¿Qué es la agilidad criptográfica y por qué importa más que elegir el algoritmo?

Al 5 de noviembre de 2026: la agilidad criptográfica es la capacidad de reemplazar un algoritmo criptográfico sin romper los sistemas que lo usan — y el registro fechado dice que esa capacidad importa más que cuál algoritmo elijas. En 2022, dos esquemas de las rondas finales del propio proceso post-cuántico de NIST cayeron ante ataques clásicos en hardware común: Rainbow, finalista de la Ronda 3, en un promedio de 53 horas en una laptop (IACR ePrint 2022/214, 25-feb-2022), y SIKE, 25 días después de avanzar a la Ronda 4, en unos 10 minutos en un solo núcleo (IACR ePrint 2022/975, 30-jul-2022). Los computadores cuánticos, mientras tanto, llevan 0 llaves RSA-2048 rotas en el registro público (re-verificado 5-nov-2026). Y el único precedente medido de remover un primitivo roto de los sistemas desplegados — SHA-1 — habrá tomado 13 años desde su primera colisión práctica (23-feb-2017) hasta el plazo de remoción de NIST (31-dic-2030). Rosetta Quantum lee ese registro de una sola manera: el algoritmo que elijas hoy puede cambiar; el cuello de botella medido es tu capacidad de cambiarlo.

¿Qué es exactamente la agilidad criptográfica?

La agilidad criptográfica es, en la definición del propio NIST, el conjunto de capacidades necesarias para reemplazar y adaptar algoritmos criptográficos en protocolos, aplicaciones, software, hardware e infraestructuras — preservando la seguridad y la operación continua. Esa definición viene de NIST CSWP 39, Considerations for Achieving Crypto Agility: Strategies and Practices, finalizado el 19-dic-2025 y actualizado el 29-jun-2026. Es la primera vez que NIST publica un documento de prácticas dedicado a la agilidad, y su existencia es en sí misma una señal: el organismo de estándares de EE. UU. no trata la transición post-cuántica como un cambio único, sino como el primero de varios.

La idea es más vieja que la migración post-cuántica. La IETF publicó sus guías de agilidad de algoritmos — RFC 7696, elevado a Best Current Practice 201 — en noviembre de 2015, después de que las experiencias con MD5 y SHA-1 mostraran que los protocolos que fijan un solo algoritmo envejecen mal. La guía cabe en una frase: los protocolos y sistemas se diseñarán de modo que los algoritmos puedan identificarse, negociarse y reemplazarse sin rediseñar el sistema alrededor.

Lo que cambió en 2026 es que la agilidad dejó de ser consejo y empezó a aparecer dentro de relojes de transición. NIST IR 8547, final desde el 27-oct-2026, va a deprecar RSA y ECC después de 2030 y a prohibirlos después de 2035. El calendario del NCSC del Reino Unido (20-mar-2025) pide completar el descubrimiento al 2028 y la migración completa al 2035. Esas fechas son plazos declarados, no mediciones — en la semántica de esta casa van en ocre, no en teal — pero todas asumen lo mismo: que los sistemas a migrar pueden, de hecho, cambiar de algoritmo. El registro de abajo dice que esa es la parte difícil.

¿Por qué no alcanza con elegir bien el algoritmo?

Porque el registro de la selección muestra que hasta la lista corta de la competencia criptográfica más escrutada de la historia contenía entradas rompibles — y las rompieron computadores clásicos, no cuánticos. Rosetta Quantum trata estas dos fechas como la prueba central de todo el argumento de agilidad:

Hay que leer las dos primeras filas con cuidado, porque el detalle es la lección. Rainbow llevaba 19 meses como finalista cuando Ward Beullens publicó un ataque de recuperación de llave que corre en un fin de semana en una laptop. SIKE es el caso más filoso: NIST anunció sus primeros cuatro algoritmos seleccionados y los cuatro candidatos de la Ronda 4 el 5-jul-2022; Wouter Castryck y Thomas Decru publicaron su ataque el 30-jul-2022 — 25 días después — y la versión final rompe SIKEp434, el set de parámetros del nivel de seguridad 1, en unos 10 minutos en un núcleo. Ninguno de los dos ataques usó un computador cuántico. Ambos esquemas salieron del proceso; los estándares de agosto de 2024 — ML-KEM, ML-DSA y SLH-DSA, cubiertos en su propia pieza de esta serie — se construyeron con los candidatos que sobrevivieron.

La conclusión honesta no es que la criptografía post-cuántica sea frágil. Es que el criptoanálisis no avisa, y que la unidad correcta de planificación no es el algoritmo sino la capacidad de reemplazarlo. Una pieza futura de esta serie va a desarmar por completo las historias de SIKE y Rainbow — qué se rompió exactamente, y por qué eso pide híbridos y no pánico.

¿Cuánto tarda de verdad reemplazar criptografía desplegada?

La capa del papel reacciona en meses; la capa desplegada tarda una década o más, y SHA-1 es la prueba medida. Los primeros ataques de colisión contra SHA-1 se publicaron en 2005 — el propio anuncio de retiro de NIST fecha ahí la vulnerabilidad. La primera colisión práctica, SHAttered, se demostró el 23-feb-2017. NIST anunció el plan de retiro el 15-dic-2022, con el hash fuera de todo uso federal de EE. UU. al 31-dic-2030. De la ruptura práctica al plazo de remoción: 13 años. Del primer ataque al plazo: 25 años. Nada en ese intervalo fue misterioso — el algoritmo estuvo roto y sabido todo el tiempo; lo que tomó 13 años es todo lo de alrededor: inventarios, dependencias, proveedores, firmware, protocolos, compras.

Esa asimetría es el caso completo de la agilidad, y es la razón de que los relojes de migración sean tan largos. Cuando NIST IR 8547 le da a RSA y ECC hasta 2030 para quedar deprecados y 2035 para quedar prohibidos, no va a ser porque alguien espere que esos algoritmos caigan mañana — el registro público sigue mostrando 0 llaves RSA-2048 rotas por computador cuántico alguno, y el récord clásico de factorización está en RSA-896 (S. Weis, 19-sep-2026). Es porque remover un primitivo de la base instalada es la operación lenta, y el reloj tiene que arrancar antes de que la amenaza esté medida. Esa es la misma aritmética que formalizó Michele Mosca — tiempo de migración más vida útil del dato contra tiempo-a-la-amenaza — que la pieza de harvest now, decrypt later de esta serie trabaja con números. Sobre cuándo existirá un computador cuántico criptográficamente relevante, la posición de Rosetta sigue siendo el juicio sellado y refutable RQ-PRED-QDAY-001 — piso 2031, ventana 2033 a 2039 — publicado con su regla de puntuación; es un juicio, no una medición, y no cambia nada de la matemática de remoción de arriba.

¿Qué es el intercambio híbrido de llaves y qué asegura?

El intercambio híbrido es agilidad ya desplegada: combina un algoritmo clásico y uno post-cuántico en el mismo handshake, de modo que la conexión sigue segura si cualquiera de los dos cae. La combinación dominante, X25519MLKEM768, aparea la curva clásica X25519 con ML-KEM-768. Chrome lo trae encendido por defecto desde la versión 131 en noviembre de 2024 (anunciado el 17-sep-2024 en el blog de seguridad de Google, reemplazando al híbrido anterior del borrador Kyber). OpenSSL 3.5.0, liberado el 8-abr-2025, trae ML-KEM, ML-DSA y SLH-DSA y pone X25519MLKEM768 como key share por defecto. Signal movió su handshake inicial al híbrido PQXDH el 19-sep-2023; Apple desplegó PQ3 en iMessage el 21-feb-2024. Medido en la red: cerca del 70% del tráfico HTTPS humano generado por navegadores en la red de Cloudflare ya negocia acuerdo de llaves post-cuántico (Cloudflare, 29-sep-2026) — la serie completa, desde el 29% de enero de 2025, está en la pieza de adopción de esta serie — mientras que solo cerca del 15% de los orígenes escaneados lo soporta (misma fuente y fecha).

La lectura de agilidad del híbrido es la que importa: el híbrido es cómo se ve la ingeniería cuando asumes que tu algoritmo más nuevo puede fallar. Si ML-KEM se rompiera alguna vez, las conexiones híbridas caerían a la seguridad clásica de X25519 y no a nada; si el criptoanálisis llega primero por el lado clásico, sostiene ML-KEM. SIKE es ese argumento hecho carne — un esquema que lucía fuerte para la Ronda 4 y murió en 25 días. La mecánica del handshake híbrido, sus costos en bytes y quién lo despliega dónde tendrán su propia pieza en esta serie.

¿Qué hizo el propio NIST con la agilidad?

NIST compró un seguro con su propia selección — y ese es el endorso institucional más fuerte que la agilidad ha recibido. El 11-mar-2025 seleccionó HQC como quinto algoritmo y respaldo de ML-KEM, declarando la razón sin vueltas: un estándar de respaldo basado en una matemática distinta — códigos correctores de errores en vez de retículos estructurados — para que un solo avance criptoanalítico no pueda tumbar al único KEM estandarizado. El borrador se espera para comentario público en 2026 y el estándar final en 2027; esas fechas son declaradas, y esta serie las va a registrar cuando ocurran, no antes. Súmese CSWP 39 — un catálogo de prácticas para construir sistemas donde el algoritmo es configuración, no arquitectura — y el patrón es consistente: el organismo que eligió los algoritmos está ingeniando para la posibilidad de haber elegido mal.

¿Qué hace un equipo de seguridad con esto?

El tablero se traduce en cuatro movimientos, y ninguno requiere creer en ninguna fecha particular de Q-Day. Primero, inventario antes que nada: no puedes cambiar lo que no encontraste, y la pieza de CBOM de esta serie muestra que todos los marcos mayores desde 2022 ponen el descubrimiento primero — con la salvedad medida de que la propia estrategia de CISA (15-ago-2024) encontró que solo 3 de los 9 campos exigidos de inventario son auto-colectables con las herramientas actuales. Segundo, convertir la agilidad en pregunta de compras: NIST CSWP 39 es, entre otras cosas, una lista de preguntas para proveedores — si el producto puede negociar algoritmos, si puede actualizarse en campo, si la criptografía es configurable o viene compilada. Una respuesta del tipo «vamos a ser quantum-safe» sin mecanismo de reemplazo es un claim sobre el primer algoritmo, no sobre el segundo. Tercero, tomar los defaults híbridos donde el stack ya los ofrece — navegadores, bibliotecas TLS y CDNs los desplegaron entre 2023 y 2025, así que para buena parte del perímetro esto es configuración, no construcción. Cuarto, poner las fechas declaradas en el calendario propio como plazos a verificar — 2030 y 2035 de NIST IR 8547, 2028 del NCSC, los plazos federales de EE. UU. de la pieza de la orden ejecutiva — porque van a llegar, haya o no amenaza medida para entonces.

Tablero PQC — estado al 5-nov-2026

Los indicadores permanentes que este motor re-mide en cada corrida. Dos filas se re-verificaron hoy; el resto muestra su lectura fechada más reciente.

Qué no sabemos

• Si el estándar final de HQC va a llegar en 2027 como espera NIST. La fecha es declarada, no medida; esta serie la registrará cuando ocurra.
• Cuánto tarda de punta a punta un reemplazo real de algoritmo en una empresa. No encontramos ninguna medición publicada con metodología declarada al 5-nov-2026 — y la GAO reportó en octubre de 2026 que ninguna de las 24 agencias de EE. UU. revisadas había completado los inventarios de los que esa medición partiría.
• Si más esquemas PQC estandarizados o de rondas finales van a caer ante criptoanálisis clásico. Rainbow y SIKE establecen que el riesgo es real; nada establece su tasa.
• El costo del intercambio híbrido en la cola larga — dispositivos embebidos, firmware, hardware de vida larga. Los datos de desempeño publicados cubren navegadores, bibliotecas TLS y CDNs, no el 10% más lento de la base instalada.
• Si las prácticas de CSWP 39 van a volverse obligatorias en alguna parte. Al 5-nov-2026 nuestro escaneo las encuentra citadas como guía, no exigidas por ninguna regulación.
• Cuándo existirá un computador cuántico criptográficamente relevante. La posición de la casa, RQ-PRED-QDAY-001, es un juicio sellado y refutable — piso 2031, ventana 2033 a 2039 — no una medición, y el tablero de hoy sigue mostrando 0 llaves rotas.

Rosetta Quantum publica veredictos con datos crudos y reproducibles. Esto es contenido educativo, no un claim de producto ni asesoría de inversión.