Firmas demasiado grandes: la seguridad del mañana choca de pronto con las anticuadas limitaciones de TLS
Ingenieros deberán rediseñar la arquitectura de la red prácticamente desde cero.
La transición a la protección postcuántica se ha topado con un problema inesperadamente prosaico: las nuevas firmas digitales resultaron ser demasiado grandes para las limitaciones de red para las que TLS se había optimizado durante años.
El TCP moderno normalmente permite que el servidor envíe unos 14,5 KB al inicio de la conexión sin confirmación adicional del cliente. Una cadena de certificados basada en ML-DSA ocupa aproximadamente 14,7–18,6 KB, por lo que la transmisión ya no cabe en un único paso.
Según Red Sift, en redes locales rápidas el intercambio adicional añadirá decenas de milisegundos, y en móviles la latencia podría aumentar hasta cientos de milisegundos. El problema se agravará especialmente en caso de pérdida de paquetes y conexiones inestables.
La causa principal está relacionada con el tamaño de las nuevas firmas. ML-DSA-44 crea una firma de aproximadamente 2420 bytes, lo que es diez veces más que RSA y 34 veces más que ECDSA. Las variantes más robustas ML-DSA-65 y ML-DSA-87 requieren aún más espacio.
TLS no transmite un solo certificado, sino una cadena de al menos dos certificados y una firma separada para confirmar la conexión actual. Certificate Transparency añade otras dos firmas, ya que los certificados públicos deben registrarse en registros públicos.
En QUIC el margen es aún menor. Antes de confirmar la dirección, el servidor puede enviar alrededor de 4500 bytes. Los mensajes grandes deben fragmentarse, y el equipo de red a veces descarta fragmentos, lo que ralentiza la conexión o la hace menos estable.
Los certificados intermedios adicionales y un esquema híbrido con algoritmos clásicos y postcuánticos aumentarán el tamaño aún más. Los dispositivos con recursos limitados, incluidos algunos sistemas del Internet de las cosas, pueden no poder hacer frente a esos requisitos.
El problema demuestra que no es posible sustituir RSA y ECDSA por ML-DSA sin otros cambios. La transición postcuántica requerirá revisar los tamaños de los certificados, los límites de la red y el propio protocolo de establecimiento de TLS; de lo contrario la mejora de la protección criptográfica se traducirá en conexiones más lentas e inestables.