Prepárese para el año de las soluciones PKI Quantum-Ready

La era de la computación cuántica práctica está posiblemente a años vista, pero para las organizaciones que necesitan proteger datos sensibles, por fin tenemos algunas normas que pueden aplicarse al problema de abordar la amenaza que los ordenadores cuánticos prácticos representan para nuestro actual conjunto de algoritmos para hacer criptografía de clave pública.  

The National Institute of Standards and Technology (NIST) has officially finalized the first three post-quantum cryptographic algorithms coming from NIST’s Post-Quantum Cryptography (PQC) project. This includes the ML-KEM algorithm which provides a Key Encapsulation Mechanism (KEM) for sharing symmetric keys for general encryption, as well as the ML-DSA and SLH-DSA algorithms, both for use with digital signatures. A further signature algorithm FN-DSA is proposed to be issued as a draft standard at the end of the year. Previously ML-KEM, ML-DSA, SLH-DSA, FN-DSA were known as CRYSTALS-Kyber, CRYSTALS-Dilithium, SPHINCS+, and Falcon.

La finalización de estos algoritmos significa que las organizaciones ya pueden empezar a implantar algoritmos seguros PQC en su infraestructura de clave pública (PKI) para ayudar a garantizar que los sistemas que dependen de identidades digitales seguras y del intercambio de datos cifrados estén a salvo de ser rotos por el cifrado cuando finalmente llegue el "día Q".

La publicación es un momento decisivo para la ciberseguridad en línea, ya que crea efectivamente una "línea de salida" para que las organizaciones se preparen para el PQC. Pero lo cierto es que las organizaciones que apenas están empezando a pensar en migrar a las nuevas normas están empezando tarde la carrera para asegurar la infraestructura que sustenta sus activos criptográficos.  

Most companies, as evidenced by our latest research on the state of PKI and digital trust, expect the PQC transition to take four years to complete. Those with more certificates believe that it will take an average of 6 years to transition. Underestimating the time and effort required for PQC readiness will likely lead to delays, and setbacks, something which we can all ill afford as some Government agencies have already set target dates of 2030 for the transition to PQC algorithms to be complete and it is likely now that other industry sectors will follow suit.

La complejidad se debe a que se requiere una cantidad significativa de planificación y pruebas para adoptar los nuevos algoritmos sin problemas. Los requisitos de recursos para soportar estos algoritmos, tanto en términos de espacio como de CPU, son diferentes a lo que hemos visto antes, y el algoritmo KEM proporciona un mecanismo que también es diferente a lo que estamos acostumbrados actualmente para coordinar el uso de claves secretas. Además, muchas organizaciones utilizan bibliotecas y aplicaciones de terceros. Por tanto, la migración de PQC no se limita a lo que se hace a nivel local en una organización, sino que también hay que tener en cuenta toda la cadena de suministro de un producto determinado. A partir de ahora, es esencial que todas las evaluaciones de seguridad y auditorías de proveedores tengan en cuenta el PQC.  

Finally, it is worth considering the security aspects. While Quantum computing does not pose a direct immediate threat, highly sensitive data now may well be at risk. As top White House Cybersecurity Advisor Anne Neuberger pointed out during a recent address in London, highly sensitive data stolen today could still be a risk if it’s decrypted eight or ten years from now. With quantum computing on the horizon, Harvest Now, Decrypt Later (HNDL) is an emerging type of attack that organizations should be prepared for.  

Qué deben hacer las organizaciones para prepararse

Algunas medidas que las organizaciones pueden tomar ahora para prepararse para la migración a PQC son: 

• Inventariar los sistemas e identificar los más sensibles y expuestos. 
• Examinar sus ecosistemas de aplicaciones como parte de la planificación de una eventual migración. 

• Creación de entornos de laboratorio para probar la infraestructura de clave pública (PKI) de PQC y preparar la validación de firmas software para nuevos algoritmos.
• Asegúrese de que todos los proyectos actuales o nuevos tienen en cuenta la migración a PQC.

Hacer la transición implicará una curva de aprendizaje considerable, por lo que las organizaciones que se hayan preparado antes de la publicación de los nuevos algoritmos del NIST estarán "en su punto" en la línea de salida y listas para adoptarlos cuando llegue el momento. Es importante que las organizaciones inviertan ahora en herramientas, formación y adquisición de experiencia, si no lo están haciendo ya.

On the tools front, at least help is here now, the marketplace has already seen many new quantum-ready PKI and signing solutions go into production this year. For example, the new capabilities in Keyfactor EJBCA Enterprise and Keyfactor SignServer Enterprise can allow organizations to issue both quantum-ready PKI certificates and existing PKI certificates in the same environment. This allows users to test how well systems work with the new standards and assess what may need to change going forward. When ready, organizations could use EJBCA to set up an ML-DSA root certificate authority (CA) and a CA to issue the first quantum-ready code, then sign it with ML-DSA in SignServer. As organizations prepare for migration to the new algorithms, these hybrid certificates are a great way to enable PQC because they offer both quantum-ready capabilities and backward compatibility with current setups. 

Keyfactor, que se ha mantenido al corriente del proceso de aprobación del NIST, dispone de soluciones PKI y de firma compatibles con las nuevas normas que estarán listas en cuanto se publiquen formalmente. Con FIPS PUUB 204 ML-DSA, un esquema de firma digital basado en CRYSTALS-Dilithium, Keyfactor ha estado trabajando tanto en el elemento software como con Hardware Security Modules (HSM) vendors to ensure that quantum-capable products are ready. 

Independientemente de la plataforma y las herramientas que elijan las empresas, una cosa está muy clara: el momento de empezar a prepararse para un mundo post-cuántico es ahora.