Criptografía poscuántica
Lección 21 de 23 del curso «Cuántica». Gratis, con animaciones y un test.
Matemáticas nuevas en hardware viejo
La principal cura contra el Q-Day no es cuántica. La criptografía poscuántica (PQC) son algoritmos nuevos para ordenadores y móviles normales. Se basan en problemas que no resuelve ni el algoritmo de Shor ni ningún otro algoritmo cuántico conocido: buscar puntos en retículos multidimensionales, propiedades de hashes y de códigos correctores. No la confundas con el “cifrado cuántico” por fibra (QKD): ese necesita hardware especial, mientras que la PQC es solo una actualización de software.
Los estándares del NIST
Desde 2016 el instituto de estándares de EE. UU., el NIST, organizó un concurso abierto: criptógrafos de todo el mundo propusieron algoritmos y pasaron años intentando romper los de otros. Algunos candidatos cayeron de verdad. El 13 de agosto de 2024 salieron tres estándares: FIPS 203 (ML-KEM) para intercambio de claves, y FIPS 204 (ML-DSA) y FIPS 205 (SLH-DSA) para firmas. En marzo de 2025 se añadió HQC como reserva con otra matemática, por si aparece algo contra los retículos. ¿Por qué una reserva? Por la historia: en 2022 el candidato SIKE se rompió en una hora aproximadamente con un solo núcleo de un ordenador normal.
Ya usas PQC
Buena noticia: la transición ya está en marcha y ni lo notaste. Signal añadió el intercambio de claves poscuántico PQXDH en 2023, Apple activó el protocolo PQ3 en iMessage en 2024 y, desde 2024, Chrome usa ML-KEM por defecto al conectarse a webs por HTTPS. Casi siempre es un híbrido: el algoritmo viejo y el nuevo funcionan juntos. Para romper la conexión hay que romper los dos. Si aparece un fallo en el nuevo, el viejo sigue resistiendo, y al revés.
Por qué la prisa: la regla de Mosca
Si aún no existe un descifrador cuántico, ¿para qué correr? El criptógrafo Michele Mosca propuso una prueba sencilla. x son los años que tus datos deben seguir secretos. y, los años que tardará la migración a algoritmos nuevos. z, los años hasta que llegue un descifrador cuántico. Si x + y es mayor que z, ya vas tarde: un atacante graba hoy el tráfico cifrado y lo descifra después. Historias clínicas, secretos de Estado y mensajes privados deben durar décadas. Y la migración de una gran empresa puede llevar fácilmente 5–10 años.
Los plazos
Los reguladores ya fijaron fechas. En el borrador IR 8547 (noviembre de 2024), el NIST propone declarar obsoletos RSA y las curvas elípticas después de 2030 y prohibirlos después de 2035. El programa CNSA 2.0 de la NSA exige soporte poscuántico en sistemas nuevos desde 2027 y la transición total de los sistemas de seguridad nacional para 2035. La UE espera planes nacionales a finales de 2026, infraestructura crítica protegida para 2030 y el resto para 2035. Para las empresas significa una cosa: quien sepa migrar sistemas a PQC estará muy solicitado.
El precio de la transición
Nada es gratis. Las claves y firmas poscuánticas son bastante más grandes. Una firma Schnorr o ECDSA en bitcoin pesa unos 64–72 bytes, ML-DSA 2420 bytes y el esquema más prudente basado en hash, SLH-DSA, casi 8 kilobytes. Para una web no se nota, pero para una blockchain duele: cada firma ocupa espacio en el bloque, así que suben las comisiones o baja la capacidad. Por eso las comunidades de bitcoin y Ethereum discuten tanto qué esquema elegir. El segundo dolor es el inventario: muchas empresas no saben dónde usan criptografía vieja.
Ponte a prueba
- ¿Qué es la criptografía poscuántica?
Respuesta correcta: Algoritmos nuevos para ordenadores normales, resistentes a ataques cuánticos. La PQC es software: matemáticas nuevas en los mismos móviles y servidores. Por eso se puede desplegar a gran escala. - ¿Por qué migrar a PQC antes de que exista un descifrador cuántico?
Respuesta correcta: Los datos se roban ahora y se descifran después, y la migración tarda años. Regla de Mosca: si x + y > z, ya vas tarde. “Recoge ahora, descifra después” hace real la amenaza hoy. - ¿Por qué las firmas poscuánticas no son gratis para una blockchain?
Respuesta correcta: Las firmas son decenas de veces mayores y ocupan espacio en cada bloque. ML-DSA pesa 2420 bytes frente a ~64–72 de Schnorr/ECDSA. Más datos por bloque: más comisiones o menos capacidad.