En marzo, Google adelantó la fecha límite de migración hacia la criptografía poscuántica (PQC) a 2029, seis años antes de la orientación de NIST y dos años por delante de los requisitos de los sistemas de seguridad nacionales de la NSA. Fue un claro signo de seguridad, ahora respaldado por una hoja de ruta producto-por-producto organizada en torno a tres dominios de riesgo, con hitos vinculados a servicios específicos.

Para cualquiera cuyo trabajo toque la confianza digital, el dominio más significativo de esa tríada es el intento de Google de fortalecer las capacidades fundamentales para la agilidad criptográfica: construir sistemas flexibles que permitan adoptar nuevos estándares criptográficos con un mínimo esfuerzo de ingeniería a medida que esos estándares evolucionan.

El mensaje es claro: las organizaciones deben prepararse para un futuro en el que las normas, los formatos de certificado y los requisitos operativos sigan evolucionando y evolucionen de forma regular, lo que exige agilidad criptográfica.

Por qué el riesgo cuántico ya es un problema de confianza digital

Los adversarios ya están recolectando y almacenando datos cifrados hoy, asumiendo que una futura computadora cuántica los descifrará (recopilar ahora, descifrar después). Todo aquello con un largo “confidentiality tail”, desde expedientes de salud hasta archivos nacionales e propiedad intelectual, ya está expuesto a una máquina que aún no existe. Si bien los algoritmos resistentes a la cuántica, como ML-DSA, resuelven el problema criptográfico, introducen llaves y firmas mucho más grandes. Implementados a través de la infraestructura de clave pública actual (PKI), podrían inflar o incluso romper sistemas detrás de conexiones seguras. Los sistemas heredados y las redes de alta latencia serían los más afectados.

Qué es un Merkle Tree Certificate (MTC)?

Al momento de escribir este artículo, el desarrollo más destacado en la hoja de ruta de Google podría ser el más fácil de pasar por alto. Bajo el Dominio 2, Integridad y no repudio, una sola línea dice: “Google Trust Services, Merkle Tree Certificates, 2028”.

Los MTCs son una nueva clase de certificados de dominio web diseñados para mantener las conexiones seguras rápidas en la inminente era de ordenadores cuánticos. Hoy, un sitio web demuestra su identidad presentando un certificado que lleva varias firmas digitales, y las versiones resistentes a cuántica de esas firmas son tan voluminosas que podrían ralentizar cada conexión segura en Internet.

Los MTC resuelven esto haciendo que la autoridad certificadora (CA) registre todo lo que emite en un registro público e inalterable, organizado como un árbol de Merkle. En lugar de portar firmas pesadas, el sitio presenta una breve traza de huellas digitales que demuestra que su certificado se encuentra en ese registro, y el navegador verifica la trazabilidad contra un resumen del registro que ya recibió a través de sus actualizaciones de software habituales.

Cabe señalar que los MTC no abandonan X.509. Son certificados X.509, que llevan una prueba donde solía ir una firma, emitidos junto a certificados firmados directamente en lugar de reemplazarlos.

El resultado es un certificado que permanece pequeño, resiste a la cuántica y es públicamente verificable por defecto. Para la persona común, podemos seguir usando Internet de forma rápida e ininterrumpida con una resistencia cuántica subyacente.

MTCs hacen que la transparencia sea estructural

En la PKI web actual, la transparencia se añade como una etapa independiente. La CA firma un certificado, lo somete a registros de CT independientes y recolecta SCTs, cada uno una promesa firmada de publicar el certificado dentro de una ventana fija. Un registro comportamentalmente defectuoso o comprometido podría avalar un certificado que nunca se vuelva visible para los monitores de mala emisión.

Los MTC cambian esa relación. La CA certifica registrando, y un certificado es literalmente una prueba de que su entrada aparece en el registro público de emisión de la CA, verificado por el navegador en cada conexión. Si no está en el registro, no es un certificado. Bajo MTC, la transparencia no solo sobrevive a la transición poscuántica; sale fortalecida.

Quién está desarrollando Merkle Tree Certificates

Cuando el proveedor con la mayor participación en navegadores propone un nuevo formato de certificado y un nuevo almacén raíz para contenerlo, es razonable preguntarse si el resto del ecosistema está siendo consultado o simplemente informado.

Sin embargo, los MTC no son exclusividad de Google. En el momento de escribir este texto, los autores del borrador IETF abarcan a Google, Apple, Cloudflare y Geomys. Cloudflare ha estado involucrado desde el inicio, CA como Sectigo han contribuido a la investigación subyacente, y Let’s Encrypt se comprometió públicamente con MTC en junio de 2026. El resultado será un estándar abierto que cualquier CA puede implementar, controlado por ningún proveedor único.

Las organizaciones que darán forma a la confianza en la web poscuántica son las que participan en el grupo de trabajo ahora. Los programas de raíz, las CAs y los grandes implementadores que permanezcan al margen heredarán decisiones, no las influirán. Esa elección está disponible para todos, y la ventana está abierta hoy.

Cómo deben prepararse las organizaciones para los MTC

La fecha de Google para MTC en 2028 merece las usuales cautelas de una hoja de ruta. Google la vincula al trabajo de estandarización aún en progreso en la IETF, y fechas como estas se mueven. Sin embargo, la dirección parece bastante estable.

Chrome planea un Almacén Raíz Cuántico que dará soporte solo a certificados resistentes a la cuántica en formato MTC, no como firmas poscuánticas acopladas a X.509 tradicional. Firmas clásicas compactas y X.509 han servido de manera excelente a la web durante tres décadas, pero con la llegada de la computación cuántica, estamos listos para un rediseño.

Para todos los demás, la implicación práctica de la hoja de ruta de Google no es que necesite MTCs de inmediato. Es que debe ser capaz de adoptarlos (o cualquier otra cosa que surja) sin un programa de ingeniería de varios años. Lo que precisamente Google ha puesto en el fundamento de su plan es esta agilidad criptográfica.

En términos concretos, las organizaciones deberían enfocarse en:
– Un inventario completo de certificados y activos criptográficos, porque no se puede migrar algo que no se ve
– Gestión automatizada del ciclo de vida de certificados, porque los plazos de vida más cortos harán que los procesos manuales sean inviable mucho antes de la llegada de las computadoras cuánticas
– Una hoja de ruta escrita poscuántica de su CA, que todas las organizaciones deberían exigir

El alcance completo de lo que pueden hacer los MTCs aún está ganando foco, y podrían no ser la única respuesta que la industria adopte finalmente. Lo que ya está claro es que las organizaciones que invierten en agilidad criptográfica, gestión de ciclo de vida de certificados y visibilidad completa hoy estarán mejor posicionadas para adaptarse a medida que maduren los estándares poscuánticos.

El futuro de la confianza digital será de las organizaciones que puedan evolucionar tan rápido como la criptografía de la que dependen.

Hemos presentado el mejor software de protección de endpoints.

Este artículo se produjo como parte de TechRadar Pro Perspectives, nuestro canal para presentar las mentes más brillantes de la industria tecnológica hoy.

Las opiniones expresadas aquí son las del autor y no necesariamente las de TechRadar Pro o Future plc. Si estás interesado en contribuir, descubre más aquí: https://ift.tt/5Y1GNlx

from Latest from TechRadar https://ift.tt/feX1C89
via IFTTT IA