Distribución cuántica de claves vs criptografía poscuántica: contra qué protege cada una

En qué se diferencian la distribución cuántica de claves y la criptografía poscuántica en sus objetivos, supuestos, compromisos de despliegue y las amenazas que aborda cada una.

Esta página fue traducida del inglés. Los nombres de empresas y productos, así como los enlaces a las fuentes, no se han modificado. Leer el original en inglés

La distribución cuántica de claves y la criptografía poscuántica suelen agruparse como tecnologías «seguras frente a la computación cuántica», pero resuelven problemas distintos de maneras distintas. La QKD es un método para crear claves secretas compartidas cuya seguridad está vinculada al comportamiento de la mecánica cuántica, mientras que la PQC es una familia de algoritmos, en su mayoría de clave pública, pensados para mantener seguros los sistemas digitales actuales frente a futuros ordenadores cuánticos.

En la práctica, la elección no suele ser una cuestión de blanco o negro. La QKD se centra en el establecimiento de claves con detección de escuchas bajo supuestos físicos y de red específicos; la PQC se centra en sustituir bloques criptográficos vulnerables en la infraestructura existente. Entender frente a qué protege cada una empieza por esa distinción.

Dos respuestas distintas a la amenaza cuántica

La preocupación de fondo en ambos enfoques es que la computación cuántica amenaza muchos sistemas de clave pública de uso generalizado. Según el resumen de Wikipedia sobre criptografía poscuántica, la mayoría de los algoritmos de clave pública desplegados se basan en la factorización de enteros, los logaritmos discretos o los logaritmos discretos sobre curvas elípticas, y un ordenador cuántico lo bastante potente que ejecute el algoritmo de Shor podría resolver esos problemas de forma eficiente.

Eso no significa que toda la criptografía se rompa de golpe. El resumen de Wikipedia también dice que la criptografía simétrica y las funciones hash actuales se consideran relativamente seguras frente a ataques cuánticos, aunque el algoritmo de Grover puede acelerar la búsqueda por fuerza bruta y, en la práctica, puede contrarrestarse duplicando el tamaño de la clave.

A partir de ahí, QKD y PQC divergen:

QKD busca permitir que dos partes generen una clave secreta aleatoria compartida usando estados cuánticos.
PQC busca sustituir algoritmos clásicos de clave pública vulnerables por otros nuevos que actualmente se consideran, aunque no se ha demostrado, resistentes a ataques cuánticos.

Esa diferencia de alcance importa. La QKD no cifra por sí sola los datos de una aplicación; distribuye claves. La PQC, en cambio, está pensada para encajar en los lugares donde ya se utiliza criptografía de clave pública para el establecimiento de claves y las firmas digitales.

Frente a qué protege la QKD

La QKD es un método de comunicación segura basado en la mecánica cuántica, incluido el principio de perturbación por medición y el teorema de no clonación. Su propósito es permitir que dos partes creen una clave secreta compartida conocida solo por ellas.

Su propiedad de seguridad distintiva es la detección de escuchas. En general, medir un sistema cuántico lo perturba. Así que, si un tercero intenta averiguar la clave midiendo los estados cuánticos transmitidos, esa interferencia crea anomalías que las partes legítimas pueden detectar. Si la perturbación observada está por debajo de un umbral, aún pueden derivar una clave segura; si es demasiado alta, abortan.

El artículo de Wikipedia sobre distribución cuántica de claves describe la seguridad de la QKD como basada en la física, y no en la supuesta dificultad de problemas matemáticos. También describe la QKD como dotada de seguridad demostrable basada en la teoría de la información y como proveedora de secreto hacia adelante.

Dicho esto, la QKD protege una parte más estrecha del problema de lo que mucha gente supone:

Protege el proceso de distribución de una clave.
No transmite directamente los datos del mensaje.
La clave resultante aún debe usarse con un método de cifrado, como un one-time pad o un algoritmo simétrico como AES.

Así que, si la pregunta es «¿qué defiende la QKD?», la respuesta es: defiende la confidencialidad del intercambio de claves en sí, bajo los supuestos del protocolo y de la implementación, haciendo detectable la escucha en el canal cuántico.

Cómo funciona la QKD a grandes rasgos

El artículo de Wikipedia sobre distribución cuántica de claves describe dos grandes familias de protocolos QKD.

Preparar y medir

En este modelo, una parte prepara estados cuánticos y los envía por un canal cuántico inseguro. El receptor los mide. Más tarde, a través de un canal clásico autenticado, ambas partes comparan información limitada para comprobar si las mediciones son coherentes con una transmisión no perturbada.

Si no lo son, infieren una posible escucha o un ruido excesivo y pueden abortar.

El ejemplo más conocido es BB84, introducido por Charles H. Bennett y Gilles Brassard en 1984. En BB84, el emisor codifica bits aleatorios en una de dos bases posibles, y el receptor mide cada estado cuántico entrante usando una base elegida al azar. Después, comparan públicamente sus elecciones de base y descartan las posiciones en las que usaron bases distintas. Luego prueban un subconjunto de los bits restantes en busca de errores; demasiados errores implican que la seguridad no puede garantizarse.

Basados en entrelazamiento

Estos protocolos utilizan estados entrelazados compartidos entre las dos partes. Wikipedia explica que medir una mitad de un par entrelazado afecta al sistema en su conjunto, y que la interceptación cambia las correlaciones de maneras detectables. Un ejemplo citado es E91, propuesto por Artur Ekert en 1991.

Para una persona no especialista, lo importante es que ambas familias intentan lograr el mismo objetivo: generar una clave secreta compartida haciendo visible la interceptación.

La dependencia oculta de la QKD: la autenticación

La característica más llamativa de la QKD puede ocultar un requisito crucial. El artículo de Wikipedia sobre distribución cuántica de claves afirma que la QKD suele depender de un canal clásico autenticado. Así es como las dos partes saben que realmente están hablando entre sí durante la fase de discusión pública, y no con un suplantador.

Esto crea una limitación práctica importante:

Para autenticar ese canal clásico, las partes ya necesitan alguna base criptográfica de confianza, como una clave simétrica intercambiada previamente o claves públicas suficientemente seguras.

Eso significa que la QKD no elimina el problema de la autenticación. Resuelve la distribución de claves bajo el supuesto de que la autenticación ya está disponible.

El artículo de Wikipedia es inusualmente directo sobre la consecuencia: si ya se dispone de lo necesario para autenticar de forma segura, entonces en la práctica puede ser posible lograr una comunicación segura sin QKD, usando criptografía simétrica convencional. Incluso caracteriza la QKD como algo que hace el trabajo de un cifrado de flujo a un coste mucho mayor.

Este es uno de los compromisos clave en el debate sobre la QKD. Su modelo de seguridad es atractivo, pero la carga de despliegue a nivel de sistema es considerable.

Frente a qué protege la PQC

La PQC aborda una superficie de amenaza distinta. Es el desarrollo de algoritmos criptográficos, por lo general de clave pública, que actualmente se considera que seguirán siendo seguros frente a ataques de ordenadores cuánticos.

Su objetivo principal es el futuro fallo de los sistemas de clave pública actuales. El resumen de Wikipedia sobre criptografía poscuántica también destaca dos razones por las que la migración es urgente antes de que existan grandes ordenadores cuánticos:

La migración lleva tiempo.
Harvest now, decrypt later es una preocupación real: los datos recopilados hoy pueden seguir siendo sensibles dentro de años.

Por tanto, la PQC protege frente a dos riesgos relacionados:

El descifrado futuro de datos protegidos hoy con métodos de clave pública vulnerables a la computación cuántica.
La futura falsificación o el fallo de mecanismos de autenticidad que dependen de esos mismos métodos vulnerables.

A diferencia de la QKD, la PQC no se basa en hardware de comunicación cuántica. Es una transición criptográfica clásica: sustituir algoritmos dentro del software, el hardware, los protocolos y los estándares.

La PQC es más amplia que una sola familia de algoritmos

El resumen de Wikipedia sobre criptografía poscuántica enumera varias líneas de investigación en PQC, incluidas la criptografía basada en retículas, multivariante, basada en funciones hash, basada en códigos y basada en isogenias, junto con enfoques de clave simétrica que usan claves de tamaño suficientemente grande.

Un matiz central es que la PQC no está demostrada como segura en sentido general. Wikipedia describe repetidamente estos sistemas como actualmente considerados seguros, y señala que algunos candidatos han fracasado. Un ejemplo llamativo es SIDH/SIKE, que fue vulnerado en 2022.

Eso no desacredita a la PQC en su conjunto, pero sí muestra que «resistente a la computación cuántica» no es una etiqueta permanente. Es un proceso de investigación y estandarización basado en un criptoanálisis continuo.

Algunas familias tienen reducciones formales más sólidas que otras, y algunas presentan compromisos prácticos como claves, firmas o textos cifrados de mayor tamaño. Wikipedia señala que muchos algoritmos PQC requieren tamaños de clave mayores que los sistemas de clave pública pre-cuánticos, y que esto puede generar compromisos en tamaño de transmisión y eficiencia computacional.

Estandarización y realidad del despliegue

La señal más clara sobre la situación práctica de la PQC viene de NIST.

NIST afirma que publicó sus principales estándares de PQC en 2024 y que las organizaciones deberían empezar ya la migración. Los estándares enumerados son:

FIPS 203: ML-KEM
FIPS 204: ML-DSA
FIPS 205: SLH-DSA

NIST también dice que estos estándares deben servir de base para la mayoría de los despliegues y que hay estándares adicionales en preparación, incluidos Falcon y HQC. Además, afirma que, según el calendario de transición de NIST IR 8547, los algoritmos vulnerables a la computación cuántica quedarán obsoletos y acabarán eliminándose de los estándares de NIST para 2035, y que los sistemas de mayor riesgo se adelantarán.

Esto contrasta de forma importante con la QKD. Al margen de lo que se piense sobre las ventajas a largo plazo de uno u otro enfoque, la PQC ya está en una senda de migración basada en estándares y orientada a un despliegue amplio en la infraestructura digital ordinaria.

Comparación directa: frente a qué protege cada una

Aspecto	Distribución cuántica de claves	Criptografía poscuántica
Propósito principal	Crear una clave secreta compartida	Sustituir algoritmos de clave pública vulnerables
Base de seguridad	Mecánica cuántica y perturbación detectable	Algoritmos clásicos considerados resistentes a ataques cuánticos
Qué protege directamente	La confidencialidad de la distribución de claves	Establecimiento de claves, firmas y otras funciones de clave pública en sistemas digitales
Detección de escuchas	Sí, como propiedad integrada del protocolo	No existe una propiedad física equivalente de detección
Requisito de hardware	Requiere un canal cuántico más un canal clásico	Funciona sobre infraestructura digital clásica
Necesidad de autenticación	Requiere un canal clásico autenticado	Proporciona mecanismos de autenticación por sí misma mediante estándares de firma/KEM
Modelo de despliegue	Enlaces especializados y configuración de protocolos	Migración de software, hardware y protocolos en sistemas existentes
Principal compromiso según la evidencia	Alto coste y dependencia de autenticación previa	Claves/firmas más grandes y riesgo continuo de evaluación de algoritmos

Entonces, ¿cuál protege “más”?

Ninguna protege universalmente más; protegen de forma diferente.

La QKD ofrece una afirmación de seguridad distintiva para la distribución de claves: en principio, los intentos de interceptación en el canal cuántico son detectables. Para aplicaciones donde esa propiedad es decisiva, la QKD puede resultar atractiva. Pero viene acompañada de supuestos exigentes, especialmente la necesidad de un canal clásico autenticado y de una infraestructura de comunicación especializada.

La PQC aborda el problema sistémico más amplio e inmediato: sustituir la criptografía de clave pública que un futuro ordenador cuántico podría romper. No ofrece la detección de escuchas basada en la física propia de la QKD, pero está diseñada para proteger las funciones criptográficas de las que dependen realmente las redes modernas a gran escala.

Otra forma de plantearlo:

Si tu preocupación es cómo dos extremos establecen claves a través de un canal observable cuánticamente, la QKD es la herramienta pertinente.
Si tu preocupación es cómo internet, las cadenas de suministro de software, los sistemas de identidad y los datos cifrados de larga duración sobreviven a la llegada de ataques cuánticos, la PQC es la respuesta central.

Las preguntas abiertas y los compromisos

Una visión equilibrada debería tener presentes varias incertidumbres.

Para la QKD:

Su planteamiento de seguridad es sólido en teoría, pero depende de una implementación correcta.
No elimina la necesidad de autenticación.
Wikipedia plantea explícitamente la cuestión práctica de si el coste añadido está justificado cuando el cifrado autenticado clásico puede ya satisfacer la necesidad.

Para la PQC:

Se considera, pero no se ha demostrado, que estos algoritmos sean seguros frente a ataques cuánticos.
Algunas familias o esquemas candidatos han fracasado bajo criptoanálisis.
El despliegue práctico puede implicar claves más grandes y otros compromisos de rendimiento.

Aun así, NIST apunta a un consenso operativo actual: migrar ya hacia una PQC estandarizada, porque esperar a que los ordenadores cuánticos sean plenamente maduros puede dejar demasiado poco tiempo para proteger la confidencialidad y la autenticidad de larga duración.

Conclusiones clave

QKD y PQC no son sustitutos en un sentido simple. La QKD distribuye claves secretas; la PQC sustituye la criptografía de clave pública vulnerable.
La característica más destacada de la QKD es la detección de escuchas en el canal cuántico, basada en la perturbación cuántica por medición.
La QKD no cifra mensajes por sí sola y normalmente requiere un canal clásico autenticado, lo que significa que ya debe existir alguna base de confianza.
La PQC está orientada al problema más amplio de la migración creado por las amenazas cuánticas a los sistemas actuales de clave pública.
La criptografía simétrica actual se ve menos alterada por la computación cuántica que la criptografía actual de clave pública, aunque puede ser prudente usar tamaños de clave mayores.
La PQC ya está entrando en los estándares generalistas. NIST publicó FIPS 203, 204 y 205 en 2024 y dice que las organizaciones deberían empezar ya la migración.
Ninguna de las dos vías es gratuita. La QKD implica cargas de infraestructura y autenticación; la PQC implica incertidumbre algorítmica y compromisos de rendimiento, como claves más grandes.
Para la mayoría de las organizaciones, la PQC es la respuesta principal a corto plazo al riesgo cuántico, mientras que la QKD aborda un objetivo de seguridad más estrecho y especializado.