Migración a Cifrado Post-Cuántico

Reemplazar los algoritmos de clave pública que una computadora cuántica rompería por completo. El algoritmo de Shor resuelve de forma eficiente la factorización y el logaritmo discreto, lo que elimina toda la seguridad de RSA, Diffie-Hellman, DSA y la criptografía de curva elíptica, es decir, los esquemas que hoy protegen el intercambio de claves y las firmas digitales. Los algoritmos post-cuánticos se construyen sobre problemas matemáticos distintos, sobre todo retículos estructurados y funciones hash, para los que no se conoce un ataque cuántico comparable. El propósito no es hacer el cifrado más fuerte en general: el cifrado simétrico ya sobrevive, y el NIST pide conservarlo.

Tres, todos finalizados en agosto de 2024. ML-KEM (FIPS 203) es el mecanismo de encapsulación de claves, con los conjuntos ML-KEM-512, ML-KEM-768 y ML-KEM-1024; FIPS 203 señala ML-KEM-768 como su valor predeterminado recomendado. ML-DSA (FIPS 204) es el esquema de firma de propósito general, con ML-DSA-44, ML-DSA-65 y ML-DSA-87. SLH-DSA (FIPS 205) es el esquema de firma basado en hash, y aprueba doce conjuntos cuya seguridad descansa solo en propiedades de funciones hash. HQC fue elegido en marzo de 2025 como respaldo de ML-KEM, con un estándar final previsto para 2027, y FN-DSA sigue a la espera de un borrador de FIPS 206.

Sí, a partir de 128 bits, y el NIST lo dice directamente. El algoritmo de Grover busca en un espacio de claves con cuadráticamente menos pasos, lo que tomado al pie de la letra reduce a la mitad la longitud efectiva de la clave: ese piso teórico es lo que muestra esta página. La propia respuesta del NIST a si hay que duplicar ya las claves AES es que Grover no se paraleliza bien y que el hardware cuántico es mucho más caro, así que es «bastante probable que el algoritmo de Grover ofrezca poca o ninguna ventaja al atacar AES, y que AES 128 siga siendo seguro durante décadas». Ningún conjunto de FIPS 203, 204 o 205 reemplaza AES, y el IR 8547 no fija plazo post-cuántico para la criptografía simétrica de 128 bits o más.

Según el NIST IR 8547, que sigue siendo un borrador público inicial, el calendario depende de la fuerza de seguridad y no del nombre del algoritmo. Los algoritmos de clave pública que ofrecen 112 bits —RSA-2048, curvas de 224 bits, Diffie-Hellman de 2048 bits— quedarán obsoletos tras 2030 y prohibidos tras 2035. Los que ofrecen 128 bits o más quedarán prohibidos tras 2035. El Memorando de Seguridad Nacional 10, citado en el mismo informe, fija 2035 como objetivo para completar la migración federal. Las normas sectoriales y las guías del NIST específicas por aplicación pueden exigir un cambio anterior, y el IR 8547 dice que se prevé priorizar el establecimiento de claves en protocolos como TLS.

Lo bastante como para importar, y varía en más de un orden de magnitud dentro de los propios estándares. Para el establecimiento de claves, ML-KEM-768 tiene una clave pública de 1.184 bytes y un texto cifrado de 1.088, frente a unos 64 bytes de una clave pública ECDH P-256. Para firmas, ML-DSA-65 tiene una clave pública de 1.952 bytes y una firma de 3.309, frente a unos 64 bytes cada una en ECDSA P-256. SLH-DSA invierte el compromiso: una clave pública de 32 bytes en el nivel 1, pero firmas de entre 7.856 y 49.856 bytes en el conjunto rápido de nivel 5. Las cifras de clave pública y firma de esta página provienen de las tablas de FIPS 203, 204 y 205.

El supuesto de seguridad, y el compromiso de tamaño que se deriva de él. ML-DSA se basa en retículos: su seguridad descansa en el problema Module Learning With Errors, y es rápido con firmas moderadas de 2.420 a 4.627 bytes. SLH-DSA está basado en hash y sin estado: su seguridad descansa solo en las propiedades de la función hash subyacente, así que sobrevive a cualquier ruptura futura de los supuestos de retículos, pero sus firmas van de 7.856 a 49.856 bytes. El NIST estandarizó ambos deliberadamente. ML-DSA es la opción de propósito general; SLH-DSA es para casos donde un único supuesto conservador compensa los bytes, como las raíces de confianza del firmware.

Cinco categorías que expresan la fuerza de un conjunto post-cuántico comparándolo con una primitiva simétrica bien estudiada, en lugar de con una única cifra de bits. El nivel 1 es al menos tan difícil como una búsqueda de clave sobre AES-128, el nivel 3 como AES-192 y el nivel 5 como AES-256; los niveles 2 y 4 se anclan a la búsqueda de colisiones sobre SHA-256 y SHA-384. La valoración del propio NIST es que los niveles 4 y 5 son «probablemente excesivos», el 2 y el 3 «probablemente seguros en el futuro previsible», y el 1 «probablemente seguro en el futuro previsible, salvo que las computadoras cuánticas mejoren más rápido de lo anticipado». Ningún conjunto estandarizado se reclama en el nivel 4.

Grabar hoy tráfico cifrado para descifrarlo cuando exista una computadora cuántica. Cambia el orden de la migración, porque vuelve la confidencialidad vulnerable de forma retroactiva mientras que la autenticidad no lo es: una clave de sesión protegida con ECDH en 2026 puede recuperarse en 2040, pero una firma verificada en 2026 no puede falsificarse después. Esa asimetría explica por qué el IR 8547 prevé priorizar el establecimiento de claves en protocolos interactivos frente a las firmas, y por qué los datos con un requisito largo de confidencialidad son lo primero que hay que mover.

Es la respuesta habitual durante la transición, y el NIST la admite. Un establecimiento de claves híbrido combina un esquema clásico con uno post-cuántico para que el secreto compartido siga a salvo si cualquiera de los dos se rompe más adelante, lo que cubre frente a una debilidad no descubierta en un algoritmo joven. Las preguntas frecuentes de PQC del NIST indican que admitirá el establecimiento de claves híbrido y las firmas duales en la validación FIPS 140 cuando se combinen adecuadamente con un esquema aprobado, y la SP 800-56C ya describe una técnica compuesta genérica aprobada. El coste es el tamaño: envías ambos, así que las cifras en bytes de esta página son un piso, no el total.