# ML-KEM y ML-DSA en lenguaje claro

> Qué hacen ML-KEM (FIPS 203) y ML-DSA (FIPS 204), cómo sustituyen a RSA y a las curvas elípticas, el híbrido X25519MLKEM768 en TLS y su tamaño.

Source page: https://netsenx.com/es/blog/2026-11-12_ml-kem-ml-dsa-explained · NetSenX Team · 2026-11-12

ML-KEM y ML-DSA son los dos algoritmos poscuánticos que la mayoría de las organizaciones encontrará primero. ML-KEM (FIPS 203) permite que dos partes acuerden una clave secreta a través de una red abierta, la tarea que hoy hacen el transporte de claves RSA y el Diffie-Hellman de curva elíptica. ML-DSA (FIPS 204) firma datos y verifica firmas, como hoy las firmas RSA y ECDSA. El NIST publicó ambos el 13 de agosto de 2024, junto con FIPS 205 (SLH-DSA), un esquema de firma basado en funciones hash que se mantiene como alternativa prudente. Los dos se basan en problemas de retículos que ningún algoritmo cuántico conocido resuelve de forma eficiente, y por eso sustituyen a los algoritmos de clave pública que rompería el algoritmo de Shor.

## ML-KEM: acordar una clave

Imagine un candado que cualquiera puede cerrar pero que solo usted puede abrir. Usted publica el candado abierto (la «clave de encapsulación» pública). La otra parte elige un secreto aleatorio nuevo, lo cierra con su candado y le envía el resultado (el «texto cifrado»). Solo usted puede abrirlo, y a partir de ese momento las dos partes tienen el mismo secreto, que luego sirve de clave para un cifrado simétrico rápido como AES. Eso es un mecanismo de encapsulación de claves, KEM por sus siglas en inglés. «ML» significa retículo modular (module lattice), la estructura matemática sobre la que se construye; procede de la propuesta CRYSTALS-Kyber.

ML-KEM tiene tres tamaños: ML-KEM-512, ML-KEM-768 y ML-KEM-1024. ML-KEM-768 es el valor habitual; el CNSA 2.0 de la NSA exige ML-KEM-1024 para los sistemas de seguridad nacional de EE. UU. Es rápido, a menudo comparable a las curvas elípticas, pero sus mensajes son mucho mayores: con ML-KEM-768 la clave pública ocupa 1184 bytes y el texto cifrado 1088, frente a los 32 bytes de un intercambio X25519.

## ML-DSA: firmar

Una firma digital demuestra quién produjo unos datos y que no han cambiado desde entonces: certificados, actualizaciones de software, documentos, la prueba de identidad del servidor en un handshake TLS. ML-DSA lo hace con matemáticas de retículos en lugar de los problemas de factorización o de logaritmo discreto en los que se basan RSA y ECDSA; procede de CRYSTALS-Dilithium. Existe como ML-DSA-44, ML-DSA-65 y ML-DSA-87. Las firmas son grandes: una firma ML-DSA-65 ocupa 3309 bytes y su clave pública 1952, mientras que una firma Ed25519 ocupa 64. Una cadena de certificados con varias firmas así añade kilobytes a cada handshake, y es uno de los motivos por los que las firmas poscuánticas llegan después que el intercambio de claves poscuántico.

## Intercambio híbrido: X25519MLKEM768

La mayor parte del tráfico no pasa directamente a ML-KEM solo. Lo combina con un intercambio clásico: en TLS 1.3, el grupo híbrido X25519MLKEM768 realiza en el mismo handshake un intercambio X25519 y una encapsulación ML-KEM-768, y deriva la clave de sesión de ambos. Si se descubriera un fallo en ML-KEM, X25519 seguiría protegiendo la sesión; si un ordenador cuántico rompiera X25519, la protegería ML-KEM. Los navegadores actuales ya ofrecen este grupo y muchos sitios web grandes lo aceptan, así que buena parte del tráfico web de sus usuarios puede usar ya intercambio de claves poscuántico sin que nadie lo haya planificado.

## Por qué el tamaño importa en su red

El primer mensaje del handshake del cliente (el ClientHello) crece más de un kilobyte con un intercambio híbrido y a menudo ya no cabe en un único paquete de red. Algunos cortafuegos, balanceadores de carga y equipos de inspección antiguos gestionan mal un ClientHello repartido en varios paquetes y descartan o reinician la conexión. Es la sorpresa práctica más habitual de la migración poscuántica: la criptografía funciona, el equipo intermedio no. Pruebe el intercambio híbrido por cada ruta importante, incluidos concentradores VPN y proxies que inspeccionan TLS, antes de exigirlo.

## Qué hacer con esto

- Busque «ML-KEM», «X25519MLKEM768» y «ML-DSA» en la documentación de los proveedores y en las respuestas a licitaciones; son los nombres que importan.
- Active el intercambio híbrido donde sus bibliotecas TLS y versiones de SSH ya lo admitan, y compruebe en la red que las conexiones lo usan de verdad.
- Averigüe dónde su tráfico sigue usando solo intercambio de claves clásico. Esa lista, ordenada por cuánto tiempo deben seguir siendo secretos los datos, es su orden de migración; la [guía de criptografía poscuántica](/es/blog/2026-11-12_post-quantum-readiness-guide) explica cómo ordenarla.

NetSenX muestra esa última lista desde la red. NQCI, el inventario criptográfico de NetSenX (en versión preliminar), está activo desde el plan Pro con el sensor de captura de paquetes en un agente Linux o un sensor en un puerto SPAN o TAP, y muestra qué conexiones usan un intercambio de claves vulnerable a la computación cuántica y cuáles el híbrido poscuántico. No cambia ninguna criptografía por sí mismo.

## Fuentes

- [FIPS 203, Module-Lattice-Based Key-Encapsulation Mechanism Standard — NIST](https://csrc.nist.gov/pubs/fips/203/final)
- [FIPS 204, Module-Lattice-Based Digital Signature Standard — NIST](https://csrc.nist.gov/pubs/fips/204/final)
- [NIST releases first 3 finalized post-quantum encryption standards — NIST](https://www.nist.gov/news-events/news/2024/08/nist-releases-first-3-finalized-post-quantum-encryption-standards)
- [Announcing the Commercial National Security Algorithm Suite 2.0 — NSA](https://media.defense.gov/2025/May/30/2003728741/-1/-1/0/CSA_CNSA_2.0_ALGORITHMS.PDF)

---

*Escrito por el equipo de NetSenX en TriStiX S.L. Preguntas: [info@netsenx.com](mailto:info@netsenx.com).*