Escrito por Keyfactor, con la colaboración del autor invitado Steve Orrin, de Intel
La mayoría de los debates sobre la criptografía poscuántica (PQC) parten de los mismos puntos de partida: los centros de datos, las cargas de trabajo en la nube, las aplicaciones y la infraestructura de red.
Pero no es ahí donde está todo.
Hay otro ámbito en el que la criptografía se utiliza constantemente, está profundamente integrada y, a menudo, se pasa por alto en la planificación de la PQC: el ordenador personal.
Cada vez más, las organizaciones están planificando la PQC en todas esas capas, especialmente ahora que se han ultimado las primeras normas federales estadounidenses sobre PQC. El NIST ha aprobado las normas FIPS 203, 204 y 205, que establecen un nuevo conjunto de algoritmos resistentes a los ataques cuánticos para el intercambio de claves y las firmas digitales. Al mismo tiempo, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) insta a las organizaciones a iniciar procesos de detección, inventario y priorización de riesgos, mientras que el conjunto de algoritmos CNSA 2.0 (Commercial National Security Algorithm) de la Agencia de Seguridad Nacional (NSA) está definiendo las expectativas sobre cómo se llevará a cabo la transición de los sistemas de seguridad nacional —y, en última instancia, de las plataformas comerciales—.
A nivel internacional, el Grupo de Expertos Cibernéticos del G7 se ha hecho eco de las mismas prioridades, subrayando que la detección temprana, la elaboración de inventarios y la planificación de la migración son esenciales para reducir el riesgo sistémico.
En conjunto, la dirección a seguir está clara: las organizaciones deberían prepararse ya, sin esperar a que llegue el plazo de 2030.
La llamada de atención sobre el PQC es real, pero tiene solución
La computación cuántica se ha convertido en una preocupación real y persistente para la ciberseguridad, pero no es motivo para entrar en pánico. Es motivo para abordar la criptografía con mayor cuidado.
- El NIST ha establecido las normas técnicas.
- La CISA ha hecho hincapié en la detección y la preparación operativa.
- La CNSA 2.0 ha establecido las expectativas relativas a la transición de algoritmos en los sistemas de seguridad nacional.
No se trata de crear una sensación de urgencia por el simple hecho de hacerlo. Se trata de reconocer cómo evoluciona realmente la tecnología y por qué hay que empezar a actuar ya.
La criptografía está profundamente integrada en todos los sistemas. La migración lleva tiempo. Las plataformas y los ecosistemas evolucionan por ciclos. Las organizaciones que consigan visibilidad y agilidad desde el principio no solo mantendrán su flexibilidad en el futuro, sino que también reducirán los riesgos que ya existen en la actualidad.
La transición cuántica no comienza en un solo lugar, sino que debe abarcar todos los ámbitos en los que se utiliza la criptografía. Esto incluye el ordenador personal, que a menudo se pasa por alto.
Por qué es importante la criptografía en los ordenadores personales
Los ordenadores personales están repletos de sistemas criptográficos y, a escala empresarial, constituyen una superficie de ataque amplia y activa.
Como dispositivos finales, los ordenadores personales son el lugar donde los usuarios se autentican, donde se generan y almacenan las claves, y donde se inician las sesiones TLS VPN. También son el lugar donde se validan los controladores, se descifran los datos confidenciales para su uso y se almacenan en caché las credenciales.
En muchos sentidos, el punto final es donde la criptografía cobra vida: donde la confianza se pone realmente en práctica, y no solo se establece.
Ignorar la criptografía para ordenadores personales no simplifica el problema; crea puntos ciegos en cualquier estrategia más amplia de preparación para la criptografía post-quantitativa.
La criptografía en los dispositivos finales y la perspectiva del MITRE ATT&CK
Una gestión sólida de la criptografía no solo consiste en proteger los datos en la era cuántica, sino que también influye directamente en la forma en que las organizaciones se defienden frente a las técnicas de ataque actuales.
Los estudios del sector que relacionan la criptografía con el marco MITRE ATT&CK muestran que unas prácticas criptográficas deficientes pueden facilitar o potenciar técnicas como el volcado de credenciales, el robo de claves privadas, la interceptación de TLS poco seguras y el uso indebido de la firma de código. También pueden facilitar la persistencia mediante firmware o componentes de arranque manipulados, así como el movimiento lateral a través de flujos de autenticación comprometidos. Los dispositivos finales se encuentran en la intersección de muchas de estas técnicas.
Desde una perspectiva de riesgos alineada con el modelo MITRE, mejorar la visibilidad criptográfica y la aplicación de políticas en los dispositivos finales reduce la superficie de ataque en múltiples etapas, incluyendo el acceso inicial, la persistencia, la escalada de privilegios y el movimiento lateral.
Prepararse para el PQC no consiste solo en anticiparse a las amenazas futuras; también es una oportunidad para reforzar la seguridad actual de los dispositivos finales mediante la modernización de los controles criptográficos a nivel de PC.
Cosecha ahora, descifra después
Uno de los riesgos más debatidos de la era cuántica es el conocido como «Harvest Now, Decrypt Later» (HNDL), según el cual se recopilan datos cifrados en la actualidad con la expectativa de que puedan descifrarse en el futuro, a medida que avancen las capacidades cuánticas.
Esto es especialmente relevante en el caso de los datos sensibles de larga duración en sectores como la administración pública, los servicios financieros y la sanidad. Muchas organizaciones consideran ahora el HNDL como un riesgo significativo a largo plazo, ya que los atacantes están recopilando datos activamente en la actualidad con vistas a futuros avances tecnológicos.
Los puntos finales desempeñan un papel fundamental en esta exposición. Son esenciales para el acceso a los datos confidenciales, el establecimiento de las claves de sesión y el almacenamiento y uso de las credenciales.
Abordar la PQC sin tener en cuenta la exposición de los puntos finales supone dejar sin gestionar una parte fundamental de esa superficie de riesgo.
Intel está impulsando el sector en este ámbito al convertirse en el primer fabricante de CPU en transformar los estándares criptográficos poscuánticos CNSA 2.0 en soluciones criptográficas hardware y listas para su implementación en ordenadores personales. Se trata de un proceso gradual: la criptografía y el cifrado se utilizan ampliamente en los chips, el firmware de los fabricantes de equipos originales y software del sistema operativo software los ordenadores software . Intel seguirá asumiendo el liderazgo junto con los socios del ecosistema de los ordenadores personales para impulsar estas medidas de protección.
Gestión de la criptografía en ordenadores personales a gran escala
Para muchas organizaciones, la reticencia a empezar a analizar los ordenadores en busca de software de cifrado no es una cuestión de principios, sino de orden práctico.
Las grandes empresas y los organismos públicos pueden gestionar decenas de miles de ordenadores, y en algunos entornos, muchas más. La carga operativa que supone escanear cada terminal, analizar los resultados y corregir los problemas detectados a esa escala puede resultar abrumadora. A los responsables de seguridad les preocupan a menudo el impacto en el rendimiento, las molestias para los usuarios, los falsos positivos y la carga de trabajo derivada de la propia visibilidad.
Como consecuencia, a veces se pospone el uso de la criptografía en los dispositivos finales en favor de sistemas centralizados que parecen más fáciles de gestionar. Sin embargo, operar a gran escala no tiene por qué suponer una complejidad innecesaria.
Con el enfoque adecuado, las organizaciones pueden llevar a cabo rápidamente la detección, el inventario y el análisis de los activos criptográficos en todo su parque informático, obteniendo una visibilidad útil sin generar complicaciones innecesarias. Al aprovechar las integraciones con plataformas existentes como CrowdStrike, SentinelOne, Tanium y ServiceNow, los equipos pueden poner en práctica la visibilidad criptográfica de forma controlada y automatizada.
Lo que antes parecía una tarea abrumadora se convierte en algo mucho más llevadero: un proceso gradual que va generando confianza con el tiempo.
Cómo empezar
Empieza por la visibilidad.
El primer paso consiste en elaborar un inventario claro de los activos criptográficos en todo el parque informático. Esto implica conocer dónde se utilizan los certificados, las claves y los algoritmos, e identificar dónde existe criptografía vulnerable a los ataques cuánticos. A partir de ahí, las organizaciones pueden priorizar los sistemas en función del riesgo, la sensibilidad de los datos y su vida útil, al tiempo que adaptan sus decisiones a los ciclos hardware y a los plazos de los proveedores en materia de criptografía cuántica (PQC).
No se trata de una iniciativa puntual. Es la base para gestionar los cambios criptográficos a lo largo del tiempo.
Con el enfoque adecuado, esto se puede llevar a cabo de forma controlada y por fases: ampliando la visibilidad, aplicando políticas e introduciendo cambios sin afectar a los sistemas críticos. Soluciones como Keyfactor Command Keyfactor ofrecen capacidades avanzadas de detección y análisis criptográfico, lo que ayuda a las organizaciones a conseguir esa visibilidad en todos los terminales y la infraestructura, permitiendo ponerlo en práctica a escala empresarial.
Las organizaciones que avanzan ahora no solo se están preparando para la criptografía poscuántica. Están desarrollando la capacidad de adaptar la criptografía a medida que evolucionan los requisitos tanto en la infraestructura como en las aplicaciones y los dispositivos finales.
Centrándonos en el punto final
Como parte de los esfuerzos de Intel por colaborar con soluciones software que ayuden a los clientes a verificar el cumplimiento normativo en todas las generaciones de PC de Intel, la colaboración con Keyfactor contribuyendo a preparar al sector para la era poscuántica.
La transición cuántica no comienza en un solo lugar, pero no tendrá éxito si se deja atrás al PC.
Para obtener más información sobre la preparación para la era cuántica y probar PKIaaS con PQC, echa un vistazo al Keyfactor Lab.
Para obtener más información sobre PQC en Intel, haz clic aquí.
