La criptografía es la práctica y el estudio de cifrar información, o en otras palabras, asegurar la información contra el acceso no autorizado. Hay muchas leyes de criptografía distintas en diferentes naciones. Algunos países prohíben la exportación de software de criptografía y/o algoritmos de cifrado o métodos de criptoanálisis. Algunos países requieren que las claves de descifrado sean recuperables en caso de una investigación policial.
Descripción general Los problemas en referencia a la ley de criptografía se pueden dividir en cuatro categorías:
Control de exportaciones, que consiste en restringir los métodos de exportación de criptografía de un país a otro o a entidades comerciales. Hay acuerdos internacionales de control de exportación, siendo el principal el Acuerdo de Wassenaar. El Acuerdo de Wassenaar fue creado después de la disolución de COCOM (Comité de Coordinación para el Control de Exportaciones Multilaterales), que en 1989 "eliminó los controles sobre la criptografía solo de contraseña y autenticación". (access restricted to current University of Toronto) Los controles de importación, es decir, las restricciones sobre el uso de ciertos tipos de criptografía dentro de un país. Problemas de patentes, que se ocupan del uso de herramientas criptográficas que están patentadas. Problemas de allanamiento, sobre si y en qué circunstancias una persona puede ser obligada a descifrar archivos de datos o revelar una clave de cifrado.
Problemas legales
Prohibiciones La criptografía ha sido durante mucho tiempo de interés para las agencias de recopilación de inteligencia y de aplicación de la ley. Las comunicaciones secretas pueden ser criminales o incluso traicioneras. Debido a que facilita la privacidad y la disminución de la privacidad que conlleva su prohibición, la criptografía también es de gran interés para los defensores de los derechos civiles. En consecuencia, ha habido una historia de cuestiones legales controvertidas en torno a la criptografía, especialmente desde la llegada de computadoras económicas que han hecho posible el acceso generalizado a la criptografía de alta calidad.
En algunos países, incluso el uso doméstico de la criptografía está, o ha estado, restringido. Hasta 1999, Francia restringió significativamente el uso de la criptografía a nivel nacional, aunque desde entonces ha relajado muchas de estas reglas. En China e Irán, todavía se requiere una licencia para usar criptografía. Muchos países tienen estrictas restricciones sobre el uso de la criptografía. Entre las más restrictivas se encuentran las leyes de Bielorrusia, Kazajistán, Mongolia, Pakistán, Singapur, Túnez y Vietnam.
En los Estados Unidos, la criptografía es legal para uso doméstico, pero ha habido muchos conflictos sobre cuestiones legales relacionadas con la criptografía. Un tema particularmente importante ha sido la exportación de criptografía y software y hardware criptográfico. Probablemente debido a la importancia del criptoanálisis en la Segunda Guerra Mundial y la expectativa de que la criptografía continuaría siendo importante para la seguridad nacional, muchos gobiernos occidentales, en algún momento, han regulado estrictamente la exportación de criptografía. Después de la Segunda Guerra Mundial, era ilegal en EE. UU. vender o distribuir tecnología de encriptación en el extranjero; de hecho, el cifrado se designó como equipo militar auxiliar y se incluyó en la Lista de municiones de los Estados Unidos. Hasta el desarrollo de la computadora personal, los algoritmos de clave asimétrica (es decir, las técnicas de clave pública) e Internet, esto no fue especialmente problemático. Sin embargo, a medida que Internet creció y las computadoras estuvieron más disponibles, las técnicas de encriptación de alta calidad se hicieron conocidas en todo el mundo.
Controles de exportación En la década de 1990, hubo varios desafíos a la regulación de las exportaciones de criptografía de EE. UU. Después de que el código fuente del programa de encriptación Pretty Good Privacy (PGP) de Philip Zimmermann llegara a Internet en junio de 1991, una queja de RSA Security (entonces llamada RSA Data Security, Inc.) resultó en una larga investigación criminal de Zimmermann. por el Servicio de Aduanas de EE. UU. y el FBI, aunque nunca se presentaron cargos. Daniel J. Bernstein, entonces estudiante de posgrado en UC Berkeley, presentó una demanda contra el gobierno de los EE. UU. cuestionando algunos aspectos de las restricciones basadas en motivos de libertad de expresión. El caso de 1995 Bernstein v. Estados Unidos finalmente resultó en una decisión de 1999 que el código fuente impreso para algoritmos y sistemas criptográficos estaba protegido como libertad de expresión por la Constitución de los Estados Unidos.
En 1996, treinta y nueve países firmaron el Acuerdo de Wassenaar, un tratado de control de armas que trata sobre la exportación de armas y tecnologías de "doble uso" como la criptografía. El tratado estipulaba que el uso de criptografía con longitudes de clave cortas (56 bits para cifrado simétrico, 512 bits para RSA) ya no estaría sujeto a control de exportación. Las exportaciones de criptografía de los EE. UU. quedaron menos estrictamente reguladas como consecuencia de una importante relajación en 2000; Ya no existen muchas restricciones sobre los tamaños de clave en el software de mercado masivo exportado a EE. UU. Desde esta relajación en las restricciones de exportación de EE. UU., y debido a que la mayoría de las computadoras personales conectadas a Internet incluyen navegadores web de origen estadounidense como Firefox o Internet Explorer, casi todos los usuarios de Internet en todo el mundo tienen acceso potencial a criptografía de calidad a través de sus navegadores (por ejemplo, a través de la capa de transporte). seguridad). Los programas cliente de correo electrónico Mozilla Thunderbird y Microsoft Outlook pueden transmitir y recibir correos electrónicos de manera similar a través de TLS, y pueden enviar y recibir correos electrónicos encriptados con S/MIME. Muchos usuarios de Internet no se dan cuenta de que su software de aplicación básico contiene criptosistemas tan extensos. Estos navegadores y programas de correo electrónico son tan omnipresentes que incluso los gobiernos cuya intención es regular el uso civil de la criptografía generalmente no encuentran práctico hacer mucho para controlar la distribución o el uso de la criptografía de esta calidad, por lo que incluso cuando tales leyes están en vigor, la aplicación real es a menudo imposible en la práctica.
Participación de la NSA derecha|miniaturadeimagen| Sede de la NSA en Fort Meade, Maryland Otro tema polémico relacionado con la criptografía en los Estados Unidos es la influencia de la Agencia de Seguridad Nacional en el desarrollo y la política de cifrado. La NSA participó en el diseño de DES durante su desarrollo en IBM y su consideración por parte de la Oficina Nacional de Estándares como un posible estándar federal para criptografía. DES fue diseñado para ser resistente al criptoanálisis diferencial, una técnica criptoanalítica poderosa y general conocida por la NSA e IBM, que se volvió públicamente conocida solo cuando fue redescubierta a fines de la década de 1980. Según Steven Levy, IBM descubrió el criptoanálisis diferencial, pero mantuvo la técnica en secreto a petición de la NSA. La técnica se hizo pública solo cuando Biham y Shamir la redescubrieron y la anunciaron algunos años después. Todo el asunto ilustra la dificultad de determinar qué recursos y conocimientos podría tener realmente un atacante.
Otro ejemplo de la participación de la NSA fue el asunto del chip Clipper de 1993, un microchip de cifrado destinado a ser parte de la iniciativa de control de criptografía Capstone. Clipper fue muy criticado por los criptógrafos por dos razones. El algoritmo de cifrado (llamado Skipjack) fue luego clasificado (desclasificado en 1998, mucho después de que caducara la iniciativa Clipper). El cifrado clasificado generó preocupaciones de que la NSA había debilitado deliberadamente el cifrado para ayudar en sus esfuerzos de inteligencia. Toda la iniciativa también fue criticada basándose en su violación del Principio de Kerckhoff, ya que el esquema incluía una clave de custodia especial en poder del gobierno para uso de las fuerzas del orden (es decir, escuchas telefónicas).
Gestión de derechos digitales La criptografía es fundamental para la gestión de derechos digitales (DRM), un grupo de técnicas para controlar tecnológicamente el uso de material protegido por derechos de autor, que se implementa ampliamente y se implementa a instancias de algunos titulares de derechos de autor. En 1998, el presidente de los EE. UU., Bill Clinton, firmó la Ley de derechos de autor del milenio digital (DMCA), que criminalizaba toda producción, difusión y uso de ciertas técnicas y tecnologías criptoanalíticas (ahora conocidas o descubiertas posteriormente); específicamente, aquellos que podrían ser utilizados para eludir esquemas tecnológicos DRM. Esto tuvo un impacto notable en la comunidad de investigación criptográfica, ya que se puede argumentar que cualquier investigación criptoanalítica violó la DMCA. Desde entonces, se han promulgado estatutos similares en varios países y regiones, incluida la implementación en la Directiva de derechos de autor de la UE. Se exigen restricciones similares en los tratados firmados por los Estados miembros de la Organización Mundial de la Propiedad Intelectual.
El Departamento de Justicia de los Estados Unidos y el FBI no han hecho cumplir la DMCA tan rigurosamente como algunos temían, pero la ley, sin embargo, sigue siendo controvertida. Niels Ferguson, un investigador de criptografía muy respetado, ha declarado públicamente que no publicará parte de su investigación sobre un diseño de seguridad de Intel por temor a ser procesado en virtud de la DMCA. El criptólogo Bruce Schneier ha argumentado que la DMCA fomenta el bloqueo de proveedores, al tiempo que inhibe las medidas reales hacia la seguridad cibernética. Tanto Alan Cox (desarrollador del kernel de Linux desde hace mucho tiempo) como Edward Felten (y algunos de sus estudiantes en Princeton) se han encontrado con problemas relacionados con la Ley. Dmitry Sklyarov fue arrestado durante una visita a los EE. UU. desde Rusia y encarcelado durante cinco meses en espera de juicio por presuntas violaciones de la DMCA derivadas del trabajo que había realizado en Rusia, donde el trabajo era legal. En 2007, se descubrieron y publicaron en Internet las claves criptográficas responsables de la codificación de contenido de Blu-ray y HD DVD. En ambos casos, la Motion Picture Association of America envió numerosos avisos de eliminación de DMCA, y hubo una reacción negativa masiva en Internet provocada por el impacto percibido de dichos avisos en el uso justo y la libertad de expresión.
Divulgación forzada de claves de cifrado En el Reino Unido, la Ley de Regulación de los Poderes de Investigación otorga a la policía del Reino Unido los poderes para obligar a los sospechosos a descifrar archivos o entregar contraseñas que protegen las claves de cifrado. El incumplimiento es un delito en sí mismo, punible en caso de condena con una pena de prisión de dos años o hasta cinco años en casos relacionados con la seguridad nacional. Se han producido enjuiciamientos exitosos en virtud de la Ley; el primero, en 2009, resultó en una pena de 13 meses de prisión. Leyes similares de divulgación forzada en Australia, Finlandia, Francia e India obligan a los sospechosos individuales bajo investigación a entregar claves de cifrado o contraseñas durante una investigación criminal.