Una credencial de congreso está a punto de ser la excepción

DEF CON 34 abre el 6 de agosto en la sala oeste del Centro de Convenciones de Las Vegas, y su credencial no es el habitual recuerdo con luces. La construyó Andrew Huang, el investigador de hardware conocido como bunnie, alrededor de un chip diseñado por él y llamado Baochip-1x. Los organizadores la describen como una plataforma inspeccionable de pleno derecho y primera en su género, y enumeran para qué debería servir después: llave de seguridad, gestor de contraseñas, módulo de seguridad por hardware y generador de luces bonitas.

La especificación no es de juguete. Baochip-1x es una pieza de TSMC de 22 nanómetros sobre un juego de máscaras propio, de unos cuatro milímetros de lado, con un procesador VexRiscv a 350 MHz y una unidad de gestión de memoria, cuatro núcleos de entrada y salida a 700 MHz, 4 MiB de memoria resistiva y 2 MiB de memoria estática, aceleradores criptográficos, un generador de números aleatorios verdadero, una malla de protección, sensores de perturbación y ranuras de clave protegidas por hardware. Hay obleas cualificadas para producción en Hsinchu, con unos pocos miles de chips desnudos previstos para finales de 2026.

Lo que merece la atención de un propietario no es el silicio. Es que varios miles de personas están a punto de sostener una llave de seguridad cuya construcción pueden comprobar, algo que hoy casi nadie que tenga una llave de seguridad puede hacer.

Inspeccionable significa algo concreto, y se detiene en algún punto

La afirmación es más estrecha y más interesante de lo que suele sugerir el código abierto. Huang creó una técnica llamada IRIS, por infrarrojo in situ, que usa luz infrarroja para observar los transistores de un chip sin desmontarlo ni destruirlo. Baochip-1x se encapsuló deliberadamente para ser compatible con ella. La cuestión no es que usted pueda leer el diseño. Es que puede mirar la pieza física que tiene en la mano y comprobar que el patrón impreso en el chip es el que debía estar ahí.

Huang llama a su diseño mayormente abierto, y ese matiz es lo más creíble del asunto. Los bloques de cálculo están publicados para su inspección. El armazón del bus, la interfaz USB y los componentes analógicos, incluidos el lazo de seguimiento de fase, los reguladores de tensión y los contactos de entrada y salida, siguen cerrados. Su argumento es preciso: todos los componentes cerrados son en realidad cables, y los datos que entran por un lado deberían coincidir con los que salen por el otro.

Usted puede discrepar de dónde se traza esa frontera. Lo que no puede es obtener una respuesta más clara de ningún proveedor convencional, porque un proveedor convencional no traza la frontera en absoluto. Un elemento seguro comercial está cerrado desde los contactos hacia dentro, y la única garantía que se ofrece es un documento de certificación que describe un proceso y no la pieza que está sobre su mesa.

Mire ahora lo que ya lleva en el llavero

Aplique la misma prueba a las raíces de confianza de las que su empresa ya depende. Las llaves de seguridad que llevan sus administradores. El módulo de plataforma segura soldado en cada portátil que entrega. El módulo de seguridad por hardware que guarda sus claves de firma. El elemento seguro de los terminales de pago de sus mostradores. Cada uno de ellos existe precisamente para ser aquello sobre lo que ya no hace falta confiar en nada más, y para cada uno su prueba es la palabra de un proveedor y un certificado.

No es una acusación de mala conducta ni un argumento para sustituir nada. La mayoría de estas piezas están bien hechas y detrás de los regímenes de certificación hay trabajo real. La cuestión es más estrecha: usted ha aceptado un componente no verificable justo en el punto de su arquitectura donde la verificación más importa, y lo ha hecho porque hasta ahora no había otra cosa que aceptar.

Esto es comercial y no filosófico porque la garantía que usted posee se refiere a un proceso de fabricación y no a la unidad concreta que llegó a su edificio. Un certificado dice que un diseño fue evaluado. No dice que el chip de este encapsulado sea ese diseño. IRIS resulta interesante porque aborda la segunda pregunta, que es la que haría un auditor si existiera el vocabulario para formularla.

Europa va a exigir transparencia en la capa equivocada

Lo que convierte esto de curiosidad en asunto de planificación es el calendario. El Reglamento de Ciberresiliencia empieza a apretar el 11 de septiembre de 2026, cuando se aplican las obligaciones de notificación: quien fabrica un producto con elementos digitales debe dar a ENISA y al equipo nacional de respuesta correspondiente una alerta temprana en 24 horas desde que conoce una vulnerabilidad explotada activamente, una notificación más completa en 72 horas y un informe final en 14 días. Los requisitos esenciales, incluida la lista de materiales de software, llegan el 11 de diciembre de 2027.

Al leer ambas fechas juntas, la asimetría es evidente. Europa está construyendo un régimen jurídico que acabará diciéndole qué software hay dentro de un producto, con plazo y con una autoridad con nombre. No hay equivalente para qué silicio hay dentro. Si se explota una vulnerabilidad de una raíz de confianza por hardware en un producto que usted fabrica, su reloj de 24 horas corre contra un componente que nunca pudo examinar y cuyo proveedor no le debe una divulgación equivalente.

Para un fabricante europeo esa laguna es un riesgo de calendario y no una abstracción, porque el deber de notificar es suyo y la opacidad es de otro. Para una empresa que solo compra, la exposición es menor pero el remedio es el mismo: lo que no pueda verificar, al menos debería estar nombrado en un contrato.

La pregunta que conviene enviar esta semana

No reconstruya nada alrededor de una credencial de congreso. Baochip-1x lo hace una empresa de Delaware de una sola persona, financiada con recursos propios y sin inversores externos, fabricada a través de un socio que mantiene la relación con TSMC y con disponibilidad general prevista para finales de este año. Es un esfuerzo de ingeniería serio sobre una base comercial delgada, y tratarlo hoy como una opción de compra sería la lección equivocada.

La lección correcta cuesta un correo. Pregunte a cada proveedor de llaves de seguridad, módulos de hardware o elementos seguros qué prueba independiente puede aportar de que el chip de una unidad entregada corresponde al diseño publicado, y archive lo que le contesten. La mayoría remitirá a un esquema de certificación, y saberlo con exactitud vale la pena precisamente porque no es la misma afirmación. Cuando un equipo acabe poniéndole precio, la cifra es pequeña y conocida: una flota de 200 llaves de seguridad a unos 50 euros cada una son 10.000 euros, y la decisión que sostiene vale más que eso.

Leer a continuación: La puerta abierta era el repositorio de paquetes  |  16.000 firmas comparten su riesgo de proveedor. Usted no lo hace