Política y regulación · Quantum-Safe
El NCSC británico publica sus perfiles de TLS post-cuántico y pide migrar ya a TLS 1.3
La guía del NCSC fija perfiles de TLS post-cuántico con ML-KEM híbrido o puro y avisa: TLS 1.2 no tendrá PQC. La autenticación sigue siendo clásica.
Lo esencial
- El NCSC recomienda para TLS 1.3 un perfil híbrido (X25519MLKEM768 o SecP256r1MLKEM768) y otro solo con ML-KEM-768, válidos para información OFFICIAL.
- TLS 1.3 es la única versión que tendrá PQC: quien use TLS 1.2 debe planificar el salto, idealmente junto con la activación de los algoritmos post-cuánticos.
- La autenticación sigue con ECDSA o RSA hasta que haya estándares; el NCSC pide no emitir certificados que caduquen después de la migración prevista.
El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) ha actualizado su guía para configurar TLS con perfiles recomendados de TLS post-cuántico. La nueva versión, la 1.2, es del 15 de octubre de 2026 y, según el organismo, sus configuraciones sirven para uso general y para proteger información del Gobierno británico clasificada como OFFICIAL, el nivel de uso cotidiano.
En la entrada que acompaña a la guía, su director técnico principal de criptografía y tecnologías de alta amenaza resume el mensaje: hay configuraciones estandarizadas e implementadas en bibliotecas maduras, así que las organizaciones deberían «aspirar a dar este paso ahora».
Qué recomienda
La base es el RFC 10024, publicado por la IETF en agosto de 2026, que estandariza tres mecanismos híbridos de acuerdo de claves para TLS 1.3. Cada uno combina ML-KEM, el algoritmo post-cuántico, con una curva elíptica clásica: X25519MLKEM768, SecP256r1MLKEM768 y SecP384r1MLKEM1024. El NCSC los considera adecuados los tres y recomienda los híbridos como medida transitoria.
- Perfil híbrido. Intercambio de claves con X25519MLKEM768 o SecP256r1MLKEM768; autenticación con ECDSA sobre P-256 o RSA-PSS de 2048 bits; cifrado con TLS_AES_128_GCM_SHA256.
- Perfil post-cuántico puro. Intercambio de claves solo con ML-KEM-768, con la misma autenticación y el mismo cifrado. Su estándar en TLS aún no es RFC: el NCSC habla de «retrasos de procedimiento», pero lo da por aceptable porque ya está en muchas implementaciones.
- Clientes. Donde se puedan configurar, por ejemplo en una red corporativa, recomienda ofrecer claves para X25519MLKEM768 y para la curva clásica P-256.
Para servidores con OpenSSL, la guía propone una cadena de grupos que prefiere los híbridos, admite después ML-KEM puro y SecP384r1MLKEM1024, y deja las curvas clásicas para quien todavía no soporte criptografía post-cuántica (PQC):
*X25519MLKEM768:SecP256r1MLKEM768:MLKEM768/SecP384r1MLKEM1024:MLKEM1024/*secp256r1:secp384r1Aviso · lo que la guía todavía no cubre
Solo el intercambio de claves es post-cuántico. La IETF no ha estandarizado aún la autenticación post-cuántica en TLS, así que los certificados siguen siendo ECDSA o RSA. El NCSC pide no emitirlos con validez más allá de la fecha en que cada organización prevea terminar su migración, y anuncia que añadirá la autenticación cuando haya estándares e implementaciones maduras.
Qué cambia para quien tiene que decidir
La consecuencia más práctica es que TLS 1.2 se queda fuera. Según la guía, TLS 1.3 es la única versión que recibirá funciones nuevas como la PQC, y TLS 1.2 solo tendrá parches críticos. Quien siga en TLS 1.2 tiene que planificar el salto, y el NCSC sugiere hacer las dos cosas en un único proyecto: adoptar TLS 1.3 y activar a la vez los algoritmos post-cuánticos. TLS 1.0, 1.1 y cualquier versión de SSL deben estar desactivados.
El calendario es el que el NCSC ya tenía publicado en su guía de plazos de migración: inventario y plan para 2028, migraciones prioritarias para 2031 y migración completa para 2035. El organismo dice que, para muchas organizaciones, proteger los datos en tránsito será una de esas prioridades de 2031. En los próximos meses prevé actualizar también su guía de IPsec.
La recomendación de combinar algoritmos clásicos y post-cuánticos coincide con la de la guía alemana que contamos este mes. En los certificados, la IETF ya ha aprobado una versión híbrida de ML-KEM, pero sirve para cifrar, no para firmar: la autenticación sigue pendiente.