Implementación de la criptografía resistente al quantum: Pasos clave

Los rápidos avances en computación cuántica están provocando uno de los cambios tecnológicos más fundamentales en criptografía y seguridad de datos.

As the era of PQC, or post-quantum cryptography, draws nearer, the need for quantum-resistant cryptography across enterprises will skyrocket. These changes are already influencing roadmaps and compliance timelines. This is not surprising, as the complexity of implementing quantum-resistant cryptography demands a phased, risk-aligned approach. And it’s one that you need to begin today.

Dos pilares de este enfoque incluyen la adaptación de la infraestructura existente para la criptoagilidad y la introducción de certificados híbridos que se posicionan según la criticidad de los datos. Prepararse para los cambios que se avecinan ayudará a garantizar una transición fluida de los algoritmos criptográficos heredados a la criptografía post-cuántica del futuro.

Realización de un inventario basado en los riesgos

El primer paso para implantar la criptografía resistente a la cuántica es realizar un inventario completo de la PKI de la organización. Esto incluye certificados digitales, claves de seguridad, protocolos, bibliotecas de datos y todos los dispositivos vinculados a la cadena de confianza de la PKI. Una vez catalogado, cada activo debe clasificarse en función de tres factores clave:

• 
  

  Sensibilidad de los datos que protege

  
  
• 
  

  Duración prevista de los datos o cuánto tiempo deben permanecer confidenciales

  
  
• 
  

  Riesgo e impacto de la posible exposición de datos

  
  

Entre las principales prioridades para la protección contra la resistencia cuántica suelen figurar:

• 
  

  Claves de autoridad de certificación (CA) raíz y emisora

  
  
• 
  

  Sistemas de autenticación de clientes

  
  
• 
  

  Plataformas de firma de firmware IoT

  
  
• 
  

  Sistemas de firma de documentos a largo plazo

  
  

Estos activos son críticos en el ecosistema PKI y conllevan graves riesgos operativos si se ven comprometidos.

Comience por identificar los algoritmos criptográficos en uso, dando prioridad a los activos de alto riesgo. Preste especial atención a los plazos de caducidad de los certificados (algunos pueden durar entre 5 y 10 años, lo que podría prolongarse más allá del plazo de implantación del PQC del NIST). Es esencial supervisar la evolución de las normas y adaptar los ciclos de vida de los certificados en consecuencia.

Los sistemas que interactúan con socios externos requieren una atención especial. Estos sistemas de borde necesitan actualizaciones coordinadas para la compatibilidad de la criptografía híbrida y pruebas continuas para garantizar la funcionalidad continua durante la transición.

Adecuación de la protección al nivel de riesgo

El número de activos que maneja cualquier organización es enorme, por lo que se hace necesaria una clasificación de la aplicación y un enfoque escalonado de la protección. Las clasificaciones realizadas en la fase de inventario guiarán la aplicación de protecciones criptográficas proporcionalmente a la sensibilidad de cada activo y al riesgo de exposición.

Las tres categorías siguientes dan una idea general de qué protecciones priorizar para sus datos, teniendo en cuenta que los activos de cada organización son únicos y las necesidades pueden variar:

1. Protection required now: Systems with long-term confidentiality requirements (such as legal, financial, healthcare, and strategic IP), since these are at the greatest risk of Harvest Now Decrypt Later attacks.
2. Transition via hybrid or PQC certificates: Medium-risk systems that still require classical certificate-only validation for compatibility.
3. Agile classical cryptography that can switch algorithms quickly: low-risk data and short-lived transactions.

En cada fase de implantación para cada nivel de riesgo, siga documentando su postura de seguridad para cumplir los requisitos normativos.

Adoptar un enfoque híbrido de la criptografía resistente a los cuánticos 

Un enfoque híbrido, que implique certificados híbridos que puedan soportar tanto algoritmos heredados como PQC, es un paso práctico y pragmático hacia la criptografía post-cuántica. Sin embargo, las organizaciones no deben confiar completamente en esta estrategia, ya que la depreciación de los algoritmos que pronto serán heredados hará necesaria la eliminación progresiva de la PKI vulnerable.

A hybrid certificate is a certificate that contains two algorithm signatures: one classical and one post-quantum, ensuring backwards compatibility with existing clients while providing quantum-resistant encryption where it is already supported. This dual-stack structure allows for a gradual transition that can be implemented in phases. You can start issuing hybrid certificates in internal systems where you control both the client and the server, such as the mutual TLS (mTLS) within your network. Before updating certificates and replacing them with hybrid ones in other systems, make sure to know what specific types of hybrid certifications these systems support.

Another important thing to note is that hybrid certificates tend to increase in size compared to legacy certificates due to the post-quantum algorithm byte count, which can be significant in some post-quantum signatures such as ML-DSA. These can potentially break in legacy systems, so a phased approach is one of the safest ways to proceed.

La mayoría de las PKI bien diseñadas pueden actualizarse gradualmente, sin necesidad de sustituirlo todo a la vez. Para facilitar el proceso, considere las CA compatibles con perfiles criptográficos que incluyan algoritmos híbridos y PQC, e integre motores de políticas que puedan asignar algoritmos, ya sean clásicos, híbridos o PQC, en función del caso de uso, el entorno o el nivel del sistema.

At this stage, certificate automation is not just a nice-to-have for an enterprise but a necessary reality that ensures the correct renewal, rotation, and revocation of certificates at scale. It becomes even more vital given the significant increase in complexity that hybrid deployments introduce. Automation will also help you adapt to ongoing changes and respond to unknowns. For this reason, avoid using hard-coded cryptographic tokens or keys, which will make downstream changes challenging and significantly more costly.

Prioridad a la interoperabilidad y la conformidad

Interoperability is one of the top ongoing challenges of PKI. Here are tips to help ensure that interoperability is woven into the fabric of your PQC-ready PKI system:

• Evitar el uso de algoritmos y protocolos patentados a menos que no existan alternativas.
• Siga de cerca el proceso de normalización de PQC del NIST, ya que los formatos y las API siguen evolucionando y aún se desconoce cuál acabará siendo la norma del sector en 2030-2035.
• Track IETF efforts on X.509 hybrid certificate extensions and TLS 1.3 integration for PQC key exchange
• Cree una matriz de compatibilidad interna y realice pruebas multiplataforma, especialmente si presta servicio a varios ámbitos geográficos o normativos.
• Supervise los organismos reguladores pertinentes para adelantarse a los mandatos de cumplimiento; muchos están publicando marcos de preparación para el PQC y orientaciones específicas del sector para ayudar a las empresas a prepararse.

Dirigir con gobernanza, formación y comunicación clara

La adopción del PQC y la criptoagilidad exigen un cambio de política, protocolos y mentalidad en toda la empresa. Asigne la responsabilidad de la planificación de la transición al PQC a un grupo interfuncional que incluya a las partes interesadas de la arquitectura de seguridad, las operaciones de PKI, el cumplimiento y las adquisiciones, que podrán comunicar claramente la hoja de ruta hacia la criptografía resistente a la cuántica en todos los ámbitos técnicos y empresariales. La preparación del PQC es un esfuerzo de continuidad de la confianza, y enmarcarlo como tal ayudará a asegurar la financiación y la aceptación por parte de la dirección ejecutiva.

Apoye también al personal en esta transición. Forme a los desarrolladores e ingenieros de seguridad en formatos híbridos, compensaciones de rendimiento de algoritmos y errores comunes de compatibilidad. A medida que se pone en marcha el despliegue de PQC, actualice sus políticas criptográficas para reflejar las nuevas reglas de emisión de híbridos, los plazos de depreciación de algoritmos y los procesos de gestión de excepciones.

Conclusión

El camino hacia la implantación de la criptografía resistente a la cuántica puede ser largo y complejo, pero la preparación, la mentalidad adecuada y la elección de los socios adecuados contribuirán en gran medida a garantizar una transición sin problemas a la PQC.

Keyfactor is a trusted partner ready to lead your organization through the PQC transition. Together, we can protect your infrastructure from the adversaries of tomorrow while maintaining continuity, compliance, and trust today. Begin your crypto-agility journey today – our team is here to help you.