Por qué importa la longitud de las claves criptográficas

En criptografía, el parámetro de seguridad lambda representa el nivel de seguridad objetivo. Determina las longitudes de las claves, los tamaños de salida de los hashes y otros parámetros de todo el sistema criptográfico. Un sistema con lambda = 128 significa que un atacante necesita aproximadamente 2^128 operaciones para romperlo. Todos los parámetros se eligen de forma coherente para que el componente más débil proporcione al menos este nivel de seguridad.

Antes se consideraba que una seguridad de 80 bits era suficiente para aplicaciones que no manejaban información sensible. Romperla requiere aproximadamente 2^80, es decir, alrededor de 10^24 operaciones. Con los clústeres de GPU y los algoritmos optimizados modernos, esto se acerca a la viabilidad para adversarios con muchos recursos. NIST dejó de considerar adecuada la seguridad de 80 bits en 2010 y ya no la recomienda para ninguna implementación criptográfica nueva. Los sistemas heredados que utilizan parámetros de 80 bits deben actualizarse.

La seguridad de 112 bits, proporcionada por triple DES (3DES), ofrece una protección moderada y fue la recomendación mínima de NIST para el cifrado simétrico después de que DES dejara de estar recomendado. 3DES aplica DES tres veces con claves diferentes, utilizando efectivamente un nivel de seguridad de 112 bits a pesar de su clave de 168 bits. NIST prevé dejar de permitir 3DES para uso federal en 2024, a medida que aumenta la capacidad de cómputo y AES lo sustituye por completo.

AES-128 proporciona una seguridad de 128 bits y es el estándar actual para el cifrado simétrico. No existe ningún ataque práctico contra AES-128 con ordenadores clásicos. NIST considera adecuada la seguridad de 128 bits para la protección a largo plazo, al menos hasta 2030. La mayoría de los protocolos criptográficos, incluidos TLS 1.3, WireGuard y Signal, utilizan de forma predeterminada claves simétricas de 128 bits o más.

AES-256 proporciona una seguridad de 256 bits frente a ataques clásicos y una seguridad efectiva de 128 bits frente al algoritmo cuántico de Grover. El uso de claves simétricas de 256 bits garantiza que, incluso si llegan a estar disponibles ordenadores cuánticos a gran escala, el cifrado conserve un nivel de seguridad de 128 bits. Por eso, las aplicaciones gubernamentales y militares que requieren proteger los datos a largo plazo están migrando ya al cifrado simétrico de 256 bits.

La seguridad de RSA se basa en la dificultad de factorizar enteros grandes. La factorización es un problema matemático más sencillo que probar por fuerza bruta una clave simétrica, por lo que RSA necesita claves mucho más grandes para alcanzar un nivel de seguridad equivalente. Una clave RSA de 2048 bits ofrece solo unos 112 bits de seguridad. Una clave RSA de 3072 bits ofrece aproximadamente 128 bits de seguridad. Para alcanzar el mismo nivel de seguridad que AES-256 se necesitaría una clave RSA de unos 15.360 bits.

La criptografía de curva elíptica logra el mismo nivel de seguridad que RSA con claves mucho más pequeñas, al aprovechar la dificultad matemática del problema del logaritmo discreto en curvas elípticas. Una clave ECC de 256 bits, como P-256 o Curve25519, proporciona aproximadamente 128 bits de seguridad, equivalentes a una clave RSA de 3072 bits. Las claves más pequeñas permiten realizar cálculos más rápidos y generar mensajes más pequeños durante el handshake TLS, por lo que ECC es preferible en aplicaciones sensibles al rendimiento.

La Publicación especial 800-57 de NIST es la guía de referencia oficial para la gestión de claves criptográficas. Especifica qué algoritmos y tamaños de clave están aprobados para cada nivel de seguridad, durante cuánto tiempo deben utilizarse las claves antes de rotarlas y cuáles son los requisitos para almacenarlas y destruirlas. Seguir la norma SP 800-57 garantiza que las opciones criptográficas se ajusten a los estándares federales y puedan justificarse en auditorías de cumplimiento.

La comparación más habitual es la siguiente: una clave simétrica de 128 bits, como AES-128, proporciona aproximadamente un nivel de seguridad equivalente al de RSA de 3072 bits o ECC de 256 bits. Esto se debe a que las claves simétricas están protegidas contra la fuerza bruta mediante un coste que crece exponencialmente, mientras que las claves asimétricas están protegidas mediante algoritmos matemáticos cuyo coste es subexponencial. La diferencia entre los tamaños de clave refleja la distinta dificultad de los problemas matemáticos subyacentes.

La seguridad en bits resulta más informativa que el tamaño bruto de la clave. Decir que un sistema tiene una seguridad de 128 bits significa que romperlo requiere aproximadamente 2^128 operaciones, independientemente del algoritmo. Una clave RSA de 2048 bits ofrece 112 bits de seguridad. Una clave AES de 128 bits ofrece 128 bits de seguridad. Comparar los tamaños de clave entre algoritmos sin tener en cuenta la seguridad en bits lleva a conclusiones falsas sobre su fortaleza relativa.

Los datos cifrados hoy deben seguir siendo seguros durante todo el tiempo que dure su clasificación. Los documentos gubernamentales clasificados pueden necesitar permanecer confidenciales durante décadas. Elegir la longitud de las claves basándose únicamente en las capacidades computacionales actuales no es suficiente: las claves deben tener un tamaño que les permita resistir ataques de futuras mejoras de hardware y de posibles ordenadores cuánticos. Sobredimensionar la longitud de la clave cuesta poco, pero proporciona una protección importante frente al futuro.

¿Qué tamaño de clave proporciona aproximadamente el mismo nivel de seguridad que AES-128?

El parámetro de seguridad lambda mide el nivel de seguridad objetivo en bits. Un nivel de 80 bits está obsoleto; 112 bits es el mínimo; 128 bits es el estándar; 256 bits proporciona márgenes de seguridad poscuánticos. Para un nivel de seguridad equivalente, RSA requiere claves mucho más grandes que los algoritmos simétricos: RSA de 3072 bits equivale a AES-128. ECC logra el mismo nivel de seguridad que RSA con claves mucho más pequeñas. Al comparar algoritmos, la seguridad en bits resulta más significativa que el tamaño bruto de la clave.