Migración a PQC: enfoques híbridos

La transición de la criptografía clásica a la poscuántica es la mayor migración criptográfica de la historia, más compleja que la actualización a RSA de 2048 bits o la retirada de SHA-1. Requiere actualizar simultáneamente protocolos, bibliotecas, HSM, certificados y código.

KEM híbrido = KEM clásico + KEM PQC. Secreto compartido = KDF(classical_secret || pqc_secret). La seguridad exige romper ambos. Un adversario cuántico rompe ECDH, pero no Kyber. Un adversario clásico no rompe ninguno. Esto proporciona defensa en profundidad durante el período de transición.

Google Chrome y Cloudflare implementaron X25519Kyber768 (que combina ECDH X25519 y Kyber-768) en TLS 1.3 en 2023. El borrador de IETF draft-ietf-tls-hybrid-design define el formato. Ambos lados negocian el intercambio de claves combinado en la extensión existente ClientHello de TLS.

Actualmente, los certificados X.509 utilizan claves públicas RSA o ECDSA. Ruta de migración: (1) emitir certificados de doble algoritmo (clásico + PQC), (2) las CA intermedias utilizan claves PQC y (3) las CA raíz migran al final. CA/Browser Forum está desarrollando perfiles de certificados PQC.

Muchos HSM no pueden actualizarse mediante firmware para admitir algoritmos PQC. Los ciclos de renovación del hardware duran entre 5 y 10 años. Las organizaciones deben auditar las hojas de ruta del firmware de los HSM, planificar la sustitución del hardware y considerar puentes PQC basados en software para los HSM heredados durante la transición.

Paso 1: realice un inventario criptográfico. Identifique todas las claves y certificados RSA/ECC, todos los intercambios de claves DH y todas las versiones de los protocolos. Herramientas: analizadores de conjuntos de cifrado, herramientas de inventario de certificados y análisis estático del código para detectar llamadas criptográficas. Documente la vida útil de todos los activos.

Máxima urgencia: datos de larga duración (clasificados, historiales médicos), ya que hoy son vulnerables a ataques de recopilar ahora y descifrar después. A continuación: intercambio de claves en protocolos (TLS, SSH, VPN); migre estos sistemas primero mediante KEM híbridos. Menor urgencia: firmas sobre datos de corta duración (tokens de sesión).

Python: use pyca/cryptography con el backend liboqs para ML-KEM. Java: módulo PQC de BouncyCastle. Rust: crates de pqcrypto. Sustituya: rsa.generate_private_key() → generación de claves de ML-KEM; ecdh_key_agreement() → encapsulación/decapsulación de ML-KEM. Abstraiga estas operaciones mediante una capa de agilidad criptográfica.

La agilidad criptográfica consiste en diseñar sistemas que permitan cambiar de algoritmo sin modificar el código. Use campos de identificación de algoritmos, registros de tipos de clave y backends intercambiables. Evite codificar nombres de algoritmos directamente en los formatos de serialización. Esto permitió migrar de SHA-1 a SHA-256 y permitirá migrar de RSA a PQC.

Realice pruebas con vectores de prueba de respuesta conocida procedentes de las implementaciones de referencia de NIST PQC. Valide la interoperabilidad con el conjunto de pruebas OQS-OpenSSL. Pruebe TLS híbrido con oqs-provider para OpenSSL. Supervise las páginas de erratas de NIST FIPS 203/204/205/206 para conocer las actualizaciones de las directrices de implementación.

Recomendaciones de NIST/NSA: (1) deje de implementar nuevos sistemas RSA/ECC desde ahora. (2) Implemente el intercambio de claves híbrido en TLS y VPN para 2025-2026. (3) Migre los certificados a PQC para 2028-2030. (4) Complete la migración total (incluidos los HSM) para 2035, antes de que se materialice el riesgo de los CRQC.

¿Por qué los datos cifrados hoy (mediante RSA/ECDH) están en riesgo incluso antes de que existan ordenadores cuánticos?

La migración a PQC utiliza KEM híbridos (criptografía clásica + PQC) durante la transición. Priorice los datos de larga duración y el intercambio de claves. Realice un inventario criptográfico, actualice el hardware y aplique la agilidad criptográfica. NIST recomienda completar la migración para 2035. Siguiente tema: criptografía de blockchain: árboles de Merkle y PoW.