RSA: Seguro hoy, planificado para la jubilación.

Publicado: febrero de 2026. Actualizado: agosto de 2026. Revisado por el equipo asesor de PQC de Encryption Consulting.

RSA sigue siendo uno de los algoritmos criptográficos de clave pública más utilizados en la infraestructura de seguridad moderna. Continúa siendo compatible con certificados TLS (Transport Layer Security), firmas digitales y sistemas de identidad en entornos empresariales y gubernamentales. Sin embargo, su presencia continua refleja cada vez más los requisitos de compatibilidad con versiones anteriores, más que decisiones de diseño criptográfico con visión de futuro.

Desde la perspectiva de la arquitectura de seguridad, RSA ya no es la opción preferida en los diseños criptográficos de vanguardia. Persiste porque sigue funcionando bajo supuestos de computación clásica y cuenta con un amplio soporte, no porque se ajuste a los modelos de amenazas en constante evolución.

Para comprender claramente esta transición, es necesario examinar los fundamentos matemáticos de RSA, su comportamiento operativo y sus limitaciones en el contexto de la criptografía postcuántica (PQC).

Tamaños de clave RSA, niveles de seguridad y equivalencia de algoritmos

La seguridad que proporciona una clave RSA no está determinada por el nombre del algoritmo, sino por el tamaño de la clave, y la relación entre el tamaño de la clave y la seguridad no es lineal. La tabla 2 de la revisión 5 de la norma SP 800-57 Parte 1 define niveles de seguridad comparables entre las familias de algoritmos. RSA se incluye en la columna IFC (Criptografía de Factorización de Enteros), donde un módulo de 2048 bits (k=2048) proporciona una seguridad de 112 bits, un módulo de 3072 bits proporciona una seguridad de 128 bits equivalente a AES-128, un módulo de 7680 bits proporciona una seguridad de 192 bits equivalente a AES-192 y un módulo de 15360 bits proporciona una seguridad de 256 bits equivalente a AES-256.

La propia tabla incluye una nota en las columnas IFC y ECC que indica que estas estimaciones de seguridad se verán afectadas significativamente cuando la computación cuántica se convierta en una opción práctica.

Esta comparación revela una brecha de eficiencia fundamental. Para lograr una seguridad de 128 bits, RSA requiere un módulo de 3,072 bits, mientras que una clave de curva elíptica alcanza el mismo nivel con 256 bits. Para igualar el estándar P-384, RSA requiere 7,680 bits. La diferencia de tamaño aumenta considerablemente en niveles de seguridad más altos, razón por la cual los algoritmos de curva elíptica se prefieren cada vez más a RSA en los diseños de protocolos prospectivos, especialmente para el intercambio de claves, donde una seguridad equivalente con claves significativamente más pequeñas reduce la sobrecarga computacional.

Sin embargo, esta guía de dimensionamiento solo se aplica en contextos de computación clásica. Según la norma NIST IR 8547 (borrador público inicial, noviembre de 2024), todos los tamaños de clave RSA están sujetos a prohibición después de 2035, ya que el algoritmo de Shor factoriza números enteros en tiempo polinomial, independientemente de la longitud de la clave. Aumentar una clave RSA de 2048 a 7680 bits no modifica su vulnerabilidad cuántica.

Supuestos de seguridad detrás de RSA

Cada recomendación criptográfica depende de un modelo de amenazas definido. Para RSA, la suposición de seguridad clásica es que ningún adversario limitado por la computación clásica, no cuántica, puede factorizar un módulo semiprimo grande en un tiempo factible. Esta suposición se mantiene para RSA-2048 hoy en día: el mejor ataque clásico conocido, el método de la criba de campos numéricos generales, tiene un tiempo de ejecución subexponencial y sigue siendo computacionalmente inviable con los tamaños de clave actuales cuando se combina con el relleno correcto (OAEP para el cifrado, PSS para las firmas) y la generación segura de claves.

• Modelo adversario: limitado a la computación clásica probabilística de tiempo polinomial, sin acceso a una computadora cuántica criptográficamente relevante.
• Problema de dificultad: factorización entera de un módulo semiprimo grande, conocido como el problema RSA, no probado formalmente pero que se ha mantenido estable durante décadas de criptoanálisis.
• Dependencia de la implementación: la seguridad solo se mantiene con el relleno correcto (OAEP, PSS), la generación segura de claves aleatorias y operaciones de tiempo constante resistentes a fugas de canal lateral.
• Normas principales: NIST SP 800-57 Parte 1 Revisión 5 define la relación entre el tamaño de la clave y la solidez de la seguridad; NIST IR 8547 (Borrador público inicial, noviembre de 2024) define el cronograma de transición propuesto para abandonar RSA a medida que cambia el modelo de amenazas.
• La suposición que falla en la computación cuántica: el algoritmo de Shor resuelve la factorización de enteros en tiempo polinomial en una computadora cuántica suficientemente grande y tolerante a fallos, lo que elimina por completo la suposición de dureza clásica en lugar de simplemente debilitarla.

¿Por qué RSA sigue funcionando con los modelos de computación clásicos?

RSA sigue siendo seguro en entornos de computación clásica porque ningún algoritmo clásico eficiente conocido puede factorizar números enteros semiprimos grandes con tamaños de clave criptográficamente relevantes. El supuesto de seguridad está específicamente vinculado a la dificultad de la factorización de enteros en modelos clásicos de tiempo polinomial probabilístico.

El ataque clásico de propósito general más conocido es el método de cribado de campos numéricos generales (GNFS), cuya complejidad es subexponencial. Si bien GNFS es asintóticamente el método conocido más rápido, su coste práctico crece de forma superpolinómica con el tamaño de la clave, lo que hace que el RSA de 2048 bits siga siendo computacionalmente inviable con las capacidades actuales de computación clásica, incluso cuando se implementa correctamente con relleno moderno y generación segura de claves.

También es importante destacar que la seguridad de RSA depende no solo de la dificultad de factorización, sino también de una implementación correcta. Los esquemas de relleno, como el Relleno de Cifrado Asimétrico Óptimo (OAEP) para el cifrado y el Esquema de Firma Probabilística (PSS) para las firmas, son esenciales. Sin ellos, RSA se vuelve vulnerable a ataques estructurales o de oráculo de relleno, incluso si la clave subyacente es matemáticamente robusta.

Es importante destacar que RSA no posee ningún algoritmo abreviado conocido que reduzca su seguridad a algo más sencillo que la factorización de enteros en el modelo clásico. Su seguridad se basa en una hipótesis de dificultad bien estudiada que se ha mantenido estable durante décadas, aunque no se haya demostrado formalmente.

Sin embargo, esta estabilidad se aplica estrictamente dentro de la computación clásica. No se extiende a los modelos de computación cuántica.

Dónde se sigue utilizando RSA en los sistemas modernos

RSA sigue presente en varias capas de infraestructura crítica, pero su función se limita cada vez más a la compatibilidad y al anclaje de la confianza, en lugar de a la innovación activa del protocolo.

En los ecosistemas TLS, RSA todavía se utiliza ampliamente para la validación de certificados y firmas, especialmente en sistemas que requieren compatibilidad con versiones anteriores de clientes.

En los sistemas de infraestructura de clave pública (PKI), RSA continúa protegiendo las jerarquías de las autoridades de certificación (CA), incluidos los certificados raíz e intermedios. Estos sistemas cambian lentamente debido a su dependencia de anclas de confianza a largo plazo.

RSA también se utiliza en sistemas de firma de software y firmware, donde verifica la autenticidad de las actualizaciones del sistema operativo, las imágenes de firmware y los binarios de las aplicaciones.

En entornos Secure Shell (SSH), todavía existe compatibilidad con RSA, aunque cada vez se reemplaza más por algoritmos basados ​​en ECC como Ed25519.

Donde RSA genera exposición primero

RSA no conlleva el mismo riesgo en todos los contextos en los que se implementa. El perfil de exposición depende de si RSA se utiliza para el establecimiento de claves o firmas digitales, y de cuánto tiempo permanezcan en uso los datos protegidos o los artefactos firmados.

La vulnerabilidad de mayor prioridad es RSA, utilizado en el establecimiento de claves, específicamente en configuraciones TLS 1.2 que dependen del transporte de claves RSA. En este modelo, el cliente cifra un secreto pre-maestro directamente con la clave pública RSA del servidor, y este lo descifra con la clave privada correspondiente. Este diseño carece de confidencialidad directa. Si un atacante intercepta y registra el tráfico de sesión cifrado y posteriormente obtiene acceso a la clave privada RSA del servidor, ya sea mediante una brecha de seguridad o mediante una computadora cuántica que recupera la clave privada RSA a través del algoritmo de Shor, podrá descifrar el secreto pre-maestro registrado, derivar las claves de sesión y leer el tráfico.

Esta amenaza sigue vigente, ya que los adversarios pueden obtener el texto cifrado hoy mismo y descifrarlo cuando la capacidad cuántica esté disponible. TLS 1.3, definido en la RFC 8446 (agosto de 2018), solucionó este problema eliminando por completo el intercambio de claves RSA. El secreto hacia adelante mediante el intercambio de claves efímeras es obligatorio en TLS 1.3. Las implementaciones de TLS 1.2 que aún negocian conjuntos de cifrado TLS_RSA_WITH_* mantienen esta vulnerabilidad y representan el objetivo de migración más crítico en cuanto al tiempo.

El uso de RSA para firmas digitales en la autenticación presenta un perfil de riesgo diferente. Un evento de autenticación que era válido en el momento en que ocurrió no se ve comprometido retroactivamente si RSA llega a ser vulnerado. Un inicio de sesión o una concesión de acceso correctamente validados en 2025 no se anulan por un ataque cuántico en 2035.

La norma NIST IR 8547 IPD refleja esta situación, al señalar que los sistemas de autenticación pueden seguir utilizando algoritmos clásicos hasta que exista una computadora cuántica criptográficamente relevante, momento en el que deberán desactivarse. La preocupación se desplaza de la vulnerabilidad retroactiva a la falsificación futura: un adversario con capacidad cuántica podría falsificar firmas RSA para suplantar servicios o entidades, lo que vincula el cronograma de migración de los sistemas de autenticación a la disponibilidad de hardware cuántico en lugar de a la longevidad de los datos.

La firma de código y la firma de firmware presentan un período de exposición más prolongado que la autenticación. El firmware firmado con RSA puede permanecer implementado y ser de confianza en los dispositivos durante muchos años después de la firma. Si un atacante logra falsificar firmas RSA durante ese período, puede generar firmware o actualizaciones de software fraudulentas que superen la verificación de versiones anteriores. Esto convierte a RSA en una prioridad de migración mayor que las credenciales de sesión de corta duración en plataformas de firma de larga duración.

RSA en los anclajes de confianza de PKI agrava todo lo anterior. Los certificados de CA raíz que contienen claves RSA suelen tener periodos de validez medidos en años. Si la clave RSA que protege una CA raíz se viera comprometida por un adversario cuántico dentro de su periodo de validez, todos los certificados emitidos bajo esa jerarquía perderían su base de confianza, afectando simultáneamente a todos los casos de uso dependientes.

Limitaciones de rendimiento y escalabilidad

RSA introduce limitaciones de rendimiento y escalabilidad que se hacen más evidentes en los sistemas modernos de alta escala y sensibles a la latencia. Su seguridad se incrementa principalmente al aumentar el tamaño de las claves, lo que repercute directamente en el coste computacional. A medida que el tamaño de las claves aumenta de 2048 bits a 3072 bits y más allá, las operaciones basadas en la exponenciación modular se vuelven más costosas, especialmente las operaciones con clave privada, como la firma y el descifrado.

RSA también presenta una asimetría inherente en el costo operativo. Las operaciones de clave pública, como la verificación de firmas y el cifrado, son relativamente eficientes debido al uso de exponentes públicos pequeños, como 65537. En cambio, las operaciones de clave privada requieren cálculos mucho más complejos, ya que implican aritmética modular con exponentes grandes. Este desequilibrio puede convertirse en un cuello de botella en sistemas que realizan operaciones de firma frecuentes, como los servicios de autenticación o las autoridades de certificación.

Además, RSA genera claves y firmas más grandes que ECC, lo que aumenta el consumo de ancho de banda durante el intercambio de certificados y el establecimiento de la conexión TLS. Si bien esta sobrecarga puede ser mínima en transacciones aisladas, cobra mayor relevancia en sistemas distribuidos a gran escala con una alta rotación de conexiones. En consecuencia, RSA suele ser menos eficiente que los algoritmos basados ​​en ECC en los diseños de protocolos e infraestructuras modernos.

Criptografía postcuántica y la ruptura fundamental en RSA

La limitación más crítica de RSA no es su rendimiento, sino su incompatibilidad con los modelos de computación cuántica. La computación cuántica probabilística (PQC) se basa en el reconocimiento de que los esquemas de clave pública ampliamente utilizados, incluidos RSA y ECC, dependen de problemas matemáticos que son vulnerables a los algoritmos cuánticos bajo modelos computacionales específicos.

En el caso de RSA, la principal preocupación reside en el algoritmo de Shor, capaz de factorizar números enteros grandes en tiempo polinomial en una computadora cuántica suficientemente potente. Dado que la seguridad de RSA se basa en la dificultad de la factorización de enteros en los modelos de computación clásica, la existencia de dicho algoritmo invalida esa suposición subyacente en un entorno cuántico. Esto no implica que RSA esté actualmente comprometido en la práctica, pero sí significa que sus garantías de seguridad no se extienden a adversarios con capacidades cuánticas a gran escala.

Debido a este cambio en el modelo de amenazas, aumentar el tamaño de las claves RSA no proporciona una protección significativa contra los ataques cuánticos. El problema no radica en la escalabilidad computacional, sino en el cambio de la clase de problema subyacente. Según el NIST IR 8547 (Borrador Público Inicial, noviembre de 2024), se propone que RSA-2048 y P-256, que operan con un nivel de seguridad de 112 bits, se dejen de usar después de 2030, y que todos los algoritmos de clave pública vulnerables a ataques cuánticos, incluidos los de mayor tamaño de clave, queden prohibidos después de 2035. En cambio, los algoritmos modernos de computación cuántica de potencia (PQC), como ML-KEM y ML-DSA, están diseñados en torno a estructuras matemáticas, en particular problemas basados ​​en retículos, que actualmente no tienen soluciones cuánticas eficientes conocidas.

Esta transición no representa una actualización de RSA, sino un reemplazo criptográfico basado en un supuesto de seguridad fundamentalmente diferente. Sin embargo, en la práctica, no se espera que las organizaciones migren todos sus sistemas a la vez. Las implementaciones de RSA existentes seguirán operando en entornos clásicos mientras que los algoritmos PQC se introducen en paralelo mediante modos híbridos durante la fase de transición. Estos enfoques híbridos son mecanismos temporales destinados a mantener la interoperabilidad y reducir el riesgo de migración.

Ejemplo práctico: RSA-2048 en cifras concretas

Las afirmaciones abstractas sobre la posible vulnerabilidad cuántica de RSA son más fáciles de evaluar con datos concretos. Un módulo RSA de 2048 bits es un número compuesto de aproximadamente 617 dígitos decimales, formado como el producto de dos números primos de 1024 bits. Clásicamente, el algoritmo General Number Field Sieve, que ataca este módulo, tiene un factor de trabajo estimado del orden de 2 elevado a la potencia 112, razón por la cual el NIST clasifica a RSA-2048 con una seguridad de 112 bits en SP 800-57. Con ese factor de trabajo, factorizar un solo módulo RSA-2048 con los mejores métodos clásicos conocidos y hardware realista sigue estando fuera del alcance práctico.

La situación cuántica es diferente en esencia, no solo en grado. Un análisis de 2019, ampliamente citado, realizado por los investigadores Craig Gidney y Martin Ekera, estimó que factorizar un entero RSA de 2048 bits requeriría aproximadamente 20 millones de cúbits ruidosos funcionando durante unas 8 horas, utilizando construcciones de circuitos optimizadas para el algoritmo de Shor. En 2026, los procesadores cuánticos más grandes conocidos públicamente operan con cientos o miles de cúbits físicos, varios órdenes de magnitud por debajo de esa estimación, y los cúbits físicos aún requieren una sobrecarga sustancial de corrección de errores para convertirse en los cúbits lógicos estables que la estimación presupone. Esta brecha es precisamente la razón por la que el NIST plantea la transición a RSA como una gestión de riesgos con plazos definidos, en lugar de una emergencia: el algoritmo no está roto hoy, pero los datos cifrados hoy con el intercambio de claves RSA pueden recuperarse ahora y descifrarse más adelante, una vez que exista una computadora cuántica criptográficamente relevante.

En términos comparativos: una clave ECC P-256 alcanza el mismo nivel de seguridad de 128 bits que una clave RSA de 3072 bits, con aproximadamente una doceava parte del tamaño de la clave, mientras que el establecimiento de claves ML-KEM-768 basado en retículos proporciona una fuerza clásica comparable, además de resistencia total al algoritmo de Shor, a costa de claves públicas y textos cifrados más grandes que ECC (aproximadamente 1.1 KB frente a 65 bytes para una clave pública P-256). Esta compensación entre tamaño y rendimiento es la razón práctica por la que existen modos híbridos clásicos más PQC durante la migración: permiten que los sistemas mantengan la eficiencia de ECC para la garantía clásica, al tiempo que añaden la estructura de ML-KEM para la garantía cuántica.

¿Por qué RSA se está convirtiendo en un algoritmo obsoleto?

RSA está quedando obsoleto gradualmente debido a una combinación de factores: sus características de rendimiento, las limitaciones de escalabilidad y la aparición de PQC. Si bien ECC ya ofrece una seguridad equivalente con claves más pequeñas y una mayor eficiencia, RSA sigue existiendo principalmente por su compatibilidad con los sistemas e infraestructuras de confianza existentes.

A nivel de protocolo, los diseños de seguridad modernos dependen cada vez más de mecanismos basados ​​en ECC para el intercambio de claves y firmas digitales, mientras que RSA se sigue utilizando principalmente para la compatibilidad de certificados y las rutas de validación heredadas. Esto crea un estado de transición en el que RSA se mantiene no como una primitiva preferida, sino como una capa de compatibilidad en entornos mixtos.

Migración post-cuántica en la práctica

La transición a PQC no implica un simple cambio de algoritmo, sino un proceso de migración operativa. Comienza con la identificación de los activos criptográficos vulnerables a la computación cuántica en toda la infraestructura, incluyendo puntos finales TLS, sistemas de identidad, módulos de seguridad de hardware (HSM), aplicaciones y dispositivos integrados. A continuación, se crea un inventario criptográfico estructurado que abarca no solo certificados y claves, sino también las dependencias entre sistemas y cadenas de confianza.

Una vez establecido el inventario, las organizaciones deben realizar un mapeo de dependencias para identificar los sistemas que no pueden admitir de inmediato algoritmos PQC o reemplazos ECC. Esto incluye clientes heredados, dispositivos con recursos limitados y sistemas de proveedores que requieren actualizaciones antes de admitir nuevas primitivas criptográficas.

La migración en sí suele realizarse por fases. Durante el período de transición, se utilizan configuraciones criptográficas híbridas para mantener la compatibilidad al tiempo que se introducen algoritmos PQC. La criptografía híbrida se refiere al uso combinado de algoritmos clásicos, como RSA o la criptografía de curva elíptica, junto con algoritmos PQC en un único intercambio de protocolos, lo que garantiza la seguridad frente a adversarios tanto clásicos como cuánticos durante el período de migración.

Este enfoque permite que los sistemas sigan siendo interoperables mientras se validan e implementan gradualmente mecanismos resistentes a la computación cuántica. Sin embargo, no se trata de una solución permanente. Es una estrategia transitoria diseñada para garantizar la continuidad de la seguridad durante la migración, con el objetivo a largo plazo de adoptar plenamente la computación cuántica probabilística (PQC) a medida que el ecosistema madure.

Con el tiempo, a medida que el ecosistema se consolida, RSA se va eliminando progresivamente de los sistemas que requieren garantías de seguridad a largo plazo. En este contexto, RSA no está evolucionando hacia PQC, sino que se está retirando gradualmente a medida que los sistemas transitan hacia modelos criptográficos diseñados para un panorama de amenazas computacionales diferente.

Limitaciones

• El documento NIST IR 8547 sigue siendo un borrador público inicial a fecha de esta actualización; las fechas de desuso de 2030 y de prohibición de 2035 para RSA y otros algoritmos vulnerables a la computación cuántica son propuestas, no definitivas, y pueden cambiar a medida que el NIST revise los comentarios públicos.
• Los hitos obligatorios de CNSA 2.0 (adquisiciones de nuevos sistemas de seguridad nacional que respalden CNSA 2.0 para 2027, eliminación gradual de equipos obsoletos para 2030, adopción obligatoria para 2031) se aplican directamente solo a los sistemas que respaldan las misiones de seguridad nacional de EE. UU.; las empresas comerciales no están obligadas por CNSA 2.0, pero con frecuencia la utilizan como referencia para la planificación.
• Actualmente no existe ninguna computadora cuántica relevante desde el punto de vista criptográfico. Las estimaciones sobre cuándo podría existir una varían en la comunidad de seguridad, por lo que las evaluaciones de riesgo de recopilación de datos para su posterior descifrado deben basarse en cuánto tiempo deben permanecer confidenciales los datos protegidos, y no en una fecha específica prevista para un avance tecnológico.
• Las configuraciones híbridas clásicas más PQC añaden una sobrecarga computacional y de ancho de banda en comparación con los modos solo clásicos o solo PQC, lo que algunos sistemas limitados o heredados pueden no admitir todavía sin trabajo de ingeniería adicional.

Tabla de decisiones empresariales: ¿Qué hacer ahora mismo con RSA?

La respuesta adecuada a la exposición cuántica de RSA depende del escenario de implementación, no de RSA como categoría única. La siguiente tabla relaciona escenarios empresariales comunes con una acción recomendada y un cronograma aproximado, basándose en las fechas del borrador de NIST IR 8547 y los hitos de CNSA 2.0 que muchas empresas utilizan como referencia de planificación externa.

Escenario	Acción sugerida	Ventana de prioridad
Los puntos finales TLS 1.2 siguen negociando el transporte de clave RSA (TLS_RSA_WITH_*)	Deshabilitar los conjuntos de cifrado de intercambio de claves RSA; exigir ECDHE o migrar a TLS 1.3, que elimina por completo el intercambio de claves RSA.	Inmediato a 12 meses
Nueva jerarquía de autoridad de certificación basada en PKI o desarrollo desde cero.	Problema con ECC (P-256 o P-384) hoy; certificados híbridos piloto a medida que madura el soporte del CA/Browser Forum y del proveedor.	Inmediato
Claves de firma de código o firmware de larga duración (periodo de confianza de más de 5 años)	Priorice la migración a la firma ML-DSA o híbrida RSA/ML-DSA; las firmas falsificadas en artefactos de larga duración presentan el período de exposición más prolongado.	Ahora a través de 2030
Claves raíz e intermedias de CA en jerarquías PKI existentes	Comience a mapear las dependencias y a planificar la reemisión; una raíz comprometida invalida todos los certificados que se encuentran debajo de ella.	Desde ahora hasta 2030 y 2033
Entornos HSM validados según FIPS 140-3	Confirme que el firmware del HSM y la hoja de ruta del proveedor admiten los módulos ML-KEM y ML-DSA antes de exigir su uso en producción.	12 al mes 24
Autenticación de sesión de corta duración (inicio de sesión, tokens de API)	Menor prioridad inmediata; modernización a medida que el soporte ECC/PQC se convierta en estándar en los proveedores de identidad, ya que el riesgo de falsificación solo comienza una vez que existe una computadora cuántica.	2027 a 2030

Cómo puede ayudar la consultoría de cifrado

La transición de RSA a PQC requiere más que la simple selección de algoritmos. Depende de comprender cómo se implementa la criptografía en los sistemas, cómo se estructuran las dependencias y dónde existen riesgos operativos durante la migración. Es aquí donde Encryption Consulting ayuda a las organizaciones a pasar de la evaluación a la ejecución de forma controlada y con un enfoque en la gestión de riesgos.

Evaluación de PKI

La evaluación de PKI de Encryption Consulting es un proceso estructurado que analiza todo su entorno PKI desde las dimensiones técnicas, operativas y de gobernanza. Comienza con el análisis inicial: se mapea su arquitectura PKI actual en entornos locales, en la nube e híbridos para obtener una visión completa de lo que existe, cómo está configurado y dónde se conecta.

Esto incluye la validación de la jerarquía de la CA, la revisión de la plantilla de certificado, las prácticas de gestión de claves y una prueba integral de su infraestructura de revocación, verificando que las extensiones del Punto de Distribución de CRL (CDP) y del Acceso a la Información de la Autoridad (AIA) en los certificados emitidos apunten a respondedores y puntos de distribución que sean realmente accesibles desde los segmentos de red donde se validan los certificados.

Más allá de la configuración, se utilizan talleres estructurados con las partes interesadas y sesiones de revisión de la arquitectura para comprender la realidad operativa. Estos debates suelen revelar deficiencias que no son visibles solo en la documentación, como políticas de infraestructura de clave pública (PKI) existentes pero que no se aplican de forma consistente, respondedores del Protocolo de estado de certificados en línea (OCSP) implementados pero no probados en condiciones reales, y plantillas de certificados que ya no se ajustan a los requisitos de seguridad actuales.

El resultado es un informe de análisis de riesgos y deficiencias priorizado. Los hallazgos se clasifican por gravedad y se vinculan a acciones correctivas específicas, lo que proporciona a su equipo una hoja de ruta clara en lugar de una lista de verificación genérica.

Servicios de asesoramiento de PQC

Encryption Consulting ayuda a las organizaciones a lo largo de este proceso con servicios integrales de migración de PQC que abarcan el descubrimiento, la evaluación, la planificación, la validación y la implementación.

Nuestros servicios de asesoramiento en criptografía cuántica ayudan a las organizaciones a identificar certificados, claves, algoritmos, protocolos y dependencias criptográficas en entornos de nube, aplicaciones, infraestructura, módulos de seguridad de hardware (HSM), repositorios de código fuente, contenedores, API y canalizaciones de integración y entrega continua (CI/CD). Gracias a esta visibilidad, evaluamos la exposición a criptografía vulnerable a ataques cuánticos, identificamos áreas de remediación de alta prioridad y desarrollamos planes de migración basados ​​en riesgos, alineados con los estándares del NIST, los requisitos regulatorios y los objetivos comerciales.

Más allá de la planificación, Encryption Consulting ofrece asistencia en la evaluación de la preparación de proveedores, la validación de pruebas de concepto, las pruebas de interoperabilidad, las implementaciones de criptografía híbrida, el diseño de arquitecturas PKI criptográficas ágiles y los programas de implementación a escala empresarial. Este enfoque estructurado permite a las organizaciones pasar de una visibilidad criptográfica fragmentada a un programa de migración PQC gobernado, medible y sostenible.

CBOM seguro

Una transición exitosa a la era post-cuántica comienza con la visibilidad. CBOM Secure de Encryption Consulting proporciona descubrimiento e inventario continuos de activos criptográficos en la infraestructura empresarial, entornos en la nube, aplicaciones y servicios criptográficos.

A diferencia de un inventario puntual, CBOM Secure genera y consume continuamente listas de materiales criptográficos (CBOM) mientras realiza un seguimiento de los certificados, las claves, los algoritmos y las dependencias criptográficas en todo el entorno. Proporciona visibilidad sobre qué está implementado, dónde se ejecuta y cómo evolucionan esas dependencias con el tiempo.

La plataforma respalda la gobernanza basada en políticas mediante la validación de configuraciones criptográficas conforme a los estándares de la organización, la identificación de desviaciones y la detección de riesgos de seguridad, operativos y de cumplimiento. Para las organizaciones que se preparan para la migración a PQC, CBOM Secure ayuda a identificar los sistemas que dependen de algoritmos vulnerables a la computación cuántica, a priorizar las medidas correctivas y a establecer la gobernanza criptográfica continua necesaria para lograr la criptoagilidad a largo plazo.

Tanto si su organización inicia su transición a la era post-cuántica como si amplía un programa de modernización criptográfica ya existente, Encryption Consulting combina su experiencia en consultoría con soluciones a medida para ayudarle a descubrir activos criptográficos, evaluar la preparación para la migración y construir una base escalable y ágil en criptografía para el futuro. Obtenga más información sobre nuestros servicios de consultoría de PKI, PQC y CBOM Secure en encryptionconsulting.com o póngase en contacto con nuestro equipo para hablar sobre su estrategia de migración post-cuántica.

Conclusión

PQC representa un cambio fundamental en los supuestos criptográficos, y RSA sigue siendo seguro únicamente dentro de los límites de la computación clásica. A medida que las organizaciones se preparan para esta transición, el desafío no se limita a reemplazar algoritmos, sino que también implica extender la visibilidad y el control a través de ecosistemas criptográficos complejos y distribuidos.

RSA seguirá existiendo durante algún tiempo en funciones de compatibilidad y para sistemas heredados, pero la estrategia criptográfica a largo plazo se define cada vez más por los requisitos de PQC, las alternativas ECC y las arquitecturas criptográficas ágiles. El éxito en esta transición depende de un descubrimiento preciso, un inventario estructurado, un mapeo de dependencias y una ejecución de migración controlada.

Preguntas frecuentes

¿RSA es inseguro hoy en día? No. RSA-2048 sigue siendo seguro frente a todos los ataques clásicos conocidos cuando se implementa correctamente con el relleno y la generación de claves adecuados. Su vulnerabilidad reside en las futuras computadoras cuánticas que ejecuten el algoritmo de Shor, no en ningún ataque clásico o cuántico actualmente viable.

¿Cuándo deberíamos dejar de usar RSA-2048 en nuevas implementaciones? Ahora, donde ya existen alternativas compatibles. ECC (P-256 o P-384) es un reemplazo clásico directo con claves más pequeñas y mejor rendimiento, y puede ejecutarse en modo híbrido con ML-KEM o ML-DSA donde exista compatibilidad con PQC. El cronograma preliminar de NIST IR 8547 propone la descontinuación de RSA-2048 después de 2030, lo que debería funcionar como una fecha límite estricta, no como un punto de partida.

¿Qué reemplaza a RSA para el intercambio de claves y las firmas digitales? Para el intercambio de claves, actualmente se utiliza ECDHE, y ML-KEM (FIPS 203) a medida que madure la compatibilidad con PQC. Para las firmas digitales, actualmente se utilizan ECDSA o EdDSA, y ML-DSA (FIPS 204) para la resistencia cuántica. Muchas empresas utilizan estos sistemas en modo híbrido durante la transición para protegerse simultáneamente contra el riesgo clásico y el cuántico.

Si ningún ordenador cuántico puede descifrar RSA todavía, ¿por qué migrar ahora? Debido al riesgo de "recopilación inmediata, descifrado posterior": el tráfico cifrado capturado hoy mediante el intercambio de claves RSA puede descifrarse retroactivamente una vez que exista un ordenador cuántico capaz de ejecutar el algoritmo de Shor. Cualquier dato que deba permanecer confidencial durante años, como historiales médicos, secretos comerciales o material clasificado, queda expuesto hoy mismo, aunque aún no exista la capacidad de descifrado.

¿Aumentar el tamaño de la clave RSA a 4096 u 8192 bits resuelve el problema cuántico? No. El algoritmo de Shor factoriza enteros en tiempo polinomial independientemente del tamaño del módulo, por lo que las claves RSA más grandes solo incrementan el coste de un ataque clásico, no el de un ataque cuántico. La única mitigación contra un adversario cuántico consiste en reemplazar por completo la familia de algoritmos, utilizando ECC como paso intermedio y PQC (ML-KEM, ML-DSA) como destino resistente a la computación cuántica.

Referencias

• NIST SP 800-57 Parte 1 Revisión 5, Recomendación para la gestión de claves: https://nvlpubs.nist.gov/nistpubs/specialpublications/nist.sp.800-57pt1r5.pdf
• NIST IR 8547 (Borrador público inicial, noviembre de 2024), Transición a los estándares de criptografía post-cuántica: https://csrc.nist.gov/pubs/ir/8547/ipd
• RFC 8446, Protocolo de seguridad de la capa de transporte (TLS) versión 1.3: https://www.rfc-editor.org/rfc/rfc8446
• Gidney y Ekera (2019), Cómo factorizar enteros RSA de 2048 bits en 8 horas usando 20 millones de cúbits ruidosos: https://arxiv.org/abs/1905.09749
• Guía de la NSA Commercial National Security Algorithm Suite 2.0 (CNSA 2.0): https://www.nsa.gov/Resources/Commercial-National-Security-Algorithm-Suite-2-0/