El BSI desaconseja Classic McEliece en nuevos desarrollos por los avances en su criptoanálisis

La Oficina Federal de Seguridad de la Información de Alemania (BSI) recomienda dejar de usar Classic McEliece en nuevos desarrollos y en la planificación de nuevas aplicaciones criptográficas. Lo dice en una nota técnica del 29 de septiembre, tras una serie de trabajos de 2026 que han abaratado mucho los ataques contra este mecanismo de acuerdo de claves post-cuántico. El BSI lo recomendaba desde 2020.

Classic McEliece es un mecanismo de criptografía post-cuántica (PQC) basado en códigos correctores de errores. Llegó a la cuarta ronda del proceso de normalización del NIST y la ISO/IEC lo normalizó en junio de 2026. Tiene textos cifrados muy pequeños y claves públicas muy grandes, así que se usa poco, sobre todo en escenarios con claves estáticas de larga vida.

Qué ha cambiado

Su seguridad descansa en que, viendo solo la clave pública, no se puede reconstruir la estructura del código secreto, un código de Goppa binario. Hasta hace poco, el mejor ataque de ese tipo contra los parámetros más pequeños tenía un coste estimado de más de 2³⁰⁰⁰ operaciones, muy por encima del mínimo de 120 bits de seguridad que pide la guía técnica TR-02102-1 del BSI. Varios trabajos publicados en los últimos meses, uno de ellos firmado por investigadores del propio BSI, han cambiado eso:

• Un distinguidor, que separa los códigos de Goppa de códigos aleatorios, con un coste de entre 2¹²⁰ y 2¹²⁴ operaciones para los parámetros que recomienda el BSI, y un algoritmo heurístico de recuperación de clave de entre 2¹⁴⁰ y 2¹⁴⁸, según sus autores.
• Una mejora de ese trabajo que, según su autor, recupera la clave con entre 2⁹⁹ y 2¹⁰² operaciones para esos mismos parámetros, por debajo del nivel exigido.
• Una adaptación del mismo enfoque que ha resuelto un reto concreto de recuperación de clave del Technology Innovation Institute.

Qué recomienda el BSI

• Para acuerdo de claves, otros mecanismos: FrodoKEM, ML-KEM o, cuando se publique su norma, HQC.
• Lo ya desplegado, en modo híbrido. La guía solo recomendaba Classic McEliece combinado con un mecanismo clásico, de forma que haya que romper los dos. Como el uso de los mecanismos clásicos solos sigue recomendado hasta finales de 2031, ese híbrido conserva al menos la seguridad del clásico.
• Revisión en 2027. La recomendación se revisará en la próxima versión de la TR-02102-1, prevista para principios de 2027.

Qué cambia para quien tiene que decidir

Para quien no usa Classic McEliece, nada en el calendario: el BSI mantiene la recomendación urgente de completar la migración a la criptografía post-cuántica para el acuerdo de claves en 2031 como muy tarde. Quien lo tenga en un diseño nuevo debería sustituirlo. La lección general es la que saca la propia agencia: el modo híbrido ha cumplido su función, porque el debilitamiento de un mecanismo no deja el sistema al descubierto, y los avances del criptoanálisis no se pueden descartar nunca, así que la criptoagilidad tiene que estar en la migración desde el principio. HQC, aunque también se basa en códigos, no se ve afectado, y el BSI lo ve como una alternativa importante a los mecanismos basados en retículos.