Criptografía & Firma Digital
Post-Quantum Signing: Software HSM y Crypto-Agility con ML-DSA y SLH-DSA
Implementación modular de firma digital resistente al cómputo cuántico basada en los nuevos estándares FIPS 204 y FIPS 205 del NIST.
Estándares
FIPS 204 (ML-DSA) + FIPS 205 (SLH-DSA)
Throughput ML-DSA
> 1.400 firmas/seg en CPU estándar
Verificación
< 0.4ms por documento
Vectores NIST
100% pruebas oficiales aprobadas
01 · El Desafío de Ingeniería
El impacto de Q-Day sobre la infraestructura de firma digital
El advenimiento de computadoras cuánticas criptográficamente relevantes romperá los esquemas asimétricos convencionales (RSA, ECDSA, Ed25519) mediante el algoritmo de Shor. Las organizaciones que emiten documentos legales, pólizas o firmas de larga duración deben prepararse hoy (Store Now, Decrypt Later). Sin embargo, los algoritmos post-cuánticos imponen restricciones severas de rendimiento y tamaño.
Riesgos técnicos y de negocio abordados:
- Tamaño de firmas y claves: ML-DSA-44 genera firmas de 2.420 bytes (frente a 64 bytes de Ed25519), saturando bases de datos, encabezados HTTP y envelopes X.509.
- Complejidad de migración: intentar un 'big bang' quiebra la compatibilidad con validadores existentes.
- Falta de crypto-agility en sistemas legacy donde los algoritmos están acoplados directamente al código de negocio.
02 · Arquitectura & System Design
Arquitectura de Abstracción Criptográfica Dual
Se diseñó un patrón Provider decoupled que desacopla la aplicación de firma de los motores criptográficos. Admite esquemas basados en retículos (ML-DSA / CRYSTALS-Dilithium) para máxima velocidad de firma/verificación y esquemas basados en hashes (SLH-DSA / SPHINCS+) como alternativa de respaldo con supuestos matemáticos conservadores.
Módulos y responsabilidades del sistema:
CryptoProvider Dispatcher
Mapea las políticas de firma (FIPS 204 vs FIPS 205) de acuerdo con los requerimientos de la transacción.
Motor ML-DSA (WASM)
Implementación optimizada en WebAssembly para operaciones algebraicas sobre retículos modulares.
Motor SLH-DSA
Esquema de firmas sin estado basado puramente en funciones hash unidireccionales (SHA-2 / SHAKE).
Empaquetador CMS / X.509
Genera estructuras de datos ASN.1 preparadas para convivir con cadenas de certificación híbridas.
Suite de Benchmarking
Mide throughput de firma, verificación y consumo de memoria bajo cargas de hasta 10.000 operaciones.
03 · Decisiones Técnicas & Trade-offs
Cada decisión técnica prioriza reducir riesgo operativo y mantener el sistema explicable.
Uso de WebAssembly para el cómputo de retículos en Node/TypeScript
Justificación: Permite ejecutar la matemática de polinomios NTT con rendimiento cuasi-nativo de C sin sacrificar la portabilidad multiplataforma.
Trade-off explícito: Requiere gestionar la memoria lineal en WASM y copiar buffers entre el entorno JS y la memoria nativa.
Estructura de sobre híbrido (RSA/ECDSA + ML-DSA en paralelo)
Justificación: Permite que los documentos firmados hoy sean verificables por sistemas antiguos y sigan siendo válidos tras la llegada de ordenadores cuánticos.
Trade-off explícito: Duplica el tamaño del bloque de firma en el documento final.
Alineación estricta con las versiones finales FIPS 204 y 205 del NIST
Justificación: Evita deuda técnica de drafts previos (Dilithium Round 3) asegurando compatibilidad con las especificaciones gubernamentales de 2024-2026.
Trade-off explícito: Requiere actualizar vectores de prueba y parámetros de padding según las tablas definitivas del estándar.
Resultados y Hoja de Ruta para Firma Digital
El proyecto sirvió de base técnica para el roadmap de modernización de firma digital en Lakaut, demostrando la viabilidad de incorporar crypto-agility sin penalizar drásticamente la latencia de usuario.
Conversación profesional
¿Tu organización maneja firma digital, PKI o custodia de identidad?
Planifiquemos una estrategia de crypto-agility y transición post-cuántica adaptada a tus regulaciones y sistemas productivos.