Windows se prepara para la era cuántica: Microsoft endurece Windows 11 Preview con un nuevo cifrado

Para defender a los usuarios normales de los malos actores que manejan la potencia de la computación cuántica como Majorana 1, Windows 11 Insider Preview ahora incluye soporte integrado para la criptografía post-cuántica (PQC), dando a los desarrolladores y equipos de seguridad un acceso temprano a los algoritmos diseñados para soportar las capacidades de los futuros ordenadores cuánticos. Disponible a partir de la Build 27852 del Canal Canario, esta actualización integra dos nuevos esquemas, ML-KEM para intercambio de claves y ML-DSA para firmas digitales, directamente en la API de criptografía: Next Generation (CNG) y las funciones de gestión de certificados. ML-KEM aborda el modelo de amenaza «recopilar ahora, descifrar después», en el que los adversarios recopilan datos cifrados hoy para descifrarlos una vez que el hardware cuántico haya avanzado. Microsoft ofrece tres niveles de seguridad ML-KEM: una opción de Nivel 1 que produce textos cifrados de 800 bytes y un secreto compartido de 32 bytes; una configuración de Nivel 3 con textos cifrados de 1.184 bytes y el mismo secreto de 32 bytes; y un nivel de Nivel 5 que aumenta el tamaño del texto cifrado a 1.568 bytes manteniendo el secreto compartido en 32 bytes. Estos conjuntos de parámetros permiten a las organizaciones equilibrar el rendimiento y la protección en función de sus modelos de amenazas y requisitos operativos.

ML-DSA complementa el intercambio de claves proporcionando firmas digitales resistentes al quantum. Hay tres niveles de resistencia disponibles para prueba: El nivel 2 proporciona claves públicas y privadas compactas de 1.312 y 2.560 bytes, respectivamente, con firmas de 2.420 bytes; el nivel 3 aumenta el tamaño de las claves a 1.952 y 4.032 bytes con firmas de 3.309 bytes; y el nivel 5 ofrece la máxima garantía con claves públicas de 2.592 bytes, claves privadas de 4.896 bytes y firmas de 4.627 bytes. Aunque estas huellas más grandes pueden afectar al almacenamiento y la transmisión, ofrecen mayores garantías contra futuros ataques de falsificación de firmas. Microsoft recomienda ejecutar estos algoritmos poscuánticos en modo híbrido junto con sus homólogos clásicos, como ECDH, RSA o ECDSA, para garantizar una defensa en profundidad.

Los primeros en adoptarlos pueden instalar, importar y validar certificados basados en PQC dentro del almacén de certificados de Windows y medir el impacto en la latencia del handshake, el tamaño del certificado y la integración de la API. En cuanto a Linux, SymCrypt-OpenSSL 1.9.0 introduce funciones híbridas equivalentes de intercambio de claves para TLS basadas en los últimos borradores del IETF. Esta vista previa unificada para Windows y Linux proporciona un entorno coherente de experimentación, retroalimentación y ajuste del rendimiento. Microsoft tiene previsto ampliar la compatibilidad de PQC con la pila TLS nativa de Windows (Schannel), los servicios de certificación de Active Directory y el conector de certificados de Intune.

Fuente: Blog de Microsoft