Qué es la criptografía post-cuántica y por qué debería importarte ahora — NyxqLab

Hay una pregunta que casi nadie en dirección se hace todavía, y que debería estar en cualquier comité de riesgos que se tome en serio la seguridad a medio plazo: ¿qué pasa con los datos que estamos cifrando hoy dentro de diez años?

No es una pregunta retórica. Es la base de todo lo que vamos a explicar en este artículo.

El problema no es el presente, es el pasado que alguien está guardando

La criptografía asimétrica que usa prácticamente toda la infraestructura digital actual — RSA, Diffie-Hellman, curvas elípticas (ECC) — se apoya en problemas matemáticos que son extremadamente difíciles de resolver con ordenadores clásicos. Factorizar un número de 2048 bits en primos, por ejemplo, tardaría más tiempo que la edad del universo con la potencia de cómputo clásica actual.

El problema es que esos mismos problemas matemáticos dejan de ser difíciles frente a un ordenador cuántico suficientemente potente. En 1994, el matemático Peter Shor publicó un algoritmo — el algoritmo de Shor — que, ejecutado en un ordenador cuántico con suficientes qubits lógicos estables, rompería RSA y ECC en un tiempo polinómico, es decir: rápido.

La pregunta honesta, a fecha de este artículo, es: ¿existe ya ese ordenador? No. Los sistemas cuánticos actuales todavía no tienen la escala ni la tasa de error suficientemente baja para ejecutar el algoritmo de Shor contra claves de tamaño real en un tiempo práctico. Pero eso no es tranquilizador del todo, por una razón muy concreta.

"Harvest now, decrypt later": el ataque que ya está pasando

No hace falta tener un ordenador cuántico funcional hoy para que el riesgo sea real hoy. Basta con que un adversario — un actor estatal, un competidor con recursos, una agencia de inteligencia — esté capturando y almacenando tráfico cifrado ahora mismo, con la intención de descifrarlo en el futuro, cuando la tecnología cuántica esté madura.

Esta estrategia tiene nombre: harvest now, decrypt later (cosechar ahora, descifrar después). Y no es una teoría paranoica de laboratorio. Es una preocupación explícita de agencias como la NSA (que emitió directrices de migración a criptografía post-cuántica desde 2022) y del propio NIST, que aceleró su proceso de estandarización precisamente por esta razón.

La pregunta que le hacemos a cada cliente cuando evaluamos su exposición no es "¿tienes miedo a la computación cuántica?". Es esta: ¿qué datos cifras hoy que necesitan seguir siendo confidenciales dentro de 10 o 15 años?

Piensa en:

• Historiales médicos y datos genéticos.
• Comunicaciones diplomáticas o de seguridad nacional.
• Secretos comerciales con vida útil larga (patentes en desarrollo, fórmulas, algoritmos propietarios).
• Datos financieros con obligaciones regulatorias de confidencialidad a largo plazo.
• Identidades y comunicaciones de fuentes periodísticas o disidentes políticos.

Si algo de lo que cifras hoy tiene que seguir siendo secreto dentro de una década, ese dato ya está en riesgo — no porque alguien pueda descifrarlo hoy, sino porque puede estar guardado, esperando.

Qué ha hecho el NIST al respecto

En agosto de 2024, tras casi ocho años de proceso de evaluación pública con decenas de propuestas de todo el mundo, el NIST (National Institute of Standards and Technology, de Estados Unidos) publicó los primeros tres estándares oficiales de criptografía post-cuántica:

• FIPS 203 (ML-KEM, basado en Kyber): mecanismo de encapsulado de claves, el sustituto post-cuántico de Diffie-Hellman/RSA para establecer claves compartidas.
• FIPS 204 (ML-DSA, basado en Dilithium): esquema de firma digital, el sustituto post-cuántico de RSA/ECDSA para firmas.
• FIPS 205 (SLH-DSA, basado en SPHINCS+): un segundo esquema de firma, basado en funciones hash en lugar de retículos, pensado como alternativa conservadora si algún día se encontrara una debilidad matemática en los esquemas basados en retículos.

Esto es importante: no es que "haya" criptografía post-cuántica de forma difusa y experimental. Hay estándares oficiales, publicados, con implementaciones de referencia auditadas, listos para producción. La ventana de "esperar a ver qué pasa" ya se cerró desde el punto de vista técnico.

Por qué Kyber y Dilithium (y no otra cosa)

Ambos se basan en la dificultad de ciertos problemas sobre retículos (lattices) — estructuras matemáticas en espacios de muchas dimensiones. La razón por la que estos problemas resisten tanto a ordenadores clásicos como cuánticos, hasta donde sabemos hoy, es que no existe un algoritmo cuántico conocido (como el de Shor para factorización) que los resuelva de forma eficiente.

Es importante ser honestos aquí: "hasta donde sabemos hoy" no es una garantía matemática absoluta, es el estado actual del conocimiento criptoanalítico. Por eso el NIST mantiene un segundo esquema de respaldo (SPHINCS+) con fundamentos matemáticos completamente distintos — si algún día se encuentra una debilidad en los retículos, no se cae todo el edificio a la vez.

Kyber, en concreto, tiene una ventaja práctica considerable: las claves y los cifrados son relativamente compactos comparados con otras familias de algoritmos post-cuánticos candidatos (como los basados en código o en isogenias), lo que lo hace viable para protocolos que ya usamos hoy — TLS, SSH, VPNs — sin un coste de rendimiento prohibitivo.

Qué significa "migrar" en la práctica

Aquí es donde la mayoría de las guías se quedan en lo abstracto. En la práctica, una migración post-cuántica seria pasa por varias fases, y ninguna de ellas es "sustituir RSA por Kyber en todas partes el mes que viene":

1. Inventario de criptografía. La mayoría de las organizaciones no tienen ni idea de dónde usan qué algoritmo. TLS en el servidor web es la parte visible; hay cifrado en bases de datos, en backups, en VPNs internas, en firmware de dispositivos, en integraciones con terceros que ni siquiera controlas directamente.

2. Clasificación por sensibilidad y vida útil. No todo necesita protegerse contra un adversario cuántico futuro. Un dato que caduca en valor dentro de dos años no está en la misma categoría de riesgo que un secreto industrial que debe seguir siendo confidencial durante veinte.

3. Criptografía híbrida como paso intermedio. La recomendación técnica dominante hoy (y la que seguimos en NyxqLab) no es sustituir de golpe el algoritmo clásico por el post-cuántico, sino usar esquemas híbridos: se combina, por ejemplo, X25519 (clásico) con Kyber (post-cuántico) en el mismo intercambio de claves. Así, para que un atacante rompa la sesión necesita romper ambos esquemas — si Kyber tuviera una debilidad desconocida hoy, el componente clásico sigue protegiendo; si un ordenador cuántico rompiera el componente clásico, Kyber sigue protegiendo.

4. Priorización por exposición real, no por moda. Lo primero que migramos con un cliente no es lo más visible, es lo que tiene mayor vida útil de confidencialidad combinada con mayor exposición a ser interceptado y almacenado (tráfico que cruza redes públicas, por ejemplo, frente a tráfico interno ya segmentado).

Lo que no es criptografía post-cuántica

Vale la pena aclarar dos confusiones frecuentes, porque las vemos constantemente en conversaciones comerciales con clientes que ya han hablado con otros proveedores:

• No es "cifrado cuántico" ni "distribución cuántica de claves" (QKD). Eso es una tecnología distinta, que usa propiedades físicas de la mecánica cuántica para transmitir claves, requiere hardware especializado (fibra óptica dedicada o satélites) y no es lo que la mayoría de las empresas necesita ni puede desplegar. La criptografía post-cuántica de la que hablamos aquí es software puro: algoritmos matemáticos que corren en hardware clásico y son resistentes a ataques cuánticos.
• No es "más segura" en el sentido de "más bits, más fuerte". Es resistente a un tipo distinto de ataque. Un algoritmo post-cuántico mal implementado sigue siendo vulnerable a los mismos errores de siempre: mala gestión de claves, canales laterales, bugs de implementación.

El coste de no hacer nada

Si tu organización maneja datos que necesitan confidencialidad a largo plazo — y la mayoría de las que hemos auditado la tienen, aunque no lo hayan pensado en estos términos — el coste de la inacción no es abstracto. Es el coste de que, dentro de una década, información que hoy consideras protegida deje de estarlo, sin que puedas hacer nada retroactivamente sobre lo que ya se capturó.

La migración post-cuántica bien hecha no es una revolución de infraestructura de la noche a la mañana. Es un proceso de priorización basado en riesgo real, que se puede empezar hoy sin romper lo que ya funciona.