¿Cuándo llegará un computador cuántico que rompa RSA?

Nadie lo sabe con certeza; las estimaciones van de una a varias décadas. Pero la fecha de llegada no es lo que importa: por «harvest now, decrypt later», los datos que deban seguir secretos dentro de 10-20 años ya están en riesgo hoy, porque un adversario puede almacenar tu tráfico cifrado y esperar.

¿Qué algoritmos debo usar?

Los estandarizados por el NIST en 2024: ML-KEM (FIPS 203, antes Kyber) para encapsulación de claves y ML-DSA (FIPS 204, antes Dilithium) para firmas; SLH-DSA (FIPS 205) para firmas basadas en hash. Falcon (FN-DSA / FIPS 206) sigue en borrador a 2026.

¿La criptografía simétrica como AES también se rompe?

No con Shor. El algoritmo de Grover solo da una aceleración cuadrática, que se neutraliza duplicando el tamaño de clave: AES-256 sigue siendo seguro. El problema cuántico es el cifrado asimétrico (RSA, ECC, Diffie-Hellman).

¿Debo migrar ya o esperar?

Migra ahora lo que tenga un horizonte de confidencialidad largo, y hazlo en modo híbrido (clásico + post-cuántico) para no depender de un solo esquema: el híbrido te protege aunque uno de los dos falle.

¿Qué es la criptografía post-cuántica y por qué deberías migrar ya?

La criptografía que protege hoy tus datos —claves, HTTPS, firmas— se apoya en problemas matemáticos que los ordenadores actuales no pueden resolver en un tiempo razonable. Un ordenador cuántico suficientemente grande sí podría resolver algunos de ellos. Eso es la criptografía post-cuántica: algoritmos diseñados para resistir tanto a ordenadores clásicos como cuánticos.

La amenaza no es solo del futuro

Podrías pensar: "no existe todavía un ordenador cuántico que rompa mi cifrado, así que puedo esperar". El problema es un ataque llamado "harvest now, decrypt later" (cosecha ahora, descifra después):

Un adversario captura hoy tu tráfico cifrado y lo guarda. Cuando dentro de unos años exista la capacidad cuántica, lo descifra.

Si tus datos deben seguir siendo secretos dentro de 10 años (historiales médicos, secretos industriales, datos personales), la amenaza es presente, no futura. Los datos que cifras hoy con criptografía clásica podrían leerse mañana.

Los nuevos estándares del NIST

El NIST (el organismo estadounidense de estándares) finalizó en 2024 los primeros algoritmos post-cuánticos, tras años de análisis público:

ML-KEM (antes CRYSTALS-Kyber): para intercambio de claves — cómo dos partes acuerdan una clave secreta de forma segura.
ML-DSA (antes CRYSTALS-Dilithium): para firmas digitales — cómo verificar que un mensaje es auténtico y no fue alterado.

Estos ya no son experimentos académicos: son estándares que gobiernos y grandes empresas están empezando a exigir.

Cifrado híbrido: el enfoque prudente

Los algoritmos post-cuánticos son nuevos, y "nuevo" en criptografía significa "menos probado". Por eso la mejor práctica actual es híbrida: combinar un algoritmo clásico bien establecido con uno post-cuántico. El resultado solo se rompe si ambos caen a la vez. Ganas protección post-cuántica sin renunciar a décadas de confianza en la criptografía clásica.

¿Por dónde empezar?

Inventaría dónde usas criptografía y qué datos deben durar años.
Prioriza los datos en reposo de larga vida (los más expuestos al "harvest now").
Adopta cifrado híbrido en vez de reemplazos de golpe.
Usa librerías que compongan primitivas verificadas, no criptografía casera.

Este último punto es clave, y es la filosofía detrás de Quipu, una librería libre de cifrado híbrido post-cuántico para datos en reposo. Si te interesa proteger tus datos frente a la amenaza cuántica, hablemos.