En una era donde la criptografía cuántica es más que una teoría, organizaciones como el Instituto Nacional de Estándares y Tecnología (NIST) buscan estandarizar los algoritmos de criptografía postcuántica. El NIST crea estándares de cumplimiento, mejores prácticas y regulaciones para la ciberseguridad. Su labor consiste en proporcionar un marco estandarizado para los diferentes algoritmos y métodos de cifrado , garantizando así la máxima seguridad posible en las distintas organizaciones.
La criptografía cuántica es un activo que se podrá utilizar en los próximos años, pero también puede perjudicar la seguridad de las organizaciones si no están preparadas. Por ello, el NIST ha puesto la mira en la estandarización de la criptografía poscuántica con su proyecto de estandarización de la criptografía poscuántica (PQC).
¿Qué es el proyecto de estandarización PQC?
Como se mencionó anteriormente, el NIST establece estándares y mejores prácticas de ciberseguridad que recomienda a las organizaciones seguir. La criptografía cuántica es un tipo de criptografía que podría causar graves problemas en la comunidad de ciberseguridad, ya que obsoletaría la mayoría de los algoritmos criptográficos. La razón por la que la criptografía cuántica puede lograr esto es que, con una computadora lo suficientemente potente, algoritmos que normalmente tardarían 10 años en descifrarse ahora podrían tardar solo semanas o días con la computación cuántica.
Esta es la principal razón por la que el NIST ha iniciado el proyecto de estandarización PQC. El objetivo es preparar a las organizaciones para la criptografía cuántica antes de que se convierta en una amenaza real. Esto permitiría a las empresas contar con los algoritmos de cifrado adecuados en toda la organización, de modo que, una vez que la computación cuántica sea posible, se puedan contrarrestar estos ataques. Los algoritmos de cifrado que el proyecto de estandarización PQC busca estandarizar son algoritmos resistentes a la computación cuántica. Un algoritmo resistente a la computación cuántica es inmune a los ataques tanto de las computadoras clásicas, que son las que usamos hoy en día, como de las computadoras cuánticas.
Esto permite que la información privada almacenada en dispositivos o en tránsito en las organizaciones sea lo más segura posible, ya que ni siquiera una computadora cuántica podrá romper un algoritmo cuántico seguro en cuestión de horas o días.
Determinar los algoritmos más seguros desde el punto de vista cuántico
En numerosas ocasiones, el NIST ha llevado a cabo proyectos como el de estandarización PQC, en el que se presentan varios algoritmos para evaluar si cumplen con los criterios necesarios para ser considerados el estándar de ese tipo de criptografía. Al momento de redactar este texto, el NIST acaba de finalizar su tercera ronda de selección de algoritmos criptográficos. Los finalistas y las opciones alternativas son los siguientes:
- Algoritmos del mecanismo de establecimiento de claves (KEM): Kyber, NTRU, SABER y McEliece clásico
- Algoritmos de firma digital: Dilithium, Falcon y Rainbow
- Algoritmos KEM alternativos: BIKE, FrodoKEM, HQC, NTRUprime y SIKE
- Algoritmos de firma digital alternativos: GeMSS, PICNIC y SPHINCS+
Una vez finalizada la ronda actual, se seleccionarán uno o dos algoritmos KEM y uno o dos algoritmos de Firma Digital como algoritmos resistentes a la computación cuántica con la solidez suficiente para su estandarización en el ámbito de la ciberseguridad. Tras la tercera ronda, los matemáticos e investigadores del NIST seguirán estudiando otros algoritmos, incluyendo los emergentes, para determinar si son lo suficientemente potentes como para ser considerados parte del grupo estandarizado de algoritmos resistentes a la computación cuántica.
¿Cómo pueden las organizaciones prepararse para el futuro?
Aunque el NIST aún no ha publicado su lista de algoritmos de criptografía cuántica resistentes recomendados, las organizaciones pueden empezar a prepararse para las computadoras cuánticas desde ya. A continuación, se presentan algunas maneras en que las organizaciones pueden prepararse para el futuro:
- Evaluación de riesgos cuánticos
Realizar una evaluación de riesgos cuánticos en su organización permitirá a los equipos de seguridad identificar claramente las brechas existentes en relación con la computación cuántica. Una evaluación de riesgos cuánticos también ayuda a crear una lista de aplicaciones que se verán afectadas por la creación de computadoras cuánticas, proporcionando así a la organización una lista detallada de las aplicaciones que deben actualizarse al migrar a algoritmos resistentes a la computación cuántica. Esto también ayudará en el siguiente paso: identificar los datos en riesgo.
- Identificar datos en riesgo
Identificar los datos de una organización en riesgo es fundamental, incluso en lo que respecta a la ciberseguridad en general. Contar con sistemas de clasificación e identificación de datos es vital para realizar un seguimiento de los datos y garantizar su correcta protección.
- Utilice soluciones criptográficamente ágiles
El NIST ha indicado que el uso de soluciones criptográficas ágiles es una excelente manera de comenzar a implementar una seguridad cuántica. La criptoagilidad es la capacidad de alternar entre algoritmos, primitivas y otros mecanismos de cifrado sin causar problemas significativos en la infraestructura de la organización.
- Desarrollar una comprensión de la computación cuántica y sus riesgos.
Al capacitar a los empleados sobre qué tener en cuenta en el futuro de la computación cuántica y los métodos para volverse resistentes a ella, tendrán una mentalidad ya preparada para la era poscuántica.
- Seguimiento del Proyecto de Estandarización PQC del NIST
Al realizar un seguimiento del Proyecto de Estandarización PQC , una organización puede mantenerse al día sobre cualquier cambio en los algoritmos resistentes a la computación cuántica en funcionamiento y cambiar a los algoritmos seleccionados cuando sea el momento adecuado.
