El internet cuántico ya llama a la puerta

La protección poscuántica empieza a formar parte de internet, aunque la mayoría de los usuarios no se dé cuenta. Se trata de pasar a un cifrado capaz de resistir la llegada de ordenadores cuánticos suficientemente potentes. Por ahora, estas máquinas no pueden romper a gran escala los algoritmos actuales, pero los especialistas consideran prácticamente inevitable que aparezcan.

La amenaza cuántica es peligrosa porque la criptografía de clave pública actual podría quedar obsoleta casi de la noche a la mañana. Para hacerse una idea: un futuro sistema cuántico podría descifrar casi al instante el código Enigma, que los especialistas de Bletchley Park tardaron más de un año en romper. Los algoritmos actuales de clave pública podrían ser vulnerables en cuestión de horas o días.

Los atacantes ya emplean la estrategia de «recoger ahora y descifrar después». Roban archivos cifrados que todavía no pueden leer, con la esperanza de volver a ellos cuando haya ordenadores cuánticos disponibles comercialmente. Por eso, los datos que deban mantenerse secretos durante mucho tiempo tienen que protegerse desde hoy.

Tim Hudson, presidente de OpenSSL Corporation, propone separar dos tareas. El intercambio de claves está, en gran medida, resuelto: los esquemas híbridos poscuánticos llevan más de un año utilizándose en navegadores populares y redes de distribución de contenidos. El usuario normalmente no ve este proceso. El principal problema aún sin resolver son las firmas digitales.

La razón es sencilla: las firmas poscuánticas son mucho más grandes que las habituales. La firma ML-DSA-44 ocupa 2420 bytes y la clave pública, 1312 bytes, mientras que una firma ECDSA P-256 ocupa 64 bytes. Si se añaden la cadena de certificados y dos marcas de tiempo de Certificate Transparency, una nueva configuración puede añadir entre 7 y 10 KB a la conexión.

El problema no es tanto el ancho de banda total como la latencia. Los datos adicionales pueden superar la «ventana de congestión» inicial, de unos 14 KB, y el límite de amplificación de tráfico de QUIC. En ese caso, cada nueva conexión requerirá un intercambio adicional de paquetes. Esto se notará especialmente en redes móviles, por satélite o inestables, así como en dispositivos de poca potencia.

Por eso, la solución no consiste simplemente en tender canales de comunicación más anchos. Hace falta rediseñar la infraestructura de clave pública: Merkle Tree Certificates, negociación de anclas de confianza y eliminación de certificados intermedios innecesarios. En otras palabras, se trata de rehacer la arquitectura de la PKI, no de actualizar una biblioteca sin más.

A las empresas se les recomienda empezar por hacer inventario. Primero hay que averiguar dónde y qué algoritmos criptográficos se utilizan; en sistemas complejos, esta fase puede llevar de seis a doce meses. Los reguladores exigen cada vez más un CBOM, es decir, un inventario de componentes y algoritmos criptográficos, así que resulta difícil seguir aplazando esta tarea.

Conviene comprar flexibilidad criptográfica, no productos con una llamativa etiqueta «quantum-safe»: la posibilidad de sustituir un algoritmo sin rehacer todo el sistema. Puede que cambie el algoritmo concreto, pero la capacidad de reemplazarlo rápidamente seguirá siendo útil durante años.

Lo primero es proteger los datos que deban permanecer secretos durante mucho tiempo: las raíces de confianza del hardware, el firmware, las claves de firma de código, los materiales almacenados en HSM, los certificados raíz con una validez de veinte años y los sistemas integrados e industriales diseñados para funcionar entre 15 y 25 años. Muchos otros elementos podrán actualizarse mediante software.

Los esquemas híbridos son adecuados para el periodo de transición: TLS 1.3 permite negociar su uso y volver a los algoritmos clásicos si la otra parte aún no está preparada. Para los certificados se emplean cadenas compuestas y dobles. Sin embargo, el esquema híbrido no es el destino final, sino un puente temporal. El Centro Australiano de Señales advierte expresamente que la segunda migración debe planificarse con antelación.

El código abierto desempeña un papel fundamental. No basta con acordar un estándar: las implementaciones de distintos fabricantes deben coincidir hasta el último byte y funcionar en condiciones reales. A menudo, son precisamente los proyectos abiertos y verificables los que determinan la rapidez con la que todo el sector puede adoptar los nuevos métodos.

Sin embargo, la financiación no está a la altura de la dependencia del sector respecto a estas bibliotecas. Otro problema es la certificación: los módulos aprobados según FIPS y Common Criteria pueden tardar varios años en aparecer tras la publicación del estándar. Para la fecha límite podría existir código compatible, pero no un módulo certificado listo para usar.

En 2026, los plazos se han endurecido. Estados Unidos publicó la Executive Order 14412 y el memorando OMB M-26-15, que fijan fechas para los sistemas civiles federales e incluyen el CBOM en la agenda. Australia espera concretar su plan de transición antes de finales de 2026 y exige abandonar la criptografía asimétrica tradicional antes de finales de 2030. La hoja de ruta de la UE prevé planes nacionales para finales de 2026, la transición de los sistemas críticos para 2030 y la finalización completa para 2035.

Las organizaciones pequeñas y los dispositivos antiguos que no pueden actualizarse son los que están peor cubiertos. Para los equipos con una vida útil de 15 a 25 años, ya no se trata de una migración, sino de un programa de sustitución. Las compras deben comprobar no solo el algoritmo anunciado, sino también la flexibilidad real del sistema y la existencia de un CBOM.

Lo más probable es que el usuario corriente apenas note nada: los navegadores y los sistemas operativos podrían llevar más de un año incluyendo el intercambio de claves poscuántico. Puede que los intercambios iniciales sean algo más grandes, que la primera conexión se ralentice con una mala cobertura, que haya que actualizar el firmware con más frecuencia y que algunos dispositivos dejen de recibir soporte antes.

El consejo práctico es aburrido, pero útil: mantén el software actualizado. Normalmente no tiene sentido comprar productos de consumo con la etiqueta «quantum-safe»: la protección principal ya se está implantando en los servicios y la infraestructura. Pero los datos que deban seguir siendo secretos durante 15 años o más, transmitidos hoy, podrían registrarse ahora y descifrarse más adelante.