Por: Manuel Costa, socio gerente de investigación; Weidong Cui, socio gerente de investigación; Karen Easterbrook, gerente sénior principal de PM; Paul England, ingeniero distinguido; Hamed Khanpour, gerente sénior de programas; Kim Laine, gerente principal de investigación; Kapil Vaswani, investigador principal; Mike Walker, director senior; Ryen W. White, gerente general – investigación e ingeniería
La imagen tiene un círculo grande con manos temblorosas en el centro. Alrededor del círculo hay seis gráficos más pequeños: una serie de códigos, un gráfico de barras, un escudo, un engranaje, una nube y una computadora.
La confianza es esencial para que las personas y las organizaciones utilicen la tecnología con confianza. En Microsoft, nos esforzamos por ganarnos la confianza de nuestros clientes, empleados, comunidades y socios comprometiéndonos con la privacidad, la seguridad, el uso responsable de la IA y la transparencia.
En Microsoft Research, asumimos este desafío mediante la creación y el uso de herramientas y tecnologías de vanguardia que respaldan un enfoque proactivo e integrado de la seguridad en todas las capas del estado digital.
Las amenazas a la ciberseguridad son constantes y continúan su crecimiento, afectan a organizaciones e individuos en todas partes. Las herramientas de ataque están disponibles con facilidad y los adversarios bien financiados ahora tienen la capacidad de causar un daño sin precedentes. Estas amenazas ayudan a explicar por qué el presidente de los EE. UU., Joe Biden, emitió una orden ejecutiva en 2021 para pedir mejoras en la seguridad cibernética. De manera similar, la Unión Europea pidió de manera reciente una mayor protección de sus cadenas de suministro de tecnología de la información y la comunicación (TIC).
En ese contexto, Microsoft Research se centra en lo que viene a continuación en materia de seguridad y privacidad. Las fronteras informáticas nuevas y emergentes, como el metaverso y la web3, requerirán avances constantes en identidad, transparencia y otros principios de seguridad, para aprender del pasado y desbloquear el potencial de estas tecnologías. Los desarrollos en computación cuántica y los avances en aprendizaje automático e inteligencia artificial ofrecen un gran potencial para hacer avanzar la ciencia y la condición humana. Nuestra investigación tiene como objetivo garantizar que los avances futuros vengan con sólidas protecciones de seguridad y privacidad, incluso cuando aceleren cambios profundos y nuevas oportunidades comerciales.
En Microsoft Research, buscamos proyectos ambiciosos para mejorar la privacidad y la seguridad de todos en el planeta. Esta es la primera publicación de blog de una serie que explora el trabajo que hacemos en privacidad, seguridad y criptografía. En próximas entregas, profundizaremos en los desafíos de investigación que estamos abordando y las oportunidades que vemos.
DESTACADO: EVENTO BAJO DEMANDA
Microsoft Research Summit 2022
Bajo demanda
Miren ahora para conocer algunas de las preguntas más apremiantes que enfrenta nuestra comunidad de investigación y escuchen las conversaciones con más de 120 investigadores sobre cómo garantizar que las nuevas tecnologías tengan el beneficio más amplio posible para la humanidad.
Identidades digitales
Si bien Internet no se creó en un principio con una capa de identidad, las identidades digitales han crecido hasta convertirse en elementos fundamentales de la web actual y tienen un impacto en la vida de las personas incluso más allá del mundo digital. Nuestra investigación tiene como objetivo modernizar las identidades digitales y construir sistemas de identidad centrados en el usuario más robustos, usables, privados y seguros, para poner a cada uno de nosotros en control de nuestras propias identidades digitales.
Este trabajo incluye la investigación de algoritmos criptográficos que permiten sistemas de identidad centrados en el usuario de código abierto que preservan la privacidad. Dichos sistemas permitirían a las personas presentar reclamos electrónicos firmados de forma criptográfica y elegir de manera selectiva qué información desean divulgar, al tiempo que evitarían el seguimiento de personas entre presentaciones del reclamo. Nuestro enfoque preservaría la privacidad de una persona y trabajaría con los protocolos web existentes para proporcionar un acceso fácil y seguro a una amplia gama de recursos y actividades.
Nuestra investigación también incluye investigar formas innovadoras para que las personas administren sus secretos de identidad de manera confiable y segura sin tener que proporcionar acceso total a ellos a ninguna parte centralizada. El éxito en esta área también requerirá métodos escalables y verificables para distribuir claves públicas de identidad, para que las personas puedan saber con exactitud con quién interactúan.
Procedencia y autenticidad de medios
Los avances en gráficos y algoritmos de aprendizaje automático han permitido la creación de herramientas de edición fáciles de usar. Si bien es útil en muchos sentidos, esta tecnología también ha permitido el fraude y la manipulación de imágenes y medios digitales, o falsificaciones profundas. Las primeras falsificaciones eran fáciles de detectar, pero las versiones actuales se han vuelto casi imposibles de detectar para las máquinas o las personas. La posible proliferación de falsificaciones que no se pueden distinguir de la realidad socava la confianza de la sociedad en todo lo que vemos y escuchamos.
En lugar de tratar de detectar falsificaciones, Microsoft Research ha desarrollado tecnología para determinar la fuente de cualquier medio digital y si ha sido alterado. Hacemos esto a través de agregar manifiestos firmados de manera digital a video, audio o imágenes. La fuente de estos objetos de medios puede ser organizaciones de noticias conocidas, gobiernos o incluso personas que usan aplicaciones en dispositivos móviles.
Dado que la creación, distribución y consumo de medios son complejos e involucran a muchas industrias, Microsoft ha ayudado a la organización de estándares a estipular cómo se agregan estas firmas a los objetos de medios. También trabajamos con organizaciones de noticias como la BBC, New York Times y CBC para promover la procedencia de los medios como una mitigación de la información errónea en las redes sociales.
Fundamentos de seguridad de hardware
Para promover la resiliencia cibernética, desarrollamos sistemas que pueden detectar un ataque cibernético y cerrar de manera segura la protección de datos y bloquear al atacante. Los sistemas están diseñados para ser reparados de forma rápida y segura, si están comprometidos. Estos sistemas están construidos con características de hardware simples que brindan niveles muy altos de protección para los módulos de reparación y recuperación. Para habilitar la detección confiable de sistemas comprometidos, también desarrollamos funciones de almacenamiento que se pueden usar para proteger los registros de eventos de seguridad. Esto hace que sea más difícil para los atacantes cubrir sus huellas.
Analítica en seguridad
Las computadoras y las redes modernas están bajo el ataque constante de piratas informáticos de todo tipo. En esta en apariencia interminable competencia del gato y el ratón, proteger y defender los sistemas globales actuales es una empresa multimillonaria. Administrar las cantidades masivas de datos de seguridad recopilados es cada vez más desafiante, lo que crea una necesidad urgente de innovación disruptiva en el análisis de seguridad.
Investigamos un enfoque basado en transformadores para modelar y analizar datos de seguridad a gran escala. Aplicar y ajustar dichos modelos es un campo de estudio novedoso que podría cambiar el juego para el análisis de seguridad.
Aprendizaje automático que preserva la privacidad
Un sistema de inteligencia artificial que preserva la privacidad debe generalizarse tan bien que su comportamiento no revele detalles personales o confidenciales que puedan haber estado contenidos en los datos originales en los que se entrenó.
¿Qué tan cerca podemos llegar a este ideal? La privacidad diferencial puede permitir a los analistas extraer información útil de conjuntos de datos que contienen información personal, incluso al mismo tiempo que fortalecen las protecciones de privacidad. Este método introduce «ruido estadístico». El ruido es lo suficientemente significativo como para evitar que los modelos de IA comprometan la privacidad de cualquier individuo, pero aun así brindan hallazgos de investigación útiles y precisos. Nuestros resultados recientes muestran que los modelos lingüísticos grandes pueden ser en particular efectivos para los aprendices privados de manera diferencial.
Otro enfoque, el aprendizaje federado, permite entrenar y ajustar modelos grandes en los propios dispositivos de los clientes para proteger la privacidad de sus datos y respetar los límites de datos y las políticas de manejo de datos. En Microsoft Research, creamos una infraestructura de orquestación para que los desarrolladores implementen soluciones de aprendizaje federado multiplataforma y multidispositivo.
Proteger los datos durante el entrenamiento o el ajuste es solo una pieza del rompecabezas. Cada vez que la IA se usa en un contexto personalizado, puede filtrar de manera involuntaria información sobre el objetivo de la personalización. Por lo tanto, debemos poder describir el modelo de amenazas para una implementación completa de un sistema con componentes de IA, en lugar de solo una parte de él.
Lean más sobre nuestro trabajo en estos y otros temas relacionados en una publicación de blog anterior.
Cómputo confidencial
El cómputo confidencial se ha convertido en una solución práctica para proteger las cargas de trabajo informáticas en entornos de nube, incluso de administradores de nube malintencionados. Azure ya ofrece entornos informáticos confidenciales en varias regiones, donde se aprovechan los entornos de ejecución de confianza (TEE, por sus siglas en inglés) disponibles en varias plataformas de hardware.
Imaginen si todos los cálculos se llevaran a cabo en TEE, donde los servicios podrían acceder a datos confidenciales solo después de haber sido certificados para realizar tareas específicas. Esto no es práctico hoy en día y queda mucha investigación por hacer. Por ejemplo, no existen estándares formales para siquiera describir qué es un TEE, qué tipo de interfaz de programación debe tener una nube de TEE o cómo deben interactuar los diferentes TEE.
Además, es importante mejorar de manera continua las garantías de seguridad de los TEE. Por ejemplo, comprender qué ataques de canal lateral son en verdad realistas y desarrollar contramedidas se mantiene un tema importante para la investigación. Además, debemos continuar con la investigación de diseños para bases de datos confidenciales, libros contables confidenciales y almacenamiento confidencial. Por último, incluso si construimos entornos informáticos y de almacenamiento confidenciales, ¿cómo podemos establecer confianza en el código que queremos ejecutar? Como proveedor de la nube, nuestros clientes esperan que trabajemos de manera continua para mejorar la seguridad de nuestra infraestructura y los servicios que se ejecutan en ella.
Nube segura por diseño
En el futuro, podemos imaginar a los clientes de Azure que compilan su software para hardware especial con capacidades de etiquetado de memoria, para eliminar problemas como los desbordamientos de búfer para siempre. Para detectar compromisos, las instantáneas de memoria de VM (máquina virtual) podrían inspeccionarse y estudiarse con herramientas impulsadas por IA. En el peor de los casos, la seguridad del sistema siempre podría arrancarse desde una raíz de confianza de hardware mínima. En Microsoft Research, vamos un paso más allá y nos preguntamos cómo podemos construir la nube desde cero, con la seguridad en mente.
Nueva criptografía
El avance del cómputo cuántico presenta muchas oportunidades potenciales interesantes. Como líder tanto en el desarrollo de la computación cuántica como en la investigación criptográfica, Microsoft tiene la responsabilidad de garantizar que las innovaciones revolucionarias que se avecinan no comprometan la información y los sistemas informáticos clásicos (no cuánticos). En nuestro trabajo en Microsoft, aprendemos más sobre las debilidades de la criptografía clásica y cómo construir nuevos sistemas criptográficos con la suficiente fortaleza como para resistir futuros ataques.
Nuestra participación activa en los proyectos de criptografía poscuántica del Instituto Nacional de Estándares y Tecnología (NIST, por sus siglas en inglés) ha permitido a Microsoft Research examinar en profundidad cómo el cambio a los algoritmos resistentes a la cuántica afectará a los servicios de Microsoft y a los clientes de Microsoft. Con más de siete años de trabajo en esta área, el liderazgo de Microsoft Research en criptografía cuántica ayudará a los clientes a prepararse para el próximo cambio de algoritmos criptográficos.
Nos hemos unido a la Universidad de Waterloo y otros para construir una plataforma para la experimentación con los sistemas criptográficos propuestos de manera reciente y aplicarlos a protocolos y escenarios del mundo real. Hemos implementado pruebas del mundo real de criptografía poscuántica para saber cómo funcionarán estos nuevos sistemas a escala y cómo podemos implementarlos con rapidez para proteger los túneles de la red. Nuestras implementaciones de hardware especializadas y criptoanálisis brindan retroalimentación a los nuevos criptosistemas, lo que mejora su rendimiento, haciendo que los criptosistemas poscuánticos sean más pequeños y más fuertes.
ElectionGuard
Los avances en criptografía permiten elecciones verificables de extremo a extremo y auditorías de limitación de riesgos para las elecciones. Nuestro proyecto de código abierto ElectionGuard utiliza criptografía para confirmar que todos los votos se han contado de manera correcta. Los votantes individuales pueden ver que su voto se ha registrado con precisión y cualquiera puede verificar que todos los votos se hayan contado de forma correcta; sin embargo, las boletas individuales se mantienen en secreto. Las auditorías de limitación de riesgos utilizan métodos estadísticos avanzados que pueden determinar cuándo una auditoría electoral ha alcanzado un nivel predeterminado de confianza con mayor eficiencia que las auditorías tradicionales.
Las herramientas de criptografía que permiten la votación verificable son Shamir Secret Sharing, Threshold Encryption y aditivo Homomorphic Encryption. Las matemáticas son interesantes y las exploraremos en futuras publicaciones de blog, pero ElectionGuard es mucho más que matemáticas.
Asegurar el futuro
A través de nuestro trabajo, nuestro objetivo es continuar ganándonos la confianza de los clientes, esforzándonos por garantizar que los productos y servicios de Microsoft y la información de nuestros clientes permanezcan seguros y protegidos en los años venideros.
Las próximas entradas de esta serie de blogs incluirán más detalles sobre las áreas cubiertas en esta publicación y más. Gran parte de nuestro trabajo es de código abierto y está publicado, por lo que destacaremos nuestros proyectos de GitHub y otras formas en que puede interactuar directamente con nuestro trabajo.
¿Tienen alguna pregunta o tema que les gustaría que abordemos en una publicación futura ¡Por favor contáctenos!