La competición de NIST sobre PQC: proceso y criterios

NIST inició el proyecto de estandarización de la criptografía poscuántica (PQC) en 2016 como respuesta directa a la amenaza que plantean los ordenadores cuánticos. El algoritmo de Shor puede romper RSA y la criptografía de curvas elípticas en tiempo polinómico en un ordenador cuántico suficientemente grande. NIST reconoció que la transición de la infraestructura criptográfica requiere décadas y comenzó el proceso mucho antes de que los ordenadores cuánticos supusieran una amenaza inmediata.

NIST publicó una convocatoria de propuestas en diciembre de 2016 y recibió 82 propuestas completas para noviembre de 2017. Tras la revisión inicial, 69 fueron aceptadas como candidatas de la primera ronda. Las propuestas abarcaban una amplia variedad de supuestos matemáticos: problemas reticulares, funciones hash, criptografía basada en códigos, criptografía basada en isogenias y polinomios multivariables. La diversidad de supuestos era un objetivo fundamental para no poner todos los huevos en la misma cesta.

Durante la Ronda 1, NIST y la comunidad criptográfica en general realizaron un análisis exhaustivo de las 69 candidatas. Los criterios incluían la seguridad (resistencia a ataques clásicos y cuánticos), el rendimiento (tamaño de las claves y los textos cifrados, y velocidad de cálculo), la flexibilidad (conjuntos de parámetros para distintos niveles de seguridad) y la simplicidad de implementación. En enero de 2019, 26 candidatas pasaron a la Ronda 2.

Las 26 candidatas de la Ronda 2 se sometieron a un criptoanálisis más profundo y a pruebas comparativas de rendimiento. Varios esquemas fueron vulnerados o debilitados durante esta ronda, entre ellos Rainbow (multivariable) y SIKE (basado en isogenias, aunque SIKE solo se rompió en la Ronda 3). En julio de 2020, 15 candidatas pasaron a la Ronda 3, organizadas en 7 finalistas y 8 suplentes.

Las 7 finalistas de la Ronda 3 fueron Kyber, NTRU y SABER (KEM), y Dilithium, FALCON, Rainbow y SPHINCS+ (esquemas de firma). SIKE era una candidata suplente, pero se rompió estrepitosamente en 2022. NIST seleccionó Kyber para la estandarización de KEM debido a su diseño claro, sus sólidas pruebas de seguridad y su excelente rendimiento. Dilithium, FALCON y SPHINCS+ fueron seleccionados para las firmas.

NIST seleccionó deliberadamente algoritmos basados en problemas matemáticos diferentes para protegerse frente a futuros avances. ML-KEM y ML-DSA se basan en Module-LWE (retículos). FALCON se basa en retículos NTRU y muestreo gaussiano. SLH-DSA depende únicamente de la seguridad de las funciones hash. Si se produjera un avance contra los retículos, SLH-DSA seguiría siendo seguro, proporcionando diversidad algorítmica en el conjunto estandarizado.

En 2022, NIST abrió una cuarta ronda para solicitar específicamente candidatos adicionales de firma, motivado por el deseo de contar con una mayor diversidad de firmas más allá de los esquemas basados en retículos. Entre los candidatos se encontraban MAYO, CROSS, UOV y otros basados en supuestos multivariables y basados en códigos. Este proceso se desarrolló en paralelo a la finalización de los tres estándares iniciales (FIPS 203, 204 y 205).

NIST publicó los estándares definitivos de PQC en agosto de 2024: FIPS 203 (ML-KEM, basado en Kyber), FIPS 204 (ML-DSA, basado en Dilithium) y FIPS 205 (SLH-DSA, basado en SPHINCS+). Se espera que le siga FIPS 206 (FN-DSA, basado en FALCON). Ahora son de consideración obligatoria para las agencias federales de EE. UU. y están influyendo en los estándares de todo el mundo a través de ISO, ETSI e IETF.

El IETF incorporó rápidamente la PQC a los protocolos. En 2024 estaban en desarrollo borradores de RFC para ML-KEM en TLS 1.3, SSH y certificados X.509. Cloudflare, Google y Amazon anunciaron planes para implementar ML-KEM en sus pilas TLS. Apple anunció PQ3 para iMessage, utilizando ML-KEM para proporcionar secreto hacia adelante poscuántico basado en ratchet, y lo implementó en más de mil millones de dispositivos.

La competición de PQC de NIST demostró que la estandarización criptográfica abierta y colaborativa funciona eficazmente. Varios esquemas muy respetados fueron vulnerados durante el proceso (GeMSS, SIKE y Rainbow), lo que confirmó la importancia de un criptoanálisis público amplio. La competición también impulsó el desarrollo de implementaciones eficientes en hardware y bibliotecas de código abierto (liboqs y PQClean) que aceleraron la adopción.

La estandarización poscuántica aún no ha concluido. NIST continúa evaluando esquemas de firma adicionales para aumentar la diversidad. El organismo de estándares financieros X9 está desarrollando estándares de PQC para el sector bancario. ETSI e ISO están alineándose con los FIPS de NIST. Se están elaborando directrices de migración para sectores específicos: sanidad (implicaciones de HIPAA), defensa (conjunto CNSA 2.0 de la NSA) y telecomunicaciones (3GPP para 5G/6G).

¿Cuántos candidatos pasaron de las propuestas iniciales a la Ronda 2 del concurso de NIST sobre PQC?

NIST puso en marcha el proyecto de estandarización de PQC en 2016 y recibió 69 propuestas completas. Tres rondas de evaluación redujeron el número de candidatos según su seguridad, rendimiento y diversidad. Las selecciones finales fueron Kyber (ML-KEM, FIPS 203), Dilithium (ML-DSA, FIPS 204), SPHINCS+ (SLH-DSA, FIPS 205) y FALCON (FN-DSA, FIPS 206). El concurso validó el criptoanálisis abierto y dio lugar a normas ampliamente adoptadas que ahora se integran en protocolos TLS, SSH y de mensajería.