Cifrar / descifrar RSA

Dos primos y una puerta trampa. Una clave RSA empieza con dos primos grandes y aleatorios p y q; su producto n (el módulo, de ahí «clave de 2048 bits») se publica en la clave pública junto con un exponente e (casi siempre 65537). La clave privada es el par d, el inverso modular de e − calculado a partir de p y q — más atajos derivados de los primos que aceleran las operaciones con la clave privada hasta 4×.

Cifrar y firmar son la misma exponenciación. Cifrar un bloque de mensaje m significa calcular m^e mod n; descifrar es c^d mod n. Firmar un bloque ya formateado con el exponente privado y verificar con el público es la misma operación en el otro sentido. Todo lo demás de esta página — OAEP, PSS, PKCS#1 — trata de formatear ese bloque de forma segura para que nunca quede expuesta la exponenciación cruda.

Por qué es lento. Una operación RSA con una clave de 2048 bits cuesta del orden de un millón de veces más de CPU que cifrar un bloque con AES. Por eso TLS usa RSA (o ECC) solo para acordar una clave AES aleatoria, y después cambia. La misma regla se aplica a todo lo que construya: RSA para la clave, AES para los datos.

Tamaño de clave. La longitud del módulo es el mando de seguridad: 1024 bits está roto por política (factorizarlo está al alcance de los estados), 2048 bits ≈ 112 bits de fortaleza simétrica, 3072 bits ≈ 128 bits, y 15360 bits igualaría una clave simétrica de 256 bits. Nota sobre poscuántica: el algoritmo de Shor rompe RSA sin más en una computadora cuántica grande — una razón más para mantener vidas útiles de clave finitas.

El problema del RSA crudo. El RSA de libro (m^e mod n sobre el mensaje en bruto) es determinista y maleable: mensajes idénticos se cifran igual, un atacante puede multiplicar un cifrado por el cifrado de 2 para que el texto plano se duplique, y los mensajes cortos caen con el ataque de encuentro a mitad de camino. Nunca debe usarse directamente.

Qué hace OAEP. OAEP (PKCS#1 v2, RFC 8017) mezcla el mensaje con una semilla aleatoria a través de una red de Feistel basada en hash antes de la exponenciación. El resultado: el cifrado es aleatorizado (el mismo texto plano da un cifrado distinto cada vez — ejecute dos veces el ejemplo OAEP y compare), la manipulación se detecta al descifrar, y el mensaje debe caber dentro del módulo con espacio para el hash — el límite k−2·hashLen−2 tabulado arriba.

La etiqueta. Una cadena pública opcional que se une al relleno. Ambos lados deben indicar exactamente la misma etiqueta o el descifrado falla — como el AAD de AES-GCM, permite vincular el cifrado a un contexto (un nombre de archivo, un identificador de algoritmo). Lo normal es que esté vacía.

El cifrado PKCS#1 v1.5 está ausente a propósito. El relleno de la época de 1993 no tiene integridad y filtra información a través del comportamiento de error del descifrado (el ataque de Bleichenbacher de 1998 convierte un oráculo de relleno en descifrado completo con unos pocos millones de cifrados elaborados; todavía rompe sistemas reales como ROBOT, 2017). WebCrypto se niega a implementarlo; esta página también.

Firmar = hashear, luego rellenar, luego exponenciar. Ambos esquemas hashean el mensaje (SHA-256/384/512 aquí), formatean el resumen en un bloque y aplican el exponente privado. Verificar vuelve a formatear el bloque con la clave pública y compara. La diferencia está en el formateo:

Cuál elegir. Diseños nuevos: PSS. Interoperabilidad con certificados existentes, JWT (RS256) o sistemas antiguos: v1.5. Ambos son seguros como esquemas de firma — la historia del desastre v1.5 trata del *relleno de cifrado*, una construcción distinta a pesar del nombre parecido.

PEM es solo DER envuelto en base64. Un archivo PEM es una etiqueta más el base64 de una estructura DER (ASN.1 binario). La etiqueta indica qué estructura es — y esa es toda la diferencia entre los cuatro formatos que genera esta página:

La misma clave, envoltorios distintos. Las cuatro cajas de arriba tras Generar contienen el mismo par de claves — SPKI y la pública PKCS#1 contienen los mismos n y e; la privada PKCS#8 y la PKCS#1 contienen los mismos valores privados. Esta página convierte entre ellos sin pérdidas en el navegador (su autocomprobación hace ida y vuelta de las conversiones). Confundir los formatos es la causa más habitual de errores de «clave no válida» al pegar claves entre herramientas.

Los PEM cifrados (-----BEGIN ENCRYPTED PRIVATE KEY-----) son PKCS#8 con una capa de cifrado basada en contraseña. Esta página no los acepta — descífrelos antes sin conexión (openssl pkcs8 -in enc.pem -out plain.pem).

• Cifrar datos masivos con RSA. Más allá del límite estricto de tamaño de OAEP, es absurdamente lento. El patrón es: generar una clave AES aleatoria, cifrar la clave AES con RSA-OAEP, cifrar los datos con AES-GCM y enviar ambas partes.
• Distribuir la clave privada porque «es una prueba». Las claves de ejemplo incrustadas en los vectores de esta página se publican a propósito — solo pueden firmar datos de prueba. Sus claves no son así.
• Verificar con la clave privada. Suele «funcionar» matemáticamente y algunas herramientas lo permiten, pero distribuir una clave privada a los verificadores anula todo el modelo. Verifique con la clave pública (esta página lo exige).
• Comparar firmas byte a byte para comprobar código. PSS (y OAEP) son aleatorizados: dos ejecuciones correctas producen salidas distintas. Compare verificando, no por igualdad — solo las firmas v1.5 son deterministas.
• Claves de 1024 bits «porque son más rápidas». También están al alcance de una factorización con mucho presupuesto. El argumento de la velocidad murió con el cifrado híbrido: RSA se ejecuta una vez por sesión, no por byte.
• Fijar una longitud de sal distinta de la del hash para PSS. El verificador debe estar de acuerdo; la longitud del hash (la elección de esta página y -sigopt rsa_pss_saltlen:32 de OpenSSL) es el valor predeterminado interoperable.

¿Por qué falló mi descifrado con «clave incorrecta, hash incorrecto o cifrado corrupto»? El descifrado OAEP falla si ocurre cualquiera de estas cosas: no es la clave privada correspondiente, el hash difiere del lado que cifró, la etiqueta difiere o cambió un byte del cifrado. El error es deliberadamente idéntico en todos los casos — revelar qué comprobación falló ya es en sí una filtración por oráculo de relleno.

¿Puedo obtener la clave pública a partir de la privada? Sí — los formatos privados también contienen n y e. Esta página muestra ambos tras Generar; OpenSSL lo hace con openssl pkey -in priv.pem -pubout.

¿Por qué 65537 como exponente? Es primo, tiene solo dos bits a 1 (exponenciación rápida) y es lo bastante grande como para evitar los ataques de exponente bajo que afectan a e=3. Es la elección estándar desde los años noventa; un exponente «raro» suele indicar una clave débil o no estándar.

¿Está muerto RSA por las computadoras cuánticas? Todavía no — no existe ninguna máquina que pueda ejecutar el algoritmo de Shor sobre un módulo de 2048 bits. Pero los datos que deben seguir secretos hasta los años 2030 ya se están migrando; los esquemas híbridos poscuánticos son la respuesta de ingeniería.

¿Qué pasa con openssl rsautl? Es el antecesor obsoleto de pkeyutl. Por defecto usa el relleno de cifrado v1.5 — una razón más por la que se retiró.