Reventando claves

Este fin de semana, al disfrutar de la serie Alias, vi una escena que por desgracia se ha convertido en un tópico, y que no se corresponde con la realidad. Resulta que unos tipos, con Quentin Tarantino a la cabeza, asaltan el SD-6 e intentan abrir la cámara acorazada. La cámara en cuestión tiene la típica cerradura electrónica protegida por un código de varios dígitos. Los asaltantes utilizan un aparato para descubrir la clave, que se conecta de alguna manera a la cerradura electrónica, y entre otras cosas tiene una pantallita donde vemos pasar números a toda velocidad. De pronto, uno de los dígitos se detiene ante la exclamación "¡ya tengo el primero!". Tras un rato, otro dígito se congela, y así, poco a poco, en cada posición va apareciendo un dígito concreto, mientras en las restantes seguimos viendo pasar los números a toda velocidad. Finalmente, al detenerse el último numerito, los asaltantes ya tienen la clave para teclear en el teclado numérico, y abrir la cámara.

Como digo, este tipo de secuencias se ha convertido en un tópico a la hora de mostrarnos cómo obtener la clave de acceso a algo. Creo que el origen de este topicazo está en la película Juegos de Guerra, en la que el super ordenador WOPR, Joshua para los amigos, utiliza el mismo sistema para descubrir los códigos de lanzamiento de misiles nucleares. Al menos, es la primera vez que lo vi en una película.

Pero las cosas no son así en la realidad. Esta secuencia nos muestra lo que en criptografía se conoce como un ataque de fuerza bruta. Consiste en ir probando sucesivamente todas las combinaciones posibles, hasta dar con la correcta. Poniendo un ejemplo sencillo (que nunca funcionaría en el mundo real, por otros motivos que luego comentaré), si quisieramos descubrir el PIN de una tarjeta bancaria, la introduciríamos en un cajero automático y probaríamos todas las combinaciones posibles entre 0000 y 9999 (que son 10.000). Tarde o temprano, daríamos con la clave.

Pero cualquier tipo de clave o contraseña, o es correcta o es incorecta en su totalidad. Es decir, a base de probar combinaciones, yo no puedo saber nunca si unos dígitos son correctos y otros no. O descubro la clave completa, o no sé nada. El realizar numerosos intentos no me da ningún tipo de información que me permita discernir si en determinada posición va determinado dígito. Sólo cuando consiga acertar con la clave, sabré cuál es. Pero hasta entonces, no tendré ni una sola pista, salvo el hecho de que las claves que ya he probado no son correctas, lógicamente.

Además, la mayoría de las veces, este tipo de escenas incurre en otro error. Cuando sólo queda un dígito por descubrir, vemos en la pantalla todos los dígitos quietos menos uno, que sigue mostrando números distintos a toda velocidad durante un buen rato. Con un poco de sentido común nos daremos cuenta de que si sólo falta un dígito, sólo hay que realizar 10 intentos más. Y eso se hace en un santiamén.

Antes he dicho que el ejemplo de la tarjeta y el cajero no funcionaría en el mundo real. Eso es porque siempre que se pueda, conviene tener un sistema adicional de seguridad que impide los ataques por fuerza bruta. Es algo tan simple como limitar el número de intentos. En el caso de un cajero automático, al tercer intento fallido, el cajero cancela la operación y no te devuelve la tarjeta. El mismo sistema tienen los teléfonos móviles, que al tercer error introduciendo el PIN, bloquea la tarjeta SIM, y sólo se puede desbloquear introduciendo el PUK, un número bastante más largo, que por norma general, casi nadie recuerda. Pero además, al décimo intento fallido de introducir el PUK, la tarjeta se bloquea definitivamente, y no hay más remedio que hablar con el proveedor.

La verdad, parece algo raro que una organización como el SD-6 no tenga un sistema similar, aunque eso ya no es malaciencia, sino simplemente falta de previsión. Yo, en vez de tener varios explosivos para volar el edificio si se abre la cámara (algo bastante excesivo), simplemente bloquearía el sistema durante un tiempo (unas horas). O tal vez cerraría la puerta de acceso a la estancia donde está el teclado numérico, atrapando a los que intentaran violar el sistema, y la dejaría así durante unas horas. Está claro que los villanos de series y películas necesitan sin falta estudiarse el Manual del Perfecto Tirano.