Claves públicas, claves privadas y direcciones: qué hace cada una

Casi todos los errores graves en cripto se remontan a confundir tres cosas que suenan parecidas pero se comportan de forma completamente distinta. Una vez que la distinción queda clara, la mayoría de los consejos de seguridad dejan de ser una lista de reglas que memorizar y se vuelven obvios.

La clave privada firma

Una clave privada es un número secreto muy grande. Su única función es producir firmas: dada una transacción, genera una prueba de que el titular de la clave la autorizó. Ese es todo su trabajo.

La propiedad crítica es que cualquiera puede verificar una firma sin que se revele la clave que la produjo. Esto es lo que permite que el sistema funcione en absoluto. También es la razón por la que la clave privada es la única de las tres que debe permanecer secreta, y por la que cualquiera que la obtenga puede mover tus fondos sin ningún paso adicional. No hay ninguna capa de contraseña debajo ni ninguna autoridad que pueda revertir el resultado.

La clave pública verifica

La clave pública se deriva de la clave privada mediante un cálculo unidireccional. Con la clave privada puedes calcular la clave pública de forma trivial; con la clave pública no puedes recuperar la clave privada por ningún medio práctico. Esa asimetría es todo el fundamento del sistema.

Su trabajo es la verificación. Cualquiera que tenga la clave pública puede comprobar que una firma fue producida por la clave privada correspondiente, que es como la red confirma que una transacción fue autorizada por quien controla los fondos. Publicarla no te cuesta nada.

La dirección recibe

Una dirección se deriva de la clave pública, normalmente aplicándole un hash y añadiendo un checksum. Es más corta, incluye detección de errores para que una dirección mal escrita casi siempre se rechace en lugar de aceptarse, y en la mayoría de las redes no revela la clave pública hasta que gastas desde ella por primera vez.

Su trabajo es entregarse. Una dirección es un destino, nada más. Compartir una no expone tus fondos a ningún riesgo; el peor resultado posible es una pérdida de privacidad, porque cualquiera que tenga la dirección puede ver su historial de transacciones en un libro público.

Dónde encaja la frase semilla

Una frase semilla no es una cuarta clave. Es una codificación legible por humanos del número que genera tus claves privadas —normalmente todas ellas, a través de muchas direcciones, de forma determinista. Por eso una sola frase puede restaurar un monedero entero.

De ahí se sigue directamente que una frase semilla es estrictamente más sensible que cualquier clave privada individual, porque equivale a todas ellas a la vez. Toda regla sobre las frases semilla —nunca escribirla en una página web, nunca fotografiarla, nunca guardarla en un gestor de contraseñas que no controles— se deriva de ese único hecho y no de la superstición. Nuestra entrada del glosario cubre la codificación en sí.

Lo que esto deja claro

Con los tres papeles bien distinguidos, varios consejos habituales dejan de necesitar memorización:

• Compartir una dirección es seguro, porque una dirección solo recibe. Compartir una clave privada es una pérdida total, porque una clave privada firma.
• Un monedero de hardware es valioso precisamente porque realiza la firma dentro del dispositivo, de modo que la clave privada nunca existe en un ordenador conectado a internet.
• “Verificar la dirección” tiene que ver con el checksum y con el malware que sustituye el portapapeles, no con el secreto.
• Un servicio que pide tu frase semilla para “validar” o “restaurar” cualquier cosa está pidiendo todas las claves que tienes. No existe una versión legítima de esa solicitud.

La relación unidireccional

Vale la pena retener la dirección de la derivación: frase semilla a clave privada a clave pública a dirección, cada paso fácil hacia adelante e inviable hacia atrás. De esa flecha se deriva toda consecuencia práctica. Puedes entregar libremente el extremo más lejano y debes proteger de forma absoluta el extremo más cercano, y nada de lo que hay en medio cambia eso.

Por qué una sola semilla produce muchas direcciones

Los monederos modernos son jerárquicos y deterministas, que es una forma precisa de decir que una sola semilla genera todo un árbol de claves mediante un procedimiento definido. Cada rama produce una clave privada nueva, y cada una de esas produce su propia clave pública y dirección.

De ahí se siguen dos consecuencias útiles. Un monedero puede entregar una dirección nueva para cada pago sin necesitar una copia de seguridad nueva, porque cada una de esas direcciones desciende de la misma semilla. Y restaurar esa semilla en un software distinto recupera las mismas direcciones, porque el procedimiento de derivación está estandarizado y no es propietario.

Esto también explica una confusión habitual: ver muchas direcciones en un monedero no significa que existan muchos secretos separados. Hay un único secreto, y todo lo demás se deriva de él. Eso es conveniente, y es precisamente por lo que la frase semilla es el único punto de fallo total.

Firmar no revela la clave

Vale la pena ser explícitos sobre la propiedad en la que todo se apoya. Una firma se produce a partir de la clave privada y el mensaje, y puede comprobarse frente a la clave pública —pero observar cualquier cantidad de firmas no permite a un atacante reconstruir la clave privada que las produjo.

Esto es lo que hace seguro firmar repetidamente con la misma clave en lugar de necesitar una nueva cada vez. También explica por qué firmar un mensaje para demostrar la propiedad de una dirección es una operación normal y segura, mientras que introducir una frase semilla nunca lo es. Una es el uso previsto del sistema y la otra es entregar el sistema entero.

Dónde el modelo empieza a estirarse

Dos novedades complican este cuadro limpio, y ambas merece la pena conocerlas porque cambian lo que significa una firma.

Los esquemas multifirma exigen varias claves privadas para autorizar una transacción, de modo que ninguna clave por sí sola es suficiente. Esto elimina el punto único de fallo a costa de un esquema de recuperación más complejo —ahora tienes varios secretos que proteger y una política sobre cuántos hacen falta.

La abstracción de cuentas, en las redes que la admiten, permite programar las reglas que rigen una cuenta en lugar de fijarlas: límites de gasto, retrasos temporales o recuperación por un tercero designado. Es útil, y significa que “quien tiene la clave controla los fondos” ya no es estrictamente cierto en esas redes. El mecanismo base no ha cambiado; lo que ha cambiado es quién tiene permiso para invocarlo.