Cosechar ahora, descifrar después
Empecemos por la orden, porque se lee como la respuesta a una emergencia que todavía no ha ocurrido.
El 22 de junio de 2026, Estados Unidos firmó la Orden Ejecutiva 14412, "Securing the Nation Against Advanced Cryptographic Attacks" —"Proteger a la nación frente a los ataques criptográficos avanzados"—, junto con una orden complementaria sobre innovación cuántica. Manda a los organismos federales migrar sus sistemas de alto valor a la criptografía poscuántica —establecimiento de claves para finales de 2030, firmas digitales para finales de 2031—, ordena a los contratistas seguir el mismo calendario y obliga a cada organismo a designar un responsable de la transición poscuántica en un plazo de treinta días. En el lenguaje seco de los mandatos federales, es una instrucción para cambiar las cerraduras de todo el gobierno antes de una fecha cierta.
Aquello contra lo que se defiende no existe. Un ordenador cuántico criptográficamente relevante —uno capaz de ejecutar el algoritmo de Shor a la escala necesaria para romper el cifrado RSA y de curva elíptica que protege prácticamente toda la internet de hoy— no se ha construido, y el consenso honesto de los expertos es que nadie sabe cuándo se construirá. Una encuesta de diciembre de 2024 a una treintena de expertos en computación cuántica situó la probabilidad de que semejante máquina llegue en diez años en aproximadamente entre una de cada cinco y una de cada tres. Una minoría respetable duda de que llegue a una escala útil en mucho tiempo, si es que llega. Entonces, ¿por qué la fecha límite, y por qué ahora?
Porque la orden no se defiende de la máquina. Lo dice ella misma. Su justificación declarada es "the risk of adversaries collecting United States information now, and decrypting it later once large-scale quantum computers are operational" —el riesgo de que los adversarios recopilen información de Estados Unidos ahora y la descifren después, una vez que haya ordenadores cuánticos a gran escala en funcionamiento—. Cosechar ahora, descifrar después: un adversario no necesita romper su cifrado hoy para ganar. Solo necesita grabarlo hoy —capturar el texto cifrado mientras cruza un cable, un enlace por satélite, un punto neutro de internet— y almacenarlo, barato, indefinidamente, a la espera del día en que la máquina exista. Cuando llegue ese día, el archivo se descifra en bloque, de forma retroactiva. Todos los secretos que contenía y que sigan siendo secretos quedan expuestos de golpe.
Esto reduce toda la cuestión cuántica a un único hecho independiente del calendario. Se puede discutir cuándo llega el Q-Day. Lo que no se puede discutir es que la grabación ya es posible y el incentivo ya es obvio: la interceptación masiva del tráfico de red está documentada, desde los programas de la era Snowden hasta las intrusiones de Salt Typhoon de este año, y el almacenamiento es barato. Que algún archivo concreto se esté acumulando para esperar a que caiga la criptografía es una inferencia, no un depósito confirmado, pero es una inferencia bien fundada, y la propia orden adopta exactamente esa postura cuidadosa: advierte del "risk of adversaries collecting United States information now, and decrypting it later" —el riesgo de que los adversarios recopilen información de Estados Unidos ahora y la descifren después—, matizando la intención mientras concede la exposición. Como el descifrado es retroactivo, la fecha del Q-Day no le protege; lo único que protege un mensaje dado es si ya iba envuelto en cifrado resistente a lo cuántico en el instante en que fue interceptado. Si no lo iba, ya está en el archivo. La ruptura simplemente está programada.
Esa es la inversión que está en el corazón de esta edición. Estamos acostumbrados a pensar en un cifrado roto como un acontecimiento futuro que expone mensajes futuros. Cosechar ahora, descifrar después lo convierte en un acontecimiento pasado que expone mensajes presentes. Los datos que usted envía hoy son los datos que se están cosechando hoy. El reloj arrancó sin pistoletazo de salida y, como dijo un antiguo responsable de CISA a propósito de los años que van de aquí a la fecha límite de 2030, "seguimos teniendo todos esos datos que siguen saliendo, que siguen expuestos a ser cosechados".
El cifrado nunca fue un estado. Era una apuesta.
Para sentir por qué esto inquieta y no es solo técnico, hay que renunciar a una suposición cómoda: la de que "cifrado" es una propiedad que un mensaje tiene, del mismo modo que una puerta cerrada está cerrada.
No lo es. El cifrado es una apuesta: la apuesta de que el coste de romper la cifra superará los recursos de cualquier atacante durante todo el tiempo que la información protegida importe. Para los algoritmos que hacen funcionar la internet moderna, esa apuesta ha sido astronómicamente segura, porque la fuerza bruta tardaría más que la edad del universo. Pero la apuesta nunca fue "esto es irrompible". Fue "esto es irrompible a tiempo". Y la segunda cláusula es la que carga con todo el peso.
Un ordenador cuántico que ejecute el algoritmo de Shor no gana la apuesta por fuerza bruta; cambia las matemáticas que hay debajo, y convierte un problema que llevaría eones en uno que lleva días. En el momento en que esa máquina exista, la apuesta que protegía un mensaje dado se revela, retroactivamente, perdida —no en el momento de la ruptura, sino en el momento en que se envió el mensaje, si alguien estaba grabando—. Por eso "cosechar ahora, descifrar después" no es una metáfora. Es una descripción precisa de cómo fracasa una apuesta con plazo cuando el horizonte se derrumba.
Y replantea la buena noticia de la edición anterior. La confidencialidad ganó, escribimos: la UE no pudo forzar el escaneo de los mensajes cifrados, la arquitectura aguantó, las matemáticas no negociaron. Todo cierto, y todo ello referido al cifrado clásico, que es exactamente la apuesta que cosechar ahora, descifrar después está construido para cobrar. El cifrado que resistió a un continente de reguladores es el mismo cifrado que un adversario está grabando para romperlo con un calendario más largo. Ganar la pelea por mantener sus mensajes cifrados y perder la pelea por mantener ese cifrado por delante de la máquina no son cosas contradictorias. Son las dos mitades de una misma historia de este año: la cerradura aguantó, y alguien la está fotografiando pacientemente desde todos los ángulos para hacer una copia de la llave más tarde.
La orden, y el fuego que enciende
La EO 14412 no es la primera palabra sobre esto; es la más alta. Un memorando de seguridad nacional de 2022 ya había fijado un objetivo de migración para todo el gobierno en 2035. La nueva orden lo comprime a 2030 y 2031 para los sistemas que más importan, establece una cascada de plazos más cercanos —responsables de transición en los organismos a los treinta días, directrices de inventario a los noventa, un piloto de migración del NIST a los ciento ochenta— y, sobre todo, se extiende más allá del gobierno hasta su cadena de suministro, disponiendo que los contratistas federales cumplan las normas poscuánticas para finales de 2030. Una estimación federal anterior cifró el coste de migrar solo los sistemas civiles priorizados, excluidos los clasificados y los militares, en unos siete mil millones de dólares a lo largo de una década.
Los plazos parecen lejanos. No lo son, y ese es el sentido del fuego. Las migraciones criptográficas son los proyectos de infraestructura más lentos que existen, porque la criptografía está en todas partes y etiquetada en ninguna: horneada en el firmware, escrita a fuego en dispositivos, enterrada en protocolos, certificados y chips que nadie ha inventariado. La lectura honesta de una fecha límite de 2030 fijada en 2026 no es "tenemos cuatro años para relajarnos". Es "esto es tan difícil que cuatro años van justos", lo cual es en sí mismo el argumento de que la cosecha va ganando: si al gobierno mejor dotado de la tierra le lleva hasta 2030 volver a cifrar sus propios sistemas de alto valor, todo lo que no esté migrado queda expuesto mientras tanto, y la grabadora del adversario funciona todo el tiempo.
Las herramientas para hacerlo existen, que es la parte genuinamente esperanzadora. En agosto de 2024, tras una competición abierta de ocho años, el NIST finalizó las primeras normas poscuánticas: ML-KEM para el intercambio de claves, ML-DSA y SLH-DSA para las firmas, con una alternativa basada en códigos, HQC, seleccionada en 2025 como cobertura por si las matemáticas de retículos que sustentan las demás resultan rotas. Los algoritmos son reales, están auditados y se están desplegando. La pregunta que se hace el resto de este texto no es si podemos migrar. Es qué estamos migrando exactamente, y si nos estamos moviendo rápido en la parte que importa o en la parte que es fácil.
Qué tiene una vida útil larga
Cosechar ahora, descifrar después no es una amenaza uniforme. Es un problema de clasificación, y clasificar es el antídoto tanto contra el pánico como contra la negación.
La mayoría de los datos tienen una vida útil corta. Un código de acceso de un solo uso, un pedido de comida, un token de sesión, un mensaje de "llego tarde": descífrelo en 2034 y no habrá averiguado nada que valga la electricidad. Para la abrumadora mayoría del tráfico que cruza internet ahora mismo, la cosecha es real y la pérdida es nula, porque el secreto caducó mucho antes de que llegara la máquina.
Pero algunos datos tienen una vida útil medida en décadas, o en toda una vida, y para esos datos la cosecha es catastrófica. Los secretos de Estado y los cables diplomáticos siguen siendo sensibles durante treinta años. Los historiales médicos y genómicos siguen siendo sensibles mientras usted y sus familiares estén vivos. El código fuente y los diseños de ingeniería siguen siendo sensibles hasta que el producto queda obsoleto. Los registros financieros y jurídicos, las identidades de las fuentes de inteligencia, la ubicación de los disidentes: todo ello tiene la propiedad que aquí importa, la de seguir siendo peligroso cuando se descifra tarde.
Y luego está la categoría que esta serie lleva todo el año documentando, que es el peor caso en todas las dimensiones a la vez. Los registros biométricos y de identidad que los gobiernos forzaron a existir a lo largo de 2026 —los documentos nacionales biométricos, los almacenes de identidad para la verificación de edad, los registros de SIM que vinculan cada línea a un nombre legal— son máximamente sensibles, máximamente permanentes, máximamente conservados y están en manos de exactamente los custodios más lentos, los menos propensos a haber migrado. Una contraseña filtrada en una cosecha se puede cambiar. Una tarjeta de crédito se puede reemitir. Usted no puede reiniciar su iris. Una base de datos de huellas e iris cosechada hoy y descifrada en 2032 no es una brecha de la que uno se recupera; es una biometría comprometida durante el resto de la vida de la persona inscrita, para todos los sistemas que vayan a confiar alguna vez en esa biometría. La identidad nacional biométrica de México pasó a ser oficial en octubre de 2025. El cosechador no necesita descifrarla hoy. Solo necesita estar grabando cuando el país la ponga en un cable.
Este es el triaje que exige el momento. No "cifrarlo todo contra lo cuántico mañana", que no es ni posible ni necesario, sino "encontrar los datos que seguirán siendo letales dentro de una década y ponerlos tras cifrado resistente a lo cuántico antes de que sean interceptados, no después". La vida útil es la clave de ordenación. Los registros están arriba del todo en la lista, y no están ni de lejos al principio de la cola.
La desigualdad de Mosca
Hay una pieza de aritmética que convierte todo esto de una sensación en una fecha límite, y pertenece al criptógrafo Michele Mosca. Es casi vergonzosamente simple, y por eso es difícil de esquivar.
Llame X al número de años que sus datos deben seguir siendo secretos. Llame Y al número de años que le llevará migrar sus sistemas a criptografía resistente a lo cuántico. Llame Z al número de años que faltan para que exista un ordenador cuántico criptográficamente relevante. Si X más Y es mayor que Z —si la vida de secreto exigida a sus datos, más su tiempo de migración, supera el tiempo que falta para la máquina—, entonces ya llega tarde. Los datos que protege hoy seguirán siendo valiosos cuando llegue la máquina, y usted no habrá terminado de moverlos a tiempo.
La potencia de la desigualdad está en que no exige conocer Z. Solo exige darse cuenta de que Y es grande y de que X, para los datos que importan, es enorme. Si su migración va a llevar seis años y sus secretos deben aguantar veinticinco, entonces está expuesto para cualquier Z por debajo de treinta y uno, lo que cubre esencialmente todas las estimaciones serias que hay sobre la mesa, incluidas las optimistas. "Esperar a ver" es una estrategia coherente solo si usted cree que Z es mayor que X más Y, y para los datos de vida útil larga, X por sí solo se come la mayor parte del rango plausible. Esta es la respuesta a la objeción más razonable de todo el debate —no sabemos cuándo será el Q-Day, así que ¿a qué viene la prisa?— sin necesidad de afirmar una fecha. Hay prisa porque el plazo de ejecución es largo y la vida útil es más larga todavía, y esos dos números sí los conoce.
Qué se desplegó, y qué no
Aquí viene la parte que debería tranquilizar y en cambio es el giro más afilado de la historia: la migración ya está muy en marcha, y va rápido, exactamente sobre los datos que menos la necesitan.
La pila de cifrado abierta, la del lado del usuario, se movió primero y se movió fuerte. Signal añadió protección poscuántica a su acuerdo de claves en 2023 y, en octubre de 2025, la extendió al propio trinquete continuo —de modo que ni siquiera un atacante que algún día rompa una sesión pueda desenrollar la conversación entera—, con el nuevo diseño verificado formalmente antes de desplegarse. Apple reconstruyó el protocolo de iMessage para la seguridad poscuántica en 2024. Los navegadores siguieron: Chrome y Firefox negocian ya por defecto un intercambio de claves poscuántico híbrido, que empareja el algoritmo clásico con ML-KEM de modo que romper la sesión exige romper los dos. Según la medición de Cloudflare, la proporción de tráfico web humano que negocia protección poscuántica pasó de menos del tres por ciento a principios de 2024 a ser mayoritaria a finales de 2025. Para la conversación cifrada que lleva en el bolsillo, la cosecha ya se está poniendo más difícil.
Pero mire de cerca qué cubre esa mayoría. Es el tramo de transporte —la clave de sesión efímera entre su dispositivo y una red de contenidos— y es precisamente el dato de vida útil corta que menos le importa a la cosecha. Las partes que más le importan a cosechar ahora, descifrar después apenas han empezado a moverse. El cifrado servidor a servidor y de origen es poscuántico en el orden de una conexión de cada diez. Las firmas digitales —la capa de autenticación, lo que demuestra que una actualización de software o un certificado son auténticos— van todavía más lentas, y la norma para la más eficiente de ellas ni siquiera es definitiva. Y la cola profunda es un problema de otra naturaleza: los sistemas embebidos, los controladores industriales, los satélites, los vehículos, los dispositivos médicos y el hardware de la red eléctrica, con vidas de servicio de diez a treinta años, buena parte de ello imposible de actualizar sobre el terreno, todo ello ronroneando sobre criptografía clásica que seguirá funcionando cuando llegue la máquina.
Así que la síntesis incómoda es esta. La migración está ganando la carrera barata y perdiendo la que resiste al calendario. Nos movimos rápido en las claves de sesión efímeras, donde un descifrado tardío no vale nada, y apenas nos hemos movido en los datos de larga vida e irremplazables —los secretos, los historiales médicos, los registros biométricos—, en manos de los custodios más lentos en actuar. La cifra de titular es real y es una noticia genuinamente buena para sus mensajes. También mide lo que no es si usted la lee como "vamos por la mitad". Vamos por la mitad de la mitad fácil.
El argumento a favor de la calma
La versión honesta de esta historia tiene que tomarse en serio a sus críticos más fuertes, porque no son chiflados; algunos de ellos son los mismos criptógrafos que construyeron las herramientas que esta serie defiende, y su objeción es el mejor argumento del campo.
Va así. El Q-Day puede estar muy lejos, o puede no llegar nunca a una escala útil. Los mayores ordenadores cuánticos de hoy manejan del orden de un millar de cúbits físicos propensos a errores; una estimación creíble de 2025 situó el requisito para romper RSA-2048 en menos de un millón de ellos —una reducción llamativa respecto de cifras anteriores de veinte millones, pero aún tres o cuatro órdenes de magnitud más allá de todo lo que existe, y condicionada a avances en corrección de errores que no se han producido—. Un criptógrafo destacado se ha ofrecido públicamente a apostar "enormes cantidades de dinero" contra la llegada de un ordenador cuántico relevante antes de 2035; a otro le gusta señalar que las máquinas cuánticas "todavía no han factorizado el número 35". En torno a esta incertidumbre genuina ha crecido un complejo cuántico-industrial —fabricantes, consultoras y startups con valoraciones por las nubes e ingresos minúsculos, cuyo modelo de negocio es vender urgencia migratoria, y cuyas evaluaciones de amenaza conviene leer teniendo eso presente—. Y la prisa en sí misma conlleva un riesgo real: las implementaciones poscuánticas son jóvenes, y el código criptográfico joven tiene fallos, a veces peores que los del código clásico curtido en batalla al que sustituye. Ya se encontró un fallo grave en una popular biblioteca poscuántica en 2023.
Cada cláusula de eso es cierta, y la conclusión que se sigue no es "no hacer nada", sino "hacer lo correcto, con cuidado". Concedamos el calendario por entero: no sabemos cuánto vale Z, y los vendedores de folletos existen. La tesis sobrevive intacta a la concesión, porque la afirmación que carga el peso nunca fue sobre la fecha. Fue sobre la cosecha, que es independiente del calendario: sea cual sea Z, los datos de vida útil larga cosechados bajo cifrado clásico antes de que usted migre están perdidos en cuanto llegue la máquina. La respuesta a "la criptografía poscuántica joven tiene fallos" es el despliegue híbrido que los proyectos serios ya usan: clásica y poscuántica juntas, de modo que el código nuevo solo pueda sumar seguridad y nunca restarla, y un fallo en las matemáticas de retículos siga dejando en pie el algoritmo clásico probado. La respuesta al complejo cuántico-industrial no es ignorar la amenaza que exagera, sino hacer el triaje sin glamur que los folletos se saltan: inventariar su criptografía, ordenar por vida útil, migrar primero los datos de larga vida con híbridos y seguir siendo escéptico ante cualquiera que venda un botón de pánico. Las dos cosas son ciertas a la vez. El timo es real, y la cosecha también.
El reloj global
La migración es una carrera, y los corredores van a velocidades disparatadamente distintas, lo que es un riesgo en sí mismo.
El cosechador más citado es China, que ha volcado entre diez mil y quince mil millones de dólares, según se informa, en investigación cuántica y que tiene tanto el alcance de interceptación como la paciencia que cosechar ahora, descifrar después recompensa; la asimetría de la estrategia está en que el país que más grabe hoy es el que más gana cuando llegue el Q-Day, sea quien sea el que construya la máquina primero. Los defensores se mueven cada uno con su reloj: la hoja de ruta de la comunidad de inteligencia estadounidense empuja los sistemas de seguridad nacional a la exclusividad poscuántica entre 2030 y 2033; la autoridad cibernética del Reino Unido fija hitos hasta 2035; la oficina de seguridad de Alemania quiere las infraestructuras críticas migradas para 2030 y, sin embargo, según encuestas recientes, menos de una organización de cada veinte tiene siquiera un plan de migración. Las normas son globales y la urgencia no. El resultado es un mundo que se ha puesto de acuerdo en los algoritmos y en desacuerdo en el calendario, con los custodios más lentos sosteniendo los datos de vida más larga, y un adversario indiferente a todo ello mientras la grabadora siga funcionando.
La disciplina entre la negación y el pánico
Aquí fracasan dos posturas, y fracasan simétricamente.
La negación —"el Q-Day es hype, la máquina no está cerca, relájense"— es errónea no porque el calendario sea corto, sino porque la cosecha no espera al calendario. Está ocurriendo ahora, contra datos con una vida útil más larga que cualquier Z plausible, y la migración que la detendría tarda años en ejecutarse. Para cuando la negación quede desmentida, los secretos de larga vida ya estarán en el archivo, y no hay parche para un descifrado que ya ocurrió.
El pánico —"suéltenlo todo y blinden el mundo contra lo cuántico para el martes"— es erróneo porque es imposible, porque financia el timo y porque meter a toda prisa criptografía joven en sistemas críticos puede restar seguridad en vez de sumarla. Entre las dos se sitúa la única postura que sobrevive al contacto con los hechos: el triaje. Encuentre los datos que seguirán siendo letales dentro de una década. Muévalos primero tras cifrado resistente a lo cuántico, en híbrido con los algoritmos clásicos para que el suelo nunca ceda. Exija agilidad criptográfica —la capacidad de volver a cambiar de algoritmo, rápido, cuando llegue la siguiente ruptura, porque habrá una siguiente ruptura— a cada proveedor y a cada sistema que compre, porque la lección más profunda de este momento no es "cámbiese a ML-KEM", sino "nunca más cablear a fuego una cifra que no puede sustituir". Y, como individuos, haga lo único que está plenamente a su alcance: use las herramientas que ya migraron. El mensajero cifrado con trinquete poscuántico protege la conversación de hoy frente a la máquina de mañana, que es lo más raro de todo este paisaje: una defensa que se puede desplegar antes de la amenaza en vez de después.
Esta es la secuela de la edición anterior, y complica su victoria sin borrarla. La confidencialidad ganó, contra los reguladores que querían escanearla. Esa victoria es real, y está prestada contra un reloj. El cifrado que celebramos está siendo grabado para ser roto más tarde, y los datos que menos preparados estamos para proteger son los datos que menos podemos permitirnos perder: las identidades, las biometrías, los hechos irreversibles de un cuerpo, que una década de políticas se dedica a obligar a subir a cables que alguien, en algún sitio, está grabando pacientemente.
Usted no puede volver a cifrar su iris. La única jugada es asegurarse de que nunca viajó en claro.
URnetwork es una red superpuesta entre pares para transporte resistente a la censura, diseñada para resistir la inspección profunda de paquetes en la capa de red; su servidor MCP, publicado el 19 de febrero de 2026, permite a los clientes agénticos establecer sesiones VPN sobre la red superpuesta entre pares. El código de URnetwork es abierto y auditable, y la seguridad de su transporte sigue la migración poscuántica que describe esta edición: la disciplina de mantenerse cripto-ágil, en público, donde el cambio se puede verificar en vez de prometer.
https://ur.io