Criptografía poscuántica: por dónde empezar

La preparación para la criptografía poscuántica empieza por una pregunta que se puede responder hoy, mucho antes de que exista un ordenador cuántico capaz: ¿dónde usa su organización criptografía de clave pública que un futuro ordenador cuántico podría romper, y cuáles de esos puntos protegen datos que deben seguir siendo secretos durante años? Reguladores y clientes han empezado a preguntar exactamente eso. La hoja de ruta coordinada de la UE, el CNSA 2.0 de la Agencia de Seguridad Nacional de EE. UU. (NSA) y la obligación sobre criptografía de NIS2 señalan el mismo primer paso: un inventario criptográfico y, después, una migración por prioridades.

Esta guía explica qué se pide realmente, cómo valorar el riesgo sin alarmismo, qué son los nuevos estándares en lenguaje claro, cuánto del inventario se puede construir a partir del tráfico de red y cómo planificar la migración.

Qué piden los reguladores

La hoja de ruta de la UE. La Recomendación (UE) 2024/1101 de la Comisión, de 11 de abril de 2024, pidió a los Estados miembros coordinar la transición a la criptografía poscuántica. El 23 de junio de 2025, el Grupo de Cooperación NIS publicó la hoja de ruta coordinada: primeros pasos antes de que acabe 2026, incluidos planes nacionales e inventarios de dónde se usa criptografía vulnerable a la computación cuántica; casos de uso de alto riesgo migrados antes de que acabe 2030; y tantos sistemas como sea posible en 2035. La hoja de ruta se dirige a los Estados miembros y a sus sectores público y crítico, no directamente a su empresa, pero las autoridades nacionales la están convirtiendo en guías, y su lógica vale para todos: a finales de 2026, hay que saber dónde está su criptografía.

NIS2. La Directiva (UE) 2022/2555 exige a las entidades incluidas políticas y procedimientos sobre el uso de la criptografía y, en su caso, del cifrado, entre las medidas de gestión de riesgos del artículo 21. No cita ningún algoritmo. Pero el «estado de la técnica» avanza y, cuando organismos de normalización y agencias consideren normal el intercambio de claves poscuántico, una política criptográfica que lo ignore será difícil de defender.

Estados Unidos. El Commercial National Security Algorithm Suite 2.0 (CNSA 2.0) de la NSA fija los algoritmos de los sistemas de seguridad nacional de EE. UU.: ML-KEM-1024 para el establecimiento de claves y ML-DSA-87 para las firmas. La NSA espera que la transición de esos sistemas termine en 2035, en línea con el National Security Memorandum 10. Obliga a los sistemas de seguridad nacional de EE. UU. y a sus proveedores, no a las empresas europeas, pero los proveedores de clientes de defensa y de la Administración lo encuentran en los contratos.

Ninguno de estos textos hace que un producto, tampoco el nuestro, le haga cumplir en su nombre. Lo que piden es que la organización conozca su criptografía y planifique su sustitución.

«Harvest now, decrypt later», sin pánico

Un atacante que hoy graba tráfico cifrado puede guardarlo y descifrarlo cuando exista un ordenador cuántico capaz. Eso es «harvest now, decrypt later» (recoger ahora, descifrar después). No amenaza a todo por igual. Los datos que dentro de dos años no valen nada, como la mayoría del tráfico de sesión, no están en riesgo. Sí lo están los que deben seguir siendo confidenciales diez o veinte años: contratos, historiales médicos y datos personales, propiedad intelectual, credenciales que nunca se cambian y todo lo que interesaría a un actor estatal.

La desigualdad de Michele Mosca convierte esto en una lista de prioridades. Para cada conjunto de datos importante, X es el número de años que debe seguir siendo secreto, Y los años que tardará en migrar los sistemas que lo transportan y Z los años que faltan para que un ordenador cuántico rompa la criptografía de clave pública actual. Si X más Y es mayor que Z, los datos que envía hoy ya están expuestos. Z es desconocido, así que pruebe un valor prudente y otro relajado y vea qué sistemas fallan incluso con el relajado. Por ellos hay que empezar.

Los nuevos estándares, en lenguaje claro

En agosto de 2024, el NIST publicó los tres primeros estándares poscuánticos. FIPS 203 (ML-KEM) es un mecanismo de encapsulación de claves: permite que dos partes acuerden una clave secreta a través de una red abierta, la tarea que hoy hacen RSA y Diffie-Hellman de curva elíptica en el intercambio de claves. FIPS 204 (ML-DSA) es el principal esquema de firma digital, y FIPS 205 (SLH-DSA), una alternativa más lenta basada en funciones hash. En la práctica, ML-KEM aparecerá primero dentro de TLS como el grupo híbrido X25519MLKEM768, que combina un intercambio clásico y uno poscuántico para que la conexión siga protegida si cualquiera de los dos resiste. La guía ML-KEM y ML-DSA en lenguaje claro lo desarrolla, incluido por qué las claves más grandes estropean algunos equipos intermedios antiguos.

Cuánto del inventario muestra la red

Un inventario criptográfico, publicado a veces como CBOM (cryptography bill of materials), indica dónde se usa cada algoritmo, versión de protocolo y clave, en qué sistema y quién es su responsable. Buena parte es visible en la red, sin descifrar nada:

El intercambio de claves de cada conexión. Cada handshake TLS anuncia, antes de que empiece el cifrado, qué grupos de intercambio de claves ofrece el cliente y cuál elige el servidor, además de la versión de TLS. SSH hace lo mismo con su intercambio de claves. Así, un sensor puede listar, por servidor y por cliente, dónde se sigue usando un intercambio de claves vulnerable a la computación cuántica y dónde ya se usa el híbrido poscuántico.
Los equipos que nadie inventarió. Cubre impresoras, dispositivos de red, pasarelas OT y servidores antiguos que no admiten un agente y que a menudo son los últimos en actualizarse.
Las claves que el handshake deja ver. En TLS 1.2 el certificado del servidor viaja en claro, y las claves de host de SSH se intercambian en claro, así que se ven sus algoritmos y tamaños; en TLS 1.3 el certificado va cifrado.
Las regresiones. Cuando un servicio ya ha pasado al intercambio híbrido, una conexión posterior que vuelve a un grupo clásico queda a la vista.

Lo que no puede ver: la criptografía dentro de aplicaciones y bases de datos, las claves y certificados guardados en disco, la firma de código, las copias de seguridad cifradas y cualquier segmento que ningún sensor vigile. Combine la vista de la red con un inventario de certificados, sus listas de componentes de software (SBOM) y cuestionarios a proveedores. El artículo sobre el inventario criptográfico a partir del tráfico de red lo explica paso a paso.

Un plan de migración en cinco pasos

Inventario. Construya la lista anterior, empezando por los servicios expuestos a internet y los sistemas que transportan secretos de larga duración.
Prioridades con Mosca. Ordene los sistemas según cuánto tiempo deben seguir siendo secretos sus datos y cuánto tardan en cambiarse.
Active el intercambio híbrido donde ya esté disponible. Los navegadores, bibliotecas TLS y versiones de SSH actuales lo admiten; a menudo basta con un cambio de configuración o una actualización. Compruebe después el resultado en la red.
Pregunte a los proveedores. Incluya el intercambio de claves y las firmas poscuánticas, con fechas, en las preguntas de hoja de ruta de cada licitación y renovación.
Planifique las firmas y la PKI. Los certificados poscuánticos y la firma de código llevan más tiempo, porque hay que cambiar cadenas de confianza completas. Empiece a planificarlo ya; los plazos anteriores le dan años, no meses.

Qué muestra NetSenX

NetSenX no protege a nadie frente a los ordenadores cuánticos, y ningún producto de monitorización puede hacerlo: la protección llega al cambiar la criptografía de sus sistemas y de sus proveedores. Lo que da NetSenX es la visibilidad de la que parte una migración. NQCI, el inventario criptográfico de NetSenX (en versión preliminar), es visible en todos los planes y está activo desde el plan Pro, con el sensor de captura de paquetes activado en un agente Linux o un sensor en un puerto SPAN o TAP. Muestra qué conexiones del tráfico vigilado siguen usando un intercambio de claves vulnerable a la computación cuántica y cuáles usan ya el híbrido poscuántico, señala claves públicas débiles vistas en los handshakes (por ejemplo, claves RSA que comparten un factor con otra clave, el rastro de un generador de números aleatorios defectuoso) y registra los cambios en el tiempo, para ver dónde las actualizaciones ya han hecho su trabajo y detectar regresiones.

Fuentes

Escrito por el equipo de NetSenX en TriStiX S.L. Preguntas: info@netsenx.com.

Preguntas que responde esta guía

¿Qué es la criptografía poscuántica?

La criptografía poscuántica (PQC) es criptografía de clave pública diseñada para seguir siendo segura frente a un gran ordenador cuántico y que funciona en ordenadores normales. El NIST publicó las primeras normas el 13 de agosto de 2024: FIPS 203 (ML-KEM) para establecer claves, y FIPS 204 (ML-DSA) y FIPS 205 (SLH-DSA) para firmas digitales. Se basan en problemas matemáticos, como encontrar vectores cortos en retículos de muchas dimensiones, o en la seguridad de las funciones hash, para los que no se conoce ningún ataque cuántico eficiente. Migrar significa actualizar software, bibliotecas, protocolos y certificados, no comprar hardware cuántico. Tampoco es lo mismo que la distribución cuántica de claves, que necesita equipos ópticos especiales. El precio del cambio es el tamaño: las claves y firmas poscuánticas son mayores que las actuales, los handshakes crecen y algunos equipos antiguos tienen problemas. La mayoría de las organizaciones se encuentra primero con la PQC en las actualizaciones de navegadores, sistemas operativos y software de VPN, y después tiene que ocuparse de sus propios servidores y aplicaciones.

¿Qué significa «harvest now, decrypt later»?

Significa que un atacante graba hoy tráfico cifrado y lo guarda para descifrarlo cuando exista un ordenador cuántico capaz. Grabar es barato e invisible para usted: puede ocurrir en un punto de intercambio de internet, en un router comprometido o en un proveedor, lejos de su red. Solo corre riesgo el tráfico cuyo intercambio de claves es vulnerable a la computación cuántica, y solo los datos que sigan importando cuando se descifren. Historias clínicas, diseños, código fuente, contratos a largo plazo, expedientes jurídicos y datos personales que se conservan muchos años son ejemplos típicos; el calendario de entregas de esta semana no lo es. Una forma habitual de valorarlo es la desigualdad de Mosca: si los años que los datos deben seguir siendo secretos más los años que dura su migración superan los años que faltan para un ordenador así, el momento de empezar es ahora. La respuesta práctica es llevar primero a métodos poscuánticos híbridos el intercambio de claves que protege los datos de larga vida, porque ahí es donde las grabaciones de hoy se convertirían en las filtraciones de mañana. Las firmas pueden venir después.

¿Qué datos nuestros corren riesgo por «harvest now, decrypt later»?

Los datos que hoy cruzan una red y deben seguir siendo confidenciales después de la llegada de un gran ordenador cuántico. Hágase dos preguntas sobre cada conjunto de datos: ¿viaja por una conexión con un intercambio de claves vulnerable a la computación cuántica?, ¿y durante cuántos años seguiría haciendo daño su divulgación? Ejemplos típicos de larga vida son historias clínicas y expedientes de RR. HH., diseños de producto y código fuente, documentación de fusiones y asuntos legales, contratos con el sector público, datos biométricos y credenciales que nunca se cambian. Los datos de vida corta, como un código de un solo uso o los precios de este mes, no merecen preocupación. Los datos almacenados son otra cuestión: suelen estar protegidos con cifrado simétrico como AES, que un ordenador cuántico no rompe, salvo que sus claves se intercambien o envuelvan con RSA. Ponga la lista por escrito con un responsable y un plazo de conservación por elemento: se convierte en el orden de prioridad de su migración y en la base del cálculo de Mosca. Un sensor de red no puede clasificar sus datos; esa lista sale del negocio.

¿Cómo se aplica la desigualdad de Mosca?

Ponga tres números uno al lado del otro para cada conjunto de datos o sistema importante. X es cuántos años deben seguir siendo secretos los datos. Y es cuántos años le llevará pasar ese sistema a criptografía poscuántica, incluidos proveedores, pruebas y ciclos presupuestarios. Z es cuántos años faltan para que un ordenador cuántico pueda romper la criptografía de clave pública actual. Si X más Y es mayor que Z, los datos enviados hoy ya están expuestos a «harvest now, decrypt later». Michele Mosca describió la desigualdad en 2015, en un trabajo publicado como IACR ePrint 2015/1075. Z es desconocido, así que no finja conocerlo: pruebe un valor prudente y otro relajado y vea qué sistemas fallan incluso con el relajado. Por ejemplo, unos contratos que deben ser confidenciales 10 años, en un sistema cuya migración requiere 5 años, fallan con cualquier Z inferior a 15 años. El resultado es una lista de prioridades, no un pronóstico, y un razonamiento que un auditor o un consejo pueden seguir.

¿Qué son FIPS 203, 204 y 205?

Son las tres primeras normas poscuánticas del Instituto Nacional de Estándares y Tecnología de EE. UU. (NIST), publicadas el 13 de agosto de 2024 tras un concurso abierto e internacional que empezó en 2016. FIPS 203 especifica ML-KEM, un mecanismo de encapsulación de claves con el que dos partes acuerdan una clave secreta común; asume el papel que hoy tienen RSA y Diffie-Hellman de curva elíptica en el intercambio de claves. FIPS 204 especifica ML-DSA, el esquema principal de firma digital. FIPS 205 especifica SLH-DSA, un esquema de firma más lento y con firmas más grandes que solo se basa en funciones hash y se mantiene como alternativa conservadora. Aunque son normas federales estadounidenses, son la referencia en todo el mundo: agencias europeas como la BSI alemana y la ANSSI francesa recomiendan, entre otros, estos algoritmos, normalmente combinados con uno clásico. Para usted son los nombres que conviene buscar en la documentación de los proveedores, sus hojas de ruta y las respuestas a licitaciones.

¿Qué es ML-KEM?

ML-KEM (Module-Lattice-Based Key-Encapsulation Mechanism, FIPS 203) es el método poscuántico para acordar una clave secreta a través de una red abierta, y el primero con el que se encontrará. Procede de la propuesta CRYSTALS-Kyber. Una parte publica una clave pública; la otra la usa para envolver un secreto aleatorio nuevo que solo el titular de la clave privada puede desenvolver. Ese secreto sirve luego de clave para un cifrado simétrico rápido como AES. Hay tres tamaños, ML-KEM-512, ML-KEM-768 y ML-KEM-1024, y 768 es la opción habitual. Es rápido, a menudo comparable a las curvas elípticas, pero su clave pública y su texto cifrado ocupan alrededor de un kilobyte cada uno, frente a 32 bytes en X25519. Ese tamaño explica por qué algunos cortafuegos y dispositivos intermedios antiguos tienen problemas con los handshakes poscuánticos. En TLS, ML-KEM suele aparecer combinado con X25519 como el grupo híbrido X25519MLKEM768, que la mayoría de los navegadores ya ofrece.

¿Qué son ML-DSA y SLH-DSA?

Son las dos normas de firma poscuántica: ML-DSA (FIPS 204, de CRYSTALS-Dilithium) y SLH-DSA (FIPS 205, de SPHINCS+). Una firma digital demuestra quién produjo unos datos y que nadie los cambió; protege certificados, actualizaciones de software, firmware, documentos y código. ML-DSA es la opción de uso general: rápida, con firmas de unos pocos kilobytes en lugar de los 64 bytes de una firma ECDSA típica. SLH-DSA se basa solo en la seguridad de las funciones hash, lo que la hace muy conservadora, a costa de firmas más grandes y una firma más lenta; encaja en raíces de confianza de larga vida y en la firma de firmware. Las firmas importan menos para «harvest now, decrypt later», porque una firma falsificada solo ayuda a un atacante cuando ya existe un ordenador cuántico. Por eso la mayoría de las organizaciones cambia primero el intercambio de claves y después las firmas. El ecosistema de certificados con firma poscuántica aún se está construyendo, así que pregunte a sus proveedores por sus planes en lugar de esperar certificados poscuánticos hoy.

¿Exige la UE un plan de migración poscuántica?

La Recomendación (UE) 2024/1101 de la Comisión, de 11 de abril de 2024, pidió a los Estados miembros que coordinaran la transición, y el Grupo de Cooperación NIS publicó el 23 de junio de 2025 una hoja de ruta coordinada: iniciar la transición, proteger los casos de uso de alto riesgo antes de que termine 2030 y migrar tantos sistemas como sea factible antes de 2035. Es una hoja de ruta para los Estados miembros, no una ley que obligue directamente a su empresa; las autoridades nacionales pueden convertirla en guías o normas. Su primer paso práctico es saber dónde usa criptografía.

¿Qué pide la hoja de ruta de la UE para finales de 2026?

Que la transición haya empezado en todas partes. La hoja de ruta coordinada que publicó el Grupo de Cooperación NIS el 23 de junio de 2025, tras la Recomendación (UE) 2024/1101 de la Comisión, fija tres etapas: primeros pasos antes de que acabe 2026, migración de los casos de uso de alto riesgo antes de que acabe 2030 y de tantos sistemas como sea posible para 2035. La primera etapa trata de preparación: los Estados miembros fijan planes nacionales de transición, las organizaciones empiezan a inventariar dónde usan criptografía vulnerable a la computación cuántica y se evalúa el riesgo de cada uso para poder pilotar pronto los casos de alto riesgo. La hoja de ruta se dirige a los Estados miembros y a sus sectores público y crítico, no directamente a su empresa, y las autoridades nacionales la traducirán en sus propias guías. Aun así, su lógica sirve para cualquier organización: para finales de 2026, sepa dónde está su criptografía, quién es responsable de cada sistema y cuáles deben migrar primero. Siga lo que publique su autoridad nacional de ciberseguridad.

¿Cómo encontramos dónde usamos criptografía vulnerable a la computación cuántica?

Empiece por un inventario: certificados, VPN, TLS en sus servidores, SSH, firma de código y las bibliotecas que usan sus aplicaciones. El tráfico de red muestra gran parte, porque el intercambio de claves de cada conexión TLS es visible sin descifrar. NQCI, el inventario criptográfico de NetSenX (en versión preview), es visible en todos los planes y está activo desde el plan Pro: muestra qué conexiones usan un intercambio de claves vulnerable a la computación cuántica y cuáles un intercambio híbrido poscuántico. Necesita el sensor de captura de paquetes, desactivado por defecto: activado en un agente Linux o como sensor en un puerto SPAN o TAP. El modo básico del agente, el que se usa en macOS, no ve los handshakes TLS. Aporta visibilidad; la migración en sí sigue siendo cosa suya y de sus proveedores.

¿Puede un sensor de red construir un inventario criptográfico?

Una gran parte, sí, pero no todo. Cada conexión TLS anuncia, antes de que empiece el cifrado, qué grupos de intercambio de claves ofrece el cliente y cuál elige el servidor, además de la versión de TLS; SSH funciona de forma parecida. Un sensor que ve esos handshakes puede listar, por servidor y por cliente, dónde se sigue usando intercambio de claves vulnerable a la computación cuántica y dónde ya se usa intercambio poscuántico híbrido, para cada equipo del segmento, incluidas impresoras, appliances y máquinas que no admiten agente. Lo que no ve: la criptografía dentro de aplicaciones y bases de datos, claves y certificados guardados en disco, la firma de código, las copias de seguridad cifradas, los segmentos no supervisados y las conexiones cuyo handshake nunca pasa por el sensor. NQCI, el inventario criptográfico de NetSenX (en versión preview), es visible en todos los planes y está activo desde el plan Pro; necesita el sensor de captura de paquetes, desactivado por defecto, activado en un agente Linux o como sensor en un puerto SPAN o TAP. El modo básico en macOS no ve los handshakes. Combínelo con un inventario de certificados y cuestionarios a proveedores.

¿Qué debe incluir un inventario criptográfico?

Para cada lugar donde la criptografía protege algo, anote qué se protege, cómo y quién puede cambiarlo. Campos prácticos: el sistema o servicio y su responsable; qué protege, con el tipo de datos y cuántos años deben seguir siendo secretos; el protocolo, como TLS, SSH, IPsec, S/MIME, firma de código o cifrado de discos y bases de datos; los algoritmos de intercambio de claves, firma y cifrado, con tamaños de clave; los certificados, su emisor y su caducidad; la versión de la biblioteca o del producto y si el proveedor tiene un plan poscuántico; y si el algoritmo puede cambiarse mediante configuración. Añada una prioridad derivada de la desigualdad de Mosca. Las fuentes varían según la capa: observación de la red para lo que pasa por el cable, gestión de certificados y escáneres para los certificados, análisis de composición de software y cuestionarios a proveedores para lo que hay dentro de las aplicaciones. Un inventario que solo lista certificados se olvida del intercambio de claves, y uno construido solo desde la red se olvida de los datos almacenados. Manténgalo al día, porque cada actualización puede cambiar la respuesta, y feche cada entrada: auditores y licitaciones preguntan cuándo se revisó por última vez.