Bloc de notas de un solo uso

Para continuar con el ejemplo anterior, supongamos que Eve intercepta el texto cifrado de Alice: EQNVZ. Si Eve probara todas las claves posibles, encontraría que la clave XMCKLproduciría el texto plano hello, pero también encontraría que la clave TQURIproduciría el texto plano later, un mensaje igualmente plausible:

 4 (E) 16 (Q) 13 (N) 21 (V) 25 (Z) texto cifrado − 19 (T) 16 (Q) 20 (U) 17 (R) 8 (I) posible clave = −15 0 −7 4 17 clave-cifrado = 11 (l) 0 (a) 19 (t) 4 (e) 17 (r) clave-texto-cifrado (mod 26)

De hecho, es posible "descifrar" cualquier mensaje del texto cifrado con el mismo número de caracteres, simplemente usando una clave diferente, y no hay información en el texto cifrado que le permita a Eve elegir entre las diversas lecturas posibles del mismo. ^{[ 16 ]}

Si la clave no es verdaderamente aleatoria, es posible utilizar análisis estadísticos para determinar cuál de las claves plausibles es la menos aleatoria y, por lo tanto, la más probable de ser la correcta. Si se reutiliza una clave, será notablemente la única que genere textos planos coherentes a partir de ambos textos cifrados (las probabilidades de que una clave aleatoria incorrecta también genere dos textos planos coherentes son muy bajas).

Generar números aleatorios de alta calidad es difícil. Las funciones de generación de números aleatorios en la mayoría de las bibliotecas de lenguajes de programación no son adecuadas para uso criptográfico. Incluso aquellos generadores que sí son adecuados para uso criptográfico normal, como /dev/random y muchos generadores de números aleatorios de hardware , pueden utilizar funciones criptográficas cuya seguridad no ha sido demostrada. Un ejemplo de técnica para generar aleatoriedad pura es la medición de emisiones radiactivas . ^{[ 19 ]}

En particular, el uso único es absolutamente necesario. Por ejemplo, si${\displaystyle p_{1}}$y${\displaystyle p_{2}}$representan dos mensajes de texto plano distintos y cada uno está cifrado con una clave común.${\displaystyle k}$, entonces los respectivos textos cifrados vienen dados por:

${\displaystyle c_{1}=p_{1}\oplus k}$

${\displaystyle c_{2}=p_{2}\oplus k}$

dónde${\displaystyle \oplus }$significa XOR . Si un atacante tuviera ambos textos cifrados${\displaystyle c_{1}}$y${\displaystyle c_{2}}$, luego simplemente tomando el XOR de${\displaystyle c_{1}}$y${\displaystyle c_{2}}$produce la operación XOR de los dos textos planos.${\displaystyle p_{1}\oplus p_{2}}$(Esto se debe a que cada secuencia de bits a la que se le aplica la operación XOR consigo misma da como resultado 0, el elemento neutro de la operación XOR). ${\displaystyle p_{1}\oplus p_{2}}$es entonces el equivalente a un cifrado de clave continua.

Si ambos textos planos están en un idioma natural (por ejemplo, inglés o ruso), existe una alta probabilidad de que cada uno pueda recuperarse mediante criptoanálisis heurístico , con posibles ambigüedades. Por supuesto, un mensaje más largo solo puede descifrarse en la parte que se superpone a un mensaje más corto, y quizás un poco más completando una palabra o frase. La explotación más famosa de esta vulnerabilidad ocurrió con el proyecto Venona . ^{[ 20 ]}

Dado que la clave, como todos los secretos compartidos , debe transmitirse y mantenerse segura, y debe tener al menos la misma longitud que el mensaje, a menudo no tiene sentido usar una clave de un solo uso, ya que se puede enviar simplemente el texto plano en lugar de la clave (ya que ambos pueden tener el mismo tamaño y deben enviarse de forma segura). ^{[ 16 ]} Sin embargo, una vez que se ha enviado de forma segura una clave muy larga (por ejemplo, un disco de ordenador lleno de datos aleatorios), se puede utilizar para numerosos mensajes futuros, hasta que la suma de los tamaños de los mensajes sea igual al tamaño de la clave. La distribución de claves cuánticas también propone una solución a este problema, asumiendo ordenadores cuánticos tolerantes a fallos .

Distributing very long one-time pad keys is inconvenient and usually poses a significant security risk.^[2] The pad is essentially the encryption key, but unlike keys for modern ciphers, it must be extremely long and is far too difficult for humans to remember. Storage media such as thumb drives, DVD-Rs or personal digital audio players can be used to carry a very large one-time-pad from place to place in a non-suspicious way, but the need to transport the pad physically is a burden compared to the key negotiation protocols of a modern public-key cryptosystem. Such media cannot reliably be erased securely by any means short of physical destruction (e.g., incineration). A 4.7 GB DVD-R full of one-time-pad data, if shredded into particles 1 mm² (0.0016 sq in) in size, leaves over 4 megabits of data on each particle. In addition, the risk of compromise during transit (for example, a pickpocket swiping, copying and replacing the pad) is likely to be much greater in practice than the likelihood of compromise for a cipher such as AES. Finally, the effort needed to manage one-time pad key material scales very badly for large networks of communicants—the number of pads required goes up as the square of the number of users freely exchanging messages. For communication between only two persons, or a star network topology, this is less of a problem.

The key material must be securely disposed of after use, to ensure the key material is never reused and to protect the messages sent.^[2] Because the key material must be transported from one endpoint to another, and persist until the message is sent or received, it can be more vulnerable to forensic recovery than the transient plaintext it protects (because of possible data remanence).

Tradicionalmente, las libretas de un solo uso no proporcionan autenticación de mensajes , lo que puede suponer una amenaza para la seguridad en sistemas reales. Por ejemplo, un atacante que sepa que el mensaje contiene "nos vemos mañana a las tres y media con Jane" puede derivar los códigos correspondientes de la libreta directamente a partir de los dos elementos conocidos (el texto cifrado y el texto plano conocido). El atacante puede entonces reemplazar ese texto por cualquier otro de la misma longitud, como "la reunión de las tres y media se cancela, quédate en casa". El conocimiento del atacante sobre la libreta de un solo uso se limita a esta longitud en bytes, que debe mantenerse para que cualquier otro contenido del mensaje siga siendo válido. Esto difiere de la maleabilidad ^{[ 21 ],} donde el texto plano no es necesariamente conocido. Sin conocer el mensaje, el atacante también puede alterar bits en un mensaje enviado con una libreta de un solo uso, sin que el destinatario pueda detectarlo. Debido a sus similitudes, los ataques a las libretas de un solo uso son similares a los ataques a los cifradores de flujo ^{[ 22 ]} .

Se pueden utilizar técnicas estándar para prevenir esto, como el uso de un código de autenticación de mensajes junto con un sistema de cifrado de un solo uso para prevenir tales ataques, al igual que métodos clásicos como el relleno de longitud variable y la copulación rusa , pero todos carecen de la seguridad perfecta que tiene la OTP en sí. El hash universal proporciona una forma de autenticar mensajes hasta un límite de seguridad arbitrario (es decir, para cualquier p > 0 , un hash suficientemente grande garantiza que incluso la probabilidad de que un atacante computacionalmente ilimitado falsifique con éxito sea menor que p ), pero esto utiliza datos aleatorios adicionales de la libreta, y algunas de estas técnicas eliminan la posibilidad de implementar el sistema sin una computadora.

Debido a su relativa simplicidad de implementación y a su promesa de confidencialidad absoluta, el cifrado de un solo uso (One-Time Pad) goza de gran popularidad entre los estudiantes de criptografía, especialmente porque suele ser el primer algoritmo que se presenta e implementa durante un curso. Estas primeras implementaciones a menudo incumplen los requisitos de seguridad de la información de una o varias maneras:

• La clave se genera mediante un algoritmo que expande uno o más valores pequeños en una clave de un solo uso más larga. Esto se aplica por igual a todos los algoritmos, desde operaciones matemáticas básicas inseguras como la expansión decimal de la raíz cuadrada, hasta generadores de números aleatorios pseudoaleatorios (CSPRNG) complejos y criptográficamente seguros. Ninguna de estas implementaciones es una clave de un solo uso, sino un cifrado de flujo por definición. Todas las claves de un solo uso deben generarse mediante un proceso no algorítmico, por ejemplo, mediante un generador de números aleatorios por hardware .
• El intercambio de claves se realiza mediante métodos que no son seguros desde el punto de vista de la teoría de la información. Si la clave de un solo uso se cifra con un algoritmo que no es seguro desde el punto de vista de la teoría de la información para su entrega, la seguridad del criptosistema depende únicamente de la inseguridad del mecanismo de entrega. Un mecanismo de entrega defectuoso común para las claves de un solo uso es un criptosistema híbrido estándar que utiliza criptografía de clave simétrica para el cifrado de la clave y criptografía asimétrica para la entrega de la clave simétrica. Los métodos seguros comunes para la entrega de claves de un solo uso son la distribución de claves cuánticas , un servicio de mensajería o un punto de entrega seguro .
• La implementación no incluye un mecanismo de autenticación incondicionalmente seguro, como un MAC de un solo uso .
• La plataforma se reutiliza (por ejemplo, se utilizó durante el proyecto Venona ). ^{[ 23 ]}
• La almohadilla no se destruye inmediatamente después de su uso.

A pesar de sus problemas, la libreta de un solo uso conserva cierto interés práctico. En algunas situaciones hipotéticas de espionaje, podría ser útil porque el cifrado y el descifrado se pueden calcular manualmente con solo lápiz y papel. Casi todos los demás cifrados de alta calidad son completamente imprácticos sin ordenadores. Sin embargo, en el mundo actual, los ordenadores (como los integrados en los teléfonos móviles ) son tan comunes que poseer un ordenador adecuado para realizar cifrado convencional (por ejemplo, un teléfono que pueda ejecutar software criptográfico oculto) no suele despertar sospechas.

• La clave de un solo uso es el criptosistema óptimo con una confidencialidad teóricamente perfecta. ^{[ 17 ]}
• El cifrado de clave única es uno de los métodos más prácticos de encriptación, donde una o ambas partes deben realizar todo el trabajo manualmente, sin la ayuda de una computadora. Esto lo hizo importante en la era preinformática, y podría seguir siendo útil en situaciones donde la posesión de una computadora es ilegal o incriminatoria, o donde no se dispone de computadoras confiables.
• Las libretas de un solo uso resultan prácticas en situaciones en las que dos partes en un entorno seguro deben poder separarse y comunicarse desde dos entornos seguros distintos con total confidencialidad.
• The one-time-pad can be used in superencryption.^[24]
• The algorithm most commonly associated with quantum key distribution is the one-time pad.^[25]
• The one-time pad is mimicked by stream ciphers.^[22]
• Numbers stations often send messages encrypted with a one-time pad.^[2]

A common use of the one-time pad in quantum cryptography is being used in association with quantum key distribution (QKD). QKD is typically associated with the one-time pad because it provides a way of distributing a long shared secret key securely and efficiently (assuming the existence of practical quantum networking hardware). A QKD algorithm uses properties of quantum mechanical systems to let two parties agree on a shared, uniformly random string. Algorithms for QKD, such as BB84, are also able to determine whether an adversarial party has been attempting to intercept key material, and allow for a shared secret key to be agreed upon with relatively few messages exchanged and relatively low computational overhead. At a high level, the schemes work by taking advantage of the destructive way quantum states are measured to exchange a secret and detect tampering. In the original BB84 paper, it was proven that the one-time pad, with keys distributed via QKD, is a perfectly secure encryption scheme.^[25] However, this result depends on the QKD scheme being implemented correctly in practice. Attacks on real-world QKD systems exist. For instance, many systems do not send a single photon (or other object in the desired quantum state) per bit of the key because of practical limitations, and an attacker could intercept and measure some of the photons associated with a message, gaining information about the key (i.e. leaking information about the pad), while passing along unmeasured photons corresponding to the same bit of the key.^[26] Combining QKD with a one-time pad can also loosen the requirements for key reuse. In 1982, Bennett and Brassard showed that if a QKD protocol does not detect that an adversary was trying to intercept an exchanged key, then the key can safely be reused while preserving perfect secrecy.^[27]

El cifrado de un solo uso es un ejemplo de criptografía postcuántica, ya que el secreto perfecto es una definición de seguridad que no depende de los recursos computacionales del adversario. Por consiguiente, un adversario con una computadora cuántica no podría obtener más información sobre un mensaje cifrado con un cifrado de un solo uso que un adversario con una computadora clásica.

Los blocs de notas desechables se han utilizado en circunstancias especiales desde principios del siglo XX. En 1923, fueron empleados para comunicaciones diplomáticas por el cuerpo diplomático alemán. ^{[ 28 ]} El Servicio Diplomático de la República de Weimar comenzó a utilizar el método alrededor de 1920. El descifrado de la deficiente criptografía soviética por parte de los británicos , con mensajes hechos públicos por razones políticas en dos ocasiones en la década de 1920 ( caso ARCOS ), parece haber provocado que la Unión Soviética adoptara blocs de notas desechables para algunos fines alrededor de 1930. También se sabe que espías de la KGB utilizaron blocs de notas desechables de lápiz y papel más recientemente. Ejemplos de ello son el coronel Rudolf Abel , arrestado y condenado en la ciudad de Nueva York en la década de 1950, y los «Kroger» (es decir, Morris y Lona Cohen ), arrestados y condenados por espionaje en el Reino Unido a principios de la década de 1960. Ambos fueron encontrados con blocs de notas desechables físicos en su poder.

Varias naciones han utilizado sistemas de cifrado de un solo uso para su tráfico sensible. Leo Marks informa que el Ejecutivo de Operaciones Especiales británico utilizó cifrados de un solo uso durante la Segunda Guerra Mundial para cifrar el tráfico entre sus oficinas. Los cifrados de un solo uso para sus agentes en el extranjero se introdujeron al final de la guerra. ^{[ 12 ]} Algunas máquinas de cifrado de cinta de un solo uso británicas incluyen la Rockex y la Noreen . La máquina de cifrado Stasi alemana también era capaz de utilizar cintas de un solo uso que Alemania Oriental, Rusia e incluso Cuba utilizaron para enviar mensajes cifrados a sus agentes. ^{[ 29 ]}

El codificador de voz SIGSALY de la Segunda Guerra Mundial también era un sistema de un solo uso. Añadía ruido a la señal en un extremo y lo eliminaba en el otro. El ruido se distribuía a los extremos del canal en forma de grandes discos de goma laca fabricados en pares únicos. Surgieron problemas de sincronización inicial y de deriva de fase a largo plazo que debían resolverse antes de que el sistema pudiera utilizarse. ^{[ 30 ]}

La línea directa entre Moscú y Washington, D.C. , establecida en 1963 tras la Crisis de los Misiles de Cuba de 1962 , utilizaba teletipos protegidos por un sistema comercial de cinta de un solo uso. Cada país preparaba las cintas de cifrado utilizadas para codificar sus mensajes y las enviaba a través de su embajada en el otro país. Una ventaja singular del sistema de un solo uso en este caso era que ninguno de los países tenía que revelar al otro métodos de cifrado más sensibles. ^{[ 31 ]}

Las Fuerzas Especiales del Ejército de EE. UU. utilizaron libretas de un solo uso en Vietnam. Al emplear el código Morse con libretas de un solo uso y la transmisión de radio de onda continua (la portadora del código Morse), lograron tanto el secreto como la fiabilidad de las comunicaciones. ^{[ 32 ]}

A partir de 1988, el Congreso Nacional Africano (ANC) utilizó discos de un solo uso como parte de un sistema de comunicación seguro entre los líderes del ANC fuera de Sudáfrica y los operativos dentro del país, en el marco de la Operación Vula [ ^{33 ] ,} un esfuerzo exitoso para construir una red de resistencia dentro de Sudáfrica. Los números aleatorios en el disco se borraban después de su uso. Una azafata belga actuaba como mensajera para traer los discos. Era necesario un reabastecimiento regular de discos nuevos, ya que se agotaban con bastante rapidez. Un problema del sistema era que no podía utilizarse para el almacenamiento seguro de datos. Posteriormente, Vula añadió un cifrado de flujo con claves de libros para solucionar este problema ^{[ 34 ] .}

Un concepto relacionado es el código de un solo uso : una señal que se utiliza solo una vez; por ejemplo, "Alpha" para "misión completada", "Bravo" para "misión fallida" o incluso "Torch" para " invasión aliada del norte de África francés " ^{[ 35 ]} no se puede "descifrar" en ningún sentido razonable de la palabra. Entender el mensaje requerirá información adicional, a menudo la "profundidad" de repetición o algún análisis de tráfico . Sin embargo, tales estrategias (aunque a menudo utilizadas por agentes reales y entrenadores de béisbol ) ^{[ 36 ]} no son una clave criptográfica de un solo uso en ningún sentido significativo.

Al menos hasta la década de 1970, la Agencia de Seguridad Nacional de EE. UU. (NSA) produjo una variedad de blocs de notas manuales de un solo uso, tanto de uso general como especializados, con 86 000 blocs producidos en el año fiscal 1972. Los blocs de uso especial se producían para lo que la NSA denominaba sistemas "pro forma", donde "la estructura básica, la forma o el formato de cada mensaje es idéntico o casi idéntico; el mismo tipo de información, mensaje tras mensaje, debe presentarse en el mismo orden, y solo ciertos valores, como los números, cambian con cada mensaje". Algunos ejemplos incluían mensajes de lanzamiento nuclear e informes de radiogoniometría (COMUS). ^{[ 37 ] : págs. 16-18}

Se fabricaron blocs de notas de uso general en varios formatos: una simple lista de letras aleatorias (DIANA) o solo números (CALYPSO), blocs diminutos para agentes encubiertos (MICKEY MOUSE) y blocs diseñados para codificar mensajes cortos con mayor rapidez, aunque a costa de una menor densidad. Un ejemplo, ORION, tenía 50 filas de alfabetos en texto plano en una cara y las letras correspondientes del texto cifrado aleatorio en la otra. Al colocar una hoja sobre un trozo de papel carbón con la cara carbón hacia arriba, se podía rodear una letra de cada fila en una cara y la letra correspondiente en la otra cara quedaba rodeada por el papel carbón. De esta forma, una hoja ORION podía codificar o decodificar rápidamente un mensaje de hasta 50 caracteres. La producción de blocs ORION requería imprimir ambas caras con una alineación exacta, un proceso difícil, por lo que la NSA cambió a otro formato de bloc, MEDEA, con 25 filas de alfabetos emparejados y caracteres aleatorios. ( Véase Commons:Category:NSA one-time pads para ver ilustraciones).

La NSA también construyó sistemas automatizados para el "cuartel general centralizado de la CIA y las unidades de Fuerzas Especiales para que pudieran procesar de manera eficiente los numerosos mensajes individuales de un solo uso enviados y recibidos por los usuarios de las libretas en el terreno". ^{[ 37 ] : págs. 21–26}

Durante la Segunda Guerra Mundial y hasta la década de 1950, Estados Unidos hizo un uso extensivo de sistemas de cinta de un solo uso. Además de proporcionar confidencialidad, los circuitos protegidos por cinta de un solo uso funcionaban continuamente, incluso cuando no había tráfico, protegiendo así contra el análisis de tráfico . En 1955, la NSA produjo unos 1.660.000 rollos de cinta de un solo uso. Cada rollo tenía 8 pulgadas de diámetro, contenía 100.000 caracteres, duraba 166 minutos y costaba 4,55 dólares producirlo. Para 1972, solo se habían producido 55.000 rollos, ya que las cintas de un solo uso fueron reemplazadas por máquinas de rotor como SIGTOT, y más tarde por dispositivos electrónicos basados ​​en registros de desplazamiento . ^{[ 37 ] : pp. 39–44} La NSA describe los sistemas de cinta de un solo uso como 5-UCO y SIGTOT como utilizados para el tráfico de inteligencia hasta la introducción del cifrado electrónico KW-26 en 1957. ^{[ 38 ]}

Si bien las claves de un solo uso proporcionan una confidencialidad perfecta si se generan y utilizan correctamente, pequeños errores pueden conducir a un criptoanálisis exitoso:

• En 1944-1945, el Servicio de Inteligencia de Señales del Ejército de los EE. UU. logró resolver un sistema de cifrado de un solo uso utilizado por el Ministerio de Asuntos Exteriores alemán para su tráfico de alto nivel, con nombre en clave GEE. ^{[ 39 ]} GEE era inseguro porque los cifrados no eran suficientemente aleatorios: la máquina utilizada para generarlos producía resultados predecibles.
• En 1945, Estados Unidos descubrió que los mensajes entre Canberra y Moscú se cifraban primero con un libro de códigos y luego con una clave de un solo uso. Sin embargo, la clave de un solo uso era la misma que Moscú utilizaba para los mensajes entre Washington D. C. y Moscú. Sumado al hecho de que algunos de los mensajes entre Canberra y Moscú incluían documentos conocidos del gobierno británico, esto permitió descifrar parte del código.
• Las libretas de un solo uso fueron empleadas por las agencias de espionaje soviéticas para comunicaciones secretas con agentes y sus controladores. Los análisis han demostrado que estas libretas fueron generadas por mecanógrafos que utilizaban máquinas de escribir reales. Este método no es verdaderamente aleatorio, ya que aumenta la probabilidad de que las libretas contengan ciertas secuencias de claves convenientes con mayor frecuencia. Esto resultó generalmente efectivo porque las libretas seguían siendo algo impredecibles, dado que los mecanógrafos no seguían reglas y diferentes mecanógrafos producían diferentes patrones de libretas. Sin copias del material de clave utilizado, solo algún defecto en el método de generación o la reutilización de claves ofrecía alguna esperanza de criptoanálisis. A partir de finales de la década de 1940, las agencias de inteligencia de EE. UU. y el Reino Unido lograron descifrar parte del tráfico de libretas de un solo uso soviéticas hacia Moscú durante la Segunda Guerra Mundial como resultado de errores cometidos en la generación y distribución del material de clave. Una hipótesis sugiere que el personal del Centro de Moscú se vio presionado por la presencia de tropas alemanas en las afueras de Moscú a finales de 1941 y principios de 1942, y que produjeron más de una copia del mismo material de clave durante ese período. Este esfuerzo, que duró décadas, finalmente recibió el nombre en clave VENONA (BRIDE había sido un nombre anterior); produjo una cantidad considerable de información. Aun así, solo un pequeño porcentaje de los mensajes interceptados se descifró total o parcialmente (unos pocos miles de entre varios cientos de miles). ^{[ 23 ]}