Este verano una serie de filtraciones revelaron que la Agencia Nacional de Seguridad (NSA por sus siglas en inglés) usa novedosas interpretaciones de la ley estadounidense para recoger datos al por mayor de las principales empresas de Internet del mundo. Ahora, nuevos informes sobre las capacidades técnicas de la NSA sugieren que la agencia es capaz de leer la mayoría de las comunicaciones en línea sin tener que pasar por los proveedores de servicio siquiera.

El diario New York Times, citando documentos filtrados por el antiguo empleado de la NSA Edward Snowden, informa de que la NSA ha "saltado o resuelto gran parte de el encriptado" que se usa en línea. Esta capacidad podría ser muy potente en combinación con el acceso que se sabe que la agencia tiene al tráfico de los proveedores de servicio de Internet, y los principales cables internacionales de telecomunicaciones.

"Esto sugiere que ya no tienen que acudir a Google, por ejemplo; pueden desencriptar datos de AT&T o usar su propia infraestructura, por ejemplo los cables transoceánicos", afirma Dan Auerbach, tecnólogo de la Fundación Frontera Electrónica (EFF por sus siglas en inglés).

El uso que hace la NSA de sus capacidades de vigilancia está limitado por la ley estadounidense, que prohíbe la vigilancia de ciudadanos estadounidenses. Sin embargo, filtraciones hechas a principios de este verano revelaron que la agencia se había servido de interpretaciones legales anteriormente desconocidas para justificar la recogida de datos al por mayor de empresas de comunicaciones de Estados Unidos, para su análisis posterior (ver "La vigilancia al usuario en Estados Unidos refleja una interpretación más relajada de la ley"). Quienes se oponen a la técnica afirman que la recogida al por mayor de datos aumenta el riesgo del abuso de los poderes de vigilancia, ya sea de forma accidental o premeditada.

El informe de The New York Times, y uno del periódico The Guardian basado en los mismos documentos, omite muchos datos sobre las capacidades de la NSA, pero describe métodos que entran en dos categorías generales: esfuerzos dirigidos que se saltan el encriptado usado por una empresa en concreto, y métodos capaces de atacar los sistemas criptográficos subyacentes usados por muchas empresas.

En la primera categoría, se dice que la NSA mantiene una base de datos de claves de encriptación usadas por muchos proveedores para asegurar los datos, lo que permite que cualquier dato de esos servicios se desencripte fácilmente. Las claves se obtienen supuestamente mediante órdenes judiciales, gracias a la colaboración voluntaria de la empresa, o pirateando las empresas para conseguir sus claves. También parece posible que ataquen a empresas específicas, porque la NSA ha comprometido los chips de encriptado usados por algunos proveedores de servicio. Según el informe, consiguió comprometerlos descubriendo fallos de seguridad o incluso convenciendo a los fabricantes de los chips de que instalaran puertas traseras de acceso.

La potencia y el alcance de la segunda categoría de ataques, que buscan socavar algoritmos criptográficos, están menos claros. The New York Times afirma que la NSA ha logrado avances con técnicas que podrían hacer que resultara práctico revertir encriptados que se consideran seguros, en parte influyendo en el diseño de los estándares criptográficos para crear una puerta trasera secreta. Un objetivo principal de esos ataques sería sobre SSL, la tecnología usada para asegurar conexiones seguras a los servicios en línea de banca por ejemplo.

Los expertos en criptografía están luchando por digerir la noticia de que estándares que creían seguros pueden tener vulnerabilidades introducidas por la propia NSA. Sin embargo, sin tener detalles de la naturaleza y eficacia de estos ataques es poco probable que se abandone el estándar SSL.

Existen tecnologías que podrían permitir a las empresas limitar la capacidad de la NSA de sortear el encriptado al hacerse con su clave de encriptado para asegurar los daros. Una técnica denominada "secreto perfecto hacia adelante" (PFS por sus siglas en inglés) impediría a la agencia usar una clave de encriptado que se hubiera robado a una empresa o que se hubiera descubierto matemáticamente para desencriptar todas las comunicaciones pasadas y futuras. En vez de usar una y otra vez la misma clave, la PFS crea claves temporales que solo se usan para una sesión de comunicación segura concreta entre un usuario y un proveedor.

Google adoptó el método en 2011 y Auerbach afirma que "tiene entendido" que es el único de los grandes proveedores que lo está usando. La EFF lleva meses intentando convencer a otras empresas de Internet de que sigan el ejemplo, sin éxito.

Auerbach espera quelas noticias de la semana pasada obliguen a las empresas de Internet a dar mayor prioridad a la instalación del PFS. Muchas empresas ya han reexaminado sus practicas de seguridad y privacidad en vista de las revelaciones sobre la NSA, sostiene, y es poco probable que esa agencia sea la única intentando sortear el encriptado. "No hablamos solo del Gobierno de Estados Unidos, sino de otras organizaciones de inteligencia".

Joseph Lorenzo Hall, tecnólogo sénior del Centro para la Democracia y la Tecnología, una organización sin ánimo de lucro, afirma que las soluciones técnicas como el PFS podrían hacer que la NSA obligara a los proveedores de Internet a que instalaran una forma de sortearla. "Aunque inventaras una buena solución técnica podrías verte en una situación en la que recibieras órdenes de comprometerla", afirma. Al crear estas puertas traseras, explica, la NSA en realidad socavaría la seguridad nacional de los Estados pues estaría creando puertas de entrada que podrían aprovechar otros actores.