Se inspeccionó el bytecode real de DSS 6.4

El algoritmo de Shor, propuesto en 1994 y todavía no ejecutable a la escala necesaria en un ordenador cuántico real, resuelve en tiempo polinómico dos problemas matemáticos de los que depende toda la criptografía de clave pública desplegada hoy: la factorización de enteros grandes (la base de RSA) y el logaritmo discreto, incluido el de curva elíptica (la base de ECDSA y EdDSA).

Esto no es una debilidad de una implementación concreta: es que el problema matemático subyacente deja de ser difícil, para cualquier tamaño de clave. Un RSA-2048 no es más resistente que un RSA-4096 frente a Shor. Ambos caen igual, y por eso esta herramienta marca RSA y ECDSA como vulnerables sin importar su longitud de clave.

El algoritmo de Grover, en cambio, solo ofrece una mejora cuadrática frente a funciones hash (SHA-256, SHA-3) y frente a cifrado simétrico (AES). Un hash de 256 bits mantiene un nivel de seguridad efectivo de unos 128 bits frente a un atacante con ordenador cuántico, justo lo que hoy se considera adecuado frente a un atacante clásico. Es la razón por la que esta herramienta no marca SHA-256 como vulnerable, mientras sí marca RSA-2048 y ECDSA-256.

La cifra concreta de qubits necesarios no es estática, y va en la dirección que importa: la estimación de 2019 de Craig Gidney y Martin Ekerå requería veinte millones de qubits físicos ruidosos para factorizar un RSA-2048 en ocho horas. En mayo de 2025, un nuevo resultado del propio Gidney (Google Quantum AI) redujo esa cifra a menos de un millón, usando aritmética de residuos aproximada y códigos de superficie más eficientes: veinte veces menos recursos en seis años. Ningún procesador existente se acerca: Google Willow (diciembre de 2024) y la familia IBM Heron operan con cientos de qubits, no millones, y sin la corrección de errores a la escala que exige Shor. La propia hoja de ruta pública de IBM apunta a un primer sistema tolerante a fallos, IBM Quantum Starling, con 200 qubits lógicos, para 2029; su sucesor, Blue Jay, a 2.000 qubits lógicos, para 2033. Ninguna de esas dos cifras basta todavía para ejecutar Shor contra RSA-2048. La tendencia, sin embargo, es la que ha llevado al NIST a fijar 2030 y 2035 como las fechas de desuso y prohibición de RSA y ECDSA (NIST IR 8547), no una previsión de que el ordenador exista mañana.

En agosto de 2024, NIST estandarizó ML-DSA (FIPS 204), un esquema de firma basado en la dificultad de ciertos problemas sobre retículos (lattices), como referencia para sustituir a RSA y ECDSA. Es el algoritmo que usa el motor de sellado de esta herramienta, en su variante ML-DSA-65 (categoría de seguridad 3 de NIST, firmas de unos 3,3 KB).

Existe también SLH-DSA (FIPS 205), basado únicamente en la seguridad de funciones hash: firmas mucho más pesadas (decenas de KB) pero con un argumento de seguridad más conservador, al no depender de que los retículos resistan el paso del tiempo tan bien como los propios hashes.

Ningún algoritmo post-cuántico lleva las tres décadas de escrutinio criptográfico que ha tenido RSA. Por eso el sellado de esta herramienta no usa ML-DSA en solitario, sino una firma híbrida (compuesta): ML-DSA-65 y ECDSA-P256 firmando el mismo dato a la vez, de forma que la verificación exige que ambos componentes sean válidos. Si dentro de veinte años apareciera un ataque contra los retículos que nadie ha previsto, al menos el diseño no dependía de una sola apuesta.

Preservar una firma no es simplemente volver a firmarla: no se puede volver a firmar en nombre de alguien que ya no puede hacerlo (un notario jubilado, una empresa disuelta). La técnica estándar es el evidence record (RFC 4998, o su variante XML RFC 6283): un sello de tiempo sobre un árbol de Merkle que cubre uno o miles de documentos a la vez con una sola operación criptográfica.

De ese árbol se puede extraer después una prueba de inclusión individual para cualquier documento suelto, verificable sin necesidad de los demás. Es lo que genera la capa de sellado de esta herramienta cuando la pruebas: un evidence record real, firmado en híbrido clásico y post-cuántico, no una simulación.