		*Últimos Cambios*
	Blog personal: El hilo del laberinto

PGP y las leyes de exportación criptográfica de EE.UU.

Última Actualización: 21 de Enero de 2.000 - Viernes

Artículo publicado en el boletín Una-Al-Día de Hispasec, el 12 de Diciembre de 1.999.
Publicado también en el boletín IT|NEWS de BPE.News, el 17 de Diciembre de 1.999.

NAi (Network Associates, Inc.) ha anunciado que se le acaba de conceder una licencia EE.UU. de exportación mundial para su software criptográfico PGP. Ello contrasta notablemente el aplazamiento de la normativa oficial norteamericana sobre exportación criptográfica, al menos hasta el próximo 14 de Enero.

Dadas sus características de tecnología de doble uso (puede emplearse tanto con fines beneficiosos que como "arma"), muchos países del mundo regulan el uso y la exportación a otros países de tecnologías criptográficas. Como ya se ha dicho en innumerables foros, ello supone un completo sinsentido, si tenemos en cuenta que:

El uso de tecnologías criptográficas permite operar con seguridad en Internet, comprar, firmar documentos, verificar su autoría y su integridad, etc.
Estos usos son importantes y, por sí mismos, justificarían las despenalización de este tipo de tecnologías.
Los fundamentos matemáticos y los propios algoritmos criptográficos están documentados en libros, revistas y cursos universitarios.
No tiene sentido prohibir exportar un programa cuando sus fundamentos están al alcance de cualquier estudiante universitario. Las bases del RSA, uno de los algoritmos de cifrado asimétrico más populares, fueron publicados en apenas un par de páginas en la prestigiosa revista (de distribución mundial) "Investigación y Ciencia" ("scientific american", en la versión de EE.UU.).
No tiene sentido prohibir la criptografía por su posible uso para encubrir actos criminales, sencillamente porque esos criminales no tendrán ningún pudor en hacer uso de ella ya que, aunque no existiese software para ello, el punto anterior deja claro que cualquier programador con algo de tiempo y un mínimo de conocimientos puede desarrollar soluciones a su medida.
Por tanto, la criptografía sirve para precisamente lo contrario, evitando que las transacciones comerciales y las conversaciones privadas de usuarios honestos puedan protegerse contra intrusos.
La criptografía es una necesidad en un mundo interconectado, en el que buena parte de la información que circula por las redes debe ser confidencial y privada (por ejemplo, los datos de nuestra tarjeta de crédito o nuestras llamadas desde un teléfono móvil celular).

No se ha proporcionado información sobre qué condiciones ha debido cumplir el PGP para que EE.UU. apruebe su exportación sin restricciones. NAi pertenece a la "Key Recovery Alliance" lo que supone que están a favor de incorporar tecnología "Key Escrow" en sus productos. En la práctica ello puede suponer que las comunicaciones protegidas con productos NAi pueden ser monitorizadas sin ningún tipo de control por entidades "desconocidas".

NAi afirma que no ha incorporado "Key Escrow" en el PGP (aunque algunas versiones disponen de lo que se llama la "clave corporativa", con un fin similar), y que sólo está dentro de la "Key Recovery Alliance" porque era un requisito para poder optar a determinados contratos gubernamentales.

Al menos esta licencia hará innecesarias iniciativas como la PGPi, que exportaba una versión legal del PGP mediante la impresión de su listado en un libro, el envío del libro a Europa y el escaneado de las fuentes originales a partir del documento en papel. Por increíble que parezca, esto es lo que se estaba haciendo hasta ahora, ¡y eso que el listado ocupa más de 12.000 páginas!. Y más increíble aún resulta que este proceso sí resulte legal, comparado con el envío directo del programa.

Para aquellos usuarios que no se sientan confortables con el uso de un software con miles de líneas de código fuente que nadie ha auditado a la caza de bugs o "puertas traseras", queda la opción de utilizar las viejas versiones del PGP (concretamente las versiones 2.6.3) o bien emplear el nuevo desarrollo GnuPG, compatible con PGP.

Más información:

Network Associates

PGP Encryption Software Granted Worldwide Export License As Part of Landmark Decision

Key Recovery Alliance
Network Associates en la KRA

Las leyes de exportación de encriptación se retrasan hasta enero

Waiting for Crypto

The International PGP Home Page
The PGPi project

The GNU Privacy Guard