BSAFE

Desde 2004 hasta 2013, el generador de números pseudoaleatorios criptográficamente seguro (CSPRNG) predeterminado en BSAFE fue Dual_EC_DRBG , que contenía una supuesta puerta trasera de la NSA , además de ser un CSPRNG sesgado y lento. ^{[ 4 ]} La comunidad criptográfica había estado al tanto de que Dual_EC_DRBG era un CSPRNG muy deficiente desde poco después de que se publicara la especificación en 2005, y para 2007 se hizo evidente que el CSPRNG parecía estar diseñado para contener una puerta trasera oculta para la NSA, utilizable solo por la NSA a través de una clave secreta. ^{[ 5 ]} En 2007, Bruce Schneier describió la puerta trasera como "demasiado obvia como para engañar a alguien para que la use". ^{[ 5 ]} La puerta trasera fue confirmada en las filtraciones de Snowden en 2013, y se insinuó que la NSA había pagado a RSA Security US$10 millones para usar Dual_EC_DRBG por defecto en 2004, ^{[ 3 ]} aunque RSA Security negó que supiera de la puerta trasera en 2004. El artículo de Reuters que reveló el contrato secreto de US$10 millones para usar Dual_EC_DRBG describió el acuerdo como "manejado por líderes empresariales en lugar de tecnólogos puros". ^{[ 3 ]} RSA Security se ha negado en gran medida a explicar su decisión de continuar usando Dual_EC_DRBG incluso después de que se descubrieran los defectos y la posible puerta trasera en 2006 y 2007, y ha negado haber insertado la puerta trasera a sabiendas. ^{[ 6 ]}

¿Por qué RSA elegiría Dual_EC como predeterminado? No lo entiendo. Dual_EC no solo es ridículamente lento —lo cual tiene implicaciones reales en el rendimiento—, sino que ya en 2006 se demostró que era un generador de números aleatorios pésimo. Para 2007, cuando Shumow y Ferguson plantearon la posibilidad de una puerta trasera en la especificación, ningún criptógrafo sensato se atrevería a usarlo. Y lo peor es que RSA emplea a varios criptógrafos de gran prestigio. Es improbable que todos se hayan perdido la noticia sobre Dual_EC.

Dado que un generador de números aleatorios criptográficamente seguro suele ser la base de la criptografía, gran parte de los datos cifrados con BSAFE no eran seguros frente a la NSA. En concreto, se ha demostrado que la puerta trasera hace que SSL/ TLS sea completamente vulnerable a la parte que posee la clave privada de la puerta trasera (es decir, la NSA). ^{[ 5 ]} Dado que el gobierno y las empresas estadounidenses también han utilizado el vulnerable BSAFE, la NSA podría haber comprometido la seguridad de los datos estadounidenses si se hubiera robado su clave secreta para la puerta trasera. También es posible derivar la clave secreta resolviendo una única instancia del problema de la curva elíptica del algoritmo ^{[ 5 ]} (romper una instancia de criptografía de curva elíptica se considera improbable con los ordenadores y algoritmos actuales, pero podría producirse un avance).

En junio de 2013, Edward Snowden comenzó a filtrar documentos de la NSA. En noviembre de 2013, RSA cambió la configuración predeterminada a HMAC DRBG con SHA-256 como opción predeterminada. Al mes siguiente, Reuters publicó un informe basado en las filtraciones de Snowden que afirmaba que RSA había recibido un pago de 10 millones de dólares para establecer Dual_EC_DRBG como predeterminado. ^{[ 3 ]}

Con las versiones posteriores de Crypto-C Micro Edition 4.1.2 (abril de 2016), Micro Edition Suite 4.1.5 (abril de 2016) y Crypto-J 6.2 (marzo de 2015), Dual_EC_DRBG se eliminó por completo.

"Extended Random" fue una extensión propuesta para el protocolo Transport Layer Security (TLS), presentada para su estandarización al IETF por un empleado de la NSA, ^{[ 7 ]} aunque nunca se convirtió en estándar. La extensión sería inofensiva en otras circunstancias, pero junto con Dual_EC_DRBG, facilitaría el aprovechamiento de la puerta trasera. ^{[ 8 ] [ 9 ]}

Anteriormente no se sabía que la extensión estuviera habilitada en ninguna implementación, pero en diciembre de 2017 se encontró habilitada en algunos modelos de impresoras Canon que utilizan la biblioteca RSA BSAFE, debido a que el número de extensión entraba en conflicto con una parte de la versión 1.3 de TLS. ^{[ 9 ]}