La seguridad es un pacto. Pero ¿quién escribe las cláusulas?
La criptografía moderna descansa sobre un pacto tácito: los usuarios confían en que las instituciones técnicas —NIST, la comunidad de investigación, los organismos de estandarización— han elegido correctamente los algoritmos que protegerán sus secretos. Pero ¿qué ocurre cuando el pacto no es entre iguales?
Hobbes describió el Leviatán como el soberano al que los individuos ceden su poder a cambio de seguridad colectiva. En criptografía, el Leviatán tiene nombre: NIST. La agencia que, tras ocho años de proceso público, seleccionó un único esquema de encapsulamiento de claves basado en retículos —Kyber— como estándar FIPS 203.
No es la primera vez que NIST decide un estándar criptográfico. Lo hizo con DES en 1977, con AES en 2001, con SHA-1, SHA-2 y SHA-3. Pero hay una diferencia fundamental: DES, AES y SHA son primitivas simétricas o hash —construcciones cuyas conjeturas de dureza no están interrelacionadas—. Kyber representa la apuesta de que una familia concreta de problemas —LWE sobre retículos— es la base correcta para la criptografía asimétrica post-cuántica global.
Ninguna otra familia matemática tiene un estándar FIPS para KEM. Todo el ecosistema —TLS, Signal, iMessage, AWS KMS, Cloudflare— está construyendo su futuro post-cuántico sobre una sola conjetura.
Lo que quedó en el camino
El proceso de NIST recibió 82 propuestas iniciales. En la ronda final, Kyber fue seleccionado como el único KEM. Pero había alternativas cualitativamente diferentes, con fundamentos matemáticos independientes:
| Esquema | Fundamento | Clave pública | Años de análisis | Estado |
|---|---|---|---|---|
| Kyber-768 | Module-LWE (retículos) | 1184 B | ~20 | FIPS 203 (estándar) |
| Classic McEliece | Códigos de Goppa | ~1 MB | 48 | Finalista, no estandarizado |
| NTRU | Retículos (NTRU) | ~1 KB | 30 | Finalista, no estandarizado |
| Saber | Module-LWR (retículos) | ~1 KB | ~10 | Fusionado con Kyber |
| HQC | Códigos (HCQC) | ~2 KB | ~10 | Seleccionado ronda 4 |
Classic McEliece es el caso más revelador. Publicado en 1978 por Robert McEliece —un año después de RSA— ha resistido 48 años de criptoanálisis sin que se haya encontrado un ataque eficiente, ni siquiera cuántico. Su seguridad no descansa en una conjetura novel, sino en un problema —la decodificación de códigos lineales— que se sabe NP-completo desde los años 70. Sus credenciales de seguridad son, objetivamente, las más sólidas de cualquier candidato.
Pero sus claves de ~1 MB lo hacen impracticable para la mayoría de las aplicaciones:
Classic McEliece
Clave pública: 1,049,600 bytes (≈ 1 MB)
Tiempo de transmisión en 5G: ~8 ms
Almacenamiento en firmware: inviable
Uso en TLS handshake: inviable (el handshake entero cabe en ~5 KB)
Kyber-768
Clave pública: 1,184 bytes (≈ 1 KB)
Tiempo de transmisión en 5G: ~0.01 ms
Almacenamiento en firmware: trivial
Uso en TLS handshake: natural
La criptografía no elige lo más seguro. Elige lo suficientemente seguro que funciona.
NTRU, publicado en 1996, es anterior a Kyber por más de dos décadas. También usa retículos, pero con una estructura diferente —el criptosistema NTRU original, no LWE—. Fue finalista pero no seleccionado; sus técnicas fueron parcialmente absorbidas por la evolución de los parámetros de Kyber (como el cambio del módulo q a 3329, inspirado en el diseño de NTRU).
HQC, seleccionado en la ronda 4 del proceso NIST (2024) como esquema de respaldo, está basado en códigos, no en retículos. Si LWE se rompe, HQC sigue en pie. Pero HQC aún no es un estándar FIPS —está en proceso— y su adopción es marginal comparada con Kyber.
El monocultivo
El riesgo de centralización no es teórico. Si dentro de 20 años se descubre un ataque contra LWE —cuántico o clásico— la dependencia global de Kyber significa que todo cae simultáneamente:
Ataque contra Module-LWE / LWE
│
├─► ML-KEM-512 → roto
├─► ML-KEM-768 → roto (con más recursos)
├─► ML-KEM-1024 → roto (con muchos recursos)
├─► ML-DSA → roto (misma familia, mismo fundamento)
│
└─► Todo esquema basado en retículos LWE → roto
(Kyber, Dilithium, NewHope, etc.)
No es un escenario probable. Pero es posible. Y la historia de la criptografía —MD5 (1991→2004), SHA-1 (1995→2017), RC4 (1987→2015), Dual_EC_DRBG (2006→2013)— está llena de esquemas que fueron seguros hasta que dejaron de serlo.
La pregunta del monocultivo:
Si plantamos un solo cultivo (retículos LWE) en todo el mundo
y llega una plaga (ataque contra LWE), ¿qué comemos?
La diversificación tiene un coste: complejidad, interoperabilidad, rendimiento. No es evidente que la industria deba implementar dos KEMs simultáneamente. Pero es evidente que debería poder hacerlo si es necesario. Y hoy, la infraestructura post-cuántica global está construida sobre un único fundamento matemático.
Confianza e instituciones
En 2013, la revelación de Snowden mostró que la NSA había influido en la selección del generador pseudoaleatorio Dual_EC_DRBG como estándar NIST, con la sospecha fundada de que contenía una puerta trasera. El escándalo sacudió la confianza en el proceso de estandarización. NIST respondió con transparencia: el proceso PQC fue público, abierto, documentado, con reuniones abiertas, comentarios públicos y revisiones por pares internacionales.
Pero la transparencia no elimina la centralización. El Leviatán puede ser benevolente, informado, técnicamente impecable —sigue siendo el Leviatán—. La decisión de apostar por retículos fue razonable, quizás correcta. Pero concentra el riesgo de la seguridad post-cuántica global en una única familia matemática.
Confianza en el proceso NIST PQC:
A favor: En contra:
• 8 años de análisis público • Monocultivo de retículos
• 82 propuestas evaluadas • Classic McEliece descartado por
• Proceso abierto y tamaño, no por seguridad
documentado • Sin alternativa con el mismo
• Participación internacional nivel de despliegue
• HQC como respaldo (ronda 4) • La confianza institucional es
• Migración escalonada hasta un requisito, no un lujo
2035
La simiente
En criptografía, la seed —la simiente— es el valor aleatorio del que se deriva todo lo demás: claves, nonces, parámetros. Una simiente comprometida invalida cualquier seguridad derivada.
La analogía con el proceso de estandarización es tentadora: la "simiente" de la seguridad post-cuántica es la decisión de confiar en LWE. Si esa decisión es correcta, todo lo demás funciona. Si es incorrecta, nada importa.
Pero la analogía tiene un límite: en criptografía podemos generar simientes múltiples. En estandarización, la diversidad tiene costes que el mercado no siempre está dispuesto a pagar.
Hobbes escribió que el estado de naturaleza es la guerra de todos contra todos. La criptografía post-cuántica es, en cierto sentido, un intento de escapar de ese estado —de construir un orden donde los secretos puedan circular sin temor a la interceptación futura—. Pero el orden requiere un soberano, y el soberano requiere confianza.
La pregunta que esta serie ha planteado desde el principio —"¿cuándo podemos decir que algo es seguro?"— no tiene respuesta definitiva. Pero tiene una consecuencia práctica: la confianza en Kyber no es una certeza matemática. Es una decisión colectiva, informada por la evidencia disponible y por la credibilidad de las instituciones que la respaldan.
No es una fe ciega. Es un pacto.
En VI: El saber y el hacer, cerraremos el ciclo con lo que enseña implementar Kyber en Dart: la distancia entre el saber teórico y el hacer práctico, y por qué la criptografía exige tanto del paper como del código.
Referencias cruzadas con la investigación:
- Estandarización — El proceso NIST, los criterios de selección, las controversias
- Fundamentos de LWE — La conjetura de dureza frente a las alternativas
- Ataques — El riesgo de un ataque futuro contra LWE
- Conclusiones — Síntesis final de la serie: indicadores, no pruebas