A la vista de este informe, parece como si la balanza entre la necesidad de impulsar el comercio electrónico por un lado, y las necesidades de sus fuerzas policiales por otro (por no hablar de las necesidades norteamericanas) por otro, se estuviese inclinando en favor de las primeras. Esto no significa que el Reino Unido se haya convertido de un plumazo en un ciberparaíso. La nueva legislación, aún en fase de borrador y de debate, impondrá la obligación por parte de los particulares de someterse a algunas restricciones, como la de entregar sus claves si así lo exigiesen las autoridades en el transcurso de una investigación; negarse a tal petición podría considerarse como obstrucción a la justicia y tenerse en cuenta como agravante. Esta exigencia "dame tu clave o vas a la cárcel" está siendo vigorosamente criticada y combatida en el Reino Unido, pero en cualquier caso queda muy lejos del acceso instantáneo y universal a claves que permitiría un sistema de depósito de claves.

Nota adicional: durante la confección de este informe me llegan noticias de que el gobierno británico acaba de enviar (18 Noviembre 1999) al Parlamento, para su aprobación, la nueva Ley sobre Comunicaciones Electrónicas (Electronic Communications Bill). En ella se prohíbe expresamente la imposición de sistemas gubernamentales sobre depósitos de claves (Artículo 13).


Estados Unidos: el poder del gran curioso

La historia completa, incluso resumida, de los intentos que el gobierno norteamericano ha llevado a cabo en la última década para imponer sistemas de depósito de claves, sería por sí sóla suficiente para llenar varios informes hasta los topes. Y se debería englobar en la historia, aún más extensa, de los esfuerzos realizados para mantener a sus servicios de inteligencia y de policía (FBI y NSA, fundamentalmente) en condiciones de interceptar y espiar todo tipo de comunicaciones. Fruto de esta historia, que todavía no ha acabado, son el sistema Echelon y la iniciativa Enfopol, las restricciones a la exportación de productos criptográficos (restricciones ITAR), los intentos por imponer estándares de interceptación y muchos otros. Por supuesto, no daríamos abasto, aunque quien quiera escribir un libro tiene material más que de sobra. Así que, a la espera de que este chapucero encuente por ahí un año libre de todo tipo de distracciones mundanas (como comer, dormir, trabajar, rellenar la declaración de la renta...), nos centraremos de forma telegráfica en la vida y milagros del DC en Estados Unidos.

El término "key escrow", traducible -y traducido aquí- como "depósito de claves" se popularizó en 1993 dentro de la llamada iniciativa chip Clipper. En aquél entonces ya comenzaban a aparecer los primeros programas de cifrado de datos destinados al público en general (con el venerable PGP de Zimmermann a la cabeza) y se comenzaba a plantear la disyuntiva sobre si permitir al público el cifrado de datos (para impulsar el comercio electrónico y asegurar la privacidad en el ciberespacio), o restringirlo (para mayor alegría de los encargados de poner la oreja en beneficio de la policía o el gobierno). Fruto de esta necesidad surgió el chip Clipper. Desarrollado por la Agencia de Seguridad Nacional norteamericana (NSA), el chip Clipper contenía una clave de cifrado que aseguraría la confidencialidad en el sistema en que estuviese instalado, teléfonos y faxes, fundamentalmente, gracias a un nuevo algoritmo desarrollado por la NSA (Skipjack, con clave de 80 bits). Y ahora viene la trampa. Cada chip permitiría el acceso a las autoridades por medio de un código que se transmitiría con cada mensaje; una agencia policial que interceptase dicho mensaje podría descifrarlo tras obtener las dos partes de la clave que estarían depositadas en dos agencias gubernamentales. Es decir, la policía no tendría más que ir al depósito de claves, obtener la que le interese y escuchar. Seguridad frente a terceros, transparencia frente al gobierno.

Se esperaba que el sistema Clipper fuese voluntario, y tras su aceptación por parte del mercado sería posteriormente declarado obligatorio. Pero las presiones de la comunidad cibernauta, defensores de los derechos civiles y la industria dio al traste con esa esperanza. Ni siquiera la declasificación de los algoritmos de Clipper apaciguó los recelos de los usuarios potenciales (véase, por ejemplo, un artículo sobre el particular en la sección Tribuna de Kriptópolis). El chip Clipper fue instalado en apenas 10.000-15.000 teléfonos, vendidos por la empresa AT&T. Ni siquiera lo usaban las agencias del gobierno sino con carácter voluntario. Tras la muerte de Clipper aparecieron sistemas similares, todos creados por el gobierno, como el sistema Capstone/Fortezza, diseñado en principio para aplicaciones militares pero que se esperaba sería adoptado por la industria civil.

En Mayo de 1996 el gobierno propuso el establecimiento de una infraestructura de claves públicas [PKI: Public Key Infrastructure] que incorporaría un sistema de RC. En Diciembre se creó un comité asesor técnico para desarrollar un estándar federal FIPS (Federal Information Processing Standard) para la ICP federal, kafkianamente denominado comité TACDFIPSFKMI. Los problemas técnicos con que esta sopa de letras se encontró en su labor pueden apreciarse si se considera que estuvo trabajando durante dos años, hasta que a mediados de 1998 anunció que no podía alcanzar un acuerdo para una recomendación final. Este comité sigue trabajando para llegar a unos requisitos para los productos con RC.

Sin inmutarse, el gobierno de EEUU continuó su campaña interna y externa en favor de las soluciones de DC. Durante 1996 se hicieron esfuerzos para animar a los demás países a adoptar sistemas de DC (hay referencias al asunto en el Informe Walsh australiano, mencionado anteriormente). En 1997 se divulgó el borrador de la Ley sobre Seguridad Electrónica de Datos [Electronic Data Security Act]. Resumiendo, impone un sistema de infraestructura de claves por medio de Agencias de Recuperación de Claves, las cuales pueden ser privadas o gubernamentales, y que podría extenderse a otros países tras las negociaciones apropiadas. Este borrador no se convirtió en ley, y no hay intención de seguir adelante con él.

En la actualidad, el gobierno norteamericano parece haber adoptado la política de no imponer más los sistemas de DC, salvo con carácter voluntario. En diversas leyes que han sido aprobadas o presentadas se elimina la obligatoriedad de someterse a un sistema de DC o RC; como contrapartida, el uso de criptografía en un delito -o la negativa a entregar las claves para descifrado- puede servir como agravante. En el borrador de la ley SAFE [Security And Freedom through Encryption, Seguridad y Libertad mediante Cifrado], se prohibe explícitamente a los gobiernos federal y estatal imponer sistemas con DC/RC; el uso de cifrado para ocultar pruebas será considerado felonía y castigado con entre cinco y diez años de prisión adicionales.

El borrador de la Ley sobre Seguridad Electrónica en el Ciberespacio [Cyberspace Electronic Security Act] contiene disposiciones sobre el acceso policial a claves almacenadas en terceros de confianza, pero no contiene requisitos obligatorios para el uso de sistemas de cifrado con RC. El borrador de la Ley sobre Redes Públicas Seguras [Secure Public Networks Act] contenía requisitos para imponer sistemas de RC, pero fueron retirados de versiones posteriores. La ley E-PRIVACY penaliza asimismo el uso de la criptografía para ocultar información incriminadora, pero prohíbe al gobierno imponer sistemas de RC o DC. Dicha prohibición se mantiene en las leyes PROTECT [Promote Reliable On-Line Transactions to Encourage Commerce and Trade, promover transacciones on-line fiables para animar el comercio] y TRREA [Tax Relief for Responsible Encryption Act, ley para deducciones fiscales por cifrado responsable].

Todas estas leyes y borradores son de 1999, con excepción de la ley E-PRIVACY, de 1998. Su insultante juventud (que diría Carlos Herrera) y actualidad indican la seriedad con que los legisladores norteamericanos se toman el tema. Como puede verse, todas descartan la imposición de un sistema de recuperación o depósito de claves. Por supuesto, las leyes en estado de borrador sufrirán modificaciones y cambios. Pero la tendencia es clara. A la vista de los indicios existentes, la conclusión es que Estados Unidos ha abandonado los esfuerzos para imponer una infraestructura de claves públicas con acceso gubernamental a claves. Los esfuerzos policiales parece que irán encaminados por otras direcciones, ya sea mediante la obligación de descifrar los datos (bajo pena de felonía), o bien mediante otras formas: alteración del software del sospechoso, instalación programas fisgones (sniffers, keyloggers), y los métodos de investigación policial tradicionales (micrófonos, registro de correspondencia, agentes infiltrados, etc).

Esto nos deja en posición de completar esta "trilogía" de Informes con un estudio de la situación en España, donde como veremos seguimos aplicándonos la regla de "Spain is Different". Así que, con esto y un bizcocho ... al Informe dieciocho

© Arturo Quirantes 2005.  Correo electrónico: aquiran arroba ugr.es