De una contraseña a una clave de cifrado

Un servicio de CifraLab cifra un respaldo usando directamente los caracteres de la contraseña como clave AES, rellenando con ceros hasta llegar al tamaño. Una contraseña no tiene la forma de una clave: es corta, predecible, y su conjunto de valores posibles es diminuto comparado con el de una clave aleatoria. Usarla tal cual como clave convierte el cifrado en algo que se rompe probando contraseñas, no claves. Lo correcto es pasar la contraseña por una función de derivación de clave —un KDF como PBKDF2, scrypt o Argon2— que produce una clave del tamaño justo a partir de la contraseña. El arreglo es derivar la clave con un KDF, nunca usar la contraseña como clave.

El fallo es de entrada, no de algoritmo: AES recibe como clave algo que se adivina probando frases.

Otro servicio sí usa un KDF, pero sin sal y con muy pocas iteraciones. Las dos cosas lo dejan casi inútil. Sin sal, la misma contraseña produce siempre la misma clave, así que se pueden precomputar tablas de contraseñas a claves y atacar muchos respaldos a la vez. Con pocas iteraciones, derivar es rápido, y lo que encarece probar millones de contraseñas es justo que derivar sea lento. Un KDF se usa con una sal aleatoria por cada derivación —guardada junto al dato cifrado, no es secreta— y con un coste alto, calibrado para que derivar tarde una fracción de segundo. El arreglo es añadir sal por derivación y subir las iteraciones o el coste.

El KDF correcto, sin sal y a toda velocidad, es como la función de contraseña del módulo 2 mal calibrada: bien elegido, mal usado.

El servicio que lo hace bien va un paso más allá: de un mismo secreto maestro necesita varias claves —una para cifrar, otra para autenticar— y no reutiliza la misma para las dos. Reutilizar una clave para dos propósitos junta sus riesgos y abre interacciones raras entre operaciones. Lo correcto es derivar claves separadas del secreto maestro con una función de derivación pensada para eso (por ejemplo HKDF), dando a cada una una etiqueta de propósito distinta. Así, de un solo secreto bien guardado salen todas las claves que hagan falta, cada una para su trabajo, sin compartir material entre funciones.

Derivar en vez de reutilizar es el mismo criterio del módulo 4 —un par de claves por propósito— aplicado al mundo simétrico.

Viste la contraseña usada como clave, el KDF sin sal y con pocas vueltas, y la derivación correcta de claves separadas por propósito. Abre el laboratorio, recorre los tres servicios y lee el código que la auditoría anotó al cerrar la sala.