Parte 1: Responsabilidad social de los científicos e ingenieros

Publicado el 15/06/2026

El carácter moral del trabajo criptográfico

Phillip Rogaway

Departamento de Ciencias de la Computación

Universidad de California, Davis, EE. UU.

rogaway@cs.ucdavis.edu

Diciembre de 2015

(Revisiones menores en marzo de 2016)

Resumen. La criptografía reconfigura el poder: determina quién puede hacer qué y desde qué perspectiva. Esto la convierte en una herramienta inherentemente política y le confiere una dimensión moral intrínseca. Las revelaciones de Snowden impulsan una reevaluación del posicionamiento político y moral de la criptografía. Nos llevan a preguntarnos si nuestra incapacidad para abordar eficazmente la vigilancia masiva constituye un fracaso de nuestro campo. Creo que sí. Hago un llamado a un esfuerzo conjunto de toda la comunidad para desarrollar medios más eficaces para resistir la vigilancia masiva. Abogo por una reinvención de nuestra cultura disciplinaria para que preste atención no solo a los problemas y las matemáticas, sino también a las implicaciones sociales de nuestro trabajo.

Palabras clave: criptografía · ética · vigilancia masiva · privacidad · Snowden · responsabilidad social

Preámbulo. La mayoría de los criptógrafos académicos parecen creer que nuestro campo es un juego divertido, profundo y políticamente neutral: un conjunto de acertijos que involucran a partes que se comunican y adversarios hipotéticos. Esta visión de quiénes somos impulsa un campo cuyo trabajo es intelectualmente impresionante y se produce con rapidez, pero también bastante endogámico y alejado de las preocupaciones del mundo real. ¿Es así como debería ser la criptografía? ¿Es así como deberíamos invertir la mayor parte de nuestro capital intelectual?

Para mí, estas preguntas alcanzaron su punto álgido con las revelaciones de Snowden en 2013. Si el objetivo fundamental de la criptografía es garantizar comunicaciones seguras, ¿cómo no iba a ser un fracaso rotundo de nuestro campo que la gente común carezca incluso de un mínimo de privacidad en sus comunicaciones electrónicas? Sin embargo, pronto me di cuenta de que la mayoría de los criptógrafos no lo veían así. La mayoría parecía creer que las revelaciones ni siquiera nos afectaban a nosotros, los criptógrafos.

Creo que sí. Por eso quiero hablar sobre las obligaciones morales de los criptógrafos y de mi comunidad en general. Este no es un tema que los criptógrafos suelan tratar. En esta era posterior a Snowden, creo que es necesario hacerlo.

Un famoso manifiesto. Me gustaría comenzar con una historia, una historia real.¹ Para ponernos en contexto, estamos en Londres, verano de 1955. Un grupo de periodistas se ha reunido para una conferencia de prensa en Caxton Hall, un edificio de ladrillo rojo en Westminster. Los medios han sido convocados en un plan ideado por Bertrand Russell, con la ayuda del editor del periódico The Observer. Los periodistas no saben por qué están allí, solo se les ha dicho que un equipo de los científicos más importantes del mundo estaba listo para publicar algo de importancia mundial. La prensa sabe que Bertrand Russell está involucrado. Con la reciente muerte de Einstein, Russell se ha convertido en el intelectual vivo más famoso del mundo.

1 Este relato se basa en gran medida en Sandra Butcher: Los orígenes del manifiesto Russell-Einstein. Conferencia Pugwash sobre Ciencia y Asuntos Mundiales, mayo de 2005.

Russell ha estado encerrado en su casa toda la semana. Todo el día suena el teléfono, suena el timbre. Los periodistas intentan averiguar de qué se trata este importante anuncio. La esposa de Russell y su ama de llaves ponen excusas y los ahuyentan.

Al comenzar la rueda de prensa, los periodistas se enteran por Russell y el físico Joseph Rotblat, que los acompaña, de que no se han reunido para escuchar sobre ningún nuevo descubrimiento científico, sino para recibir una declaración política preparada. Es una declaración bastante breve, pero está firmada por once de los científicos más importantes del mundo, nueve de ellos premios Nobel. Albert Einstein figura entre los firmantes, firmando pocos días antes de enfermar y fallecer.

2 En el momento de la rueda de prensa, Russell solo había recibido llamadas de ocho personas.

El documento se conocería como el manifiesto Russell-Einstein.3 Espero que conozcan su contenido. Habla de la amenaza existencial que representan las armas nucleares para la humanidad. Su pasaje final suena desesperadamente lastimero cuando Russell escribe:

Apelamos, como seres humanos, a los seres humanos: Recuerden su humanidad y olviden lo demás. Si pueden hacerlo, se les abrirá el camino hacia un nuevo Paraíso; si no pueden, se enfrentan al riesgo de la muerte universal.⁴

3 El nombre parece ser un ejemplo del “efecto Mateo”, ya que los firmantes Max Born, Frédéric Joliot-Curie y Joseph Rotblat desempeñaron papeles al menos tan importantes como el de Einstein.

4 Citado en Joseph Rotblat, ed., Actas de la Primera Conferencia Pugwash sobre Ciencia y Asuntos Mundiales, Consejo Pugwash, 1982.

Los periodistas formulan preguntas y pronto comprenden la importancia del manifiesto. Al día siguiente, el manifiesto aparece en primera plana en la mayoría de los principales periódicos del mundo. Durante los siguientes días, al menos, es tema de conversación en todo el mundo.

El manifiesto Russell-Einstein impulsó los movimientos por la paz y el desarme. Dio lugar a las conferencias Pugwash, por las que Joseph Rotblat y la propia serie de conferencias ganarían finalmente el Premio Nobel de la Paz (1995). Rotblat reconoce que el manifiesto contribuyó a crear las condiciones que dieron origen al Tratado de No Proliferación Nuclear (TNP, 1970).⁵ En su discurso de aceptación del Premio Nobel de la Paz, Rotblat explica:

Desde muy joven sentí pasión por la ciencia. Pero la ciencia, el ejercicio del poder supremo del intelecto humano, siempre estuvo ligada en mi mente al beneficio de las personas. Consideraba que la ciencia estaba en armonía con la humanidad. No imaginaba que la segunda mitad de mi vida la dedicaría a intentar evitar un peligro mortal para la humanidad creado por la ciencia.⁶

5 Butcher, op. cit., Prólogo, pág. 3.

6 Joseph Rotblat, “Recuerda tu humanidad”. Discurso de aceptación y entrega del Premio Nobel, 1995. Texto disponible en Nobelprize.org

Dos formas de comportarse políticamente. Comienzo con el manifiesto de Russell y Einstein para recordarles dos cosas: primero, que el trabajo técnico en sí mismo puede implicar política; y segundo, que algunos científicos, en respuesta, asumen roles abiertamente políticos. Estas dos formas de comportarse políticamente son diferentes (aunque, para personas como Rotblat, van de la mano). Analicemos cada una.

Política implícita. Un científico participa en lo que llamaré política implícita al influir en las relaciones de poder como resultado de su trabajo técnico. La política gira en torno al poder: quién lo posee, cuánto y de qué tipo. La bomba nuclear es la máxima expresión del poder coercitivo; es la política encarnada. Si Rotblat hubiera evitado cualquier rol aparentemente político en su vida, su obra habría seguido siendo política. Inmensamente, aunque implícitamente.

Pero no necesitamos el espectro de nubes atómicas para abordar la tecnología políticamente relevante: el trabajo científico y técnico implica política de forma rutinaria. Esta es una idea fundamental surgida de décadas de trabajo en la intersección de la ciencia, la tecnología y la sociedad.⁷ Las ideas y los productos tecnológicos no son políticamente neutrales: habitualmente, presentan fuertes tendencias inherentes. Los avances tecnológicos deben considerarse no solo desde la perspectiva de su funcionamiento, sino también de por qué surgieron de la manera en que lo hicieron, a quiénes benefician y a quiénes perjudican. Haciendo hincapié en la amplitud de la capacidad de acción humana y las opciones tecnológicas, y parafraseando una hermosa expresión de Borges, se ha dicho que la innovación es un jardín de caminos que se bifurcan.⁸

7 La bibliografía en este ámbito es demasiado extensa como para abarcarla por completo. Los programas universitarios en este campo suelen conocerse por el acrónimo STS, que significa estudios de ciencia y tecnología o ciencia, tecnología y sociedad. El trabajo de Langdon Winner se centra particularmente en la relación entre los artefactos tecnológicos y su dimensión política implícita.

8 La cita proviene de: Robin Williams y David Edge: La configuración social de la tecnología. Research Policy (25), 865–899, Elsevier Science B.V., (1966). La referencia implícita es al inquietante cuento de Borges “El jardín de senderos que se bifurcan” (1941).

Sin embargo, las ideas criptográficas pueden ser bastante matemáticas; ¿acaso esto no las hace relativamente apolíticas? En absoluto. Que el trabajo criptográfico esté profundamente ligado a la política es una afirmación tan obvia que solo un criptógrafo podría pasarla por alto. Por lo tanto, dedicaré bastante tiempo a esta afirmación. Pero permítanme primero hablar de la segunda forma en que los científicos pueden comportarse políticamente.

Política manifiesta. Un científico puede participar en política manifiesta a través del activismo y la democracia participativa. Al redactar el manifiesto Russell-Einstein y difundirlo de la forma en que lo hizo, Russell demostró su maestría en este ámbito. Russell no solo era matemático: realizó importantes contribuciones a la filosofía, ganó el Premio Nobel de Literatura y fue un reconocido crítico social y activista pacifista.

La ética de la responsabilidad. La amplitud de miras de Bertrand Russell era extraordinaria. Pero la mera existencia del intelectual comprometido políticamente no implica que esta combinación sea representativa. ¿Hasta qué punto están socialmente comprometidos los científicos e ingenieros? ¿Y hasta qué punto las normas sociales exigen que lo estén?⁹

Hoy en día, la ética de la responsabilidad se predica en los cursos universitarios y es defendida por organizaciones profesionales. Es la visión doctrinal. La supuesta norma sostiene que los científicos e ingenieros tienen la obligación de seleccionar trabajos que promuevan el bien social (un derecho positivo) o, al menos, de abstenerse de trabajos que dañen a la humanidad o al medio ambiente (un derecho negativo).¹⁰ Esta obligación surge de tres verdades fundamentales: que el trabajo de los científicos e ingenieros transforma la sociedad; que esta transformación puede ser para bien o para mal; y que lo que hacemos es lo suficientemente complejo como para aportar una perspectiva esencial al discurso público. Se espera que el científico comprometido socialmente aporte una visión normativa sobre cómo el trabajo en su campo debe impactar en la sociedad. Su objetivo es orientar las cosas en esa dirección.

Sin duda, tomar decisiones bajo la ética de la responsabilidad no es fácil. Puede ser imposible prever si una línea de trabajo se utilizará para bien o para mal. Además, la dicotomía entre bien y mal puede ser simplista y subjetiva hasta el punto de carecer de sentido. Aun así, a pesar de estas dificultades, se espera que el científico comprometido socialmente investigue, reflexione y decida qué trabajo realizará o no, y para qué organizaciones trabajará o no. El juicio debe hacerse sin sobrevalorar el propio interés.

9 Algunos de mis comentarios en el resto de esta sección se basan en la obra de Matthew Wisnioski: Engineers for Change: Competing Visions of Technology in 1960s America. MIT Press, 2012.

10 Si bien estas dos posibilidades son muy diferentes, distinguirlas no será importante para la discusión de este ensayo.

Acontecimientos históricos que moldearon la ética de la responsabilidad. El auge de la ética de la responsabilidad estuvo marcado por tres acontecimientos históricos de la Segunda Guerra Mundial y sus consecuencias.

1. La primera, ya mencionada, fue la experiencia de los científicos atómicos. Tras la guerra, con la ciencia en una posición a la vez venerada y temida, destacados físicos se convirtieron en figuras públicas. Algunos se manifestaron abiertamente a favor de la paz o en contra del desarrollo de nuevas armas. Recordemos la preocupación generalizada de los físicos por la Iniciativa de Defensa Estratégica (IDE) de Reagan¹¹ o la famosa carta de Hans Bethe a Bill Clinton, en la que argumentaba en contra de una nueva ronda de desarrollo de armas nucleares estadounidenses.¹² La disposición a decir la verdad al poder¹³ se convirtió en una tradición entre los físicos, una tradición que, en mi opinión, sigue marcando su identidad.¹⁴

11 El debate dentro de la comunidad científica recibió una atención mediática significativa tras la publicación de un extenso estudio del Grupo de Estudio de la Sociedad Estadounidense de Física (APS, por sus siglas en inglés) (N. Bloembergen y C. K. Patel, copresidentes), titulado Informe a la Sociedad Estadounidense de Física del Grupo de Estudio sobre Ciencia y Tecnología de Armas de Energía Dirigida, APS, Nueva York (abril de 1987). El debate no fue unilateral: muchos físicos apoyaron la Iniciativa de Defensa Estratégica (IDE), y muchos consideraron que el estudio de la APS era demasiado negativo o demasiado político.

12 Véase http://fas.org/bethecr.htm#letter para la carta de Bethe de 1997

13 La conocida expresión proviene de un folleto titulado “Decir la verdad al poder: una búsqueda cuáquera de una alternativa a la violencia”, de 1955. http://www.quaker.org/sttp.html

14 Por supuesto, no todos los físicos prominentes se oponían a estas ideas. Edward Teller, por ejemplo, fue un célebre defensor del desarrollo de las bombas de fusión y la Iniciativa de Defensa Estratégica (IDE). Estas posturas generaron controversia, y algunos de sus colegas lo consideraban irresponsable, chovinista o incluso demente.

Como ejemplo, recordemos el incidente del gas pimienta de 2011 en mi propio campus, la Universidad de California, Davis.15 Siguiendo las instrucciones de la Rectora para desalojar a los manifestantes de "Occupy", el agente de policía John Pike roció con gas pimienta a los estudiantes que estaban sentados, con los brazos entrelazados, en el patio central de la universidad. Los videos del evento se volvieron virales,16 mientras que los memes del agente Pike rociando con gas pimienta a cualquier cosa se convirtieron en una segunda sensación de Internet. Pero la observación que me gustaría hacer es que, después del incidente, el único departamento de la UCD fuera de las humanidades que condenó a la Rectora o pidió su renuncia fue el de Física.17 La Rectora estaba desconcertada. Ella comprendió la fuerte reacción de nuestro departamento de inglés (con escasos recursos y de tendencia política liberal), pero no anticipó quejas de un departamento de física (con buenos recursos y generalmente conservador).18 Lo que el rector tal vez no haya interiorizado es que los físicos conservan un legado de posguerra no solo de acercarse al poder, sino también de socavarlo.

15 El informe definitivo sobre el incidente es: Reynoso, C., Blando, P., Bush, T., Herbert, P., McKenna, W., Rauchway, E., Balcklock, P., Brownstein, A., Dooley, D., Kolesar, K., Penny, C., Sterline, R., Sakaki, J.: UC Davis, 18 de noviembre de 2011, Informe del Grupo de Trabajo sobre el incidente del gas pimienta: Informe del Grupo de Trabajo Reynoso. (Marzo de 2012) Disponible en http://www.ucsf.edu/sites/default/files/legacy_files/reynoso-report.pdf (consultado el 7 de agosto de 2015)

16 Hay 2 millones de visualizaciones de https://www.youtube.com/watch?v=6AdDLhPwpp4

17 Nathan Brown: Artículo de opinión: Análisis de los argumentos a favor de la renuncia de Katehi. Periódico Davis Enterprise (18 de diciembre de 2011). Departamento de Física de UC Davis, comunicado de prensa sin título (22 de noviembre de 2011), disponible en http://tinyurl.com/ucd-physics-pepper-spray (última visita: 7 de agosto de 2015).

18 La Rectora expresó este sentimiento en una reunión entre ella y profesores interesados de la Facultad de Ingeniería (fecha desconocida, probablemente principios de 2012).

2. Un segundo acontecimiento histórico que contribuyó a moldear la concepción de la responsabilidad moral en la posguerra fueron los juicios de Núremberg (1945-1946). Si bien la defensa alegó repetidamente que los acusados simplemente seguían órdenes, esta postura fue rechazada casi universalmente: seguir órdenes no eximía de culpabilidad legal ni moral. Los juicios de Núremberg comenzaron con el Caso Médico, en el que se procesó a 23 científicos, médicos y otros altos funcionarios por experimentos médicos atroces y, en la mayoría de los casos, mortales, realizados en prisioneros.¹⁹

Años después, como en una secuela, el mundo observaría con nerviosa fascinación el juicio de Adolf Eichmann (1961). El controvertido retrato que Hannah Arendt hizo de Eichmann resultaría fundamental para comprender lo que, éticamente, había ocurrido durante el Holocausto. Arendt escribió sobre la absoluta normalidad del hombre.²⁰ El libro de Arendt sobre el juicio, con el memorable subtítulo de La banalidad del mal, se publicaría el mismo año (1963) que los experimentos clásicos de Stanley Milgram sobre la obediencia, en los que Milgram obtuvo el sorprendente (y ampliamente difundido) hallazgo de que una gran fracción de voluntarios seguiría las suaves indicaciones de un científico con bata blanca para administrar descargas eléctricas aparentemente mortales a alguien que creían que era otro sujeto de prueba.²¹

19 Véase, por ejemplo, Israel Gutman: Encyclopedia of the Holocaust, Macmillan Library Reference USA, 1990, entradas: “Experimentos médicos” por Nava Cohen, págs. 957–966, y “Médicos nazis” por Robert Jay Lifton y Amy Hackett, págs. 1127–1132.

20 Hannah Arendt: Eichmann en Jerusalén: Un informe sobre la banalidad del mal. Viking Adult (1963)

21 Stanley Milgram: Estudio conductual de la obediencia. Journal of Abnormal and Social Psychology, 67(4), pp. 371–378 (1963).

3. Por último, quisiera mencionar el auge del movimiento ambientalista como un factor que contribuyó al surgimiento de una ética de la responsabilidad. Si bien el ambientalismo se remonta a mediados del siglo XIX e incluso antes, como movimiento social significativo, la publicación en 1962 de Primavera silenciosa de Rachel Carson constituye un hito. Su libro describió el fin de la vida no a través del drama de la guerra nuclear, sino mediante la desaparición de los pájaros cantores, silenciados por las actividades rutinarias, aunque desmesuradas, de la fabricación de productos químicos y el uso de pesticidas inespecíficos.

El buen científico. Las tres experiencias que acabo de describir implicaban una democratización de la responsabilidad. Los científicos debían asumir la responsabilidad de sus actos, pues, de no hacerlo, la tecnología nos llevaría a un lugar muy oscuro. Despojada de las restricciones éticas, la ciencia nos traería un mundo de bombas de pesadilla, cámaras de gas y experimentos humanos macabros. Nos traería un mundo moribundo y envenenado.

Así, en las décadas posteriores a la guerra, la ética de la responsabilidad se convirtió —al menos retóricamente— en la norma doctrinal. Un número creciente de científicos e ingenieros, así como sus organizaciones profesionales, comenzaron a abordar cuestiones de responsabilidad social. Las Conferencias Pugwash se iniciaron en 1955. La Sociedad Nacional de Ingenieros Profesionales adoptó un código de ética en 1964 que priorizaba la responsabilidad social. Como primer imperativo, el código establece que «los ingenieros, en el cumplimiento de sus deberes profesionales, deben anteponer la seguridad, la salud y el bienestar del público». Un lenguaje similar se extendería a otros códigos de ética, incluidos los de la ACM y el IEEE.²² La Unión de Científicos Preocupados se formó en el MIT en 1969, el mismo año en que una huelga en el MIT, coordinada con otras 30 universidades, contó con un importante apoyo de estudiantes, profesores y personal administrativo. Esta huelga exigía una reorientación de las líneas de investigación, alejándolas de las actividades militares y dirigiéndolas hacia las necesidades humanas. La organización Computer Professionals for Social Responsibility (CPSR) inició su labor de oposición a la SDI en 1983.²³ Ese mismo año se fundó la IACR, cuya misión declarada no solo era promover la teoría y la práctica de la criptología, sino también, no lo olvidemos, servir al bienestar público.²⁴ La Electronic Frontier Foundation (EFF) y Privacy International (PI) se fundaron en 1990 y se convirtieron en defensoras eficaces en asuntos como la derrota del chip Clipper. Todo esto es solo una muestra de la política manifiesta de científicos e ingenieros.

22 En los EE. UU., solo los ingenieros de minas no adoptaron un código de ética, según el artículo de Wikipedia “Ética en la ingeniería”.

23 La organización se disolvió en 2013.

Artículo II de los Estatutos de la Asociación Internacional para la Investigación Criptológica (IACR): «Los objetivos de la IACR son promover la teoría y la práctica de la criptología y campos afines, así como velar por los intereses de sus miembros en este ámbito y contribuir al bienestar público». Última revisión: 18 de noviembre de 2013. Disponible en www.iacr.org/docs/bylaws.pdf

En este contexto, la figura del científico brillante pero humano se convirtió en un motivo cultural. Jonas Salk había erradicado la polio. Einstein se convirtió en un ícono cultural, imperturbable ante la tragedia de su muerte. La imagen de él sacando la lengua es quizás la fotografía más reconocida de un científico. Richard Feynman sería retratado de maneras igualmente pintorescas: el genio pragmático tocando bongos y sumergiendo una sustancia negra y gomosa en agua helada. La serie Star Trek de Gene Roddenberry imaginaba un futuro donde el científico, el humanista y el héroe formaban un solo equipo, si no un solo individuo. Carl Sagan, hablando con dulzura a la cámara en los episodios de Cosmos (1980), parecía la encarnación real de este ideal.

La ética de la responsabilidad está en declive. Y, sin embargo, a pesar de todo lo que he dicho, el científico o ingeniero seriamente preocupado por el impacto social de su trabajo es, en mi opinión, tan raro que casi se ha convertido en un mito. Ni durante la Guerra Fría ni en ninguna de las guerras posteriores de Estados Unidos, las empresas estadounidenses tuvieron dificultades para reclutar o retener a los cientos de miles de científicos e ingenieros dedicados a la construcción de sistemas de armamento.25 Universidades como la mía se mostraron encantadas de brindar su apoyo; la Universidad de California, durante décadas, dirigió los laboratorios de diseño de armas nucleares de Estados Unidos.26 En casi 20 años asesorando a estudiantes en mi universidad, he observado que el deseo de un sustento digno27 casi nunca influye en las decisiones laborales de los estudiantes de informática de pregrado. Y esto no es exclusivo de los informáticos: de los cinco sitios web mejor clasificados que encontré en una búsqueda de Google sobre cómo elegir entre ofertas de trabajo, ninguno sugiere considerar los objetivos institucionales del empleador ni el valor social de su labor.28

25 Véase, por ejemplo, Thomas P. Hughes: Rescuing Prometheus, 1998 (sobre el proyecto Atlas).

26 Tras algunas brechas de seguridad, ahora lo hacen en colaboración con la industria, en particular con Bechtel. Véase http://www.bechtel.com/projects/usnational-laboratories/

27 El término está asociado al budismo, siendo el sustento correcto una de las virtudes del Noble Óctuple Sendero.

28 Mis cinco primeros resultados de búsqueda de Google para “decidir entre ofertas de trabajo” (sin comillas) el 26 de agosto de 2015 fueron: (1) “¡Ayuda! ¿Cómo elijo entre dos ofertas de trabajo?”. Sitio web de CareerCast, www.careercast.com/career-news/help-how-do-i-choose-between-two-job-offers. (2) “4 preguntas para ayudarte a decidir entre ofertas de trabajo”. Natalie Wearstler, 16 de septiembre de 2013. theweek.com/articles/460019/4-questions-help-decide-between-job-offers. (3) “¡Conseguiste los trabajos! Cómo decidir entre ofertas”. Forbes, 6 de junio de 2011. www.forbes.com/sites/prettyyoungprofessional/2011/06/06/you-got-the-jobs-how-to-decide-between-offers/. (4) “6 secretos para elegir entre ofertas de trabajo”. 31 de julio de 2013. www.aegistech.com/how-to-choose-between-multiple-job-offers/. (5) “Cómo elegir entre varias ofertas de trabajo”. Sam Tomarchio, Aegistech. www.aegistech.com/how-to-choose-between-multiple-job-offers/. Los sitios web indicados no contienen las palabras ética, moral o social, ni comentarios sobre el carácter ético o el valor social del trabajo de una persona. El autor reconoce que los resultados de búsqueda de Google no son reproducibles.

Hoy en día, les pido a los candidatos a profesores de informática que expliquen su punto de vista sobre las responsabilidades éticas de los informáticos. Algunos reaccionan con una expresión de desconcierto, sin comprender siquiera el significado de tal pregunta. Una candidata reciente, investigadora de minería de datos cuyo trabajo parecía un compendio de proyectos financiados por el Departamento de Defensa con fines socialmente reprobables, admitió no sentir ninguna responsabilidad social. «Soy un cuerpo sin alma», explicó con seriedad. Era sincero, y a la vez inquietante.

Stanley Fish, un conocido teórico literario, profesor y decano, advierte a los docentes que no emprendan programas de investigación basados en valores. (Su libro de 2012 se titula Salva el mundo en tu propio tiempo). Fish aconseja a los profesores que

Cumple con tu trabajo; no intentes hacer el trabajo de otro… y no dejes que nadie más lo haga. En otras palabras, no confundas tus obligaciones académicas con la obligación de salvar el mundo; esa no es tu función como académico…

Marx afirmó célebremente que nuestra labor no consiste en interpretar el mundo, sino en transformarlo. En el ámbito académico, sin embargo, ocurre exactamente lo contrario: nuestra labor no consiste en transformar el mundo, sino en interpretarlo.29

Quizás tal amoralidad, por repugnante que sea, resulte inofensiva en el ámbito intelectual de Fish: uno no espera que la teoría literaria cambie el mundo. Pero los científicos e ingenieros sí lo hacen. Negarse a dirigir el cambio que generamos es moralmente reprobable e ingrato. Nunca debemos olvidar que nuestro trabajo como académicos está subvencionado por la sociedad.30

Hasta ahora no he explicado por qué la ética de la responsabilidad de la posguerra no caló hondo. Podría dar varias respuestas, empezando por el auge del individualismo radical.31 Pero prefiero centrarme en otra cosa: el optimismo tecnológico extremo.

29 Stanley Fish: Por qué construimos la torre de marfil. NY Times, Sección de Opinión, 21 de mayo de 2004.

30 Elisabeth Pain: La responsabilidad social de los científicos. Revista Career de Science, 16 de febrero de 2013. Informe sobre la reunión de la AAAS de 2013 y, en particular, los comentarios de Mark Frankel. La oradora pide a los oyentes, especialmente a los estudiantes de posgrado, que tengan muy presente que la investigación científica es una institución social, subvencionada por la sociedad.

31 El individualismo radical es la creencia de que los intereses personales son más importantes que los de la sociedad. Queda bien reflejado en el discurso «La avaricia es buena» de «Wall Street» (1987) de Oliver Stone, aunque lo que le importa al individuo puede ser algo distinto a la riqueza personal.

Optimismo tecnológico. Los optimistas tecnológicos creen que la tecnología mejora la vida. Según esta perspectiva, vivimos más, tenemos más libertad y disfrutamos de más tiempo libre. La tecnología nos enriquece con artefactos, conocimiento y potencial. Junto con el capitalismo, la tecnología se ha convertido en una herramienta extraordinaria para el desarrollo humano. En este punto, es fundamental para la misión de la humanidad. Si bien la tecnología conlleva algunas consecuencias imprevistas, la innovación en sí misma nos permitirá superarlas.

El optimismo tecnológico anima a todos, desde escolares hasta ganadores del Premio Turing. Al aceptar su Premio Turing 2012, Silvio Micali dijo que

La informática está marcando un cambio épico en la historia de la humanidad. Estamos conquistando un nuevo y vasto continente científico. … Prácticamente todas las áreas de la actividad humana… [y] prácticamente todas las áreas del conocimiento humano… se benefician de nuestras contribuciones conceptuales y técnicas. … ¡Viva la informática!32

Si eres un optimista tecnológico, un futuro prometedor emana de tu trabajo. Esto implica una limitación en la responsabilidad ética. Lo importante es hacer el trabajo, y hacerlo bien. Esto incluso se convierte en un imperativo moral, ya que el trabajo en sí mismo es tu contribución social.

Pero ¿y si la informática no beneficia al ser humano? Los pesimistas tecnológicos como Jacques Ellul, Herbert Marcuse y Lewis Mumford ciertamente no lo creían. Veían la tecnología moderna como un sistema interconectado y fuera de control que, en lugar de satisfacer las necesidades humanas, generaba deseos inútiles y armas más letales. El ser humano se está convirtiendo en poco más que los órganos sexuales del mundo de las máquinas.33

Desde una perspectiva menos “extrema”,34 los contextualistas tecnológicos35 reconocen las preocupaciones de los pesimistas, pero enfatizan la capacidad de acción esencial del ser humano y la maleabilidad de la tecnología. El contextualismo domina la dialéctica de los estudios tecnológicos.

La ética de la responsabilidad siempre va de la mano de la perspectiva contextualista de la sociotecnología. En cierto modo, esto debe ser así: una necesidad normativa desaparece si, en un jardín de caminos que se bifurcan, todos conducen al bien (o, incluso, al mal). Pero es el optimismo tecnológico lo que prevalece entre la mayoría de la gente, especialmente entre científicos e ingenieros. Y un optimismo tecnológico desenfrenado socava la necesidad fundamental de responsabilidad social.

32 Silvio Micali, Discurso de aceptación del Premio Turing de la ACM. Ceremonia de entrega de premios de la ACM, San Francisco, 15 de junio de 2013. https://www.youtube.com/watch?v=W0N4WnjGHwQ. Al terminar su discurso con un grito de júbilo, hay, tal vez, un elemento de ironía en el optimismo desenfrenado de Silvio. Sin embargo, el optimismo exagerado parece endémico en el discurso sobre la ciencia de la computación.
La ceremonia de entrega de premios tuvo lugar poco más de una semana después de la primera noticia basada en un documento de Snowden (6 de junio de 2013). Pero la amenaza de la tecnología informática no se reconoció, solo se alabó su promesa.

33 Marshall McLuhan, Entendiendo los medios: Las extensiones del hombre, McGraw-Hill, 1964: “El hombre se convierte, por así decirlo, en los órganos sexuales del mundo de las máquinas, como la abeja del mundo vegetal, lo que le permite fecundar y evolucionar en formas cada vez más nuevas”.

34 Para ser claros, no creo que haya nada extremo en las opiniones de los pesimistas tecnológicos prominentes; en todo caso, las opiniones optimistas predominantes me parecen mucho menos razonadas y más extremas.

35 Esta es la frase que usa Ian Barbour: Ética en la era de la tecnología: Las conferencias Gifford, Volumen dos), HarperCollins (1993), que contiene una buena descripción de los escritos de los contextualistas (entre los que se incluye el propio autor). Langdon Winner habla de una ideología de la política tecnológica para referirse prácticamente al mismo concepto que el contextualismo; véase Tecnología autónoma: La técnica fuera de control como tema del pensamiento político. MIT Press, 1977.

Conclusión de la primera parte. En definitiva, creo que el giro hacia la responsabilidad social en la ciencia y la ingeniería tras la Segunda Guerra Mundial fue más una mirada de reojo que un giro propiamente dicho. Si bien la retórica de la responsabilidad servía de escudo contra los críticos de la tecnología, pocos científicos o ingenieros llegaron a interiorizar que su trabajo encarnaba valores socialmente relevantes. Si se suponía que los investigadores como nosotros debíamos conocer o preocuparnos por estas cuestiones de forma práctica, pues bien, creo que no nos enteramos.

Permítanme, pues, retransmitirlo. Dice que sus deberes morales van más allá del imperativo de no causar daño personalmente: también deben procurar promover el bien común. Asimismo, indica que sus deberes morales no solo derivan de su posición como individuo moral, sino también de las comunidades profesionales a las que pertenecen: criptógrafo, informático, científico, tecnólogo.

Salvo contadas excepciones, los científicos atómicos que trabajaron en el desarme no eran los mismos que construyeron la bomba. Sus colegas —otros físicos— fueron quienes lo hicieron. Los criptógrafos no convirtieron internet en un instrumento de vigilancia total, pero nuestros colegas —otros informáticos e ingenieros— sí lo hicieron. Y los criptógrafos tienen cierta capacidad para ayudar.

Pero solo creerán esa afirmación si reconocen que la criptografía puede influir en las relaciones de poder. Sospecho que muchos de ustedes no ven una conexión real entre los valores sociales, políticos y éticos y su trabajo. No fabrican bombas, no experimentan con personas ni destruyen el medio ambiente. No espían a la población. Se dedican a la informática y escriben artículos. Esto no parece tener implicaciones éticas. Quiero demostrarles que sí las tiene.

¿Científico o espía? Hay una ironía en afirmar que el trabajo criptográfico es político: para alguien ajeno al campo, e incluso para el aficionado a la criptografía, la afirmación puede parecer obviamente cierta. Pero para el joven investigador que dedica su vida a escribir artículos sobre criptografía, la afirmación puede parecer igualmente obviamente falsa. ¿A qué se debe esto?

La visión que se tiene de la criptografía desde fuera puede basarse en las representaciones cinematográficas. Películas como Sneakers (1992), Pi (1998), Una mente brillante (2001), Enigma (2001), El viajante de comercio (2012), Citizenfour (2014) y Descifrando Enigma (2014) la muestran como un campo intrínsecamente ligado a la política. Los criptógrafos son los matemáticos brillantes y apuestos que el poder necesita tener de su lado. Me complace decir que somos genios heroicos. Un poco locos, sin duda, pero eso solo aumenta nuestro atractivo.

De igual modo, el aficionado a las criptomonedas puede haber leído relatos históricos sobre criptografía, como los libros de James Bamford o David Kahn.36 Dichos relatos demuestran que, históricamente, la criptografía está relacionada con el poder. Es un ámbito en el que los gobiernos gastan enormes sumas de dinero,37 y quizás con razón: este trabajo moldea el resultado de las guerras y sustenta las maniobras diplomáticas y económicas.38

Sin embargo, ningún criptógrafo académico confundiría relatos históricos o ficticios sobre criptografía con lo que hacemos en la práctica. Nuestra disciplina investiga problemas académicos que se enmarcan dentro de sus límites. Si se consultan las actas de un congreso de Springer o se exploran artículos en formato ePrint, nuestro campo parece completamente apolítico. Si el poder está presente en algún punto, reside en las capacidades abstractas de adversarios hipotéticos³⁹ o, en otra rama de nuestro campo, en el consumo energético, medido en vatios, de algún hardware. Trabajamos en problemas que nos resultan interesantes o científicamente importantes. Nuestro único objetivo es promover los intereses de la ciencia misma (o, quizás, de la propia carrera profesional).

Así pues, las distintas afirmaciones sobre la conexión de la criptografía con el poder se derivan, al menos en parte, de arquetipos radicalmente diferentes de lo que es un criptógrafo: científico o espía. El empleado de la NSA/GCHQ que hackea Gemalto para implantar malware y robar claves SIM40 merece tanto ser llamado «criptógrafo» como el teórico formado en el MIT que diseña un nuevo enfoque para el cifrado funcional. Ambos se ocupan de cuestiones de privacidad, comunicaciones, adversarios y técnicas ingeniosas, y haríamos bien en destacar estas similitudes si queremos contextualizar nuestro universo disciplinario o impulsarlo hacia una mayor relevancia.

36 La serie de libros de James Bamford sobre la historia de la NSA son The Puzzle Palace: A Report on America’s Most Secret Agency (1982), Body of Secrets: Anatomy of the Ultra-Secret National Security Agency (2001) y The Shadow Factory: The NSA from 9/11 to the Eavesdropping on America (2008). El libro clásico de David Kahn sobre la historia del descifrado de códigos es The Codebreakers: The Story of Secret Writing (1967).

37 El “Programa Criptológico Consolidado” de EE. UU. cuenta con aproximadamente 35 000 empleados. El presupuesto de la NSA para 2013 fue de 10 300 millones de dólares, de los cuales 1 000 millones se destinaron a “servicios de criptoanálisis y explotación” y 429 millones a “investigación y tecnología”. operaciones de inteligencia entre 2004 y 2013. Véase Barton Gellman y Greg Miller, “Resumen del presupuesto secreto” detalla los éxitos, fracasos y objetivos de la red de espionaje estadounidense; The Washington Post, 29 de abril de 2013.

38 Para un análisis de la extrema utilidad de la vigilancia y la criptografía en las guerras recientes de Estados Unidos, véase Shane Harris: @War: The Rise of the Military-Internet Complex. Eamon Dolan/Houghton Mifflin Harcourt (2014).

39 Por ejemplo, la frase “un adversario todopoderoso” generalmente se refiere a un agente que no tiene restricciones computacionales, pero que se ajusta a un modelo específico.

40 Jeremy Scahill y Josh Begley: El gran robo de la tarjeta SIM: cómo los espías robaron las claves del sistema de cifrado. The Intercept, 19 de febrero de 2015.

La criptografía académica solía ser más política. El auge de un nuevo arquetipo de criptógrafo —el criptógrafo académico— no explica del todo nuestra postura políticamente distante. Para empezar, los criptógrafos académicos se preocupaban antes más por las dimensiones sociopolíticas de nuestro campo. Algunos incluso se dedicaron a la criptografía por esos motivos. Consideremos, por ejemplo, este fragmento del testimonio de Whit Diffie en el juicio de Newegg. Hablando de su esposa, Diffie dice:

Le dije que nos dirigíamos hacia un mundo donde la gente tendría relaciones importantes, íntimas y duraderas con personas a las que nunca habían conocido cara a cara. Me preocupaba la privacidad en ese mundo, y por eso trabajaba en criptografía.41

Diffie y su asesor, Martin Hellman, han demostrado desde hace tiempo su preocupación por los problemas sociopolíticos relacionados con la tecnología. Esto se observa en sus críticas a la longitud de la clave de DES,42 en el activismo de Hellman en favor del desarme nuclear,43 en el libro de Diffie sobre la política de las escuchas telefónicas con Susan Landau,44 y en su coinvención del secreto anticipado.45 También se observa en el artículo de New Directions:46 cuando los autores comienzan con audacia: «Hoy nos encontramos al borde de una revolución en criptografía», la revolución anticipada no era, al menos principalmente, que la comunidad teórica presentara nociones revolucionarias de seguridad demostrable, simulabilidad o computación multipartita.47 Los autores estaban interesados en los cambios tecnológicos que se estaban produciendo y en las oportunidades y necesidades sociales concomitantes.48

41 Joe Mullin: Juicio de Newegg: la leyenda de las criptomonedas sube al estrado y busca un golpe decisivo contra su patente. Ars Technica, 24 de noviembre de 2013.

42 Whitfield Diffie y Martin Hellman: Criptoanálisis exhaustivo del estándar de cifrado de datos del NBS. Computer 10(6), pp. 74–84 (1977).

43 Véase, por ejemplo: Anatoly Gromyko y Martin Hellman: Breakthrough: Emerging New Thinking: Soviet and Western Scholars Issue a Challenge to Build a World Beyond War, 1988.

44 Whitfield Diffie y Susan Landau: Privacidad en la línea: La política de las escuchas telefónicas y el cifrado, MIT Press (2007).

45 Whitfield Diffie, Paul van Oorschot, Michael Wiener: Autenticación e intercambios de claves autenticadas. Diseños, códigos y criptografía, 2(2), págs. 107–125 (1992).

46 Whitfield Diffie y Martin Hellman: Nuevas direcciones en criptografía. IEEE Transactions on Information Theory, 22(6), pp. 644-654 (1976).

47 Sin embargo, los autores parecieron prever tal posibilidad: «Al mismo tiempo, los avances teóricos en teoría de la información e informática prometen ofrecer criptosistemas con seguridad demostrable, transformando este antiguo arte en una ciencia». Ibíd., pág. 29.

48 Escriben, por ejemplo, que “El desarrollo de hardware digital barato ha liberado a la criptografía de las limitaciones de diseño de la computación mecánica y ha reducido el costo de los dispositivos criptográficos de alta calidad hasta el punto de que pueden usarse en aplicaciones comerciales como cajeros automáticos remotos y terminales de computadora. … El desarrollo de redes de comunicación controladas por computadora promete un contacto sencillo y económico entre personas o computadoras en lados opuestos del mundo…” Ibíd., pág. 29.

Aún más abiertamente política es la obra científica de David Chaum, que integra profundamente las preocupaciones por la democracia y la autonomía individual. El artículo de Chaum de 1981,49 Untraceable Electronic Mail, Return Addresses, and Digital Pseudonyms, [Chaum81], sugiere que un objetivo crucial de privacidad al enviar un correo electrónico es ocultar quién se comunica con quién. Los metadatos, en la jerga política moderna. El autor propuso redes mixtas como solución.50

Chaum proporcionaría posteriormente las ideas fundacionales del dinero electrónico anónimo y el voto electrónico. Sus artículos recurrían habitualmente a motivaciones abiertamente políticas.⁵¹ En una conversación reciente, Chaum expresó su sorpresa por la medida en que los académicos se sentían atraídos por un campo —la criptografía— tan vinculado a cuestiones de poder.⁵²

49 El artículo aparece en Communications of the ACM (CACM), 24(2), pp. 84–88 (1981).

50 En resumen, una red mixta funciona así: las comunicaciones de cada usuario pasan por una serie de enrutadores. (Para que este enfoque sea efectivo, estos enrutadores, o mezclas, deben tener diversidad en el control administrativo, el control jurisdiccional o el código que ejecutan). Los textos sin cifrar se cifran varias veces, utilizando una clave para cada enrutador de la serie. Cada enrutador elimina una capa de cifrado. Antes de pasar el resultado al siguiente enrutador, espera hasta tener un cierto número de mensajes salientes y luego los reordena. Un adversario que observe el tráfico de la red, incluso uno que controle un subconjunto de los enrutadores, no debería poder identificar quién envió qué a quién.

51 Por ejemplo: «Se están sentando las bases para una sociedad de expedientes, en la que las computadoras podrían usarse para inferir los estilos de vida, hábitos, paraderos y relaciones de las personas a partir de datos recopilados en transacciones de consumo comunes. La incertidumbre sobre si los datos permanecerán seguros frente al abuso por parte de quienes los almacenan o acceden a ellos puede tener un “efecto disuasorio”, lo que lleva a las personas a modificar sus actividades observables». David Chaum: Seguridad sin identificación: sistemas de transacciones para hacer obsoleto al Gran Hermano. Communications of the ACM (CACM), 28(10), pp. 1030–1044, 1985.

52 Hablando de criptografía, Chaum me dijo: «Desde los inicios de este campo, he sido consciente de su gran potencial y de que se volvería aún más influyente a medida que avanzara la tecnología de la información. Me sorprendió el gran interés que despertaba entre los académicos, dado que se trata de un área estrechamente ligada al poder». Conversación con David Chaum, 17 de agosto de 2015. Santa Bárbara, California.

Despojándonos de la política. Pero a medida que los académicos se inclinaban hacia la criptografía, tendían a despojarla de su aparente conexión con el poder. El trabajo aplicado y relacionado con la privacidad se alejó de los foros centrales del campo, las conferencias de la IACR. Es como si se produjera una síntesis química, transformando este poderoso polvo en inofensivo polvo.

Consideremos que ahora existe una conferencia llamada “Criptografía del Mundo Real” (RWC).53 Hay cierto humor —quizás humor negro— en que un campo con un origen y una capacidad tan reales como el nuestro encuentre motivos para crear un evento con ese nombre.54 Pregúntenle a un colega de Gráficos o Computación en la Nube cómo reaccionaría su comunidad si alguien organizara una conferencia llamada Gráficos por Computadora del Mundo Real (RWCG 2015) o Computación en la Nube del Mundo Real (RWCC 2016). Se reirán.

Una exclusión particularmente problemática de lo político es la marginación dentro de la comunidad criptográfica del problema de la mensajería segura,55 un ejemplo del cual fue el problema abordado por [Chaum81]. La mensajería segura es el problema de privacidad más fundamental en criptografía: cómo pueden las partes comunicarse de tal manera que nadie sepa quién dijo qué. Más de una década después de que se presentara el problema, Rackoff y Simon comentarían la casi ausencia de atención que se le prestaba.56 Más de 20 años después, la situación es la siguiente: ahora hay una montaña de trabajo sobre mensajería segura, pero no está claro qué hace realmente la mayor parte de él. Un artículo reciente sobre la sistematización del conocimiento57 pinta un panorama de una tarea criptográfica que disfruta de un florecimiento de soluciones ad hoc, pero poco de ello surge de la comunidad criptográfica, entendida de forma estricta, o vinculada a mucha teoría.58 Si bien ciertamente se podría afirmar que esto es cierto para casi todos los objetivos de seguridad prácticos que emplean criptografía, creo que el caso es diferente para la mensajería segura: aquí el trabajo parece casi intencionalmente relegado a un segundo plano.

53 Desde su inicio en 2012, este evento anual ya atrae a más asistentes que Crypto. El comité directivo de RWC está integrado por Dan Boneh, Aggelos Kiayias, Brian LaMacchia, Kenny Paterson, Tom Ristenpart, Tom Shrimpton y Nigel Smart. La página web http://www.realworldcrypto.com/ explica: «Esta conferencia anual tiene como objetivo reunir a investigadores de criptografía con desarrolladores que implementan criptografía en sistemas del mundo real. La meta de la conferencia es fortalecer el diálogo entre estas dos comunidades. Los temas tratados se centran en los usos de la criptografía en entornos reales como Internet, la nube y los dispositivos integrados».

54 Algunos teóricos podrían sentirse ofendidos por la implicación de que la teoría criptográfica no pertenece al «mundo real», sugiriendo que quienes se dedican a la teoría deben estar estudiando algo irreal o ajeno a este mundo (¿los vapores de los poltergeists?). Las dicotomías implícitas entre teoría criptográfica y práctica criptográfica, mundo real y su complemento (sea lo que sea), no resistirían un análisis crítico. Sin embargo, el discurso sobre las actividades de las comunidades parece estar inevitablemente plagado de límites caprichosos.

55 Significativamente, el problema ni siquiera tiene un nombre ampliamente reconocido. La versión del problema de mensajería segura que le interesaba a Chaum es una versión de alta latencia y clave pública.

56 Charles Rackoff y Daniel Simon: Defensa criptográfica contra el análisis de tráfico. STOC ’93, págs. 672–681. La cita proviene de las págs. 672–673.

57 Nik Unger, Sergej Dechand, Joseph Bonneau, Sascha Fahl, Henning Perl, Ian Goldberg, Matthew Smith: SoK: Mensajería segura. Simposio IEEE sobre seguridad y privacidad 2015, págs. 232–249.

58 Poco, pero no nada. Véase, por ejemplo: Nik Unger e Ian Goldberg: Intercambios de claves negables para mensajería segura. ACM CCS 2015. N. Borisov, I. Goldberg y E. Brewer: Comunicación fuera de registro, o por qué no usar PGP. Privacy in the Electronic Society, pp. 77-84, 2004. Ron Berman, Amos Fiat, Marcin Gomulkiewicz, Marek Klonowski, Miroslaw Kutylowski, Tomer Levinboim, Amnon Ta-Shma: Desvinculabilidad demostrable contra análisis de tráfico con baja sobrecarga de mensajes. J. of Cryptology, 28(3), pp. 623–640, 2015. Jan Camenisch y Anna Lysyanskaya: Un tratamiento formal del enrutamiento cebolla. CRYPTO 2005. Joan Feigenbaum, Aaron Johnson y Paul F. Syverson: Análisis probabilístico del enrutamiento cebolla en un modelo de caja negra. ACM Transactions on Information and System Security (TISSEC), 15(3), 2012.

Hijos de [Chaum81] y [GM82]. ¿Por qué haría tal afirmación? Un estudio de caso esclarecedor se proporciona al comparar las publicaciones de los artículos más citados que citan a [Chaum81] y [GM82], el Cifrado Probabilístico de Goldwasser y Micali.59 Ambos artículos aparecieron casi al mismo tiempo y tienen recuentos de citas comparables.60

El artículo [GM82] presentó el enfoque centrado en la definición y basado en la reducción para abordar los problemas criptográficos. Se convirtió en una obra fundamental de la comunidad criptográfica. Los artículos más citados que lo citan aparecen en Crypto and Eurocrypt, FOCS, STOC y ACM CCS.61 El artículo [Chaum81] planteó el problema del correo electrónico seguro y sugirió una solución. Este artículo sería igualmente fundamental, pero al generar trabajos principalmente fuera de la comunidad criptográfica central. Los diez artículos más citados que citan el artículo de Chaum aparecen en foros de los que, en su mayoría, nunca había oído hablar. Foros no centrados en criptografía, como MobiSys y SIGOPS. De hecho, los foros de los diez artículos más citados que citan [GM82] y los foros de los diez artículos más citados que citan [Chaum81] tienen intersección vacía. Me parece bastante notable. Refleja una comunidad de investigación dividida en fragmentos que incluyen uno derivado de GM y otro derivado de Chaum, siendo el segundo fragmento realmente no parte de la comunidad criptográfica en absoluto.62

59 Chaum, op. cit. Shafi Goldwasser y Silvio Micali: Cifrado probabilístico y cómo jugar al póker mental manteniendo en secreto toda la información parcial. STOC 1982, pp. 365–377. Versión en revista como: Cifrado probabilístico, Journal of Computer and System Science (JCSS), 28(2), pp. 270–299, abril de 1984.

60 Según Google Scholar: 4481 citas para el artículo de Chaum y 3818 citas para el artículo de Goldwasser-Micali (ambas versiones combinadas). Datos al 14 de octubre de 2015.

61 El único caso atípico es un artículo de Perrig, Szewczyk, Tygar, Wen y Culler en MobiCom.

62 En mayor detalle, los diez artículos más citados [GM82] (ambas versiones combinadas) aparecieron en CCS, Crypto 3×, Eurocrypt, FOCS (2×), MobiCom y STOC (2×). Solo MobiCom es un lugar “inesperado”. Los diez artículos más citados que citan [Chaum81] aparecieron en ACM Comp. Surveys, ACM J. of Wireless Networks, ACM MobiSys, ACM Tran. on Inf. Sys., ACM SIGOPS, IEEE SAC, Proc. of the IEEE USENIX Security Symposium y talleres llamados IPTPS y Designing Privacy Enhancing Technologies. Ninguno de estos diez lugares está enfocado en criptografía.

¿Por qué se produjo esta fragmentación? La explicación más obvia tiene que ver con el rigor: [GM82] ofreció un enfoque matemáticamente preciso de su tema, mientras que [Chaum81] no. Por lo tanto, una partición podría parecer lógica: el trabajo criptográfico que puede ser matemáticamente formal se ubica a la derecha; el trabajo ad hoc, a la izquierda.

El problema con esta explicación es que es errónea. El artículo [Chaum81] respalda el rigor sin problemas. De hecho, la seguridad demostrable eventualmente alcanzaría a las redes mixtas, aunque la primera definición tardaría más de 20 años en aparecer (2003), en un artículo de Abe e Imai.63 Que el propio artículo [Chaum81] no proporcionara un tratamiento formal no dice nada sobre la formalización del problema ni sobre qué comunidades lo adoptarían posteriormente; después de todo, el artículo de Diffie y Hellman64 solo describió informalmente las permutaciones de puerta trasera, el cifrado de clave pública y las firmas digitales, pero todos se absorberían en el ámbito de la criptografía. Ahora bien, se podría replicar que el problema abordado por [Chaum81] es más difícil de formalizar que cualquiera de los ejemplos recién mencionados. Eso es cierto. Pero es más sencillo de formalizar que MPC,65 por ejemplo, que rápidamente ganaría entrada y prestigio en la comunidad criptográfica, incluso sin definiciones ni pruebas. En definitiva, ni la formalización ni la complejidad explican del todo por qué la mensajería segura ha sido marginada.

Una respuesta más acertada (aunque no la única) se hace evidente al comparar las introducciones de los artículos más citados que citan [GM82] y los artículos más citados que citan [Chaum81]. Los artículos que citan [GM82] plantean los problemas desde una perspectiva científica. Los autores afirman resolver importantes cuestiones técnicas. El tono es asertivo, con matices de optimismo tecnológico. En marcado contraste, los artículos que citan [Chaum81] plantean los problemas desde una perspectiva sociopolítica. Los autores hablan de algún problema o necesidad social. El tono es reservado y las perspectivas explícitamente contextualistas son habituales. Se observa la misma distinción en el tono y las motivaciones declaradas al comparar los artículos de revisión.66

63 Masayuki Abe y Hideki Imai: Fallos en algunas redes mixtas optimistas robustas. Information Security and Privacy (ACISP), págs. 39–50, 2003. Versión en revista: Masayuki Abe y Hideki Imai: Fallos en redes mixtas optimistas robustas y conceptos de seguridad más sólidos. IEICE Trans. on Fundamentals of Electronics, Communications and Computer Science, vol. E89A, n.º 1, págs. 99–105, enero de 2006.

64 Diffie y Hellman, op. cit.

65 Computación multipartita. Andrew Chi-Chih Yao: Protocolos para computaciones seguras (Resumen extendido). FOCS 1982, pp. 160–164. Oded Goldreich, Silvio Micali, Avi Wigderson: Cómo jugar cualquier juego mental o un teorema de completitud para protocolos con mayoría honesta. STOC 1987, pp. 218–229. Michael Ben-Or, Shafi Goldwasser, Avi Wigderson: Teoremas de completitud para computación distribuida tolerante a fallos no criptográfica (resumen extendido). STOC 1988, pp. 1–10. David Chaum, Claude Crépeau, Ivan Damgård: Protocolos multipartitos incondicionalmente seguros (resumen extendido). STOC 1988, pp. 11–19.

66 Por ejemplo, compárense las páginas iniciales de: Oded Goldreich: Fundamentos de la criptografía: una introducción. Foundations and Trends in Theoretical Computer Science, 1(1), pp. 1–116, 2004. Y: George Danezis y Seda Gürses: Una revisión crítica de 10 años de tecnología de la privacidad. Actas de Surveillance Cultures: A Global Surveillance Society?, 2010.

En 2015, asistí por primera vez al PETS (Simposio de Tecnologías para la Mejora de la Privacidad). Escuchar a los miembros de esta comunidad interactuar es como observar la comunidad criptográfica a través de una lente que, por arte de magia, invierte casi todo. La comunidad PETS presta mucha atención a los valores inherentes al trabajo. Les importan los artefactos que respaldan los valores humanos. Su objetivo es servir a los usuarios de esos artefactos. Les preocupa profundamente la política y la tecnología de la vigilancia. ¿Adónde fue a parar el alma moral de la criptografía académica después de Chaum? Quizás se trasladó al PETS.

Todo esto encierra una lección. Algunos podrían pensar que el enfoque de una comunidad científica está determinado principalmente por el carácter técnico del tema que pretende estudiar. No es así. Son consideraciones extracientíficas las que dan forma a qué se aborda y dónde.

Los cypherpunks. Existe un grupo que lleva mucho tiempo trabajando en la intersección de la criptografía y la política: los cypherpunks.⁶⁷ Los cypherpunks surgieron a finales de la década de 1980, unificados por una lista de correo y algunos valores comunes. Su creencia fundamental es que la criptografía puede ser una herramienta clave para proteger la autonomía individual amenazada por el poder.⁶⁸

Los cypherpunks creían que una cuestión clave de nuestra época era si los intereses estatales y corporativos aniquilarían la libertad mediante la vigilancia electrónica y sus consecuencias, o si, por el contrario, las personas se protegerían mediante el uso ingenioso de la criptografía. Los cypherpunks no buscaban un mundo de privacidad universal: muchos deseaban privacidad para el individuo y transparencia para el gobierno y las élites corporativas. Imaginaban que se podía subvertir el poder escribiendo el código adecuado. Las creaciones al estilo cypherpunk —pensemos en Bitcoin, PGP, Tor y WikiLeaks— estaban destinadas a ser transformadoras porque desafiaban la autoridad y abordaban libertades fundamentales: libertad de expresión, de circulación y de participación económica.69

No siempre es obvio cómo estas herramientas moldean la sociedad. Consideremos WikiLeaks. La esperanza no es solo que un público mejor informado exija rendición de cuentas y cambios. Más bien, Assange ve el abuso gubernamental y corporativo como formas de conspiración que podrían ser sofocadas por la mera amenaza de filtraciones. Las conspiraciones son como grafos: los conspiradores, los nodos; las relaciones entre ellos, las aristas. En lugar de eliminar nodos o interrumpir enlaces, se puede debilitar cualquier conspiración impregnándola de una amenaza constante de filtraciones. Cuanto más injusta sea la conspiración, más probable será que se produzcan filtraciones y mayor será el daño que causen. A medida que las élites temen conspirar, lo hacen con reservas. La sangre de la criatura conspiradora se espesa y muere.70 Es una visión fascinante.

67 Andy Greenberg: Esta máquina mata secretos: Cómo los wikileakers, los cypherpunks y los hacktivistas pretenden liberar la información del mundo. Dutton, 2012. Steven Levy: Cripto: Cómo los rebeldes del código vencieron al gobierno salvando la privacidad en la era digital. Viking Adult, 2001. Julian Assange, Jacob Appelbaum, Andy Müller-Maguhn, Jérémie Zimmermann: Cypherpunks: Libertad y el futuro de Internet. OR Books, 2012. Robert Manne: El revolucionario cypherpunk: sobre Julian Assange. The Monthly: Australian Politics, Society, & Culture. Marzo de 2011.

68 Es la misma creencia que subyace en la obra ya analizada por David Chaum.

69 He oído a criptógrafos académicos decir que merecemos el crédito por estos artefactos, ya que, independientemente de quién haya escrito el código, las ideas provienen de nociones criptográficas que vienen de nosotros. Si bien hay algo de verdad en esto, la afirmación sigue pareciendo poco sincera. El trabajo, en cada caso, surgió de otro lugar, empleó solo herramientas antiguas y básicas, y fue, en el mejor de los casos, modestamente adoptado por nuestra comunidad.

70 Julian Assange: La conspiración como forma de gobierno. Manuscrito, 3 de diciembre de 2006. http://cryptome.org/0002/ja-conspiracies.pdf. Finn Brunton: Keyspace: reflexiones sobre WikiLeaks y los documentos de Assange. Radical Philosophy 166, pp. 8–20, marzo/abril de 2011.

Son los ciberpunks, no los criptógrafos, quienes suelen ser los defensores más acérrimos de la criptografía. Julian Assange escribe:

Pero descubrimos algo. Nuestra única esperanza contra la dominación total. Una esperanza que, con valentía, perspicacia y solidaridad, podríamos usar para resistir. Una extraña propiedad del universo físico en el que vivimos.

El universo cree en el cifrado.

Es más fácil cifrar información que descifrarla.

Vimos que podíamos usar esta extraña propiedad para crear las leyes de un mundo nuevo.71

De manera similar, Edward Snowden escribe:72

En palabras de la historia, no hablemos más de fe en el hombre, sino que atémoslo del mal con las cadenas de la criptografía.73

Cuando me topé por primera vez con este tipo de discurso, pensé con cierta arrogancia que los autores estaban exagerando: debían moderar su retórica para ser precisos. Ya no pienso así. Los principales expertos en criptopunk, mucho más involucrados en la implementación de sistemas de lo que yo jamás lo estaré, entienden mejor que yo sobre sistemas operativos inseguros, malware, errores de programación, subversión, canales laterales, mala usabilidad, conjuntos de anonimato reducidos, etc. Los criptopunk creen que, a pesar de estos obstáculos, la criptografía aún puede ser transformadora.

71 Julian Assange: Cypherpunks, op. cit.

72 No sé si Snowden se considera un cypherpunk, pero el sentimiento expresado en esta cita refleja muy bien el discurso cypherpunk.

73 Edward Snowden, citado en Glenn Greenwald, No Place to Hide: Edward Snowden, the NSA, and the U.S. Surveillance State, 2014. Snowden reformula una cita de Thomas Jefferson: «En cuestiones de poder, pues, no se oiga hablar más de confianza en el hombre, sino que se le debe impedir el mal mediante las cadenas de la Constitución».

¿A quién beneficia la criptografía? El discurso cypherpunk a veces parece dar por sentado que la criptografía beneficiará a la gente común. Pero hay que tener cuidado. La criptografía puede desarrollarse en direcciones que tiendan a beneficiar a los débiles o a los poderosos. También puede desarrollarse de maneras que probablemente no beneficien a nadie más que al criptógrafo. Veamos algunos ejemplos.

Cifrado. Una razón por la que se suele pensar que la criptografía beneficia a los débiles es que se la concibe como un cifrado convencional. Las personas con recursos mínimos pueden cifrar textos sin cifrar de tal manera que ni siquiera un adversario estatal, sin la clave, podrá descifrarlos.

Pero, ¿tiene que ser así necesariamente? Para funcionar, las primitivas criptográficas deben estar integradas en los sistemas, y estos sistemas pueden generar estructuras de poder que no se derivan trivialmente de la naturaleza de la herramienta. Con su habitual concisión, Schneier recuerda que «el cifrado no es más que matemáticas, y las matemáticas no tienen capacidad de acción».74 Si un proveedor de contenido transmite una película cifrada a un cliente que posee la clave de descifrado bloqueada en un hardware o software que no puede penetrar,75 hemos empoderado a los proveedores de contenido, no a los usuarios. Si combinamos la criptografía de clave pública con un sistema de custodia de claves que el FBI y la NSA pueden explotar, empoderamos a los gobiernos, no a las personas.76

Dicho todo esto, creo que es correcto afirmar que el cifrado convencional sí implica una tendencia a empoderar a la gente común. El cifrado apoya directamente la libertad de expresión. No requiere recursos costosos ni difíciles de obtener. Se basa en algo que se comparte fácilmente. Un individuo puede abstenerse de usar sistemas con puertas traseras.77 Incluso el lenguaje habitual para hablar de cifrado sugiere una visión del mundo en la que a la gente común —las Alices y los Bobs del mundo— se les debe brindar la oportunidad de un discurso privado. Y si se aborda desde la otra perspectiva, hay que trabajar para integrar el cifrado dentro de una arquitectura que sustenta el poder, y uno puede encontrar grandes obstáculos para el éxito. El chip Clipper fracasó por completo. La computación confiable fracasó en gran medida.78

74 Bruce Schneier: Datos y Goliat: Las batallas ocultas para recopilar tus datos y controlar tu mundo. W.W. Norton & Company, 2015. La cita proviene de la página 131.

75 Este fue el sueño que inspiró el Módulo de Plataforma Segura (TPM), un coprocesador que implementa un conjunto estándar de operaciones criptográficas dentro de un entorno a prueba de manipulaciones. Véase la entrada de Wikipedia: Módulo de Plataforma Segura, y las preguntas frecuentes de Ross Anderson: «Computación Confiable». http://www.cl.cam.ac.uk/∼rja14/tcpa-faq.html

76 Para un análisis detallado del chip Clipper, véase Michael Froomkin: La metáfora es la clave: criptografía, el chip Clipper y la constitución. University of Pennsylvania Law Review, 143(3), pp. 709–897, 1995.

77 Esto puede ser teóricamente posible, pero en la práctica difícil: podría resultar complicado para personas con escasos conocimientos técnicos. Por eso se dice: Cuando las criptomonedas sean ilegales, solo los delincuentes tendrán acceso a ellas (o a la privacidad, o a la seguridad) (atribución original desconocida).

78 Por otra parte, algunas otras formas de DRM (Gestión de Derechos Digitales) habilitadas criptográficamente, incluido el CSS (Sistema de Codificación de Contenido) utilizado para dificultar la copia de DVD, han sido razonablemente efectivas (desde el punto de vista de los propietarios de contenido).

IBE.79 ¿Qué hay del cifrado basado en identidad, IBE? Shamir propuso esta configuración, y años después Boneh y Franklin proporcionaron una implementación satisfactoria y demostrablemente segura.80 El objetivo es permitir que la dirección de correo electrónico de una persona, por ejemplo, sirva como su clave pública. Así, si Alice ya conoce la dirección de correo electrónico de Bob, no necesitará obtener su clave pública para enviarle un mensaje cifrado: simplemente cifra el mensaje con la dirección de correo electrónico de Bob.

Pero esta comodidad es posible gracias a un cambio radical en el modelo de confianza: la clave secreta de Bob ya no es autoseleccionada. La emite una autoridad de confianza. Dicha autoridad conoce la clave secreta de todos los usuarios del sistema. IBE incorpora un sistema de custodia de claves —de hecho, una forma de custodia en la que una sola entidad mantiene implícitamente todas las claves secretas— incluso las que aún no se han emitido. E incluso si se confía en la autoridad generadora de claves, un adversario estatal ahora dispone de un punto de acceso sumamente atractivo para citar a declarar o subvertir. En definitiva, desde el punto de vista de la privacidad personal, IBE podría parecer un enorme retroceso.

Las descripciones de IBE no suelen hacer hincapié en el cambio de modelo de confianza.81 Y la autoridad emisora de claves nunca parece denominarse de esa manera: simplemente se la conoce como PKG, por Generador de Claves Privadas. Esto suena más inocuo de lo que realmente es, y se asemeja más a un algoritmo que a una entidad. En los artículos, el PKG queda aún más relegado a un segundo plano porque es la tupla de algoritmos, y no las entidades que se supone que los ejecutan, la que fundamenta las definiciones y demostraciones formales.

Para que quede claro, no estoy condenando la IBE como una especie de tecnología fascista. Eso suena absurdo. Tampoco estoy sugiriendo que la IBE no pueda perfeccionarse para que el modelo de confianza sea menos autoritario.82 Sin embargo, es fácil ver la tendencia autoritaria inherente a la IBE. Y las tecnologías, si bien son adaptables, no lo son infinitamente. A medida que evolucionan, tienden a conservar sus orientaciones implícitas.

79 Las ideas expresadas sobre este tema son conjuntas con Mihir Bellare.

80 Adi Shamir: Sistemas criptográficos y esquemas de firma basados en identidad. Crypto ’84, págs. 47-53, 1984. Dan Boneh y Matthew Franklin: Cifrado basado en identidad a partir del emparejamiento de Weil. SIAM J. of Computing, 32(3), págs. 586-615, 2003. Véase también Ryuichi Sakai, Kiyoshi Ohgishi, Masao Kasahara: Sistemas criptográficos basados en emparejamiento. Simposio de 2000 sobre criptografía y seguridad de la información, 2000.

81 Por ejemplo, la entrada de Wikipedia “Cifrado basado en ID” (noviembre de 2015) tiene una sección inicial que ni siquiera menciona la presencia de una autoridad emisora de claves.

82 Para muchos esquemas IBE, es fácil distribuir el secreto del PKG, la clave maestra, entre varias partes. Además, se podría organizar la generación distribuida de esta clave, de modo que ninguna parte la posea. Ambos puntos se mencionan en el artículo original de Boneh y Franklin: op. cit., Sección 6, PKG distribuido.

Privacidad diferencial. Consideremos la privacidad diferencial.83 Dwork afirma que la privacidad diferencial ε “aborda las preocupaciones que cualquier participante podría tener sobre la filtración de su información personal: incluso si el participante eliminara sus datos del conjunto de datos, ninguna salida… se volvería significativamente más o menos probable”.84

En cierto modo, esto suena genial: ¿acaso no queremos proteger a las personas de las divulgaciones que comprometen su privacidad a partir de conjuntos de datos corporativos o gubernamentales? Pero una perspectiva más crítica y menos favorable a las instituciones hace que esta definición parezca errónea.85 Básicamente, el modelo pinta implícitamente al propietario de la base de datos (el curador) como el bueno, y a los usuarios que la consultan, como el adversario. Si el poder simplemente aceptara manipular las respuestas de la manera correcta, no habría problema en que mantuviera enormes cantidades de datos personales sobre cada uno de nosotros. Pero el historial de violaciones de la privacidad de datos sugiere que la principal amenaza para nosotros proviene del propio propietario de la base de datos y de aquellos que obtienen acceso total a los datos (por ejemplo, mediante robo o programas gubernamentales secretos). En segundo lugar, el daño que la privacidad diferencial busca evitar se concibe en términos totalmente individualistas. Pero las violaciones de la privacidad perjudican a comunidades enteras. El enfoque individualista presupone una concepción estrecha del valor de la privacidad. Finalmente,86 la privacidad diferencial presupone implícitamente que la recopilación de datos sirve a algún bien público. Sin embargo, esta afirmación suele ser muy discutible. La alternativa de recopilar menos datos, o incluso ninguno, rara vez se menciona. En definitiva, es necesario comparar la reducción del daño que supone el uso de la privacidad diferencial con el aumento del daño que supone que las empresas dispongan de otro medio para encubrir irregularidades, y que los responsables políticos crean, erróneamente, que existe algún tipo de criptomagia para proteger a las personas del uso indebido de datos.

83 Véase, por ejemplo: Cynthia Dwork: Privacidad diferencial: una revisión de resultados. Teoría y aplicaciones de modelos de computación, págs. 1–19, Springer, 2008.

84 Ibíd., pág. 2.

85 Para una crítica bastante diferente de la privacidad diferencial, véase Jane Bambauer, Krishnamurty Muralidhar, Rathindra Sarathy: Fool’s gold: an illustrated critique of differential privacy. Vanderbilt Journal of Entertainment and Technology Law, 16(4), pp. 701–755, verano de 2014.

86 Colleen Swanson, comunicaciones personales.

Recientemente, consulté con Ilya Mironov, experto en privacidad diferencial, sobre mi crítica severa. Explicó que los roles abstractos en entornos de privacidad diferencial no necesariamente se corresponden con las relaciones comerciales de forma obvia. Por ejemplo, una organización preocupada por la privacidad podría optar por que sus analistas accedan a datos confidenciales a través de una API que ofrezca cierta garantía de privacidad diferencial, tratando así a sus propios empleados como "adversarios". Mironov también explicó que existen distintas concepciones de la privacidad diferencial que no consideran implícitamente al propietario de la base de datos como bueno ni a quienes la consultan como malos. Describió la privacidad diferencial en el modelo local,87 donde cada persona mantiene sus datos en privado. Pueden calcular de forma distribuida las respuestas a las consultas. Fundamentalmente, explicó Mironov, la definición de privacidad diferencial es independiente del modelo de datos.

Si bien todo lo explicado tiene sentido, no creo que cambie el panorama. Ningún mecanismo real puede ser independiente de dónde se encuentren los datos. Y cuando se establece una arquitectura y un mecanismo de minería de datos, las consideraciones de eficiencia, familiaridad y economía —por no mencionar el deseo fundamental de las autoridades de poseer y conservar los datos— hacen que sea fácil predecir lo que sucederá: casi siempre, surgirá un diseño centralizado. Para mí, la privacidad diferencial puede ser tan autoritaria en sus fundamentos conceptuales como la bioseguridad basada en la información.

87 Cynthia Dwork, Krishnaram Kenthapadi, Frank McSherry, Ilya Mironov y Moni Naor: Nuestros datos, nosotros mismos: privacidad mediante la generación de ruido distribuido. Eurocrypt 2006, págs. 486–503. Para una exploración de las limitaciones del modelo local, véase también: Shiva Prasad Kasiviswanathan, Homin K. Lee, Kobbi Nissim, Sofya Raskhodnikova y Adam Smith: ¿Qué podemos aprender de forma privada? SIAM Journal of Computing, 40(3), págs. 793–826, 2011. Amos Beimel, Kobbi Nissim y Eran Omri: Análisis de datos privados distribuidos: sobre cómo y qué resolver simultáneamente. CRYPTO 2008, págs. 451-468. Véase también arXiv:1103.2626

FHE e iO. Desde el innovador trabajo de Craig Gentry,88 el cifrado totalmente homomórfico (FHE) ha sido objeto de un enorme interés intelectual. En resumen, FHE permite externalizar los datos, cifrados con una clave pública de elección propia, a un proveedor de servicios. Posteriormente, se puede solicitar a dicho proveedor cualquier información sobre el texto sin cifrar. El proveedor calcula la respuesta cifrada, sin conocer su significado. Esta respuesta se devuelve al usuario para su descifrado.

Desde una perspectiva política, FHE suena empoderador, incluso utópico. A la parte poderosa, por ejemplo, un proveedor de servicios en la nube, se le niega el acceso a tus datos. Evitas el pacto fáustico que suele estar presente en la computación en la nube.89

Pero el análisis anterior es engañoso. Es bastante especulativo que FHE llegue a convertirse en algo prácticamente útil. Si se quiere evaluar las implicaciones políticas de algo de utilidad especulativa, no basta con suponer que dará lugar a las aplicaciones anunciadas y luego intentar predecir quién ganaría y quién perdería. Es demasiado conjetural. Es mejor centrarse en cómo esta búsqueda nos transforma en el presente.

Y sobre eso, diría que FHE, junto con iO,90 han generado una nueva ola de entusiasmo. En propuestas de subvención, entrevistas con los medios y charlas, los principales teóricos hablan de FHE e iO como indicadores revolucionarios de dónde hemos llegado.91 Nadie parece enfatizar lo especulativo que es que algo de esto tenga algún impacto en la práctica. Tampoco se enfatiza nuestra privacidad menguante, nuestra pésima seguridad informática, o lo poco que la criptografía moderna ha hecho realmente para cambiar este panorama. Y esto tiene consecuencias. (a) Engaña al público sobre nuestra situación. (b) Desvía recursos financieros de áreas con mayor probabilidad de tener utilidad social. (c) Anima a jóvenes investigadores brillantes a trabajar en direcciones muy poco prácticas. (d) Y proporciona una cobertura útil a los oponentes más acérrimos de la privacidad: las agencias de defensa e inteligencia.

88 Craig Gentry: Cifrado totalmente homomórfico mediante retículos ideales. STOC 2009.

89 Me refiero, por supuesto, al intercambio de información personal para un servicio de red.

90 El acrónimo es para ofuscación de indistinguibilidad. Sanjam Garg, Craig Gentry, Shai Halevi, Mariana Raykova, Amit Sahai y Brent Waters: Ofuscación de indistinguibilidad candidata y cifrado funcional para todos los circuitos. FOCS 2013, pp. 40–49. Trabajo anterior que introduce iO: Boaz Barak, Oded Goldreich, Russell Impagliazzo, Steven Rudich, Amit Sahai, Salil Vadhan y Ke Yang. Sobre la (im)posibilidad de ofuscar programas. JACM, 59(2):6, 2012. Versión anterior en CRYPTO 2001.

91 Véase, por ejemplo: Erica Klarreich: Perfeccionando el arte del sinsentido sensato. Quanta Magazine, 30 de enero de 2014. «Los investigadores consideran este nuevo trabajo un momento decisivo para la criptografía. … Si se ha resuelto el problema de la ofuscación, ¿qué queda para los criptógrafos?» Kevin Hartnett: Un nuevo diseño para la caja negra de la criptografía. Quanta Magazine, 2 de septiembre de 2015. «Los nuevos avances demuestran que la seguridad informática casi perfecta podría estar sorprendentemente cerca».

Permítanme ampliar la última afirmación. Esto es lo que el director del programa de DARPA, Dan Kaufman, dijo sobre FHE en una entrevista de 2014:

Imagina un futuro que diga: «Vale, tengo que recopilarlo todo para que el big data funcione, porque si supiera qué no es relevante, no sería big data. Pero no quiero que el gobierno revise mis correos electrónicos a su antojo: eso me da escalofríos…».

Este tipo, Craig Gentry, demostró que se podía tomar un dato, cifrarlo, enviarlo por la red, no descifrarlo jamás y aun así realizar cálculos con él. Suena descabellado, pero demostró que se puede hacer.

Podríamos imaginar lo siguiente: … [Las organizaciones] recopilan … datos, pero solo en … formato cifrado …. Ahora bien, supongamos que creemos que hay un delincuente escondido en algún lugar de estos datos cifrados. Entonces, se me ocurre una serie de términos de búsqueda …. Podría ir a un tribunal … [y ellos] podrían decir: “Sí, parece razonable”. Introduzco la búsqueda en el motor de búsqueda, pero … lo único que aparece es un número: cuántas personas cumplen con ese criterio … Regresamos al tribunal de la FISA y decimos: “Bien, tenemos 12.” … Me imagino a la FISA introduciendo una llave, y luego a la Agencia introduciendo otra, y ambas la giran. Y en ese momento, por primera vez, … se revelan esos 12.92

92 Evelyn M. Rusli: Una directora de DARPA habla sobre el cifrado totalmente homomórfico (o una forma en que Estados Unidos podría recopilar datos). Blog del Wall Street Journal: blogs.wsj.com. 9 de marzo de 2014. Cita editada para corregir la puntuación.

Por supuesto, es un completo disparate. Para empezar, no hay manera de entender quién tiene qué clave y qué datos para que FHE pueda siquiera aplicarse. También nos dicen: que necesitamos recopilar todo porque, si no lo hiciéramos, no tendríamos suficientes datos para tener muchos datos; que el gobierno será cuidadoso, ya que sería "inquietante" si no lo fuera; que obtendrán órdenes judiciales, incluso, aparentemente, para descubrir la cantidad de personas en los conjuntos de datos que cumplen con ciertos criterios de búsqueda específicos; y que para obtener información de identificación personal, necesitarán la cooperación de la NSA y el tribunal FISA.

La entrevista incipiente de Kaufman es apenas un pequeño fragmento de discurso en un océano de desinformación sobre la privacidad. No desacredita a FHE, pero sí sugiere cómo el poder pretende utilizar este tipo de trabajo: permitiéndoles murmurar palabras que suenen favorables a la privacidad. Proporcionar una sólida financiación a FHE e iO ofrece una cobertura política sin riesgos. Refuerza la narrativa de que el almacenamiento y la computación en la nube son seguros. Ayuda a afianzar valores predilectos dentro de la comunidad criptográfica: enfoques especulativos y centrados en la teoría. Y ayuda a mantener a raya a académicos inofensivos que, si se atrevieran a innovar, podrían comenzar a explorar áreas más sensibles.

Criptoanálisis. Finalmente, permítanme mencionar brevemente el criptoanálisis. Podría interpretarse erróneamente la labor criptoanalítica académica como un ataque a la privacidad de los usuarios legítimos —un ataque a personas inofensivas como Alice y Bob—, lo que parecería favorecer el poder.⁹³ Pero esta es la visión opuesta a la correcta. La razón por la que los criptógrafos académicos realizan criptoanálisis es para informar mejor a los diseñadores y usuarios de criptosistemas sobre qué es seguro y qué no lo es. Esta actividad no se realiza para vigilar a las personas, sino para ayudar a garantizar que no sean vigiladas, al menos por medios criptoanalíticos. Y este trabajo suele tener precisamente ese efecto. La historia de WEP ofrece un buen ejemplo.⁹⁴

Cuando la NSA o el GCHQ realizan criptoanálisis, lo hacen con un propósito muy diferente y con un efecto muy distinto. ¿Significa esto que el criptoanálisis realizado por un grupo de personas (agentes de inteligencia) tenderá a favorecer a la autoridad, mientras que el realizado por otro grupo (académicos) tenderá en la dirección opuesta? Así es. El trabajo específico será diferente; su difusión será diferente; y su impacto en los derechos humanos será diferente.

93 Adi Shamir, comunicaciones personales, diciembre de 2015.

94 WEP (Wired Equivalent Privacy) era un protocolo criptográfico con graves fallos que sustentaba las primeras redes 802.11 (Wi-Fi). Una serie de ataques devastadores provocaron la sustitución de WEP por un esquema mejor. El primero de los ataques fue: Scott Fluhrer, Itski Mantin y Adi Shamir: Debilidades en el algoritmo de programación de claves de RC4. Selected Areas of Cryptography (SAC 2001), págs. 1-24, 2001.

Participación no amenazante. Por supuesto, no ha pasado desapercibido para las agencias de inteligencia que la mayoría de la comunidad criptográfica académica participa de manera no amenazante. En un informe de viaje desclasificado sobre Eurocrypt 1992, el autor de la NSA opina, por ejemplo:95

No hubo propuestas de criptosistemas, ni criptoanálisis novedosos de diseños antiguos, ni siquiera información sobre diseño de hardware. Sinceramente, no veo cómo las cosas podrían haber sido mejores para nuestros propósitos.

El boletín informativo de la NSA en el que aparece este informe nunca volvería a mencionar a esa comunidad criptográfica académica.96 Tampoco ningún documento publicado derivado de Snowden habló de nuestra comunidad.97 Es como si hubiéramos pasado de ser un grupo de filósofos98 que merecían unas pocas páginas de comentarios sarcásticos99 a un conjunto demasiado insignificante incluso para eso.

95. Reseña de Eurocrypt 1992. Nombre del autor censurado. Agencia de Seguridad Nacional, CRYPTOLOG. Primer número de 1994. Disponible en http://tinyurl.com/eurocrypt1992

Se encuentran disponibles 96 136 ediciones del boletín informativo de la NSA, CRYPTOLOG, en versión censurada. El período que abarca es de 1974 a 1997. El archivo se puede consultar en https://www.nsa.gov/public_info/declass/cryptologs.shtml

97 Por supuesto, Tor se discute ampliamente en los documentos de Snowden, pero sería erróneo ver a Tor como una contribución que surge de la comunidad criptográfica, ni como algo que se aborda mucho dentro de ella.

98 Este es el término que prefiere el autor de la NSA mencionado anteriormente.

99 El uso de la palabra "sarcástico" aquí proviene de Bruce Schneier: Informe sarcástico de la NSA de 1992 sobre criptografía académica. Entrada de blog, 18 de noviembre de 2014. https://www.schneier.com/blog/archives/2014/11/snarky_1992_nsa.html

Conclusión de la parte 2. Un ensayo de 2013 de Arvind Narayanan propone una taxonomía sencilla para el trabajo criptográfico: existe criptografía para la seguridad y criptografía para la privacidad. La criptografía para la seguridad se refiere a la criptografía con fines comerciales. Es la criptografía presente en TLS, tarjetas de pago y teléfonos móviles. La criptografía para la privacidad tiene fines sociales o políticos. Aquí, el autor distingue entre la criptografía pragmática —que busca utilizar la criptografía para preservar nuestra privacidad predigital— y la criptografía cypherpunk —la aspiración más ambiciosa de utilizar la criptografía para impulsar reformas sociales o políticas radicales—. El autor sugiere que la criptografía para la seguridad ha tenido éxito, pero la criptografía para la privacidad no ha tenido el mismo impacto.

Creo que la distinción que hace Narayanan es esclarecedora, pero omite mencionar que la mayor parte de la criptografía académica no se centra realmente en la seguridad ni en la privacidad: se podría decir que se centra en el propio cripto, lo que significa que aparentemente no beneficia al comercio ni a la privacidad, y es bastante incierto si alguna vez evolucionará para hacerlo. Quizás cada campo acabe siendo principalmente autorreferencial. Tal vez esto sea incluso necesario, hasta cierto punto. Pero en el caso de la criptografía, se pierde mucho cuando nos volvemos tan ensimismados que casi nadie trabaja en problemas que podríamos resolver y que aborden alguna necesidad humana básica. El enfoque centrado en el cripto deja de lado el enfoque centrado en la privacidad, dejando un vacío, tanto técnico como ético, en lo que hacemos colectivamente.

100 Arvind Narayanan: ¿Qué pasó con el sueño criptográfico? Parte 1 en IEEE Security and Privacy Magazine, 11(2), pp. 75–76, 2013. Parte 2 en IEEE Security and Privacy Magazine, 11(3), pp. 68–71, 2013.

La vigilancia masiva ha motivado el contenido de este ensayo, pero ¿es realmente tan grave? Antes de las revelaciones de Snowden,¹⁰¹ yo mismo no lo creía. Los problemas ambientales me parecían una mayor amenaza para el futuro de la humanidad, y las interminables guerras de mi país me parecían merecedoras de una mayor consternación moral. No fue hasta el caso de Snowden que finalmente comprendí que el tema de la vigilancia era grave, estaba estrechamente ligado a nuestros valores y a nuestra profesión, y se estaba presentando de forma bastante engañosa.

El encuadre de las fuerzas del orden. El encuadre de la vigilancia masiva determina lo que uno piensa que es.¹⁰² Y la vigilancia masiva ha sido brillantemente encuadrada por las autoridades para sesgar el discurso en una dirección particular y predecible. Permítanme describir lo que llamaré el encuadre de las fuerzas del orden, tal como lo comunica regularmente el director del FBI (de EE. UU.), James Comey:¹⁰³

1. La privacidad es un bien personal. Se trata de tu deseo de controlar la información personal que te concierne.

2. La seguridad, por otro lado, es un bien colectivo. Se trata de vivir en un mundo seguro.

3. Privacidad y seguridad son intrínsecamente contradictorias. Al reforzar una, se debilita la otra. Necesitamos encontrar el equilibrio adecuado.

4. La tecnología de las comunicaciones modernas ha destruido el equilibrio anterior. Ha sido una bendición para la privacidad y un golpe para la seguridad. El cifrado es especialmente amenazante. Nuestras leyes simplemente no se han adaptado.104

5. Por esta razón, los malos pueden ganar. Los malos son terroristas, asesinos, pedófilos, narcotraficantes y blanqueadores de dinero.105 La tecnología que usamos los buenos, los malos también la usan para evitar ser detectados.

6. En este punto, corremos el riesgo de quedarnos a oscuras. Se emitirán órdenes judiciales, pero, debido al cifrado, serán inútiles. Nos estamos convirtiendo en un país de armarios impenetrables. El cifrado por defecto puede ser una buena estrategia de marketing, pero es un diseño imprudente. Nos llevará a un lugar muy oscuro.

La narrativa es inconsistente con la historia de la recopilación de inteligencia y con la propia declaración de misión de la NSA.¹⁰⁷ Sin embargo, la incómoda coexistencia de la narrativa con la realidad no ha importado. De hecho, está magistralmente elaborada para enmarcar los asuntos de una manera que garantice que el discurso se dirija hacia donde la autoridad desea. Es un brillante discurso del miedo: miedo al crimen; miedo a perder la protección de nuestros padres; incluso miedo a la oscuridad. El engaño bien perfeccionado de la narrativa es en sí mismo una forma de arte de espionaje.¹⁰⁸

101 Para un análisis de la información clave obtenida de las revelaciones de Snowden, consulte las páginas web de la EFF «NSA Spying on America» (https://www.eff.org/nsa-spying) y la página web de la ACLU «NSA Surveillance» (https://www.aclu.org/issues/nationalsecurity/privacy-and-surveillance/nsa-surveillance).

102 Collin Bennett: Los defensores de la privacidad: Resistiendo la propagación de la vigilancia. The MIT Press, 2008.

103 James Comey: “Oscurecimiento: ¿La tecnología, la privacidad y la seguridad pública están en rumbo de colisión?” Discurso en el Instituto Brookings, 16 de octubre de 2014. http://tinyurl.com/comey-going-dark

104 Comey habla en particular de CALEA, la Ley de Asistencia en Comunicaciones para la Aplicación de la Ley, la ley estadounidense de 1994 que exige que los equipos de telecomunicaciones incorporen capacidades de interceptación legal, pero no exige tales capacidades para el correo electrónico cifrado, la mensajería instantánea y similares.

105 La lista tradicional de villanos, los “cuatro jinetes del infoapocalipsis”, omite a los asesinos; véase Assange et al., Cypherpunks, op. cit. Cabe destacar que, en su discurso en el Instituto Brookings, Comey añade a los asesinos a esta lista y excluye a los blanqueadores de dinero. Esta estrategia es astuta, ya que el blanqueo de dinero es un delito tecnocrático y legalista comparado con el asesinato.

106 La frase (incluida la mayúscula) proviene del discurso de Comey que acabamos de citar.

107 Informes del Comité Church, 1975–1976. Disponible en http://www.aarclibrary.org/publib/church/reports/contents.htm. Frank Donner: La era de la vigilancia: Objetivos y métodos del sistema de inteligencia política de Estados Unidos. Vintage Press, 1981. Documento clasificado de la NSA: Plan estratégico de la misión SIGINT, años fiscales 2008–2013. 3 de octubre de 2007. http://tinyurl.com/sigint-plan

108 “El engaño verbal es en sí mismo una práctica de inteligencia”, explica Donner, op. cit., pág. xiv. Véase también su Apéndice I, págs. 464–466.

Enfoque de los estudios de vigilancia. Por supuesto, existen formas radicalmente diferentes de abordar la vigilancia masiva. Consideremos la siguiente manera de hacerlo, que sigue ideas frecuentemente escuchadas por los cypherpunks y los estudios de vigilancia.¹⁰⁹

1. La vigilancia es un instrumento de poder.¹¹⁰ Forma parte de un aparato de control. El poder no tiene por qué ser evidente para ser efectivo: los métodos sutiles, psicológicos y casi invisibles pueden ser incluso más efectivos.

2. Si bien la vigilancia no es nada nuevo, los cambios tecnológicos han otorgado a gobiernos y corporaciones una capacidad sin precedentes para monitorear las comunicaciones y los movimientos de todos. Vigilar a todos se ha vuelto más barato que determinar a quién vigilar, y el costo marginal es ahora mínimo.¹¹¹ Internet, que alguna vez fue visto por muchos como una herramienta de emancipación, se está transformando en el facilitador más peligroso del totalitarismo jamás visto.¹¹²

3. La vigilancia gubernamental está estrechamente vinculada a la ciberguerra. Las vulnerabilidades de seguridad que permiten una facilitan la otra. Y, al menos en Estados Unidos, las mismas personas y agencias se encargan de ambas tareas. La vigilancia también está estrechamente vinculada a la guerra convencional. Como explicó el general Michael Hayden, «matamos personas basándonos en metadatos».¹¹³ La vigilancia y el asesinato mediante drones constituyen un mismo ecosistema tecnológico.

4. El discurso de las fuerzas del orden se equivoca al considerar la privacidad como un bien individual, cuando es, igualmente, un bien social. Es igualmente erróneo considerar la privacidad y la seguridad como valores contrapuestos, ya que la privacidad refuerza la seguridad con la misma frecuencia con la que entra en conflicto con ella.

5. La vigilancia masiva tenderá a producir personas uniformes, sumisas y superficiales.¹¹⁴ Obstaculizará o revertirá el progreso social. En un mundo de vigilancia omnipresente, no hay espacio para la exploración personal ni para cuestionar las normas sociales. Viviendo con miedo, no existe la verdadera libertad.

6. Pero la vigilancia progresiva es difícil de detener, debido a los intereses entrelazados de las corporaciones y los gobiernos.¹¹⁵ La criptografía ofrece al menos cierta esperanza. Con ella, se podría crear un espacio libre del alcance del poder.

109 Michel Foucault: Vigilar y castigar: El nacimiento de la prisión. Alan Sheriden, traductor. 1975/1977. Frank Donner, op. cit. Assange et al., op. cit. David Lyon: Estudios de vigilancia: Una visión general. 2007. David Murakami Wood y Kirstie Ball: Un informe sobre la sociedad de la vigilancia. Sep. 2006.

110 Incluso la etimología de vigilancia lo sugiere: del francés: sur, que significa sobre, más veiller, que significa vigilar. Por lo tanto: vigilar desde arriba, desde una posición de poder. Una variante interesante de esta concepción es la noción de sousveillance, acuñada por Steve Mann. Véase la entrada de Wikipedia: Sousveillance.

111 Agregar un número de teléfono más a una escucha telefónica es prácticamente gratis. Kevin S. Bankston y Ashkan Soltani: Agentes de policía en miniatura y el costo de la vigilancia: sacando provecho del caso Estados Unidos contra Jones. The Yale Law Journal, vol. 123, enero de 2014.

112 Esta frase es una modificación leve de Assange et al., Cypherpunks, op. cit.

113 Michael Hayden: El Simposio de Asuntos Exteriores de Johns Hopkins presenta: El precio de la privacidad: una reevaluación de la NSA. 9 de mayo de 2014. Vídeo disponible en https://www.youtube.com/watch?v=kV2HDM86XgI

114 Respecto a la última de estas afirmaciones: «Una vida vivida enteramente en público, en presencia de otros, se vuelve, como diríamos, superficial». Hannah Arendt, La condición humana. Chicago University Press, 1959.

115 Por supuesto, las corporaciones y los gobiernos también tienen, en ocasiones, intereses contrapuestos, como cuando la publicidad sobre la vigilancia ahuyenta a los clientes. Esta es la fuerza que motiva los principios enunciados en https://www.reformgovernmentsurveillance.com/

La historia demuestra que la vigilancia gubernamental a gran escala adquiere un carácter político. Como documentan exhaustivamente el abogado de derechos civiles Frank Donner y los informes de la Comisión Church, la vigilancia interna bajo la dirección del FBI, J. Edgar Hoover, sirvió como mecanismo para proteger el statu quo y neutralizar los movimientos de cambio.¹¹⁶ Muy pocos de los esfuerzos de vigilancia del FBI se dirigieron a las fuerzas del orden: dado que las actividades vigiladas rara vez eran ilegales, las conductas indeseadas resultaban en sabotaje, amenazas, chantaje y procesamientos inapropiados. Por ejemplo, utilizando grabaciones de audio de vigilancia, el FBI intentó que el Dr. Martin Luther King, Jr., se suicidara.¹¹⁷ Las universidades estadounidenses fueron infiltradas por completo con informantes: estudiantes, profesores, personal administrativo y empleados seleccionados informaban a una extensa red de agentes del FBI sobre cualquier actividad política que ocurriera en el campus. La vigilancia de la disidencia se convirtió en un pilar institucional para el mantenimiento del orden político. El programa COINTELPRO de Estados Unidos se prolongó durante más de 15 años, transformando permanentemente el panorama político estadounidense.¹¹⁸

116 Church, op. cit.; Donner, op. cit.; y Julian Sanchez: El verdadero peligro de las escuchas telefónicas. Los Angeles Times, 16 de marzo de 2008. http://articles.latimes.com/2008/mar/16/opinion/op-sanchez16

117 Nadia Kayyali: La “carta de suicidio” del FBI al Dr. Martin Luther King, Jr., y los peligros de la vigilancia sin control. 12 de noviembre de 2014. Sitio web de la EFF, http://tinyurl.com/fbi-suicide-letter

118 Informes del Comité de la Iglesia, op. cit., y Frank Donner, op. cit.

Nuestro futuro distópico. Las consecuencias de la vigilancia masiva han sido exploradas brillantemente en obras de ficción, comenzando con la novela Nosotros de Yevgeny Zamyatin de 1921 (que inspiró 1984 de Orwell). Ambientada en un futuro de vigilancia total, los habitantes del "Estado Único" han interiorizado lecciones como: "nosotros" proviene de Dios y "yo" del diablo; que la imaginación es una enfermedad; y que la clave para librar al hombre del crimen es privarlo de su libertad.

Pero no hace falta recurrir a relatos ficticios o históricos para anticipar hacia dónde nos dirigimos. En una columna de un boletín informativo de 2012, Jacob Weber, el "filósofo de la inteligencia de señales" de la NSA, comparte su propia visión. Tras no superar una prueba del detector de mentiras de la NSA, afirma:

Me encontré deseando que mi vida fuera monitoreada constante y completamente. Puede parecer extraño que un autoproclamado libertario deseara una distopía orwelliana para sí mismo, pero esta era mi lógica: si la gente supiera algunas cosas sobre mí, podría parecer sospechoso. Pero si lo supieran todo sobre mí, verían que no tenían nada que temer.

… Un objetivo que119 no tiene mala voluntad hacia los EE. UU., pero que está siendo monitoreado, necesita un mejor y más monitoreo, no menos. Así que si vamos a arriesgarnos un poco, debemos arriesgarnos mucho.120

119 Observe el uso de that y which, en lugar de who: el objetivo no es una persona sino una cosa.

120 Jacob Weber (desanonimizado por los lectores de The Intercept): ¡El filósofo de la SIGINT ha vuelto, con una cara nueva! SIDtoday. 29 de mayo de 2012. goo.gl/TyBzig
Peter Maass escribe sobre el filósofo de la SIGINT en: El filósofo de la vigilancia, The Intercept, 11 de agosto de 2015. Su artículo puede ser mi favorito de todo el corpus de artículos que surgieron de las revelaciones de Snowden. Funciona en múltiples niveles, dando al lector la incómoda sensación de hacerle a otro (e incluso disfrutar haciéndole a otro) precisamente lo que no querría que le hicieran a él. "La vida moderna es una mezcla tan impía de voyeurismo y exhibicionismo", dice el personaje de Stella Gibson (Gillian Anderson) en la serie de televisión de Allan Cubitt, The Fall (2014) (temporada 2, episodio 4).

Envueltos en un secretismo y una complejidad enormes, los contornos básicos del estado de vigilancia son fundamentalmente inescrutables. ¿Qué puede hacer el individuo? Con la comunicación de todos monitoreada, sabe que es un objetivo de facto. Millones de observaciones se realizan sobre su vida. Es analizado mediante técnicas que no comprende en absoluto. Sabe que los datos de hoy, y de ayer, serán examinados por los algoritmos del mañana. Estos emplearán un sofisticado procesamiento del lenguaje natural, pero probablemente no comprenderán el discurso humano. Ante todo esto, el individuo racional no tiene más remedio que cuidar lo que dice e intentar comportarse como los demás.

La película Citizenfour (2014) alcanza su mejor momento cuando logra esbozar la forma de este mundo emergente. Un crítico escribe sobre la película

evocando al Estado moderno como una presencia invisible y omnipresente, una abstracción con enormes recursos coercitivos a su disposición.

Está en todas partes y en ninguna, el leviatán cuyo vientre es nuestra atmósfera natal. El señor Snowden, desconectando el teléfono en su habitación, escondiéndose bajo una manta al teclear en su portátil, con una expresión de leve pánico cuando se prueba la alarma de incendios en su piso, puede parecer paranoico. También puede parecer que practica una especie de sentido común vanguardista. Es difícil distinguir la diferencia, y esto… puede provocar una especie de vértigo epistemológico. ¿Qué sabemos sobre lo que se sabe sobre nosotros? ¿Quién lo sabe? ¿Podemos confiar en ellos?121

121 A. O. Scott: Desafiando la vigilancia constante: «Citizenfour», un documental sobre Edward Snowden. Crítica cinematográfica del New York Times, 23 de octubre de 2014.

Para ser más directo: levanto el teléfono y llamo a mi colega, Mihir Bellare, o le envío un correo electrónico. ¿Cuántas copias de esta comunicación se almacenarán y quién las guardará? ¿Qué algoritmos la analizarán, ahora y en el futuro? ¿Con qué otros datos se combinará para intentar reconstruir mi perfil? ¿Qué podría llevar a un analista humano a intervenir? ¿Podría mi llamada o correo electrónico contribuir a una auditoría fiscal, a una decisión negativa sobre la concesión de subvenciones, a alguna maniobra sucia al estilo Hoover, o incluso a un asesinato? No hay una sola persona que conozca la respuesta a estas preguntas, y quienes más la conocen no están dispuestos a revelarla.

Conclusión de la parte 3. En definitiva, no me interesan demasiado las quejas individuales sobre la privacidad; me preocupa mucho más el impacto de la vigilancia en la sociedad y los derechos humanos. La vigilancia totalizada reduce drásticamente la posibilidad de una disidencia política efectiva. Y sin disidencia, el progreso social es improbable.

Consideremos un suceso como el robo de 1971 a la oficina del FBI en Media, Pensilvania.¹²² Con el grado de vigilancia al que estamos sometidos actualmente, los denunciantes —empezando por aquel enérgico profesor de física que lideró la iniciativa¹²³— habrían sido arrestados de inmediato e incluso acusados de espionaje. Habrían pasado años en prisión o incluso se habrían enfrentado a la pena de muerte. Ante tales consecuencias y probabilidades, los activistas no habrían intentado su audaz robo. En un ensayo que se centra en las soluciones para la vigilancia excesiva, Richard Stallman pregunta:

¿Dónde se encuentra exactamente el nivel máximo tolerable de vigilancia, más allá del cual se vuelve opresiva? Esto ocurre cuando la vigilancia interfiere con el funcionamiento de la democracia: cuando existe la posibilidad de que los denunciantes (como Snowden) sean capturados.¹²⁴

122 Betty Medsger: El robo: El descubrimiento del FBI secreto de J. Edgar Hoover. Knopf, 2014.

123 William Davidon, como se revela en Medsger, El robo, Ibid.

124 Richard Stallman: ¿Cuánta vigilancia puede soportar la democracia? Wired, 14 de octubre de 2013. Véase también http://www.gnu.org/philosophy/surveillance-vs-democracy.html

La vigilancia en línea y telefónica ya resulta en el encarcelamiento de disidentes políticos en todo el mundo,125 y sustenta el programa de asesinatos con drones de mi propio país.126 En Estados Unidos, el modelo policial de Miami127 ha convertido la asistencia a protestas políticas (o simplemente estar cerca de una en el coche o con el teléfono) en una propuesta intimidante. Con las comunicaciones de los periodistas monitoreadas sistemáticamente, el periodismo de investigación está bajo ataque.128 ¿Es posible la democracia o el progreso social en un entorno así?

Pero, a pesar de todos estos argumentos, soy escéptico respecto a las explicaciones racionalistas de las afrentas éticas, ya sea la vigilancia masiva o cualquier otra cosa. Si nos comportamos moralmente, no es por análisis racionales, sino por una preferencia instintiva por la libertad, la empatía o la compañía.¹²⁹ Como señala Schneier, a los animales no les gusta ser vigilados porque los hace sentir como presas, mientras que hace que el vigilante se sienta —y actúe— como un depredador.¹³⁰ Creo que las personas saben a nivel instintivo que una vida en la que nuestros pensamientos, discursos e interacciones están sujetos a una vigilancia constante, ya sea algorítmica o humana, no es vida en absoluto. Estamos corriendo hacia un mundo que sabemos, incluso sin pensamiento racional, que no es un lugar al que pertenece el ser humano.

125 Reporteros sin Fronteras: Los enemigos de Internet: Edición especial: Vigilancia. 2013. http://surveillance.rsf.org/en/

126 Jeremy Scahill y Glenn Greenwald: El papel secreto de la NSA en el programa de asesinatos de Estados Unidos. The Intercept, 9 de febrero de 2014.

127 Greg Elmer y Andy Opel: Preempting Dissent: The Politics of an Inevitable Future. Arbeiter Ring Publishing, 2008. Véase también la película Preempting Dissent (2014), del mismo equipo. http://preemptingdissent.com/

128 Human Rights Watch: Con la libertad de vigilarlo todo: cómo la vigilancia a gran escala en Estados Unidos perjudica al periodismo, al derecho y a la democracia estadounidense. Julio de 2014.

129 Michael Gazzaniga: El cerebro ético: La ciencia de nuestros dilemas morales. Dana Press, 2005.

130 Bruce Schneier, op. cit., parafraseando una oración de la pág. 127.

¿Qué podemos hacer los criptógrafos para aumentar colectivamente nuestra contribución a la criptografía para la privacidad? No pretendo ofrecer respuestas fáciles. Solo puedo aportar ideas modestas.

Mensajería segura en el modelo de servidor no confiable. La selección del problema es el aspecto más obvio para determinar el impacto de nuestra comunidad, y la mensajería segura, en todas sus formas, sigue siendo el problema más importante en criptografía para la privacidad. Si bien las redes mixtas, el enrutamiento cebolla y las redes DC han demostrado ser muy útiles,131 aún no es demasiado tarde para pensar en nuevas arquitecturas para comunicaciones seguras.

Consideremos el siguiente problema, inspirado en Pond y el protocolo PANDA que puede utilizar.¹³² El objetivo es similar al del protocolo Pond de Adam Langley: crear una alternativa al correo electrónico o la mensajería instantánea, pero donde el "gran hermano" no pueda saber quién se comunica con quién. A diferencia de Pond, no quiero depender de Tor, ya que buscamos seguridad frente a un adversario global y activo (así como un tratamiento de seguridad limpio y demostrable). Tor siempre puede añadirse como medida heurística para ocultar a los participantes del sistema.

La intención es la siguiente: se asume que las parejas de personas que desean comunicarse comparten inicialmente una contraseña. No hablarán directamente entre sí; en cambio, todas las comunicaciones pasarán por un servidor no confiable. Primero, las partes actualizan su contraseña compartida a una clave segura mediante un protocolo de encuentro anónimo. Posteriormente, el remitente puede depositar un mensaje cifrado (de longitud constante) en el servidor. Cuando una parte desea recuperar su i-ésimo mensaje, interactúa con el mismo servidor, que le proporciona una cadena de caracteres calculada a partir del contenido de la base de datos. Este valor permite al receptor recuperar el mensaje deseado o, alternativamente, le indica que no existe tal i-ésimo mensaje para él. Sin embargo, en todo momento, lo único que ve el servidor son las partes depositando cadenas de caracteres aparentemente aleatorias en el servidor y las partes recogiendo cadenas de caracteres aparentemente aleatorias del servidor, calculadas mediante la aplicación de alguna función no secreta a la base de datos no secreta del servidor. Ni el servidor ni un adversario global activo pueden determinar quién se ha comunicado con quién, ni siquiera si se ha producido una comunicación. El objetivo es hacer todo esto de la forma más eficiente posible; en particular, mucho más eficientemente que si el servidor simplemente entregara a cada destinatario su base de datos completa de mensajes cifrados.

En un trabajo en curso, mis colegas y yo estamos desarrollando un tratamiento de seguridad demostrable para el enfoque anterior. Este utiliza una definición convencional basada en juegos, en lugar de los conceptos o el vocabulario imprecisos de gran parte de la literatura sobre anonimato.¹³³ Esperamos que la mensajería anónima en este modelo de servidor no confiable resulte práctica en entornos de alta latencia. Ya veremos.

131 Joan Feigenbaum y Bryan Ford: En busca del anonimato en un panóptico de Internet. Communications of the ACM, 58(10), octubre de 2015.

132 Adam Langley: Pond. Páginas web alojadas en https://pond.imperialviolet.org/. Para PANDA, véase Jacob Appelbaum y “another cypherpunk”: Going dark: phrase automated nym discovery authentication: or, finding friends and lovers using the PANDA protocol to re-nymber after everything is lost: or, discovering new Pond users easily. Manuscrito, 21 de febrero de 2014. https://github.com/agl/pond/tree/master/papers/panda

133 Andreas Pfitzmann y Marit Hansen presentan un ambicioso pero informal intento de unificar la terminología y los conceptos relacionados con la privacidad y el anonimato: Anonimato, anonimato, indetectabilidad, inobservabilidad, pseudonimia y gestión de la identidad: una propuesta consolidada de terminología. Versión v0.34. 10 de agosto de 2010. Manuscrito disponible en http://dud.inf.tu-dresden.de/Anon_Terminology.shtml

Criptografía de clave grande. A continuación, les describiré algunos trabajos recientes de Mihir Bellare, Daniel Kane y yo que denominamos criptografía de clave grande.¹³⁴

El objetivo de la criptografía de clave grande es permitir que las operaciones criptográficas dependan de claves enormes, de megabytes a terabytes de longitud. Queremos que nuestras claves sean tan largas que resulte imposible para un adversario extraerlas. Sin embargo, el uso de una clave tan grande no debe ralentizar el proceso. Esto implica que, en cada uso, solo se inspeccionará una pequeña fracción de los bits de la clave.

La idea básica no es nueva: el concepto se suele denominar seguridad en el modelo de recuperación limitada.¹³⁵ Pero nuestro enfoque es novedoso: herramientas prácticas y generales, con límites precisos y concretos. No tenemos inconveniente en utilizar el modelo de oráculo aleatorio para lograr estos fines.

134 Mihir Bellare, Daniel Kane, Phillip Rogaway: Criptografía de clave grande: cifrado simétrico con claves enormes y una herramienta general para lograr resistencia a la filtración de claves. Manuscrito, 2015.

135 Stefan Dziembowski: Resiliencia a intrusiones mediante el modelo de almacenamiento limitado. TCC 2006. Giovanni Di Crescenzo, Richard J. Lipton, Shabsi Walfish: Protocolos de contraseñas perfectamente seguros en el modelo de recuperación limitada. TCC 2006. David Cash, Yan Zong Ding, Yevgeniy Dodis, Wenke Lee, Richard J. Lipton, Shabsi Walfish: Intercambio de claves resistente a intrusiones en el modelo de recuperación limitada. TCC 2007. Joël Alwen, Yevgeniy Dodis, Daniel Wichs: Encuesta: resiliencia a fugas y el modelo de recuperación limitada. ICITS 2009. El trabajo en el modelo de recuperación limitada tiene raíces anteriores en el modelo de almacenamiento limitado de Maurer: Ueli Maurer: Secreto condicionalmente perfecto y un cifrado aleatorio demostrablemente seguro. Revista de Criptología, 5(1), págs. 53–66, 1992.

Supongamos que tienes una clave grande K. Quieres usarla para algún protocolo P que ha sido diseñado para usar una clave K de longitud convencional. Entonces, elige un valor aleatorio R (quizás de 256 bits) y aplícale una función hash para obtener un número p de sondas en la clave grande:

i1=H(R,1)i2=H(R,2)…ip=H(R,p).

Cada sonda ij apunta a K: es un número entre 1 y ∣K∣. Entonces, tomas los bits p en esas ubicaciones y los hasheas, junto con R, para obtener una clave derivada K:

K=H′(R,K[i1],…,K[ip])=XKEY(K,R).

Donde normalmente habrías usado el protocolo P con una clave compartida K, ahora usarás P con una clave grande compartida K, una R recién elegida, lo que determina la clave convencional K=XKEY(K,R).

Demostramos que la clave derivada K es indistinguible de una clave aleatoria uniforme K′ incluso si el adversario obtiene R y puede obtener mucha información sobre la clave principal K. El resultado es cuantitativo y mide la eficacia de la clave derivada en función de la longitud de la clave principal, la cantidad de bits filtrados, el número de sondeos p, la longitud de R y el número de llamadas al oráculo aleatorio.

En el fondo de este resultado se encuentra una cuestión de teoría de la información que denominamos el problema de predicción de subclaves. Imaginemos una clave aleatoria K sobre la cual un adversario puede extraer ℓ<∣K∣ bits de información. Tras esta filtración, seleccionamos p posiciones aleatorias en K, se las proporcionamos al adversario y le pedimos que prediga esos p bits. ¿Qué tan bien lo hará?

Resulta que el adversario puede hacer algo mejor que simplemente registrar ℓ bits de la clave K y esperar que muchas sondas caigan allí. Pero no puede hacer mucho más. Si no se hubiera filtrado nada al adversario, ℓ=0, entonces cada sonda contribuiría con aproximadamente un bit de entropía a la variable aleatoria que el adversario debe adivinar. Pero si, digamos, se filtra la mitad de la clave, ℓ≤∣K∣/2, cada sonda ahora contribuirá con aproximadamente 0,156 bits de entropía.136 La probabilidad de que el adversario gane el juego de predicción de subclaves estará limitada por algo que está alrededor de 2−0,156p. Se necesitan aproximadamente p=820 sondas para una seguridad de 128 bits, o el doble para una seguridad de 256 bits.

Creo que el problema de predicción de subclaves, y el algoritmo de encapsulación de claves basado en él, dará lugar a buenos medios para el cifrado autenticado resistente a la exfiltración y los generadores pseudoaleatorios.137 En general, veo la criptografía de clave grande como una herramienta que los criptógrafos pueden aportar para dificultar la vigilancia masiva.

136 La constante de aspecto peculiar es el valor (aproximado) de −lg(1−c) donde c≈0,1100 es el número real en [0,1/2] que satisface H2(c)=0,5 donde H2 es la función de entropía binaria, H2(x)=−xlgx−(1−x)lg(1−x).

137 El tipo de PRG que toma entrada y mantiene estado, que ahora incluirá una clave grande. Véase: Boaz Barak, Shai Halevi: Un modelo y arquitectura para la generación pseudoaleatoria con aplicaciones a /dev/random. ACM CCS 2005. Yevgeniy Dodis, David Pointcheval, Sylvain Ruhault, Damien Vergnaud, Daniel Wichs: El análisis de seguridad de los generadores de números pseudoaleatorios con entrada: /dev/random no es robusto. ACM CCS 2013.

Más ejemplos. Aquí hay algunos ejemplos más de trabajos que utilizan criptomonedas para proteger la privacidad.

Consideremos el excelente artículo sobre la réplica, de Corrigan-Gibbs, Boneh y Mazières.¹³⁸ Un usuario, que se comunica con otros en Internet, desea difundir un mensaje, como un documento filtrado, sin revelar su identidad. La red está sujeta a una vigilancia generalizada. Los autores desarrollan definiciones, protocolos y pruebas para el problema, prestando especial atención a la eficiencia.¹³⁹ Implementan sus esquemas. La combinación de todos estos elementos es poco común, y muy necesaria.¹⁴⁰

138 Henry Corrigan-Gibbs, Dan Boneh, David Mazi`eres: Riposte: Un sistema de mensajería anónima que maneja millones de usuarios. Simposio IEEE sobre Seguridad y Privacidad, págs. 321–338, 2015.

139 Las técnicas provienen principalmente de los PIR, el conjunto de trabajos para hacer que los PIR sean más eficientes y la noción reciente de una función de punto distribuido, de Gilboa e Ishai. Benny Chor, Eyal Kushilevitz, Oded Goldreich, Madhu Sudan: Recuperación de información privada. JACM 45(6), pp. 965–981, 1998. Versión anterior de FOCS 1995. Niv Gilboa, Yuval Ishai: Funciones de punto distribuido y sus aplicaciones. EUROCRYPT 2014, pp. 640–658.

140 Otro artículo reciente que hace un excelente trabajo en la intersección de sistemas, privacidad y criptografía es: Nikita Borisov, George Danezis, Ian Goldberg: DP5: Un servicio de presencia privada. Actas sobre Tecnologías para la Mejora de la Privacidad (PETS), vol. 2, págs. 4–24, 2015. Ese artículo también depende crucialmente de los PIR (Indicadores de Presencia Privada), esta vez para crear un servicio que te diga, pero no al proveedor del servicio, cuáles de tus "amigos" están conectados en ese momento, usando el mismo servicio similar a Facebook.

O consideremos el trabajo de Colin Percival en el que introdujo la función hash scrypt.141 Percival explicó que, al aplicar una función hash intencionalmente lenta de calcular a una contraseña y sal para aumentar el costo de los ataques de diccionario,142 es mejor si la función hash no se puede acelerar demasiado con hardware personalizado. Para lograr este objetivo, el cálculo de la función hash no solo debe tomar mucho tiempo, sino mucha memoria (de acceso secuencial). Esta idea perspicaz proviene de Abadi, Burrows, Manasse y Wobber, quienes querían asegurarse de que, para una variedad de configuraciones, calcular una función hash intencionalmente lenta en un sistema de gama alta tomaría aproximadamente el mismo tiempo que calcularla en un sistema de gama baja.143 Muy recientemente, una Competencia de Hashing de Contraseñas (PHC) concluyó habiendo elegido un esquema, Argon2,144 que sigue esta línea. Mientras tanto, la teoría para este tipo de función hash ha progresado notablemente.¹⁴⁵ Si bien aún no tenemos límites claros para esquemas como scrypt y Argon2, creo que estamos cerca de lograrlo.¹⁴⁶

141 Colin Percival: Derivación de claves más robusta mediante funciones secuenciales con memoria difícil de usar. BSDCan’09, mayo de 2009. http://www.tarsnap.com/scrypt/scrypt.pdf

142 La técnica se remonta a la funcionalidad crypt(3) de UNIX.

143 Martín Abadi, Mike Burrows, Mark Manasse y Ted Wobber: Funciones moderadamente difíciles y con limitaciones de memoria. ACM Trans. on Internet Technology, 5(2), pp. 299–327, mayo de 2005. Versión anterior en NDS 2003. Este artículo incluye una construcción concreta para una función hash con limitaciones de memoria. Una propuesta anterior para una función hash parametrizada tanto por el tiempo como por el espacio que debería necesitar se presenta en una propuesta de Arnold Reinhold titulada HEKS: A Family of Key Stretching Algorithms, 15 de julio de 1999 (revisada el 5 de julio de 2001), http://world.std.com/reinhold/HEKSproposal.html

144 Alex Biryukov, Daniel Dinu, Dmitry Khovratovich: Argon2. 8 de julio de 2015. https://www.cryptolux.org/index.php/Argon2

145Joël Alwen y Vladimir Serbinenko: Grafos de alta complejidad paralela y funciones con uso intensivo de memoria. STOC 2015, págs. 595–603.

146 ¿Por qué este tema es cripto-para-la-privacidad? Primero, se trata de ayudar a las personas a evitar que sus cuentas se vean comprometidas. Segundo, para la moneda electrónica, ayuda a que la minería a pequeña escala sea más competitiva en costos con las operaciones a gran escala. Esto no es cierto en absoluto para el bitcoin, donde la minería tiende a ser centralizada y de alto consumo energético. El grupo de minería GHash.IO presume en su sitio web una tasa de minería de 6,35 Ph/s (252,5 hashes por segundo), y la tasa general es de aproximadamente 465 Ph/s (258,7 hashes por segundo). Datos tomados de https://ghash.io/ y https://blockchain.info/charts/ el 1 de noviembre de 2015.

O consideremos el artículo sobre la susceptibilidad del cifrado simétrico a la vigilancia masiva de mis colegas y mío.¹⁴⁷ Discutimos los ataques de sustitución de algoritmos, en los que el Gran Hermano reemplaza un algoritmo de cifrado simétrico real por uno subvertido. El objetivo del Gran Hermano es descifrar subrepticiamente todo el tráfico cifrado. La idea se remonta a Young y Yung;¹⁴⁸ lo único que hicimos fue explorar rigurosamente la idea en el contexto del cifrado simétrico. Sin embargo, lo que encontramos fue inquietante: que casi todos los esquemas de cifrado simétrico pueden ser subvertidos fácilmente. Aun así, demostramos que es fácil crear esquemas donde esto no sea cierto.

Y luego está el artículo de Logjam, que muestra, por enésima vez, que debemos tener cuidado con el valor criptoanalítico de la precomputación.¹⁴⁹ Los ataques deben considerarse rutinariamente como un proceso de dos pasos: uno costoso que depende de parámetros ampliamente compartidos, y luego un ataque más económico e individualizado.¹⁵⁰ Este razonamiento se remonta a las primeras compensaciones entre tiempo y memoria,¹⁵¹ y a la preferencia de muchos criptógrafos por adversarios no uniformes. Ocurre en el trabajo práctico, como en los ataques a A5/1 en teléfonos GSM.¹⁵² Y también es el modelo al que parecen inclinarse las agencias de inteligencia, como sugiere el ataque de la NSA al esquema FPE FF2 y el hecho de que consideraran este ataque como grave.¹⁵³

147 Mihir Bellare, Kenneth G. Paterson y Phillip Rogaway: Seguridad del cifrado simétrico frente a la vigilancia masiva. CRYPTO 2014.

148 Adam Young, Moti Yung: El lado oscuro de la criptografía de caja negra, o: ¿deberíamos confiar en Capstone? CRYPTO 1996. Adam Young, Moti Yung: Cleptografía: usar la criptografía contra la criptografía. EUROCRYPT 1997.

149 David Adrian, Karthikeyan Bhargavan, Zakir Durumeric, Pierrick Gaudry, Matthew Green, J. Alex Halderman, Nadia Heninger, Drew Springall, Emmanuel Thomé, Luke Valenta, Benjamin VanderSloot, Eric Wustrow, Santiago Zanella-Béuelin, Paul Zimmermann: Secreto directo imperfecto: cómo falla Diffie-Hellman en la práctica. Seguridad informática y de comunicaciones (CCS ’15), 2015.

150 Además, siempre que sea posible, el ataque activo debe ser algo detectable, algo que requiera interacción.

151 Martin Hellman: Una compensación entre tiempo y memoria en criptoanálisis. IEEE Trans. on Information Theory, 26(4), pp. 401–406, 1980.

152 Karsten Nohl: Rompiendo la privacidad de los teléfonos GSM. Black Hat USA 2010. Disponible en YouTube, URL https://www.youtube.com/watch?v=0hjn-BP8nro

153 Morris Dworkin, Ray Perlner: Análisis de VAES3 (FF2). Cryptology ePrint Archive Report 2015/306. 2 de abril de 2015. FPE significa Cifrado que Preserva el Formato.

Elige bien. Como espero que ilustren los ejemplos que he dado, existen importantes problemas de criptografía para la privacidad, y son bastante diversos. Elige bien tus problemas. Deja que tus valores guíen tu elección. Muchas veces he hablado con personas que parecen no tener ni idea de por qué estudian lo que estudian. La respuesta real suele ser que pueden hacerlo, que se publica y que otros ya lo han hecho antes. Estas son razones pésimas para hacer algo.

La introspección no se puede apresurar. Con la prisa por publicar un artículo tras otro, ¿quién tiene tiempo? Creo que deberíamos respirar hondo, escribir menos artículos y que estos tengan mayor relevancia.

• Presta atención al valor social de los problemas. Realiza investigaciones contra la vigilancia.

• Reflexiona sobre por qué estás trabajando en los problemas en los que estás trabajando.

Al enumerar ejemplos de líneas de investigación contra la vigilancia, no incluí el tipo de trabajo, bastante común en la literatura sobre tecnologías para mejorar la privacidad (PET, por sus siglas en inglés), que parte de la premisa de que habrá una recopilación generalizada de datos y luego intenta minimizar su uso indebido.¹⁵⁴ Dado que la inmoralidad se produce en el momento de la recopilación de datos, el objetivo aquí es mitigar el impacto del daño ya cometido. Sin embargo, es difícil predecir cómo se desarrollará esto. Me preocupa que este trabajo pueda favorecer a quienes buscan apoyo técnico para una postura que afirma, en efecto, que «el enfoque de recopilarlo todo es inevitable y solo problemático temporalmente, pues, una vez que lo resolvamos, la privacidad se gestionará posteriormente, cuando se utilicen los datos». Pero la recopilación generalizada en sí misma coarta la libertad de expresión y amenaza la democracia liberal, independientemente de lo que se afirme que sucederá posteriormente.¹⁵⁵

154 Véase, por ejemplo, Seny Kamara: Reestructuración del programa de metadatos de la NSA. Talleres de criptografía financiera 2014, págs. 235–247, 2014.

155 Como reflejo de esto, la Cuarta Enmienda de los Estados Unidos no solo habla de que se requieren órdenes específicas para realizar registros, sino también para incautaciones.

Seguridad demostrable orientada a la práctica. No son solo los temas en los que trabajamos, sino cómo los ejecutamos lo que da forma a la dirección de nuestro campo. Durante casi 25 años, Mihir Bellare y yo hemos desarrollado lo que llamamos seguridad demostrable orientada a la práctica. En un ensayo y charla de 2009,156 discutí cómo varias elecciones no esenciales engendraron una teoría de la criptografía que era menos útil que necesaria. Hoy, podría enumerar entre las elecciones históricas importantes (1) una preferencia por los análisis y teoremas asintóticos, y las conceptualizaciones de seguridad correspondientemente burdas con las que esto se combina; (2) una preferencia por el minimalismo, construido estéticamente, como punto de partida para reducciones; (3) el descarte de primitivas simétricas y funciones finitas como objetivos de investigación rigurosa; (4) una tradición de usar lenguaje no constructivo para enunciar resultados; (5) la marginación de la mensajería segura; y (6) una actitud condenatoria hacia el modelo de oráculo aleatorio, el modelo de permutación aleatoria, el modelo de cifrado ideal, los modelos de Dolev-Yao,157 y cualquier otro modelo considerado no estándar.

La seguridad demostrable orientada a la práctica invierte estas decisiones. Conserva el enfoque de la seguridad demostrable en las definiciones y las pruebas, pero estas se entienden como herramientas cuyo valor reside principalmente en su utilidad para la seguridad o la privacidad. Este enfoque es igualmente válido en ambos ámbitos, pero se ha subutilizado para problemas de privacidad como la mensajería segura. Un buen punto de partida para abordar mejor las redes mixtas y el enrutamiento cebolla es evidente, y en ello estamos trabajando mis alumnos y yo.

• Aplicar medidas de seguridad demostrables y orientadas a la práctica a los problemas de lucha contra la vigilancia.

156 Phillip Rogaway: Seguridad demostrable orientada a la práctica y la construcción social de la criptografía. Manuscrito, mayo de 2009, y ponencia invitada en Eurocrypt 2009.

157 Danny Dolev, Andrew C. Yao: Sobre la seguridad de los protocolos de clave pública. IEEE Trans. on Information Theory, IT-29, pp. 198–208, 1983.

Financiación.158 En Estados Unidos, parece que la mayor parte de la financiación externa para criptografía proviene ahora del ejército.159 Entre 2000 y 2010, menos del 15 % de los artículos presentados en CRYPTO que reconocían financiación externa estadounidense reconocían financiación del Departamento de Defensa.160 En 2011, esta cifra aumentó al 25 %. Entre 2012 y 2015, aumentó al 65 %.161 Hoy en día, muchos criptógrafos reúnen una amplia red de subvenciones, las más importantes de las cuales suelen ser del Departamento de Defensa. El siguiente reconocimiento de financiación no es tan atípico:

Este trabajo fue financiado por la NSF, el programa DARPA PROCEED, un premio AFOSR MURI, una subvención de la ONR, un proyecto de la IARPA proporcionado a través del DoI/NBC y por Samsung.162

La financiación militar de la ciencia invariablemente la redirige163 y crea riesgos morales.164 Sin embargo, sugerirle a alguien que tal vez debería reconsiderar aceptar fondos del Departamento de Defensa puede enfadar incluso a un colega tranquilo, ya que se percibirá como un ataque tanto a su carácter como a su capacidad para tener éxito.

158 Esta sección trata exclusivamente sobre la financiación académica de la criptografía en los EE. UU. Sé muy poco sobre la financiación criptográfica en otros países.

159 No he podido encontrar estadísticas sobre esto.

160 DoD = Departamento de Defensa. Esto incluye organizaciones como AFOSR, IARPA, DARPA y ONR.

161 Estos datos se basan en una contabilidad que hice yo mismo, a mano, revisando todos estos antiguos documentos.

162 Las siglas son: AFOSR = Oficina de Investigación Científica de la Fuerza Aérea; DARPA = Agencia de Proyectos de Investigación Avanzada de Defensa; DoI/NBC = Centro Nacional de Negocios del Departamento del Interior; IARPA = Actividad de Proyectos de Investigación Avanzada de Inteligencia; MURI = Iniciativa de Investigación Universitaria Multidisciplinaria; NSF = Fundación Nacional de Ciencias; ONR = Oficina de Investigación Naval; y PROCEED = Programación de Computación en Datos Cifrados. Tras la declaración, aparecieron otras 35 palabras de lenguaje legalista, incluyendo una declaración de que el documento había sido aprobado para su publicación. http://eprint.iacr.org/2013/403.pdf

163 Daniel S. Greenberg: Ciencia, dinero y política: triunfo político y erosión ética. University of Chicago Press, 2003.

164 El riesgo moral es una situación en la que una parte obtiene los beneficios y otra asume el riesgo. El término es común en economía.

Sin importar lo que digan, nuestro trabajo científico cambia en respuesta a los objetivos institucionales del patrocinador. Estos objetivos pueden no ser los propios. Por ejemplo, la misión de DARPA es "invertir en tecnologías innovadoras que puedan crear la próxima generación de capacidades de seguridad nacional [de EE. UU.]". Habiendo comenzado tras el lanzamiento del Sputnik, la agencia habla de evitar la sorpresa tecnológica y crearla para los enemigos de Estados Unidos.165 En EE. UU., la NSA asesora a otras agencias del Departamento de Defensa sobre subvenciones relacionadas con criptografía. Al menos en ocasiones, asesoran a la NSF. En 1996, la NSA intentó anular mi propia beca NSF CAREER. Me enteré de esto por mi exgerente de programa de la NSF, Dana Latch, quien no solo rechazó la solicitud de la NSA, sino que, molesta por ello, me lo contó. Un historial interno de la NSA informa sobre el error que cometieron y que permitió financiar la subvención que condujo a RSA.

La NSA había revisado la solicitud de subvención de Rivest, pero la redacción era tan general que la Agencia no detectó la amenaza y la devolvió a la NSF sin comentarios. Dado que la técnica había sido financiada conjuntamente por la NSF y la Oficina de Investigación Naval (ONR), el nuevo director de la NSA, el almirante Bobby Inman, visitó al director de la ONR para obtener el compromiso de que la ONR contaría con la coordinación de la NSA en todas las futuras propuestas de subvención de este tipo.¹⁶⁶

La gente suele estar contenta de recibir financiación, independientemente de su procedencia. Pero yo diría que si una entidad financiadora defiende valores incompatibles con los tuyos, quizás no deberías aceptar su dinero. Las instituciones tienen valores, igual que las personas. Quizás, en la era moderna, incluso tengan más.

Las grandes organizaciones tienen objetivos múltiples y, a veces, contradictorios. Las organizaciones militares con funciones ofensivas y defensivas en ciberseguridad tienen conflictos de intereses inherentes a su diseño. Es erróneo suponer que el trabajo individual es una labor no militar financiada indebidamente por las fuerzas armadas.

En su discurso de despedida de 1961, el presidente Dwight D. Eisenhower introdujo la frase y el concepto del complejo militar-industrial. En una versión anterior de ese discurso, Eisenhower lo denominó significativamente complejo militar-industrial-académico.¹⁶⁷ Si los científicos desean revertir nuestra complicidad en esta convergencia de intereses, tal vez debamos alejarnos de este pozo.

165 Darati Prabhakar: Comprender la misión de DARPA. http://tinyurl.com/darpamission Versión de YouTube http://tinyurl.com/darpa-mission2

166 Tom Johnson: Libro III: Recortes y reforma, 1998. Libro anteriormente clasificado, disponible, como resultado de una solicitud de la Ley de Libertad de Información (FOIA), en http://cryptome.org/0001/nsa-meyer.htm

167 Henry A. Giroux: La universidad encadenada: Cómo afrontar el complejo militar-industrial-académico, Routledge, 2007.

Nada de esto me quedó claro cuando me incorporé a la universidad. Hace unos años participé en una propuesta de subvención del Departamento de Defensa (afortunadamente, no se financió), algo que no haría hoy. Me llevó mucho tiempo comprender lo que finalmente se me hizo evidente: que la financiación que recibimos influye en nuestras creencias y, a su vez, las refleja.

En definitiva, una de las principales razones por las que la criptografía aplicada a la privacidad no ha tenido éxito podría ser que las agencias de financiación no desean ver avances en este sentido,168 y la mayoría de las empresas tampoco. Los criptógrafos han interiorizado esta idea. Principalmente, nos hemos dedicado a ayudar a empresas y gobiernos a mantener la seguridad. Los gobiernos y las empresas se han convertido en nuestros «clientes», no un grupo heterogéneo de activistas, periodistas o disidentes, ni una noción abstracta del pueblo. La criptografía aplicada a la privacidad tendrá mejores resultados cuando los criptógrafos dejen de recibir fondos del Departamento de Defensa y, más aún, empiecen a pensar en un público objetivo muy diferente para su trabajo.

• Piénsalo dos veces, y luego otra vez, antes de aceptar financiación militar.169

• Considera a la gente común como aquella cuyas necesidades, en última instancia, buscas satisfacer.

168 La gente, por supuesto, señalará a Tor como contraejemplo; ha recibido financiación de DARPA, ONR y el Departamento de Estado. No creo que haya mucho que explicar. Toda gran burocracia tiene en su interior directrices contrapuestas y conflictivas. Algunos sectores del gobierno estadounidense pueden considerar a Tor excelente, incluso cuando otros quisieran retirarle la financiación, desmantelarlo o sabotearlo.

169 En los EE. UU., esto significa AFOSR, ARO, DARPA, IARPA, MURI, NSA, ONR y más.

Libertad académica. Quienes nos dedicamos a la docencia universitaria gozamos de una tradición de libertad académica. Esto se refiere a nuestro derecho —e incluso obligación— de pensar, hablar y escribir sobre cualquier tema relacionado con nuestro trabajo, incluso si va en contra de los deseos del poder: nuestra universidad, las corporaciones o el Estado. Si bien la libertad académica parece estar en declive,170 al menos por ahora, sin duda persiste.

Normalmente, los científicos y otros académicos no necesitan ni utilizan su libertad académica: lo único que realmente necesitan es financiación y habilidades.¹⁷¹ Pero la criptografía para la privacidad puede ser un tema excepcional donde la libertad académica resulta útil.¹⁷² Sugiero que la gente aproveche este don. Sin ejercerlo, la libertad académica se marchitará y morirá.

Muchos profesionales ajenos al ámbito académico también gozan de algo parecido a la libertad académica: la autonomía suficiente para trabajar en lo que consideran importante, sin perder sus empleos, incluso si no es lo que su empleador realmente desea o le agrada.

• Utiliza la libertad académica de la que dispones.

170 Frank Donoghue: Los últimos profesores: La universidad corporativa y el destino de las humanidades. Fordham University Press, 2008. O véase: The Center for Constitutional Rights y Palestine Legal: La excepción palestina a la libertad de expresión: un movimiento atacado en Estados Unidos. 30 de septiembre de 2015. https://ccrjustice.org/the-palestine-exception

171 Lorren R. Graham: Dinero vs libertad: la contradicción rusa. Humanities, 20(5), sept/oct 1999.

172 Para una descripción de un incidente que involucra a Matthew Green, véase: Jeff Larson y Justin Elliott: Johns Hopkins y el caso de la publicación de blog desaparecida de la NSA. ProPublica, 9 de septiembre de 2013. Para una descripción de un incidente en Purdue que involucra a Barton Gellman, véase su artículo: Mostré diapositivas filtradas de la NSA en Purdue, por lo que los federales exigieron que se destruyera el video. Ars Technica, 9 de octubre de 2015. http://tinyurl.com/gellman-at-purdue

Contra el dogmatismo. Creo que muchos criptógrafos harían bien en fomentar una actitud más abierta hacia modelos, enfoques y objetivos desconocidos. El estrechamiento disciplinario dentro de los foros de primer nivel de la criptografía ha sido notable.¹⁷³ Mucha gente parece tener creencias bastante rígidas sobre qué tipo de trabajo es bueno. A veces raya en lo absurdo, como cuando se niegan a usar la palabra «prueba» para referirse a las pruebas en el modelo de oráculo aleatorio. (Obviamente, una prueba en el modelo de oráculo aleatorio no es menos prueba que una prueba en cualquier otro modelo).

Como criptógrafos, siempre debemos ser sensibles y escépticos respecto a la relación entre nuestros modelos y la privacidad o seguridad reales. Esto no significa que no debamos tomar los modelos en serio, sino que debemos considerarlos provisionales y dialécticos. Existe un aforismo muy acertado del estadístico George Box, quien afirmó que todos los modelos son erróneos, pero algunos son útiles.¹⁷⁴

La criptografía necesita modelos útiles. Pero evaluar la utilidad de un modelo es, en sí mismo, problemático. Nos preguntamos sobre las definiciones: ¿Qué tan claras? ¿Qué tan comprensibles? ¿Qué tan generales? ¿Qué aspectos del entorno informático abarcan? ¿Qué implican y qué no? La tarea de definir se sitúa en la confluencia de las matemáticas, la estética, la filosofía, la tecnología y la cultura. En esta situación, el dogma se convierte en una enfermedad.

Se ha afirmado que la misión de la criptografía teórica es definir y construir protocolos y esquemas criptográficos con seguridad demostrable.¹⁷⁵ Pero esta es una actividad de la criptografía teórica, no su misión. Existen muchas otras actividades. Se puede trabajar en modelos y resultados que sean completamente rigurosos pero que queden fuera del marco de la seguridad demostrable.¹⁷⁶ O se puede tomar un protocolo importante como fijo y luego analizarlo, en el marco que mejor funcione. El objetivo de mi propio trabajo ha sido desarrollar ideas que espero contribuyan a la construcción de sistemas informáticos seguros. En la simbología del hermoso jardín de flores de Amit Sahai,¹⁷⁷ los criptógrafos con mentalidad teórica pueden ser jardineros, cultivando semillas (suposiciones de dificultad) hasta convertirlas en flores (objetivos criptográficos); pero también pueden hacer muchas otras cosas. Lo cual es afortunado, ya que la práctica criptográfica no se ha beneficiado demasiado de nuestras actividades hortícolas.

• Mantente abierto a diversos modelos. Considera todos los modelos como sospechosos y dialécticos.

173 En su mayor parte, el hardware ha desaparecido, los enfoques formalistas de la criptografía han desaparecido (a menos que afirmen servir de puente hacia la criptografía "real"), el criptoanálisis de esquemas del mundo real es poco visible, y así sucesivamente.

174 George E. P. Box: Robustez en la estrategia de construcción de modelos científicos. En: Launer, R. L.; Wilkinson, G. N., Robustez en estadística, Academic Press, pp. 201–236, 1979. Box no fue el primero en expresar este sentimiento. Por ejemplo, Georg Rasch explicó, en 1960, que “Cuando se construye un modelo se omiten todos los detalles que, con el conocimiento disponible, se consideran prescindibles. … Los modelos no deben ser verdaderos, pero es importante que sean aplicables, y si son aplicables para un propósito determinado debe investigarse, por supuesto. Esto también significa que un modelo nunca se acepta definitivamente, solo a prueba”. Georg Rasch: Modelos probabilísticos para algunas pruebas de inteligencia y rendimiento. Copenhague: Danmarks Paedogogiske Institut, pp. 37–38, 1960. Republicado por University of Chicago Press, 1980.

175 Shafi Goldwasser, Yael Tauman Kalai: Supuestos criptográficos: un documento de posición. Cryptology ePrint Archive Report 2015/907, 16 de septiembre de 2015.

176 Toda la tradición teórica de la información de la criptografía se inscribe en esta línea.

177 Amit Sahai: Ofuscación II. Charla en el Instituto Simons. 19 de mayo de 2015. Disponible en https://simons.berkeley.edu/talks/amit-sahai-2015-05-19b

Una perspectiva más amplia. Animo a los criptógrafos —especialmente a los jóvenes de nuestro campo— a que intenten comprender el funcionamiento de la criptografía desde una perspectiva sistémica. Necesitan una visión mucho más profunda de la que jamás tendrá alguien como yo, que no tiene conocimientos técnicos.

Recuerdo haber leído el artículo de Dan Boneh y sus coautores de 2012, El código más peligroso del mundo,178 y sentirme abrumado por el hecho de que existía todo un universo de código —este middleware— cuya existencia desconocía, pero que podía, y de hecho lo hacía habitualmente, anular la criptografía existente. Cuando las revelaciones de la NSA llevaron a la gente a especular sobre cómo se estaba burlando la criptografía de Internet, se me ocurrió que tal vez la NSA no necesitaba ningún criptoanálisis ingenioso; lo que necesitaba, sobre todo, era comprar exploits y contratar a personas con una visión integral del ecosistema informático.

Un enfoque que podría ser útil para obtener una buena perspectiva es adoptar una visión centrada en las API.¹⁷⁹ Los malentendidos sobre las API no solo son un problema de seguridad común, sino que las brechas entre las formalizaciones criptográficas y las API pueden producir graves problemas criptográficos.¹⁸⁰ Y en la dirección constructiva, la noción de AE en línea, por ejemplo,¹⁸¹ surge efectivamente de adoptar una visión centrada en las API. Las API y la criptografía "seria" necesitan vínculos más fuertes.

Las comunidades de investigación suelen tender al ensimismamiento. Como comunidad, hemos cultivado sólidas relaciones con los algoritmos y la teoría de la complejidad, pero hemos descuidado la investigación sobre privacidad, los lenguajes de programación y el derecho. Desempeñaremos un papel social más relevante si fortalecemos nuestros vínculos con otras comunidades.

Hace poco vi una charla interesante de Chris Soghoian en la que describió su frustración al intentar que los medios informaran sobre el hecho, o que a alguien más le importara, de que las conversaciones por teléfono móvil carecen prácticamente de privacidad.¹⁸² Los criptógrafos deberían ayudar con este tipo de comunicaciones. Pero me pregunto cuánto le hemos prestado atención. Para la mayoría de nosotros, si no es algo en lo que estamos trabajando, no nos importa. No hay tiempo.

• Obtenga una visión sistémica. Preste atención a todo lo que rodea nuestro campo.

178 Martin Georgiev, Subodh Iyengar, Suman Jana, Rishita Anubhai, Dan Boneh, Vitaly Shmatikov: El código más peligroso del mundo: validación de certificados SSL en software que no es un navegador. Conferencia ACM sobre seguridad informática y de comunicaciones, págs. 38-49, 2012.

179 API es la interfaz de programación de aplicaciones, las interfaces arquitectónicas entre el código de los componentes.

180 Serge Vaudenay: Fallos de seguridad inducidos por el relleno CBC: aplicaciones a SSL, IPSEC, WTLS… Eurocrypt 2002.

181 Viet Tung Hoang, Reza Reyhanitabar, Phillip Rogaway, Damian Vizár: Cifrado autenticado en línea y su resistencia al mal uso de reutilización de nonce. Crypto 2015, vol. 1, pp. 493–517, 2015. Guido Bertoni, Joan Daemen, Michaël Peeters, Gilles Van Assche: Duplexando la esponja: cifrado autenticado de una sola pasada y otras aplicaciones. Selected Areas in Cryptography 2011, pp. 320–337, 2011.

182 Chris Soghoian, Taller sobre Vigilancia y Tecnología (SAT 2015), Universidad de Drexel, 29 de junio de 2015. Véase también: Chris Soghoian: Cómo evitar la vigilancia… con tu teléfono. Charla TED. https://www.youtube.com/watch?v=ni4FV5zL6lM. Stephanie K. Pell y Christopher Soghoian: Tu Stingray secreto ya no es un secreto: el monopolio gubernamental en vías de desaparecer sobre la vigilancia de teléfonos móviles y su impacto en la seguridad nacional y la privacidad del consumidor. Harvard Journal of Law and Technology, 28(1), otoño de 2014.

Aprenda sobre herramientas de privacidad. Me gustaría sugerir amablemente que a los criptógrafos nos vendría bien aprender y usar herramientas de privacidad modernas. Muy pocos de nosotros usamos herramientas como OTR, PGP, Signal, Tails y Tor. Es un poco vergonzoso, y sospecho que nuestro trabajo colectivo se resiente por ello. Christopher Soghoian comenta con perspicacia: «Es como si toda la comunidad médica académica fumara 20 cigarrillos al día, consumiera drogas intravenosas con agujas compartidas y tuviera relaciones sexuales sin protección con parejas aleatorias de forma regular».183

Soy una persona extraña para defender esta postura; sin duda, es como si el que esté libre de pecado que tire la primera piedra. Por naturaleza, no me interesa usar tecnología y soy incapaz de hacerlo si lo intento. Ni siquiera tengo un teléfono inteligente. Sin embargo, sospecho que no hay nada como la experiencia para motivar a los criptógrafos a identificar y resolver los problemas de privacidad que nos ayudarán a transformar herramientas difíciles de usar para expertos en mecanismos transparentes e integrados para el público en general. El primer problema que mencioné en la Sección 4 es algo que se me ocurrió a los pocos días de empezar a usar Pond.

• Aprende a usar algunas herramientas de privacidad. Úsalas. Mejóralas.

183 Christopher Soghoian, comunicaciones personales, 28 de noviembre de 2015.

Nada de adversarios adorables. En nuestro campo, existe una larga tradición de cursilería. La gente inventa historias divertidas y fantasiosas. Los participantes del protocolo son una caricatura de Alicia y Bob. Los adversarios son pequeños diablillos, con cuernos y tridente incluidos. Algunas charlas sobre criptomonedas están tan repletas de imágenes prediseñadas que es difícil encontrar el contenido. Nunca me ha gustado esto, pero, tras las revelaciones de Snowden, empezó a irritarme como nunca antes.

La criptografía es un campo serio, con ideas a menudo difíciles de comprender. Cuando intentamos explicarlas con caricaturas y narraciones ingeniosas, no creo que facilitemos la comprensión de nuestras contribuciones. Lo que hacemos, en realidad, es añadir una capa de ofuscación que hay que desvelar para entender lo que se ha hecho. Peor aún, la criptografía con exceso de caricaturas puede reconfigurar nuestra visión interna de nuestro papel. El adversario como un complejo militar-industrial-de vigilancia de 53.000 millones de dólares al año y el adversario como un diablo rojo con cuernos inducen procesos de pensamiento completamente diferentes. Si vemos a los adversarios de una de estas maneras, veremos un conjunto de problemas distinto en los que trabajar que si los vemos de la otra. Los adversarios caprichosos generan un campo quimérico.184

Como estudiante de posgrado, quería que nuestro campo de estudio fuera fantástico. Quería una disciplina llena de extraterrestres y millonarios que se comunicaban entre sí. No solo era divertido, sino que además halagaba mi ego, encarnando a la perfección el sentimiento de: soy un científico demasiado inteligente como para tener que lidiar con preocupaciones mezquinas.

En este punto, creo que haríamos bien en ponernos en la piel de un adversario real, no de uno hipotético: la agencia de inteligencia con gran presupuesto, la multinacional obsesionada con las ganancias, el cártel de la droga. Tienen un presupuesto enorme. Controlan mucha infraestructura. Tienen equipos de abogados más que dispuestos a interpretar la ley de forma creativa. Tienen una enorme cartera de vulnerabilidades de día cero.185 Tienen una montaña de convicción moralista. Su objetivo es recopilarlo todo, explotarlo todo, saberlo todo.186 ¿Qué les frustraría? ¿Qué problemas no quieren que un grupo de académicos superdotados resuelva?

• Dejen de lado las imágenes cursis. Tómense en serio a sus adversarios.

184 A pesar de todos estos comentarios, creo que una novela gráfica sobre criptografía podría ser genial. Algo parecido a la obra de Keith Aoki y James Boyle: Bound By Law: Tales from the Public Domain, 2006.

185 hazañas que nadie más conoce.

186 Las frases provienen de una diapositiva de la NSA publicada por Snowden. Reimpreso en la página 97 de Glenn Greenwald: No Place to Hide: Edward Snowden, the NSA, and the U.S. Surveillance State, 2014.

Un espacio común criptográfico. Mucha gente ve internet como una especie de magnífico espacio común. Esto es una fantasía. Existen algunos espacios comunes exitosos dentro de internet: Wikipedia, el movimiento del software libre, Creative Commons, OpenSSL, Tor, entre otros. Pero la mayoría de la gente recurre casi exclusivamente a servicios gestionados por un puñado de corporaciones que proporcionan el correo electrónico, la mensajería instantánea, el almacenamiento en la nube y la computación en la nube, por ejemplo, que la gente utiliza. Y también proporcionan el hardware sobre el que se ejecuta todo esto.

Necesitamos crear un espacio común mucho más amplio en Internet. Necesitamos ofrecer servicios populares de forma segura, distribuida y descentralizada, impulsados por software libre y hardware libre/de código abierto. Necesitamos construir sistemas que estén fuera del alcance de las grandes empresas y las agencias de espionaje. Dichos servicios deben basarse en criptografía robusta. Haciendo hincapié en este requisito fundamental, necesitamos expandir nuestro espacio común criptográfico.

Los sueños de un bien común de este tipo se remontan a los cypherpunks, quienes crearon, por ejemplo, servicios de reenvío de correo como un servicio comunitario para facilitar las comunicaciones seguras. Más recientemente, Feigenbaum y Koenig articulan esta visión.¹⁸⁷ Tras explicar que los servicios centralizados en la nube desempeñan un papel fundamental en la vigilancia masiva, hacen un llamamiento a un esfuerzo ciudadano para desarrollar nuevos servicios en la nube a escala global basados en herramientas de gestión de configuración descentralizadas y de código abierto.

Podríamos empezar poco a poco, aportando nuestro granito de arena para mejorar el bien común que tenemos: Wikipedia. Podría convertirse en una actividad habitual en las conferencias y talleres de la IACR, o en la reunión de Dagstuhl, donde los participantes se reúnan durante una tarde o noche para escribir, revisar y verificar páginas seleccionadas de Wikipedia sobre criptografía. Es un esfuerzo que dará frutos de muchas maneras inesperadas.

• Diseñar y construir un repositorio criptográfico común de amplia utilidad.

187 Joan Feigenbaum, Jérôemie Koenig: Sobre la viabilidad de una respuesta tecnológica al laberinto de la vigilancia. Security Protocols Workshop 2014, pp. 239–252, 2014.

Comunicaciones. Para el avance de nuestro campo, las nociones bien definidas siempre han sido importantes. Basta con recordar el concepto de conocimiento cero (y el término alternativo de divulgación mínima) para comprender cómo una frase ingeniosa podía impulsar una idea brillante. De manera similar, la frase de seis letras «33 bits» logra plasmar un concepto importante de forma notable sin recurrir a vocabulario controvertido.¹⁸⁸ Tanto en criptografía como en privacidad, el lenguaje es fundamental y, a la vez, complejo.

La palabra privacidad, cuyo significado es abstracto y debatido, y cuyas connotaciones suelen ser negativas, no es precisamente una palabra ganadora. La privacidad se aplica a los historiales médicos, al aseo personal y al sexo, no a la democracia ni a la libertad. La palabra anonimato es aún peor: el lenguaje político moderno la ha equiparado casi al terrorismo. Seguridad es una palabra más acertada y, de hecho, hablé de mensajería segura en lugar de mensajería privada o anónima porque creo que refleja mejor lo que quiero transmitir: que una comunicación cuyos destinatarios son visibles no es segura en absoluto. Una persona debe sentirse insegura al usar un canal así.

Pero ni siquiera la palabra «seguridad» permite plantear adecuadamente nuestro problema: deberíamos hablar más de frustrar la vigilancia masiva que de mejorar la privacidad, el anonimato o la seguridad. Como ya se ha comentado, sabemos instintivamente que la vigilancia omnipresente es incompatible con la libertad, la democracia y los derechos humanos.¹⁸⁹ Esto convierte la vigilancia en algo contra lo que luchar. La cámara de vigilancia y el centro de datos hacen visible nuestra distopía emergente, mientras que la privacidad, el anonimato y la seguridad son tan abstractos que casi desafían la representación visual.

Concretamente, la investigación que pretende socavar la vigilancia objetable podría llamarse investigación antivigilancia.190 Las herramientas para este fin serían las tecnologías antivigilancia.191 Y elegir los problemas en los que uno trabaja basándose en una visión ética podría llamarse investigación basada en la conciencia.

• Elige bien el lenguaje. La comunicación es fundamental para generar un impacto.

188 El valor se refiere, por supuesto, al número de bits necesarios para identificar a un ser humano vivo. Véase el sitio web de Arvind Narayanan: 33bits.org

189 Para una excelente exposición de esta idea, véase Eben Moglen: «La privacidad bajo ataque: los archivos de la NSA revelaron nuevas amenazas a la democracia». The Guardian, 27 de mayo de 2014. El artículo se basa en la conferencia de cuatro partes: «Eben Moglen: Snowden y el futuro», impartida el 9 y 30 de octubre, y el 13 y 4 de noviembre de 2013 en la Facultad de Derecho de Columbia. http://snowdenandthefuture.info/

190 Esta sugerencia, así como la investigación basada en la conciencia, son de Ron Rivest.

191 Si bien el término ya está en uso, el término técnico más habitual es tecnologías que mejoran la privacidad.

Valores institucionales. Este ensayo podría parecer que se centra en el peso ético de las decisiones personales y profesionales de cada científico. Pero, en realidad, me preocupa más cómo actuamos colectivamente como criptógrafos e informáticos. Nuestro comportamiento colectivo refleja valores, al igual que las instituciones que creamos.

No pretendo criticar a ninguna persona en particular. La gente debería trabajar, y de hecho trabajará, en aquello que considera más valioso. El problema surge cuando nuestra comunidad, en su conjunto, devalúa sistemáticamente la utilidad o el valor social. Entonces se produce un fracaso colectivo. El fracaso no recae sobre nadie en concreto, y sin embargo, recae sobre todos.

Conclusión. Muchos antes que yo han analizado la importancia de la ética, la cultura disciplinaria y el contexto político en la configuración de nuestras actividades. Por ejemplo, Neal Koblitz afirma que la fundación de la conferencia CRYPTO en 1981 fue en sí misma un acto de desafío. Advierte sobre el papel corruptor que puede desempeñar la financiación. Y concluye su ensayo afirmando que el drama y el conflicto son inherentes a la criptografía, pero que esto también contribuye a la diversión del campo.¹⁹² Susan Landau nos recuerda que la privacidad va mucho más allá de la ingeniería, abarcando el derecho, la economía y otros ámbitos. Nos recuerda que minimizar la recopilación de datos forma parte del Código de Ética y Conducta Profesional de la ACM.¹⁹³

Como informáticos y criptógrafos, somos doblemente culpables en lo que respecta a la vigilancia masiva: la informática creó las tecnologías que sustentan nuestra infraestructura de comunicaciones y que ahora la están convirtiendo en un aparato de vigilancia y control; mientras que la criptografía contiene en sí misma el potencial subutilizado para ayudar a redirigir este trágico rumbo.194

Autores y cineastas, futuristas y científicos, han planteado numerosas visiones contrapuestas sobre la desaparición de la humanidad. Por ejemplo, Bill Joy se preocupa de que la nanotecnología convierta la biosfera en una masa gris, o de que robots superinteligentes decidan que el ser humano es una molestia o una mascota.¹⁹⁵ No me quitan el sueño estas posibilidades; no las veo como nuestro final probable. Pero una vigilancia insidiosa que crece orgánicamente en los sectores público y privado, que se vuelve cada vez más exhaustiva, interconectada y predictiva, que se convierte en un instrumento de asesinato, control político y mantenimiento del poder... bueno, esta visión no solo parece posible, sino que parece estar ocurriendo ante nuestros ojos.

192 Neal Koblitz: La difícil relación entre las matemáticas y la criptografía. Notices of the AMS, 54(8), pp. 972–979, septiembre de 2007.

193 Susan Landau: Privacidad y seguridad: un problema multidimensional. Communications of the ACM, 51(11), noviembre de 2008.

194 Por supuesto, los criptógrafos no somos los únicos involucrados en esto. Las personas que trabajan en “ciencia de datos” y “macrodatos” están especialmente involucradas.

195 Bill Joy: Por qué el futuro no nos necesita. Wired, 8.04. Abril de 2000.

No soy optimista. La figura del criptógrafo heroico que llega para salvar al mundo de la vigilancia totalitaria es ridícula.¹⁹⁶ Y en un mundo donde las agencias de inteligencia acumulan y explotan innumerables vulnerabilidades, obtienen claves secretas de autoridades de certificación, subvierten los mecanismos de actualización de software, infiltran empresas privadas con agentes encubiertos, redirigen debates en línea hacia direcciones favorecidas y ejercen una enorme influencia sobre los organismos de normalización, la criptografía por sí sola será una respuesta ineficaz. En el mejor de los casos, la criptografía podría ser una herramienta para crear posibilidades dentro de los límites establecidos por otras fuerzas.

Aun así, hay motivos para sonreír. Mil millones de usuarios reciben mensajería instantánea cifrada mediante WhatsApp y su protocolo Axolotl integrado.197 Dos millones de clientes se conectan diariamente mediante Tor.198 Los artículos sobre criptografía inspirados en las revelaciones de Snowden están empezando a publicarse a un ritmo vertiginoso. Más de 50 investigadores de criptografía y seguridad de EE. UU. firmaron una carta abierta que coorganicé, en la que deploran la vigilancia generalizada de la sociedad.199 El informe Keys Under Doormats, de 15 autores,200 es un intento explícito de que la experiencia en criptografía influya en las políticas.

196 Dicho esto, hay un drama considerable en las experiencias de personas como Julian Assange, William Binney, William Davidon, Tom Drake, Daniel Ellsberg, Mark Klein, Annie Machon, Chelsea Manning, Laura Poitras, Jesselyn Radack, Diane Roark, Aaron Swartz, Edward Snowden y J. Kirk Wiebe.

197 Moxie Marlinspike y Trevor Perrin: El trinquete de TextSecure (página web). 26 de noviembre de 2013. https://whispersystems.org/blog/advanced-ratcheting/. El número de usuarios está disponible en la URL http://www.statista.com/statistics/260819/number-of-monthly-active-whatsapp-users/

198 Datos de https://metrics.torproject.org/userstats-relay-country.html, del 1 de noviembre de 2014 al 29 de noviembre de 2015.

199 Carta abierta de investigadores estadounidenses en criptografía y seguridad de la información. 24 de enero de 2014. http://masssurveillance.info/

200 H. Abelson, R. Anderson, S. M. Bellovin, J. Benaloh, M. Blaze, W. Diffie, J. Gilmore, M. Green, S. Landau, P. G. Neumann, R. L. Rivest, J. I. Schiller, B. Schneier, M. Specter, D. J. Weitzner: Llaves bajo los felpudos: imponiendo la inseguridad al requerir el acceso del gobierno a todos los datos y comunicaciones (2015). Disponible en http://www.crypto.com/papers/Keys_Under_Doormats_FINAL.pdf. 2015. Informe anterior relacionado: H. Abelson, R. Anderson, S. M. Bellovin, J. Benaloh, M. Blaze, W. Diffie, J. Gilmore, P. G. Neumann, R. L. Rivest, J. I. Schiller, B. Schneier: Los riesgos de la recuperación de claves, el depósito de claves y el cifrado de terceros de confianza (1997). Disponible en http://academiccommons.columbia.edu/catalog/ac:127127

Y no es que la criptografía para la privacidad sea algo nuevo o esté en desuso dentro de nuestra comunidad. Criptógrafos como Ross Anderson, Dan Bernstein, Matt Blaze, David Chaum, Joan Feigenbaum, Matt Green, Nadia Heninger, Tanja Lange, Arjen Lenstra, Kenny Paterson, Ron Rivest, Adi Shamir, Nigel Smart y Moti Yung, por nombrar solo algunos, han estado trabajando en la privacidad práctica mucho antes de que se pusiera de moda (si es que esto está sucediendo). La conferencia RWC (Real World Cryptography) está creando una nueva y enriquecedora mezcla de participantes.

Las charlas, talleres y mesas redondas sobre vigilancia masiva están ayudando a los criptógrafos a comprender que abordar la vigilancia masiva es un problema inherente a nuestra disciplina. Bart Preneel y Adi Shamir han estado impartiendo charlas tituladas «Criptografía post-Snowden», y se celebraron mesas redondas con este mismo título en Eurocrypt 2014 y RSA-CT 2015.

Están surgiendo artículos con títulos como «Los criptógrafos tienen un problema ético».201 Cuando un ataque a Tor por parte de investigadores de la CMU fue presuntamente utilizado para proporcionar datos anonimizados masivos al FBI, la CMU y los investigadores involucrados fueron avergonzados públicamente.202 La propia IACR se ha vuelto más crítica, tanto con la Resolución de Copenhague203 como con la declaración sobre la Ley de Control del Comercio de Defensa de Australia.204

Si bien nuestra comunidad ha adoptado las criptomonedas como medio para proteger su privacidad menos de lo que me gustaría, se trata de una cuestión cultural, y la cultura puede cambiar.

He oído decir que si crees que la criptografía es la solución, no entiendes el problema.205 Si esta afirmación es cierta, entonces nuestro campo se ha desviado seriamente. Pero podemos corregirlo. Necesitamos convertir la criptografía en la solución al problema: "¿cómo encarecer la vigilancia?".

201 Antonio Regalado: Los criptógrafos tienen un problema ético. MIT Technology Review. 13 de septiembre de 2013. John Bohannon: Incumplimiento de la confianza. Science Magazine, 347(6221), 30 de enero de 2015.

Aviso de seguridad 202 de Tor: ataque de confirmación de tráfico "relay early". 30 de julio de 2014. http://tinyurl.com/tor-attack1. Blog del proyecto Tor: ¿Pagó el FBI a una universidad para atacar a los usuarios de Tor? 11 de noviembre de 2015. http://tinyurl.com/tor-attack2. Este artículo incluía: "Sea cual sea la investigación académica en seguridad del siglo XXI, ciertamente no incluye 'experimentos' remunerados que ponen en peligro indiscriminadamente a desconocidos sin su conocimiento ni consentimiento". Véase también reacciones como: Joe Papp: El intento de los expertos de CMU de desenmascarar el software del proyecto Tor fue espantoso. Pittsburgh Post-Gazette. 5 de agosto de 2014. http://tinyurl.com/papp-letter

203 La declaración, adoptada el 14 de mayo de 2014 en la reunión de negocios celebrada en Copenhague, Dinamarca, afirma: Los miembros de la IACR repudian la vigilancia masiva y el debilitamiento de las soluciones y estándares criptográficos. La vigilancia a nivel poblacional amenaza la democracia y la dignidad humana. Hacemos un llamamiento para que se acelere la investigación y la implementación de técnicas eficaces para proteger la privacidad personal frente a los abusos gubernamentales y corporativos. https://www.iacr.org/misc/statement-May2014.html

204 Véase https://www.iacr.org/petitions/australia-dtca/

205 Según Butler Lampson (comunicaciones personales, diciembre de 2015), la cita (o una similar) es de Roger Needham. Sin embargo, Needham, al parecer, solía atribuírsela a Lampson: Ross Anderson: Security Engineering: A Guide to Building Dependable Distributed Systems, pág. 367, 2008, http://www.cl.cam.ac.uk/∼rja14/Papers/SE-18.pdf

Dan Bernstein habla de criptomonedas interesantes y criptomonedas aburridas. Las criptomonedas interesantes son aquellas que cuentan con abundante material académico. Las criptomonedas aburridas son aquellas que simplemente funcionan, resisten sólidamente los ataques y nunca necesitan actualizaciones. Dan pregunta, con su habitual tono desenfadado:

¿Qué ocurriría si los usuarios de criptomonedas convencieran a algunos investigadores de criptomonedas para que crearan criptomonedas realmente aburridas?

No más ataques en el mundo real. No más actualizaciones de emergencia. Público limitado para mejoras menores en ataques y para criptografía de reemplazo.

Esto representa una amenaza existencial para la investigación futura sobre criptomonedas.206

Si esto de las criptomonedas es aburrido, tenemos que ponernos a hacer algo.

La criptografía cypherpunk se ha descrito como criptografía con actitud.²⁰⁷ Pero es mucho más que eso, pues, por encima de todo, lo que los cypherpunks buscaban era criptografía con valores. Y los valores, profundamente sentidos e integrados en nuestro trabajo, son lo que más necesita la comunidad criptográfica. Y quizás una dosis de ese ímpetu cypherpunk.²⁰⁸

Se ha dicho que el hecho de que no te interese la política no significa que la política no se interese en ti.209 Dado que la criptografía es una herramienta para el cambio de poder, quienes conocen bien este tema, les guste o no, heredan parte de ese poder. Como criptógrafo, puedes ignorar este panorama de poder y todas las dimensiones políticas y morales de nuestro campo. Pero eso no hará que desaparezcan. Simplemente tenderá a hacer que tu trabajo sea menos relevante o socialmente útil.

206 Dan Bernstein: Criptomonedas aburridas. Charla en SPACE 2015. Instituto Nacional de Tecnología Malaviya, Jaipur. Diapositivas y audio en http://cr.yp.to/talks.html

207 Steven Levy: Rebeldes criptográficos. Wired, 1 de febrero de 1993.

208 John Perry Barlow: Una declaración de independencia del ciberespacio. 8 de febrero de 1996. Eric Hughes: Un manifiesto cypherpunk. 9 de marzo de 1993. Timothy May: El cyphernomicon. 10 de septiembre de 1994. Aaron Swartz: Manifiesto guerrillero de acceso abierto. Julio de 2008.

209 Barry Popik indica que la cita «se ha atribuido al líder griego Pericles (495-429 a. C.), pero solo desde finales de la década de 1990. La fuente griega nunca se identifica en las frecuentes citas. La cita parece ser de origen moderno». Entrada de blog, 22 de junio de 2011. http://tinyurl.com/not-pericles

Mi esperanza con este ensayo es que interioricen este hecho y lo reconozcan como el punto de partida para desarrollar una visión ética de lo que desean lograr con su trabajo científico.

Comencé este ensayo hablando del manifiesto de Russell y Einstein, así que permítanme terminar también allí, con la súplica de Joseph Rotblat en su discurso de aceptación del Premio Nobel:

En un momento en que la ciencia desempeña un papel tan importante en la vida de la sociedad, cuando el destino de toda la humanidad puede depender de los resultados de la investigación científica, es imperativo que todos los científicos sean plenamente conscientes de ese papel y actúen en consecuencia. Hago un llamamiento a mis colegas científicos para que recuerden su responsabilidad con la humanidad.210

210 Joseph Rotblat: Recuerda tu humanidad. Discurso de aceptación y entrega del Premio Nobel, 1995. Texto disponible en Nobelprize.org

Mi agradecimiento va dirigido en primer lugar a Mihir Bellare por las innumerables conversaciones que hemos mantenido sobre el tema de este ensayo. Durante años, no solo hemos colaborado estrechamente en cuestiones técnicas, sino que también hemos debatido mucho sobre los valores y la sensibilidad implícitos en el trabajo criptográfico. Sin Mihir, no solo habría avanzado mucho menos en el aspecto técnico, sino que también comprendería mucho menos quiénes son los criptógrafos.

Ron Rivest no solo me brindó comentarios útiles, sino que también lo tuve muy presente mientras reflexionaba profundamente sobre este ensayo. Muchas otras personas me han dado sugerencias e ideas importantes. Quisiera agradecer a Jake Appelbaum, Ross Anderson, Tom Berson, Dan Boneh, David Chaum, Joan Feigenbaum, Pooya Farshim, Seda Gürses, Tanja Lange, Chip Martel, Stephen Mason, Chanathip Namprempre, Ilya Mironov, Chris Patton, Charles Raab, Tom Ristenpart, Amit Sahai, Rylan Schaeffer, Adi Shamir, Jessica Malekos Smith, Christopher Soghoian, Richard Stallman, Colleen Swanson, Björn Tackmann, Helen Thom, Jesse Walker, Jacob Weber y Yusi (James) Zhang por sus comentarios, discusiones y correcciones.

Mi visión de lo que es la ciencia y de lo que debería ser un científico se vio fuertemente influenciada por ver a Jacob Bronowski cuando era niño.211

211 Jacob Bronowski: El ascenso del hombre. Serie de televisión. BBC y Time-Life Films, 1973.

Todo el trabajo técnico original mencionado en este ensayo (por ejemplo, lo que se describe en las primeras páginas de la Parte 4) fue financiado por la subvención CNS 1228828 de la NSF. Sin embargo, quiero dejar claro que todas las opiniones, hallazgos, conclusiones y recomendaciones de este ensayo (que se compone principalmente de opiniones y recomendaciones) reflejan únicamente la opinión del autor, y no necesariamente la de la Fundación Nacional de Ciencias.

Gracias al personal del castillo de Dagstuhl y a los participantes del taller 14401, Privacidad y seguridad en la era de la vigilancia, donde se debatieron ideas relacionadas con este ensayo.212

212 Bart Preneel, Phillip Rogaway, Mark D. Ryan y Peter Y. A. Ryan: Privacidad y seguridad en la era de la vigilancia (Taller de perspectivas de Dagstuhl 14401). Manifiestos de Dagstuhl, 5(1), págs. 25-37, 2015.

Parte del trabajo para este ensayo se realizó mientras era profesor invitado en la ENS de París, bajo la tutela de David Pointcheval.

Agradezco a la Junta Directiva de la IACR el privilegio de impartir la Conferencia Magistral de este año. Es un honor que se presenta como máximo una vez en la carrera de un criptógrafo, y me he esforzado al máximo por aprovechar esta oportunidad.

Este ensayo debe su existencia al coraje de Edward Snowden.