Migración segura de correo electrónico y S/MIME post-cuántico

Respuesta rápida: S/MIME post-cuántico tiene un problema de codificación y un problema de garantía, y solo el primero está resuelto. Los estándares IETF ya permiten que un certificado X.509 contenga una clave pública ML-KEM y que CMS contenga información del destinatario ML-KEM a través de KEMRecipientInfo, por lo que la mecánica para emitir y usar certificados S/MIME post-cuánticos ya existe. Lo que no está resuelto es que RSA solía gestionar tanto el cifrado como la firma con una sola clave; ningún algoritmo post-cuántico hace ambas cosas, por lo que S/MIME ahora requiere dos certificados separados por usuario. Y en un mensaje cifrado con múltiples destinatarios, el mensaje está tan protegido como su ruta de destinatario más débil: si incluso el certificado de un destinatario sigue siendo clásico, un atacante puede recuperar la clave de cifrado de contenido compartida a través de ese destinatario, independientemente de cuántos otros sean compatibles con S/MIME post-cuántico.

La migración a S/MIME se suele tratar como una versión simplificada de la migración de certificados TLS: se emite un nuevo tipo de certificado y listo. Sin embargo, su estructura es más compleja. El cifrado de correo electrónico es inherentemente multidestinatario, de naturaleza archivística y se basa en un modelo de certificado que presupone que una sola clave puede cumplir dos funciones. Es necesario replantear estas tres suposiciones, especialmente para S/MIME en la era poscuántica.

Puntos Clave

• Los estándares de la IETF admiten ML-KEM en certificados X.509 y CMS KEMRecipientInfo, por lo que la mecánica de codificación para S/MIME post-cuántico ya existe.
• RSA podía firmar y cifrar con la misma clave; ningún algoritmo post-cuántico del NIST hace ambas cosas, por lo que S/MIME requiere certificados ML-KEM (cifrado) y ML-DSA (firma) separados por usuario.
• La confidencialidad postcuántica en un mensaje con múltiples destinatarios es una propiedad de cada ruta de destinatario, no de una sola: un destinatario que solo utiliza cifrado clásico hace que la clave de cifrado de contenido compartida sea recuperable de forma clásica para todo el mensaje.
• El correo cifrado archivado, protegido únicamente por la gestión de claves clásica, sigue siendo permanentemente vulnerable a menos que se vuelva a cifrar activamente; un certificado post-cuántico emitido hoy no protege retroactivamente los mensajes de ayer.
• La compatibilidad entre el destinatario y la puerta de enlace, y no la emisión de certificados, es el principal obstáculo práctico, ya que cada cliente de correo y puerta de enlace de correo electrónico segura en una ruta de comunicación debe ser compatible con el formato de certificado post-cuántico.

Por qué S/MIME necesita ahora dos certificados, no uno.

La capacidad de doble propósito de RSA, donde el mismo par de claves firma un mensaje y descifra uno dirigido al usuario, dio forma al modelo de certificado original de S/MIME, basado en un único certificado de identidad. Los algoritmos postcuánticos rompen con esta premisa: ML-KEM (FIPS 203) solo realiza la encapsulación de claves, y ML-DSA (FIPS 204) solo genera firmas. No existe un equivalente postcuántico que realice ambas funciones.

La consecuencia práctica es que, a partir de ahora, cada usuario necesitará dos certificados: un certificado ML-KEM para recibir correo cifrado y un certificado ML-DSA independiente para firmar el correo saliente. Esto no es un detalle menor de implementación. Prácticamente duplica la sobrecarga de emisión, gestión del ciclo de vida y revocación de certificados por usuario, y significa que las plantillas de certificados, los flujos de trabajo de inscripción y las búsquedas en directorios basadas en un único certificado S/MIME requieren un rediseño completo, no un simple cambio de configuración.

La brecha de garantía para múltiples beneficiarios

Esta es la parte menos comprendida de S/MIME post-cuántico, y tiene mayor importancia que la mecánica de emisión de certificados. Un mensaje cifrado con S/MIME utiliza una única clave de cifrado de contenido (CEK) para proteger el cuerpo del mensaje, y esta CEK se encapsula por separado para cada destinatario utilizando su propia clave pública. En un entorno mixto, algunos destinatarios podrían tener certificados ML-KEM post-cuánticos, mientras que otros aún conservan certificados RSA o ECDH clásicos.

Un análisis criptográfico reciente de este escenario en concreto deja claro que la confidencialidad postcuántica es una propiedad del mensaje completo, no del certificado de ningún destinatario individual. Cada ruta válida hacia la clave de cifrado compartida (CEK) debe cumplir el requisito postcuántico, ya que un atacante solo necesita romper la ruta más débil para recuperar la CEK y leer el mensaje de todos los destinatarios, incluidos aquellos con certificados postcuánticos robustos. Un mensaje enviado a cinco destinatarios, cuatro con certificados ML-KEM y uno que aún utiliza RSA, ofrece exactamente la confidencialidad de RSA para cada destinatario, no una protección postcuántica equivalente a cuatro quintas partes.

Esto significa que una implementación de S/MIME post-cuántica no puede evaluarse certificado por certificado. Debe evaluarse conversación por conversación, lista de distribución por lista de distribución, con una política explícita sobre qué sucede cuando un mensaje, de otro modo, iría a un grupo mixto de destinatarios post-cuánticos y clásicos.

Compatibilidad con el destinatario y soporte de la pasarela

Cada cliente de correo en una ruta de comunicación, y cada puerta de enlace de correo electrónico segura que inspeccione, reenvíe o archive el tráfico S/MIME, necesita comprender el formato del certificado post-cuántico y la estructura KEMRecipientInfo antes de poder procesar correctamente un mensaje. Una puerta de enlace que no pueda analizar un certificado post-cuántico probablemente rechazará el mensaje directamente en lugar de permitirlo, de forma similar al patrón de fallo grave observado con certificados compuestos en OID no reconocidos. Inventaria cada versión de cliente de correo y cada puerta de enlace en tu entorno antes de comprometerte con un cronograma de implementación, la misma disciplina que es importante para cualquier migración de PKI, aplicada específicamente a la ruta de correo.

Correo de archivo: un tipo diferente de riesgo

Los archivos de correo cifrado presentan un riesgo de "recopilación inmediata y descifrado posterior" que una migración de certificados prospectiva no resuelve por sí sola. El correo cifrado hace años con RSA o ECDH clásicos permanece protegido indefinidamente solo por ese mecanismo clásico; la emisión de nuevos certificados ML-KEM hoy no protege los mensajes que ya se encuentran en un archivo. Las organizaciones con largos periodos de retención de correo, comunes en sectores regulados, necesitan una decisión explícita e independiente sobre si el correo cifrado archivado históricamente debe volver a cifrarse con claves post-cuánticas y cuándo, en lugar de asumir que una migración prospectiva lo cubre.

Perfiles de certificación y modelos de transición

El modelo de transición más viable ejecuta certificados S/MIME clásicos y post-cuánticos en paralelo por usuario, en lugar de una transición abrupta. Se emite el segundo par de certificados (ML-KEM más ML-DSA) junto con el certificado RSA existente, y se permite que los clientes de correo y las pasarelas negocien la opción más segura y compatible entre sí para cada conversación. Esto refleja el enfoque híbrido utilizado en otras migraciones de PQC, protegiendo el correo nuevo a medida que los destinatarios compatibles con la tecnología post-cuántica se conectan, sin interrumpir el flujo de correo a los destinatarios que aún no lo están. Además, la brecha de seguridad para múltiples destinatarios mencionada anteriormente implica que el beneficio de seguridad real solo se materializa por completo una vez que todos los destinatarios en un hilo determinado han dado el salto.

Lo que realmente recomendamos

Planifique desde el principio el uso de certificados duales por usuario: ML-KEM para el cifrado y ML-DSA para la firma, en lugar de asumir que un solo tipo de certificado cubrirá S/MIME como ocurría con RSA. Considere las listas de distribución con múltiples destinatarios como una decisión política, no como una consideración técnica posterior, y defina explícitamente qué sucede cuando un mensaje se envía a una audiencia mixta, tanto postcuántica como clásica. Incorpore pruebas de compatibilidad de destinatarios y pasarelas en el despliegue antes de la implementación general, y tome una decisión deliberada y con fecha sobre el recifrado del correo archivado, en lugar de dejar que se configure por defecto como "sin destinatario".

Cómo puede ayudar la consultoría de cifrado

El modelo de doble certificado que describe esta guía es precisamente lo que CertSecure Manager está diseñado para gestionar: emite y realiza un seguimiento de los certificados ML-KEM y ML-DSA emparejados desde un único plano de políticas, de modo que la doble emisión por usuario y la consiguiente sobrecarga del ciclo de vida y la revocación no duplican su carga operativa.

Nuestros servicios de asesoramiento de PQC integran la política de transición y el plan de recifrado de archivos que abarca esta guía en una hoja de ruta estructurada para la migración a S/MIME, incluyendo la política a nivel de lista de distribución que requiere la brecha de garantía para múltiples destinatarios.

La emisión nunca fue la parte difícil.

La emisión de certificados S/MIME post-cuánticos es técnicamente sencilla; ya existen los estándares para codificar ML-KEM y ML-DSA en certificados y mensajes CMS. La dificultad reside en que el correo electrónico es un protocolo multipartito, y la confidencialidad post-cuántica no se distribuye uniformemente en una lista de distribución, como suele asumirse en la implementación de certificados. Implementar correctamente el modelo de doble certificado, considerar la protección de múltiples destinatarios como una decisión política y definir con precisión qué sucede con el correo archivado son los aspectos de esta migración que determinan si ofrece la protección prometida.

Preguntas frecuentes

¿Por qué S/MIME post-cuántico requiere dos certificados en lugar de uno?

RSA podía firmar y descifrar con el mismo par de claves. Ningún algoritmo postcuántico del NIST realiza ambas funciones: ML-KEM solo gestiona la encapsulación de claves para el cifrado, y ML-DSA solo genera firmas. Por lo tanto, S/MIME necesita un certificado independiente para cada función.

¿Un mensaje está protegido si solo algunos destinatarios tienen certificados post-cuánticos?

No, no del todo. La clave de cifrado de contenido compartida del mensaje se encapsula por separado para cada destinatario, y un atacante solo necesita romper la ruta del destinatario más débil para recuperarla. Un único destinatario que solo utilice cifrado clásico reduce la confidencialidad efectiva de todo el mensaje a la protección clásica.

¿La emisión de certificados S/MIME post-cuánticos protege el correo cifrado previamente archivado?

No. El correo ya cifrado con algoritmos clásicos solo permanece protegido por esos mecanismos clásicos. Proteger el correo archivado requiere una decisión explícita de volver a cifrarlo, algo que una migración de certificados prospectiva no hace automáticamente.

¿Cuál es el modelo de transición recomendado para los certificados S/MIME?

Emita certificados ML-KEM y ML-DSA post-cuánticos junto con los certificados clásicos existentes, en lugar de reemplazarlos por completo, permitiendo que los clientes de correo negocien la opción más robusta y compatible entre sí. Esto evita interrupciones en el flujo de correo para los destinatarios que aún no son compatibles con la tecnología post-cuántica.

¿Existen estándares para codificar algoritmos post-cuánticos en certificados S/MIME?

Sí. Las claves públicas ML-KEM se pueden representar en certificados X.509, y CMS puede transmitir información del destinatario ML-KEM mediante la estructura KEMRecipientInfo. El problema de codificación está resuelto; los desafíos restantes son operativos, en particular la brecha de seguridad para múltiples destinatarios y la compatibilidad entre el cliente y la puerta de enlace.