La evolución de la confianza digital

In today’s interconnected world, we can rely on all kinds of connections – from typical use at home, where we have computers, smartphones, and household appliances, to enterprises, where there are servers containing sensitive customer data or a multitude of controllers that are mission critical for manufacturing or provide revenue-generating services. 

En todos estos ejemplos, dependemos de nuestros dispositivos para saber con quién nos comunicamos y para tener la garantía de la integridad y confidencialidad de los datos, ya sea el horario de encendido de nuestros dispositivos domésticos inteligentes o las instrucciones para la máquina de la planta de producción sobre lo que debe hacer, y todo lo imaginable entre ambos. Nuestra vida moderna depende de cuánto podamos confiar en los sistemas y dispositivos en los que nos apoyamos para hacer nuestras vidas más cómodas, realizar tareas específicas y hacer que nuestra sociedad funcione de manera más eficiente en muchos aspectos.

As usual, I reflect on the core of all this stuff: mathematics and applied cryptography. For some folks, it is scary stuff. But for others like me, it is a passion I like to spend my time on, 30+ years and counting. Nevertheless, the important thing for all of us to remember is that many talented people have developed the concept of digital trust over the past four decades. These folks, the cryptographers, have developed algorithms and protocols that create the fabrics of trust and several security mechanisms that most of us use every single day, sometimes knowingly/intentionally, while many times it is all done for us automatically and “it just works.” Funny, math sometimes allows us to imagine things that are yet impossible to implement – back in the day, computers were computationally too weak, and we did not have developed infrastructure that would allow us to connect to just about anyone, anywhere. 

El surgimiento de la confianza: de los navegadores a las tarjetas de identidad

Quienes nacimos antes del surgimiento de los smartphones, antes incluso de que existieran Google o Facebook, recordamos la última década del siglo XX, cuando todo empezó a ponerse en práctica. 

It all started with browsers. As people started to use browsers to consume information available on the internet, it became imperative to ensure that we could trust what we saw in the browser and that others could not easily know what we were looking at. The browser that changed the world was Netscape, where a team led by brilliant cryptographer Tahel El Gamal gave us the capability to provide security in internet communication. It was called SSL protocol, and the modern-day iteration is called TLS. The SSL protocol is based on the use of so-called digital certificates and public key cryptography. This invention gave users on the internet the capability to connect securely to websites, thus providing trust in the internet, and it is safe to say it was one hugely important contributing factor towards the digital transformation of our societies. For instance, e-commerce was practically non-existent before this innovation. 

Las primeras implementaciones de la "confianza pública" y los servicios asociados a los sistemas de confianza fueron torpes, nada fáciles de usar y a menudo no lograron las ambiciones previstas. Simplemente, los productos aún eran inmaduros y, como la mayoría de las buenas intenciones de las contrataciones públicas, casi todas resultaron únicamente en el despilfarro del dinero de los contribuyentes. 

Lenta pero seguramente, surgieron algunos éxitos y lecciones valiosas. Los servicios B2C fueron introducidos por algunos bancos, dado que estos, por la propia naturaleza de su negocio, conocían la importancia de la confidencialidad. Aunque buenos para la época, estos sistemas no escalaban bien. Los usuarios necesitaban tener un dispositivo especial conectado a un ordenador (lector de tarjetas inteligentes). Era nada menos que una pesadilla (re)instalar el Software de controlador cada vez que se actualizaba Windows. 

Algunos gobiernos tenían ambiciones audaces de proporcionar servicios G2C. Además de las dificultades técnicas, también obtuvimos "estándares" y regulaciones específicos de cada país que, en el mejor de los casos, protegían a proveedores nacionales o preferidos y, en el peor, eran insuficientemente seguros. Sin embargo, aprendimos mucho: si bien las tarjetas de identidad iniciales emitidas por el gobierno con "chips inteligentes" fueron un fracaso hace más de 20 años, hoy tenemos ejemplos maravillosos donde la mayoría de la población utiliza tarjetas de identidad electrónicas para acceder tanto a servicios gubernamentales como empresariales. 

Living in Sweden, it is almost impossible to imagine how the world was working before BankID – we access all kinds of services on a daily basis using this service. Another example is the digital identity cards in Estonia, which are widely considered a model of success. Both examples have more than a decade of wide-range use, work for most of the population, and provide society with services that save tons of money for taxpayers. 

Los desafíos de la confianza digital a medida que la tecnología escala

Sin embargo, a medida que las tecnologías mejoraron, también lo hicieron el mal uso y los "ataques". El problema de escalar a un gran número de usuarios es multifacético, y aquí mencionaré solo algunos ejemplos. 

Validar que un solo certificado es válido es simple, pero tener millones de certificados emitidos significa que cada parte necesita una forma eficiente de asegurar que se comunica con la contraparte prevista y aprobada. Incluso para el sistema más simple, con una sola jerarquía de confianza, esto implica grandes transferencias de datos solo para equipar a todos con información de validación actual. 

Además, nuestros navegadores tienen más de 100 jerarquías de confianza integradas, y un usuario común no tiene ninguna posibilidad de validarse en todas ellas, ya que sería una tarea enorme. Casualmente, algunas de estas anclas de confianza, las llamadas autoridades de certificación públicas, fueron objetivo de ataques maliciosos y abuso posterior. Si un sistema así se ve comprometido y tiene millones de usuarios, la tarea de restablecer la confianza puede ser prácticamente imposible. 

Se realizaron mejoras y, hoy en día, contamos con tecnologías que permiten la validación de certificados bajo demanda, y han evolucionado reglas y regulaciones interindustriales que controlan cómo se emiten los certificados de confianza pública. ¿Es perfecto? No. ¿Funciona? Sí. El debate es interminable: los nuevos métodos de ataque deben abordarse constantemente. 

Aquí en Europa, hemos abandonado en su mayoría los estándares específicos de cada país y hemos avanzado hacia estándares al menos a nivel europeo. Esto abrió una importante competencia entre los proveedores, pero también la posibilidad de que un ciudadano del país X pueda usar servicios en el país Y. Pero el mundo no termina en Svalbard ni en Malta; necesitamos comunicarnos con "todo el mundo". 

Para el bien de la humanidad (en su mayor parte), las grandes empresas tecnológicas desempeñaron un papel significativo en el impulso de tecnologías que funcionan en todas partes (donde no está prohibido o controlado por gobiernos específicos). Sí, fue en su propio interés, pero ¿y qué? ¡Funciona (en su mayor parte)! 

One example that has been fairly successful is the 3GPP consortium, which brought a bunch of standards within mobile telecommunications. The trust model (related to the digital trust and use of PKI) from the 3GPP standards is arguably one of the best developed and has been used for almost 20 years now worldwide. 

There are so many details that I omit here, but it would be unfair to forget the contributions of companies and individuals towards the creation of the open standards that allow us to enjoy the benefits of the fabric of trust. When the cryptographers come up with some brilliant new discovery, then the engineers make it work in a consistent, interoperable manner. That is so much easier to say than do. The engineers who work on standards must look both back to allow the new systems to work with the old and ahead to allow for future improvements in a field that is rapidly evolving. The unsung heroes of the last 25+ years are the engineers who contributed towards interoperable standards. If I was to pick one organization, then it would be the IETF, where contributors from many companies delivered hundreds of de-facto standards without which the digital age we enjoy would be digital “wild west.”

Check back next week for a look at three trends impacting the evolution of digital trust. In the meantime, explore our white paper.