La informática cuántica está al caer, y podría acabar arruinando a cualquiera —en el sentido más literal de la palabra—.
Esta tecnología revolucionaria alcanzará velocidades de procesamiento exponencialmente más rápidas que las de los ordenadores actuales mediante el uso de qubits « » para ejecutar algoritmos cuánticos multidimensionales.
¿Qubits? Hablaremos de eso en un momento. La clave aquí es que se cree que los ordenadores cuánticos primitivos actuales utilizan unos 100 qubits lógicos . Sin embargo, cuando alcancen un nivel que les permita procesar entre 3,000 y 4,000 de estas unidades digitales de información —algo que muchos creen que podría suceder en el plazo de una década aproximadamente—, ello podría marcar el inicio de una era dorada de descubrimientos en el ámbito de la medicina , la ciencia de los materiales, la defensa, la planificación urbana , la alta tecnología y otras disciplinas. Sin embargo, al igual que ocurre con la mayoría de las innovaciones más sorprendentes, hay una cara oculta: esta tecnología también podría ser aprovechada por los ciberdelincuentes, y los bancos serán uno de sus principales objetivos.
En el sector bancario, por ejemplo, se prevé que los futuros ordenadores cuánticos alcancen un nivel de potencia tan elevado que sean capaces de burlar la mayoría de los algoritmos criptográficos que las entidades financieras utilizan actualmente para proteger los datos privados y confidenciales de los clientes, las transacciones en línea y las cuentas.
Esto no quiere decir que un hacker cualquiera vaya a poder utilizar fácilmente los ordenadores cuánticos con fines maliciosos para atacar a entidades como BofA o Citigroup. Los sistemas cuánticos resultarán demasiado caros para la mayoría de los ciberdelincuentes. No, lo que preocupa es que Estados hostiles , o grupos de piratas informáticos bien financiados puedan robar, adquirir o desarrollar ordenadores cuánticos y lanzar ataques contra instituciones y mercados financieros antes de que nadie se dé cuenta.
¿Qué es la computación cuántica y por qué deben los bancos tomar medidas ahora mismo?
Si no está familiarizado con el término, un qubit (que se pronuncia «KYOO-bit», abreviatura de «bit cuántico») es una unidad básica de información en la informática cuántica, similar a un bit o dígito binario en la informática clásica, que permite procesar la información en una fracción del tiempo que se requiere en la informática tradicional. A menudo se representa como una esfera giratoria, en contraste con los unos y los ceros binarios de la informática tradicional. En los próximos años oirá hablar cada vez más de los qubits, a medida que la tecnología cuántica avance y los ciberdelincuentes aprovechen su potencial para atacar al sector de los servicios financieros y a otros objetivos.
«. Aunque [la computación cuántica] no se haga realidad hasta dentro de una década, es necesario empezar ya a planificar los cambios que serán necesarios para prevenir posibles amenazas.»Matthew Mittelsteadt, investigador del Mercatus Center
Esa amenaza llevó al presidente Biden a promulgar el año pasado un decreto ejecutivo « » ( ), en el que se establecen los requisitos para que las agencias federales hagan que sus sistemas criptográficos sean resistentes a la computación cuántica (post-quantum). A continuación, dicho mandato se formalizó en la Ley de Preparación en materia de Ciberseguridad para la Computación Cuántica, firmada el pasado mes de diciembre.
Por su parte, los bancos saben desde hace tiempo que son vulnerables y prevén invertir miles de millones de dólares para hacer frente a la amenaza. Sin embargo, los observadores temen que, dado que aún faltan al menos entre siete y 10 años para que la informática cuántica alcance todo su potencial, muchos bancos pospongan la adopción de medidas significativas hasta que se acerque ese momento. Al fin y al cabo, están centrados en asuntos urgentes como la economía , las pérdidas cada vez mayores y la disminución de la confianza de los depositantes .
No obstante, según los expertos del sector, retrasar la adopción de medidas frente a la amenaza cuántica sería un grave error.
Por un lado, es posible que los datos actuales ya sean vulnerables al descifrado mediante computación cuántica, aunque no de la forma que usted cree. Dado que los datos siguen siendo útiles durante un tiempo, los Estados-nación podrían recopilar ahora información cifrada de sus adversarios con la esperanza de utilizar la tecnología cuántica para descifrarla cuando sea posible. Este enfoque de «cápsula del tiempo» se conoce como «ataque de tipo “recoger ahora, descifrar más tarde” (HNDL)», y más de la mitad (50.2 %) de las organizaciones preparadas para la tecnología cuántica consideran que están «en riesgo» de sufrir este tipo de ataque, según una encuesta de Deloitte titulada « » ().
Cómo hacer frente a la «amenaza existencial» de la informática cuántica
Teniendo en cuenta todo esto, Matthew Mittelsteadt, investigador del Mercatus Center, un centro de estudios con sede en Virginia, califica la computación cuántica de «amenaza existencial para la seguridad bancaria» y advierte de que no se debe subestimar el tiempo y el dinero que se necesitarán para hacer frente adecuadamente a esta amenaza.
«Aunque esto no ocurra hasta dentro de una década, hay que empezar ya a planificar los cambios que serán necesarios para prevenir posibles amenazas, ya que dichos cambios van a ser bastante significativos», afirma Mittelsteadt. «Si se analiza qué aspectos se verán afectados por este problema, básicamente lo abarca todo». «Será nuestra tecnología móvil, nuestras bases de datos… Literalmente, cualquier cosa que se comunique digitalmente y utilice cifrado podría verse afectada y quedar desprotegida».
Para ser justos con los banqueros, su labor de preparación dependerá de que el Gobierno adopte iniciativas para acordar sustitutos sólidos y resistentes a los algoritmos cuánticos para los sistemas habituales de criptografía de clave pública (PKC), como RSA, Diffie-Hellman y la criptografía de curva elíptica (ECC). Dichas iniciativas, dirigidas por el Instituto Nacional de Normas y Tecnología (NIST) del Departamento de Comercio de EE. UU., se llevan a cabo desde el año 2015 y siguen en marcha.
Avances lentos pero constantes en materia de ciberseguridad cuántica
In fact, NIST only last year released, and began seeking public comment on, a list of four encryption algorithm “finalists”—CRYSTALS-Kyber for general encryption and CRYSTALS-Dilithium, FALCON, and SPHINCS+ for digital signatures—that would presumably become part of its post-quantum cryptographic (PQC) standard around 2024.
«: Se podrían explicar [los algoritmos actuales de ciberseguridad] a la mayoría de los alumnos de secundaria en clase de matemáticas». Sin embargo, las matemáticas que utilizamos para estos nuevos algoritmos poscuánticos son mucho más complejas, y se necesitará mucho conocimiento y formación para comprenderlas.»Dustin Moody, matemático de la división de seguridad informática del NIST
Sin embargo, el camino hacia la aprobación de dichas normas es incierto, ya que los investigadores en materia de seguridad siguen analizando y examinando minuciosamente los algoritmos. A principios de este año, por ejemplo, unos investigadores suecos lograron vulnerar una implementación de CRYSTALS-Kyber mediante un ataque de canal lateral asistido por inteligencia artificial (IA) de tipo «». Los ataques de canal lateral recopilan información confidencial, como claves criptográficas, midiendo emisiones accidentales del hardware, en lugar de dirigirse directamente al código.
No obstante, según afirma Dustin Moody, matemático de la división de seguridad informática del NIST, era de esperar que surgieran estos obstáculos, dada la complejidad de los algoritmos cuánticos.
«Es un ámbito muy complejo», afirma Moody. «El RSA, por ejemplo, es un algoritmo que se podría explicar a la mayoría de los alumnos de secundaria en una clase de matemáticas». Sin embargo, las matemáticas que utilizamos para estos nuevos algoritmos poscuánticos son mucho más complejas, y se necesitará un gran conocimiento y mucha formación para comprenderlas. Por lo tanto, habrá dificultades. «Y podrían surgir vulnerabilidades si no llevamos a cabo todo esto con mucho cuidado».
Moody aconseja a los bancos que esperen a que se publiquen las normas en 2024 antes de poner en marcha los algoritmos poscuánticos, pero otros expertos siguen haciendo hincapié en la importancia de tomar algunas medidas para prepararse para ellos.
Para empezar, recomiendan:
1. Haga un inventario de sus sistemas de criptografía
Graham Steel, responsable de producto del grupo de seguridad cuántica de SandboxAQ —una startup derivada de Alphabet Inc., la empresa matriz de Google—, explica a Focal Point que es necesario realizar un inventario exhaustivo para saber en qué puntos de su organización se está utilizando criptografía vulnerable a los ataques cuánticos.
A continuación, deberá tener en cuenta una evaluación de riesgos, en la que se determine qué datos deberán mantenerse confidenciales dentro de un plazo de entre cinco y 10 años. Esto puede ayudar a prevenir futuros ataques de tipo HNDL.
«También puede probar los algoritmos cuánticos del borrador del NIST en su entorno para ver cómo podrían afectar a sus aplicaciones más importantes», añade.
2. Destinar recursos financieros a la ciberseguridad cuántica
Mittelsteadt afirma que pocos bancos son conscientes de lo laborioso y costoso que resultará desmantelar y sustituir toda la criptografía en la que se basan sus sistemas digitales.
«El riesgo de no hacerlo es quedarse atrás respecto a sus competidores, que pronto comunicarán sus avances.»Graham Steel, responsable de producto del grupo de seguridad cuántica de SandboxAQ
«Hay que empezar a pensar en qué infraestructuras podrían verse afectadas», afirma. «Se trata de una tarea muy compleja. «Habrá muchos sistemas de los que usted ni siquiera se da cuenta de que son inseguros».
[Lea también: 5 pasos para proteger los datos más valiosos de su organización]
Advierte de que muchos sistemas no están debidamente documentados.
«Probablemente tendrá que pagar a alguien para que recorra todas sus entidades y sucursales y, sobre el terreno, identifique qué sistemas existen, registre si podrían verse afectados y elabore un plan para actualizar su software con el fin de protegerse mejor contra los ataques cuánticos», afirma. «No será fácil».
3. Rediseñe su software
Mittelsteadt señala que podría pasar mucho tiempo antes de que los algoritmos del NIST se conviertan en norma. De cara a ello, aconseja a los bancos que empiecen a rediseñar su software «monolítico» para adaptarse más fácilmente a los cambios.
«Lo que se pretende es implementar metodologías para la agilidad cibernética», afirma. «Esto significa diseñar sistemas que sean modulares, de modo que se puedan cambiar fácilmente los componentes, especialmente los relacionados con la seguridad». «Si diseña sistemas de ese tipo hoy en día, estará preparado cuando se aprueben oficialmente estas normas del NIST».
Nadie sabe cuándo estallará la crisis relacionada con la amenaza cuántica y se convertirá en un problema más grave para el sector bancario, pero los expertos desaconsejan esperar a que eso ocurra. Si dan pequeños pasos ahora, los bancos podrán repartir los costes y el esfuerzo necesarios a lo largo de un periodo prolongado, lo que mitigará las dificultades que ello pueda acarrear.
«No tiene por qué resultar demasiado costoso si se aborda de forma estratégica como parte de la modernización general de su sistema informático», afirma Steel. «El riesgo de no hacerlo es quedarse rezagado respecto a sus competidores, que pronto darán a conocer sus avances, y también verse sometido a presiones normativas para llevar a cabo la migración en plazos que podrían resultar inalcanzables (por no haber comenzado con la suficiente antelación), lo que conlleva el riesgo de incurrir en multas por incumplimiento normativo».
