«Cifrado de Grado militar»

Y otras tonterías de marketing de seguridad

2 de abril de 2019 * 5 minutos de lectura

Dondequiera que mire, las empresas dicen que protegen los datos utilizando «cifrado de grado militar».»

Wow! ¡Eso suena fantástico! ¡Apúntame! Si es suficientemente bueno para los militares, entonces es lo suficientemente bueno para mí!

O eso es lo que esperan que pienses. Por desgracia, esta afirmación es más a menudo el signo de una mala seguridad que de una buena protección.

¿Qué es exactamente el «cifrado de grado militar»? Esa no es una pregunta sencilla, ya que los militares tienen diferentes requisitos para diferentes sensibilidades y estos van mucho más allá del algoritmo de cifrado utilizado.

Dicho esto, los algoritmos de cifrado considerados utilizables por los militares están en la lista de criptografía de la Suite B de la NSA (que pronto será reemplazada). Un algoritmo específico, AES, está en la lista y se usa ampliamente. En el 99% de los casos, este algoritmo es a lo que se refiere la gente cuando afirma que usa «cifrado de grado militar».»

Entonces, ¿qué tiene de malo esta afirmación? ¿AES es malo?

AES está bien (podría decirse que hay mejores opciones, pero no importa). AES es como una chaqueta de camuflaje. No puedes simplemente ponértelo y llamarte militar listo.

El uso de un algoritmo de cifrado sólido no significa, por sí solo, que los datos estén seguros. Por ejemplo, el texto que está leyendo en este momento se cifró de camino a usted utilizando AES. Es parte de la conexión segura que obtienes debido al» https » en la URL. Así que este texto que estás leyendo está protegido por «criptografía de grado militar».»Y, sin embargo, cualquiera puede verlo. No tenías que autenticarte, tener una llave o conocer un secreto para verlo.

Conjuntos de cifrado TLS utilizados por este blog; todos utilizan AES

La protección que obtiene de HTTPS evita que un observador de red pasivo vea lo que está leyendo y un intermediario de red activo cambie el contenido de los datos a medida que se dirige a usted. HTTPS es esencial para la seguridad, pero no es protección de datos. Es protección de conexión.

Lo que la afirmación de» cifrado de grado militar » no le dice es:

  1. Qué controles de acceso, si los hay, existen para proteger los datos, ni dónde o cómo se pueden omitir (por ejemplo, un administrador de base de datos).
  2. Si el cifrado es transparente u opaco: en muchos casos, el cifrado transparente también es transparente para los atacantes.
  3. Con AES, la clave de descifrado se comparte entre todas las partes que necesitan acceso. Lo que plantea las preguntas: ¿quién puede ver la(s) llave (s)? ¿Quién ha tenido acceso? ¿Cómo se protegen las llaves?
  4. Con AES, hay bastantes modos con varias compensaciones. Qué modo (GCM, CBC, CTR, etc.) se está utilizando y es apropiado?
  5. ¿Las teclas giran? ¿Se utilizan correctamente los vectores de inicialización (IV)? ¿Qué pasa con la fuente de generación de números aleatorios? Si no es realmente aleatorio, el cifrado puede verse comprometido.

Puerta de bóveda segura marrón

Imagine una puerta a una bóveda. Esta cosa puede soportar martillos y palancas todo el día. Pero tiene un panel de código en la parte frontal. Escrito arriba que es el código de entrada (la gente puede ser tan olvidadizo, ya sabes). ¿Importa lo fuerte que sea esta puerta? No.

Los hackers atacan sistemas, no algoritmos, y hay muchas partes en estos sistemas y muchas opciones más allá del algoritmo.

Mientras estamos en ello, hay una reclamación de protección de datos más que suena bien y se usa y abusa de ella por todas partes. Y la mayoría de las veces, básicamente no tiene sentido. El reclamo se ve algo como esto:

Protegemos sus datos con AES-256, cifrado de grado militar, en reposo y en tránsito

¿Qué significa esto? «En tránsito» casi con certeza significa HTTPS. ¿Recuerdas que antes dije que los datos que estás leyendo aquí estaban encriptados usando AES? Eso es lo que dicen aquí. Dicen que usan HTTPS. No me malinterpretes, eso es genial, pero no limita quién puede acceder a los datos.

La otra parte de esto es el bit «en reposo». Eso suena prometedor. Así que si un hacker entra en un servidor, solo encontrará datos encriptados y no podrá acceder a ellos, ¿verdad?

Probablemente no.

Desafortunadamente, lo que esto casi con certeza significa es que usan cifrado de disco transparente. Esa es una tecnología que, como HTTPS, es muy importante de usar y debe ser utilizada por todos. Pero no es nada de lo que presumir.

Con cifrado de disco transparente, si la máquina se está ejecutando, es como si no hubiera cifrado en absoluto (por lo tanto, «transparente»). Cuando la computadora está apagada, los datos del disco duro son basura aleatoria sin sentido.

Entonces, ¿cuál es el punto? Dos cosas:

  1. Cualquiera que robe un disco duro de una computadora obtendrá un buen disco duro, pero ninguno de los datos en él.
  2. Si un disco duro falla por alguna razón, ya no es necesario resucitarlo para borrar los datos o destruirlo físicamente antes de tirarlo a la basura.

Al igual que con el «cifrado de grado militar», lo que tenemos aquí es personas que se jactan de hacer lo básico, lo mínimo posible en esta época, y hacer que suene como si fuera una capa de protección que evitaría que los hackers u otros vean sus datos.

Conclusión

Puede descartar estas frases como algo generado por personas de marketing no seguras, pero para empezar: las empresas de seguridad y criptografía son algunos de los peores infractores. En mi mente, este es un movimiento intencional para soplar humo en la cara de los clientes.

Cualquiera que se jacte de cifrar » en tránsito y en reposo «y / o usar» cifrado de grado militar » se jacta de que cierra con llave su puerta principal. Tal persona probablemente no tenga una buena cerradura, un sistema de alarma, y es probable que tenga una llave debajo de la alfombra. Porque ¿quién se jacta de hacer cosas básicas? Si ve estas afirmaciones, debe preocuparse por la seguridad de la empresa que las realiza. Soy.

Deja una respuesta

Tu dirección de correo electrónico no será publicada.