La preparación para la criptografía poscuántica no se limita a proteger los datos cifrados frente al riesgo de recopilarlos hoy y descifrarlos en el futuro; los sistemas de autenticación basados en certificados también necesitarán cambios amplios. Estos cambios abarcan las autoridades de certificación, las anclas de confianza, los servicios de infraestructura de clave pública, las aplicaciones, los dispositivos y los módulos de seguridad de hardware.
Microsoft considera que el desafío no consiste únicamente en emitir un certificado con un algoritmo nuevo o validarlo, sino en saber cómo interactuarán las cadenas de certificados, las plataformas y los procedimientos operativos actuales con los requisitos de la autenticación poscuántica. Las pruebas tempranas pueden revelar problemas de interoperabilidad, tamaño de los certificados, rendimiento y gestión del ciclo de vida antes de que sea necesario abordar la situación a escala de producción.
De proteger la confidencialidad a preparar el ecosistema de confianza
Los debates sobre la preparación para la criptografía poscuántica se han centrado en gran medida en la confidencialidad de las comunicaciones, especialmente en el riesgo de «recopilar ahora y descifrar después». La autenticación, en cambio, requiere gestionar una red más amplia de relaciones de confianza; las claves y los certificados deben emitirse, distribuirse, almacenarse, validarse, renovarse y administrarse en distintos entornos y con diversos proveedores.
Además, las organizaciones suelen contar con una infraestructura acumulada durante décadas, que incluye dispositivos integrados, sistemas operativos, dispositivos de seguridad, aplicaciones personalizadas, servicios externos y sistemas de confianza respaldados por hardware. Algunos de estos componentes pueden tener ciclos de actualización prolongados o supuestos criptográficos fijos cuyas limitaciones solo se hacen visibles cuando comienzan las pruebas.
El programa piloto de Microsoft
Microsoft lanzó el 27 de agosto de 2026 el programa PQC TLS Pilot Program para ayudar a las autoridades de certificación elegibles a evaluar raíces y certificados TLS poscuánticos. El programa está limitado a las autoridades de certificación aceptadas y comprometidas con el programa Microsoft Trusted Root Program, y utiliza el algoritmo de firma resistente a la computación cuántica ML-DSA-87.
La versión de agosto de 2026 añadió siete raíces piloto gestionadas por ComSign, DigiCert, HARICA, IdenTrust Services, Sectigo, Shanghai Electronic Certification Authority y SSL.com. La aceptación continuará por tandas hasta finales de 2026.
Los certificados emitidos mediante el programa no son de confianza pública y están destinados exclusivamente a pruebas de compatibilidad y preparación del ecosistema en entornos cerrados, aplicaciones personalizadas y laboratorios de organizaciones. No deben utilizarse para sitios web públicos ni para escenarios de confianza en producción. Además, la compatibilidad con ML-DSA sigue siendo limitada y continúa evolucionando durante la fase piloto, por lo que no se debe depender de ella en producción.
¿Qué pueden probar ahora las organizaciones?
Los certificados ML-DSA pueden probarse en escenarios controlados y no productivos en sistemas Windows 11 compatibles y configurados adecuadamente. La compatibilidad comienza con las actualizaciones del 28 de julio de 2026: KB5101681, con el número de compilación del sistema operativo 28000.2608 para la versión 26H1, y KB5101684, con los números de compilación 26200.8973 y 26100.8973 para la versión 25H2. Los certificados también pueden utilizarse con Secure Channel (Schannel) en los escenarios compatibles, tras verificar los requisitos de la plataforma.
Microsoft recomienda que los equipos de seguridad, los administradores de PKI y los arquitectos comiencen por inventariar los sistemas que dependen de certificados, trazar las relaciones de confianza públicas y privadas, evaluar los planes de los proveedores, identificar la infraestructura de larga vida útil y crear entornos de prueba no productivos. Los resultados deberían convertirse en una hoja de ruta plurianual que defina las responsabilidades y priorice las dependencias de actualización.
¿Por qué es importante esta noticia?
El cambio real consiste en trasladar la preparación para la criptografía poscuántica de un debate algorítmico a una prueba práctica de todo el ecosistema de confianza. El beneficio principal es detectar las limitaciones de tamaño, rendimiento, compatibilidad y flujo de trabajo antes de introducir nuevos certificados en entornos de producción. Sin embargo, el programa no demuestra una preparación general ni compatibilidad con producción; es un entorno piloto limitado, y el éxito de las pruebas seguirá estando relacionado con las capacidades de los proveedores, los dispositivos y las aplicaciones existentes en cada organización.