La nueva Ley Española de Telecomunicaciones deja la puerta abierta a los sistemas de registro obligatorio de claves.
Declaración de los miembros de la Global Internet Liberty Campaign - GILC, Julio de 1998
Índice:Sinopsis
Introducción
El encriptado en la nueva Ley Española de Telecomunicaciones
Argumentos en contra de los sistemas de registro obligatorio de claves
Las autoridades de certificación
Conclusión
La recientemente aprobada Ley Española de Telecomunicaciones (LEY 11/1998, de 24 de abril, General de Telecomunicaciones), otorga a los ciudadanos españoles el derecho a la utilización de "sistemas fuertes de encriptado". No obstante, la nueva Ley abre la posibilidad de acceso de algunas agencias gubernamentales a las comunicaciones encriptadas a través de un sistema de registro obligatorio de claves por el que las claves privadas de los ciudadanos españoles serían almacenadas por agencias gubernamentales.
Sinopsis:Un sistema de esas características lleva consigo varios problemas:
1) El sistema de registro obligatorio de claves atenta contra la privacidad, derecho éste recogido en la Ley Española de Protección de Datos, conocida como la Lortad.
2) En lugar de favorecer la detección de crímenes, este sistema incrementaría las posibilidades de actos delictivos.
3) El sistema de registro obligatorio de claves supone una seria amenaza para el desarrollo del comercio electrónico.
Todos estos problemas emergen de una misma fuente: cualquier sistema criptográfico que lleve aparejada la existencia de terceros encargados del almacenaje de las claves privadas es intrínsecamente inseguro.
La Global Internet Liberty Campaign es un grupo de organizaciones dedicadas a la defensa y promoción de los derechos humanos, las libertades civiles y la Internet y que aboga por la utilización ilimitada de la criptografía en aras de la protección de las comunicaciones privadas personales. Estimamos que el art. 52, Anexo 2, de la Ley Española de Telecomunicaciones de 1998, dedicado a la criptografía, puede conducir fácilmente a un sistema de registro obligatorio de claves en España. Consideramos que esta reciente iniciativa conllevará serios problemas tanto para la privacidad como para el desarrollo del comercio electrónico en España.
Introducción:El encriptado suele asociarse únicamente a los ámbitos de la defensa militar, los criminales y los espías. Sin embargo, es la base de todo sistema seguro de comunicaciones, y por ende, de vital importancia para la privacidad y el comercio electrónico. Por consiguiente, cada vez aparece más integrado a sistemas y aplicaciones comerciales.
También cada día resulta más necesario para la infraestructura del trabajo en red. Así por ejemplo, los sistemas de sincronizado e intercambio de información de carácter administrativo en Internet están comenzando a usar el encriptado para evitar que la intromisión de terceros de mala fe desvirtúe el uso de Internet.
Además, la criptografía ha sido históricamente asociada a situaciones extremas y contenciosas, como el crimen y la guerra. Sin embargo, en nuestros días, el desbordante uso del encriptado tinene lugar en el marco de intercambios rutinarios entre individuos y organizaciones empresariales. Por ejemplo, se suelen encriptar los números de las tarjetas de crédito y cualquier tipo de información transaccional; también el vendedor manda encriptados a la oficina central los informes relativos a sus clientes. Además, la tecnología de encriptado en Internet se usa cada vez más por motivos de privacidad y para asuntos particuares. Se asegura así que sólo la persona o la audiencia destinatarias y nadie más podrán leer el mensaje. De hecho, la utilización de la criptografía sería el equivalente del sobre lacrado. Es decir, enviar un simple correo electrónico sería como enviar una postal al descubierto y la única manera de lacrar y asegurar la postal sería utilizando herramientas fuertes de encriptado y desprovistas de cualquier mecanismo que las desvirtúe (sistemas de registro obligatorio de claves). Si nuestros sistemas de encriptado se vieran maniatados por este tipo de artificios, existiría siempre un tercero que, si lo desea, podría husmear en nuestro correo privado y, por lo tanto, restar seguridad o confidencialidad al correo elecrónico.
No es nuestra pretensión afirmar que los sistemas resistentes de criptografía no sometidos a depósito de claves u otro tipo de "puertas falsas" sean 100% seguros. La posibilidad de descifrar un determinado mensaje está en función del algoritmo que se emplee, de la extensión de la clave y de los artefactos técnicos disponibles. Por otra parte, y como se expondrá a continuación, la participación de terceras personas, supuestamente de confianza, o la existencia de sistemas que permitan eludir la privacidad, vendría a introducir mayor inseguridad en la criptografía. Tal y como hubiera manifestado Bruce Schneier - un destacado investigador en el campo de la criptografía y autor de la obra "Criptografía Aplicada"-, resulta imposible conciliar las necesidades de los agentes de la ley y la industria. No puede darse al mismo tiempo la existencia de un encriptado suficientemente seguro y la capacidad de los agentes de la ley de interceptar de vez en cuando el correo de uno.
No obstante, el art. 52 de la Ley Española de Telecomunicaciones de 1998 abre la posibilidad de establecimiento de sistemas de registro obligatorio de claves.
De conformidad con ciertos acuerdos internacionales, como el Convenio Europeo de Derechos Humanos (art. 8) y la Ley Española de Protección de Datos, conocida como la Lortad, la recién aprobada Ley Española de Telecomunicaciones garantiza la privacidad de las comunicaciones, e incluso el derecho a la utilización de sistemas de encriptado fuertes, tal y como se establece en el párrafo principal del art. 52 (el texto completo de la ley puede consultarse en castellano en: http://www.asertel.es/cs/08017002.htm):
El encriptado en la nueva Ley Española de telecomunicaciones"Todo tipo de información que se transmita mediante redes de telecomunicaciones puede ser protegida a través de procedimientos de encriptado" [traducción no oficial].
No obstante, el art. 52 (2) proclama lo siguiente:
"Entre sus condiciones de uso, cuando se utilice para proteger la confidencialidad de la información, se podrá imponer la obligación de notificar, bien a un órgano de la Administración General del Estado o a un organismo público, los algoritmos o cualquier procedimiento de cifrado utilizado, a efectos de su control de acuerdo con la normativa vigente. Esta obligación afectará a los fabricantes que incorporen el cifrado en sus equipos o aparatos, a los operadores que lo incluyan en las redes o dentro de los servicios que ofrezcan y, en su caso, a los usuarios que lo empleen".
Así pues, la referencia general al "procedimiento" puede servir de subterfugio para establecer otra ley específica por la que se cree un sistema de registro obligatorio de claves. Ello supondría que cada usuario que adquiera un software de encriptado deberá facilitar su clave privada a "un tercero de confianza", que, de conformidad con el texto de la ley española, sería un órgano gubernamental.
Según los agentes encargados de aplicar la ley, los sistemas de depósito obligatorio de claves son indispensables para combatir las actividades delictivas en Internet. Desde esta óptica, el dejar nuestras claves privadas a un tercero de confianza sería una manera de evitar el enorme riesgo de crímenes por este medio, poniendo en cambio en negligente peligro nuestra privacidad en la red.
Sin embargo, este argumento presenta varias fisuras:
Argumentos en contra de los sistemas de registro obligatorio de claves.1) En primer lugar, la Comisión Europea declaraba en una reciente comunicación que "la mayoría de (los pocos) delitos relacionados con el uso del encriptado que se toman como base para explicar la necesidad de su regulación, tienen que ver con el uso 'profesional' del encriptado. Parece improbable que en tales casos el uso del encriptado pueda llegar a ser efectivamente controlado a través de su regulación". [traducción no oficial]
Los miembros abajo firmantes del GILC hemos debatido este argumento en numerosas ocasiones y llegado a la conclusión de que los círculos criminales o terroristas no tienen por qué no ser vulnerables, y por consiguiente poder romperse, mediante las herramientas tradicionalmente empleadas para la aplicación de la ley, como el examen de las pruebas, utilización de informadores, etc.
2) En segundo lugar, el riesgo de los sistemas de registro obligatorio de claves no es insignificante en absoluto. Estos sistemas introducen, inevitablemente, cierta vulnerabilidad en los protocolos criptográficos, despejando el terreno a abusos internos y a la perpetración de ataques deliberados (ver Comunicación de la UE). Los funcionarios españoles custodiarán las claves privadas en una suerte de infraestrucura centralizada que se convertirá en un atractivo blanco para criminales. Pero además, estos criminales potenciales podrán serlo no sólo los "hackers" que intenten acceder desde el exterior, sino también eventuales funcionarios corruptos que podrían vender las claves privadas a estafadores, o incluso usarlas ellos mismos en actos delictivos.
Es más, las bases de datos centralizadas de claves privadas constituyen una gran tentación para los agentes de la Administración del Estado, que podrán husmear las comunicaciones privadas sin necesidad de autorización judicial para ello. Los sistemas de registro obligatorio de claves son muy "golosos" y se prestan a diferentes tipos de abuso; es una tentación difícil de rechazar toda vez que las claves públicas estén a disposición de terceras personas.
La utilización de empresas privadas en la custodia de claves privadas, como se planea hacer, por ejemplo, en el Reino Unido, no es una solución. Estos sistemas pueden adolecer de las mismas fisuras que los órganos públicos, y, por ende, hacer de las comunicaciones electrónicas un medio intrínsecamente inseguro.
La reciente batida de la policía contra la red de "hackers" conocida como Hispack demuestra la facilidad de acceso a los ordenadores del Gobierno español y al correo electrónico privado. Si cualquiera de ellos hubieran tenido en custodia claves privadas, éstas podrían haber terminado en manos de criminales, quienes después podrían haber usado las claves y la información confidencial obtenida a través del correo electrónico para propósitos criminales.
También el caso del robo de documentos militares secretos a manos del Coronel Perote del CESID viene a ilustrar cómo la existencia de oficiales corruptos que se apropian de secretos es mucho más que una remota posibilidad.
3) En tercer lugar, una vez que un peligro de abuso es declarado, los sistemas de registro obligatorio de claves, pueden crear problemas nada triviales al comercio electrónico. Los usuarios no se servirán de los sistemas comerciales en Internet tan masivamente como lo harían en otras circunstancias y ello debido al temor de que determinada información confidencial, como el número de su tarjeta de crédito, termine en manos de estafadores.
4) En cuarto lugar, la recién aprobada Ley española no detendrá a criminales ni terroristas. El desarrollo de un programa criptográfico no es tan complicado. De hecho, existen cientos de ellos disponibles en Internet. Los criminales podrían hacerse fácil e ilegalmente con software de encriptado, de la misma manera que consiguen armamento o drogas, y usarlo sin notificar la clave privada a un organismo público. Sólo los ciudadanos ejemplares depositarán sus claves privadas en un ordenador central, con riesgo inminente para su privacidad, mientras que criminales y terroristas se servirían de la criptografía sin mayor contratiempo.
Aún más, ocultando el mensaje dentro de un mensaje más largo y aparentemente inocente, o en una imagen adjunta al mismo (práctica que se conoce como esteganografía), los criminales podrían eludir se detectados en el uso del encriptado ilegal.
5) En quinto lugar, el art. 52 de la nueva ley resulta contradictorio en su enunciado. En realidad carece de sentido proclamar que todo ciudadano español tiene derecho a cifrar (o encriptar) sus comunicaciones y a continuación abrir la puerta al establecimiento de un sistema de registro obligatorio de claves. El único motivo para usar la criptografía es para asegurar que las comunicaciones privadas sean verdaderamente privadas. Si un tercero puede leer nuestros mensajes privados a su guisa, no hay razón alguna para usar el encriptado o para creer que las comunicaciones encritadas son seguras.
6) En sexto lugar, el art. 52 choca también con recientes iniciativas a nivel global. Ya se ha hecho mención a la Comunicación de la UE emitida en octubre de 1997, y titulada, "Hacia un marco europeo de encriptado y firmas digitales" [traducción no oficial]. Este documento considera que los sistemas de registro de claves son ineficaces e inefectivos. La Comunicación de la UE declara que "la Unión Europea, sencillamente, no puede permitirse un marco regulador dividido en un ámbito tan vital para la economía y la sociedad" [traducción no oficial]. Los desarrollos de la UE son importantes y tendrán efecto directo en España.
Resulta también interesante observar cómo el mes pasado, un panel del Gobierno de los EE.UU., a través del llamado Comité Asesor Técnico para el Desarrollo de un Sistema Federal Estándard de Procesamiento de Información para la Infraestructura de Gestión Federal de Claves (Technical Advisory Committee to Develop a Federal Information Processing Standard for the Federal Key Management Infrastructure) ha fracasado, tras dos años de esfuerzos, en el diseño de un sistema federal de seguridad informática, que integraba un sistema de "puertas falsas", una modalidad que coloca en similar peligro a la criptografía. El equipo de 22 componentes nombrado por el Secretario de Comercio en 1996 concluyó, en un encuentro celebrado el mes pasado, que había serios problemas técnicos que conducirían a un sistema inseguro y que no estaba a la altura de las expectativas de la policía.
Alan Davidson, asesor de staff en el Centro para la Democracia y la Tecnología (Center for Democracy and Technology), asociación sin ánimo de lucro defensora del derecho a la privacidad de las comunicaciones, efectuó las siguientes declaraciones:
"La Administración no cesa de gastar el dinero del contribuyente en persecución de una estrategia mal orientada y que no protegerá la seguridad. Su propio comité asesor no puede respnder a cuestiones básicas sobre cómo ponerlo en funcionamiento pra el Gobierno y aun así, continúan presionando para que todos lo adopten, a nivel mundial".
Los principios rectores y las políticas anunciadas por la OCDE en 1997 se separan de lo establecido por la nueva Ley General de Comunicaciones española. En un reciente informe la ODCE declaraba lo siguiente:
"Las políticas nacionales de criptografía pueden permitir el acceso legal al texto, o a las claves de encriptado, de datos encriptados", pero inmediatamnete después insistió en que "Estas políticas deben respetar los restantes principios contenidos en estas bases rectoras en la mayor medida posible" y, "Este principo no debe ser interpretado en el sentido de que los gobiernos debieran o no emprender la iniciativa legislativa que permita el acceso legal".
De hecho, las limitaciones al uso de la criptografía se vienen debatiendo en EE.UU. desde hace cinco años, desde hace varios en Francia, y recientemente en Canadá, Alemania o Australia. Si las técnicas de limitación de encriptado son tan buena idea, ¿Por qué hasta ahora ningún país democrático ha sido capaz de confeccionar una ley coherente para ponerlas en marcha?.
Algunos miembros del público confunden la diferencia entre el registro de claves y otro tipo de servicio de gran importancia para el comercio en la web, la autoridad de certificación. Las autoridades de certificación son organizaciones que garantizan la identidad de un usuario en la web. Del mismo modo que uno se fía del cheque de un banco conocido o de una carta por su membrete, uno puede confiar en que una persona es verdaderamente quien dice ser si una autoridad certificadora así lo avala. Se prevé que las autoridades de certificación van a ser cosa generalizada y que van a mejorar sustancialmente la viabilidad de los intercambios digitales, siempre y cuando los gobiernos no creen trabas al encriptado.
Las autoridades de certificación.No obstante, es importante resaltar que las autoridades de certificación no guardan relación con el registo de claves. En los actuales sistemas de claves públicas usados para la mayor parte del encritado, son las autoridades de certificación las que acumulan las claves públicas de los correspondents. No existe motivo alguno por el que una autoridad de certificación deba custodiar claves privadas. Si así lo hiciera podrían derivarse riesgos para la seguridad.
Debido a la gran responsabilidad que pesa sobre las autoridades de certificación, podría existir una autorización gubernamental a la hora de otorgarles licencias que garanticen la fiabilidad en el servicio de la empresa. Pero existe también el riesgo de que los gobiernos fuercen a las autoridades de certificación a custodiar claves privadas, convirtiéndose pues en terceros de confianza, lo que distorsionaría su función y carecería de fundamentación técnica.
Por otra parte, el GILC emitió en febrero de 1998 el primer informe que hace un recorrido por las diferentes políticas de encriptado en todo el mundo y que lleva por título "Criptografía y Libertad. Un Estudio Internacional sobre la Política de Encriptado". El propósito del estudio, dirigido por EPIC, era determinar si los distintos países están limitando la disponibilidad de nuevas tecnologías al servicio de los usuarios de Inernet y de otros usuarios para proteger la privacidad personal. Según el informe del GILC, la mayoría de los países del mundo no ejercen controles sobre el uso de la criptografía. "En la imensa mayoría de los países, el uso de la criptografía es libre, y ésta puede ser fabricada y vendida sin restricciones. El informe afirma que las recientes tendencias en política de criptografía apuntan a una mayor liberalización del uso de esta tecnología, que inicialmente fue controlada durante la Guerra Fría por motivos de seguridad nacional.
La tecnología de encriptado fuerte sin mediación de sistemas de registro obligatorio ofrece la única protección a quines buscan sacar a la luz los abusos oficiales de poder. Además, es el único sistema eficaz de generar un sistema de comunicación que reúna los requisitos de privacidad y que pueda ser usado en el comercio electrónico de manera segura y fiable.
Conclusión:Los miembros del GILC han instado a los diferentes gobiernos en diversas ocasiones para que no adopten controles sobre la criptografía. Recientemente, emitimos varias declaraciones criticando las políticas de encriptado de los gobiernos canadiense y británico. Consideramos que los mismos argumentos son válidos en el caso español y deben persuadir al gobierno español de cerrar la puerta que ha abierto a los sistemas de registro obligatorio de claves a través del texto del art. 52 de la nueva Ley General de Telecomunicaciones.
A la hora de formular políticas relativas al uso de Internet, el respeto a la privacidad de las comunicaciones en la web debe garantizarse del siguiente modo:
- Asegurándose de que la información personal vertida en Internet con un propósito determinado no sea usada para otro fin o revelada sin el consentimiento de la persona tras haber sido debidamente informada
- Permitiendo a los individuos la revisión de la información personal en Internet y corregir la información no correcta;
- Proveyendo de medidas de privacidad en relación con las transacciones comerciales en la web así como en relación con los contenidos; y
- Permitiendo a los usuarios de Internet encriptar sus comunicaciones y su onformación sin restricción alguna.
Por todo ello, los abajo formantes miembros del GILC consideran que la política de criptografía debiera basarse en el derecho fundamental a la privacidad en las comunicaciones. En este sentido, desplegamos esfuerzos conducentes al desarrollo de la infraestructura de las comunicaciones concebidas para la vigilancia. Para concluir, afirmamos que los sistemas de registro obligatorio de claves podrían convertir a España y a cualquier otro país en una nación de segunda clase para el desarrollo del comercio electrónico y de la Era de la Información.
Firmado por los siguientes miembros de la Global Internet Liberty Campaign:
- Associazione per la Libertà nella Comunicazione
- Elettronica Interattiva (ALCEI). http://vivaldi.nexus.it/altri/alcei/index.html
- CITADEL EF France http://www.citadeleff.org
- CommUnity. http://www.community.org.uk/
- Computer Professional for Social Responsibility. http://www.cpsr.org
- Cyber-Rights & Cyber-Liberties (UK). http://www.leeds.ac.uk/law/pgs/yaman/yaman.htm
- Derechos Human Rights. http://www.derechos.org
- Digital Citizens Foundation Netherlands). http://www.db.nl
- Electronic Frontier Foundation. http://www.eff.org
- Electronic Frontier Canada. http://www.efc.ca/
- Electronic Frontiers Australia. http://www.efa.org.au
- Fronteras Electrónicas España (FrEE). http://www.arnal.es/free/
- Electronic Frontiers Texas. http://www.eftexas.org
- Electronic Privacy Information Center. http://www.epic.org
- Equipo Nizkor. http://www.derechos.org/nizkor
- Foerderkreis Informationstechnik und Gesellschaft (FITUG) e.V. http://www.fitug.de/
- Imaginons un Réseau Internet Solidaire (IRIS). http://www.iris.sgdg.org
- Privacy International. http://www.privacy.org/pi
- quintessenz user group. http://www.quintessenz.at
La Global Internet Liberty Campaign cuenta con el apoyo económico del Open Society Institute
Versión original en inglés de esta declaración disponible en / Original English version of this statement avalaible at: http://www.gilc.org/crypto/spain/gilc-crypto-spain-798.html
Traducción y edición electrónica realizadas por el Equipo Nizkor en Madrid, a 13 de septiembre de 1998
Derechos Humanos en España
Este documento es publicado en la internet por Equipo Nizkor y Derechos Human Rights
