La pregunta surge cada vez que la computación cuántica aparece en las noticias: ¿sigue protegiéndome mi VPN? En el caso de WireGuard, la respuesta honesta exige separar lo que el protocolo hace hoy de lo que ha publicado un organismo de normalización, porque no son lo mismo.
La parte que es genuinamente vulnerable
El handshake de WireGuard se basa en Curve25519. El intercambio de claves de curva elíptica es exactamente la familia de criptografía que un gran ordenador cuántico rompería, y por eso mismo se plantea la pregunta.
Esto no es un fallo de WireGuard. Es el estado de casi todo el intercambio de claves desplegado, y es la razón por la que el NIST llevó a cabo un proceso de varios años para normalizar sustitutos.
Qué normalizó realmente el NIST
El 13 de agosto de 2024, el NIST publicó FIPS 203, que especifica un mecanismo de encapsulación de claves llamado ML-KEM.
Un KEM hace un trabajo concreto: permite a dos partes establecer una clave secreta compartida a través de un canal público, que luego puede usarse para el cifrado y la autenticación simétricos habituales. Su seguridad se apoya en el problema Module Learning with Errors y, en la formulación cuidadosa del estándar, se cree que es seguro, incluso frente a adversarios que poseen un ordenador cuántico.
El estándar define tres conjuntos de parámetros, ML-KEM-512, ML-KEM-768 y ML-KEM-1024, en orden de fuerza de seguridad creciente y rendimiento decreciente. Fíjese en la formulación a lo largo de todo el texto: se cree que es seguro. Así es como escriben los criptógrafos, y conviene leerlo literalmente y no como una cautela de marketing.
Qué ofrece WireGuard en su lugar
WireGuard no implementa ML-KEM. Lo que describe su página de protocolo es una clave precompartida opcional, que debe usarse si se requiere una capa adicional de criptografía de clave simétrica (para, digamos, resistencia poscuántica).
Aquí importan tres detalles.
Se mezcla, no se sustituye. La clave precompartida se combina con la criptografía de clave pública durante la derivación de claves. Por tanto, un atacante necesita tanto romper Curve25519 como poseer el secreto compartido. La curva elíptica no se elimina, se respalda.
Está desactivada de forma predeterminada. Cuando el modo de clave precompartida no está en uso, el valor se trata como una cadena de 32 bytes toda a cero. No ocurre nada a menos que usted lo configure.
La propia documentación se cubre las espaldas. La frase es para, digamos, resistencia poscuántica. Ese «digamos» hace un trabajo real: la página ofrece el caso de uso como un ejemplo y no como una garantía, y no formula ninguna afirmación formal de seguridad sobre adversarios cuánticos. Un protocolo que quisiera anunciar seguridad poscuántica no lo expresaría así.
La distinción que lo decide todo
Ambos enfoques terminan con un secreto compartido, pero resuelven mitades opuestas del problema.
ML-KEM establece un secreto entre partes que nunca se han visto, a través de un canal que cualquiera puede observar. Ese es el problema difícil, y es el que amenaza un ordenador cuántico.
La clave precompartida de WireGuard da por supuesto que el secreto ya existe. Usted tiene que hacer llegar 32 bytes a ambos peers por alguna otra vía, de forma segura, y mantenerlos a salvo después.
Así que la clave precompartida es una mitigación real, y no es lo mismo que el establecimiento de claves poscuántico. Si puede distribuir secretos fuera de banda, funciona. Si no puede, no ayuda, y por mucho que la active eso no cambia.
Qué hacer en la práctica
Actívela si controla ambos extremos. Túneles de sede a sede, sus propios servidores, un puñado de dispositivos que usted administra: el problema de distribución de claves es pequeño y la mitigación es real. Aborda la preocupación de recolectar ahora y descifrar después, en la que el tráfico capturado hoy se almacena hasta que exista un ordenador cuántico.
Sopese honestamente el coste operativo. Cada par de peers necesita su propia clave, distribuida de forma segura, rotada y protegida. Una clave precompartida filtrada es peor que ninguna, porque elimina la capa que usted creía tener mientras sigue creyendo que está ahí.
No espere que su VPN comercial la ofrezca. El modelo de clave precompartida encaja con una infraestructura de su propiedad, no con un proveedor que atiende a miles de clientes. Si un proveedor afirma ofrecer protección poscuántica, la pregunta útil es qué mecanismo y si se trata de ML-KEM o de algo a lo que ha puesto nombre él mismo.
El resumen honesto
WireGuard no es seguro frente a la computación cuántica de forma predeterminada, y su handshake se apoya en Curve25519, al que la computación cuántica amenaza directamente.
Su respuesta es una clave precompartida opcional, mezclada con la criptografía existente, desactivada salvo que se configure, y descrita por su propia documentación con un digamos deliberado en lugar de con una promesa. ML-KEM del NIST, normalizado en FIPS 203 el 13 de agosto de 2024 con tres conjuntos de parámetros, resuelve el problema más difícil de establecer un secreto en primer lugar.
Use la clave precompartida allí donde pueda distribuir claves de forma segura. No la confunda con el estándar y desconfíe de quien difumine la diferencia.
La descripción de ML-KEM, la fecha de publicación de FIPS 203 del 13 de agosto de 2024, los tres conjuntos de parámetros, la base Module Learning with Errors y la frase sobre creerse seguro frente a adversarios que poseen un ordenador cuántico proceden de la página publicada por el NIST para FIPS 203. La clave precompartida opcional, su finalidad declarada, su mezcla con la criptografía de clave pública y el valor predeterminado de 32 bytes todo a cero proceden de la documentación del protocolo WireGuard. Ambas fueron verificadas en el momento de la redacción. Los enlaces comerciales llevan el atributo rel="sponsored nofollow"; puede aplicarse una comisión de afiliación sin coste adicional para usted.
Asegura tu conexión con NordVPN
Threat Protection bloquea rastreadores y malware · kill switch · 30 días de garantía
