El grupo TLS del IETF adopta las firmas compuestas ML-DSA para autenticar conexiones TLS 1.3

El grupo de trabajo TLS del Grupo de Trabajo de Ingeniería de Internet (IETF) ha adoptado como documento propio el borrador Use of Composite ML-DSA in TLS 1.3. Define cómo usar firmas compuestas ML-DSA para autenticar servidores y clientes en TLS 1.3: cada firma une la firma post-cuántica ML-DSA (FIPS 204) con una clásica. La versión 00 del documento de grupo, fechada el 20 de octubre, se subió el 23 de octubre y apunta a estándar.

Hasta ahora, lo híbrido en TLS era sobre todo el intercambio de claves, que protege frente a capturar ahora y descifrar después. Este borrador lleva la misma idea a la autenticación: quien quiera suplantar a un servidor tendría que romper las dos firmas, la post-cuántica y la clásica.

Qué define

• 16 combinaciones de ML-DSA-44, ML-DSA-65 o ML-DSA-87 con ECDSA (curvas P-256, P-384 y P-521), Ed25519, Ed448, RSA-PSS o RSA PKCS#1 v1.5.
• Para TLS, cada firma compuesta es un algoritmo opaco, como Ed25519: la construcción interna la fija otro documento, el de firmas compuestas para certificados X.509 del grupo LAMPS.
• Las tres variantes con RSA PKCS#1 v1.5 solo valen para las firmas de los certificados, no para la firma del propio protocolo de enlace, igual que TLS 1.3 ya excluyó ese esquema.
• No se pueden usar en TLS 1.2.

La base ya está más avanzada. El documento de LAMPS, Composite ML-DSA for use in X.509 Public Key Infrastructure, figura en la cola del editor de RFC, el último paso antes de publicarse. Es la pareja, para firmas, del cifrado híbrido para certificados que contamos a propósito de Composite ML-KEM.

Por qué compuestas

El borrador argumenta que, durante la transición, no se puede confiar del todo en la criptografía clásica ni todavía en la post-cuántica, que necesita más escrutinio y uso real para que salgan los fallos de implementación. Recuerda que algunas autoridades ya recomiendan o exigen usar los esquemas de retículos solo dentro de un esquema híbrido, y cita la guía de 2021 de la oficina federal alemana de seguridad de la información (BSI). Y sostiene que firmar en híbrido desde el principio es mejor que tener preparado un cambio de algoritmo para cuando uno se rompa: ese cambio llega tarde si el fallo se explota antes de hacerse público.

La hoja de ruta del NIST va en la misma línea: admite firmas dobles en la validación FIPS 140 como paso intermedio, antes de una segunda transición a algoritmos solo post-cuánticos, como contamos la semana pasada.

Lo que no resuelve

El propio texto, en sus consideraciones de seguridad, señala dos límites:

• La degradación hacia lo clásico. Un cliente que siga aceptando certificados solo clásicos sigue expuesto aunque el servidor ya use firmas compuestas: con un ordenador cuántico capaz de romper la criptografía actual, un atacante podría obtener la clave privada clásica de un certificado, o la de una autoridad de certificación clásica en la que el cliente aún confíe, y hacerse pasar por el servidor. El borrador remite a otra propuesta para que el cliente recuerde que un servidor ya autentica en post-cuántico.
• La degradación hacia ML-DSA solo. Quien acepte a la vez la firma compuesta y ML-DSA sola pierde la protección si ML-DSA se rompe. Evitarlo depende de la política de quien verifica: no aceptar ML-DSA sola donde se quiere la compuesta.

El texto añade que, cuando la parte clásica deje de ser segura, las firmas compuestas no tendrán que retirarse de golpe: para TLS basta con que nadie pueda falsificar una firma sobre una conexión nueva, y eso lo sigue garantizando ML-DSA. La migración a autenticación solo post-cuántica podría hacerse por fases.

Firman el borrador Tirumaleswar Reddy (Nokia), Tim Hollebeek (DigiCert), John Gray (Entrust), Scott Fluhrer (Cisco) y Daniel Van Geest (CryptoNext Security).