RSA: nuevo método rompe claves sin factorizar

Una firma forjada sin necesidad de factorizar

Criptógrafos de la Universidad de California en San Diego (UC San Diego) presentaron un nuevo método para atacar el sistema criptográfico RSA que, por primera vez, permite forjar firmas digitales válidas sin necesidad de factorizar la clave. El hallazgo, liderado por la profesora Nadia Heninger, fue descrito por expertos del sector como un «avance conceptual» si supera la revisión por pares.

Durante décadas, la comunidad criptográfica asumió que la única manera de generar firmas RSA válidas era factorizar el número entero que compone la clave para obtener la clave privada. Para RSA de 1024 bits, esto se estimaba posible pero extremadamente caro —»del orden de decenas de millones de dólares en tiempo de cómputo para una sola clave», según Heninger—. Para RSA de 2048 bits, se consideraba totalmente fuera del alcance.

El nuevo método cambia esa ecuación. Como explicó Karsten Nohl, jefe de innovación en Allurity, «el investigador sugiere que se puede romper RSA prácticamente sin descifrar su clave». El ataque reduce los recursos de cómputo necesarios en órdenes de magnitud y, según los autores, baja el nivel de seguridad efectiva de RSA incluso en longitudes de 2048 y 4096 bits por debajo del umbral de 128 bits exigido por la NSA, el NIST y la Agencia de la Unión Europea para la Seguridad de las Redes y de la Información.

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

Por qué importa aunque hoy no se pueda explotar

El hallazgo no representa una amenaza inmediata para las implementaciones ampliamente usadas de RSA, y los propios autores son cuidadosos al señalar que, incluso contra claves de 1024 bits ya depreciadas, el ataque demanda más cómputo del que la mayoría de las organizaciones puede costear. Solo Estados-nación o actores con recursos masivos podrían ejecutarlo en la práctica, al menos en el corto plazo.

Su valor real está en lo que cambia sobre el papel. Durante décadas, la dificultad de romper RSA se equiparó a la dificultad de factorizar números enteros grandes: si uno era difícil, también lo era el otro. Esa equivalencia es la base sobre la que se diseñan longitudes de clave, certificaciones, protocolos y hojas de ruta regulatorias en todo el mundo. Un ataque que rompe esa equivalencia obliga a repensar las suposiciones de seguridad, no solo los parámetros.

Para los fundadores que viven lejos del mundo de la criptografía, la conclusión operativa es directa: el margen de seguridad que daba RSA por «ser RSA» se está estrechando. Y no se trata de un riesgo teórico a veinte años vista: ocurre en un momento en el que la presión regulatoria para migrar a criptografía post-cuántica ya tiene fechas firmes y los plazos se están acortando.

El reloj post-cuántico se acelera

La noticia llega cuando la transición a criptografía post-cuántica (PQC) ya está en marcha a nivel global. En agosto de 2024, el NIST finalizó los primeros tres estándares PQC —FIPS 203 (ML-KEM) para intercambio de claves, FIPS 204 (ML-DSA) y FIPS 205 (SLH-DSA) para firmas digitales— y planea retirar los algoritmos cuántica-vulnerables más débiles después de 2030, con una eliminación casi total para 2035. Su plan IR 8547 depreca RSA-2048 y ECC P-256 desde 2030, según reportó CSO Online.

Una orden ejecutiva de la Casa Blanca de junio de 2026 acortó esos plazos para «activos de alto valor» y «sistemas de alto impacto»: las entidades que manejan secretos de larga duración deben completar la transición a esquemas post-cuánticos de establecimiento de claves antes del 31 de diciembre de 2030 y a firmas digitales cuántica-seguras antes del 31 de diciembre de 2031, unos cinco años antes de lo previsto inicialmente. Google y Cloudflare ya adelantaron sus propios calendarios a 2029. La NSA, por su parte, exige a través del CNSA 2.0 que los sistemas de seguridad nacional abandonen RSA, Diffie-Hellman y ECC en los próximos años, según publicó Forbes.

El contexto importa porque la superficie de ataque se está moviendo en dos frentes a la vez. Por un lado, los algoritmos cuántica-vulnerables como RSA se deprecian según calendarios regulatorios firmes. Por el otro, la ingeniería necesaria para ejecutar criptoanálisis clásico a escala se abarata aceleradamente. Apenas cinco días antes de este anuncio, el ingeniero de Anthropic Stephen A. Weis publicó la factorización de RSA-896 con ayuda del modelo Claude, ejecutando el General Number Field Sieve (GNFS) sobre 2.048 GPUs en aproximadamente diez días. Tres semanas antes, Eric Lu de Cognition había establecido el récord previo con Devin AI sobre RSA-260, con un coste estimado diez veces menor que el arte previo. En ambos casos, los agentes de IA no descubrieron matemática nueva: portaron código CPU-nativo a GPU y orquestaron flotas distribuidas, reduciendo un trabajo que antes requería equipos especializados a algo manejable por un solo ingeniero.

El propio Lu estima en alrededor de US$30 millones el costo actual para factorizar una clave RSA de 1024 bits con hardware GPU de mercado, según reportó TechTimes —una cifra al alcance de Estados-nación y grandes actores privados. RSA-1024, RSA-1536 y RSA-2048 siguen sin factorizarse públicamente, pero la barrera que las hacía «intocables» ya no es lo que era. Y existe un riesgo adicional conocido como harvest now, decrypt later: adversarios que capturan hoy tráfico cifrado y lo descifran cuando exista una computadora cuántica capaz. Para datos con ventanas de confidencialidad de décadas —historiales clínicos, secretos comerciales, contratos de infraestructura—, ese reloj ya empezó a correr.

¿Qué significa esto para tu startup?

La buena noticia es que, si tu producto usa RSA-2048 o ECC estándar con TLS 1.3, no hay nada que apagar esta semana. La mala noticia es que la conversación sobre criptografía que tu equipo postergó para «el próximo trimestre» lleva tiempo siendo urgente.

Estas son tres acciones concretas para los próximos 30 días:

Haz un inventario criptográfico hoy. CISA, NSA y NIST publicaron una guía de migración en seis pasos que arranca por descubrimiento. Mapea dónde usas RSA, ECC y otros algoritmos cuántica-vulnerables: configuraciones TLS, procesos de firma de código, túneles VPN, firmware embebido y librerías de terceros que no escribiste. En la mayoría de los proyectos, el inventario revela criptografía que nadie recordaba que existía.
Acelera la salida de cualquier clave de 1024 bits o menos. Certificados antiguos, dispositivos IoT, VPNs heredadas y sistemas embebidos suelen arrastrar RSA-1024, que NIST deprecó en 2013 bajo SP 800-131A. Con los nuevos resultados, el costo estimado para romper esa longitud está dentro del alcance de actores con recursos. Trátalo como prácticamente comprometido y rotalo antes de que sea un incidente.
Diseña con agilidad criptográfica. La migración a PQC no es un proyecto con fecha de cierre: habrá una próxima transición. Abstrae las operaciones criptográficas detrás de interfaces que no hardcodeen un algoritmo y exige a tus vendors hojas de ruta PQC concretas antes de renovar contratos. Preguntar ahora no cuesta; descubrir en 2029 que tu HSM no tiene cronograma post-cuántico cuesta un trimestre que no tenías presupuestado.

El fondo del asunto no es si RSA se rompe mañana, sino que el modelo mental de «RSA es seguro porque factorizar es difícil» dejó de ser una garantía. Para una startup, eso significa algo liberador: la seguridad de tu producto ya no depende de una sola primitiva matemática de los años 70. Depende de qué tan rápido migres a las nuevas.