Que hace realmente la encriptación de radio

Sin los tecnicismos, la encriptación en un sistema de radio móvil terrestre hace una sola cosa: revuelve el audio entre su radio y las radios con las que ha compartido una clave, de modo que cualquiera que escuche sin esa clave oye ruido en lugar de palabras. Esto es encriptación a nivel de enlace, o “sobre el aire”. Protege la transmisión mientras está en el aire. No encripta sus registros de llamadas grabadas, su sistema de gestión de registros, ni la llamada telefónica que hizo la persona que reporto el incidente a su centro de despacho. Esos son problemas distintos con protecciones distintas.

El efecto práctico es un círculo cerrado. Cada radio dentro del círculo puede hablar con cualquier otra radio dentro del círculo. Cualquiera fuera del círculo, incluido un aficionado con scanner, un periodista, un vecino curioso y, lamentablemente, también una agencia vecina que no comparte su clave, escucha estatica. Ese círculo cerrado es todo el valor que ofrece y también el origen de todos los problemas. El valor es la privacidad. El problema es que el círculo tiene un borde duro, y en un mal día la persona del lado equivocado de ese borde es un equipo que usted necesita.

Es importante ser preciso sobre contra que se está defendiendo. La encriptación protege contra la escucha pasiva: alguien monitoreando su tráfico para saber que está haciendo. En eso es muy buena. No protege contra una radio perdida o robada que aun conserva una clave valida, no protege contra un miembro del equipo que lee el tráfico en una pantalla, y no mejora en nada su disciplina operativa. Si su personal dice cosas en un canal sin encriptar que no debería decir, la encriptación no corrige el hábito. Solo cambia el público.

AES-256 y por qué importa el estándar

No toda encriptación es igual, y este es uno de los pocos temas en radio donde hay una respuesta claramente correcta. El estándar aceptado para la encriptación de voz en seguridad pública es AES, el Advanced Encryption Standard, con una longitud de clave de 256 bits. AES-256 es un algoritmo publicado, verificado y reconocido por entidades gubernamentales. Cuando en el mundo de las comunicaciones de seguridad pública dicen que un sistema esta “correctamente encriptado”, esto es a lo que se refieren.

Métodos antiguos y propietarios siguen apareciendo en equipos heredados, y algunos son tan débiles que un escucha decidido con recursos modestos puede vulnerarlos. Trate cualquier revoltura previa a AES o encriptación propietaria de bajo nivel como una ilusión de privacidad y no como una protección real. Si un canal transporta tráfico lo bastante sensible como para justificar encriptarlo, es lo bastante sensible como para justificar hacerlo con AES-256 y no con algo que solo parece encriptado.

Hay una trampa de compatibilidad escondida en esto. Dos radios pueden afirmar estar encriptadas y aun así no poder hablar entre si, porque la interoperabilidad de encriptación requiere el mismo algoritmo, la misma clave y el mismo identificador de clave. Una radio que corre AES no puede decodificar una radio con un esquema propietario más antiguo, aunque ambas estén en la misma frecuencia. Esto importa más en los bordes de una región donde distintas agencias compraron distintos equipos en distintos años. “Ambos estamos encriptados” no es lo mismo que “podemos escucharnos”.

Lo que nadie le advierte: la gestión de claves

El algoritmo es la parte fácil. La parte difícil, la que silenciosamente consume tiempo del personal y causa la mayoría de las fallas reales, es gestionar las claves. Una clave es el secreto compartido que permite a las radios dentro del círculo entenderse entre si. Las claves deben generarse, cargarse en cada radio, mantenerse en secreto, rotarse conforme a un calendario y revocarse cuando se pierde una radio o un miembro se retira. Nada de eso sucede solo.

En el modelo manual, las claves se cargan en cada radio con un dispositivo físico de carga de claves, una radio a la vez. Para un departamento pequeño con un par de docenas de radios portátiles y móviles, eso es una tarde de trabajo. Para un sistema grande, o para una región que intenta mantener sincronizadas a decenas de agencias, es un trabajo permanente. Cada radio nueva, cada reemplazo tras una falla, cada rotación de claves implica tocar el hardware. Si se olvida una radio durante una rotación, esa radio queda fuera del círculo hasta que alguien lo note y la recargue, por lo general en el peor momento posible.

La reasignación de claves sobre el aire, generalmente abreviada OTAR, es la respuesta al trabajo manual pesado. OTAR permite que una instalación de gestión de claves envíe claves nuevas a las radios a través de la propia red de radio, sin recolectarlas fisicamente. Es una mejora genuina y es la forma en que los sistemas modernos grandes se mantienen manejables. Pero no es gratis ni es simple. OTAR requiere infraestructura, requiere una autoridad de gestión de claves que alguien posea y opere, y requiere radios que la soporten. También concentra el riesgo: el sistema de gestión de claves se convierte en una pieza crítica de infraestructura que, si está mal configurada o no está disponible, puede dejar radios fuera de servicio.

• Quien tiene las claves. Alguien, una persona con nombre y un respaldo, debe encargarse de la gestión de claves. Si ese rol no está definido, no tiene un programa de gestión de claves, tiene un monton de radios encriptadas que poco a poco se iran desincronizando.
• Calendario de rotación. Las claves deben cambiar según un ritmo definido e inmediatamente después de un compromiso. Escriba ese ritmo. Una clave sin rotar que ha estado en cada radio durante años es un riesgo.
• Procedimiento para radios perdidas. Una radio que sale de su control sigue teniendo una clave valida hasta que usted haga algo al respecto. El plan para revocar o volver a asignar claves tras una perdida debe existir antes de la perdida, no después.
• Radios de repuesto y prestadas. Las radios prestadas para ayuda mutua y los repuestos en el taller también necesitan claves, o serán inutiles justo en la situación para la que las guardan.

El problema de interoperabilidad es un problema de seguridad

Este es el punto central del asunto, y es donde la encriptación deja de ser una decisión de tecnología informatica para convertirse en una decisión operativa. Todo el sentido de un plan regional de radio compartido es que cuando un incidente grande involucra a tres departamentos de bomberos, dos agencias de emergencias médicas y una unidad policial, todos puedan escucharse entre si. La encriptación, aplicada sin cuidado, rompe eso.

Imagine un incendio estructural activo que escala a ayuda mutua. Sus carros bomba están encriptados en su canal táctico del día a día. El departamento vecino que llega a ayudar no tiene su clave. Ahora su comandante de incidente está dando asignaciones que la mitad del personal en el terreno no puede escuchar. La solución en el momento es que todos se cambien a un canal común sin encriptar de interoperabilidad, lo cual funciona solo si los equipos están entrenados para hacerlo, el canal existe en sus radios y nadie se paraliza. Cada paso adicional que agregue a esa transición es un paso que puede fallar mientras hay gente dentro de un edificio en llamas.

El peligro no es teorico y no se limita a incidentes grandes. Un equipo que transmite en el grupo de conversación encriptado equivocado, esperando comunicarse con una agencia asociada, recibe silencio y puede que no entienda de inmediato por qué. Esa confusión cuesta segundos. En una persecución, un rescate o un incendio de rápida evolución, los segundos son el presupuesto. Una encriptación que un equipo no entiende del todo es más peligrosa que no tener encriptación, porque falla en silencio. Una radio muerta le avisa que esta muerta. Una radio encriptada que no puede comunicarse con la persona a la que llama suena exactamente igual que un canal en silencio.

Cuando realmente necesita encriptación

Nada de esto significa que la encriptación sea mala idea. Existe tráfico con una razón real y defendible para ser protegido, y para ese tráfico la encriptación es la herramienta correcta. La prueba es simple: transmitir esto en claro, expondria a alguien a un daño, violaria un deber legal, o le daria una ventaja real a un mal actor? Cuando la respuesta es si, encriptelo.

• Información personal y medica protegida. Los nombres de pacientes, condiciones y ubicaciones transmitidos por radio pueden ser sensibles, y existen deberes legales alrededor de la información de salud. El tráfico que la contiene tiene un argumento sólido para su protección.
• Información de identificación personal en general. Las direcciones de residencia de personas protegidas, la información vinculada a menores de edad y los detalles que podrian facilitar acoso o persecución no deben transmitirse en claro.
• Posicionamiento táctico en amenazas activas. En un incidente con sujeto atrincherado o amenaza activa, transmitir donde se está ubicando su personal y como planea moverse puede ser escuchado por la misma persona contra la que se están moviendo. Esta es una razón de seguridad de vida para encriptar.
• Tráfico investigativo y de vigilancia. El tráfico que alerta a un sujeto sobre un acercamiento o una operación tiene una razón obvia para ser protegido, y este es el caso de encriptación menos controvertido de todos.

Note lo que estas categorias tienen en común. Son categorias específicas de tráfico en canales específicos por razones específicas. Ninguna de ellas es “todo lo que dice el departamento durante todo el día”. El argumento más sólido para la encriptación siempre es acotado y razonado. En el momento en que la justificación se convierte en “simplemente encriptemos todo por si acaso”, ha dejado el mundo de gestionar el riesgo y ha entrado al mundo de evitar pensar, y de ahí vienen las fallas de interoperabilidad.

El debate sobre la encriptación total del despacho

La pregunta genuinamente en disputa en la radio de seguridad pública hoy es si el tráfico rutinario de despacho, la charla ordinaria de radio por llamados de servicio, debería encriptarse por completo. Personas razonables que quieren lo mismo, equipos seguros y un público seguro, terminan en lados distintos de este debate. Vale la pena presentar el argumento con honestidad en lugar de fingir que existe una respuesta obvia.

Por un lado, algunas agencias señalan que incluso el tráfico rutinario de despacho puede filtrar información personal, que cualquiera con una aplicación ahora puede seguir en tiempo real de una manera que era más difícil cuando los scanners eran un pasatiempo, y que transmitir en claro la dirección de una víctima o la hora de llegada de un equipo puede facilitar un daño. Desde esta perspectiva, encriptar el despacho es una práctica básica de privacidad para las personas a quienes sirve.

Por el otro lado hay costos reales que no se ven el primer día. La encriptación total del despacho corta el acceso a la prensa, a agencias vecinas sin su clave, a operadores de grua, a hospitales y a miembros del público que durante mucho tiempo han confiado en el tráfico abierto por razones legitimas, incluyendo simplemente saber que está pasando en su propio vecindario durante un desastre. También plantea una pregunta de transparencia sobre la cual las comunidades tienen derecho a opinar: las agencias de seguridad pública operan con autoridad pública, y existe un argumento real de que el público tiene interes en poder escuchar como se ejerce esa autoridad. La encriptación total elimina esa capacidad por defecto, para todos, todo el tiempo.

No le vamos a decir cual lado tiene la razón, porque la respuesta honesta depende de su comunidad, su entorno legal y su gobernanza. Lo que si diremos con claridad es que esta decisión pertenece al debate abierto, con funcionarios electos y el público presentes, no escondida en una orden de compra de radios nuevas. Cuando la encriptación del despacho rutinario ocurre como un ajuste técnico silencioso en lugar de una decisión de política deliberada, el departamento hereda una controversia que nunca eligio tener, y por lo general se entera de ella después del hecho.

El camino intermedio: encripte solo lo que lo necesita

La buena noticia es que la elección no es binaria. Los sistemas troncalizados modernos permiten encriptar de forma selectiva, canal por canal y grupo de conversación por grupo de conversación. No tiene que encriptar todo o nada. El enfoque maduro, al que llegan la mayoría de los departamentos una vez que se disipa el entusiasmo inicial, es la encriptación selectiva: proteger el tráfico que genuinamente lo necesita y dejar el resto, especialmente la interoperabilidad, en claro.

Una estructura funcional para muchos departamentos se ve más o menos así. Las operaciones rutinarias del día a día funcionan en claro o, si la privacidad del despacho es una política local ya establecida, en grupos de conversación encriptados que aun así tienen un respaldo en canal claro. Las categorias sensibles obtienen sus propios grupos de conversación encriptados: un canal para detalles medicos, un canal o modo para operaciones tacticas, una vía protegida para tráfico investigativo. Y los canales de ayuda mutua e interoperabilidad siempre están en claro y siempre están en la radio, sin excepciones. Los equipos están entrenados para cambiarse a ellos en el instante en que se involucra una agencia asociada.

• Decida por canal, no por departamento. La unidad de decisión es el grupo de conversación, no el sistema completo. Pregunte de cada uno, que transporta este canal y quien necesita escucharlo.
• Mantenga un respaldo en canal claro. Cada equipo debe tener una vía conocida y entrenada hacia la comunicación sin encriptar cuando la vía encriptada falla o un compañero no puede unirse.
• Entrene la transición, no solo la documente. Cambiarse a un canal común bajo presión es una habilidad. Pertenece a los simulacros, no solo a un manual.
• Reevalue cuando los compañeros cambien de equipo. Una renovación regional de radios puede romper silenciosamente un supuesto de interoperabilidad en el que ha confiado durante años. Revise el plan cada vez que un vecino se reequipe.

Cómo redactar una política que sus equipos realmente puedan seguir

La encriptación falla en la práctica con mucha más frecuencia de lo que falla en la teoría, y falla porque a las personas que la usan nunca se les dio un procedimiento claro, entrenado y por escrito. Una configuración de radio no es una política. La política es el conjunto de decisiones sobre que se encripta, por qué, quien gestiona las claves, como los equipos se comunican con una agencia asociada, y que hacer cuando algo no funciona. Si eso solo vive en la cabeza de dos personas en el taller de radios, tiene un único punto de falla con uniforme puesto.

También hay un angulo de costo real que planificar. La capacidad de encriptación suele ser una función con licencia y no algo que cada radio trae de fábrica. Eso implica partidas de presupuesto, licencias por radio, y el costo operativo continuo de la gestión de claves y, si opta por eso, la infraestructura de OTAR. Nada de esto es una razón para evitar la encriptación. Es una razón para acotarla deliberadamente, de modo que este pagando para proteger el tráfico que lo necesita en lugar de comprar una cobertura total de la que se arrepentira. Cuente las radios prestadas, los repuestos y los compañeros de ayuda mutua en esa cuenta, porque un plan que solo financia sus propias radios de primera línea tendra una fuga en el primer incidente grande.

Sea cual sea la decisión a la que llegue, escribala en un lenguaje que un miembro del equipo en periodo de prueba pueda seguir a las dos de la mañana. Que canales están encriptados. Cuales siempre están en claro. Como comunicarse con un compañero de ayuda mutua. A quien llamar cuando una radio sale del círculo. Que pasa cuando se pierde una radio. Luego entrenelo, practique las transiciones de canal hasta que sean reflejo, y revise todo el conjunto con un calendario establecido y después de cada incidente en que las comunicaciones no salieron como esperaba.