Seguridad RSA

El 17 de marzo de 2011, RSA reveló un ataque a sus productos de autenticación de dos factores . El ataque fue similar a los ataques de Sykipot, al ataque informático a SK Communications en julio de 2011 y a la serie de ataques NightDragon. ^{[ 38 ]} RSA lo denominó una amenaza persistente avanzada . ^{[ 39 ]} Actualmente, SecurID se utiliza con mayor frecuencia como token de software que como los tokens físicos más antiguos.

La relación de RSA con la NSA ha cambiado con el paso de los años. Joseph Menn de Reuters ^{[ 40 ]} y el analista de ciberseguridad Jeffrey Carr ^{[ 41 ]} han señalado que en el pasado mantuvieron una relación antagónica. En sus inicios, RSA y sus líderes fueron firmes defensores de la criptografía robusta para uso público, mientras que la NSA y las administraciones de Bush y Clinton buscaban impedir su proliferación.

Durante casi diez años, he estado enfrentándome cara a cara con esta gente en Fort Meade . El éxito de esta empresa [RSA] es lo peor que les puede pasar. Para ellos, somos el verdadero enemigo, el verdadero objetivo. Tenemos el sistema que más temen. Si Estados Unidos adoptara RSA como estándar, tendríamos una tecnología de cifrado verdaderamente internacional, interoperable, inquebrantable y fácil de usar. Y todo esto, en conjunto, representa una amenaza tan sinérgica para los intereses de la NSA que los está volviendo locos.

A mediados de la década de 1990, RSA y Bidzos lideraron una campaña pública "feroz" contra el Clipper Chip , un chip de cifrado con una puerta trasera que permitiría al gobierno de EE. UU. descifrar las comunicaciones. La administración Clinton presionó a las compañías de telecomunicaciones para que usaran el chip en sus dispositivos y relajó las restricciones de exportación de productos que lo usaban. (Tales restricciones habían impedido que RSA Security vendiera su software en el extranjero). RSA se unió a defensores de las libertades civiles y otros para oponerse al Clipper Chip, entre otras cosas, distribuyendo carteles con un barco de vela hundiéndose y las palabras "¡Hundid el Clipper!" ^{[ 43 ]} RSA Security también creó los DES Challenges para demostrar que el cifrado DES, ampliamente utilizado, era vulnerable a entidades bien financiadas como la NSA.

La relación pasó de ser antagónica a cooperativa después de que Bidzos renunciara como CEO en 1999, según Victor Chan, quien dirigió el departamento de ingeniería de RSA hasta 2005: "Cuando me uní, había 10 personas en los laboratorios y estábamos luchando contra la NSA. Más tarde se convirtió en una empresa muy diferente". ^{[ 43 ]} Por ejemplo, se informó que RSA aceptó 10 millones de dólares de la NSA en 2004 en un acuerdo para usar el generador de números aleatorios Dual EC DRBG diseñado por la NSA en su biblioteca BSAFE, a pesar de muchos indicios de que Dual_EC_DRBG era de mala calidad y posiblemente tenía una puerta trasera. ^{[ 44 ] [ 45 ]} RSA Security publicó más tarde una declaración sobre la puerta trasera cleptográfica Dual_EC_DRBG :

En 2004, decidimos utilizar Dual EC DRBG como algoritmo predeterminado en los kits de herramientas BSAFE, en el contexto de un esfuerzo conjunto de la industria para desarrollar métodos de cifrado más novedosos y robustos. En aquel entonces, la NSA desempeñaba un papel fundamental en este esfuerzo colectivo para fortalecer, no debilitar, el cifrado. Este algoritmo es solo una de las múltiples opciones disponibles en los kits de herramientas BSAFE, y los usuarios siempre han tenido la libertad de elegir la que mejor se adapte a sus necesidades. Continuamos utilizando el algoritmo como opción en los kits de herramientas BSAFE a medida que se consolidaba como estándar del NIST y debido a su valor en el cumplimiento de la normativa FIPS. Cuando surgieron dudas sobre el algoritmo en 2007, seguimos confiando en el NIST como árbitro de la discusión. Cuando el NIST publicó nuevas directrices en septiembre de 2013 recomendando no seguir utilizando este algoritmo, acatamos dichas directrices, comunicamos la recomendación a nuestros clientes y debatimos el cambio abiertamente en los medios de comunicación.

En marzo de 2014, Reuters informó que RSA también había adaptado el estándar de números aleatorios extendidos promovido por la NSA. Un criptoanálisis posterior demostró que los números aleatorios extendidos no aportaban seguridad adicional y fueron rechazados por el grupo de estándares Internet Engineering Task Force . Sin embargo, los números aleatorios extendidos sí permitieron que la puerta trasera de la NSA para Dual_EC_DRBG fuera decenas de miles de veces más rápida de usar para los atacantes que poseían la clave de la puerta trasera Dual_EC_DRBG (presumiblemente solo la NSA), ya que los nonces extendidos en los números aleatorios extendidos facilitaban la adivinación de parte del estado interno de Dual_EC_DRBG. Solo la versión Java de RSA Security era difícil de vulnerar sin los números aleatorios extendidos, ya que el almacenamiento en caché de la salida de Dual_EC_DRBG en, por ejemplo, la versión en lenguaje de programación C de RSA Security , ya permitía determinar el estado interno con la suficiente rapidez. De hecho, RSA Security solo implementó los números aleatorios extendidos en su implementación Java de Dual_EC_DRBG. ^{[ 47 ] [ 48 ]}

Entre 2004 y 2013, RSA comercializó software de seguridad —el kit de herramientas BSAFE y Data Protection Manager— que incluía un generador de números pseudoaleatorios criptográficamente seguro por defecto , Dual EC DRBG , del que posteriormente se sospechó que contenía una puerta trasera cleptográfica secreta de la Agencia de Seguridad Nacional ( NSA). Esta puerta trasera podría haber facilitado enormemente el descifrado de los datos cifrados con estas herramientas para la NSA, que habría tenido la clave privada secreta de la puerta trasera. Científicamente hablando, la puerta trasera emplea cleptografía y es, esencialmente, un ejemplo del ataque cleptográfico Diffie-Hellman publicado en 1997 por Adam Young y Moti Yung . ^{[ 49 ]}

Los empleados de RSA Security deberían haber sabido, al menos, que Dual_EC_DRBG podría contener una puerta trasera. Tres empleados eran miembros del Grupo de Estándares y Directrices de Herramientas ANSI X9F1, al que Dual_EC_DRBG se había presentado para su consideración a principios de la década de 2000. ^{[ 50 ]} La posibilidad de que el generador de números aleatorios pudiera contener una puerta trasera se planteó por primera vez en una reunión de ANSI X9, según John Kelsey, coautor del estándar NIST SP 800-90A que contiene Dual_EC_DRBG. ^{[ 51 ]} En enero de 2005, dos empleados de la empresa de criptografía Certicom —que también eran miembros del grupo X9F1— escribieron una solicitud de patente que describía una puerta trasera para Dual_EC_DRBG idéntica a la de la NSA. ^{[ 52 ]} La solicitud de patente también describía tres formas de neutralizar la puerta trasera. Dos de estas opciones —garantizar que dos puntos arbitrarios de curva elíptica P y Q utilizados en Dual_EC_DRBG se elijan de forma independiente, y una longitud de salida menor— se añadieron al estándar como opción, aunque la versión con puerta trasera de P y Q de la NSA y la gran longitud de salida siguieron siendo la opción predeterminada del estándar. Kelsey dijo que no conocía a ningún implementador que hubiera generado sus propios P ​​y Q sin puerta trasera, ^{[ 51 ]} y no ha habido informes de implementaciones que utilicen la salida más pequeña.

No obstante, el NIST incluyó Dual_EC_DRBG en su estándar NIST SP 800-90A de 2006 con la configuración predeterminada que habilitaba la puerta trasera, en gran medida a instancias de funcionarios de la NSA, ^{[ 45 ]} quienes habían citado el uso temprano del generador de números aleatorios por parte de RSA Security como argumento para su inclusión. ^{[ 43 ]} El estándar tampoco solucionó el problema no relacionado (con la puerta trasera) de que el CSPRNG era predecible, algo que Gjøsteen había señalado anteriormente en 2006, y que llevó a Gjøsteen a afirmar que Dual_EC_DRBG no era criptográficamente seguro. ^{[ 53 ]}

Los miembros del grupo de estándares ANSI y empleados de Microsoft, Dan Shumow y Niels Ferguson, hicieron una presentación pública sobre la puerta trasera en 2007. ^{[ 54 ]} Al comentar sobre la presentación de Shumow y Ferguson, el destacado investigador de seguridad y criptógrafo Bruce Schneier calificó la posible puerta trasera de la NSA como "bastante obvia" y se preguntó por qué la NSA se molestó en presionar para que se incluyera Dual_EC_DRBG, cuando la mala calidad general y la posible puerta trasera asegurarían que nadie la usaría jamás. ^{[ 45 ]} No parece haber habido una conciencia general de que RSA Security la había hecho predeterminada en algunos de sus productos en 2004, hasta la filtración de Snowden. ^{[ 45 ]}

En septiembre de 2013, el New York Times , basándose en las filtraciones de Snowden , reveló que la NSA trabajó para "insertar vulnerabilidades en sistemas de cifrado comerciales, sistemas de TI, redes y dispositivos de comunicaciones de punto final utilizados por los objetivos" como parte del programa Bullrun . Una de estas vulnerabilidades, informó el Times , era la puerta trasera Dual_EC_DRBG. ^{[ 55 ]} Con el renovado interés en Dual_EC_DRBG, se señaló que BSAFE de RSA Security utilizaba Dual_EC_DRBG por defecto, lo que no se había sabido ampliamente hasta entonces.

Después de que el New York Times publicara su artículo, RSA Security recomendó a los usuarios que dejaran de usar Dual_EC_DRBG, pero negó haber insertado deliberadamente una puerta trasera. ^{[ 44 ] [ 56 ]} Los funcionarios de RSA Security se han negado en gran medida a explicar por qué no eliminaron el generador de números aleatorios dudoso una vez que se conocieron las fallas, ^{[ 44 ] [ 56 ]} o por qué no implementaron la mitigación simple que NIST agregó al estándar para neutralizar la puerta trasera sugerida y posteriormente verificada. ^{[ 44 ]}

El 20 de diciembre de 2013, Joseph Menn de Reuters informó que la NSA pagó secretamente a RSA Security 10 millones de dólares en 2004 para establecer Dual_EC_DRBG como el generador de números pseudoaleatorios criptográficamente seguro (CSPRNG) predeterminado en BSAFE. El artículo citaba a exempleados de RSA Security que afirmaban que "no se levantaron alarmas porque el acuerdo fue gestionado por líderes empresariales en lugar de tecnólogos puros". ^{[ 43 ]} Entrevistado por CNET, Schneier calificó el acuerdo de 10 millones de dólares como un soborno. ^{[ 57 ]} Los funcionarios de RSA respondieron que no habían "celebrado ningún contrato ni participado en ningún proyecto con la intención de debilitar los productos de RSA". ^{[ 58 ]} Menn se mantuvo firme en su historia, ^{[ 59 ]} y el análisis de los medios señaló que la respuesta de RSA fue una negación ambigua , que solo negó que los funcionarios de la compañía supieran de la puerta trasera cuando aceptaron el acuerdo, una afirmación que el artículo de Menn no hizo. ^{[ 60 ]}

Tras la publicación de los informes, varios expertos del sector cancelaron sus ponencias previstas en la Conferencia RSA de 2014. ^{[ 61 ]} Entre ellos se encontraba Mikko Hyppönen , investigador finlandés de F-Secure , quien consideró sospechosa la negación por parte de RSA del supuesto pago de 10 millones de dólares por parte de la NSA. ^{[ 62 ]} Hyppönen anunció su intención de presentar su ponencia, «Los gobiernos como creadores de malware», en una conferencia organizada rápidamente en respuesta a los informes: TrustyCon, que se celebraría el mismo día y a una manzana de la Conferencia RSA. ^{[ 63 ]}

En la Conferencia RSA de 2014 , el ex ^{presidente ejecutivo de RSA Security , Art Coviello ,} defendió la decisión de RSA Security de seguir utilizando Dual_EC_DRBG diciendo que "solo después de que el NIST reconociera los problemas en 2013, fue posible que las preocupaciones planteadas en 2007 tuvieran fundamento". ^{[ 65 ]}