La mayor transición de algoritmos en medio siglo: el G7 declara una alerta criptográfica
Cualquier archivo hoy en día corre el riesgo de hacerse público muy pronto.
Los secretos cifrados hoy en día pueden muy bien sobrevivir a los algoritmos que los protegen. El grupo de trabajo G7 sobre ciberseguridad, junto con la Agencia de Estados Unidos para la Seguridad de Infraestructura y Ciberseguridad instó a los países y a las organizaciones a preparar desde ahora la transición a la criptografía postcuántica, sin esperar la aparición de ordenadores cuánticos lo bastante potentes.
El riesgo principal está relacionado con el esquema «recopilar ahora, descifrar después». Los atacantes pueden interceptar y almacenar información cifrada, y luego descifrarla cuando las capacidades de cómputo permitan superar las protecciones actuales. Esta amenaza es especialmente peligrosa para documentos gubernamentales, datos personales y secretos comerciales que deben permanecer cerrados durante muchos años.
Todavía no existen ordenadores cuánticos con importancia criptográfica capaces de resolver estas tareas en la práctica, y se desconoce cuándo aparecerán. Sin embargo, tales máquinas podrían amenazar la criptografía de clave pública ampliamente utilizada. No solo se verían afectados los datos confidenciales, sino también las firmas digitales, los mecanismos de autenticación y los sistemas que confían en conexiones protegidas.
La transición a la criptografía postcuántica llevará años, por lo que el G7 propone actuar por etapas y teniendo en cuenta los riesgos. En primer lugar, las organizaciones deben localizar todos los sistemas en los que se emplean algoritmos vulnerables, identificar dependencias de proveedores y catalogar los datos con largo periodo de confidencialidad. Luego, los servicios más críticos deben situarse al inicio del plan de migración.
Las recomendaciones conjuntas destacan cinco áreas de trabajo. Se propone que los países informen sobre los riesgos cuánticos, elaboren estrategias nacionales de transición, apoyen la investigación y las pruebas, refuercen la colaboración entre el Estado y las empresas e incluyan requisitos postcuánticos en las normas de ciberseguridad y en las compras públicas.
Los autores del documento aconsejan no cambiar toda la infraestructura a la vez, sino introducir tecnologías resistentes a la cuántica durante las actualizaciones programadas de hardware y software. Este enfoque reducirá los costes y el riesgo de interrupciones. Además, las organizaciones deben elaborar un registro de componentes criptográficos, solicitar planes de transición a los proveedores y cumplir los plazos establecidos por las agencias nacionales de ciberseguridad.