El tiempo corre: El audaz paso del NIST hacia la criptografía postcuántica
NIST impulsa la transición global hacia la criptografía post-cuántica con plazos firmes: 2030 para deprecar RSA-2048 y ECC-256, y prohibición total en 2035. Esto responde a las amenazas de la computación cuántica contra los sistemas actuales. Las organizaciones deben auditar sus sistemas y adoptar algoritmos post-cuánticos para proteger la seguridad a largo plazo. La colaboración, como certificados de vida corta y soluciones en la nube, es clave para que sistemas públicos y privados se adapten eficazmente.
El Instituto Nacional de Normas y Tecnología (NIST) ha fijado plazos firmes para que el mundo abandone algoritmos criptográficos de uso generalizado, como RSA-2048 y ECC-256. Según las directrices publicadas recientemente, estos algoritmos quedarán obsoletos en 2030 y completamente prohibidos a partir de 2035. Esta acción decisiva subraya la urgencia de prepararse para la era post-cuántica y envía una señal clara: la revolución de la computación cuántica ya no es una preocupación lejana - está aquí, y el momento de actuar es ahora.
Por qué es importante: la amenaza cuántica
La computación cuántica promete grandes avances en campos como la ciencia, la inteligencia artificial y la sanidad. Sin embargo, también supone una importante amenaza para los métodos de cifrado tradicionales. Algoritmos como RSA y ECC, que sustentan gran parte de las comunicaciones seguras por Internet y la protección de datos actuales, son especialmente vulnerables a los ataques cuánticos. Un ordenador cuántico suficientemente avanzado podría romper estos algoritmos, dejándolos obsoletos y exponiendo datos sensibles.La decisión del NIST de fijar una fecha concreta para dejar obsoletos los algoritmos RSA-2048 y ECC-256 no consiste sólo en anticiparse al «apocalipsis cuántico». Se trata de mitigar de forma proactiva los riesgos que existen hoy en día, como los ataques «cosecha ahora, descifra después». En estos casos, los malhechores recopilan datos cifrados ahora, con la esperanza de descifrarlos en el futuro utilizando capacidades cuánticas. Esto hace que la transición a la criptografía resistente a la cuántica sea una necesidad inmediata para salvaguardar la privacidad de los datos a largo plazo.
El plazo está fijado para 2030 y más allá
El borrador de las directrices del NIST (NIST IR 8547) traza una hoja de ruta clara:
- Para 2030: RSA-2048 y ECC-256 estarán oficialmente obsoletos. Para entonces, las organizaciones deberán haber realizado la transición a algoritmos criptográficos post-cuánticos (PQC).
- Para 2035: Estos algoritmos quedarán completamente obsoletos, sin dejar espacio para la criptografía heredada en las comunicaciones seguras.
Este calendario constituye una advertencia crucial para empresas, gobiernos y organizaciones: esperar hasta el último minuto no es una opción. Para 2029, muchas organizaciones, especialmente las que utilizan Microsoft Active Directory Certificate Services (AD CS), pueden enfrentarse a importantes retos si no cuentan con planes claros de migración. Microsoft ya ha señalado que AD CS carece de un camino hacia soluciones post-cuánticas, lo que añade urgencia a la situación.
Prepararse para la transición
La transición a la criptografía post-cuántica implica algo más que un simple intercambio de algoritmos: es un cambio de paradigma. Las organizaciones deben abordar las necesidades criptográficas públicas y privadas para garantizar su preparación para la era cuántica.
Confianza pública y el impulso de toda la industria
Para los sistemas públicos, la industria está adoptando un enfoque colaborativo. Empresas como Sectigo están aprovechando su experiencia en la gestión del ciclo de vida de los certificados (CLM) para ayudar a las organizaciones a adoptar soluciones PQC. Navegadores como Google y Apple han estado a la vanguardia de la defensa de una vida útil más corta de los certificados, un movimiento diseñado para fomentar la automatización y garantizar que las organizaciones estén preparadas para la transición a soluciones de PQC. Si su organización ya ha implantado prácticas sólidas de CLM, habrá sentado una base sólida para la transición a estos certificados post-cuánticos.
Sistemas privados: retos y oportunidades únicos
Para los sistemas privados, el panorama es más complejo. El caso de uso de cada organización requerirá soluciones a medida. La decisión de Microsoft de no crear una ruta lista para la cuántica de extremo a extremo para AD CS local destaca la importancia de buscar soluciones alternativas, como la autoridad de certificación (CA) privada moderna y nativa de la nube de Sectigo.
Además, los sistemas privados se enfrentarán a retos únicos, como la adaptación a tamaños de firma mayores y nuevas prácticas de gestión de claves. Estos cambios ofrecen una oportunidad para la innovación, permitiendo a las empresas repensar cómo protegen los sistemas críticos, como la autenticación, las VPN, los entornos DevOps y los dispositivos IoT.
Lo que puede hacer ahora
- Entender los plazos: Planifica la desaparición de RSA-2048 y ECC-256 para 2030. A efectos prácticos, Gartner aconseja considerar 2029 como la fecha límite operativa.
- Audite sus sistemas criptográficos: Identifique los sistemas que dependen de algoritmos vulnerables y evalúe su preparación para la migración post-cuántica.
- Contrate a socios de seguridad: Trabaje con proveedores expertos en criptografía post-cuántica para desarrollar una estrategia de transición clara.
- Manténgase informado: Manténgase al día de la evolución de las directrices del NIST y de los avances del sector. Cuanto antes actúe, más fácil le resultará la transición.
Conclusión
El anuncio del NIST marca un punto de inflexión en el mundo de la criptografía. Al fijar un plazo estricto para la desaparición de RSA-2048 y ECC-256, obliga a las organizaciones a enfrentarse de frente a la amenaza cuántica. Aunque el plazo pueda parecer lejano, la complejidad de la transición a la criptografía post-cuántica significa que es esencial una preparación temprana.
Tanto si gestiona sistemas de confianza pública como infraestructuras privadas, el mensaje es claro: el momento de actuar es ahora. Al asociarse con proveedores de seguridad con visión de futuro y aceptar los retos de la era cuántica, las organizaciones pueden convertir este momento de disrupción en una oportunidad para la innovación y la resistencia.