Circuitos lógicos cuánticos y computaciones útiles

A buen entendedor basta esto para saber lo difícil que es, si es que llega a ser posible, construir circuitos lógicos cuánticos suficientemente complejos para aportar computaciones útiles. Que exista el algoritmo, por ejemplo el de Shor²⁷, no significa que haya un ordenador capaz de calcularlo, por lo que RSA y demás algoritmos de la Criptografía asimétrica pueden estar tranquilos las próximas (bastantes) décadas; de hecho vaticino que se morirán de viejos y no a manos de la amenaza cuántica. Hoy por hoy, los experimentos de ordenador cuántico realmente sólo saben hacer pocas cosas muy concretas²⁸, y lo hacen con dificultad si los argumentos son grandes.

Aunque la amenaza milenarista de los pro-Cuánticos vaya a tener el mismo éxito predictorio que el Apocalipsis de San Juan, lo que sí podemos sacar de bueno en esta falsa contienda es que los criptógrafos de siempre se han puesto a pensar cómo actualizar sus cajas de herramientas y ampliar su oferta algorítmica de manera que fuese resistente a la hipotética existencia de un ordenador cuántico. A eso se le ha dado en llamar Criptografía Post-Cuántica y se refiere a algoritmos criptográficos, normalmente algoritmos de clave pública, concebidos para resistir ataques efectuados mediante la computación cuántica.

Después de la publicación del magnífico artículo de Diffie y Helman de mayo de 1976 “New Directions in Cryptography”²⁹, la joven comunidad de criptógrafos civiles se puso a buscar problemas matemáticos que albergasen cualquier tipo de “asimetría”, de “sentido único”, que hiciese una operación de forma sencilla y que la contraria fuese intratable computacionalmente hablando. Un año después, Rives, Shamir y Adleman propusieron³⁰ utilizar la dificultad de factorizar números enteros grandes especialmente diseñados para ello (módulos RSA), como función trampa de sentido único. En 1985 Taher ElGamal propuso³¹ su esquema de firma digital basado en el Problema del Logaritmo Discreto³². Ese mismo año, Neal Koblitz³³ y Victor S. Miller³⁴, propusieron la multiplicación sobre curvas elípticas como un problema suficientemente difícil de resolver como para montar toda una criptografía sobre él. Estos tres hitos establecen toda la criptografía asimétrica que disponemos y, visto así, da la clara impresión de que es insuficiente por poco variada, y de que es como poner todos los huevos en la misma cesta.

La criptografía asimétrica, un dios con los pies de barro

La pereza y ceguera académica y empresarial hace que, si algo funciona, para qué vas a hacer más esfuerzos y atender a más gatos para buscar otras soluciones. Una de las cosas buenas que tiene la “amenaza cuántica” es que ha venido a demostrar que la criptografía asimétrica, desde siempre, es un dios con los pies de barro, y eso le ha metido el miedo en el cuerpo a más de uno. Aunque los actuales ordenadores cuánticos experimentales no son capaces de atacar ningún algoritmo criptográfico real, muchos son los que piensan que es tiempo de aprovechar esta advertencia y pasar a diseñar nuevos algoritmos que sí sean resistentes a esa amenaza.

Por otra parte, hay que decir que la mayoría de los actuales algoritmos de la Criptográfica Simétrica (cifradores simétricos y funciones hash criptográficas) son relativamente seguros ante los ordenadores cuánticos. Ello es debido a que el único algoritmo cuántico aplicable conocido es el de Grover³⁵, que tan solo acelera la capacidad de los ataques, pero con sólo duplicar el tamaño de la clave empleada se puede eliminar esa ventaja. Por ello la criptografía simétrica post-cuántica no difiere significativamente de la actual criptografía simétrica.

La Criptografía Post-Cuántica se refiere a los algoritmos criptográficos, usualmente asimétricos, que han sido diseñados para resistir los ataques criptoanalíticos empleando ordenadores cuánticos.

El algoritmo de Grover³⁶ de 1996, también conocido como el de búsqueda cuántica, se refiere a un algoritmo cuántico para búsqueda no estructurada que encuentra, con alta probabilidad, la única entrada de una función de caja-negra³⁷ que produce un determinado resultado de salida, utilizando en ello sólo evaluaciones de esa misma función que ataca. El algoritmo de Grover sólo proporciona una aceleración cuadrática de la velocidad del ataque. Este algoritmo sugiere, pero no prueba, que los ordenadores cuánticos tampoco pueden resolver los problemas NP-completos en tiempo polinomial.

El algoritmo de Grover podría atacar por fuerza bruta un cifrador simétrico con una clave de 128-bit en 2⁶⁴ iteraciones, o uno con una clave de 256-bit en 2¹²⁸ iteraciones. Ahora bien, para preocuparnos deberíamos tener delante un ordenador cuántico que fuese capaz de realizar tan apabullante número de iteraciones sin perder la coherencia.

Algoritmos asimétricos resistentes a la amenaza cuántica

Las principales categorías de problemas donde se están buscando y proponiendo los nuevos algoritmos asimétricos resistentes a la amenaza cuántica son: 1) Criptografía basada en retículos³⁸, 2) Esquemas basados en funciones Hash³⁹, 3) Isogenias sobre curvas elípticas⁴⁰, 4) Criptografía multivariable⁴¹ y 5) Criptografía basada en Códigos⁴².

Estos problemas son difíciles de utilizar y presentan serios inconvenientes cuando se han de implementar en escenarios reales. Todos ellos comparten la peculiaridad de que tienen que utilizar claves significativamente más grandes que las utilizadas en los Criptosistemas asimétricos actuales, y este exceso de tamaño será un hándicap muy importante en escenarios como los de los sistemas industriales y el de la IoT.

La Criptografía Post-Cuántica como solución a la amenaza cuántica

Generalmente, las administraciones de los países más avanzados consideran que la única solución a la amenaza cuántica es desarrollar la Criptografía Post-Cuántica. El NIST norteamericano lanzó ya en 2016 el proyecto de estandarización de la criptografía post-Cuántica⁴³. Este proyecto pretende estandarizar nuevos algoritmos de negociación de claves y de firma digital que sean resistentes al ataque con ordenadores cuánticos.

Estos nuevos algoritmos vendrían a sustituir a los estándares de RSA y a la criptografía sobre curvas elípticas (ECDH, ECDSA). Ese proyecto se encuentra ahora en su fase final⁴⁴ y se espera que se anuncien los ganadores el próximo año. Sin embargo, la experiencia dice que serán necesarios entre 5 y 15 años o más después de la publicación de estos estándares antes de que se haga un uso extenso de los mismos en la realidad social y económica.

Los candidatos a la tercera ronda fueron anunciados el 20 de julio de 2020, y hay siete finalistas y ocho candidatos alternativos a ser considerados para su posible estandarización. El tema se ha tratado en la NIST PQC Standardization Conference⁴⁵ que se desarrolló telemáticamente en junio de este año. En ella los quince finalistas y alternativas han presentado sus “alegatos finales” y todo debe estar “visto para sentencia”. Los candidatos de la Criptografía Post- Cuántica no son sencillos, ni claros, ni gozan de la ductilidad de los algoritmos a los que pretenden sustituir, por lo que es de prever un difícil asentamiento de los mismos entre nosotros. Como la amenaza cuántica no está por llegar, ni se la espera en el día a día, deberemos seguir en la línea de renovar de forma continua, sosegada e inteligente, el baúl de algoritmos criptográficos sobre los que construir nuestro futuro digital.

No solo hay que prestar atención a la exacerbada amenaza cuántica, también hay que aumentar la eficiencia computacional de los algoritmos (lightweight cryptography⁴⁶) y revisar los otros constructos que hay entre la criptografía y la confianza digital que se pretende asentar sobre ella. Los fallos de seguridad, tanto en el futuro como ahora mismo, no estarán en la criptografía, en los algoritmos, sino en el modo de usarla. La verdadera amenaza no es cuántica, sino nuestra ignorancia, indiferencia, falta de diligencia y de preparación.