En muchas ocasiones, esos mismos datos son gestionados por diferentes usuarios y entidades sin las adecuadas medidas de protecci\u00f3n<\/strong>. Podr\u00edamos decir m\u00e1s, multitud de veces los datos son utilizados por aplicaciones software cuyo control excede al leg\u00edtimo propietario de la informaci\u00f3n.<\/p>\n\n\n\n Desde hace tiempo venimos observando que las compa\u00f1\u00edas hacemos uso del almacenamiento y procesamiento de informaci\u00f3n en la nube como herramienta b\u00e1sica de nuestra operativa diaria. <\/p>\n\n\n\n A nadie se le escapa que los servicios en nube forman parte ya de muchas de las herramientas que empleamos en nuestras actividades cotidianas<\/a><\/strong>. Desde plataformas de correo electr\u00f3nico hasta repositorios de im\u00e1genes, documentos, buscadores\u2026 pasando incluso por aplicaciones corporativas disponibles bajo modelos \u201cAs a Service<\/em>\u201d.<\/p>\n\n\n\n En este contexto, las grandes empresas tecnol\u00f3gicas se han encargado de convencernos de que con ellos nuestros datos estar\u00e1n seguros<\/strong>; que, siguiendo los par\u00e1metros funcionales de sus aplicaciones, nuestros datos<\/strong> solo se utilizar\u00e1n para los objetivos que les hayamos encomendado<\/strong>.<\/p>\n\n\n\n As\u00ed pues, partiendo de esta premisa, habitualmente establecemos un canal de comunicaci\u00f3n con estos proveedores a trav\u00e9s de redes VPN, protocolos TLS, etc., y les remitimos nuestros datos para su procesamiento sin m\u00e1s control que el acuerdo que hemos firmado con ellos<\/strong>.<\/p>\n\n\n\n El planteamiento parece ingenuo, si se piensa detenidamente. Nos preocupamos de que nuestra informaci\u00f3n sea confidencial en el camino entre el punto de salida de nuestra organizaci\u00f3n y el punto de llegada al proveedor del servicio, pero no tanto por la privacidad dentro del proveedor de servicios<\/strong>.<\/p>\n\n\n\n \u00bfPor qu\u00e9 confiamos en ellos<\/em><\/strong>?<\/em> La respuesta sea que quiz\u00e1s no nos quede otra opci\u00f3n. Sin embargo, \u00bfqu\u00e9 ocurrir\u00eda si pudi\u00e9ramos mantener la privacidad de los datos frente a estas terceras partes, lo har\u00edamos?<\/strong><\/p>\n\n\n\n Esta \u00faltima pregunta es la que se han planteado los profesionales de ciberseguridad desde hace mucho tiempo. De hecho, constituye la base para una l\u00ednea de trabajo relacionada precisamente con el cifrado de la informaci\u00f3n que se conoce como cifrado homom\u00f3rfico<\/a><\/em><\/strong>.<\/p>\n\n\n\n El cifrado homom\u00f3rfico<\/strong><\/em> es una propiedad que permite trabajar sobre datos cifrados de forma que el resultado pueda ser recuperado solo por aquel que posee la clave que lo descifra. Es decir, la posibilidad de remitir a un proveedor la informaci\u00f3n que nosotros hemos cifrado para que este la procese y posteriormente nos devuelva el resultado sin que nadie, salvo nosotros mismos, podamos conocer cu\u00e1l es el contenido<\/strong> \u2014v\u00e9ase que tampoco el proveedor lo conocer\u00e1 al trabajar con datos cifrados.<\/p>\n\n\n\n A finales de la d\u00e9cada de los 70 del pasado siglo, y justo un a\u00f1o despu\u00e9s de que se desarrollara el modelo RSA para el cifrado de informaci\u00f3n a trav\u00e9s del uso de claves p\u00fablica y privada, Rivest, Adleman y Dertouzos<\/em> publicaron un informe que titularon \u201cOn Data Banks and Privacy Homomorphisms<\/a><\/em>“.<\/strong> A trav\u00e9s de un sencillo ejemplo mostraban la posibilidad de almacenar y procesar datos de forma cifrada.<\/p>\n\n\n\n La idea, novedosa y compleja al mismo tiempo, recog\u00eda la posibilidad de tratar la informaci\u00f3n manteniendo la privacidad de los datos. Para ello propon\u00edan el ejemplo de una entidad bancar\u00eda que pretend\u00eda determinar el riesgo crediticio de sus clientes utilizando una aplicaci\u00f3n de un proveedor externo, pero sin proporcionar a este los datos en formato legible de cada uno de los clientes<\/em>.<\/p>\n\n\n\n Aquel ejemplo expres\u00f3 con claridad el concepto de homomorfismo en el cifrado de la informaci\u00f3n y la posibilidad de desarrollar una tecnolog\u00eda que abriera el paso a la privacidad en cualquier punto de la cadena de procesamiento<\/strong>.<\/p>\n\n\n\n No entraremos en detalles algebraicos para no aburrirles demasiado. Aun as\u00ed, debemos mencionar que el paso completo a dicho procesamiento de informaci\u00f3n se conoce como FHE<\/em><\/strong>, Fully Homomorphic Encryption<\/em><\/strong>, y que no es otra cosa que la posibilidad de ejecutar cualquier operaci\u00f3n computacional de modo que la propiedad del cifrado siempre se mantenga<\/strong>, es decir, que el resultado pueda descifrarse utilizando la misma clave. Una caracter\u00edstica que en 2009 Craig Gentry <\/em>mostr\u00f3 que era viable<\/a><\/strong>.<\/p>\n\n\n\n Su utilidad resulta evidente. Desde modernas t\u00e9cnicas de Inteligencia Artificial aplicadas a diagn\u00f3sticos m\u00e9dicos, ayudas a la decisi\u00f3n o la clasificaci\u00f3n de informaci\u00f3n financiera<\/strong>. Tambi\u00e9n utilidades b\u00e1sicas como, por ejemplo, la b\u00fasqueda de un restaurante sin tener que proporcionar al proveedor del servicio datos en claro de nuestra geolocalizaci\u00f3n. Llegado el caso, la FHE podr\u00eda utilizarse para garantizar el cumplimiento del RGPD<\/a><\/strong>.<\/p>\n\n\n\n Cualquier dato o informaci\u00f3n que quisi\u00e9ramos mantener confidencial podr\u00eda ser procesada por un tercero sin necesidad de hacerle part\u00edcipe de su contenido real<\/strong>. De hecho, uno de los ejemplos m\u00e1s ampliamente empleado para mostrar su utilidad est\u00e1 en los sistemas de votaci\u00f3n electr\u00f3nica que permitir\u00edan a un votante emitir un voto cifrado que podr\u00eda ser contado manteniendo el anonimato de su depositante<\/a><\/em>.<\/p>\n\n\n\n En la actualidad existen utilidades que experimentan con este tipo de servicios basados en FHE. Microsoft<\/a> e IBM<\/a> est\u00e1n entre los m\u00e1s avanzados, aunque a\u00fan lejos de disponer de versiones comerciales de uso general.<\/strong> Y es que, si bien el futuro que muestra este esquema de gesti\u00f3n de la informaci\u00f3n parece prometedor, tambi\u00e9n presenta sus limitaciones.<\/p>\n\n\n\n Uno de los principales problemas que presenta la computaci\u00f3n FHE se encuentra en el procesamiento del modelo. El hecho de tener que trabajar con datos cifrados obliga a los sistemas inform\u00e1ticos a introducir operaciones intermedias que aumentan los requisitos de CPU y de RAM en los servidores<\/strong>. Requisitos que son en torno a 40 o 50 veces superiores a los necesarios para procesar los datos sin cifrar<\/strong><\/a>.<\/p>\n\n\n\nLa nube, repositorio y servicio \u00bfseguro?<\/strong><\/h3>\n\n\n\n
![\"\"](\"https:\/\/all4sec.es\/blog\/wp-content\/uploads\/2021\/10\/CH-2-cloud-g3b4e98be5_1920-1024x683.jpg\")
<\/figure><\/div>\n\n\n\nCanal seguro<\/strong><\/h3>\n\n\n\n
![\"\"](\"https:\/\/all4sec.es\/blog\/wp-content\/uploads\/2021\/10\/CH-3-personal-data-gab0d2b9f0_1920-1024x576.jpg\")
<\/figure><\/div>\n\n\n\nCriptograf\u00eda homom\u00f3rfica: Datos seguros<\/strong><\/h3>\n\n\n\n
![\"\"](\"https:\/\/all4sec.es\/blog\/wp-content\/uploads\/2021\/10\/CH-1-cifrado-homomorfico-1.jpg\")
<\/figure><\/div>\n\n\n\nRivest, Adleman, Dertouzos\u2026 y Gentry<\/strong><\/h3>\n\n\n\n
![\"\"](\"https:\/\/all4sec.es\/blog\/wp-content\/uploads\/2021\/10\/CH-4-Rivest-Adleman-Dertouzos.jpg\")
<\/figure><\/div>\n\n\n\nAplicaciones con datos cifrados<\/strong><\/h3>\n\n\n\n
![\"\"](\"https:\/\/all4sec.es\/blog\/wp-content\/uploads\/2021\/10\/CH-5-cifrado-homomorfico-1.jpg\")
<\/figure><\/div>\n\n\n\nLimitaciones computacionales<\/strong><\/h3>\n\n\n\n
![\"\"](\"https:\/\/all4sec.es\/blog\/wp-content\/uploads\/2021\/10\/CH-7-networking-g34413c2b3_1280-1024x576.jpg\")
<\/figure><\/div>\n\n\n\n![\"\"](\"https:\/\/all4sec.es\/blog\/wp-content\/uploads\/2021\/10\/CH-6-money-hardware-software-1.jpg\")
<\/figure><\/div>\n\n\n\n