Commercial COMSEC Endorsement Program , la enciclopedia libre

El proyecto Commercial COMSEC Endorsement Program (siglas CCEP), también conocido Proyecto de superación (en inglés Project Overtake) fue una iniciativa de la NSA, iniciada en 1984, orientada a cambiar la forma en que las empresas de informática y comunicaciones usaban las técnicas de cifrado. El proyecto instaba a que se usaran módulos criptográficos embebidos en los productos de las empresas. Tanto para uso militar, corporativo o incluso para exportación.

Descripción[editar]

El sistema se basaba en que los proveedores de hardware instalaran en sus productos módulos del tamaño de un casete. Según el tipo de utilidad se montarían unos módulos u otros. Estos módulos costaban alrededor de mil dólares y las entidades no tenían ningún control sobre el sistema:

• Los algoritmos eran clasificados secretos.
• El módulo estaba sellado con un revestimiento y cualquier modificación sería detectada.
• Las claves eran generadas y distribuidas por la NSA. No había ninguna garantía de que la NSA no se quedara con ellas.

La NSA desarrolló una serie de módulos criptográficos para diferentes propósitos. Estos módulos usaban diferentes algoritmos según la aplicación para la que habían sido desarrolladas. Había cuatro tipos de módulos:

• Tipo 1.- Módulos para uso militar. Ejemplos de este tipo de módulos fueron: Winster (<=100KB),Tepache (<=10MB), Foresee (aprox. 100MB) y Countersign I.
• Tipo 2.- Módulos para uso del gobierno para procesos no clasificados pero sensibles. Ejemplos de este tipo de módulos fueron: Edgeshot (<=100KB), Bulletproof (<=10MB), Brushstroke (aprox. 100MB) y CounterSign II.
• Tipo 3.- Módulos para uso corporativo.
• Tipo 4.- Módulos para exportación.

Se creaban nuevas categorías de equipos certificados para proteger información no clasificada que estaban disponibles inicialmente sin los controles administrativos tan tediosos que eran aplicados a los equipos destinados a gestionar información clasificada. De esta forma la NSA promocionaba la producción de equipos que competían directamente con el DES.

Motivaciones[editar]

Hasta entonces las empresas comerciales usaban en el DES. Sin embargo, según aseguraba la NSA, la amplia difusión del DES podría provocar que una agencia de espionaje hostil organizase un ataque a gran escala. Por eso las empresas debían adoptar este nuevo sistema.

Sin embargo otras^[1]​ personas consideraban que la causa del proyecto era que el DES era que la seguridad del DES era demasiado sólida para el uso masivo que se le estaba dando, poniendo en peligro las labores de descifrado de comunicaciones la NSA.

Además esta tecnología ofrecía a la propia NSA una forma de hacer dinero vendiendo dichos módulos

Para promover esta tecnología la NSA anunció que no habría recertificación del DES en la revisión de los cinco años que tendría lugar en 1988. Aunque finalmente en 1988 la NBS recertificaría el DES a pesar de las objeciones de la NSA. Poco después la NSA, renegando de sus promesas originales, y aduciendo la Ley de Seguridad Informática de 1987, impuso controles casi tan estrictos como los de tipo 1 al hardware de tipo 2.^[2]​

Impacto[editar]

Salvo en el mundo gubernamental el proyecto nunca triunfó. El proyecto fracasó debido a que la tecnología que proponía era cara, engorrosa y se basaba en la confianza absoluta de la entidades en la NSA. Las entidades, en general, prefirieron quedarse con el DES en el que hacía poco habían hecho importantes inversiones. Además los bancos, entidades internacionales, ya habían negociado con éxito acuerdos que permitían operar y coordinar las comunicaciones usando el DES. Un criptosistema diseñado por la NSA solo accesible por empresas estadounidense no tenía mucho sentido.

Referencias[editar]

• Privacy on the Line: The Politics of Wiretapping and Encryption. Whitfield Diffie,Susan Eva Landau. MIT 1998
• Applied Cryptography. Bruce Schneier. John Wiley & Sons, 1996