MÓDULO 2
Quantum 101
Del bit al qubit: por qué la computación cuántica lo cambia todo, y cómo prepararse.
El «apocalipsis cuántico» y el algoritmo de Shor
Un ordenador clásico trabaja con bits: cada uno vale 0 o 1. Un ordenador cuántico trabaja con qubits, que pueden estar en una combinación de ambos hasta que se miden. No es que vayan «más rápido»: es que resuelven cierta clase de problemas por un camino que un ordenador normal no tiene.
En 1994, el matemático Peter Shor publicó un algoritmo que hace exactamente lo que la criptografía asimétrica da por imposible: factorizar números enormes y resolver logaritmos discretos en un tiempo razonable. Dicho de otro modo, romper RSA y ECC.
Conviene medir bien la palabra «romper». No es que queden debilitados y haya que alargar las claves. Es que el problema difícil en el que se apoyan deja de ser difícil. Una clave más larga no arregla nada.
La otra mitad de la historia se cuenta mucho menos, y es tranquilizadora. Contra la criptografía simétrica, el mejor ataque cuántico conocido —el algoritmo de Grover— solo consigue recortar la seguridad a la mitad. AES-128 se queda corto; AES-256 sigue siendo suficiente. El cifrado del grueso de los datos no se cae.
¿Y cuándo llega la máquina? No existe todavía, y nadie con criterio pone fecha. Los ordenadores cuánticos actuales manejan del orden de cientos de qubits ruidosos, y romper RSA de 2048 bits exigiría del orden de millones de qubits físicos trabajando con corrección de errores. Es un problema de ingeniería sin resolver — que no es lo mismo que un problema imposible.
Estándares NIST finales: FIPS 203/204/205 + HQC (2025)
Si RSA y ECC caen, hacen falta sustitutos: algoritmos asimétricos apoyados en problemas que también le resulten difíciles a un ordenador cuántico. Eso es la criptografía postcuántica, y no requiere ningún hardware especial: corre en los ordenadores de siempre.
En 2016, el NIST —el instituto de estándares de Estados Unidos— abrió un concurso público para elegirlos. Ocho años de análisis y varios candidatos rotos por el camino después, en agosto de 2024 publicó los tres primeros estándares finales.
FIPS 203 — ML-KEM, derivado de CRYSTALS-Kyber. Es el sustituto del intercambio de claves: el mecanismo con el que dos partes acuerdan una clave simétrica sin habérsela dicho nunca.
FIPS 204 — ML-DSA (CRYSTALS-Dilithium) y FIPS 205 — SLH-DSA (SPHINCS+). Los dos sirven para firmar. Que haya dos no es indecisión: ML-DSA se apoya en retículas, igual que ML-KEM, mientras que SLH-DSA se apoya únicamente en funciones hash. Supuestos matemáticos distintos, a propósito.
Por esa misma razón, en marzo de 2025 el NIST seleccionó HQC como mecanismo de intercambio de claves de respaldo, basado en códigos correctores de errores en lugar de retículas; su estándar todavía se está redactando. La intención es explícita: si algún día aparece una grieta en las retículas, que no se caiga todo a la vez.
Traducido: la respuesta correcta a la amenaza cuántica no es *un* algoritmo, es una cartera de algoritmos con matemáticas independientes.
«Cosecha hoy, descifra mañana»: por qué actuar ya
Hay una trampa en razonar sobre la fecha del ordenador cuántico, y es que el atacante no necesita tenerlo para empezar.
El ataque se llama «cosecha hoy, descifra mañana» —*harvest now, decrypt later*— y es tan simple como suena: capturar hoy tráfico cifrado que no se puede leer, guardarlo, y descifrarlo el día que exista la máquina. El almacenamiento es barato y la paciencia sale gratis.
Eso cambia por completo la pregunta que hay que hacerse. No es «¿cuándo llega el ordenador cuántico?», sino ¿cuánto tiempo tiene que seguir siendo secreto lo que mando hoy?
Michele Mosca lo formuló como una desigualdad que se entiende de un vistazo: si el tiempo que tus datos deben permanecer secretos, más el tiempo que tardarías en migrar tus sistemas, es mayor que el tiempo que falta para el ordenador cuántico, ya llegas tarde.
Para el mensaje de chat de esta tarde, da igual. Para una historia clínica, un contrato, un expediente de identidad o una clave de firma de largo plazo, no da igual en absoluto: son datos que siguen valiendo dentro de veinte años.
Xatoxi no se prepara para el futuro: ya vive en él
La conclusión práctica de todo lo anterior es incómoda: migrar a criptografía postcuántica no es una tarea para cuando salga la noticia. Es una tarea para antes de que salga.
Cuetum, la capa criptográfica de Xatoxi, está alineada con los estándares postcuánticos finales del NIST —FIPS 203— y con HQC, seleccionado en 2025. Trabaja con ML-KEM/Kyber, BIKE, FrodoKEM y HQC: exactamente la cartera de supuestos distintos de la que habla el capítulo anterior.
El canal seguro de la red hace el intercambio de claves sobre esa base y las renueva de forma continua (*forward secrecy*), de manera que comprometer una clave no abre el historial.
Y hay un detalle que suele quedarse fuera de estas conversaciones: dónde corre. El plano descentralizado de Xatoxi está escrito en ANSI C puro, sin dependencias pesadas, y eso permite que el cifrado postcuántico completo funcione en un teléfono de gama baja. Una protección que solo alcanza a quien tiene un dispositivo caro protege a medias.
Xatoxi no se prepara para el futuro: ya vive en él.
¿Dudas, o quieres profundizar?
Si tu organización maneja datos que seguirán teniendo valor dentro de diez o veinte años, la migración postcuántica ya está en tu calendario, la hayas escrito o no. Te leemos.
Hablar con el equipo