Esquemas híbridos durante la transición

En un acuerdo de claves híbrido se hacen dos acuerdos en la misma sesión, uno clásico (por ejemplo X25519 o ECDHE) y uno poscuántico (ML-KEM), y los dos secretos entran juntos en la función que deriva la clave de la sesión. El borrador de transición de NIST describe esta combinación: se concatenan los secretos y se derivan las claves de ambos con los métodos de derivación ya aprobados. La clave resultante sigue siendo segura mientras resista al menos uno de los dos componentes.

Eso cubre dos riesgos a la vez: el de quien graba hoy para romper el clásico mañana, y el de un fallo todavía desconocido en el algoritmo o la implementación poscuántica. El precio es mayor tamaño de los mensajes, más cómputo y más complejidad, y por eso el borrador lo trata como una medida temporal que lleva a una segunda transición, solo poscuántica.

No es híbrido un sistema que admite los dos algoritmos y usa uno u otro en cada sesión: eso es convivencia, y cada sesión es tan fuerte como el algoritmo que le tocó.

Una propuesta puede tener los dos algoritmos y, aun así, no ganar nada. Si la clave de la sesión sale de un solo secreto, el otro acuerdo es decoración: cuesta lo mismo y no protege. Peor todavía si el secreto que no se usa se escribe en un registro, porque entonces un secreto de sesión vive en un archivo que lee mucha más gente.

Abre el laboratorio y lee propuestas.txt. Para cada propuesta de acuerdo de claves, pregúntate de qué secretos sale la clave que protege los datos.

Con el modo híbrido, el primer mensaje del cliente crece más de mil bytes y suele dejar de caber en un solo paquete. A la mayoría de los equipos les da igual, pero algunos equipos intermedios (cortafuegos, sistemas de prevención de intrusiones, balanceadores viejos) suponen que ese primer mensaje llega entero y descartan o cortan lo que no encaja. El fallo no aparece en el promedio: aparece en las conexiones que cruzan ese equipo.

Por eso un piloto se lee por camino de red y no por total, comparando el modo clásico con el híbrido en cada uno. Lee piloto-portal.txt y busca qué tienen en común las conexiones que fallan.

Con las firmas también se puede convivir: una firma dual pone dos firmas, una clásica y una poscuántica, sobre el mismo documento. Sirve para que verificadores viejos y nuevos acepten el mismo documento durante la transición. El borrador de NIST describe que, en una firma dual, la verificación exige que verifiquen todas las firmas que la componen.

La regla de verificación es la que decide la seguridad. Si el verificador acepta el documento cuando verifica cualquiera de las dos, a quien quiera falsificarlo le basta con falsificar la más débil: la firma dual queda tan fuerte como su peor componente. Lee la propuesta PH-4 y el punto 4 de politica-de-transicion.txt.