Resumen

  • Como Oficial Criptográfica, Anne-Marie Eklund Löwinder guardaba una llave física que daba acceso a credenciales de la ceremonia; no era la KSK de la raíz ni permitía firmar por cuenta propia.
  • El sistema convierte la falta de poder individual en una garantía: separa operación y recuperación, exige varias personas y deja guion, testimonio, auditoría y relevo para que la confianza pueda examinarse.

La historia de las «siete llaves de Internet» tiene todos los ingredientes de una buena fábula y casi ninguno de un buen modelo de seguridad. Hay puertas blindadas, voluntarios llegados de distintos países y objetos que pasan meses bajo custodia. Pero la llave metálica de Anne-Marie Eklund Löwinder no era una versión portátil de la autoridad sobre el sistema de nombres. Servía para abrir una caja de seguridad con credenciales necesarias en una ceremonia. Fuera de la cadena de controles, era insuficiente.

La insuficiencia no era un defecto. Era la propiedad buscada. IANA registra a Eklund Löwinder como Cryptographic Officer 2-East entre 2010 y 2022. Su larga permanencia permite observar una arquitectura institucional que necesitaba personas reconocibles sin hacerlas indispensables, y custodios fiables sin entregarles una capacidad completa.

El prestigio entra en la sala, el mando se queda repartido

Eklund Löwinder llegó con autoridad técnica propia. La reseña del Internet Hall of Fame atribuye a su trabajo un papel decisivo para que .SE se convirtiera en 2005 en el primer dominio de nivel superior firmado con DNSSEC. DNSSEC permite verificar criptográficamente que la respuesta de nombres pertenece a la cadena autorizada. En la cúspide, la parte pública de la Key Signing Key de la raíz funciona como ancla de confianza para los resolutores validadores.

Precisamente por eso la selección de representantes externos cuenta. Los criterios de IANA excluyen a afiliados directos de PTI, ICANN y Verisign, y valoran integridad, objetividad y diversidad. El diseño lleva reputación comunitaria al proceso, pero se niega a convertirla en una credencial omnipotente.

Un Oficial Criptográfico conserva la llave de una caja de seguridad, la lleva a la ceremonia, participa en la obtención de las credenciales protegidas y presencia la ejecución del procedimiento. Después puede dar fe de lo ocurrido. Entre ceremonias debe mantener la custodia y comunicar una pérdida o sospecha de compromiso. Al dejar el cargo, una ceremonia final incorpora la sucesión. La función contiene memoria, testimonio y una pieza de acceso; no contiene toda la operación.

La tarjeta de recuperación tampoco es una llave completa

El relato popular suele colocar en el mismo grupo a los Oficiales Criptográficos y a los Recovery Key Share Holders. Sus tareas responden a fallos distintos.

Los primeros intervienen en ceremonias ordinarias. Los segundos están reservados para un desastre en el que las instalaciones y el material normal ya no puedan utilizarse. Cada RKSH guarda una tarjeta inteligente con un pequeño fragmento, no con la clave criptográfica completa. La recuperación exigiría reunir un umbral de participantes y seguir el proceso previsto. Normalmente no acuden a la ceremonia trimestral; confirman periódicamente la custodia de su tarjeta y participan en pruebas de funcionamiento.

La separación evita dos concentraciones. La actividad normal no debe depender del acceso físico exclusivo de un operador. La salida de emergencia no debe quedar encapsulada en un secreto completo confiado a un voluntario. Cuando se pierde más de una participación de recuperación, IANA prevé planificar un nuevo reparto. La resiliencia no consiste en nombrar a una persona excepcional, sino en impedir que un solo accidente o una sola voluntad cierre todos los caminos.

Un procedimiento que se expone a la contradicción

La ceremonia publica su guion con antelación, admite observación y transmite la sesión. Si la realidad obliga a apartarse del guion, la excepción debe consultarse, acordarse, ejecutarse y quedar recogida en los materiales de auditoría. Hay mínimos de asistencia, suplentes y disposiciones de emergencia. El nombre de un custodio importa, pero su ausencia no autoriza automáticamente a eliminar controles.

El valor de esta publicidad no está en convertir al espectador en criptógrafo instantáneo. Está en producir afirmaciones contrastables. El guion fija la secuencia prevista; la transmisión permite observar una parte de su ejecución; registros, atestaciones y auditorías dejan rastros posteriores. Ninguno demuestra por sí solo que todo fue perfecto. Juntos hacen más costosa una desviación silenciosa y permiten preguntar dónde faltó evidencia.

La DNSSEC Practice Statement vigente en 2025 describe separación de tareas para generar, usar y destruir claves, acceso multipartito a las operaciones de la KSK y una auditoría separada de quienes ejercen ese control. Es una fotografía normativa actual, no una licencia para proyectar cada detalle sobre los doce años de servicio de Eklund Löwinder. Sí permite identificar la lógica continua: quien observa, quien aporta acceso, quien opera y quien audita no deben fundirse en una sola autoridad.

Lo que firma la KSK, y lo que no gobierna

En el trabajo ordinario, la KSK de la raíz autentica las Zone Signing Keys con las que se firma la zona raíz operativa. Su componente público se distribuye como ancla de confianza. Una ceremonia típica prepara las firmas del siguiente periodo; otras pueden incorporar representantes, cambiar hardware seguro o atender el ciclo de vida de la KSK.

La llave de la caja no es la clave privada. La clave privada tampoco es una potestad editorial sobre el contenido de la zona. Y la zona firmada forma parte de un sistema distribuido entre varias instituciones. Recuperar estas diferencias no rebaja la aportación de Eklund Löwinder. La hace inteligible: una pionera de DNSSEC prestó independencia, continuidad y testimonio a una función que limitaba deliberadamente su capacidad. El activo no era una heroína capaz de actuar sola, sino una experta dispuesta a demostrar que no podía hacerlo.

Fuentes