Escribir: Justin Thaler, socio de investigación en a16z crypto y profesor asociado de ciencias de la computación en la Universidad de Georgetown
Traducido por: Yangz, Techub News
Las predicciones sobre cuándo aparecerán computadoras cuánticas relacionadas con la criptografía suelen ser exageradas, lo que lleva a llamados urgentes y generalizados para cambiar inmediatamente a la criptografía post-cuántica. Sin embargo, estos llamados a menudo ignoran los costos y riesgos de una migración prematura, y pasan por alto las diferentes características de riesgo de los distintos primitives criptográficos:
La criptografía post-cuántica, aunque costosa, requiere una implementación inmediata: los ataques de “recopilación y descifrado” (HNDL) ya están en marcha, y los datos sensibles actualmente cifrados seguirán siendo valiosos incluso cuando la computadora cuántica llegue realmente (aunque aún puedan pasar décadas). Además, aunque los costos de rendimiento y los riesgos de implementación de la criptografía post-cuántica existen, para datos que deben mantenerse confidenciales a largo plazo, los ataques HNDL nos dejan sin otra opción.
Por otro lado, las firmas post-cuánticas enfrentan consideraciones diferentes. No son tan susceptibles a los ataques HNDL, pero sus costos y riesgos (mayor escala, sobrecarga de rendimiento, madurez de la implementación y posibles vulnerabilidades) requieren una actuación prudente en lugar de una migración inmediata.
Estas diferencias son cruciales. La confusión distorsiona el análisis de costo-beneficio, haciendo que los equipos pasen por alto riesgos de seguridad más evidentes, como vulnerabilidades en los sistemas.
El verdadero desafío para una migración exitosa a la criptografía post-cuántica es hacer que la urgencia se corresponda con la amenaza real. A continuación, aclararé los malentendidos comunes sobre la amenaza de la computación cuántica para la criptografía, cubriendo cifrado, firmas y pruebas de conocimiento cero, con especial énfasis en su impacto en blockchain.
¿En qué etapa estamos?
A pesar de mucha publicidad, la probabilidad de que en la década de 2020 aparezca una computadora cuántica relacionada con la criptografía (CRQC) es extremadamente baja.
Por “computadora cuántica relacionada con la criptografía” me refiero a una computadora cuántica tolerante a fallos y con corrección de errores, capaz de ejecutar suficiente escala del algoritmo de Shor para atacar criptografía de curva elíptica o RSA en un tiempo razonable (por ejemplo, en menos de un mes de cálculo continuo para romper secp256k1 o RSA-2048). Según interpretaciones razonables de hitos públicos y estimaciones de recursos, estamos muy lejos de lograr una CRQC. Algunas empresas afirman que CRQC podría aparecer antes de 2030 o incluso antes de 2035, pero los avances conocidos públicamente no respaldan esas afirmaciones.
Actualmente, ningún sistema, ya sea de trampas de iones, qubits superconductores o átomos neutros, se acerca a los decenas de miles o millones de qubits físicos necesarios para ejecutar Shor y romper RSA-2048 o secp256k1 (esto depende de las tasas de error y los esquemas de corrección). Los límites no solo son la cantidad de qubits, sino también la fidelidad de las puertas, la conectividad entre qubits y la profundidad de corrección de errores necesaria para ejecutar algoritmos cuánticos complejos. Aunque algunos sistemas ya tienen más de 1,000 qubits físicos, solo contar con esa cantidad puede ser engañoso: carecen de la conectividad y fidelidad de puertas necesarias para cálculos criptográficos. Los sistemas más avanzados están acercándose a los límites físicos donde la corrección cuántica comienza a ser efectiva, pero aún no se ha demostrado un qubit lógico con cientos o miles de puertas de corrección de errores y alta fidelidad, que sea capaz de ejecutar Shor.
Desde una base teórica, la corrección cuántica de errores es viable, pero aún hay un gran trecho hasta alcanzar la escala necesaria para análisis criptográfico. En resumen, antes de que la cantidad y fidelidad de qubits aumenten varias órdenes de magnitud, una computadora cuántica relacionada con la criptografía sigue siendo inalcanzable. La evidencia pública no respalda la expectativa de que en los próximos 5 años exista una CRQC capaz de romper RSA-2048 o secp256k1. ¿Y qué hay de que el gobierno de EE. UU. fije 2035 como fecha límite para la migración completa a la post-cuántica? Creo que esa es una línea de tiempo razonable para una transformación a gran escala, pero no una predicción de que en ese momento aparecerá una CRQC.
¿Para qué escenarios es aplicable el ataque HNDL?
El ataque “recopilación y descifrado” (HNDL) consiste en que un atacante almacena ahora datos cifrados para descifrarlos en el futuro, cuando la CRQC exista. Los actores estatales seguramente ya están archivando comunicaciones cifradas del gobierno de EE. UU. para poder descifrarlas en años venideros, cuando la CRQC sea una realidad. Por eso, la tecnología de cifrado debe cambiar de inmediato, al menos para quienes necesitan mantener la confidencialidad por más de 10-50 años.
Sin embargo, las firmas digitales (que usan todas las cadenas de bloques) son diferentes del cifrado. Si aparece una CRQC, la falsificación de firmas será posible desde ese momento, pero las firmas pasadas no “ocultan” secretos como los mensajes cifrados. Mientras sepas que una firma fue generada antes de la llegada de la CRQC, no puede ser falsificada. Esto hace que la transición a firmas post-cuánticas no sea tan urgente como en el caso del cifrado.
Actualmente, plataformas principales están tomando medidas: Chrome y Cloudflare han lanzado esquemas híbridos X25519+ML-KEM para TLS; Apple ha implementado en iMessage un esquema híbrido con su protocolo PQ3; Signal también ha adoptado esquemas similares con PQXDH y SPQR.
En cambio, la adopción de firmas post-cuánticas en infraestructura crítica se ha pospuesto hasta que la CRQC esté realmente cerca, debido a que los esquemas actuales de firmas post-cuánticas implican una caída en rendimiento (esto se discutirá más adelante).
Los zkSNARKs (cruciales para la escalabilidad y privacidad a largo plazo en blockchain) enfrentan una situación similar a las firmas: incluso los zkSNARKs que no son post-cuánticos (que usan criptografía de curva elíptica, como las firmas y esquemas actuales) tienen propiedades de conocimiento cero que son post-cuánticas. La propiedad de conocimiento cero garantiza que no se revele información sobre el testigo secreto, incluso ante ataques cuánticos, por lo que no hay secretos que recopilar ahora para descifrar en el futuro.
Por ello, los zkSNARKs no son susceptibles a ataques HNDL. Como las firmas no post-cuánticas que se generan hoy en día son seguras, cualquier prueba zkSNARK generada antes de la aparición de la CRQC (que afirma la veracidad de una declaración) también será confiable, incluso si usa criptografía de curva elíptica. Solo después de que la CRQC exista, un atacante podrá encontrar pruebas convincentes para declaraciones falsas.
¿Qué significa esto para blockchain?
La mayoría de las cadenas de bloques no son vulnerables a HNDL: las cadenas no privadas (como Bitcoin y Ethereum actuales) usan principalmente criptografía no post-cuántica para autorización de transacciones, es decir, firmas digitales, no cifrado. Reitero, estas firmas no representan un riesgo HNDL: el ataque HNDL aplica a datos cifrados. Por ejemplo, la cadena de Bitcoin es pública; la amenaza cuántica radica en la falsificación de firmas (robo de claves privadas para robar fondos), no en descifrar transacciones ya públicas. Esto elimina la urgencia de cambiar la criptografía.
Lamentablemente, incluso análisis de fuentes confiables como la Reserva Federal han afirmado erróneamente que Bitcoin es vulnerable a HNDL, exagerando la urgencia de la transición post-cuántica. La menor urgencia no significa que Bitcoin pueda esperar: enfrenta diferentes presiones, como la necesidad de cambios en protocolos que requieren una enorme coordinación social (más detalles en la sección siguiente).
La excepción actual son las cadenas de privacidad, donde muchas cifran o ocultan de otras formas destinatarios y montos. Esta confidencialidad puede ser recopilada ahora, y cuando la CRQC sea una realidad, se podrá realizar una desanonimización retrospectiva.
El riesgo varía según el diseño de la cadena: por ejemplo, en Monero, los esquemas de firmas en anillo y las imágenes de claves (que previenen doble gasto) permiten reconstruir el gráfico de gastos solo con el libro público. En otras cadenas, el daño puede ser menor, como en Zcash, según Sean Bowe, ingeniero y investigador en criptografía.
Si a los usuarios les importa que sus transacciones no sean expuestas a la CRQC, las cadenas de privacidad deberían migrar lo antes posible a primitives post-cuánticas (o esquemas híbridos). O bien, adoptar arquitecturas que eviten poner secretos susceptibles de ser descifrados en la cadena.
El problema particular de Bitcoin: gobernanza y monedas en desuso
Para Bitcoin, dos escenarios reales impulsan la urgencia de migrar a firmas post-cuánticas: ambos no dependen de la tecnología cuántica en sí.
Primero, la lentitud en la gobernanza: Bitcoin cambia lentamente. Si la comunidad no logra consenso en soluciones adecuadas, cualquier problema controvertido puede derivar en bifurcaciones dañinas.
Segundo, la migración a firmas post-cuánticas no puede ser pasiva: los propietarios deben migrar activamente sus fondos. Esto significa que las monedas en monedas en desuso y vulnerables a la CRQC no estarán protegidas. Se estima que hay millones de bitcoins en riesgo.
Pero la amenaza cuántica a Bitcoin no será un apocalipsis repentino, sino un proceso gradual y selectivo. La computación cuántica no romperá todos los cifrados simultáneamente: el algoritmo de Shor debe atacar una clave pública a la vez. Los primeros ataques serán costosos y lentos. Así, cuando una CRQC pueda romper una clave, los atacantes preferirán robar fondos de alto valor de forma selectiva.
Además, los usuarios que eviten reutilizar direcciones y no usen Taproot (que expone la clave pública en la cadena) están relativamente protegidos: sus claves permanecen ocultas en un hash hasta que gastan los fondos. Cuando finalmente transmiten la transacción, la clave pública se revela, y en ese momento hay una carrera contra el tiempo: los actores con dispositivos cuánticos querrán encontrar la clave privada antes de que la transacción sea confirmada. Los fondos más vulnerables son aquellos con claves públicas ya expuestas, como salidas P2PK, direcciones reutilizadas y fondos en Taproot.
Para los fondos en monedas en desuso, no hay soluciones simples: algunas opciones incluyen:
- Que la comunidad establezca una “fecha límite” para que los fondos no migrados sean considerados destruidos.
- Que los fondos en monedas en desuso, vulnerables a la CRQC, sean dejados en manos de quienes tengan computadoras cuánticas, aunque esto conlleva problemas legales y de seguridad, como posibles acusaciones de robo o fraude en varias jurisdicciones.
La “desactivación” se basa en la presunción de inactividad, pero no hay certeza de que esas monedas no tengan propietarios vivos con claves. La evidencia de que alguna vez fueron poseídas puede no ser suficiente para justificar una recuperación legal. Esto aumenta el riesgo de que monedas en desuso vulnerables caigan en manos maliciosas que ignoren las leyes.
Un problema particular de Bitcoin es su bajo rendimiento en transacciones: incluso si se planifica la migración, mover todos los fondos vulnerables a direcciones post-cuánticas puede tomar meses.
Por ello, es crucial que Bitcoin comience a planear su transición post-cuántica ahora, no porque la CRQC vaya a aparecer en 2030, sino porque la gobernanza, coordinación y logística para mover billones en fondos llevará años.
La amenaza cuántica a Bitcoin es real, pero el reloj no corre por la llegada de una CRQC, sino por las limitaciones internas de Bitcoin. Otras cadenas también enfrentan desafíos similares, pero Bitcoin es especialmente vulnerable: sus primeras transacciones colocan claves públicas en la cadena, exponiendo una gran proporción de fondos a ataques cuánticos. La historia larga, la concentración de valor, el bajo rendimiento y la gobernanza rígida hacen que el problema sea especialmente grave.
Es importante aclarar que las vulnerabilidades que describo afectan la seguridad criptográfica de las firmas en Bitcoin, no la seguridad económica de la cadena. La seguridad económica proviene del mecanismo de consenso de prueba de trabajo, que tiene tres razones por las que no es vulnerable a la computación cuántica:
- PoW depende de funciones hash, que solo se ven afectadas por la búsqueda de Grover, no por Shor.
- La sobrecarga práctica de implementar Grover en la minería hace que sea muy improbable que una computadora cuántica logre aceleraciones significativas en la minería de Bitcoin.
- Incluso con aceleración, los beneficios serían solo para grandes mineros, no para romper la seguridad económica del sistema.
Costos y riesgos de firmas post-cuánticas
Para entender por qué las cadenas no deben apresurarse a desplegar firmas post-cuánticas, hay que considerar los costos de rendimiento y la confianza en la seguridad post-cuántica, que aún está en desarrollo.
La mayoría de las primitivas post-cuánticas se basan en uno de cinco enfoques: hash, codificación, lattice, MQ (sistemas de ecuaciones multivariadas) y multivariadas. La seguridad de cualquier primitive post-cuántica se basa en la suposición de que las computadoras cuánticas no podrán resolver eficientemente ciertos problemas matemáticos específicos. Cuanto más estructurado sea el problema, más eficiente puede ser la construcción del esquema, pero también más vulnerable a ataques. Existe una tensión fundamental: esquemas con mayor estructura ofrecen mejor rendimiento, pero potencialmente menor seguridad.
En general, los esquemas basados en hash son los más conservadores en seguridad, ya que confiamos más en que las computadoras cuánticas no puedan atacarlos eficazmente, pero su rendimiento es peor. Por ejemplo, las firmas basadas en hash estandarizadas por NIST pueden tener tamaños de 7-8 KB, incluso con parámetros mínimos, mientras que las firmas de curvas elípticas actuales son de solo 64 bytes, una diferencia de aproximadamente 100 veces.
Los esquemas de lattice son el foco principal actual. NIST ha seleccionado dos esquemas de firma basados en lattice para estandarizar: Dilithium (ML-DSA) y Falcon. Las firmas de Dilithium varían de 2.4 KB a 4.6 KB, aproximadamente 40-70 veces más grandes que las firmas de curvas elípticas. Falcon, por su parte, tiene firmas de 666 bytes (Falcon-512) y 1.3 KB (Falcon-1024), pero requiere cálculos en punto flotante complejos, lo que lo hace un esquema de implementación desafiante. Uno de los creadores de Falcon, Thomas Pornin, lo describe como “el esquema criptográfico más complejo que he implementado”.
En comparación con firmas de curvas elípticas, los esquemas basados en lattice también presentan mayores desafíos de seguridad en la implementación: requieren protección contra canales laterales y fallos, y la implementación de Falcon en tiempo constante con cálculos en punto flotante ha sido vulnerable a ataques que lograron recuperar claves.
Estos problemas representan riesgos directos, diferentes de la amenaza de una CRQC lejana.
Es prudente ser cauteloso al adoptar primitivas post-cuánticas con mejor rendimiento, ya que muchas candidatas, como Rainbow (firma basada en MQ) y SIKE/SIDH (criptografía basada en isogenias), han sido rotas por computadoras clásicas, no cuánticas, en etapas avanzadas del proceso de estandarización. Esto demuestra que la adopción prematura puede ser contraproducente.
Como se mencionó, la infraestructura de internet está adoptando un enfoque prudente para la migración de firmas. La experiencia con la transición de MD5 y SHA-1 muestra que, aunque estas funciones hash fueron descontinuadas hace años, la implementación en infraestructura real tomó más tiempo y aún continúa en algunos entornos.
Desafíos específicos de blockchain frente a infraestructura de internet
Afortunadamente, las cadenas de bloques de código abierto, como Ethereum o Solana, pueden actualizarse más rápidamente que la infraestructura tradicional. Sin embargo, la infraestructura clásica se beneficia de rotaciones frecuentes de claves, lo que reduce la ventana de exposición, algo que las cadenas de bloques no pueden hacer, ya que sus fondos y claves pueden estar expuestos indefinidamente.
En general, las cadenas de bloques deben seguir un enfoque cauteloso en la migración de firmas, ya que tanto en firmas como en esquemas de firma agregada, migrar demasiado pronto puede ser peligroso debido a vulnerabilidades de implementación. La adopción de firmas BLS, por ejemplo, permite agregación rápida, pero no es post-cuántica. La investigación en firmas post-cuánticas basadas en SNARKs para agregación está en etapas tempranas, aunque promete reducir tamaños de prueba y mejorar rendimiento.
En cuanto a SNARKs, la comunidad actualmente prefiere estructuras basadas en hash, pero en los próximos meses y años, las soluciones basadas en lattice pueden volverse atractivas, con mejoras en tamaño y rendimiento.
Problemas mayores: seguridad de implementación
En los próximos años, las vulnerabilidades de implementación serán un riesgo mucho mayor que la amenaza cuántica en sí. Para SNARKs, las preocupaciones principales son vulnerabilidades de código, como ataques de canal lateral y fallos en la implementación. La comunidad invertirá años en identificar y corregir estos problemas, y migrar prematuramente a esquemas aún no maduros puede bloquear a las cadenas en soluciones subóptimas.
¿Qué hacer? Siete recomendaciones
Dado lo anterior, aquí algunas sugerencias para los actores involucrados:
- Implementar inmediatamente cifrado híbrido (post-cuántico + clásico), al menos en escenarios donde la confidencialidad debe mantenerse por décadas y el costo sea aceptable. Muchos navegadores, CDN y aplicaciones de mensajería ya usan esquemas híbridos.
- Usar firmas hash en grande en actualizaciones de software y en escenarios de baja frecuencia y escala, para tener una capa de protección adicional. Esto es una estrategia conservadora que ofrece un “bote salvavidas” en caso de que la CRQC aparezca antes de lo esperado. Sin esquemas post-cuánticos ya implementados, no podremos distribuir actualizaciones seguras cuando la CRQC sea una realidad.
- Las cadenas de bloques no necesitan migrar urgentemente a firmas post-cuánticas, pero sí deben comenzar a planear. La comunidad debe seguir el ejemplo de la infraestructura PKI, adoptando un enfoque prudente para desplegar firmas post-cuánticas, permitiendo que la tecnología madure y facilitando futuras migraciones.
- Para Bitcoin y otras cadenas L1, la comunidad debe definir rutas y políticas para migrar fondos en monedas en desuso que sean vulnerables. La migración pasiva no es posible; la planificación es esencial. La complejidad adicional de la gobernanza y la existencia de direcciones en riesgo hace que esta planificación sea aún más importante.
- La investigación en SNARKs post-cuánticos y firmas agregadas debe continuar, aunque puede tomar años. La migración prematura puede bloquear a las cadenas en soluciones subóptimas o requerir nuevas migraciones.
- En Ethereum, la existencia de diferentes tipos de cuentas (externally owned accounts y contratos inteligentes) implica que la migración será diferente para cada uno. En caso de emergencia, se ha propuesto un hard fork para congelar cuentas vulnerables y permitir a los usuarios demostrar que poseen la clave mediante pruebas post-cuánticas.
- Para los usuarios, las carteras inteligentes auditadas y actualizables pueden ofrecer una migración más suave, pero aún así, la planificación y la confianza en los proveedores son clave. La tendencia general es que la separación entre la identidad de la cuenta y el esquema criptográfico facilite futuras migraciones.
Desafíos específicos para cadenas de privacidad y protección de datos
Para cadenas que cifran o ocultan detalles de transacciones, la migración temprana a primitives post-cuánticas es recomendable, ya que la recopilación de datos ahora puede ser utilizada para desanonimizar en el futuro. La adopción de esquemas híbridos o cambios en la arquitectura para evitar secretos descifrables en la cadena también son estrategias válidas.
Priorizar la seguridad en la implementación en el corto plazo
En los próximos años, los fallos de implementación y ataques de canal lateral serán riesgos mayores que la amenaza cuántica en sí. La comunidad debe invertir en auditorías, pruebas de fuzzing, verificación formal y defensas en profundidad, sin dejar que la preocupación por la computación cuántica opaque los riesgos inmediatos de vulnerabilidades.
Financiar la investigación en computación cuántica
Un mensaje clave para la seguridad nacional: debemos seguir financiando la investigación en computación cuántica y formar talento en la materia. La posesión de una CRQC por parte de cualquier país sería una amenaza para otros.
Mantenerse alerta ante anuncios de avances cuánticos
Los hitos en hardware cuántico en los próximos años indicarán avances, pero también reflejan cuán lejos estamos de una CRQC real: cada anuncio representa un paso en un camino largo, con múltiples hitos que generarán titulares y entusiasmo. La comunidad debe interpretar estos anuncios con cautela, como informes de progreso, no como señales inmediatas de una CRQC.
Es posible que avances inesperados aceleren la línea de tiempo, o que obstáculos la retrasen significativamente. No puedo afirmar que en cinco años aparecerá una CRQC, pero la probabilidad es muy baja. Seguir estas recomendaciones ayuda a gestionar la incertidumbre y evitar riesgos más inmediatos, como vulnerabilidades de implementación, despliegues apresurados y migraciones prematuras.
(Nota: Debido a la extensión y la complejidad técnica, el contenido ha sido resumido y adaptado para mayor claridad.)
