La criptografía poscuántica es demasiado grande, maldita sea
La criptografía poscuántica promete protección frente a futuros computadores cuánticos que podrían romper los sistemas RSA y de curvas elípticas actuales, pero los esquemas actuales, como las firmas basadas en retículas, son tan grandes y consumen tantos recursos que tensionan los handshakes TLS, los dispositivos empotrados y las redes de alta latencia. Los comentaristas sopesan la urgencia de migrar —dadas las incertidumbres sobre el calendario de los computadores cuánticos prácticos y las amenazas de “harvest now, decrypt later”— frente a los costes reales de claves y firmas más grandes, la estandarización limitada y la posible necesidad de cambiar algoritmos más adelante. Se señalan alternativas como la distribución cuántica de claves como técnicamente prometedoras pero impracticables para la mayoría de los usos de Internet, dejando a la PQC como un camino necesario pero todavía inmaduro.
Preocupaciones de rendimiento y tamaño para PQC
- Muchos comentarios coinciden en que los esquemas actuales de firmas poscuánticas (p. ej., los basados en retículas como Dilithium) son muy grandes, lo que provoca hinchazón del handshake, latencia y presión sobre la memoria, especialmente problemático para dispositivos empotrados y con recursos محدودados.
- Algunos sostienen que “14 KB no es mucho” comparado con páginas web de varios MB; otros responden que los datos del handshake crean bloqueo head-of-line, se repiten en muchas conexiones/CDN y, por tanto, son críticos para la latencia.
- Existe la preocupación de que podamos quedar atrapados con esquemas grandes durante un tiempo; otros creen que cambios de protocolo (reutilización de conexiones, HTTP/2/3, eliminación de la cadena de certificados, registros de transparencia) pueden mitigar la sobrecarga.
Modelo de amenaza y momento de los ataques cuánticos
- Los escépticos cuestionan si los computadores cuánticos a gran escala existirán lo suficientemente pronto como para justificar un despliegue generalizado de PQC, comparando la situación con la fusión o con tecnologías sobrevaloradas que siempre están “a 20 años de distancia”.
- Otros argumentan que la computación cuántica sigue siendo la amenaza conocida más plausible para la criptografía asimétrica actual y que la migración criptográfica lleva décadas, así que actuar pronto es prudente.
- Se discute “harvest now, decrypt later”: algunos lo ven exagerado; otros señalan que, una vez exista un gran computador cuántico, el tráfico archivado sin intercambio de claves PQ quedará expuesto.
Tecnologías alternativas: QKD y one-time pads
- La Distribución Cuántica de Claves (Quantum Key Distribution) se considera más madura que los grandes computadores cuánticos, pero impracticable para el uso general en Internet: requiere hardware especial, buenos trayectos ópticos y aun así necesita un canal autenticado (por tanto, seguro frente a PQ).
- Algunos sostienen que la distribución física de claves o la criptografía simétrica clásica con pequeños secretos compartidos es más simple; se cuestiona la relación coste-beneficio de QKD.
- Los one-time pads se reconocen como teóricamente perfectos, pero operativamente difíciles; se prefiere la criptografía simétrica segura frente a PQ con un buen intercambio de claves.
Casos de uso: web, criptomonedas y firmas
- Para la web, varios proponen centrarse primero en el intercambio de claves seguro frente a PQ para protegerse contra la descifrado retrospectivo, manteniendo por ahora los certificados clásicos.
- Las criptomonedas se destacan como especialmente expuestas a futuros ataques cuánticos; se discuten modelos de cuentas con esquemas de firma enchufables y monederos basados en contratos como ruta de migración.
- Algunos debaten separar integridad de confidencialidad (p. ej., subresource integrity, hashes), pero otros subrayan que las URLs y los patrones de acceso en sí mismos son sensibles, así que el cifrado sigue siendo importante.