Política y regulación · Quantum-Safe
La IETF aprueba Composite ML-KEM, el cifrado híbrido post-cuántico para certificados X.509
El IESG da el visto bueno a Composite ML-KEM, que une ML-KEM con RSA o curvas elípticas en una sola clave X.509. Aún no es RFC: está en edición.
Lo esencial
- El IESG aprobó el 12 de octubre Composite ML-KEM, que combina ML-KEM con RSA, ECDH, X25519 o X448 en una sola clave X.509.
- Aún no es RFC: está en la cola del RFC Editor, en revisión de referencias y formato tras la versión 23 del 14 de octubre.
- Define doce combinaciones, ninguna obligatoria; recomienda ML-KEM-768 con X25519 o con P-256 y, para el nivel 5, ML-KEM-1024 con P-384.
El órgano que aprueba los estándares de la Internet Engineering Task Force (IETF), el IESG, ha aprobado Composite ML-KEM, la especificación que combina el mecanismo post-cuántico ML-KEM con un algoritmo clásico en una sola clave para certificados X.509. Según el historial del documento, la aprobación es del 12 de octubre, y ese mismo día pasó a la cola del RFC Editor, que lo prepara para publicarlo como norma con el estatus de Proposed Standard.
Todavía no es un RFC y no tiene número. El RFC Editor lo bloqueó el mismo día 12 a la espera de respuestas de los autores; el 14 de octubre subieron una nueva versión, la 23, y el documento volvió a la fase de revisión de referencias y formato. Lo firman Mike Ounsworth y John Gray (Entrust), Massimiliano Pala (OpenCA Labs), Jan Klaußner (Bundesdruckerei) y Scott Fluhrer (Cisco), y sale del grupo de trabajo LAMPS.
Qué define
El documento registra doce combinaciones de ML-KEM, el mecanismo de encapsulado de claves que el NIST estandarizó en FIPS 203, con RSA-OAEP, con Diffie-Hellman de curva elíptica (ECDH sobre P-256, P-384, P-521 y las curvas Brainpool) o con X25519 y X448. Cada combinación tiene una sola clave pública y un solo texto cifrado, de modo que los protocolos que ya usan X.509, como las peticiones PKCS#10, CMP o los propios certificados, la tratan como cualquier otro algoritmo, sin saber que dentro hay dos. Un atacante tendría que romper los dos componentes para obtener el secreto compartido.
El texto explica para qué sirve la mezcla: protegerse frente a una rotura o un fallo grave de ML-KEM, que es joven, y añadir criptografía post-cuántica a una solución ya auditada y certificada sin invalidar su certificación. Por eso hay tantas combinaciones: la idea es que cada organización parta del algoritmo clásico que ya tiene desplegado. Ninguna es obligatoria, pero para quien no tenga requisitos regulatorios ni sistemas heredados recomienda dos: ML-KEM-768 con X25519 (la combinación conocida como X-Wing) y ML-KEM-768 con P-256. Para entornos que solo admiten el nivel 5 del NIST, ML-KEM-1024 con P-384.
- Solo para cifrar o acordar claves. Un certificado con una clave compuesta solo puede llevar el uso keyEncipherment; el documento prohíbe usar un componente para firmar y el otro para cifrar.
- Certificación FIPS. Según los autores, con las reglas de la publicación SP 800-227 del NIST basta con que uno de los dos componentes esté certificado para que la combinación pueda certificarse.
- Sin compatibilidad con lo instalado. Solo los sistemas actualizados entienden los nuevos identificadores; los que ya están desplegados no podrán usar estas claves.
Aviso · qué no cubre este documento
Es la parte de cifrado. Las firmas híbridas y el uso en mensajes cifrados con CMS van en otras especificaciones, y el texto puede cambiar en detalles de redacción hasta que salga el RFC.
Qué cambia para quien tiene que decidir
Hasta ahora, quien quería claves híbridas en su infraestructura de clave pública (PKI) dependía de borradores que podían cambiar. Con la aprobación, los identificadores y el formato quedan casi cerrados, y los fabricantes de módulos criptográficos, autoridades de certificación y bibliotecas tienen una referencia estable para implementarlos. Es también lo que piden algunas agencias europeas: la guía alemana que contamos esta semana recomienda combinar algoritmos clásicos y post-cuánticos. Para quien planifica una migración, la pregunta práctica es qué combinación elegir y si sus proveedores la soportan: la propia especificación advierte que soportar muchas fragmentaría el ecosistema.