Criptografía poscuántica: CRYSTALS-Kyber y Dilithium

La criptografía de clave pública actual —RSA, ECC y Diffie-Hellman— se basa en problemas matemáticos que resultan computacionalmente inviables para los ordenadores clásicos. La seguridad de RSA depende de la dificultad de factorizar enteros grandes; la seguridad de ECC depende del problema del logaritmo discreto en curvas elípticas. Un ordenador cuántico suficientemente potente que ejecute el algoritmo de Shor puede resolver ambos problemas en tiempo polinómico, rompiendo de hecho toda la criptografía de clave pública ampliamente implementada. Aunque actualmente no existe un ordenador cuántico de ese tipo, la amenaza se considera lo bastante seria como para que NIST comenzara a estandarizar alternativas resistentes a la computación cuántica en 2016.

Es posible que adversarios pertenecientes a Estados estén recopilando hoy tráfico de Internet cifrado con la intención de descifrarlo cuando los ordenadores cuánticos estén disponibles; esta estrategia se denomina «harvest now, decrypt later» o SNDL (Store Now, Decrypt Later). Los datos cuya sensibilidad se mantendrá durante mucho tiempo —secretos gubernamentales clasificados, registros financieros y datos médicos— corren un riesgo especial, porque podrían seguir siendo confidenciales cuando lleguen los ordenadores cuánticos. Por eso se insta a las organizaciones a migrar a la criptografía poscuántica (PQC) antes de que existan los ordenadores cuánticos, no después, ya que la transición es compleja y requiere mucho tiempo.

Es importante distinguir la amenaza cuántica para las distintas clases de algoritmos. El algoritmo de Shor rompe la criptografía asimétrica de RSA y ECC. El algoritmo de Grover proporciona una aceleración cuadrática en las búsquedas, lo que reduce a la mitad la longitud efectiva de las claves de los cifrados simétricos y las funciones hash. Esto significa que AES-128 solo ofrece 64 bits de seguridad frente a un atacante cuántico —una protección insuficiente—, mientras que AES-256 mantiene 128 bits de seguridad poscuántica, lo cual resulta aceptable. SHA-256 también ve reducida a la mitad su seguridad, pero sigue siendo adecuada; se recomiendan SHA-384 y SHA-512 para una seguridad a más largo plazo.

En 2016, NIST lanzó un concurso para seleccionar algoritmos criptográficos poscuánticos y recibió 82 propuestas. Tras varias rondas de evaluación, NIST finalizó su primer conjunto de estándares de PQC en 2024: FIPS 203 (ML-KEM, de CRYSTALS-Kyber) para la encapsulación de claves, FIPS 204 (ML-DSA, de CRYSTALS-Dilithium) para las firmas digitales y FIPS 205 (SLH-DSA, de SPHINCS+) como alternativa de firma basada en hashes. Estos algoritmos resisten ataques de ordenadores clásicos y cuánticos, y están destinados a sustituir RSA y ECDSA en los sistemas PKI.

Tanto CRYSTALS-Kyber como CRYSTALS-Dilithium son esquemas criptográficos basados en retículos. Un retículo es una cuadrícula regular de puntos en un espacio de alta dimensión. El problema difícil en el que se basan ambos algoritmos es el problema de Learning With Errors (LWE): dado un conjunto de ecuaciones lineales a las que se han añadido pequeños errores aleatorios, hay que encontrar el secreto subyacente. No se conoce ningún algoritmo cuántico que resuelva LWE de forma eficiente. La variante Module-LWE (MLWE) utilizada en CRYSTALS ofrece un buen equilibrio entre el nivel de seguridad y el tamaño de las claves y los textos cifrados.

CRYSTALS-Kyber (ahora ML-KEM) es un mecanismo de encapsulación de claves (KEM): permite que dos partes establezcan un secreto compartido a través de un canal inseguro, sustituyendo el intercambio de claves de Diffie-Hellman y RSA. Kyber genera un par de claves pública y privada; el remitente encapsula una clave de sesión aleatoria utilizando la clave pública del destinatario; y el destinatario la desencapsula utilizando su clave privada. Kyber-768 (nivel de seguridad 3 de NIST, aproximadamente equivalente a AES-192) tiene una clave pública de unos 1.184 bytes y un texto cifrado de unos 1.088 bytes, mucho más que una clave RSA-2048 de 256 bytes.

CRYSTALS-Dilithium (ahora ML-DSA) es un algoritmo de firma digital que sustituye las firmas ECDSA y RSA. Genera firmas mediante matemáticas de retículos y su verificación es eficiente. Dilithium3 (nivel de seguridad 3) produce firmas de unos 3.293 bytes, significativamente más grandes que una firma ECDSA de 64 bytes. Este aumento de tamaño es el principal desafío de migración para los sistemas PKI con muchos certificados. A pesar de su tamaño, Dilithium firma y verifica rápidamente en hardware estándar y resiste todos los ataques cuánticos conocidos.

SPHINCS+ (ahora SLH-DSA) es un esquema de firma sin estado basado en hashes que NIST seleccionó como alternativa a Dilithium. Su seguridad depende únicamente de la seguridad de su función hash subyacente (SHA-256 o SHAKE), lo que lo hace extremadamente conservador: si las matemáticas de retículos se rompieran de algún modo, SPHINCS+ seguiría siendo seguro. La contrapartida es el tamaño de las firmas: las firmas de SPHINCS+ oscilan entre 8KB y 50KB según el conjunto de parámetros, por lo que no resultan adecuadas para certificados TLS, pero son excelentes para la firma de código, donde el tamaño de la firma es menos importante.

La estrategia de migración recomendada es la criptografía híbrida: combinar un algoritmo clásico con uno poscuántico, de modo que la conexión sea segura mientras al menos uno de los algoritmos no haya sido vulnerado. Por ejemplo, utilizar X25519 + Kyber-768 para el intercambio de claves significa que un atacante tendría que romper tanto ECDH como Kyber para descifrar el tráfico. Esta estrategia ya se está implementando: el navegador Chrome de Google añadió en 2023 compatibilidad con el intercambio híbrido de claves X25519Kyber768 para TLS 1.3, y Apple lo incorporó a iMessage. El enfoque híbrido permite una transición gradual sin un cambio abrupto en una fecha determinada.

Migrar PKI a algoritmos poscuánticos implica una enorme complejidad: los tamaños de los certificados aumentan considerablemente, lo que afecta al tamaño y al rendimiento del handshake de TLS; los módulos de seguridad de hardware (HSM) deben actualizarse o sustituirse para admitir los nuevos algoritmos; la infraestructura de firma de código y las autoridades de certificación necesitan actualizaciones; y los dispositivos IoT con memoria limitada podrían no admitir claves poscuánticas más grandes. Las organizaciones deberían comenzar un inventario criptográfico —catalogar todos los lugares donde se utilizan RSA y ECC— como primer paso de su plan de migración a PQC.

La agilidad criptográfica consiste en diseñar sistemas de modo que sus algoritmos criptográficos puedan sustituirse sin tener que rediseñar todo el sistema. Los sistemas con agilidad criptográfica almacenan identificadores de algoritmos junto con las claves y los textos cifrados, lo que permite realizar futuras actualizaciones cambiando un parámetro de configuración. TLS, SSH y los estándares modernos de certificados ya demuestran agilidad criptográfica. Las organizaciones deberían auditar sus protocolos y aplicaciones personalizados para detectar elecciones de algoritmos codificadas de forma fija: estos serán los sistemas más costosos de migrar. Adoptar ahora una capa de abstracción de bibliotecas criptográficas facilita enormemente la migración a PQC.

Compruebe su comprensión de los conceptos de CompTIA Security+ (SY0-701) tratados en esta lección.

En esta lección ha aprendido que: el algoritmo de Shor amenaza a RSA y ECC, mientras que el algoritmo de Grover solo reduce a la mitad la seguridad de las claves simétricas, por lo que AES-256 y SHA-384 siguen siendo viables en un contexto poscuántico; CRYSTALS-Kyber (ML-KEM) sustituye el intercambio de claves y CRYSTALS-Dilithium (ML-DSA) sustituye las firmas digitales como estándares poscuánticos seleccionados por NIST; y la criptografía híbrida que combina algoritmos clásicos y de PQC es la estrategia de migración recomendada mientras se desarrolla la transición. A continuación, exploraremos la seguridad de los contenedores en entornos nativos de la nube.