En palabras simples, ¿qué es la "puerta trasera" de Windows?.
Windows da al usuario, junto con varios otros, servicios para usar encriptación de datos (codificación, en cifras, de la información que
se almecena en el computador). Para ello, desarrolla modelos computacionales llamados Servicios Proveedores de Criptografía (CSP). Lo que hace esta puerta trasera es permitir a alguien distinto de
Microsoft, posiblemente la NSA, poner su propio CSP en Windows.
¿La NSA podría decodificar datos de los computadores que usan Windows?.
La segunda clave en Windows sólo permite a quienes la poseen -hasta ahora presumiblemente la NSA- cargar un servicio de criptografía en Windows. Es decir, controlar las funciones de encriptación de datos.Esto no les da acceso inmediato a todos los datos encriptados en el computador, pero sí hace que las máquinas sean más vulnerables a la penetración no autorizada en el sistema. La "puerta trasera" permite cargar un programa capaz de vulnerar la criptografía de Windows.
Quizás ni siquiera tenga que decodificar nada, basta con interceptar los datos antes de que sean encriptados.
¿Que lo hace pensar que esta "llave" es para la Agencia de Seguridad Nacional de Estados Unidos? ¿No podría ser un alcance de nombres?.
En criptografía, la sigla "NSA" sólo significa una cosa: National Security Agency . Si esa sigla apareciera en cualquier otro lugar de Windows, no habría nada de que sospechar, porque podría significar cualquier cosa. Sin embargo, NSA aparece justo dentro de su modelo para la encriptación de datos. Por eso la conexión es con la NSA y no
otra cosa.*
¿Por qué la NSA desearía tener acceso al programa Windows?.
Por muchos motivos, si se considera cómo funciona el espionaje industrial, por ejemplo. Aunque no existiera esta puerta trasera, de
igual forma se podría entrar a Windows, claro que ella permite hacerlo mucho más fácilmente. La existencia de esta segunda clave no implica
una falla total en Windows, pero sí un vacío en su sistema de seguridad.
Microsoft asegura que es sólo una clave de respaldo.
Podría serlo, pero eso no tiene sentido. Técnicamente no te sirve de nada tener una segunda clave, porque cuando la original se ve compormetida, no se puede revocar. Es decir, si la primera clave está afectada, lo estará todo el sistema aunque exista una clave de respaldo. Microsoft debería saber esto, porque en la compañía trabajan
muchos metamáticos y expertos en criptografía. Además, si efectivamente fuera una clave de respaldo, por qué tiene que llamarse
"NSA". Pudieron haber buscado otro nombre, como "Clave 2" o "Clave de Respaldo". Y no fue así, la clave que ellos aseguran es de respaldo se
llama claramente "NSAKEY".
¿La existencia de una "puerta trasera" para Windows puede afectar el resto de las aplicaciones del programa, como el correo electrónico
o el acceso a Internet?.
Depende de si el programa quiere o no usar criptografía. Lo más común es que el software realice por sí mismo la encriptación de datos. Pero también está la opción de que Windows la haga y esto sería un peligro. Ahora, no hay que olvidar que Windows tiene muchos "bichos" (pequeñas fallas que debilitan la seguridad del sistema) en los servicios que ofrece. Se han descubierto "bichos" en Internet
Explorer 4, en Internet Explorer 5 y en el programa Java. Este tipo de fallas es que el permitió, hace poco, la entrada de hackers a las casillas de correo que Microsoft ofrece a través de Hotmail.
¿Quiénes deberían estar preocupados?.
Quienes operan grandes centros de bases de datos que necesitan fuertes sistemas de seguridad. Como los bancos, las grandes empresas o las organizaciones gubernamentales.
¿Qué pasa con el usuario común?.
Microsoft tiene pésima reputación en el tema de seguridad y de programación de los distintos softwares que ofrece en Windows. Por ejemplo, las fallas en la aplicación Microsoft Outlook podrían hacer que un virus que llegó al computador a través de Internet afectara todas las otras aplicaciones. Esto no tiene nada que ver con la NSA, sino con una mala programación de los softwares por parte de
Microsoft. El usuario común debería estar preocupado de los virus computacionales que viajan por Internet. Ese tipo de cosas son las que pueden afectar su sistema y no el espionaje que podría star llevando a cabo la NSA.*
La NSA no permite la exportación de softwares con fuertes servicios de criptografía. ¿Piensa que a cambio de que le permitieran exportar Windows, Microsoft accedió a "debilitar" su sistema de seguridad a través de una clave para la agencia?.
Buena pregunta. La criptografía implica hablar en códigos. Un código débil es un sistema que puede ser fácilmente interpretado por otra persona. Por ejemplo, si comenzáramos a hablar en alemán y alguien nos está escuchando sería un código débil, porque bastaría con tomar un diccionario de alemán o contactar a alguien que hablara el idioma para
decodificar lo que decimos. En computación es lo mismo. Si el computador puede adivinar el código fácilmente, la criptografía es débil. Ahora, cuando la criptografía es fuerte, el computador más
rápido del planeta podría tardar miles de millones de años en descifrar el código. Por ello, la razón oficial que da el gobierno norteamericano para no permitir la exportación de programas que usan
criptogtrafía fuerte es para "el refuerzo de la ley"; es decir, para evitar que actividades ilegales -como el tráfico drogas, el lavado de
dinero, los planes de organizaciones criminales o terroristas- se realicen a través de comunicaciones encriptadas imposibles de descrifar.*
¿Y qué tuvo que hacer Microsoft para exportar su programa Windows?.
En Estados Unidos, para obtener el permiso de exportación hay que obtener la autorización del Departamento de Comercio. Sin embargo, este departamento no da el visto bueno a ningún software que no haya pasado previamente por la revisión técnica de la NSA.
¿Puede eliminarse la "puerta trasera"?
Técnicamente se puede, pero sería ilegal. Yo tengo algunos softwares capaces de hacerlo, pero no puedo vender programas que permitan modificar el diseño orginal que Microsoft dio a su producto Windows.
De hacerlo, atentaría contra el derecho de propiedad de la empresa.
Y entonces, ¿cuál es la solución?.
Microsoft tendría que revelar la función de esta segunda clave. Decir cuáles son las condiciones en que logró la licencia de exportación, hablar con los programadores que la pusieron allí y ver qué es lo que pasa. Hasta que eso no suceda, nadie sabrá con certeza qué sucede.
¿Cree que eso suceda?.
No tengo la menor idea. Microsoft nunca explica lo que hace.*
¿Cuáles serían las peores consecuencias de que no se hiciera nada
por remediar la existencia de esta "puerta trasera" a Windows?.
Tampoco lo sabemos. No se puede ignorar que estamos tratando con una
agencia que se dedica al espionaje. Además, pienso que Microsoft ni
siquiera está preocupada, porque la gente no tiene otra opción que
comprar Windows.
Pero están saliendo otros programas.
Sí, está el Linux, que es bueno para centrales de datos, pero no para trabajo de escritorio ni para el usuario común. Microsoft es un monopolio y si no da ninguna respuesta clara frente al tema, jamás
sabremos qué pasó.
¿En Cryptonym han descubierto casos como éste en el pasado?.
Cuando hacemos audiencias de seguridad, encontramos debilidades, cosas que podrían ser utilizadas como puertas traseras de un sistema. Pero también hemos encontrado muchas estupideces. Quizás Microsoft
esté diciendo la verdad y se trate de una clave de respaldo. Pero, de ser cierto, estarían reconociendo que fueron lo suficientemente estúpidos para hacerlo. Ahora, yo podría dar seis razones de por qué
es una clave para la NSA y otras seis de por qué no lo es. Sin embargo, nada de lo que ha dicho Microsoft me ha convencido de que no
lo sea.*
*Revista QuePasa 1484
Lunes 20 de setiembre 1999 *
*Mentiras arriesgadas y sobre los gobiernos que se dejan seducir por ellas
http://seguridad.internautas.org/articulo.php?sid=282
http://www.rebelion.org/cibercensura/040214fa.htm*
