¿Qué pasó con SIKE y Rainbow, los candidatos poscuánticos rotos por computadores clásicos?

Al 6 de noviembre de 2026, los dos candidatos más avanzados jamás rotos en el proceso poscuántico del NIST — un finalista de firma y un candidato de cifrado de la ronda 4 — cayeron ante computadores clásicos, no cuánticos. Rainbow, uno de los tres finalistas de firma digital, cayó el 25 de febrero de 2022 ante un ataque de recuperación de llave que promedia 53 horas en una laptop estándar (IACR ePrint 2022/214). SIKE, candidato KEM de la ronda 4, cayó el 30 de julio de 2022, apenas 25 días después de que el NIST lo avanzara, ante un ataque construido sobre un teorema publicado en 1997; la versión final de ese ataque rompe SIKEp434 en unos 10 minutos en un solo núcleo (IACR ePrint 2022/975). El conteo de llaves rotas por computadores cuánticos en el registro público era 0 entonces y es 0 hoy — Rosetta Quantum re-verificó ese conteo esta mañana. La lección de 2022 no es pánico: es hibridez y agilidad criptográfica, y es el argumento más fuerte en el registro de que el criptoanálisis público funciona.

Esta pieza es el expediente profundo detrás de la tabla-resumen que nuestro explicador de agilidad criptográfica publicó el 5 de noviembre: qué se rompió exactamente, quién lo rompió, con qué matemática, y qué significa para un líder de seguridad que lee claims de vendors en 2026.

¿Qué era Rainbow y cómo una laptop venció a un finalista del NIST?

Rainbow era un esquema de firma multivariada — uno de solo tres finalistas de firma que quedaban en la ronda 3 del proceso poscuántico del NIST — y cayó cuando Ward Beullens, entonces en IBM Research Zurich, publicó un ataque de recuperación de llave cuyo título es la historia completa: «Breaking Rainbow Takes a Weekend on a Laptop» (IACR ePrint 2022/214, 25 de febrero de 2022). Para una llave pública de Rainbow en el nivel de seguridad 1, el ataque devuelve la llave secreta correspondiente tras, en promedio, 53 horas — un fin de semana — de cómputo en una laptop estándar. La precisión que viaja con ese número: el tiempo práctico se demostró contra los parámetros SL 1 de la presentación de segunda ronda de Rainbow, y los ataques nuevos del paper superaron a los previamente conocidos para todos los conjuntos de parámetros presentados al NIST.

Rainbow llevaba 19 meses como finalista — desde el 22 de julio de 2020 — cuando aterrizó el ataque. El diseño era una extensión de Oil and Vinegar (UOV), un esquema multivariado de 1999: Rainbow agregaba capas extra de estructura sobre UOV para lograr llaves más chicas y firma más rápida. Esa estructura adicional, no el diseño base, es lo que el ataque explotó — una distinción que importa para leer la lista de candidatos de hoy, como mostramos abajo. El 5 de julio de 2022, el NIST cerró la ronda 3 (NIST IR 8413) seleccionando CRYSTALS-Dilithium, Falcon y SPHINCS+ para firmas. Rainbow no estaba entre ellos.

¿Cómo un teorema de 1997 mató a SIKE en 25 días?

SIKE — el KEM basado en isogenias con las llaves más chicas de toda la competencia — fue avanzado a la ronda 4 el 5 de julio de 2022, en el mismo anuncio del NIST que dejó fuera a Rainbow. Veinticinco días después, el 30 de julio de 2022, Wouter Castryck y Thomas Decru, de KU Leuven, publicaron «An Efficient Key Recovery Attack on SIDH» (IACR ePrint 2022/975). La primera versión rompió SIKEp434 — el conjunto de parámetros que apuntaba al nivel de seguridad 1 del NIST — en unos 62 minutos en un solo núcleo de un Intel Xeon E5-2630v2, un CPU lanzado en 2013 (The Register, 3 de agosto de 2022). La versión final del paper, publicada en EUROCRYPT 2023, declara unos 10 minutos en un solo núcleo. Microsoft había puesto una recompensa de 50.000 dólares sobre sus instancias de desafío de SIKE; los desafíos SIKEp182 y SIKEp217 cayeron en unos 4 y 6 minutos.

La matemática es la parte que nadie predijo. El ataque descansa en un criterio de reducibilidad que Ernst Kani publicó en 1997 — el teorema de «pegar y partir» («glue-and-split»), de un paper sobre curvas de género 2 con diferenciales elípticas escrito sin ninguna intención criptográfica: SIDH no existiría hasta 14 años después. SIDH, el protocolo debajo de SIKE, publicaba imágenes auxiliares de puntos de torsión junto a cada llave pública como parte de su diseño; Castryck y Decru usaron el criterio de Kani para convertir exactamente esos puntos auxiliares en un oráculo de recuperación de llave, asumiendo conocido el anillo de endomorfismos de la curva inicial. El 10 de agosto de 2022, Damien Robert, de Inria, removió esa suposición: «Breaking SIDH in polynomial time» (IACR ePrint 2022/1038) extendió la ruptura a un ataque clásico en tiempo polinomial que funciona incluso con una curva inicial aleatoria. El equipo de SIKE lo reconoció en una nota que sigue publicada en la página de la ronda 4 del NIST: SIKE y SIDH «son inseguros y no deben usarse».

Un hecho medido más completa el expediente: SIKE no era un esquema de papel. Había sido probado en campo a escala de Internet — Cloudflare y Google lo corrieron en conexiones TLS reales durante 53 días entre agosto y octubre de 2019 (el experimento CECPQ2b, con Chrome Canary/Dev como clientes), siempre en híbrido con X25519. Ese detalle importará en un momento.

¿Qué rompieron exactamente los ataques — y qué dejaron en pie?

Los ataques rompieron estructuras específicas, no familias enteras de matemática — y la distinción es medible en las listas de candidatos de hoy.

La lista de sobrevivientes es la mitad de esta historia que casi nunca se cuenta. El 14 de mayo de 2026, el NIST avanzó nueve esquemas de firma a la ronda 3 de su proceso de firmas adicionales. Cuatro de los nueve — UOV, MAYO, QR-UOV y SNOVA — están construidos sobre el mismo diseño Oil and Vinegar que Rainbow extendía: la base de 1999 sobrevivió a la caída de 2022 de su descendiente más famoso. Y el único candidato de isogenias que sigue en pie, SQIsign, fue rediseñado usando la misma maquinaria de isogenias de dimensión superior que el ataque de Castryck-Decru introdujo — la matemática que mató a SIKE hoy impulsa a la firma de isogenias líder, que alcanza firmas de 148 bytes en la categoría de seguridad 1. SQIsign no publica puntos de torsión, y por eso el oráculo de 2022 no le aplica. Si sobrevivirá la ronda 3 se sabrá cuando el NIST publique su próximo reporte, en el futuro.

¿Hubo un computador cuántico involucrado en algo de esto?

No. Cero participación cuántica, en ambos casos. Rainbow cayó ante una laptop; SIKE cayó ante un núcleo de un CPU de servidor de 2013 corriendo Magma. Al 6 de noviembre de 2026, Rainbow sigue siendo el único finalista de firma del NIST roto por completo y SIKE el único candidato de ronda 4 roto por completo — y ambas rupturas fueron criptoanálisis clásico.

El lado cuántico del registro, re-verificado por Rosetta hoy: 0 llaves RSA-2048 o ECC-256 rotas por un computador cuántico en el registro público, y 0 brechas públicas atribuidas a un ataque cuántico. El módulo RSA más grande jamás factorizado sigue siendo un resultado clásico: RSA-896, el 19 de septiembre de 2026. El expediente completo de ese cero — qué se ha factorizado de verdad con el algoritmo de Shor y a qué distancia queda de RSA-2048 — vive en su propia pieza de esta serie. La posición de la casa sobre el Q-Day (RQ-PRED-QDAY-001: piso 2031, ventana 2033–2039) sigue siendo lo que siempre fue: un juicio sellado y refutable, no una medición.

¿Qué hace un líder de seguridad con esta historia?

Leer 2022 como evidencia de que el proceso de escrutinio funciona — y comprar el seguro que esa evidencia señala. Cuatro movimientos, en orden.

Primero, registrar lo que NO pasó: ninguna de las dos rupturas se descubrió después de la estandarización, en productos desplegados, por un atacante. Ambas aterrizaron en público, antes de que existiera ningún estándar final, con código reproducible. Un CISO citado en su momento lo dijo simple: mejor descubierto ahora que después de estandarizado (Kevin Reed, en la cobertura de The Register del 3 de agosto de 2022). El contrafactual — una ruptura estructural encontrada en un estándar desplegado — es exactamente el escenario que el proceso adversarial y multianual del NIST existe para volver raro.

Segundo, la hibridez es el seguro que ya pagó una vez. El único despliegue a escala que SIKE tuvo jamás — el experimento TLS de Cloudflare y Google de 2019 — lo envolvió con X25519 en la construcción CECPQ2b. Cuando SIKE cayó en 2022, nada de lo grabado en ese experimento se volvió legible, porque la mitad clásica de cada handshake seguía en pie. Si hubiera circulado tráfico solo-SIKE a escala, cada sesión grabada sería legible hoy — ese es el escenario «cosechar ahora, descifrar después» medido en la primera pieza de esta serie. El default desplegado hoy, el híbrido X25519MLKEM768 construido sobre ML-KEM, sigue exactamente la misma lógica; la mecánica y los costos en bytes de ese handshake tendrán su propia pieza en esta serie.

Tercero, hacer en compras la pregunta de agilidad, no la pregunta de algoritmo. La historia medida dice que un candidato puede caer en 53 horas o en 25 días; la pregunta relevante para tu stack — desarrollada en nuestro explicador de agilidad criptográfica — es cuánto te tomaría un reemplazo si un algoritmo desplegado tuviera su propio 2022, una pregunta que presupone el inventario criptográfico, o CBOM, cubierto antes en esta serie. No existe ninguna medición publicada del tiempo de reemplazo empresarial — y eso es, en sí mismo, un hallazgo.

Cuarto, tratar la diversidad como política, no como paranoia. El NIST seleccionó HQC el 11 de marzo de 2025 explícitamente como KEM de respaldo construido sobre matemática distinta de la de ML-KEM, con estándar final esperado para 2027 — en el futuro, y declarado, no garantizado. Un portafolio que asume que cualquier familia puede tener un mal año es la versión institucional del handshake híbrido.

Tablero PQC — estado al 2026-11-06

Los indicadores permanentes que Rosetta rastrea para esta serie, con la última lectura de cada uno y su fuente. Dos se re-midieron hoy; el resto muestra su lectura fechada más reciente.

Qué no sabemos

• Si los estándares hoy desplegados esconden una debilidad estructural del tipo de la de SIKE. Eso es incognoscible por adelantado para cualquiera — es el argumento a favor de híbridos y agilidad, no una predicción de falla.
• La tasa base de rupturas clásicas futuras. Dos rupturas en un año son una muestra, no una tasa; no existe ninguna medición publicada de esa tasa al día de hoy.
• Si el rediseño de SQIsign sobrevivirá la ronda 3 del proceso de firmas adicionales. El reporte del NIST llegará en su propio calendario; no hay fecha publicada al 6 de noviembre de 2026.
• Cómo habría sido el despliegue de SIKE si la ruptura hubiera llegado dos años más tarde. No existe contrafactual publicado; el único dato de despliegue a escala es el experimento híbrido de 2019, que duró 53 días.
• Cuándo aterrizará de verdad el estándar final de HQC. El NIST declaró 2027 como expectativa; es una fecha declarada, no medida.
• Si llegará, y cuándo, un computador cuántico criptográficamente relevante. La ventana de la casa (piso 2031, ventana 2033–2039) sigue siendo un juicio sellado y refutable — el conteo medido de llaves rotas por cuántica sigue en 0.

Rosetta Quantum publica veredictos con datos crudos reproducibles y fuentes fechadas. Esto es contenido educativo — no un claim de producto, no asesoría de vendors y no asesoría de inversión.