El misterioso caso de las claves RSA de 512 bits: cuando lo que era seguro ya no lo es

Cada ciertos años, la comunidad criptográfica decide jubilar discretamente un tamaño de clave que dejó de considerarse seguro. Lo que en los años 90 era encryption de 128 bits hoy suena peligrosamente anticuado, y esas claves RSA que parecían infranqueables ahora caen factorizadas en apenas unas horas con hardware convencional.

Esto es exactamente lo que ocurrió recientemente cuando un investigador de seguridad publicó los resultados de factorizar claves RSA de 512 bits procedentes de antiguas autoridades certificadoras (CA) — esos anclajes de confianza que los navegadores usan para verificar las identidades de los sitios web. Las claves en cuestión pertenecían a Netscape 4.51, lanzado en marzo de 1999, que incluía certificados de una CA canadiense llamada E-Certify. Estas raíces permanecieron confiables para conexiones SSL hasta 2003, cuando la comunidad finalmente reconoció que 512 bits nunca fueron suficientes.

Por qué 512 bits siempre fue una mala idea

RSA-512, como su nombre indica, utiliza un módulo de 512 bits — el producto de dos números primos grandes. En los años 90, factorizar un número así era teóricamente posible pero prácticamente difícil. Sin embargo, la matemática no ha cambiado; lo que ha evolucionado es nuestra capacidad de computación. Un procesador moderno como el Ryzen 9 puede factorizar una clave RSA de 512 bits en aproximadamente 30 horas usando herramientas de código abierto como CADO-NFS. En 1999, la misma clave habría requerido o bien un supercomputador o un esfuerzo distribuido masivo.

Lo más llamativo es que incluso en 1999 esto ya estaba muy cerca del límite. RSA-155 (un número de 512 bits con 155 dígitos decimales) fue factorizado en agosto de 1999, apenas meses después de que se emitieran los certificados de E-Certify. El investigador señaló que probablemente estas claves no deberían haberse emitido desde el principio.

El contexto histórico del Web PKI

El Web PKI — el sistema de autoridades certificadoras que protege el HTTPS — se construyó sobre suposiciones de confianza que hoy nos parecen quaint. En los años 90, los navegadores incluían docenas de certificados raíz de autoridades de todo el mundo, con una estandarización mínima en tamaños de clave o prácticas operativas.

Netscape, que básicamente inventó el comercio web con SSL en 1994, era particularmente permisivo. Internet Explorer era más conservador — ninguna raíz RSA de 512 bits para SSL se incluyó jamás en Internet Explorer. Pero el enfoque de Netscape creó un artefacto histórico: certificados CA de 512 bits que permanecieron confiables en cualquier sistema que ejecutara una versión antigua de Netscape con el reloj desconfigurado.

Qué significa esto para la seguridad moderna

La conclusión no es simplemente "nunca uses RSA de 512 bits". Eso es obvio. Lo más importante es que los estándares de seguridad son documentos vivos. Una clave RSA de 2048 bits, que las prácticas actuales exigen, eventualmente también se considerará demasiado pequeña. El proyecto de estandarización de criptografía post-cuántica del NIST ya está en marcha porque los investigadores anticipan que las computadoras cuánticas eventualmente romperán RSA por completo.

Para desarrolladores y organizaciones hoy, esta lección histórica refuerza algunos principios clave:

• Planifica la migración de algoritmos: Tu infraestructura necesitará actualizaciones a medida que los estándares criptográficos evolucionen. Evita hardcodear algoritmos específicos.
• Vigila los calendarios de obsolescencia: Las autoridades certificadoras y los navegadores announce regularmente las fechas de desmantelamiento para tamaños de clave y funciones hash antiguas.
• Automatiza la renovación de certificados: Los procesos manuales llevan a certificados olvidados y configuraciones desactualizadas.
• Usa Certificate Transparency: Las CA modernas deben registrar los certificados públicamente, dificultando que actores maliciosos obtengan certificados fraudulentos.

La parte divertida

Más allá de las implicaciones de seguridad, hay algo indiscutiblemente genial en romper claves criptográficas de una autoridad certificadora extinta. El investigador publicó tanto las claves privadas de E-Certify como un servidor HTTPS de prueba que funciona con Netscape Navigator 4.51. Es una cápsula del tiempo, demostrando que estos certificados antiguos todavía pueden autenticar conexiones — al menos en navegadores que ejecutan software más antiguo que muchos de los desarrolladores de hoy.

Si tienes curiosidad por explorar archivos de certificados antiguos tú mismo, el investigador ha publicado herramientas e instrucciones para extraer y analizar certificados raíz históricos. Podrías encontrar otras CA olvidadas con claves igualmente débiles. Es un recordatorio de que la historia de internet deja rastros, y no todos fueron seguros desde el principio.

La próxima vez que configures TLS para tu aplicación, tómate un momento para apreciar cuánto hemos avanzado — y cómo tu plataforma de hosting probablemente maneja automáticamente las renovaciones de certificados, los tamaños de clave y la selección de cipher suites. Los días de vaqueros de las CA de 512 bits quedan atrás, pero las lecciones sobre higiene criptográfica siguen siendo tan relevantes como siempre.