La perspectiva de un ingeniero criptográfico sobre el horizonte de la computación cuántica
(words.filippo.io)- Resultados de investigación recientes adelantan a unos pocos años la posible aparición de una computadora cuántica criptográficamente relevante (CRQC), elevando drásticamente la urgencia de desplegar criptografía resistente a la computación cuántica (PQC)
- Investigaciones de Google y Oratomic muestran una reducción de los recursos necesarios para atacar curvas elípticas de 256 bits, confirmando una tendencia de mejora acelerada en la eficiencia del hardware y de los algoritmos
- Expertos señalan 2029 como fecha límite para la migración a PQC y advierten que ya hemos entrado en una “etapa de amenaza innegable”
- Como respuesta, se propone la adopción inmediata de ML-DSA y ML-KEM, la retirada gradual de los esquemas no PQ y la exclusión de la autenticación híbrida
- En conclusión, CRQC ya no es una hipótesis sino un riesgo real, y es indispensable una transición completa a PQC antes de 2029
La perspectiva de un ingeniero criptográfico sobre el horizonte de la computación cuántica
- La urgencia de desplegar criptografía resistente a la computación cuántica (PQC) ha aumentado drásticamente en fechas recientes
- Hasta hace apenas unos meses se pensaba que todavía había margen, pero los resultados recientes han cambiado la situación de forma abrupta
- Han aparecido señales de que la llegada de una computadora cuántica criptográficamente relevante (CRQC) podría adelantarse a unos pocos años
Dos resultados de investigación publicados recientemente
- El equipo de investigación de Google publicó un artículo que reduce de forma importante la cantidad de qubits lógicos y puertas necesarias para romper curvas elípticas de 256 bits (NIST P-256, secp256k1, etc.)
- En una arquitectura de reloj rápido basada en qubits superconductores, presentan cálculos según los cuales el ataque podría completarse en pocos minutos
- Aunque el artículo fue escrito en el contexto de las criptomonedas, en la práctica tiene implicaciones aún más serias para ataques de intermediario en WebPKI
- El equipo de investigación de Oratomic presentó un escenario para romper curvas elípticas de 256 bits con solo 10 mil qubits físicos en sistemas de átomos neutros con conectividad no local (non-local connectivity)
- La velocidad es menor, pero si una clave pudiera romperse aunque fuera una vez al mes, las consecuencias serían devastadoras
- Ambos estudios muestran una tendencia común: mejoras en el rendimiento del hardware, mayor eficiencia algorítmica y menores exigencias de corrección de errores
Advertencias de los expertos y cambio en el horizonte temporal
- Heather Adkins y Sophie Schmieg de Google afirman que “la frontera cuántica está mucho más cerca de lo previsto” y plantean 2029 como fecha límite para la migración
- Eso deja apenas 33 meses, el calendario más agresivo planteado hasta ahora
- Scott Aaronson lo comparó con “el periodo en que la investigación sobre fisión dejó de ser pública en 1939–1940” y advirtió sobre la posibilidad de avances radicales no divulgados
- El calendario presentado en RWPQC 2026 quedó obsoleto en apenas unas semanas, y el viejo chiste de que “las computadoras cuánticas siempre están a 10 años de distancia” ya no aplica
- El mensaje común de los expertos es que “ahora estamos en una etapa de amenaza innegable”
Reconocimiento del riesgo y necesidad de actuar
- La pregunta clave no es “¿es posible que exista una CRQC en 2030?”, sino “¿estamos seguros de que no existirá una CRQC en 2030?”
- Desde la perspectiva de quien es responsable de la seguridad de los usuarios, ni siquiera una probabilidad menor al 1% puede ignorarse
- El escepticismo de que “todavía falta mucho” se considera una señal de falta de pericia
- Scott Aaronson lo explicó con una analogía: después de entender la tolerancia a fallos cuántica, preguntar “¿cuándo factorizarán 35?” es como preguntarle en 1943 a un físico del Proyecto Manhattan “¿cuándo harán una pequeña explosión nuclear?”
- Las predicciones podrían equivocarse, pero ahora importa más la posibilidad de que sean correctas que de que estén equivocadas, y el nivel actual de riesgo es inaceptable
Qué hay que hacer ahora
- Se necesita desplegar ahora (Ship Now)
- Aunque no sea perfecto, hay que adoptar de inmediato la PQC disponible hoy
- Aplicar firmas ML-DSA en lugar de ECDSA, y los Merkle Tree Certificates para WebPKI ya están bastante avanzados
- Antes se pensaba que “todavía había tiempo para ajustar los protocolos al tamaño de las firmas”, pero con la fecha límite de 2029 ya no hay margen
Transición del intercambio de claves y los esquemas de autenticación
- El intercambio de claves PQ basado en ML-KEM avanza sin problemas, pero se requieren las siguientes medidas
- El intercambio de claves no PQ debe considerarse de inmediato como un riesgo de ataques activos, y debe advertirse al usuario, como hace OpenSSH
- El intercambio de claves no interactivo (NIKE) debe abandonarse por ahora, y solo pueden usarse métodos unidireccionales de autenticación basados en KEM
-
Queda prohibido desplegar nuevos esquemas criptográficos no PQ
- ECDSA, pairings, criptografía basada en identidad y similares ya no son prácticos
- La autenticación híbrida (clásica + PQ) es innecesaria, y debe hacerse la transición a ML-DSA-44 puro
- Las firmas híbridas son complejas y una pérdida de tiempo; es más probable la aparición de una CRQC que una ruptura clásica de ML-DSA
- Solo en protocolos que ya soportan estructuras de firmas múltiples podría aceptarse, como excepción, una firma híbrida simple de tipo “2-of-2”
Criptografía simétrica y algoritmo de Grover
-
La criptografía simétrica no requiere cambios
- Una simplificación excesiva sobre el algoritmo de Grover ha generado la idea equivocada de que “se necesitan claves de 256 bits”
- En realidad, 128 bits siguen siendo suficientes, y la aceleración cuántica de Grover no puede paralelizarse
- Exigir 256 bits sin necesidad implica riesgo de perjudicar la interoperabilidad y retrasar la transición a PQC
Impacto en el ecosistema de software y hardware
- Es posible que más de la mitad de la biblioteca estándar de Go quede pronto en un estado inseguro
- Equilibrar los ataques de downgrade y la compatibilidad hacia atrás será un nuevo desafío
- Se espera una disrupción mucho mayor que la transición de SHA-1 a SHA-256
-
Los TEE (entornos de ejecución confiable) —como Intel SGX y AMD SEV-SNP— ya no son confiables por no soportar claves PQ
- Debido a límites de velocidad a nivel de hardware, no pueden migrar a PQ, y será necesario rebajarlos al nivel de simple “defense in depth”
Ecosistemas basados en criptografía y cifrado de archivos
-
Los sistemas de identidad basados en criptografía (por ejemplo, atproto, criptomonedas, etc.) deben iniciar su migración de inmediato
- Si no terminan antes de la llegada de una CRQC, enfrentarán una situación en la que deberán elegir entre el compromiso de usuarios o la eliminación de cuentas
- El cifrado de archivos es especialmente vulnerable a ataques de “almacenar ahora y descifrar después (store-now-decrypt-later)”
- Está previsto introducir funciones de advertencia y bloqueo para los tipos de receptor no PQ de age
- Los receptores PQ se introdujeron por primera vez en age 1.3.0
Educación y relevo generacional
- En el curso doctoral de criptografía de la Universidad de Bolonia, RSA, ECDSA y ECDH se tratan solo como algoritmos legacy
- Los estudiantes los encontrarán en su carrera profesional como “tecnología del pasado”
- Esto simboliza que la transición a PQC es un punto de inflexión generacional
Patrocinio y mantenimiento de código abierto
- Geomys es una organización especializada en mantenimiento dentro del ecosistema Go, operada con el patrocinio de Ava Labs, Teleport, Tailscale y Sentry
- Estas organizaciones apoyan el mantenimiento sostenible y la garantía de seguridad de los protocolos criptográficos de código abierto
- Teleport destaca el fortalecimiento del control de acceso para defender cuentas de usuario contra secuestro y phishing, mientras que Ava Labs subraya la garantía de confiabilidad a largo plazo de los protocolos criptográficos de blockchain
Conclusión
- La posible aparición de una CRQC ya no es una hipótesis, sino un riesgo real
- Es indispensable una transición completa a PQC antes de 2029
- Hay que desplegar de inmediato ML-KEM y ML-DSA y retirar gradualmente los esquemas no PQ
- Tanto los profesionales de la criptografía como quienes toman decisiones deben actuar ahora
1 comentarios
Comentarios de Hacker News
Si la llegada de las computadoras cuánticas prácticas está cerca, primero habría que aplicar FIPS 203 (ML-KEM) al intercambio de claves de sesión en protocolos como TLS o SSH
ML-KEM reemplazará a Diffie-Hellman existente (clásico y de curva elíptica)
Si no se usa, un atacante puede guardar los datos ahora y descifrarlos después
En cambio, los certificados o las firmas digitales no pueden falsificarse retroactivamente, así que la urgencia es menor
Aun así, en casos donde la falsificación sí importa, como los documentos digitales con validez legal, se necesitan esquemas de firma seguros también a futuro
Bibliotecas importantes como OpenSSH y OpenSSL ya soportan ML-KEM, así que a nivel de servidor personal es fácil aplicarlo sin cambiar el esquema de autenticación
Pero el calendario podría adelantarse de 2035 a 2029, así que ya es momento de hacer la transición del esquema de autenticación al mismo tiempo
El despliegue de ML-KEM ya va bien, pero ahora hay que considerar el intercambio de claves no cuántico como un riesgo potencial
Es decir, si hay datos que se guardarán por más de 3 años, habría que tratarlos como nivel de alerta
Así, para atacar hay que romper tanto la criptografía clásica como la resistente a cuántica
Como ML-KEM también es un algoritmo nuevo y podría romperse, lo híbrido es una defensa realista
Expertos como Dan Bernstein (djb) también enfatizan que no usar híbridos es una decisión irresponsable
En esos casos, hace falta migrar a firmas resistentes a cuántica para evitar falsificaciones futuras
Esta discusión se siente no lineal
En RSA, la dificultad fue subiendo gradualmente con 8 bits, 64 bits, 256 bits, pero en computación cuántica no ha habido avances sobre RSA o EC en los últimos 10 años
Entonces suena raro decir que de repente en unos años se podrá romper toda la criptografía de clave pública
En la práctica, es difícil sacar conclusiones apresuradas antes de ver siquiera RSA-256 roto en laboratorio
En cuanto eso sea posible, pasar de RSA de 32 bits a RSA de 2048 bits no hace gran diferencia
Es como cuando una reacción nuclear en cadena ya puede sostenerse sola: aumentar el tamaño de la bomba no es tan difícil
Por eso los expertos dicen que el calendario se está acelerando
En los últimos 4 años, el avance en este campo ha sido explosivo
Me parece un buen artículo
Impresiona que la estandarización del receptor híbrido para HPKE haya tomado dos años por los retrasos del CFRG
La IETF debería revisar internamente este tipo de problemas de proceso
Aunque un CRQC existiera hoy, un algoritmo híbrido elevaría el costo del ataque al menos al nivel de 1 millón de dólares
Considerando que algunas candidatas de la tercera ronda de PQC podían romperse incluso con una laptop, me parece muchísimo mejor
Este texto me hizo cambiar un poco mi postura de que “las computadoras cuánticas todavía están lejos y RSA está bien”
Gracias por explicar el riesgo de forma realista para que incluso los escépticos puedan entenderlo
La analogía de que “si entiendes la tolerancia cuántica a errores, preguntar ‘¿cuándo van a factorizar 35?’ es como preguntarle a un científico del Proyecto Manhattan en 1943 ‘¿cuándo van a hacer una pequeña explosión nuclear?’” cambió por completo mi forma de verlo
Proponer omitir claves híbridas es peligroso
Los algoritmos nuevos todavía tienen poca validación en producción, así que un solo defecto simple podría causar daños masivos
La computación cuántica también podría usarse para acelerar el entrenamiento de LLM, así que es inteligente que Google invierta en esto
Google y SoftBank invirtieron 230 millones de dólares el año pasado, y Microsoft, IBM y Google han gastado en total 15 mil millones de dólares en los últimos 20 años
Pero si se compara con los 150 mil millones de dólares que Google invierte al año en centros de datos, eso también podría ser una señal de que la aplicación práctica aún está lejos
Es totalmente posible que algún gobierno esté desarrollando una supercomputadora para romper cifrado
Como en el Proyecto Manhattan, los principios ya se conocen y solo quedan problemas de ingeniería
Los gobiernos son buenos reuniendo dinero, así que bien podría estar en marcha de verdad
En cambio, la de plutonio (Fat Man) era mucho más compleja pero más eficiente, y sentó la base de la tecnología de misiles nucleares
Los diseños de Little Boy y Fat Man siguen siendo interesantes incluso hoy
Es una tecnología que no se usa de inmediato, sino que se guarda para el momento decisivo
Ya hubo casos como XKeyscore
Es difícil imaginar una movilización de esa escala otra vez
Este artículo me hizo valorar de nuevo la importancia del cifrado simétrico
Hasta que PQE quede completamente establecido, algunos sistemas importantes pueden reforzarse con cifrado simétrico basado en claves precompartidas (PSK)
Por ejemplo, si operas un VPN WireGuard con PSK, tienes que distribuir las claves manualmente, pero el tráfico recolectado pierde valor
Este enfoque no escala, pero puede ser una capa de seguridad realista y aplicable de inmediato
Al final, PQE es lo mejor, pero como las nuevas matemáticas y los sistemas aún están menos probados, hace falta prepararse en paralelo
No entiendo por qué el autor insiste en AES-128
AES-256 casi no tiene diferencia de costo y es más seguro frente a ataques de store-now-decrypt-later
El estándar de la industria recomienda claves de 256 bits, así que basta con seguirlo
Herramientas como Age también deberían usar por defecto claves de archivo de 256 bits
El consenso general de la industria es que AES-128 también es suficiente
No existe un escenario en el que un CRQC amenace al cifrado simétrico
Forzar una migración a 256 podría incluso distraer la atención de las transiciones realmente importantes
Aunque la computación cuántica parece producir efectos más rápidos que la luz por basarse en el entrelazamiento (entanglement), en realidad no viola las leyes de la física
Por eso, más que ciencia ficción, corresponde verla como un reto de ingeniería extremadamente difícil