Fernando Maldonado, Comienza la carrera hacia la encriptación post-cuántica: ¿Quién llegará primero?

Todavía no tenemos ordenadores cuánticos, pero ya representan una amenaza real para la seguridad de las empresas. Ahora, los CISOs se enfrentan al dilema de convencer a la dirección para que invierta en protegerse contra una amenaza futura o esperar hasta que sea inminente, cuando quizá ya sea demasiado tarde para implementar soluciones efectivas.

El panorama de amenazas actual incluye muchos actores estatales que pueden estar dispuestos y ser capaces de robar datos hoy para descifrarlos en el futuro, cuando los ordenadores cuánticos estén disponibles. Datos sensibles como información sobre la salud de una persona, secretos comerciales de las organizaciones o información clasificada de un país tienen una extensa vida útil. Si estos datos hoy cayeran en manos equivocadas, en el futuro podrían ser explotados para llevar a cabo extorsiones, fraudes o incluso comprometer la seguridad nacional.

Las infraestructuras críticas, como las centrales eléctricas y los sistemas de suministro de agua, también tienen una vida útil prolongada y sistemas costosos de actualizar. Si estos están conectados a redes vulnerables o dependen de algoritmos de cifrado susceptibles a ataques cuánticos, enfrentan un riesgo de seguridad significativo. Un ataque a estos sistemas podría interrumpir servicios esenciales, causando grandes daños económicos y sociales.

Otro escenario de riesgo son los productos duraderos con software embebido, ya que no se podrá garantizar la protección de los datos del usuario ni el propio funcionamiento del producto a futuro. Por ejemplo, ahora que los vehículos eléctricos están equipados con software y conectados, si hubiera que actualizarlos habría que reemplazar los chips integrados en sus sistemas y sustituirlos físicamente uno a uno. Esto, además de la complejidad técnica, conllevaría un elevado coste.

Para evitar todos estos riesgos, las empresas pueden comenzar a adoptar encriptación post-cuántica (PQC). Una aclaración: esta encriptación se refiere a cómo los ordenadores actuales pueden protegerse de la amenaza que representa la computación cuántica, en lugar de indicar qué tipo de encriptación tendrán los ordenadores cuánticos en el futuro. Dicho de otra forma, es una solución que podemos aplicar hoy. Ya existen varios algoritmos criptográficos resistentes a la computación cuántica. El Instituto Nacional de Estándares y Tecnología (NIST) de EE.UU. está evaluando los más prometedores. Es importante encontrar aquellos que, siendo efectivos, no comprometan el rendimiento de los servicios, ya que los usuarios esperan comunicaciones instantáneas. De hecho, después de casi una década de trabajo, se espera que el NIST publique un conjunto de estándares finales PQC este verano.

Encontrar el algoritmo más adecuado para convertirlo en el estándar es sin duda un reto, pero también lo es llevar a cabo la actualización de la criptografía actual. Este proceso no es inmediato y requiere un esfuerzo tanto técnico como económico. La transición debe gestionarse sin comprometer la seguridad ni la continuidad de las operaciones, lo que añade una capa de complejidad al ya de por sí difícil proceso de actualización. Afortunadamente, proveedores como Google, Amazon o Cloudflare ya están integrando PQC, de manera transparente para las empresas, en sus productos. En este sentido, una primera medida por parte de las organizaciones es comenzar a preguntar a sus proveedores cuáles soportan ya la nueva criptografía.

Está claro que a diferentes sectores les está llegando la amenaza cuántica a distinta velocidad, pero todos ellos en algún momento van a tener que actualizar su encriptación. Por ejemplo, el sector financiero ya está tomando medidas ante esta amenaza. A finales de abril, Europol creó el Foro de Seguridad del Sector Financiero para Amenazas Cuánticas (QSFF, por sus siglas en inglés). Esta iniciativa reúne a expertos de distintas entidades, como Banco Santander, BBVA y CaixaBank, para compartir soluciones y colaborar a escala global. El objetivo es establecer estándares, identificar amenazas y promover una transición hacia la encriptación post-cuántica. Además, otra amenaza identificada que preocupa mucho en el sector es la integridad de las firmas digitales. Si estas se pudieran corromper, el sistema financiero se desmoronaría por la pérdida de confianza que generaría.

La transición hacia PQC es una tarea apremiante que requiere la cooperación de empresas y proveedores. El Banco Santander, por ejemplo, está siendo muy activo. Actualmente, colabora con GitHub y Microsoft en el desarrollo de CodeQL, una herramienta para detectar vulnerabilidades criptográficas. Además, juntos han creado Cryptobom-Forge, destinada a evaluar y asegurar componentes criptográficos durante el desarrollo de software.

Las administraciones públicas también van a jugar un papel importante en la carrera hacia PQC. Recientemente, la Comisión Europea lanzaba un llamamiento a los Estados miembros para comenzar una transición hacia la nueva encriptación. Es importante que las administraciones den este paso porque tendrán un efecto arrastre sobre otros sectores. Además, al mismo tiempo envían la señal al mercado de que la amenaza es real.

Los CISOs ya no están solos, se está activando toda una red de proveedores, empresas e instituciones que los puede ayudar en la tarea de convencer a la dirección de la empresa para que comiencen a invertir en mitigar unas amenazas que viajan desde el futuro al presente.

Fernando Maldonado, Analista de Industria TIC