El amanecer de la era de la computación cuántica trae consigo muchos posibles riesgos nuevos, incluidos los relacionados con la seguridad.
Las agencias gubernamentales y los grupos del sector han expresado una creciente sensación de urgencia en lo que respecta a la transición hacia un futuro resistente a la tecnología cuántica.
La experta en ciberseguridad Jaya Baloo explica por qué y cómo debemos proteger nuestras economías ante un futuro cuántico.
La privacidad de la comunicación en línea está actualmente protegida por la criptografía, que resguarda la información mientras viaja por internet. Protege desde la realización de compras en línea hasta el acceso remoto al correo electrónico del trabajo. Dado que las capacidades de la computación cuántica crecen rápidamente, los expertos del sector estiman que pasarán al menos otros 10 años antes de que estén disponibles computadoras cuánticas con un número muy elevado de qubits están disponibles.
Las computadoras cuánticas podrían ejecutar algoritmos capaces de romper el cifrado de clave pública que utilizamos hoy. Los investigadores realizan una investigación intensiva para revisar, seleccionar y mejorar varias decenas de algoritmos distintos que reemplacen a los actuales para evitarlo.
La tecnología aún se encuentra en una etapa temprana y tardará varias décadas en alcanzar su pleno desarrollo, lo que nos brinda una breve ventana para desarrollar la infraestructura digital y de TI actual a fin de prepararnos para un futuro cuántico.
Analizamos por qué y cómo podría evolucionar el panorama cibernético actual y qué áreas priorizar para evitar los posibles daños y riesgos derivados de los avances de la computación cuántica, junto con Jaya Baloo, directora de seguridad de la información (CISO) de Avast.
Jaya lleva más de 20 años trabajando en el campo de la seguridad de la información, con especial atención a la arquitectura de redes seguras, y forma parte de los consejos asesores del Centro Nacional de Ciberseguridad de los Países Bajos, de PQCrypto y del Consejo Asesor Estratégico del Programa Faro Cuántico de la UE. Actualmente es miembro del Consejo Global del Futuro sobre Computación Cuántica del Foro Económico Mundial.
Durante muchos años, la amenaza cuántica para la criptografía se consideró teórica. Sin embargo, con los recientes avances en la construcción de una computadora cuántica física, Jaya considera que no estamos lejos de que los algoritmos criptográficos que utilizamos actualmente dejen de ser seguros.
¿Qué le llevó a desarrollar su experiencia en ciberseguridad y a convertirse en líder en este ámbito?
Siempre he sentido curiosidad por la seguridad. De niña me fascinaba el phone phreaking, y mi interés se volvió serio cuando trabajaba como ingeniera de redes en KPN. Lo cierto es que, una vez que te adentras en la ciberseguridad, es difícil mantenerse al margen y, en cambio, te sientes atraída muy rápidamente a tomar postura, porque hay muchos dilemas fundamentales con los que lidiamos en la jornada laboral. Los asuntos globales influyen en los equipos de seguridad a un nivel increíblemente operativo, desde el impacto de la geopolítica en la seguridad de la cadena de suministro hasta las políticas sobre criptografía, así como el uso de determinadas herramientas para evaluar la postura de seguridad de las redes.
¿Qué es lo más malinterpretado de su trabajo? ¿Qué le gustaría que la gente supiera?
Lo más malinterpretado del trabajo en ciberseguridad es cómo a menudo lo presenta visualmente Hollywood. Suele retratarse como algo increíblemente trepidante y emocionante, como una especie de juego del gato y el ratón entre defensores curtidos y atacantes encapuchados. Lamentablemente, la realidad tiene mucho más que ver con las labores regulares, diligentes, rutinarias y cotidianas, y con los esfuerzos incrementales para prevenir un ataque o analizarlo y responder cuando se produce. En realidad, sigue tratándose de muchas personas dedicadas que miran fijamente sus pantallas, con muy pocas persecuciones en coche de por medio.
Me gustaría que la gente entendiera mejor lo frágil que es nuestra posición en materia de ciberseguridad y cuánto esfuerzo debemos dedicar ahora a mejorar lo básico para estar preparados para el futuro. Seguimos dependiendo de protocolos fundamentales desarrollados en la década de 1970 que apenas han cambiado desde entonces para nuestra capa principal de comunicaciones de transmisión. Tenemos muchas herramientas nuevas desarrolladas con viejas clases de vulnerabilidades. Todavía no sometemos a pruebas ni cambiamos de forma proactiva con la rapidez suficiente para evolucionar al ritmo de las nuevas amenazas a las que nos enfrentamos. A ello se suma una enorme interdependencia desde el punto de vista de la infraestructura crítica, porque dependemos de las mismas herramientas en todo el mundo, por lo que un solo ataque exitoso tiene un efecto dominó muy amplio.
En su opinión, ¿cuál es el desafío más crítico en materia de ciberseguridad que enfrentan actualmente los líderes?
Actualmente, creo que el mayor desafío que enfrentan los líderes es comprender que hemos excluido el costo de la ciberseguridad de nuestra infraestructura de TI existente. El costo hundido de estas inversiones antiguas significa que reparar o actualizar no siempre es una decisión fácil, y las organizaciones disponen de amplias tácticas de gestión de riesgos para justificar en lugar de cumplir las mejores prácticas. Cuando ya esto supone un desafío, pensar en salvaguardas adicionales para las nuevas tecnologías suele parecer algo deseable pero no imprescindible, a menos que lo exijan los requisitos regulatorios. Una buena práctica consiste en reservar alrededor del diez por ciento del presupuesto de TI para el gasto no relacionado con personal en seguridad de la información. Si todas las partes empezaran a hacerlo, nuestra capacidad de innovación alcanzaría a nuestra infraestructura heredada. Entonces, poco a poco pero con seguridad, estaríamos más protegidos.
¿Por qué necesitamos un enfoque más estricto en el cifrado como garantía de la privacidad y la seguridad en línea?
La criptografía está en el corazón de nuestra economía de internet global, desde la banca en línea hasta la protección de la propiedad intelectual, así como la necesidad más fundamental de contar con comunicaciones seguras y privadas entre las personas. Protege los derechos humanos, pero también respalda la seguridad nacional. Lamentablemente, esto no significa que no hayamos enfrentado desafíos a esta capacidad, como demuestran las guerras criptográficas de la década de 1990. Siempre me viene a la mente una cita de Benjamin Franklin: “Quienes estarían dispuestos a renunciar a la libertad esencial por un poco de seguridad temporal no merecen ni libertad ni seguridad”, que refleja la tensión entre las capacidades nacionales de vigilancia y las necesidades de privacidad individual. Necesitamos una criptografía sólida, robusta y bien probada, sin puertas traseras, para proteger una sociedad libre y democrática. Existen alternativas para que las fuerzas del orden realicen investigaciones selectivas sin poner en riesgo la seguridad común de la que disfrutamos todos ni nuestros derechos humanos fundamentales.
¿Cómo podrían los avances en la computación cuántica alterar esto?
La promesa de la computación cuántica es que problemas científicos de larga data y muy difíciles podrán resolverse de una manera novedosa. Nuestra criptografía actual se basa en problemas matemáticos complejos, como la factorización de enteros y los logaritmos discretos, que tardarían mucho tiempo en resolverse con nuestras computadoras actuales. Sin embargo, una computadora cuántica de escala suficiente puede acelerar la resolución de estos problemas de forma tan significativa que, en la práctica, romperá los algoritmos criptográficos que utilizamos actualmente.
¿Qué acciones se requieren para permitir una transición segura y sostenible hacia la economía cuántica?
En primer lugar, debemos saber dónde utilizamos nuestra criptografía actual y con qué finalidad. La mayoría de las organizaciones no tienen idea de cuáles son sus recursos criptográficos ni de cómo estos permiten las operaciones diarias. Una vez completado ese inventario, debemos determinar cómo transitar hacia nuevos algoritmos poscuánticos, es decir, un nuevo conjunto de algoritmos que seguirán siendo resistentes a un ataque de computación cuántica, y, al mismo tiempo, buscar posibles oportunidades muy concretas para desplegar algo denominado comunicaciones cuánticas (enlaces de comunicación seguros basados en los principios de la mecánica cuántica). Al revisar la cadena de suministro de una organización, puede haber proveedores que trabajen en este ámbito y que faciliten una transición sencilla. Sin embargo, pase lo que pase, deben tenerlo en cuenta, y comprender el grado de madurez de un proveedor en esta área es fundamental para lograr una transición fluida.
¿Cuál sería su consejo para los responsables políticos y otros expertos en ciberseguridad para lograrlo?
Aunque sería maravilloso que todos adoptaran de forma voluntaria y habitual las mejores prácticas, me temo que necesitamos un marco regulatorio y una estrategia nacional que garanticen que las partes más vulnerables y críticas de nuestra economía estén preparadas para la era cuántica. Mi mayor preocupación es el tiempo que nos queda para transitar hacia un futuro seguro en la era poscuántica. Es importante poder aprovechar los beneficios de la computación cuántica y de las tecnologías cuánticas para impulsar nuestra sociedad, gestionando al mismo tiempo los posibles efectos adversos derivados del debilitamiento de la criptografía. Dado que existe una ventaja estratégica y de seguridad nacional tan importante en términos de capacidades de vigilancia, me temo que determinada infraestructura y software acaben incluyéndose en el Arreglo de Wassenaar sobre controles de exportación de armas convencionales y de bienes y tecnologías de doble uso.
Insto a los responsables políticos a garantizar que no existan restricciones a la exportación de tecnologías cuánticas, lo que solo profundizaría aún más la brecha digital. Debido a la interconexión de nuestras economías, necesitamos la democratización de la tecnología y debemos asegurar la participación global para estar colectivamente protegidos, una especie de versión digital de la inmunidad de rebaño.
