El límite del error — La distancia del secreto — IIIEl límite del error — La distancia del secreto — III

No hay algoritmo que la física no pueda, dado el tiempo suficiente, deshacer.

---

Kyber es seguro hoy. Lo será durante años, probablemente décadas. Pero no será seguro siempre. Ningún esquema criptográfico lo ha sido.

La pregunta —la incómoda, la que los ingenieros posponen y los vendedores evitan— es: ¿cuándo dejará de serlo? Y más importante: ¿existe algún refugio definitivo?

Energía y seguridad

La criptografía se mide en bits de seguridad. Un esquema de 128 bits requiere, en teoría, $2^{128}$ operaciones para romperse por fuerza bruta. Pero esa medida es computacional, no física. Ignora las restricciones del universo real.

Cada operación cuesta energía. El límite de Landauer establece que borrar un bit de información requiere al menos $k_B T \ln 2$ julios, donde $k_B$ es la constante de Boltzmann y $T$ la temperatura.

A temperatura ambiente:

$$E_{Landauer} = k_B \cdot 300\text{K} \cdot \ln 2 \approx 2.9 \times 10^{-21} \text{ J}$$

Incluso operando en el límite teórico de Landauer, romper AES-128 requeriría:

$$E_{128} = 2^{128} \cdot 2.9 \times 10^{-21} \text{ J} \approx 9.9 \times 10^{17} \text{ J}$$

Eso es ~240 megatones de TNT. Mucha energía, pero no imposible. Si la computadora funciona a la temperatura de la radiación de fondo del universo ($\sim 3\text{K}$), la energía por operación baja y el costo total se reduce.

Para Kyber-768, el ataque clásico más conocido requiere > $2^{207}$ operaciones:

$$E_{Kyber} > 2^{207} \cdot 2.9 \times 10^{-21} \text{ J} \approx 5.9 \times 10^{41} \text{ J}$$

Para ponerlo en contexto: la energía total del Sol por segundo es $\sim 3.8 \times 10^{26} \text{ J}$. Romper Kyber-768 por fuerza bruta clásica requeriría más energía de la que el Sol ha emitido en toda la historia del universo.

Pero la criptografía no se rompe por fuerza bruta. Se rompe por ataques mejores.

La proyección cuántica

Para un ataque cuántico contra LWE, necesitamos una métrica diferente. No bits de seguridad, sino qubits y profundidad de circuito.

La mejor cota conocida para un ataque cuántico contra Module-LWE (usando el algoritmo de Regev y mejoras posteriores) requiere:

$$Q_{attack}(n, k) \approx O\left(n \cdot k \cdot \log q \cdot \text{poly}(\lambda)\right)$$

Para Kyber-768 ($n=256, k=3, q=3329$):

Un qubit lógico requiere ~1000 qubits físicos (con los códigos de corrección de error actuales). Esto da:

$$Q_{physical} \approx 125000 \times 1000 = 125 \text{ millones de qubits físicos}$$

Hoy (julio 2026), el mayor ordenador cuántico tiene ~1500 qubits físicos. A la tasa actual de crecimiento (ley de Neven: la capacidad cuántica se duplica cada ~2 años):

$$Q_{available}(t) = 1500 \cdot 2^{(t - 2026) / 2}$$

Despejando:

$$125 \times 10^6 = 1500 \cdot 2^{(t - 2026) / 2}$$ $$\frac{125 \times 10^6}{1500} = 83333 = 2^{(t - 2026) / 2}$$ $$\log_2 83333 = 16.35 = (t - 2026) / 2$$ $$t \approx 2026 + 32.7 \approx 2059$$

~33 años. Hacia 2059, si la ley de Neven se sostiene, un ordenador cuántico podría tener los qubits físicos necesarios para atacar Kyber-768.

Pero esto asume que:

1. Existe un algoritmo cuántico para LWE que requiera ~125K qubits lógicos (es una cota inferior optimista).
2. La corrección de errores cuánticos alcanza ese nivel de eficiencia (hoy no).
3. La coherencia cuántica se mantiene durante operaciones de esa profundidad (hoy no).
4. La ley de Neven se sostiene durante tres décadas (es una extrapolación).

Cada uno de estos supuestos es optimista. La fecha real podría ser 2059, o 2080, o nunca, si LWE resulta ser cuánticamente duro.

La analogía entrópica

La segunda ley de la termodinámica establece que la entropía de un sistema aislado nunca disminuye. La criptografía es, en este sentido, una lucha contra la entropía: intentamos mantener distinguibles dos distribuciones de probabilidad (la real y la aleatoria) que el atacante quiere confundir.

La analogía es precisa:

$$\Delta S_{cripto} \approx -\log_2 P(break)$$

Donde $P(break)$ es la probabilidad de que un atacante rompa el esquema. Cuanto menor es la probabilidad, mayor es la "entropía negativa" que la criptografía debe mantener. Pero mantener esa separación cuesta energía —en forma de tiempo de cómputo, ancho de banda, claves más grandes.

Esquema       Entropía negativa     Coste físico (bits)
──────        ─────────────────     ────────────────────
AES-128       128 bits              128 bits de clave
RSA-2048      ~112 bits             2048 bits de clave
Kyber-768     ~207 bits             1184 bits de pk + 2400 bits de sk
One-time pad  ∞ bits (perfecto)     ∞ bits (clave = mensaje)

El one-time pad es el único esquema con seguridad demostrable (Shannon, 1949), y es impracticable. Todo lo demás —incluyendo Kyber— es una aproximación que consume recursos para mantener la separación entrópica el tiempo suficiente.

El límite del error

La conjetura de dureza de LWE dice: "el error añadido a la ecuación $b = A \cdot s + e$ hace el sistema difícil de invertir". Pero el error criptográfico tiene que superar al error cuántico —al ruido de los qubits, a la imprecisión de las compuertas, a la decoherencia.

La batalla final, si llega, no será entre algoritmos. Será entre dos escalas de error: el error matemático (LWE) que protege el secreto, y el error físico (ruido cuántico, energía) que el atacante debe superar para calcular.

$$\text{Seguridad} = \text{min}(\text{error LWE}, \text{error de implementación}, \text{límite físico})$$

De los tres, el límite físico es el único absoluto. No importa cuán buena sea la conjetura de dureza si la energía disponible en el universo es insuficiente para el ataque. Pero ese límite —la energía total del universo ~ $10^{69}$ J— es tan enorme que solo los esquemas más agresivos (512 bits de seguridad o más) lo alcanzan.

Kyber-1024 (~272 bits de seguridad) está muy lejos de ese límite. Kyber-768 (~207 bits) también. El límite físico no los protege. Los protege la ausencia de un algoritmo eficiente.

Y esa ausencia no es una ley de la naturaleza. Es una conjetura.

El refugio provisional

Frankl escribió que entre el estímulo y la respuesta hay un espacio, y en ese espacio reside nuestra libertad. En criptografía, el espacio es la distancia del secreto: el tiempo que transcurre entre la publicación de un esquema y el ataque que lo rompe.

La distancia del secreto es, para Kyber, una incógnita. Nadie sabe si se romperá en 2035, 2050 o 2100. Nadie sabe si se romperá por un algoritmo cuántico, un ataque algebraico, o una vulnerabilidad de implementación que nadie previó.

La honestidad intelectual exige reconocerlo: Kyber es seguro hoy. Es la mejor opción que tenemos para proteger comunicaciones contra un futuro cuántico. Pero es un refugio provisional, no definitivo.

Como todos los refugios en criptografía.

---

La serie "La distancia del secreto" ha terminado. La exploración de esa distancia —entre la conjetura y la prueba, entre el algoritmo y el código, entre la energía necesaria y la energía disponible— no tiene conclusión porque el problema no tiene solución. La distancia se mide, se gestiona, se aplaza. No se elimina.

---

Referencias cruzadas con la investigación:

• Fundamentos de LWE — La conjetura de dureza y el módulo q=3329
• Ataques — Estado del arte cuántico contra LWE
• Conclusiones — Lo que queda abierto
• Parámetros de seguridad — Fortaleza equivalente y márgenes