Según tengo entendido, la NSA tiene una puerta trasera cleptográfica en los algoritmos CryptoAPI de Microsoft, que les permite usar una clave privada secreta para descifrar las comunicaciones seguras que se basan en la generación de claves asimétricas. Según Wikipedia, esto podría usarse, por ejemplo, para descifrar las comunicaciones ssl entre dos computadoras en una red.
Sin embargo, ¿cuál es el verdadero alcance de esto? ¿Esto significa que cada producto de Microsoft que implementa cualquier forma de cifrado asimétrico podría ser vulnerable a esta puerta trasera específica?
De Wikipedia:
CNG también agrega soporte para Dual_EC_DRBG, [5] un generador de números pseudoaleatorios definido en NIST SP 800-90A que podría exponer al usuario a la escucha por parte de la Agencia de Seguridad Nacional, ya que contiene una puerta trasera cleptográfica, a menos que el desarrollador recuerde generar nuevos puntos de base con un generador de números pseudoaleatorios seguro criptográficamente diferente o un generador de números aleatorios reales y luego publique la semilla generada para eliminar la puerta trasera de la NSA. También es muy lento. [6] Solo se usa cuando se solicita explícitamente.
Se cree que el generador de números pseudoaleatorios criptográficos Dual_EC_DRBG del NIST SP 800-90A contiene una puerta trasera cleptográfica. Dual_EC_DRBG utiliza la criptografía de curva elíptica, y se cree que NSA tiene una clave privada que, junto con fallas de sesgo en Dual_EC_DRBG, permite a NSA descifrar el tráfico SSL entre computadoras que usan Dual_EC_DRBG, por ejemplo. [15]