ML-KEM vs ML-DSA: ¿Cuál es la diferencia?
Comprendiendo los dos estándares post-cuánticos del NIST — ML-KEM para intercambio de claves y ML-DSA para firmas digitales.
Al implementar criptografía post-cuántica, encontrarás dos estándares principales: ML-KEM y ML-DSA. Aunque ambos protegen contra ataques cuánticos, sirven propósitos fundamentalmente diferentes en tu infraestructura criptográfica. Comprender estas diferencias es crucial para una implementación correcta y el cumplimiento de las regulaciones emergentes.
¿Qué son ML-KEM y ML-DSA?
ML-KEM (Module-Lattice-Based Key-Encapsulation Mechanism) es el algoritmo estandarizado por el NIST para intercambio de claves, finalizado como FIPS 203 el 13 de agosto de 2024. Es la evolución de CRYSTALS-Kyber, diseñado para establecer secretos compartidos entre partes de forma segura.
ML-DSA (Module-Lattice-Based Digital Signature Algorithm) es el algoritmo estandarizado para firmas digitales, publicado como FIPS 204 en la misma fecha. Evolucionó de CRYSTALS-Dilithium y proporciona autenticación y verificación de integridad.
Ambos algoritmos se basan en la dificultad de los problemas de retículos, que siguen siendo difíciles incluso para ordenadores cuánticos. Sin embargo, sus estructuras matemáticas y características operativas difieren significativamente.
Intercambio de claves vs firmas digitales: funciones principales
La distinción fundamental radica en sus roles criptográficos:
ML-KEM gestiona el intercambio de claves. Cuando estableces una conexión TLS o cifras datos, ML-KEM crea un secreto compartido entre dos partes sin transmitir el secreto en sí. Piensa en ello como un método seguro para acordar una clave de cifrado que ambas partes pueden usar para la comunicación posterior.
ML-DSA proporciona firmas digitales. Cuando necesitas verificar autenticidad o asegurar que los datos no han sido manipulados, ML-DSA crea una prueba matemática que solo el poseedor de una clave privada podría haber producido. Esto incluye firmar certificados, paquetes de software o cualquier dato que requiera autenticación.
En un handshake típico de TLS 1.3, podrías usar ambos: ML-KEM para establecer la clave de sesión y ML-DSA para autenticar el certificado del servidor.
Características de rendimiento y tamaño
Los algoritmos tienen perfiles de rendimiento distintos que afectan las decisiones de despliegue:
ML-KEM ofrece tamaños de clave y texto cifrado relativamente compactos. ML-KEM-768, la variante más comúnmente desplegada, tiene una clave pública de 1.184 bytes y produce textos cifrados de 1.088 bytes. Las operaciones de generación de claves y encapsulación son rápidas, haciéndolo adecuado para operaciones de alta frecuencia como handshakes TLS.
Las firmas ML-DSA son más grandes pero aún prácticas. ML-DSA-65 produce firmas de alrededor de 3.293 bytes con claves públicas de 1.952 bytes. Aunque la generación de firmas es razonablemente rápida, la verificación es aún más rápida — una consideración importante para sistemas que verifican firmas más a menudo de lo que las crean.
Para comparar, las firmas RSA-2048 clásicas son de 256 bytes, mientras que las firmas ECDSA P-256 son solo de 64 bytes. El aumento de tamaño es un compromiso necesario para la resistencia cuántica.
Requisitos de implementación y estándares
Diferentes marcos de cumplimiento especifican diferentes requisitos para cada algoritmo:
CNSA 2.0 exige ML-KEM-1024 y ML-DSA-87 (los niveles de seguridad más altos) para nuevas adquisiciones de Sistemas de Seguridad Nacional antes del 1 de enero de 2027. Este requisito se aplica tanto a las operaciones de intercambio de claves como a las de firma en entornos clasificados.
Los despliegues comerciales típicamente usan ML-KEM-768 y ML-DSA-65, equilibrando seguridad con rendimiento. Estas variantes aparecen en configuraciones híbridas con algoritmos clásicos durante el período de transición.
Las regulaciones europeas bajo NIS2 y DORA no especifican algoritmos particulares pero requieren que las organizaciones se preparen para transiciones post-cuánticas. La hoja de ruta cuántica de la UE sugiere despliegues iniciales para finales de 2026, con adopción más amplia para 2030.
Modos híbridos y estrategias de migración
Durante la transición a la criptografía post-cuántica, a menudo desplegarás estos algoritmos en modo híbrido:
Para intercambio de claves, combinaciones como X25519+ML-KEM-768 proporcionan seguridad contra adversarios tanto clásicos como cuánticos. Este enfoque ya está soportado en OpenSSL 3.5.0 (lanzado el 8 de abril de 2025) y los principales navegadores.
Para firmas, los modos híbridos son menos comunes pero pueden combinar ML-DSA con ECDSA o RSA durante períodos de migración. Las autoridades de certificación están empezando a emitir certificados de doble firma para compatibilidad.
El calendario de migración varía por sector. DORA se aplica a las entidades financieras de la UE desde enero de 2025, exigiendo controles criptográficos basados en riesgo (aunque no nombra ningún algoritmo concreto), mientras que la adopción comercial más amplia sigue el calendario de migración post-cuántica hasta 2026 y más allá.
Tomando la decisión correcta
Al implementar criptografía post-cuántica:
Identifica tus casos de uso: Mapea dónde usas intercambio de claves (TLS, VPNs, almacenamiento cifrado) versus firmas (certificados, firma de código, autenticación de documentos)
Selecciona niveles de seguridad apropiados: ML-KEM-768/ML-DSA-65 para la mayoría de aplicaciones comerciales, niveles más altos para datos sensibles o requisitos regulatorios
Planifica para restricciones de tamaño: Asegúrate de que tu infraestructura puede manejar claves y firmas más grandes, particularmente para sistemas embebidos o entornos con ancho de banda limitado
Prueba configuraciones híbridas: Empieza con modos híbridos para mantener compatibilidad mientras ganas experiencia operativa
Tanto ML-KEM como ML-DSA son componentes esenciales de una infraestructura resistente a ordenadores cuánticos, pero no son intercambiables. Comprender sus roles distintos asegura que implementes el algoritmo correcto para cada operación criptográfica.