Los estándares poscuánticos de NIST, a nivel de concepto

El 13 de agosto de 2024 NIST publicó sus tres primeros estándares poscuánticos. FIPS 203 define ML-KEM, un mecanismo de encapsulación de claves que sirve para que dos partes acuerden un secreto compartido; luego ese secreto se usa con un algoritmo simétrico. FIPS 204 define ML-DSA, un algoritmo de firma. Los dos se apoyan en problemas de retículos. FIPS 205 define SLH-DSA, otro algoritmo de firma que se apoya solo en funciones hash: sus firmas son más grandes y lentas, a cambio de descansar en una hipótesis más conservadora.

La consecuencia práctica para el arquitecto: lo que se sustituye son las dos funciones asimétricas, el acuerdo de claves y la firma. El cifrado simétrico de los datos y los resúmenes no cambian de algoritmo por esta amenaza; según el borrador de transición de NIST, basta con que sean de tamaño suficiente.

Cada estándar viene de una propuesta del concurso que organizó NIST: ML-KEM de CRYSTALS-Kyber, ML-DSA de CRYSTALS-Dilithium y SLH-DSA de SPHINCS+. Pero el estándar final no es idéntico a la propuesta. FIPS 203, por ejemplo, enumera sus diferencias con la versión de Kyber de la tercera ronda, y dos implementaciones de versiones distintas no se entienden entre sí.

Por eso el arquitecto no acepta «tenemos soporte poscuántico» como respuesta. Pide que el proveedor nombre el estándar publicado y el conjunto de parámetros (por ejemplo, ML-KEM-768 conforme a FIPS 203) y la versión del producto que lo trae. Una declaración que nombra la propuesta en lugar del estándar es una señal de que el producto se quedó en una versión previa.

Abre el laboratorio y lee ficha-nist.txt y declaraciones-de-proveedores.txt.

En noviembre de 2024 NIST publicó el borrador público inicial de NIST IR 8547, que propone cómo dejar los algoritmos vulnerables: las firmas y los acuerdos de claves de 112 bits de seguridad (como RSA 2048) pasarían a obsoletos después de 2030, y todos los de esas familias, de cualquier tamaño, quedarían prohibidos después de 2035. Es un borrador: sirve para planear, y su estado vigente se comprueba antes de citarlo como norma.

Para el arquitecto, la pregunta inmediata es qué emite hoy la empresa que seguirá vivo después de esas fechas. Las raíces de una autoridad de certificación y los certificados de vida larga son los primeros candidatos: se emiten una vez y nadie los vuelve a mirar hasta que vencen.

Lee certificados.txt con el calendario del borrador en la mano.

En marzo de 2025 NIST seleccionó un segundo mecanismo de encapsulación, HQC, que se apoya en códigos correctores de errores y no en retículos. No sustituye a ML-KEM: es un respaldo. Si algún día se descubriera una debilidad en los problemas de retículos, existiría una alternativa estandarizada construida sobre una base distinta. Su estándar está en preparación.

Para el diseño, la lección es la misma de toda la sala: la arquitectura no debe quedar atada a un solo algoritmo, porque el catálogo seguirá cambiando.