIST declaró oficialmente obsoleto 3DES en 2023 mediante la revisión 2 de SP 800-131A. Todo uso de 3DES está ahora desaconsejado, lo que significa que no debe utilizarse en sistemas nuevos y que debe sustituirse en los sistemas heredados.

AES es el reemplazo recomendado. AES es más rápido, utiliza bloques más grandes (128 bits frente a 64 bits), ofrece longitudes de clave de 128, 192 o 256 bits y no presenta debilidades prácticas conocidas.

Sweet32, publicado en 2016, demostró un ataque práctico contra 3DES en HTTPS. El tamaño de bloque de 64 bits significa que, después de 2^32 bloques (unos 32 GB de datos), las colisiones de la paradoja del cumpleaños en el modo CBC empiezan a filtrar información sobre los textos en claro.

Contra sesiones HTTPS, Sweet32 requería unos 785 GB de tráfico con la misma clave, algo posible mediante una sesión autenticada de larga duración. El ataque llevó a los navegadores a dar prioridad a AES-GCM y a eliminar 3DES de los conjuntos de cifrado predeterminados.

Triple DES ejecuta tres operaciones DES por bloque. DES es lento en el hardware moderno porque se diseñó para el hardware de la década de 1970, con patrones de operaciones a nivel de bits distintos de los de las CPU modernas.

AES, diseñado para ofrecer eficiencia en software y aprovechar el hardware moderno con instrucciones AES-NI, es entre 10 y 100 veces más rápido que 3DES en software. AES-NI, presente en las CPU modernas de Intel y AMD, puede cifrar varios gigabytes por segundo, mientras que 3DES apenas alcanza los 100 MB/s.

A pesar de utilizar tres operaciones DES y claves más largas, 3DES conserva el tamaño de bloque de 64 bits de DES. El tamaño de bloque es un parámetro fundamental de la estructura de Feistel y no puede modificarse sin rediseñar el algoritmo.

Este tamaño de bloque de 64 bits es la causa principal de la vulnerabilidad Sweet32. El tamaño de bloque de 128 bits de AES hace que los ataques de cumpleaños requieran 2^64 bloques (aproximadamente 18 exabytes), algo inviable desde el punto de vista computacional en la práctica.

NIST SP 800-131A proporciona una guía detallada para migrar de 3DES a AES. Recomienda AES con claves de 128, 192 o 256 bits como reemplazo para todos los usos de 3DES, desde los conjuntos de cifrado TLS hasta el cifrado de datos almacenados.

La migración cuenta con un amplio respaldo: todas las bibliotecas criptográficas y plataformas de hardware modernas admiten AES, a menudo con aceleración por hardware. Se recomienda a las organizaciones tratar la migración como una actualización de la configuración del software, en lugar de como un proyecto de sustitución de hardware.

Ponga a prueba sus conocimientos sobre las configuraciones de Triple DES.

Triple DES se creó para prolongar la vida útil de DES mediante la estructura EDE. Los ataques de encuentro a mitad de camino impiden que Double DES proporcione el doble de seguridad. 3DES con claves iguales se reduce a DES simple, lo que permite la compatibilidad con versiones anteriores.

NIST declaró obsoleto 3DES en 2023 debido a la vulnerabilidad del tamaño de bloque de 64 bits (Sweet32) y a su bajo rendimiento en comparación con AES. Sigue presente en infraestructuras bancarias y EMV como sistema heredado.