Post-quantum: qué pasa con su firma digital

Qué rompe una computadora cuántica (y qué no)

El algoritmo de Shor, publicado en 1994, resuelve en tiempo polinómico los dos problemas matemáticos sobre los que está construida toda la criptografía de clave pública en uso: la factorización de enteros y el logaritmo discreto. RSA, Diffie-Hellman y las curvas elípticas (ECDSA, ECDH) caen los tres con el mismo golpe. No es un debilitamiento gradual como el que sufrió MD5 o SHA-1: es una solución completa esperando la máquina que la ejecute.

Todo certificado de firma digital emitido hoy —bajo Ley 25.506, bajo eIDAS, en cualquier jurisdicción— usa RSA o curvas elípticas. No hay excepciones, porque no había alternativa estandarizada hasta hace dos años.

La criptografía simétrica corre otra suerte. Contra AES y las funciones de hash lo mejor que hay es el algoritmo de Grover, que reduce la seguridad efectiva a la mitad de los bits: AES-256 queda en 128 bits efectivos, que siguen siendo inalcanzables. Por eso la conversación post-cuántica es, en el fondo, una conversación sobre clave pública: sobre cómo se firma y cómo se intercambian claves. Exactamente el terreno de la firma digital.

Los números de Google

En 2019, Craig Gidney y Martin Ekerå estimaron que factorizar RSA-2048 requeriría unos 20 millones de qubits físicos trabajando 8 horas. Durante años ese número fue el consuelo de la industria: si las mejores máquinas tenían cientos de qubits, había margen de sobra.

En mayo de 2025, Gidney publicó una revisión: menos de un millón de qubits ruidosos y menos de una semana. Veinte veces menos hardware que la estimación anterior, y sin un solo avance de hardware de por medio —el recorte es puro lápiz y papel: aritmética modular aproximada, códigos de superficie más densos para qubits inactivos, generación más barata de los estados que alimentan las compuertas tolerantes a fallos.

En marzo de este año el mismo equipo aplicó esas técnicas al logaritmo discreto en curvas elípticas: romper una clave de 256 bits —la de un certificado ECDSA típico, la de Bitcoin— quedaría por debajo de los 500.000 qubits, en una escala de minutos. Que las curvas caen antes que RSA se sabía en teoría; ahora está cuantificado sobre la misma arquitectura.

Contra eso, el hardware real: Willow, el chip que Google presentó a fines de 2024, tiene 105 qubits físicos. La distancia sigue siendo enorme. Pero la dirección importa más que la distancia: Willow fue el primer chip en demostrar corrección de errores «bajo el umbral» —agrandar la grilla reduce el error exponencialmente en vez de amplificarlo—, que era el requisito teórico pendiente para escalar. Y en seis años, el costo estimado del ataque bajó 20 veces solo por mejoras algorítmicas. Google anunció en marzo que su migración interna a criptografía post-cuántica tiene fecha límite: 2029 —todo el stack: Chrome, Android, Cloud, certificados, firma de software. Cuando el que construye las máquinas se pone su propio plazo, conviene anotarlo.

Y la advertencia no quedó dentro de la industria. En junio, la Casa Blanca firmó una orden ejecutiva con los primeros plazos federales vinculantes: los sistemas más sensibles del gobierno estadounidense migrados a cifrado post-cuántico antes del 31 de diciembre de 2030, y autenticación post-cuántica antes de fines de 2031. Google dice 2029; el regulador respondió con 2030. Los plazos dejaron de ser hipótesis de laboratorio: ya son fechas en decretos.

Julio de 2026: una IA rompe un candidato post-cuántico en 60 horas

La otra novedad del año no vino de un laboratorio cuántico. En julio, Anthropic publicó que su modelo Claude derivó un ataque de recuperación de clave contra HAWK-256, un esquema de firma basado en retículos que competía en la ronda adicional de firmas post-cuánticas del NIST. Dos años de revisión humana experta no habían encontrado el problema; el modelo llegó a la falla estructural en 60 horas. El equipo de HAWK verificó el resultado —el ataque reduce a la mitad el tamaño de bloque necesario en la reducción de retículos— y retiró el esquema del proceso de estandarización.

El mismo trabajo aceleró entre 200 y 800 veces un ataque conocido contra una versión reducida de AES-128 (7 rondas de 10), con una técnica nueva que el modelo bautizó Möbius Bridge. Vale ser preciso con el alcance: nada en producción se rompió. HAWK no estaba estandarizado ni desplegado en ningún producto, y el AES atacado es una variante debilitada que solo existe en papers.

La lección incómoda es otra. RSA llegó a producción con décadas de criptoanálisis humano encima; los esquemas post-cuánticos son jóvenes, y el costo de encontrarles fallas estructurales acaba de bajar órdenes de magnitud, porque ahora el criptoanálisis también se automatiza. Algunos de los candidatos que hoy parecen sólidos no van a llegar sanos a 2040.

Eso no invalida la migración post-cuántica; la vuelve más urgente y le cambia el requisito. Ya no alcanza con elegir «el algoritmo correcto»: hay que poder reemplazarlo sin drama el día que deje de serlo. Eso tiene nombre —cripto-agilidad— y se diseña en la infraestructura, no en el documento.

Firma y cifrado envejecen distinto

Para el cifrado, la amenaza tiene nombre desde hace años: harvest now, decrypt later. El tráfico que un adversario captura hoy, cifrado con intercambios de clave que Shor rompe, se descifra el día que exista la máquina. Por eso los navegadores y las VPN ya negocian intercambios híbridos con ML-KEM: lo que viaja hoy tiene que resistir al adversario de mañana.

Con la firma digital el problema es el inverso, y es más incómodo de explicar. Nadie «descifra» una firma. La amenaza es la falsificación retroactiva: cuando Shor sea práctico, cualquiera con acceso a la máquina va a poder derivar la clave privada de un certificado de 2026 a partir de su clave pública, y fabricar firmas «de 2026» perfectamente válidas. ¿Cómo distingue un juez, en 2035, su contrato auténtico de una falsificación impecable con fecha inventada?

Y los documentos viven más que sus algoritmos. Un contrato de alquiler comercial a 10 años, una escritura, un legajo laboral, una historia clínica: todos tienen vida útil probatoria que se extiende cómodamente más allá de cualquier estimación prudente para RSA.

La solución no puede ser re-firmar todo cada vez que un algoritmo envejece: el firmante puede haberse mudado, disuelto la sociedad o muerto. La solución es poder demostrar que el documento y su firma existían antes de que el algoritmo cayera.

La cadena de sellos de tiempo: cómo sobrevive un documento

El mecanismo existe y está estandarizado hace años; el mundo post-cuántico solo lo vuelve obligatorio. Un sello de tiempo cualificado es la certificación, por un tercero auditado, de que un hash existía en un momento dado. El formato PAdES-LTV embebe en el propio PDF la evidencia completa de validación: certificados, estado de revocación, sellos.

El eslabón que falta es el archivo cualificado con re-sellado: cuando un algoritmo empieza a debilitarse, el archivo aplica un sello de tiempo nuevo —con criptografía más fuerte, llegado el caso post-cuántica— sobre el paquete completo: documento, firmas y sellos anteriores. La firma RSA original queda envuelta en una cadena de custodia criptográfica donde cada eslabón demuestra que el anterior existía cuando todavía era seguro. Repetido a lo largo de décadas, eso es lo que permite presentar en 2045 un documento firmado en 2026 y que la pericia cierre.

Un PDF suelto en una carpeta compartida no hace nada de esto por sí solo. Sobre la diferencia entre guardar y archivar ya escribí en detalle; lo post-cuántico simplemente le pone fecha de vencimiento a la versión «guardar».

Qué hay de concreto en Namirial

Namirial es el QTSP detrás de la firma, los sellos de tiempo y el archivo de Identik, así que su preparación post-cuántica no es para nosotros un tema de folleto: es la infraestructura sobre la que van a envejecer los documentos de nuestros clientes.

Lo publicado hasta ahora es bastante más específico que el promedio del sector. La demostración de febrero —Shor corriendo contra una clave RSA en hardware cuántico real, primera del sector de servicios de confianza— se hizo junto a la Universidad de Nápoles Federico II y el centro de competencia MedITech, dentro de una línea de trabajo sobre arquitecturas híbridas que combinan distribución cuántica de claves (QKD) con criptografía post-cuántica.

En paralelo, su programa post-cuántico viene corriendo benchmarks de los algoritmos estandarizados por el NIST en agosto de 2024 —ML-KEM para intercambio de claves, ML-DSA y SLH-DSA para firma (FIPS 203, 204 y 205)— sobre HSMs industriales: el mismo tipo de hardware donde viven las claves de un certificador. Y el alcance declarado cubre justo los dos lados que importan: firma y verificación con algoritmos resistentes, certificados quantum-safe de validez larga, y archivo de largo plazo protegido con criptografía resistente «por décadas».

La combinación es el punto. Los algoritmos nuevos sin el archivo no protegen lo ya firmado; el archivo sin los algoritmos no tiene con qué re-sellar. Que el mismo proveedor tenga los dos lados significa que la migración —cuando los estándares europeos la exijan— pasa por dentro de la infraestructura, sin cambiar de proveedor y sin tocar los documentos archivados.

Y la van a exigir: la hoja de ruta europea pide planes nacionales de migración para fines de 2026, infraestructura crítica migrada en 2030 y el resto en 2035. La Ley 25.506, por su parte, es tecnológicamente neutra —no menciona RSA ni ningún otro algoritmo—, y Argentina todavía no tiene hoja de ruta post-cuántica propia: en la práctica, el estándar lo va a importar la infraestructura del certificador que usted elija.

Qué haría yo hoy

Sin pánico: no existe hoy una máquina capaz de romper RSA-2048, y no va a existir mañana. Pero un documento firmado hoy con vida útil probatoria de más de diez años ya está dentro de la ventana de riesgo, y las decisiones que lo protegen no se toman en 2035: se toman al firmarlo y al archivarlo.

• Identifique qué documentos de su operación tienen vida útil larga: contratos plurianuales, actas, legajos, historias clínicas.
• Póngales sello de tiempo cualificado y formato LTV desde el origen —es la base de toda la cadena posterior.
• Archívelos en un archivo cualificado con re-sellado, no en una carpeta compartida.
• Pregúntele a su proveedor de firma cuál es su plan post-cuántico. Si la respuesta es una mirada en blanco, ese también es un dato.

Cuando mis alumnos en Lyon me preguntan cuándo cae RSA, les contesto que la pregunta está mal armada. La pregunta correcta es si lo que usted firmó va a poder probarse después de que caiga. Y esa respuesta no depende de ningún qubit: depende de cómo firme y archive ahora.