El avance útil es una nueva herramienta para la confidencialidad a largo plazo. Su valor depende de la integración, la implementación y los límites operativos.
ML-KEM-768 ayuda a dos partes a establecer un secreto compartido que después puede utilizarse para proteger mensajes. Es un componente de un sistema de mensajería, no un protocolo completo de chat, un cifrador de mensajes ni un certificado de que una aplicación sea segura.
El NIST publicó FIPS 203 el 13 de agosto de 2024, estandarizando ML-KEM y sus conjuntos de parámetros 512, 768 y 1024. Su seguridad se basa en problemas de retículas que se consideran resistentes a ataques cuánticos. «Se consideran resistentes» es un supuesto de seguridad respaldado por análisis, no una promesa de que no puedan aparecer debilidades futuras. NIST FIPS 203.
Dónde encaja un KEM en un chat cifrado
Una forma útil de interpretar una afirmación sobre cifrado es seguir el material de claves:
- Autenticar al interlocutor previsto. Un intercambio de claves con un impostor sigue siendo un intercambio con la persona equivocada.
- Establecer material secreto compartido. Un KEM aporta un secreto mediante encapsulación y desencapsulación.
- Derivar claves para sus fines concretos. Una función de derivación de claves separa el material que utilizan distintas partes del protocolo.
- Cifrar y autenticar los mensajes. Un esquema de cifrado autenticado protege el contenido y detecta modificaciones no autorizadas.
- Gestionar la sesión a lo largo del tiempo. La rotación y eliminación de claves, los cambios de dispositivos y la recuperación determinan qué puede exponer una vulneración posterior.
Estos pasos explican por qué un estándar para el segundo paso no puede validar toda la aplicación. Las preguntas frecuentes del NIST sobre criptografía poscuántica aportan contexto sobre la implantación de los nuevos estándares.
¿Por qué combinar ML-KEM con un acuerdo clásico de claves?
Un diseño híbrido utiliza un componente poscuántico junto con otro clásico, como Diffie–Hellman de curva elíptica. Su beneficio previsto es evitar depender exclusivamente de uno de los dos conjuntos de supuestos durante una transición.
La afirmación de seguridad corresponde al combinador y al protocolo completos, no a una simple lista de dos algoritmos. Los revisores necesitan saber qué entradas se autentican, cómo se codifican y combinan, qué contexto se vincula a la derivación y qué sucede cuando falla un componente. Concatenar secretos sin una construcción especificada no es un argumento de seguridad.
Para los usuarios, la pregunta práctica no es «¿La página de ajustes dice resistente a la computación cuántica?», sino «¿Qué conversaciones y versiones utilizan realmente esta construcción y qué pruebas respaldan esa afirmación?».
Qué documenta Livara
La documentación de seguridad de Livara describe sesiones LVR1 de chat directo que utilizan material clásico P-256 y ML-KEM-768, con AES-256-GCM para el contenido. Describe los grupos privados LGS1 como cadenas de remitente distribuidas mediante sesiones LVR1 entre pares. Son capas distintas: un mensaje ordinario de grupo no es necesariamente un nuevo intercambio ML-KEM para cada destinatario.
Lea esa documentación como la descripción del desarrollador. Nombrar primitivas estandarizadas no demuestra que la composición propia de Livara haya sido auditada independientemente ni que cada compilación instalada la implemente correctamente. El Proof Lab limita explícitamente su demostración en el navegador: no ejecuta los mecanismos ratchet LVR1/LGS1 completos ni constituye una auditoría del protocolo.
Qué no cubre la protección poscuántica
| Pregunta | Por qué ML-KEM por sí solo no la responde |
|---|---|
| ¿Puede un destinatario copiar mi mensaje? | El destinatario recibe contenido legible. |
| ¿Está mi dispositivo libre de software espía? | La integridad del extremo es un supuesto de confianza independiente. |
| ¿Están protegidas las copias de seguridad? | Las claves de copia de seguridad y las reglas de recuperación requieren un diseño propio. |
| ¿Son seguros los cambios de miembros de un grupo? | Importan las reglas de autenticación, pertenencia al grupo y renovación de claves. |
| ¿Conserva metadatos el servicio? | Cifrar el contenido no oculta automáticamente el enrutamiento ni los tiempos. |
| ¿Se protege una llamada igual que un chat de texto? | La señalización y los medios de una llamada pueden utilizar protocolos diferentes. |
El modelo de amenazas de Livara también distingue las conversaciones privadas de los canales públicos y reconoce la exposición a nivel de dispositivo. No extienda una afirmación sobre chats directos a todas las áreas del producto.
Lista de comprobación para quien compra «mensajería FIPS 203»
Solicite el conjunto exacto de parámetros y la versión del protocolo; una descripción de la autenticación del interlocutor y de la combinación de claves; las versiones de cliente compatibles; el comportamiento con clientes incompatibles; y pruebas o hallazgos de revisión vinculados a la implementación distribuida. Si un proveedor afirma tener validación FIPS, pida el registro de validación pertinente y su alcance. Usar un algoritmo descrito en una publicación FIPS no demuestra, por sí solo, la validación del producto o del módulo.
No deduzca la duración de la batería, el rendimiento de transferencia ni la capacidad de respuesta de la aplicación a partir del nombre del parámetro. Eso requiere mediciones con dispositivo, compilación y carga de trabajo documentados.
El cambio útil para la mensajería es una nueva herramienta para la confidencialidad a largo plazo. Su valor depende de la integración, la implementación y los límites operativos, no de sustituir una etiqueta publicitaria por otra.
