Tamaño de la llave

En criptografía , el tamaño de la clave o la longitud de la clave se refiere al número de bits de una clave utilizada por un algoritmo criptográfico (como un cifrado ).

La longitud de la clave define el límite superior de la seguridad de un algoritmo (es decir, una medida logarítmica del ataque conocido más rápido contra dicho algoritmo), ya que la seguridad de todos los algoritmos puede ser vulnerada mediante ataques de fuerza bruta . Idealmente, el límite inferior de la seguridad de un algoritmo es, por diseño, igual a la longitud de la clave (es decir, el diseño del algoritmo no menoscaba el grado de seguridad inherente a la longitud de la clave).

La mayoría de los algoritmos de clave simétrica están diseñados para tener una seguridad equivalente a la longitud de su clave. Sin embargo, tras su diseño, puede descubrirse un nuevo ataque. Por ejemplo, Triple DES se diseñó con una clave de 168 bits, pero ahora se conoce un ataque de complejidad 2¹¹² ⁽ es decir, Triple DES ahora solo tiene 112 bits de seguridad, y de los 168 bits de la clave, el ataque ha dejado 56 ineficaces para la seguridad). No obstante, siempre que la seguridad (entendida como "el esfuerzo necesario para obtener acceso") sea suficiente para una aplicación concreta, no importa si la longitud de la clave y la seguridad coinciden. Esto es importante para los algoritmos de clave asimétrica , ya que no se conoce ningún algoritmo de este tipo que cumpla esta propiedad; la criptografía de curva elíptica es la que más se acerca, con una seguridad efectiva de aproximadamente la mitad de la longitud de su clave.

Las claves se utilizan para controlar el funcionamiento de un cifrado, de modo que solo la clave correcta puede convertir el texto cifrado ( texto cifrado ) en texto plano . Todos los cifrados de uso común se basan en algoritmos de dominio público o son de código abierto , por lo que la seguridad del sistema depende únicamente de la dificultad para obtener la clave, siempre que no exista un ataque analítico (es decir, una "debilidad estructural" en los algoritmos o protocolos utilizados) y suponiendo que la clave no esté disponible por otros medios (como robo, extorsión o vulneración de sistemas informáticos). La noción ampliamente aceptada de que la seguridad del sistema debe depender exclusivamente de la clave fue formulada explícitamente por Auguste Kerckhoffs (en la década de 1880) y Claude Shannon (en la década de 1940); estas afirmaciones se conocen como el principio de Kerckhoffs y la máxima de Shannon, respectivamente.

Por lo tanto, una clave debe ser lo suficientemente larga como para que un ataque de fuerza bruta (posible contra cualquier algoritmo de cifrado) sea inviable ; es decir , requeriría demasiado tiempo y/o demasiada memoria para ejecutarse. El trabajo de Shannon sobre teoría de la información demostró que, para lograr la llamada " seguridad perfecta ", la longitud de la clave debe ser al menos tan grande como el mensaje y usarse solo una vez (este algoritmo se denomina cifrado de un solo uso ). En vista de esto, y de la dificultad práctica de gestionar claves tan largas, la práctica criptográfica moderna ha descartado la noción de seguridad perfecta como requisito para el cifrado y, en su lugar, se centra en la seguridad computacional , según la cual los requisitos computacionales para descifrar un texto cifrado deben ser inviables para un atacante.

Los sistemas de cifrado suelen agruparse en familias. Las familias más comunes incluyen sistemas simétricos (p. ej., AES ) y asimétricos (p. ej. , RSA y criptografía de curva elíptica [ECC]). También pueden agruparse según el algoritmo central utilizado (p. ej., ECC y cifrados Feistel ). Dado que cada uno de ellos presenta un nivel diferente de complejidad criptográfica, es habitual utilizar diferentes tamaños de clave para el mismo nivel de seguridad , dependiendo del algoritmo empleado. Por ejemplo, la seguridad que ofrece una clave de 1024 bits con RSA asimétrico se considera aproximadamente igual a la de una clave de 80 bits con un algoritmo simétrico. ^{[ 1 ]}

El grado real de seguridad alcanzado con el tiempo varía, a medida que se dispone de mayor capacidad de cálculo y métodos analíticos matemáticos más potentes. Por esta razón, los criptólogos suelen buscar indicadores que señalen una posible vulnerabilidad en un algoritmo o longitud de clave, para así pasar a claves más largas o algoritmos más complejos. Por ejemplo, a partir de mayo de 2007 Se factorizó un entero de 1039 bits con el método de cribado de campos numéricos especiales utilizando 400 computadoras durante 11 meses. ^{[ 2 ]} El número factorizado tenía una forma especial; el método de cribado de campos numéricos especiales no se puede utilizar en claves RSA. El cálculo es aproximadamente equivalente a romper una clave RSA de 700 bits. Sin embargo, esto podría ser una advertencia de que las claves RSA de 1024 bits utilizadas en el comercio electrónico seguro deberían quedar obsoletas , ya que podrían volverse vulnerables en un futuro próximo. El profesor de criptografía Arjen Lenstra observó que «la última vez, nos llevó nueve años generalizar de un número especial a uno no especial y difícil de factorizar» y, al preguntársele si las claves RSA de 1024 bits estaban obsoletas, dijo: «La respuesta a esa pregunta es un sí rotundo». ^{[ 3 ]}

El ataque Logjam de 2015 reveló peligros adicionales al usar el intercambio de claves Diffie-Hellman cuando solo se utiliza uno o unos pocos módulos primos comunes de 1024 bits o menores. Esta práctica, relativamente común en ese momento, permite comprometer grandes cantidades de comunicaciones a costa de atacar un pequeño número de primos. ^{[ 4 ] [ 5 ]}

Aunque un cifrado simétrico sea actualmente inquebrantable mediante la explotación de debilidades estructurales en su algoritmo, podría ser posible recorrer todo el espacio de claves en lo que se conoce como un ataque de fuerza bruta. Dado que las claves simétricas más largas requieren exponencialmente más trabajo para la búsqueda por fuerza bruta, una clave simétrica suficientemente larga hace que este tipo de ataque sea impracticable.

Con una clave de longitud n bits, hay 2 ⁿ claves posibles. Este número crece muy rápidamente a medida que n aumenta. El gran número de operaciones (2 ¹²⁸ ) necesarias para probar todas las posibles claves de 128 bits se considera ampliamente fuera del alcance de las técnicas de computación digital convencionales en el futuro previsible. ^{[ 6 ]} Sin embargo, una computadora cuántica capaz de ejecutar el algoritmo de Grover podría buscar las posibles claves de manera más eficiente. Si una computadora cuántica de tamaño adecuado redujera una clave de 128 bits a una seguridad de 64 bits, aproximadamente un equivalente a DES . Esta es una de las razones por las que AES admite longitudes de clave de 256 bits y más. ^{[ a ]}

El cifrado Lucifer de IBM fue seleccionado en 1974 como base para lo que se convertiría en el Estándar de Cifrado de Datos (DES) . La longitud de la clave de Lucifer se redujo de 128 bits a 56 bits , lo que, según la NSA y el NIST, era suficiente para la protección de entidades no gubernamentales en aquel momento. La NSA cuenta con importantes recursos informáticos y un gran presupuesto; algunos criptógrafos, como Whitfield Diffie y Martin Hellman, se quejaron de que esto hacía que el cifrado fuera tan débil que los ordenadores de la NSA podrían descifrar una clave DES en un día mediante computación paralela por fuerza bruta . La NSA refutó esta afirmación, alegando que descifrar DES por fuerza bruta les llevaría "algo así como 91 años". ^{[ 7 ]}

Sin embargo, a finales de los 90, quedó claro que DES podía ser vulnerado en cuestión de días con hardware personalizado, como el que podía adquirir una gran corporación o un gobierno. ^{[ 8 ] [ 9 ]} El libro Cracking DES (O'Reilly and Associates) narra la exitosa capacidad en 1998 para romper DES de 56 bits mediante un ataque de fuerza bruta llevado a cabo por un grupo de ciberdelincuencia con recursos limitados; véase EFF DES cracker . Incluso antes de esa demostración, 56 bits se consideraban una longitud insuficiente para las claves de algoritmos simétricos de uso general. Debido a esto, DES fue reemplazado en la mayoría de las aplicaciones de seguridad por Triple DES , que tiene 112 bits de seguridad cuando utiliza claves de 168 bits (clave triple). ^{[ 1 ]}

El Estándar de Cifrado Avanzado (AES, por sus siglas en inglés), publicado en 2001, utiliza claves de 128, 192 o 256 bits. Muchos observadores consideran que 128 bits son suficientes en el futuro previsible para algoritmos simétricos de la calidad del AES hasta que estén disponibles las computadoras cuánticas . Sin embargo, a partir de 2015, la Agencia de Seguridad Nacional de EE. UU. (NSA , por sus siglas en inglés) emitió una guía indicando que planea cambiar a algoritmos resistentes a la computación cuántica y ahora requiere claves AES de 256 bits para datos clasificados hasta el nivel de Alto Secreto . ^{[ 10 ]}

En 2003, el Instituto Nacional de Estándares y Tecnología de EE. UU. (NIST) propuso eliminar gradualmente las claves de 80 bits para 2015. En 2005, las claves de 80 bits solo se permitieron hasta 2010. ^{[ 11 ]}

Desde 2015, la guía del NIST establece que "el uso de claves que proporcionen menos de 112 bits de seguridad para el intercambio de claves está prohibido". Los algoritmos de cifrado simétrico aprobados por el NIST incluyen Triple DES de tres claves y AES . Las aprobaciones para Triple DES de dos claves y Skipjack fueron retiradas en 2015; el algoritmo Skipjack de la NSA , utilizado en su programa Fortezza, emplea claves de 80 bits. ^{[ 1 ]}

La eficacia de los criptosistemas de clave pública depende de la intratabilidad (computacional y teórica) de ciertos problemas matemáticos, como la factorización de enteros . Resolver estos problemas requiere mucho tiempo, pero suele ser más rápido que probar todas las claves posibles por fuerza bruta. Por lo tanto, las claves asimétricas deben ser más largas para ofrecer una resistencia equivalente a los ataques que las claves de algoritmos simétricos. Se supone que los métodos más comunes serán vulnerables a las computadoras cuánticas suficientemente potentes del futuro.

Desde 2015, el NIST recomienda un mínimo de claves de 2048 bits para RSA , ^{[ 12 ]} una actualización de la recomendación ampliamente aceptada de un mínimo de 1024 bits desde al menos 2002. ^{[ 13 ]}

Las claves RSA de 1024 bits son equivalentes en seguridad a las claves simétricas de 80 bits, las claves RSA de 2048 bits a las claves simétricas de 112 bits, las claves RSA de 3072 bits a las claves simétricas de 128 bits y las claves RSA de 15360 bits a las claves simétricas de 256 bits. ^{[ 14 ]} En 2003, RSA Security afirmó que era probable que las claves de 1024 bits se volvieran vulnerables en algún momento entre 2006 y 2010, mientras que las claves de 2048 bits serían suficientes hasta 2030. ^{[ 15 ]} A partir de 2020La clave RSA más grande que se sabe públicamente que ha sido descifrada es RSA-250 con 829 bits. ^{[ 16 ]}

El algoritmo Diffie-Hellman de campo finito tiene una seguridad de clave similar a la de RSA para claves del mismo tamaño. El factor de trabajo para romper Diffie-Hellman se basa en el problema del logaritmo discreto , que está relacionado con el problema de factorización de enteros en el que se basa la seguridad de RSA. Por lo tanto, una clave Diffie-Hellman de 2048 bits tiene una seguridad similar a la de una clave RSA de 2048 bits.

La criptografía de curva elíptica (ECC) es un conjunto alternativo de algoritmos asimétricos que ofrece una seguridad equivalente con claves más cortas, requiriendo aproximadamente el doble de bits que el algoritmo simétrico equivalente. Una clave Diffie-Hellman de curva elíptica (ECDH) de 256 bits tiene aproximadamente el mismo factor de seguridad que una clave AES de 128 bits . ^{[ 12 ]} En 2004, se logró descifrar un mensaje cifrado con un algoritmo de clave elíptica que utilizaba una clave de 109 bits. ^{[ 17 ]}

La NSA recomendó previamente ECC de 256 bits para proteger información clasificada hasta el nivel SECRETO, y de 384 bits para ALTO SECRETO; ^{[ 10 ]} En 2015 anunció planes para la transición a algoritmos resistentes a la computación cuántica para 2024, y hasta entonces recomienda 384 bits para toda la información clasificada. ^{[ 18 ]}

Los dos ataques más conocidos contra la computación cuántica se basan en el algoritmo de Shor y el algoritmo de Grover . De los dos, el de Shor representa el mayor riesgo para los sistemas de seguridad actuales.

Se conjetura ampliamente que las variantes del algoritmo de Shor son efectivas contra todos los algoritmos de clave pública convencionales, incluidos RSA , Diffie-Hellman y la criptografía de curva elíptica . Según el profesor Gilles Brassard , experto en computación cuántica: "El tiempo necesario para factorizar un entero RSA es del mismo orden que el tiempo necesario para usar ese mismo entero como módulo para un solo cifrado RSA. En otras palabras, no se necesita más tiempo para romper RSA en una computadora cuántica (salvo una constante multiplicativa) que para usarlo legítimamente en una computadora clásica". El consenso general es que estos algoritmos de clave pública son inseguros para cualquier tamaño de clave si se dispone de computadoras cuánticas suficientemente grandes capaces de ejecutar el algoritmo de Shor. La implicación de este ataque es que todos los datos cifrados mediante sistemas de seguridad basados ​​en estándares actuales, como el omnipresente SSL utilizado para proteger el comercio electrónico y la banca por Internet, y SSH utilizado para proteger el acceso a sistemas informáticos sensibles, están en riesgo. Los datos cifrados y protegidos mediante algoritmos de clave pública pueden archivarse y descifrarse posteriormente, un proceso conocido como descifrado retroactivo o " recolectar ahora, descifrar después ".

Se conjetura ampliamente que los cifrados simétricos convencionales (como AES o Twofish ) y las funciones hash resistentes a colisiones (como SHA ) ofrecen mayor seguridad contra los ataques conocidos de computación cuántica. Se cree que son más vulnerables al algoritmo de Grover . Bennett, Bernstein, Brassard y Vazirani demostraron en 1996 que una búsqueda de clave por fuerza bruta en una computadora cuántica no puede ser más rápida que aproximadamente 2n ^{/ 2} invocaciones del algoritmo criptográfico subyacente, en comparación con aproximadamente 2n ^en el caso clásico. ^{[ 19 ]} Por lo tanto, en presencia de grandes computadoras cuánticas, una clave de n bits puede proporcionar al menos n /2 bits de seguridad. La fuerza bruta cuántica se derrota fácilmente duplicando la longitud de la clave, lo que tiene poco costo computacional adicional en el uso ordinario. Esto implica que se requiere al menos una clave simétrica de 256 bits para lograr una clasificación de seguridad de 128 bits contra una computadora cuántica. Como se mencionó anteriormente, la NSA anunció en 2015 que planea la transición a algoritmos resistentes a la computación cuántica. ^{[ 10 ]}

En una sección de preguntas frecuentes sobre computación cuántica de 2016, la NSA afirmó:

"Una computadora cuántica suficientemente grande, de construirse, sería capaz de vulnerar todos los algoritmos de clave pública ampliamente utilizados para el establecimiento de claves y firmas digitales. [...] Se acepta generalmente que las técnicas de computación cuántica son mucho menos efectivas contra los algoritmos simétricos que contra los algoritmos de clave pública actualmente utilizados. Si bien la criptografía de clave pública requiere cambios en el diseño fundamental para protegerse contra una posible computadora cuántica futura, se cree que los algoritmos de clave simétrica son seguros siempre que se utilice un tamaño de clave suficientemente grande. [...] Los algoritmos de clave pública ( RSA , Diffie-Hellman , [Diffie-Hellman de curva elíptica] ECDH y [Algoritmo de firma digital de curva elíptica] ECDSA ) son todos vulnerables a ataques de una computadora cuántica suficientemente grande. [...] Si bien se han propuesto varios algoritmos de clave pública resistentes a la computación cuántica interesantes fuera de la NSA, el NIST no ha estandarizado ninguno , y la NSA no está especificando ningún estándar comercial resistente a la computación cuántica en este momento. La NSA espera que el NIST desempeñe un papel principal en el esfuerzo por desarrollar un conjunto estandarizado y ampliamente aceptado de algoritmos resistentes a la computación cuántica. algoritmos. [...] Dado el nivel de interés en la comunidad criptográfica, esperamos que en la próxima década haya algoritmos resistentes a la computación cuántica ampliamente disponibles. [...] Los algoritmos AES-256 y SHA-384 son simétricos y se consideran seguros frente a ataques de una gran computadora cuántica." ^{[ 20 ]}

En un comunicado de prensa de 2022, la NSA notificó lo siguiente:

"Una computadora cuántica relevante desde el punto de vista criptoanalítico (CRQC) tendría el potencial de romper los sistemas de clave pública (a veces denominados criptografía asimétrica) que se utilizan actualmente. Dados los avances extranjeros en computación cuántica, ahora es el momento de planificar, preparar y presupuestar una transición a algoritmos QR [resistentes a la computación cuántica] para garantizar la protección continua de los Sistemas de Seguridad Nacional (NSS) y los activos relacionados en caso de que una CRQC se convierta en una realidad alcanzable." ^{[ 21 ]}

Desde septiembre de 2022, la NSA ha estado haciendo la transición del Commercial National Security Algorithm Suite (ahora denominado CNSA 1.0), lanzado originalmente en enero de 2016, al Commercial National Security Algorithm Suite 2.0 (CNSA 2.0), ambos resumidos a continuación: ^{[ 22 ] [ b ]}

CNSA 2.0

CNSA 1.0

• Estiramientos clave

• Recomendación para la gestión de claves — Parte 1: general, archivada el 12 de septiembre de 2017 en Wayback Machine. Publicación especial NIST 800-57. Marzo de 2007.
• Blaze, Matt; Diffie, Whitfield; Rivest, Ronald L.; et al. «Longitudes mínimas de clave para cifrados simétricos que proporcionen una seguridad comercial adecuada». Enero de 1996.
• Arjen K. Lenstra, Eric R. Verheul: Selección de tamaños de claves criptográficas. J. Cryptology 14(4): 255-293 (2001) — Enlace a Citeseer

• www.keylength.com: Calculadora online de longitud de teclas
• Artículos que analizan las implicaciones de la computación cuántica.
• Kit de herramientas criptográficas del NIST archivado el 20 de agosto de 2015 en Wayback Machine.
• Burt Kaliski : Tamaños de claves TWIRL y RSA (mayo de 2003)