Cloudflare: MOLE y la privacidad web post-cuántica

Cloudflare rediseña la privacidad web para la era post-cuántica

Una firma digital post-cuántica del estándar ML-DSA-44 ocupa 2.420 bytes; una firma clásica ECDSA-P256, apenas 64 bytes. Esa diferencia de tamaño es la razón por la que Cloudflare publicó un análisis técnico sobre un problema que casi nadie está mirando: cómo sostener la privacidad de los usuarios cuando la criptografía que protege internet deje de ser segura. Para un founder, el mensaje es directo: los sistemas de verificación de tráfico y de identidad que usa hoy tienen fecha de vencimiento técnica.

El foco del artículo es Privacy Pass, un protocolo que Cloudflare usa desde hace 10 años para proteger aplicaciones del abuso sin obligar a los usuarios a resolver CAPTCHAs ni a identificarse. La compañía lo despliega en productos como los proxies de privacidad (iCloud Private Relay) y los relays (Privacy Gateway). La idea central: el cliente recibe tokens que luego canjea por acceso, y cada token es imposible de vincular con quien lo recibió.

¿Por qué la criptografía clásica ya no alcanza?

Privacy Pass se apoya en criptografía clásica, como RSA y curvas elípticas. Según Cloudflare, eso significa que un atacante con un computador cuántico criptográficamente relevante podrá falsificar tokens a voluntad y usarlos para saltarse cualquier control que el operador del sitio quiera aplicar, como el límite de tráfico.

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

La contraparte es que la privacidad del sistema no depende de esa criptografía. Cloudflare describe a Privacy Pass como incondicionalmente privado: ningún atacante, cuántico o no, puede vincular el canje de un token con su emisión. Es una distinción clave: lo que se rompe es la capacidad de evitar falsificaciones, no la garantía de anonimato del usuario.

¿Qué es MOLE y qué cambia en el modelo de confianza?

MOLE (Moderation Of unLinkable Endorsements) es la arquitectura que Cloudflare y otros actores están desarrollando como próxima generación de esta tecnología. Introduce un objeto nuevo llamado endorsement: lo emite un anchor y lo canjea un moderator. Antes del canje, cliente y moderador acuerdan un conjunto de anchors de confianza, y el cliente prueba que recibió un endorsement de alguno de ellos sin revelar cuál.

La diferencia con Privacy Pass tradicional es sustancial. En el modelo actual, para verificar un token el verificador necesita la clave pública del emisor, y por lo tanto aprende quién lo emitió. Eso sirve cuando la identidad del emisor es una señal útil, por ejemplo cuando un cliente prueba que está autorizado a usar la VPN de un cliente corporativo. Pero en la mayoría de los casos solo importa que el token venga de alguien confiable, y ocultar al emisor garantiza trato igualitario para todo tipo de cliente.

El contexto importa: en junio de 2026, Cloudflare anunció junto a Mozilla Firefox, Google Chrome, Microsoft Edge y Shopify la iniciativa PACT (Private Access Control Tokens), pensada para reemplazar CAPTCHAs por atestación criptográfica anónima, según reportó Tech Times. La misma cobertura señala que los bots generan cerca del 58% de las solicitudes HTTP a nivel mundial, de acuerdo con datos de Cloudflare Radar, y que Privacy Pass fue formalizado por el IETF como RFC 9576 en 2024. Las firmas ciegas que hacen posible todo esto las propuso el matemático David Chaum en 1983.

El avance: firmas ciegas post-cuánticas más compactas

El artículo repasa la línea de investigación que hace viable MOLE. En 2023 se publicó VOLE-in-the-Head (VOLEitH), un sistema de pruebas de conocimiento cero (Baum et al., Crypto 2023), que dio origen a FAEST, candidato a la competencia de firmas de NIST. VOLEitH no es un sistema de pruebas sucinto —sus pruebas crecen de forma lineal con el tamaño del testigo—, pero es muy eficiente para declaraciones expresables como ecuaciones sobre campos binarios pequeños.

Sobre esa base llegó PoMFRIT, una firma ciega publicada este año (Baum et al., USENIX Security 2026) que marcó un récord para construcciones post-cuánticas candidatas: 6,7KB para la firma ciega y unos pocos cientos de bytes para la emisión. Cambiando MAYO por UOV, Cloudflare estima que el tamaño baja a 4,3KB. UOV aporta firmas de apenas 135 bytes, aunque con claves públicas de 46,6KB: un trade-off razonable cuando la clave se puede cachear y reutilizar muchas veces.

¿Cuánto pesa esto en la práctica?

Cloudflare publicó sus estimaciones de costo para los dos esquemas que está desarrollando. Las cifras son más grandes que sus equivalentes clásicos, algo esperable en toda la transición post-cuántica:

PoMFRIT con UOV: emisión de menos de 1KB y presentación de 4,3KB.
VOLE-IHAT (candidato para endorsements de MOLE): 5,6KB de emisión y 6,5KB de canje.
VOLE-ACT (candidato para credenciales MOLE): 5,4KB de emisión y 12,0KB al gastar.

Los tiempos de ejecución, según la propia implementación de Cloudflare, son de apenas unos milisegundos por operación. El obstáculo real no es la velocidad sino el tamaño: si las firmas ciegas clásicas eran lo bastante baratas para canjear un token en cada request, con las versiones post-cuánticas habrá que amortizar un solo canje entre varias solicitudes.

¿Qué riesgos quedan abiertos?

Cloudflare es explícito en que el criptoanálisis de la criptografía multivariada todavía es inmaduro. Los esquemas UOV y MAYO han resistido los ataques recientes, pero la compañía espera que los parámetros cambien y encarezcan las construcciones. La optimización que hace posible PoMFRIT descansa en una suposición más fuerte, llamada one-more-UOV.

El propio análisis cita un episodio concreto: investigadores de la Universidad de California en San Diego e INRIA lograron falsificar una firma RSA de 1024 bits usando un emisor de Privacy Pass como oráculo de firma. Privacy Pass usa RSA de 2048 bits, lo que junto a otras defensas da margen suficiente. Vale aclarar que una ruptura de este tipo afectaría la capacidad de falsificar tokens, no la privacidad del cliente.

¿Qué plazos maneja la industria?

La presión regulatoria ya está puesta. NIST publicó sus estándares post-cuánticos en agosto de 2024 y este año sumó una guía de transición: la orden ejecutiva 14412 de junio de 2026 fija el 31 de diciembre de 2030 para la migración de establecimiento de claves y el 31 de diciembre de 2031 para firmas digitales en sistemas federales, según Infosecurity Magazine. NIST deprecará los algoritmos de firma vulnerables después de 2030 y prohibirá su uso tras 2035, según Bank Info Security.

Los autores del informe de NIST advierten que el trayecto desde la estandarización de un algoritmo hasta su integración completa suele tomar entre 10 y 20 años. Cloudflare, Google y Microsoft se comprometieron a una migración completa para 2029, y Microsoft advirtió que los computadores cuánticos capaces de romper el cifrado asimétrico podrían llegar en los próximos cinco años. En paralelo, Cloudflare prevé emitir certificados post-cuánticos en producción en el primer trimestre de 2027, según Help Net Security, y Ars Technica reportó que los certificados cuánticamente seguros añadirían unas 40 veces más datos al handshake TLS.

¿Qué significa esto para tu startup?

Inventariar la criptografía antes de que sea urgente. Igual que las agencias federales, tu equipo debería identificar dónde usa RSA o curvas elípticas: TLS, firma de código, tokens de acceso, autenticación de usuarios. Lo que protege datos sensibles o de vida larga va primero, por el riesgo de cosechar ahora y descifrar después.
Usar híbridos como puente, no como destino. NIST describe la combinación de criptografía clásica y post-cuántica como dos candados en una puerta en lugar de uno, pero advierte que añade complejidad y costo. Es una medida temporal, no una arquitectura final.
Diseñar para el costo de tamaño, no solo para el de cómputo. Los esquemas que Cloudflare evalúa tienen claves públicas de 46,6KB y presentaciones de hasta 12KB. Si tu producto valida credenciales en cada request, conviene pensar desde ahora en cachear claves y amortizar verificaciones.

Conclusión

Cloudflare no anunció un producto: publicó un mapa de ruta criptográfico. Lo relevante para el ecosistema emprendedor es que la transición post-cuántica dejó de ser un problema teórico de matemáticos y pasó a ser un problema de ingeniería de producto. Los números que la compañía maneja —4,3KB, 6,5KB, 12KB y unos pocos milisegundos por operación— sugieren que la parte criptográfica ya tiene una salida viable, y que el trabajo pendiente está en los sistemas que la usan. Para una startup, eso significa que las decisiones de arquitectura que tome hoy sobre cómo verifica usuarios y tráfico van a determinar cuánto le cuesta migrar cuando llegue el momento.