Todo lo que necesita saber sobre el cifrado

En su forma más básica, el cifrado es un proceso de ocultación de datos para impedir que otras personas diferentes al destinatario previsto puedan leerlos. Más concretamente, se trata del uso de modelos matemáticos denominados algoritmos de cifrado para codificar la información de forma que solo pueda decodificarse con una clave determinada, un proceso inverso conocido como descifrado.

El cifrado puede ser muy sencillo o muy complejo según la aplicación. Por ejemplo, una empresa que procese datos confidenciales (como información financiera) necesitará un algoritmo sólido y fiable para cifrarlos. Los casos de uso de menor riesgo no necesitan tanta seguridad, por lo que una técnica de cifrado más básica puede ser suficiente.

¿Cuál es la diferencia entre cifrado y criptografía?

El cifrado está estrechamente relacionado con la criptografía, pero no son lo mismo.

En líneas generales, la criptografía es la ciencia de proteger las comunicaciones mediante código. Es un término genérico que engloba una larga lista de técnicas criptográficas, entre las que se encuentra el cifrado de datos. En resumen, el cifrado es una aplicación específica de la criptografía que consiste en codificar información por medio de algoritmos.

¿Por qué es importante el cifrado?

El cifrado es uno de los elementos más importantes de la seguridad de datos moderna. Dado que los delincuentes atacan la información confidencial a un ritmo acelerado, las organizaciones utilizan diversos métodos de cifrado para mantener los activos bajo llave.

Es especialmente importante que las empresas cifren los datos confidenciales ahora que se gestionan, almacenan y transfieren enormes cantidades de ellos en línea y en la nube. Antes, la protección de datos era un poco más fácil cuando las empresas almacenaban la mayoría de sus activos de manera local.

Sin embargo, ahora la mayoría de los procesos empresariales se realizan en entornos digitales. Como resultado, muchos datos financieros, médicos y personales corren el riesgo de acceso no autorizado y exposición si no se protegen de forma adecuada.

El cifrado es una medida de protección vital si su organización sufre una filtración de datos. No solo mantiene la privacidad de la información confidencial, sino que también puede autenticar su origen, validar su integridad y garantizar el no repudio. En otras palabras, los métodos de cifrado le permiten garantizar que no se manipulen, dañen ni cuestionen los datos esenciales de ninguna manera.

Además de la seguridad de la información, este proceso también es importante desde una perspectiva de cumplimiento. Las organizaciones están sujetas a estrictas leyes de seguridad de datos, que difieren según el lugar donde operen. Por ejemplo, las agencias gubernamentales de EE. UU. deben respetar las Normas Federales de Procesamiento de la Información (Federal Information Processing Standards, FIPS). Por ley, las agencias y los contratistas deben implementar la criptografía.

Otro ejemplo es el Reglamento General de Protección de Datos (RGPD) de Europa. De conformidad con el RGPD, se imponen sanciones severas a las empresas que no protejan los datos personales; es por eso que la mayoría de las organizaciones que procesan información de ciudadanos de la UE se toman muy en serio el cifrado y el descifrado.

Casos de uso de cifrado

Hay muchas formas de utilizar el cifrado de datos en beneficio de su empresa, ya sea para la seguridad de la información, el cumplimiento de normativas o como ventaja competitiva. Examinemos tres casos de uso comunes:

1. Cifrado de datos: La transformación digital implica el uso de datos; y con los datos, llegan los criminales que intentan robarlos. Con el cifrado de datos se protege la información almacenada en sistemas informáticos o transmitida a través de Internet y se previene el acceso de personas que no sean el destinatario previsto.
2. Cifrado en la nube: A medida que más empresas abandonan las tecnologías locales, el cifrado en la nube les permite acceder a los recursos con confianza. Los proveedores de almacenamiento en la nube cifran la información antes de almacenarla, lo que garantiza que no pueda leerse en caso de una filtración de datos. En particular, los métodos de cifrado consumen más ancho de banda, por lo que los proveedores de almacenamiento en la nube suelen ofrecer solo técnicas básicas.
3. Navegación por Internet: Secure Sockets Layer (SSL) y Transport Layer Security (TLS) son protocolos utilizados para cifrar las conexiones a Internet. Utilizan activos criptográficos denominados "certificados digitales" para confirmar la autenticidad de un sitio web, navegador u otra entidad, lo que permite compartir de forma segura datos confidenciales durante una sesión.

En general, el cifrado funciona utilizando un algoritmo para convertir un texto simple (datos legibles por el ser humano) en texto cifrado (un mensaje encriptado). El mensaje solo puede descifrarse mediante una contraseña o conjunto de números conocido como clave de cifrado. Los algoritmos actuales avanzados garantizan que cada clave de cifrado sea aleatoria y única, por lo que es casi imposible que alguien pueda adivinarla correctamente.

De hecho, la criptografía ha recorrido un largo camino desde sus inicios. Tomemos como ejemplo el “cifrado César”. Llamado así por el famoso emperador romano Julio César, que utilizaba esta técnica de cifrado en su correspondencia privada, el cifrado César consistía en sustituir una letra por otra en el alfabeto, codificando así el mensaje.

Las técnicas modernas son mucho más avanzadas e incorporan miles de caracteres generados por computadora para representar la clave de descifrado. Dicho esto, aún podemos agrupar todos los algoritmos en dos tipos distintos: cifrado simétrico y asimétrico.

Cifrado simétrico

El cifrado simétrico utiliza la misma clave criptográfica para el cifrado y descifrado. Esto significa que la entidad que envía el mensaje cifrado debe compartir la clave secreta con todas las partes autorizadas, para que puedan acceder a la información. El cifrado simétrico se suele utilizar para almacenar datos en reposo (es decir, datos que no se utilizan activamente ni se trasladan de un lugar a otro).

Por esto, son más fáciles de implementar. Sin embargo, estos cifrados requieren un método paralelo y seguro para enviar la clave de descifrado al destinatario. A su vez, su aplicación puede resultar engorrosa.

Cifrado asimétrico

El cifrado asimétrico utiliza un sistema llamado “infraestructura de clave pública”. En lugar de una única clave compartida, esta técnica requiere dos activos criptográficos separados para el cifrado y el descifrado: la “clave pública” y la “clave privada”.

Aunque son distintas, ambas claves están relacionadas matemáticamente. Normalmente, la clave pública se comparte con todas las partes y la clave privada es secreta, excepto para la entidad que recibe el mensaje cifrado. A pesar de requerir más recursos, el cifrado asimétrico se considera una técnica más segura y de alta fiabilidad. Sin embargo, en el panorama general de la seguridad de los datos, la mayoría de las organizaciones aprovechan ambas técnicas para diseñar una estrategia de cifrado más completa.

¿Qué es el hashing?

Las funciones hash transforman entradas de longitud variable y devuelven salidas de longitud fija. Es decir, el hashing es un proceso de conversión de una clave o cadena de caracteres en un "valor hash" aleatorio, lo que dificulta su descifrado.

A diferencia del cifrado, el hashing es un proceso unidireccional que no se puede revertir fácilmente. Las empresas pueden aplicar algoritmos hash a los datos, a fin de garantizar que la información siga siendo privada incluso después de una filtración de datos.

El cifrado y el hashing son procesos relacionados, aunque diferentes. Mientras que el primero protege la privacidad de pequeñas cantidades de datos en tránsito, el segundo mantiene la integridad de grandes cantidades de datos almacenados.

Un algoritmo de cifrado es un conjunto matemático de reglas utilizado para transformar el texto simple en texto cifrado. El algoritmo utiliza claves de cifrado para modificar los datos de forma que parezcan aleatorios, pero puedan decodificarse mediante la clave de descifrado.

En particular, no hay dos algoritmos exactamente iguales. A lo largo de los años, surgieron muchos tipos, cada uno con un enfoque criptográfico diferente. Algunos de los algoritmos más comunes y esenciales son los siguientes:

• Estándar de cifrado de datos (DES): Desarrollado en la década del 70, el DES ha quedado obsoleto hace mucho tiempo con la llegada de la informática moderna. Piense lo siguiente: Los ingenieros tardaron 22 horas en descifrar el cifrado DES en 1999. ¿Ahora? Con los recursos actuales, se tardan solo unos minutos.
• Estándar de cifrado triple de datos (3DES): Como su nombre lo indica, 3DES ejecuta el cifrado DES tres veces. Lo cifra, lo descifra y lo vuelve a cifrar. Aunque es una alternativa más potente que el protocolo de cifrado original, desde entonces se ha considerado demasiado débil para los datos confidenciales.
• Estándar de cifrado avanzado (AES): El cifrado AES ha sido el tipo de cifrado más común desde su creación en 2001. Conocido por su combinación de velocidad y seguridad, emplea una técnica de sustitución que genera claves de 128, 192 o 256 bits de longitud.
• Rivest-Shamir-Adleman (RSA): Este sistema asimétrico debe su nombre a los tres científicos que lo crearon en 1977. Todavía se utiliza mucho hoy en día y es particularmente útil para cifrar información en Internet con una clave pública o privada.
• Criptografía de curva elíptica (ECC): Como forma avanzada de cifrado asimétrico, la ECC se basa en detectar un logaritmo distinto dentro de una curva elíptica aleatoria. Cuanto mayor sea la curva, mayor será la seguridad, ya que esto significa que las claves son más difíciles de descifrar matemáticamente. Por este motivo, la criptografía de curva elíptica se considera más segura que el RSA.
• Criptografía de última generación: El Instituto Nacional de Estándares y Tecnología preseleccionó varios algoritmos prometedores, como CRYSTALS-KYBER y CRYSTALS-Dilithium. Métodos nuevos y más sofisticados como estos están diseñados para ayudar a las organizaciones a combatir los desafíos de ciberseguridad del futuro próximo y lejano.

Está claro que hay muchas opciones de cifrado de datos. Sin embargo, no existe una solución universal. Se deben tener en cuenta varios factores en función de las necesidades de seguridad de datos. Por ejemplo, el nivel de fiabilidad requerido, las normas de rendimiento y eficiencia, la compatibilidad, etc.

Un buen primer paso es comprender en qué medida los datos son realmente confidenciales. Pregúntese lo siguiente: ¿En qué medida sería devastador que se accediera a esta información o se expusiera a una filtración de datos? De este modo, podrá identificar qué tipo de cifrado se adapta mejor a su caso de uso específico.

Está claro que el cifrado es esencial para la ciberseguridad moderna. Sea como sea, implementarlo y gestionarlo en más sencillo en la teoría que en la práctica.

Existen varios desafíos actuales y emergentes que tendrá que mitigar mediante el cifrado en toda su organización. Analicemos cada uno en detalle:

1. Gestión de claves

La gestión de claves es la práctica de supervisar las claves criptográficas a lo largo de su ciclo de vida (por ejemplo, emisión, renovación, revocación, etc.). Es un aspecto fundamental de toda implementación de cifrado exitosa, ya que poner en riesgo una clave criptográfica podría provocar el colapso de toda la infraestructura de seguridad.

Considere lo siguiente: Si un hacker obtiene sus claves, pocas cosas le impedirán robar y descifrar información confidencial o autenticarse como usuario con privilegios. Por esta razón, la gestión de claves se basa en gran medida en aplicar normas para la creación, el intercambio, el almacenamiento y la eliminación de claves.

Desafortunadamente, administrar el esquema criptográfico no es sencillo, en especial, si utiliza un proceso manual. Por eso, muchas organizaciones implantan sistemas de gestión de claves que pueden automatizar y simplificar el flujo de trabajo a escala. Con la solución adecuada, puede evitar los desafíos habituales del ciclo de vida, entre ellos:

• Claves reutilizadas de forma inadecuada
• Falta de rotación de las claves
• Almacenamiento de claves inadecuado
• Protección inadecuada
• Movimiento de claves vulnerable

2. Ciberataques

Los hackers informáticos suelen centrar sus estrategias de ataque en la adquisición de claves criptográficas. Si no pueden hacerlo, no se quedan de brazos cruzados; hacen todo lo posible para lograrlo de alguna manera.

Esto se conoce como “ataque de fuerza bruta”. En términos sencillos, los delincuentes intentan en reiteradas ocasiones descifrar contraseñas, credenciales y claves de cifrado para obtener por la fuerza un acceso no autorizado. Repasan todas las combinaciones posibles con la esperanza de acertar.

Aunque este método de hackeo no es muy eficaz, sigue siendo un factor de riesgo considerable. Cuanto más sofisticado sea el algoritmo de cifrado, habrá menos probabilidades de que un hacker tenga éxito. Afortunadamente, las claves modernas suelen ser lo suficientemente largas como para que los ataques de fuerza bruta sean inútiles o, incluso, imposibles.

Otra ciberamenaza notable es el ransomware. Aunque el cifrado normalmente se utiliza como estrategia de protección de datos, los ciberdelincuentes suelen usarlo con sus objetivos. Tras conseguir sus datos, los encriptan para que no pueda volver a acceder a ellos. A continuación, exigen el pago de un elevado rescate a cambio de la devolución de la información.

3. Computación cuántica

En la informática cuántica, se aplican las leyes de la física cuántica para el procesamiento informático. Esto hace que una computadora cuántica sea mucho más potente que una convencional. Aunque aún está en fase de desarrollo, esta tecnología pronto ofrecerá enormes beneficios para los diferentes sectores, como la sanidad, las finanzas, entre otros.

En 2019, Google publicó un artículo de investigación innovador. El estudio anunció que, por primera vez, una computadora cuántica resolvió un problema matemático más rápido que la supercomputadora más veloz del mundo.

Mejor aún, lo hizo en apenas 22 segundos. A modo de comparación, un equipo clásico tardaría más de 10 000 años en resolver el mismo problema.

¿Por qué es importante? Porque marcó un hito significativo en el desarrollo de la informática cuántica relevante a nivel criptográfico. Dicho de otro modo, pronto llegará el día en que una computadora cuántica viable sea capaz de romper incluso los algoritmos de cifrado asimétrico más sofisticados de la actualidad.

Aunque ese día aún no llegó, los expertos prevén que no tardará en llegar. McKinsey predice que en 2030 habrá más de 5000 computadoras cuánticas en funcionamiento para 2030. Cuando esto ocurra, será solo cuestión de tiempo que se utilicen para hacer daño.

Es por eso que empresas como Entrust son líderes en cuestiones de criptografía poscuántica (PQC). Nuestro objetivo es ayudar a las organizaciones a implementar sistemas criptográficos de resistencia cuántica que protejan su información de posibles amenazas cuánticas. Si se adelanta a los acontecimientos, podrá mitigar de forma eficaz los riesgos actuales y futuros.

¿Le preocupa llevar a cabo una implementación de cifrado exitosa? No se preocupe. Estamos aquí para ayudar. Estas son algunas de las prácticas recomendadas que debe tener en cuenta a la hora de sacar provecho a los sistemas criptográficos:

1. Cifre todo tipo de datos confidenciales. Parece obvio, pero con demasiada frecuencia las empresas solo cifran los datos que están a la vista y pueden encontrarse con más facilidad. En su lugar, adopte un enfoque criptográfico integral y asegúrese de que toda la información esencial está protegida.
2. Evalúe el rendimiento. En primer lugar, asegúrese de que el algoritmo protege los datos de forma adecuada. A continuación, evalúe el rendimiento para ver si está utilizando demasiada potencia de cálculo o memoria. Esto es importante, ya que no querrá sobrecargar los recursos del sistema. Además, a medida que aumentan los volúmenes de datos, es fundamental que la técnica de cifrado elegida pueda adaptarse en consecuencia.
3. Desarrolle estrategias para los datos en reposo y en movimiento. Esto suele hacerse cuando la información es más vulnerable. Cifrar los datos en reposo protege los activos almacenados en dispositivos físicos, mientras que proteger la transmisión de datos mitiga el riesgo de interceptación y exposición.
4. Tenga en cuenta las normativas y las leyes del sector. Hay diversos requisitos que se superponen en materia de seguridad y privacidad de los datos. Se recomienda comprender las obligaciones específicas de la empresa para implementar y gestionar de forma correcta las soluciones adecuadas.
5. Proteja siempre sus claves. Las claves criptográficas sustentan la seguridad de toda la estrategia de cifrado. Protéjalas en un entorno reforzado, como un módulo de seguridad de hardware (HSM).
6. Migre a la criptografía poscuántica. La mejor forma de hacerlo es priorizar los activos de mayor valor al hacer un inventario de sus claves criptográficas. Luego, de acuerdo con las prácticas recomendadas, compruebe la preparación cuántica de su sistema. Por último, tras evaluar sus capacidades, planifique con antelación el cumplimiento de las normas PQC a lo largo del tiempo.

Comenzar el proceso de cifrado puede ser desalentador. Sin embargo, en Entrust, estamos aquí para ayudarlo a ir en la dirección correcta. ¿Cómo? Con la cartera de productos y soluciones criptográficas más amplia del sector.

Por ejemplo, el cifrado SSL. Ofrecemos servicios de Secure Sockets Layer y Transport Layer Security para gestionar claves de cifrado y certificados a escala. Nuestras soluciones de alta fiabilidad protegen los datos de su empresa y de sus clientes sin afectar la velocidad y la eficacia.

Mejor aún, los módulos de seguridad de hardware nShield de Entrust son la raíz de confianza ideal para todo su sistema criptográfico. Los HSM son dispositivos reforzados y a prueba de manipulaciones que le permiten generar, gestionar y almacenar de forma segura claves de cifrado y firma para una gestión completa del ciclo de vida.

Resultado final: El cifrado es un componente fundamental de toda estrategia de seguridad de datos eficaz. Con Entrust, puede simplificar el esfuerzo y proteger su empresa de todo tipo de amenazas.