Planificación de la migración a estándares poscuánticos

Migrar la infraestructura criptográfica no es un proyecto a corto plazo. Las grandes organizaciones tardan entre 10 y 15 años en actualizar completamente todos sus sistemas. NIST estima que los ordenadores cuánticos capaces de romper RSA-2048 podrían existir en un plazo de 10-30 años. Dada la amenaza de recopilar ahora y descifrar después, junto con los largos plazos de migración, las organizaciones deben empezar a planificar hoy, aunque la amenaza cuántica inmediata parezca lejana.

La agilidad criptográfica consiste en diseñar sistemas de modo que los algoritmos criptográficos puedan sustituirse sin rediseñar toda la arquitectura. Un sistema ágil centraliza la selección de algoritmos en la configuración, utiliza tipos abstractos de claves y desacopla la lógica del protocolo de las implementaciones de cifrado específicas. Los sistemas que incorporan RSA o ECDH directamente en la lógica de sus protocolos requerirán migraciones mucho más costosas que los sistemas ágiles.

El primer paso de la migración consiste en catalogar todos los algoritmos criptográficos primitivos del sistema: dónde se utilizan RSA, ECDH, ECDSA y los algoritmos simétricos, en qué contextos (TLS, firma de código, cifrado de datos en reposo y tokens de autenticación) y qué períodos de vigencia tienen los datos involucrados. NIST IR 8547 y las directrices de CISA recomiendan utilizar herramientas de descubrimiento automatizado para encontrar claves codificadas directamente e identificadores de algoritmos en las bases de código y las configuraciones.

TLS 1.3 admite el intercambio híbrido de claves, que combina X25519 y ML-KEM-768, especificado en el borrador de IETF draft-ietf-tls-hybrid-design. El NamedGroup híbrido X25519MLKEM768 envía partes de claves clásicas y de criptografía poscuántica (PQC) en el ClientHello. El secreto compartido es el hash de ambas salidas. Esto no requiere ningún cambio en el protocolo para los servidores que admiten el nuevo NamedGroup y mantiene la compatibilidad con los clientes que no lo admiten.

NIST IR 8413 (2022) proporciona directrices para migrar a la criptografía poscuántica. Clasifica los sistemas en tres zonas: de criticidad inmediata (secretos de larga duración expuestos al riesgo de recopilar ahora y descifrar después), de mediano plazo (datos cuya sensibilidad dura entre 5 y 10 años) y de baja prioridad (datos efímeros o de corta duración). NIST recomienda dar prioridad a la PKI y a la infraestructura de certificados, ya que cambiar los certificados raíz afecta a cadenas de confianza completas.

La amenaza de recopilar ahora y descifrar después (HNDL) es la razón más urgente para implementar de inmediato el cifrado poscuántico, incluso antes de que existan computadoras cuánticas. Los adversarios (Estados-nación) registran hoy el tráfico cifrado con la expectativa de descifrarlo cuando haya una computadora cuántica disponible. Los datos cuya confidencialidad debe mantenerse durante mucho tiempo (historias clínicas, secretos de Estado y datos financieros relevantes durante varias décadas) están expuestos de inmediato a este ataque.

Ante la amenaza HNDL, la máxima prioridad de la migración poscuántica es proteger los datos que deben permanecer confidenciales durante mucho tiempo. El intercambio efímero de claves de TLS (ECDHE) debe actualizarse de inmediato a X25519+ML-KEM híbrido. Las claves privadas RSA de larga duración (utilizadas para firmar certificados o para datos almacenados cifrados) necesitan volver a cifrarse mediante esquemas poscuánticos. Las claves de sesión efímeras del streaming de vídeo son de baja prioridad, ya que no tienen valor a largo plazo.

Antes de implementar PQC, las organizaciones deben evaluar mediante pruebas comparativas el impacto en el rendimiento de sus cargas de trabajo específicas. ML-KEM es rápido: la generación de claves y la encapsulación tardan menos de 20 microsegundos en hardware moderno. Sin embargo, el mayor tamaño de las claves y los textos cifrados (ML-KEM-768: 1184 + 1088 bytes frente a X25519: 32 + 32 bytes) aumenta el tamaño de los handshakes de TLS. En servidores TLS de gran volumen que gestionan millones de conexiones por segundo, es necesario medir este aumento del consumo de ancho de banda.

El proyecto Open Quantum Safe (OQS) proporciona liboqs, una biblioteca de código abierto que implementa algoritmos PQC, incluidos todos los estándares de NIST. OQS también proporciona forks de OpenSSL y BoringSSL con compatibilidad con PQC, además de un servidor de pruebas en test.openquantumsafe.org. Las organizaciones pueden utilizar liboqs para crear prototipos y probar la integración de PQC antes de implementarla en producción, sin tener que esperar a que las bibliotecas principales incorporen esta compatibilidad.

Las agencias federales de EE. UU. y las industrias reguladas deben utilizar módulos criptográficos validados por FIPS. NIST FIPS 203, 204 y 205 ya están publicados, pero las implementaciones validadas (con certificados del CMVP) tardan más en aparecer. NIST está ejecutando un programa acelerado de validación para PQC. Las organizaciones de entornos regulados deben hacer un seguimiento del estado de validación del CMVP y prepararse para un período en el que los despliegues híbridos de algoritmos clásicos+PQC utilicen algoritmos clásicos validados por FIPS junto con implementaciones de PQC validadas.

La migración de la PKI es especialmente compleja. Los certificados raíz y las CA intermedias deben volver a emitirse con ML-DSA o con claves híbridas. Las cadenas de certificados aumentan de tamaño (los certificados ML-DSA-65 ocupan aproximadamente 4 KB, frente a 1 KB en el caso de RSA-2048). Es necesario actualizar los almacenes de confianza de los navegadores, los almacenes de confianza de los sistemas operativos móviles y los almacenes de confianza de los dispositivos integrados. Algunas organizaciones están explorando certificados de doble algoritmo (PKI híbrida) para mantener la compatibilidad con versiones anteriores durante la transición.

¿Qué tipo de datos tiene la MÁXIMA prioridad para la migración al cifrado poscuántico debido a la amenaza de recopilar ahora y descifrar después?

La migración a PQC requiere agilidad criptográfica, un inventario criptográfico completo y una priorización basada en el período de vigencia de los datos. La amenaza de recopilar ahora y descifrar después hace urgente implementar de inmediato TLS híbrido (X25519+ML-KEM-768) para los secretos de larga duración. El impacto en el rendimiento es manejable para la mayoría de las cargas de trabajo. liboqs permite realizar pruebas antes de que las bibliotecas principales incorporen esta compatibilidad. El cumplimiento de FIPS requiere hacer un seguimiento del estado de validación del CMVP de las implementaciones de PQC.