La criptografía es uno de los pilares fundamentales de la seguridad informática. Desde una conexión HTTPS hasta la protección de contraseñas, bases de datos, comunicaciones empresariales y servicios en la nube, los mecanismos criptográficos permiten proteger información crítica frente a accesos no autorizados, alteraciones y suplantación de identidad.
Pero no todos los algoritmos criptográficos funcionan de la misma manera ni tienen el mismo propósito.
En este artículo de Folken IT conoceremos los principales tipos de criptografía utilizados en tecnologías de la información, sus diferencias, ventajas, limitaciones y aplicaciones en entornos empresariales.
1. ¿Qué es la criptografía?
La criptografía es el conjunto de técnicas matemáticas y computacionales utilizadas para proteger información y comunicaciones.
Sus principales objetivos son:
- Confidencialidad: impedir que personas no autorizadas puedan leer información.
- Integridad: detectar modificaciones no autorizadas de los datos.
- Autenticidad: verificar la identidad del emisor o el origen de la información.
- No repudio: proporcionar evidencia criptográfica que permita atribuir una operación o mensaje a su firmante, bajo determinadas condiciones.
Es importante comprender que ningún algoritmo proporciona automáticamente todas estas propiedades. Por ejemplo, cifrar información no garantiza por sí solo que esta no haya sido modificada.
2. Criptografía simétrica
La criptografía simétrica utiliza una misma clave secreta para cifrar y descifrar información.
Es uno de los mecanismos más utilizados para proteger grandes volúmenes de datos debido a su eficiencia.
Principales algoritmos
AES (Advanced Encryption Standard)
Es uno de los estándares de cifrado más utilizados en sistemas empresariales.
Admite claves de 128, 192 y 256 bits.
Sus aplicaciones incluyen cifrado de discos, bases de datos, respaldos, almacenamiento y comunicaciones.
ChaCha20
Es un algoritmo de cifrado de flujo moderno, especialmente útil en entornos donde no existe aceleración de hardware para AES.
Habitualmente se combina con Poly1305 para proporcionar cifrado autenticado.
3DES (Triple DES)
Fue ampliamente utilizado en sistemas financieros y aplicaciones heredadas, pero actualmente se considera obsoleto para nuevos desarrollos debido a su rendimiento y limitaciones de seguridad.
Ventajas
- Alto rendimiento para cifrar grandes cantidades de información.
- Menor consumo de recursos que muchas operaciones de criptografía asimétrica.
- Implementación eficiente en hardware y software.
- Adecuado para almacenamiento y comunicaciones de alto volumen.
Desventajas
- Requiere compartir y proteger una clave secreta.
- La distribución segura de claves puede resultar compleja.
- Si una clave se compromete, los datos protegidos con ella pueden quedar expuestos.
- Una mala selección del modo de operación puede comprometer la seguridad.
Ejemplo práctico
En un entorno empresarial, una base de datos Oracle puede utilizar Transparent Data Encryption (TDE) para proteger información almacenada mediante cifrado simétrico.
Recomendación: utilizar algoritmos modernos con modos autenticados, como AES-GCM, siempre que sean apropiados para el sistema.
3. Criptografía asimétrica
También conocida como criptografía de clave pública, utiliza un par de claves matemáticamente relacionadas:
- Clave pública: puede compartirse con otros sistemas.
- Clave privada: debe permanecer protegida y bajo control de su propietario.
Dependiendo del algoritmo, estas claves pueden utilizarse para cifrado, establecimiento de secretos compartidos o firmas digitales.
Principales algoritmos
RSA
Se utiliza en sistemas de cifrado, firmas digitales y certificados. Las implementaciones modernas deben emplear esquemas seguros como RSA-OAEP para cifrado y RSA-PSS para firmas, según los requisitos de compatibilidad.
ECC (Elliptic Curve Cryptography)
Utiliza matemáticas basadas en curvas elípticas y permite obtener niveles de seguridad elevados con claves relativamente pequeñas.
Incluye mecanismos como ECDH para establecimiento de claves y ECDSA para firmas digitales.
Ed25519
Es un esquema moderno de firma digital basado en curvas elípticas, utilizado, entre otros casos, para autenticación SSH y firma de mensajes.
Ventajas
- Facilita el establecimiento de claves sin compartir previamente un secreto.
- Permite implementar firmas digitales.
- Es fundamental para las infraestructuras de clave pública (PKI).
- Facilita la autenticación entre sistemas distribuidos.
Desventajas
- Las operaciones suelen ser más costosas que el cifrado simétrico.
- Requiere una gestión adecuada de claves privadas.
- Depende de mecanismos confiables para verificar las claves públicas.
- Los algoritmos clásicos RSA y ECC son vulnerables a futuros computadores cuánticos suficientemente potentes.
Ejemplo práctico
Cuando un navegador establece una conexión HTTPS mediante TLS 1.3, normalmente se utiliza un mecanismo de intercambio de claves como ECDHE para acordar secretos compartidos.
Posteriormente, la comunicación se protege mediante cifrado simétrico autenticado.
4. Funciones hash criptográficas
Una función hash transforma datos de longitud variable en un valor de longitud fija denominado digest.
A diferencia del cifrado, una función hash criptográfica no está diseñada para revertirse y recuperar el contenido original.
Algoritmos más conocidos
- SHA-256: ampliamente utilizado para verificar integridad y en aplicaciones criptográficas.
- SHA-384 y SHA-512: variantes de SHA-2 con salidas de mayor longitud.
- SHA-3: familia de funciones basada en una construcción diferente de SHA-2.
- MD5 y SHA-1: algoritmos antiguos que ya no deben utilizarse cuando se necesita resistencia moderna a colisiones.
Ventajas
- Permiten detectar cambios en archivos y datos.
- Son eficientes para calcular huellas digitales.
- Se utilizan como componentes de firmas digitales y mecanismos de autenticación.
- No requieren claves secretas para el cálculo de un hash convencional.
Desventajas
- No proporcionan confidencialidad.
- Un hash sin autenticación no demuestra quién generó la información.
- Los hashes rápidos no son apropiados por sí solos para almacenar contraseñas.
- Los algoritmos obsoletos pueden ser vulnerables a ataques de colisión.
Ejemplo práctico en Linux
Calcular la huella SHA-256 de un archivo:
sha256sum application.earEste comando puede utilizarse para comprobar que un archivo de despliegue conserva el mismo contenido que una versión de referencia confiable.
Importante: para almacenar contraseñas se deben utilizar mecanismos especializados como Argon2id, scrypt o bcrypt, con parámetros apropiados y sales únicas, en lugar de SHA-256 directamente.
5. Criptografía híbrida
La criptografía híbrida combina mecanismos asimétricos y simétricos para aprovechar las ventajas de ambos.
Es una de las arquitecturas más importantes en las comunicaciones seguras modernas.
¿Cómo funciona?
- El cliente inicia una conexión con un servidor.
- Se negocian parámetros criptográficos y se autentica el servidor.
- Se establece un secreto compartido mediante un mecanismo como ECDHE.
- Se derivan claves simétricas para la sesión.
- Los datos se transmiten utilizando cifrado autenticado.
Ventajas
- Combina establecimiento seguro de claves con cifrado eficiente.
- Permite proteger grandes volúmenes de información.
- Facilita la autenticación mediante certificados digitales.
- Puede proporcionar secreto perfecto hacia adelante (forward secrecy) cuando se utilizan mecanismos efímeros adecuados.
Desventajas
- Su arquitectura y configuración son más complejas.
- Requiere administrar certificados, claves y políticas de seguridad.
- Las configuraciones heredadas pueden introducir vulnerabilidades.
- Depende de una implementación correcta del protocolo completo.
Ejemplo empresarial
En una infraestructura que utiliza IBM HTTP Server, WebSphere Application Server o Oracle WebLogic, las conexiones HTTPS utilizan TLS para proteger la comunicación entre clientes, balanceadores y servidores de aplicaciones.
En TLS 1.3, la autenticación y el establecimiento de claves se combinan con algoritmos simétricos autenticados para proteger el tráfico.
6. Firmas digitales y autenticación criptográfica
Las firmas digitales permiten verificar el origen y la integridad de información utilizando criptografía asimétrica.
Un sistema firma los datos mediante una clave privada y otro verifica la firma utilizando la clave pública correspondiente.
Algoritmos habituales
- RSA-PSS
- ECDSA
- Ed25519
Ventajas
- Permiten verificar la autenticidad de documentos y software.
- Detectan modificaciones posteriores a la firma.
- Se utilizan en certificados, distribución de software y transacciones electrónicas.
- Pueden contribuir al no repudio cuando existe una gestión confiable de identidades y claves.
Desventajas
- Requieren proteger rigurosamente las claves privadas.
- La confianza depende de la verificación correcta de identidades y claves públicas.
- Las firmas no cifran el contenido.
- El compromiso de una clave privada puede permitir firmas fraudulentas.
Ejemplo práctico
La firma de paquetes de software permite comprobar que un archivo proviene de un proveedor autorizado y que no fue modificado después de firmarse.
7. Criptografía poscuántica
La criptografía poscuántica (PQC) está diseñada para resistir ataques de computadores clásicos y de futuros computadores cuánticos suficientemente avanzados.
Este campo ha cobrado importancia debido al riesgo de que información cifrada hoy pueda ser almacenada y descifrada en el futuro.
Entre los estándares publicados por NIST en 2024 destacan:
- ML-KEM (FIPS 203): mecanismo de encapsulación de claves.
- ML-DSA (FIPS 204): algoritmo de firma digital.
- SLH-DSA (FIPS 205): algoritmo de firma digital basado en hashes.
Ventajas
- Proporciona alternativas a mecanismos clásicos vulnerables a ataques cuánticos.
- Ayuda a preparar infraestructuras con requisitos de confidencialidad a largo plazo.
- Puede integrarse progresivamente en protocolos y plataformas modernas.
Desventajas
- Algunas operaciones requieren claves, firmas o mensajes más grandes.
- La compatibilidad con sistemas heredados puede ser limitada.
- Las implementaciones y herramientas continúan evolucionando.
- Requiere evaluar cuidadosamente interoperabilidad, rendimiento y seguridad.
Aplicaciones empresariales
Las organizaciones pueden comenzar identificando dónde utilizan RSA, ECDH, ECDSA y otros mecanismos clásicos, para posteriormente desarrollar estrategias de migración hacia criptografía poscuántica.
8. Tabla comparativa de los principales mecanismos criptográficos
| Tipo | Ejemplos | Principal función | Ventaja | Limitación |
|---|---|---|---|---|
| Simétrica | AES-GCM, ChaCha20-Poly1305 | Cifrado de datos | Alto rendimiento | Gestión de claves |
| Asimétrica | RSA-OAEP, ECDH | Cifrado o establecimiento de claves | Facilita comunicación segura | Mayor costo computacional |
| Hash | SHA-256, SHA-3 | Huella de datos | Eficiencia | No cifra información |
| Híbrida | TLS 1.3 | Comunicación segura | Combina eficiencia y seguridad | Complejidad |
| Firma digital | RSA-PSS, ECDSA, Ed25519 | Autenticidad e integridad | Verificación de origen | Protección de clave privada |
| Poscuántica | ML-KEM, ML-DSA | Establecimiento de claves y firmas | Resistencia a ataques cuánticos conocidos | Migración y compatibilidad |
9. ¿Qué criptografía utilizar en un entorno empresarial?
La selección depende de los requisitos técnicos y del objetivo de seguridad.
| Necesidad | Tecnología recomendada |
|---|---|
| Cifrar archivos y respaldos | AES-256-GCM u otra solución autenticada apropiada |
| Proteger conexiones HTTPS | TLS 1.3 |
| Verificar integridad de archivos | SHA-256 |
| Almacenar contraseñas | Argon2id, scrypt o bcrypt |
| Autenticar servidores | Certificados X.509 y TLS |
| Firmar software | Ed25519, ECDSA o RSA-PSS |
| Proteger datos en bases de datos | TDE con gestión segura de claves |
| Prepararse para amenazas cuánticas | Estrategia de migración a estándares PQC |
Estas recomendaciones deben ajustarse a los requisitos regulatorios, las plataformas utilizadas y las políticas de seguridad de cada organización.
10. Buenas prácticas para administradores, DevOps y SRE
La seguridad criptográfica no depende únicamente de elegir un algoritmo robusto.
Es indispensable considerar la administración de claves y el ciclo de vida de los certificados.
Algunas prácticas fundamentales son:
- Evitar algoritmos obsoletos como DES, 3DES, RC4, MD5 y SHA-1 para nuevas implementaciones de seguridad.
- Utilizar TLS 1.3 cuando sea compatible y mantener configuraciones seguras de TLS 1.2 cuando sea necesario.
- Almacenar secretos en herramientas como HashiCorp Vault, servicios KMS o soluciones equivalentes.
- Nunca incluir claves privadas, contraseñas o secretos directamente en repositorios Git.
- Automatizar la renovación y supervisión de certificados digitales.
- Establecer procedimientos para rotación, revocación y recuperación de claves.
- Utilizar bibliotecas criptográficas confiables y actualizadas, evitando desarrollar algoritmos propios.
- Auditar periódicamente los algoritmos, certificados y protocolos utilizados en producción.
Conclusión
La criptografía es esencial para mantener la seguridad de las infraestructuras tecnológicas modernas.
Sin embargo, comprender sus diferentes mecanismos es tan importante como saber implementarlos.
La criptografía simétrica proporciona eficiencia, la asimétrica facilita la autenticación y el establecimiento de claves, las funciones hash permiten verificar integridad y los protocolos híbridos combinan estos mecanismos para proteger comunicaciones empresariales.
Además, la evolución hacia la criptografía poscuántica plantea nuevos desafíos para los profesionales de infraestructura y seguridad.
En Folken IT creemos que comprender estas tecnologías permite diseñar sistemas más seguros, confiables y preparados para los desafíos del futuro.
La seguridad no depende únicamente de cifrar los datos, sino de proteger correctamente las claves, los protocolos y todo su ciclo de vida.