Triple DES

En criptografía , Triple DES ( 3DES o TDES ), oficialmente el Algoritmo de Cifrado de Datos Triple ( TDEA o Triple DEA ), es un cifrado de bloques de clave simétrica , que aplica el algoritmo de cifrado DES tres veces a cada bloque de datos. La clave de 56 bits del Estándar de Cifrado de Datos (DES) ya no se considera adecuada frente a las técnicas criptoanalíticas modernas y la potencia de supercomputación; Triple DES aumenta la seguridad efectiva a 112 bits. Un CVE publicado en 2016, CVE-2016-2183 , reveló una vulnerabilidad de seguridad importante en los algoritmos de cifrado DES y 3DES. Este CVE, combinado con el tamaño de clave inadecuado de 3DES, llevó a NIST a desaprobar 3DES en 2019 y a prohibir todos los usos (excepto el procesamiento de datos ya cifrados) para finales de 2023. ^{[ 1 ]} Ha sido reemplazado por el más seguro y más robusto AES . 

Si bien los estándares del gobierno y la industria de EE. UU. abrevian el nombre del algoritmo como TDES (Triple DES) y TDEA (Triple Data Encryption Algorithm), ^{[ 2 ]} el RFC 1851 se refirió a él como 3DES desde el momento en que promulgó la idea por primera vez, y este nombre se ha generalizado desde entonces entre la mayoría de los proveedores, usuarios y criptógrafos. ^{[ 3 ] [ 4 ] [ 5 ]}

En 1978, Walter Tuchman propuso un método de cifrado triple que utilizaba DES con dos claves de 56 bits ; en 1981, Merkle y Hellman propusieron una versión de triple clave más segura de 3DES con 112  bits de seguridad. ^{[ 6 ]}

El algoritmo de cifrado de datos triple se define de diversas maneras en varios documentos de estándares:

• RFC 1851, La transformación ESP Triple DES ^{[ 7 ]} (aprobada en 1995)
• ANSI ANS X9.52-1998 Modos de operación del algoritmo de cifrado de datos triple ^{[ 8 ]} (aprobado en 1998, retirado en 2008 ^{[ 9 ]} )
• Estándar de cifrado de datos (DES) FIPS PUB 46-3 ^{[ 10 ]} (aprobado en 1999, retirado en 2005 ^{[ 11 ]} )
• Recomendación de la publicación especial 800-67 Revisión 2 del NIST para el cifrado de bloques del algoritmo de cifrado de datos triple (TDEA) ^{[ 12 ]} (aprobada en 2017, retirada en 2024 ^{[ 13 ]} )
• ISO / IEC 18033-3:2010: Parte 3: Cifrados de bloques ^{[ 14 ]} (aprobado en 2005)

El tamaño de clave de 56 bits del cifrado DES original  se consideró generalmente suficiente en el momento de su diseño, pero la creciente capacidad de procesamiento hizo posibles los ataques de fuerza bruta . Triple DES proporciona un método relativamente sencillo para aumentar el tamaño de clave de DES y protegerse contra dichos ataques, sin necesidad de diseñar un algoritmo de cifrado por bloques completamente nuevo.

Un enfoque ingenuo para aumentar la seguridad de un algoritmo de cifrado por bloques con una longitud de clave corta (como DES) sería utilizar dos claves.${\displaystyle (K1,K2)}$en lugar de uno, y cifrar cada bloque dos veces:${\displaystyle E_{K2}(E_{K1}({\textrm {texto plano}}))}$. Si la longitud de clave original es${\displaystyle n}$bits, uno esperaría que este esquema proporcionara una seguridad equivalente a la de usar una clave${\displaystyle 2n}$bits de longitud. Desafortunadamente, este enfoque es vulnerable al ataque de encuentro en el medio : dado un par de texto plano conocido${\displaystyle (x,y)}$, de tal manera que${\ Displaystyle y = E_ {K2} (E_ {K1} (x))}$, se puede recuperar el par de claves${\displaystyle (K1,K2)}$en${\displaystyle 2^{n+1}}$pasos, en lugar de la${\displaystyle 2^{2n}}$pasos que cabría esperar de un algoritmo idealmente seguro con${\displaystyle 2n}$piezas de llave.

Por lo tanto, Triple DES utiliza un "paquete de claves" que comprende tres claves DES ,${\displaystyle K1}$,${\displaystyle K2}$y${\displaystyle K3}$, cada uno de 56  bits (excluyendo los bits de paridad ). El algoritmo de cifrado es:

${\displaystyle {\textrm {texto cifrado}}=E_{K3}(D_{K2}(E_{K1}({\textrm {texto plano}}))).}$

Es decir, cifrar con${\displaystyle K1}$, descifrar con${\displaystyle K2}$, luego cifrar con${\displaystyle K3}$.

El descifrado es el proceso inverso:

${\displaystyle {\textrm {texto plano}}=D_{K1}(E_{K2}(D_{K3}({\textrm {texto cifrado}}))).}$

Es decir, descifrar con${\displaystyle K3}$, cifrar con${\displaystyle K2}$, luego descifrar con${\displaystyle K1}$.

Cada triple encriptación cifra un bloque de 64  bits de datos.

En cada caso, la operación intermedia es la inversa de la primera y la última. Esto mejora la robustez del algoritmo al usar la opción de clave 2 y proporciona compatibilidad con versiones anteriores de DES con la opción de clave 3.

Las normas definen tres opciones de clave:

Opción de introducción de datos 1

Las tres claves son independientes. A veces se las conoce como 3TDEA ^{[ 16 ]} o claves de triple longitud. ^{[ 17 ]}

Esta es la más segura, con 3 × 56 = 168 bits de clave independientes. Aún es vulnerable al ataque de encuentro en el medio , pero este requiere 2 ^{× 56} pasos.

Opción de introducción de datos 2

K ₁ y K ₂ son independientes, y K ₃ = K _1. A veces se les conoce como 2TDEA ^{[ 16 ]} o claves de doble longitud. ^{[ 17 ]}

Esto proporciona una longitud de clave más corta de 56 × 2 o 112  bits y un compromiso razonable entre DES y la opción de clave 1, con la misma salvedad que la anterior. ^{[ 18 ]} Esto es una mejora con respecto al "doble DES", que solo requiere 2 ⁵⁶ pasos para ser atacado. El NIST prohibió esta opción en 2015. ^{[ 16 ]}

Opción de introducción de datos 3

Las tres claves son idénticas, es decir, K ₁ = K ₂ = K ₃ .

Esto es compatible con versiones anteriores de DES, ya que dos de las operaciones se cancelan. ISO/IEC 18033-3 nunca permitió esta opción, y NIST ya no permite K ¹ ₌ K ₂ o K ₂ = K _3. ^{[ 16 ] [ 12} ]

Cada clave DES es de 8 bytes de paridad impar , con 56  bits de clave y 8  bits de detección de errores. ^{[ 8 ]} Un paquete de claves requiere 24  bytes para la opción 1, 16 para la opción 2 u 8 para la opción 3.

El NIST (y la versión 2.0 de las especificaciones TCG actuales de los algoritmos aprobados para el Módulo de Plataforma Segura ) también prohíbe el uso de cualquiera de los 64 valores de 64 bits siguientes en cualquier clave (tenga en cuenta que 32 de ellos son el complemento binario de los otros 32; y que 32 de estas claves son también la permutación inversa de bytes de las otras 32), que se enumeran aquí en hexadecimal (en cada byte, el bit menos significativo es un bit generado de paridad impar, que se descarta al formar la clave efectiva de 56 bits):

01.01.01.01.01.01.01.01, FE.FE.FE.FE.FE.FE.FE.FE, E0.FE.FE.E0.F1.FE.FE.F1, 1F.01.01.1F.0E.01.01.0E, 01.01.FE.FE.01.01.FE.FE, FE.FE.01.01.FE.FE.01.01, E0.FE.01.1F.F1.FE.01.0E, 1F.01.FE.E0.0E.01.FE.F1, 01.01.E0.E0.01.01.F1.F1, FE.FE.1F.1F.FE.FE.0E.0E, E0.FE.1F.01.F1.FE.0E.01, 1F.01.E0.FE.0E.01.F1.FE, 01.01.1F.1F.01.01.0E.0E, FE.FE.E0.E0.FE.FE.F1.F1, E0.FE.E0.FE.F1.FE.F1.FE, 1F.01.1F.01.0E.01.0E.01, 01.FE.01.FE.01.FE.01.FE, FE.01.FE.01.FE.01.FE.01, E0.01.FE.1F.F1.01.FE.0E, 1F.FE.01.E0.0E.FE.01.F1, 01.FE.FE.01.01.FE.FE.01, FE.01.01.FE.FE.01.01.FE, E0.01.01.E0.F1.01.01.F1, 1F.FE.FE.1F.0E.FE.FE.0E, 01.FE.E0.1F.01.FE.F1.0E, FE.01.1F.E0.FE.01.0E.F1, E0.01.1F.FE.F1.01.0E.FE, 1F.FE.E0.01.0E.FE.F1.01, 01.FE.1F.E0.01.FE.0E.F1, FE.01.E0.1F.FE.01.F1.0E, E0.01.E0.01.F1.01.F1.01, 1F.FE.1F.FE.0E.FE.0E.FE, 01.E0.01.E0.01.F1.01.F1, FE.1F.FE.1F.FE.0E.FE.0E, E0.1F.FE.01.F1.0E.FE.01, 1F.E0.01.FE.0E.F1.01.FE, 01.E0.FE.1F.01.F1.FE.0E, FE.1F.01.E0.FE.0E.01.F1, E0.1F.01.FE.F1.0E.01.FE, 1F.E0.FE.01.0E.F1.FE.01, 01.E0.E0.01.01.F1.F1.01, FE.1F.1F.FE.FE.0E.0E.FE, E0.1F.1F.E0.F1.0E.0E.F1, 1F.E0.E0.1F.0E.F1.F1.0E, 01.E0.1F.FE.01.F1.0E.FE, FE.1F.E0.01.FE.0E.F1.01, E0.1F.E0.1F.F1.0E.F1.0E, 1F.E0.1F.E0.0E.F1.0E.F1, 01.1F.01.1F.01.0E.01.0E, FE.E0.FE.E0.FE.F1.FE.F1, E0.E0.FE.FE.F1.F1.FE.FE, 1F.1F.01.01.0E.0E.01.01, 01.1F.FE.E0.01.0E.FE.F1, FE.E0.01.1F.FE.F1.01.0E, E0.E0.01.01.F1.F1.01.01, 1F.1F.FE.FE.0E.0E.FE.FE, 01.1F.E0.FE.01.0E.F1.FE, FE.E0.1F.01.FE.F1.0E.01, E0.E0.1F.1F.F1.F1.0E.0E, 1F.1F.E0.E0.0E.0E.F1.F1, 01.1F.1F.01.01.0E.0E.01, FE.E0.E0.FE.FE.F1.F1.FE, E0.E0.E0.E0.F1.F1.F1.F1, 1F.1F.1F.1F.0E.0E.0E.0E

Con estas restricciones en las claves permitidas, Triple DES fue aprobado nuevamente con las opciones de clave 1 y 2 únicamente. Generalmente, las tres claves se generan tomando 24  bytes de un generador de números aleatorios robusto, y solo debe usarse la opción de clave 1 (la opción 2 solo necesita 16 bytes aleatorios, pero los generadores de números aleatorios robustos son difíciles de verificar y se considera una buena práctica usar solo la opción 1).

Como ocurre con todos los cifrados de bloques, el cifrado y descifrado de múltiples bloques de datos puede realizarse utilizando diversos modos de operación , que generalmente pueden definirse independientemente del algoritmo de cifrado de bloques. Sin embargo, ANS X9.52 especifica directamente, y NIST SP 800-67 especifica a través de SP 800-38A, ^{[ 19 ]} que algunos modos solo deben utilizarse con ciertas restricciones que no necesariamente se aplican a las especificaciones generales de dichos modos. Por ejemplo, ANS X9.52 especifica que para el encadenamiento de bloques de cifrado , el vector de inicialización debe ser diferente cada vez, mientras que ISO/IEC 10116 ^{[ 20 ]} no lo hace. FIPS PUB 46-3 e ISO/IEC 18033-3 definen únicamente el algoritmo de un solo bloque y no imponen ninguna restricción a los modos de operación para múltiples bloques.

En general, Triple DES con tres claves independientes ( opción de clave  1) tiene una longitud de clave de 168  bits (tres claves DES de 56 bits), pero debido al ataque de encuentro en el medio , la seguridad efectiva que proporciona es de solo 112  bits. ^{[ 16 ]} La opción de clave  2 reduce el tamaño efectivo de la clave a 112  bits (porque la tercera clave es la misma que la primera). Sin embargo, esta opción es susceptible a ciertos ataques de texto plano elegido o texto plano conocido , ^{[ 6 ] [ 21 ]} y por lo tanto, NIST la designa con solo 80 bits de seguridad . ^{[ 16 ]} Esto puede considerarse inseguro; como consecuencia, NIST anunció la descontinuación planificada de Triple DES en 2017. ^{[ 22 ]} 

El tamaño de bloque corto de 64  bits hace que 3DES sea vulnerable a ataques de colisión de bloques si se utiliza para cifrar grandes cantidades de datos con la misma clave. El ataque Sweet32 muestra cómo se puede explotar esto en TLS y OpenVPN. ^{[ 23 ]} Se requiere un ataque Sweet32 práctico en conjuntos de cifrado basados ​​en 3DES en TLS${\displaystyle 2^{36.6}}$bloques (785  GB) para un ataque completo, pero los investigadores tuvieron suerte de obtener una colisión justo después de aproximadamente${\displaystyle 2^{20}}$bloques, que solo tardaron 25  minutos.

La seguridad de TDEA se ve afectada por el número de bloques procesados ​​con un paquete de claves. Un paquete de claves no debe usarse para aplicar protección criptográfica (por ejemplo, cifrar) más de${\displaystyle 2^{20}}$Bloques de datos de 64 bits.

OpenSSL no incluye 3DES por defecto desde la versión 1.1.0 (agosto de 2016) y lo considera un "cifrado débil". ^{[ 24 ]}

A partir de 2008, la industria de pagos electrónicos utiliza Triple DES y continúa desarrollando y promulgando estándares basados ​​en él, como EMV . ^{[ 25 ]}

Las versiones anteriores de Microsoft OneNote , ^{[ 26 ]} Microsoft Outlook 2007 ^{[ 27 ]} y Microsoft System Center Configuration Manager 2012 ^{[ 28 ]} utilizan Triple DES para proteger con contraseña el contenido del usuario y los datos del sistema. Sin embargo, en diciembre de 2018, Microsoft anunció la retirada de 3DES en todo su servicio Office 365. ^{[ 29 ]}

En 2025, a partir de la versión 144, Firefox abandonó 3DES-CBC para cifrar las credenciales en el ordenador del usuario y cambió a AES-256-CBC. ^{[ 30 ]}

A continuación se muestra una lista de bibliotecas de criptografía que admiten Triple DES:

• Botánica
• Castillo hinchable
• cryptlib
• Cripto++
• Libgcrypt
• Ortiga
• NSS
• OpenSSL
• loboSSL
• Módulo de plataforma segura (TPM)

Es posible que algunas de las implementaciones mencionadas anteriormente no incluyan 3DES en la compilación predeterminada, en versiones posteriores o más recientes, pero aún así pueden admitir el descifrado para poder manejar los datos existentes.

• DES-X
• Estándar de cifrado avanzado (AES)
• Cifrado de Feistel
• Walter Tuchman