La relación entre la computación cuántica y la criptografía representa una de las carreras tecnológicas más trascendentales de la próxima década. Por un lado, está la promesa de ordenadores cuánticos capaces de romper el cifrado que protege el comercio global, los secretos gubernamentales y la privacidad personal. Por otro, el esfuerzo por desarrollar e implementar nuevos sistemas criptográficos resistentes a ataques cuánticos.
Las agencias de inteligencia ya están recolectando comunicaciones cifradas con la intención de descifrarlas cuando los ordenadores cuánticos estén disponibles. Los gobiernos han designado la criptografía post-cuántica como prioridad de seguridad nacional. Las empresas tecnológicas están reescribiendo los cimientos criptográficos de sus productos. Las instituciones financieras planifican migraciones de varios años hacia sistemas resistentes a la computación cuántica.
Lo que está en juego es extraordinario. La infraestructura digital moderna depende del cifrado para asegurar transacciones, autenticar identidades y proteger información sensible. Si los ordenadores cuánticos pueden romper estos sistemas antes de que se desplieguen alternativas, las consecuencias podrían ir desde sistemas financieros comprometidos hasta secretos de estado expuestos y una pérdida general de confianza en las comunicaciones digitales.
Aunque el calendario de la amenaza sigue siendo incierto. Las estimaciones sobre cuándo los ordenadores cuánticos alcanzarán la escala y fiabilidad necesarias para romper el cifrado más utilizado varían entre una década y varias décadas, dependiendo de quién haga la proyección y qué supuestos aplique.
Esta incertidumbre crea un problema de planificación complejo: las organizaciones deben invertir en criptografía resistente sin saber con precisión cuándo llegarán los ordenadores cuánticos ni qué sistemas estarán más en riesgo.
Lo que está claro es que las transiciones criptográficas tardan años o décadas en completarse. Hay que desarrollar estándares, reescribir software, actualizar hardware y lograr que los usuarios adopten nuevos sistemas. La migración hacia la criptografía post-cuántica ya está en marcha, impulsada por el conocimiento de que, una vez que lleguen los ordenadores cuánticos, será demasiado tarde para prepararse.
¿Cuál es la amenaza cuántica para la criptografía?
La amenaza proviene de algoritmos que los ordenadores cuánticos pueden ejecutar exponencialmente más rápido que los clásicos para problemas matemáticos específicos. Estos algoritmos permitirían a un ordenador cuántico suficientemente potente romper esquemas de cifrado que hoy protegen datos sensibles en gobiernos, empresas y particulares.
La amenaza no es que los ordenadores cuánticos sean mejores en todo tipo de computación. El peligro reside en su capacidad para resolver un conjunto reducido de problemas —concretamente, factorizar números grandes y calcular logaritmos discretos— que sustentan sistemas de cifrado ampliamente utilizados.
Algoritmo de Shor: la base de la amenaza
En 1994, el matemático Peter Shor desarrolló un algoritmo cuántico capaz de factorizar números grandes de forma exponencialmente más rápida que los mejores algoritmos clásicos conocidos. Este avance demostró que los ordenadores cuánticos, si se construyen a escala suficiente, podrían romper el cifrado RSA, uno de los sistemas criptográficos más utilizados del mundo.
RSA se basa en la dificultad de factorizar el producto de dos números primos grandes. Un ordenador clásico que intentara factorizar una clave RSA de 2048 bits requeriría recursos computacionales y tiempos que hacen el ataque impracticable (desde miles hasta millones de años). El algoritmo de Shor cambia por completo ese panorama.
Las estimaciones recientes sugieren que los requisitos de recursos para romper sistemas criptográficos ampliamente utilizados pueden ser menores de lo que se pensaba. Proyecciones anteriores situaban la factorización de RSA-2048 en unos 20 millones de cúbits físicos en un ordenador cuántico tolerante a fallos. Trabajos más recientes han revisado esa cifra significativamente: un resultado de 2025 de Craig Gidney la redujo a menos de un millón de cúbits físicos bajo supuestos similares. Investigaciones adicionales, incluyendo códigos QLDPC, sugieren que optimizaciones adicionales podrían reducir aún más ese número en arquitecturas específicas. Por otra parte, Google indicó en un whitepaper de 2026 que la criptografía de curva elíptica (como secp256k1) podría ser vulnerable con aproximadamente 1.200 cúbits lógicos, lo que se traduciría en menos de 500.000 cúbits físicos en un sistema tolerante a fallos suficientemente avanzado.
Algoritmo de Grover: una amenaza más sutil
Otro algoritmo cuántico, desarrollado por Lov Grover en 1996, proporciona una aceleración cuadrática para buscar en bases de datos no ordenadas. En términos criptográficos, el algoritmo de Grover podría acelerar ataques de fuerza bruta contra esquemas de cifrado simétrico como AES (Advanced Encryption Standard).
El impacto es menos grave que el de Shor. Mientras que Shor ofrece una aceleración exponencial (convirtiendo problemas inviables en manejables), Grover ofrece solo una aceleración cuadrática. Esto significa que duplicar la longitud de la clave restaura la seguridad frente a ataques cuánticos.
Por ejemplo, AES-128 (claves de 128 bits) tendría aproximadamente la seguridad de una clave de 64 bits frente a un ordenador cuántico que ejecute Grover: débil, pero no catastróficamente roto. AES-256, por el contrario, mantendría una seguridad de aproximadamente 128 bits contra ataques cuánticos, lo que sigue siendo fuerte según los estándares actuales.
Como resultado, el cifrado simétrico puede defenderse con relativa facilidad aumentando la longitud de las claves y continuando con los algoritmos existentes. La amenaza real se concentra en el cifrado asimétrico: los sistemas de criptografía de clave pública que sustentan firmas digitales, intercambio de claves y autenticación.
| Sistema criptográfico | Base de seguridad clásica | Algoritmo cuántico | Impacto del ataque cuántico |
|---|---|---|---|
| Cifrado RSA | Factorización de números grandes | Shor | Aceleración exponencial, seguridad completamente rota |
| Criptografía de curva elíptica (ECC) | Problema del logaritmo discreto | Shor | Aceleración exponencial, seguridad completamente rota |
| Intercambio de claves Diffie-Hellman | Problema del logaritmo discreto | Shor | Aceleración exponencial, seguridad completamente rota |
| Cifrado simétrico AES | Búsqueda por fuerza bruta | Grover | Aceleración cuadrática, mitigado duplicando longitud de clave |
| Hash SHA-256/SHA-3 | Resistencia a colisiones | Grover | Aceleración cuadrática, mitigado usando hashes más largos |
La tabla ilustra que la amenaza cuántica es altamente asimétrica: la criptografía de clave pública enfrenta un desafío existencial, mientras que el cifrado simétrico y las funciones hash solo requieren ajustes modestos.
¿Qué sistemas criptográficos son vulnerables a ataques cuánticos?
No todo el cifrado corre el mismo riesgo. La amenaza se concentra en algoritmos y protocolos específicos basados en problemas matemáticos que los ordenadores cuánticos pueden resolver eficientemente.
Altamente vulnerables: sistemas de clave pública
- Cifrado RSA: utilizado en correo seguro (PGP/GPG), VPN, conexiones web seguras (HTTPS) y firma de software. Es completamente vulnerable al algoritmo de Shor. Las claves RSA de cualquier longitud práctica (1024, 2048 o 4096 bits) pueden romperse con un ordenador cuántico suficientemente grande.
- Criptografía de curva elíptica (ECC): incluye algoritmos como ECDSA (Elliptic Curve Digital Signature Algorithm) y ECDH (Elliptic Curve Diffie-Hellman). Ampliamente usada en aplicaciones móviles, blockchain (Bitcoin, Ethereum) y TLS moderno. Shor rompe ECC de forma aún más eficiente que RSA, requiriendo menos cúbits para tamaños de clave equivalentes.
- Diffie-Hellman y su variante elíptica (ECDH): establecen secretos compartidos para cifrar comunicaciones. Son vulnerables a ataques cuánticos. Un adversario con un ordenador cuántico podría descifrar retroactivamente comunicaciones grabadas rompiendo el intercambio de claves.
Esta amenaza de descifrado retroactivo es particularmente grave para protocolos como TLS 1.2 y anteriores, que dependen completamente de Diffie-Hellman o RSA para el intercambio de claves. Incluso si el cifrado de sesión usa AES (que es resistente con claves más largas), comprometer el intercambio de claves expone las claves de sesión y permite descifrar toda la comunicación.
Moderadamente vulnerables: cifrado simétrico y funciones hash
- AES-128: ofrece seguridad reducida frente a ordenadores cuánticos (equivalente a ~64 bits), considerada débil. Las organizaciones deberían migrar a AES-256, que mantiene ~128 bits de seguridad cuántica, todavía fuerte.
- SHA-256 y otras funciones hash: experimentan una aceleración cuadrática en ataques de colisión, pero siguen siendo razonablemente seguras. Usar funciones más largas como SHA-384 o SHA-512 proporciona margen adicional.
Impacto en el mundo real: qué se rompe
La concentración de vulnerabilidades en la criptografía de clave pública tiene amplias implicaciones:
- Banca en línea y comercio electrónico: dependen de HTTPS con RSA o ECC. Un ordenador cuántico podría suplantar bancos, interceptar transacciones o robar credenciales.
- Comunicaciones gubernamentales: protegidas por RSA o ECC podrían descifrarse retroactivamente si los adversarios graban el tráfico cifrado hoy.
- Blockchain: Bitcoin usa ECDSA para firmas digitales. Un ordenador cuántico podría falsificar firmas, permitiendo el robo de criptomonedas desde claves públicas expuestas.
- Distribución de software: depende de firmas digitales para verificar autenticidad. Un ordenador cuántico podría falsificar firmas, permitiendo distribuir malware.
- VPN y mensajería segura: que usan RSA o ECC para establecimiento de claves podrían verse comprometidas.
- Infraestructura de clave pública (PKI): los certificados digitales dependen de RSA o ECC. Un ordenador cuántico minaría la confianza en todo el ecosistema de certificados.
¿Qué es la criptografía post-cuántica?
La criptografía post-cuántica (PQC) se refiere a algoritmos criptográficos diseñados para ejecutarse en ordenadores clásicos pero resistir ataques tanto de ordenadores clásicos como cuánticos. A diferencia de la criptografía cuántica (que usa la mecánica cuántica para la seguridad), la post-cuántica se basa en problemas matemáticos que se cree son difíciles incluso para ordenadores cuánticos.
El objetivo es reemplazar algoritmos vulnerables de clave pública como RSA y ECC por nuevos algoritmos que ofrezcan funcionalidad equivalente (cifrado, firmas digitales, intercambio de claves) mientras permanecen seguros frente a ataques cuánticos.
El proceso de estandarización de NIST
En 2016, el Instituto Nacional de Estándares y Tecnología (NIST) de EE. UU. inició un proceso de varios años para evaluar y estandarizar algoritmos post-cuánticos. Tras múltiples rondas con 82 candidatos iniciales, NIST anunció en 2024 el primer conjunto de algoritmos estandarizados:
- CRYSTALS-Kyber (estandarizado como ML-KEM, Module-Lattice-Based Key-Encapsulation Mechanism) para establecimiento de claves. Permite a dos partes establecer de forma segura una clave secreta compartida, reemplazando Diffie-Hellman y el intercambio de claves RSA.
- CRYSTALS-Dilithium (estandarizado como ML-DSA, Module-Lattice-Based Digital Signature Algorithm) para firmas digitales. Proporciona autenticación e integridad, reemplazando firmas RSA y ECDSA.
- SPHINCS+ (estandarizado como SLH-DSA, Stateless Hash-Based Digital Signature Algorithm) como esquema de firma alternativo basado en funciones hash en lugar de retículos, ofreciendo diversidad en caso de que la criptografía basada en retículos resulte vulnerable.
- FALCON (Fast Fourier Lattice-based Compact Signatures over NTRU) como otro esquema de firma basado en retículos optimizado para aplicaciones con restricciones de tamaño y ancho de banda.
Fundamentos matemáticos: problemas difíciles para ordenadores cuánticos
- Criptografía basada en retículos (usada en Kyber, Dilithium y FALCON): se basa en la dificultad de encontrar vectores cortos en retículos de alta dimensión, problema para el que no se conoce algoritmo cuántico eficiente.
- Criptografía basada en hash (SPHINCS+): deriva su seguridad de la resistencia a colisiones de funciones hash criptográficas.
- Criptografía basada en códigos: se basa en la dificultad de decodificar códigos lineales aleatorios.
- Criptografía polinómica multivariante: se basa en la dificultad de resolver sistemas de ecuaciones polinómicas multivariantes sobre cuerpos finitos.
- Criptografía basada en isogenias: usa la estructura de isogenias de curvas elípticas, aunque avances recientes en criptoanálisis han roto algunos esquemas, generando dudas sobre su seguridad a largo plazo.
La diversidad de fundamentos es intencional: si aparece un avance que rompa la criptografía basada en retículos, los sistemas pueden recurrir a alternativas basadas en hash o códigos.
Compensaciones: seguridad, rendimiento y tamaños de clave
Los algoritmos post-cuánticos implican compensaciones. Los tamaños de clave son generalmente mayores (una clave pública Kyber-768 ocupa ~1.184 bytes frente a los 64 bytes de una clave ECC P-256). El rendimiento computacional varía; Kyber y Dilithium son razonablemente eficientes, mientras que las firmas basadas en hash como SPHINCS+ son más lentas y producen firmas más grandes. A pesar de estas diferencias, son prácticos para su despliegue.
| Algoritmo | Tipo | Base de seguridad | Tamaño clave pública | Tamaño firma/cifrado | Rendimiento |
|---|---|---|---|---|---|
| ML-KEM (Kyber) | Encapsulación de clave | Retículos | ~1.184 bytes | ~1.088 bytes | Rápido |
| ML-DSA (Dilithium) | Firma digital | Retículos | ~1.952 bytes | ~3.293 bytes | Rápido |
| SLH-DSA (SPHINCS+) | Firma digital | Funciones hash | ~64 bytes | ~29.792 bytes | Lento, grande |
| FALCON | Firma digital | Retículos (NTRU) | ~1.793 bytes | ~1.261 bytes | Moderado |
| RSA-3072 (actual) | Cifrado/Firma | Factorización | ~384 bytes | ~384 bytes | Moderado |
| ECDSA P-256 (actual) | Firma digital | Logaritmo discreto | ~64 bytes | ~64 bytes | Rápido, pequeño |
¿Cómo proporciona seguridad la distribución cuántica de claves (QKD)?
Mientras que la criptografía post-cuántica usa matemáticas para resistir ataques cuánticos, la distribución cuántica de claves (QKD) adopta un enfoque fundamentalmente diferente: utiliza las leyes de la mecánica cuántica para detectar escuchas y distribuir claves con seguridad teórica de la información.
QKD no cifra datos directamente. Establece una clave secreta compartida entre dos partes de tal manera que cualquier intento de un espía de interceptar la clave deja rastros detectables. Una vez establecida y verificada como segura, las partes la usan con un algoritmo de cifrado clásico como AES.
El protocolo BB84
El protocolo QKD más utilizado, BB84 (propuesto en 1984), funciona así:
- Alice envía fotones individuales a Bob, codificando cada fotón en uno de cuatro estados cuánticos posibles.
- Bob selecciona aleatoriamente bases de medición para cada fotón entrante.
- Después de la transmisión, Alice y Bob comparan sus elecciones de base y conservan solo las mediciones donde coincidieron.
- Comparan un subconjunto de sus bits restantes para estimar la tasa de error: si es demasiado alta, abortan asumiendo que hay un espía.
- Si es aceptable, usan amplificación de privacidad para destilar una clave compartida completamente segura.
La seguridad de QKD se deriva del teorema de no clonación y del efecto observador en mecánica cuántica. Si un espía intenta interceptar y medir los fotones, los perturba inevitablemente, introduciendo errores que Alice y Bob detectan. Incluso un espía con un ordenador cuántico no puede romper la seguridad de QKD, ya que se basa en leyes físicas, no en complejidad computacional.
Limitaciones de QKD
- Distancia: los fotones en fibra óptica se atenúan, limitando el alcance a unos 100 km sin repetidores cuánticos (aún en desarrollo).
- Infraestructura: requiere canales cuánticos dedicados, fuentes de fotones individuales y detectores especializados.
- Solo distribución de claves: no cifra datos, no autentica partes ni proporciona firmas digitales.
- Nodos confiables: las redes QKD de larga distancia actuales dependen de nodos confiables que rompen el enlace cuántico en segmentos.
- Punto a punto: enlaces inherentemente punto a punto, limitando la escalabilidad multipartita.
Estado del despliegue de QKD
A pesar de las limitaciones, existen redes QKD operativas. China ha desplegado la infraestructura más extensa, incluida una red terrestre de 2.000 km entre Pekín y Shanghái y el satélite Micius para QKD intercontinental. Europa está construyendo la EuroQCI. Corea del Sur, Japón y Singapur operan redes metropolitanas.
| Enfoque | Base de seguridad | Resistencia cuántica | Estado de despliegue | Limitación clave |
|---|---|---|---|---|
| Criptografía post-cuántica | Dureza matemática | Creída segura (no probada) | Estandarizada, despliegue temprano | Supuestos no probados |
| Distribución cuántica de claves | Mecánica cuántica | Probadamente segura (basada en física) | Redes operativas limitadas | Distancia, coste, infraestructura |
Ambos enfoques tienen roles complementarios. La PQC protegerá la mayoría de la infraestructura digital por compatibilidad y escalabilidad. QKD asegurará comunicaciones de alto valor donde se justifique el coste.
¿Qué es «cosechar ahora, descifrar después» y por qué importa?
Una de las implicaciones más inmediatas y preocupantes es la amenaza «Harvest Now, Decrypt Later» (cosechar ahora, descifrar después). Adversarios con recursos están recolectando comunicaciones cifradas hoy con la intención de almacenarlas hasta que los ordenadores cuánticos puedan descifrarlas.
Esta amenaza crea urgencia aunque los ordenadores cuánticos a gran escala no existan todavía. Los datos cifrados hoy con RSA o ECC pueden seguir siendo sensibles durante años o décadas. Registros médicos, secretos gubernamentales, propiedad intelectual corporativa y comunicaciones personales podrían ser vulnerables a un descifrado futuro.
Por qué es factible
- Tráfico extenso: el tráfico de Internet pasa por enrutadores, cables submarinos y centros de datos donde puede interceptarse y almacenarse. Actores estatales con acceso a la infraestructura pueden recolectar grandes volúmenes a bajo coste.
- Costes de almacenamiento en caída: almacenar petabytes o exabytes es económicamente viable para adversarios bien financiados.
- Larga vida útil: a diferencia de la inteligencia perecedera, las comunicaciones cifradas conservan su valor mientras la información subyacente siga siendo sensible.
Quién está en riesgo
- Agencias gubernamentales: comunicaciones clasificadas podrían descifrarse años después.
- Organizaciones sanitarias: registros de pacientes cifrados con algoritmos actuales podrían exponerse.
- Instituciones financieras: estrategias de inversión a largo plazo, fusiones y adquisiciones.
- Bufetes de abogados: información privilegiada entre abogado y cliente.
- Instituciones de investigación: propiedad intelectual con ciclos de desarrollo largos.
- Individuos con información sensible: funcionarios, ejecutivos, periodistas, activistas.
Cómo mitigar la amenaza
- Migrar a criptografía post-cuántica de inmediato para datos con confidencialidad a 10+ años.
- Usar criptografía híbrida (RSA/ECC + PQC) durante la transición.
- Minimizar la retención de datos: eliminar comunicaciones sensibles cuando ya no sean necesarias.
- Desplegar QKD para comunicaciones de máximo valor.
- Implementar secreto hacia adelante perfecto en protocolos de comunicación.
¿Quién lidera el desarrollo de la criptografía post-cuántica?
Gobiernos y organismos de estándares
- NIST (EE. UU.): lidera la estandarización global, publicó los primeros algoritmos en 2024.
- NSA: designó la PQC como prioridad y exige transición en sistemas de seguridad nacional.
- CISA: coordina la migración en infraestructuras críticas.
- ENISA (UE): coordina esfuerzos en Europa.
- Administración Estatal de Criptografía de China: desarrolla estándares nacionales.
Gigantes tecnológicos
- IBM: liderazgo en investigación (contribuyó a Dilithium y FALCON), integración en productos y nube.
- Microsoft: librerías PQC e integración en Azure.
- Google: experimentos con intercambio de claves post-cuántico en Chrome y HTTPS.
- AWS: opciones TLS post-cuánticas y librerías criptográficas.
- Apple: integración en iMessage (uno de los primeros despliegues masivos en consumo).
- Cloudflare: pruebas de TLS post-cuántico en su red perimetral.
Empresas especializadas
- SEALSQ: chips semiconductores post-cuánticos para IoT y automoción.
- BTQ Technologies: seguridad post-cuántica para blockchain.
- PQShield: implementaciones optimizadas para sistemas embebidos e IoT.
- QuSecure: plataforma de ciberseguridad post-cuántica con QKD y generación cuántica de números aleatorios.
- 01 Communique (IronCAP): software de cifrado post-cuántico para empresas.
Instituciones financieras e infraestructura crítica
- JPMorgan Chase, Bank of America: programas de investigación y evaluación de vulnerabilidades.
- SWIFT: evaluación de PQC para comunicaciones interbancarias.
- Telecomunicaciones (AT&T, Verizon, BT Group): investigación para redes 5G y fibra.
¿Cuándo romperán los ordenadores cuánticos el cifrado actual?
El calendario sigue siendo uno de los debates más intensos del sector.
Proyecciones optimistas (para atacantes): 10-15 años
Algunas empresas e investigadores proyectan que los ordenadores cuánticos tolerantes a fallos capaces de ejecutar Shor para romper RSA-2048 podrían surgir en 10-15 años. Esta visión asume crecimiento exponencial continuo en número de cúbits, implementación exitosa de corrección de errores a escala, optimización de algoritmos y recursos de decodificación clásicos adecuados.
Proyecciones moderadas: 15-25 años
La comunidad investigadora más amplia tiende a estimaciones más conservadoras: 15-25 años. Reconoce el enorme desafío de ingeniería, la probabilidad de obstáculos imprevistos y la intensidad de recursos para mantener ordenadores cuánticos de millones de cúbits.
Proyecciones pesimistas (para atacantes): 25+ años o nunca
Algunos escépticos argumentan que los ordenadores cuánticos prácticos para romper cifrado podrían tardar más de 25 años o no realizarse nunca a la escala requerida. Enfatizan la brecha entre tasas de error actuales y necesarias, la sobrecarga de códigos de corrección y posibles límites físicos.
Lo que sabemos con certeza
- La amenaza es real: Shor está matemáticamente probado; la cuestión es «cuándo», no «si».
- Las transiciones criptográficas tardan décadas: migrar la infraestructura global llevará 10-20 años.
- «Cosechar ahora, descifrar después» ya está ocurriendo.
- Ninguna organización puede esperar: cuando se conozcan públicamente los ordenadores cuánticos capaces de romper cifrado, será demasiado tarde.
| Fuente de estimación | Marco temporal | Supuestos clave |
|---|---|---|
| Empresas cuánticas optimistas | 10-15 años | Escalado exponencial continuo, avances en corrección de errores |
| Consenso académico | 15-25 años | Progreso constante pero con desafíos imprevistos |
| Planificación gubernamental | ~2040-2045 | Calendario conservador para políticas e infraestructura |
| Escépticos | 25+ años o incierto | Posibles límites físicos fundamentales |
Para planificación, la mayoría de organizaciones usa un horizonte de 15-20 años como punto medio razonable.
Preguntas frecuentes
¿Cuál es la amenaza cuántica para la criptografía?
La amenaza se refiere a la capacidad de ordenadores cuánticos suficientemente potentes para romper sistemas de cifrado ampliamente utilizados como RSA, criptografía de curva elíptica (ECC) y Diffie-Hellman. El algoritmo de Shor, ejecutado en un ordenador cuántico tolerante a fallos con miles de cúbits lógicos, podría factorizar números grandes y calcular logaritmos discretos exponencialmente más rápido que los clásicos, socavando los supuestos de dureza matemática que protegen estos sistemas.
¿Cuándo podrán los ordenadores cuánticos romper el cifrado?
Las estimaciones varían entre 10 y más de 30 años, dependiendo de supuestos sobre progreso en hardware cuántico, corrección de errores y optimización algorítmica. La mayoría de expertos y agencias gubernamentales usan horizontes de 15-25 años para planificación. Sin embargo, la amenaza de «cosechar ahora, descifrar después» ya está en marcha, lo que crea urgencia aunque el calendario sea incierto.
¿Qué es la criptografía post-cuántica?
Son algoritmos matemáticos diseñados para ejecutarse en ordenadores clásicos pero resistir ataques tanto clásicos como cuánticos. Se basan en problemas matemáticos que se cree son difíciles incluso para ordenadores cuánticos, como retículos, funciones hash y códigos. NIST estandarizó los primeros algoritmos en 2024, incluyendo ML-KEM (Kyber) para intercambio de claves y ML-DSA (Dilithium) para firmas digitales.
¿Es mejor la distribución cuántica de claves que la criptografía post-cuántica?
Cada enfoque tiene ventajas y limitaciones. QKD ofrece seguridad basada en leyes físicas y es probablemente segura contra ataques cuánticos, pero requiere infraestructura dedicada y es punto a punto (~100 km sin nodos confiables).
La PQC usa seguridad matemática (no probadamente irrompible) pero funciona con la infraestructura de Internet existente y escala globalmente. La mayoría de organizaciones dependerá principalmente de PQC, reservando QKD para comunicaciones de alto valor.
¿Qué sistemas de cifrado son vulnerables a ataques cuánticos?
Los sistemas de clave pública, incluyendo RSA, ECC y Diffie-Hellman, son altamente vulnerables al algoritmo de Shor. Las firmas digitales basadas en estos sistemas son igualmente vulnerables.
El cifrado simétrico como AES sigue siendo razonablemente seguro si se duplican las longitudes de clave (por ejemplo, AES-256 en lugar de AES-128). Las funciones hash como SHA-256 experimentan solo ventajas cuánticas modestas.
¿Qué es «cosechar ahora, descifrar después» y por qué debería importarme?
Describe la práctica de adversarios que recolectan comunicaciones cifradas hoy para almacenarlas y descifrarlas cuando los ordenadores cuánticos sean lo bastante potentes. Crea riesgo inmediato para organizaciones que manejan datos que seguirán siendo sensibles durante más de 10 años, como secretos gubernamentales, registros sanitarios, estrategias financieras y propiedad intelectual.
Aunque hoy no se pueda romper el cifrado, los datos recolectados ahora podrían ser vulnerables en el futuro, haciendo urgente la migración post-cuántica para información sensible a largo plazo.
¿Cómo preparo a mi organización para la criptografía post-cuántica?
Comience con un inventario criptográfico para identificar dónde se usan RSA, ECC y otros algoritmos vulnerables. Priorice sistemas que manejan datos sensibles a largo plazo y migre a algoritmos estandarizados por NIST (ML-KEM, ML-DSA) donde sea viable.
Considere enfoques híbridos durante la transición. Actualice los requisitos de adquisición para especificar criptografía resistente a cuántica en nuevos sistemas. Desarrolle una hoja de ruta de migración plurianual, reconociendo que la transición completa llevará entre 5 y 10 años para la mayoría de organizaciones.
Conclusión
La intersección entre computación cuántica y criptografía define una carrera contrarreloj sin precedentes. La amenaza es concreta, matemáticamente probada y con implicaciones globales. La buena noticia es que ya existen soluciones: algoritmos post-cuánticos estandarizados, QKD para casos específicos y una creciente conciencia institucional.
Sin embargo, la migración tomará años y el coste de la inacción puede ser catastrófico. Las organizaciones que comiencen ahora a inventariar, priorizar y migrar estarán mejor posicionadas para proteger sus datos, su reputación y su futuro digital. La criptografía post-cuántica no es una opción: es una necesidad estratégica para la era cuántica que se aproxima.
La pregunta ya no es si los ordenadores cuánticos romperán el cifrado actual, sino si estaremos preparados cuando lo hagan. Y la respuesta depende de las decisiones que tomemos hoy.