Seguridad de contraseñas poscuántica: Qué cambia y qué hacer

Seguridad de contraseñas poscuántica: Lo que los CISO deben hacer ahora

La computación cuántica no va a romper por fuerza bruta una contraseña de 16 caracteres bien protegida con hash en un futuro próximo. El algoritmo de Grover solo reduce a la mitad el exponente de una búsqueda de hash, no el problema completo. Lo que sí rompe una máquina cuántica lo bastante grande es el intercambio de claves RSA y de curva elíptica que transporta esa contraseña hasta el servidor, y NIST ya ha fijado 2030 como plazo para sustituirlo.

Dos problemas distintos se condensan en un mismo titular: «la computación cuántica romperá sus contraseñas». Esta guía los mantiene separados y después ofrece a los equipos de TI y de seguridad un método para comprobar cuál de ellos se aplica realmente a su propia infraestructura de contraseñas y qué partes de esa infraestructura pueden esperar.

Puntos clave

El algoritmo de Shor rompe el intercambio de claves RSA y de curva elíptica. El algoritmo de Grover solo reduce a la mitad la fuerza efectiva de un hash de contraseña, de unos 128 bits a 64 bits.
NIST finalizó FIPS 203, 204 y 205 en agosto de 2024 y fijó en NIST IR 8547 un calendario de obsolescencia en 2030 y de prohibición en 2035 para RSA, ECDSA y EdDSA.
Harvest-now-decrypt-later (recolectar ahora, descifrar después) ya está en marcha. El 61 % de los profesionales de la seguridad lo señala como su principal preocupación cuántica, según Thales en su informe de 2026.
La auditoría de exposición cuántica en 3 capas clasifica una infraestructura de contraseñas en hashes, intercambio de claves y datos cifrados de larga duración. Cada capa recibe su propio veredicto.
AES-256 sigue siendo resistente a la computación cuántica con los tamaños de clave actuales. RSA-2048 es el componente para el que todo proveedor, incluidos los gestores de contraseñas, necesita un plan de migración.

Los dos algoritmos cuánticos que importan (Shor frente a Grover)

Dos algoritmos cuánticos importan para la seguridad de las contraseñas, y hacen trabajos distintos. El algoritmo de Shor ofrece una aceleración exponencial frente a las matemáticas que sustentan RSA y la criptografía de curva elíptica, lo que rompe el intercambio de claves en cuanto exista una máquina cuántica lo bastante grande. El algoritmo de Grover ofrece solo una aceleración cuadrática frente a la búsqueda simétrica, y reduce la fuerza efectiva a la mitad en lugar de a cero.

Algoritmo	Aceleración	Objetivo	Efecto práctico
Algoritmo de Shor	Exponencial	RSA, criptografía de curva elíptica (ECC), Diffie-Hellman	Rompe el intercambio de claves y las firmas digitales en cuanto exista una máquina cuántica grande con corrección de errores
Algoritmo de Grover	Cuadrática (raíz cuadrada)	Búsqueda simétrica: hashes de contraseñas, claves AES	Reduce a la mitad la fuerza efectiva en bits (128 bits pasan a unos 64 bits); el algoritmo en sí permanece intacto

La diferencia entre exponencial y cuadrática lo explica todo. Una aceleración cuadrática frente a un hash de 128 bits deja todavía unas 2⁶⁴ operaciones por probar, una cifra computacionalmente enorme hoy, y una función memory-hard (de uso intensivo de memoria) como Argon2id multiplica aún más ese coste. Una aceleración exponencial frente a RSA-2048 no deja un margen comparable.

Para conocer en profundidad la mecánica de los esquemas basados en retículos y de otros esquemas poscuánticos, consulte nuestro artículo explicativo sobre qué es la criptografía cuántica; esta guía se centra en lo que cambia específicamente para la infraestructura de contraseñas.

¿Qué es el algoritmo de Shor?

Algoritmo de Shor — un algoritmo cuántico desarrollado por Peter Shor en 1994 que factoriza eficientemente enteros grandes en sus factores primos en tiempo polinómico. En una máquina cuántica, puede factorizar un número de n bits en aproximadamente O(n³) operaciones, frente a los mejores algoritmos clásicos conocidos, que requieren tiempo exponencial. Este algoritmo es importante porque puede romper el cifrado RSA, que se basa en la dificultad de factorizar números grandes. Por ejemplo, mientras que una máquina clásica podría tardar miles de años en factorizar un número de 2048 bits, el algoritmo de Shor en una máquina cuántica lo bastante potente podría hacerlo en horas.

¿Qué es el algoritmo de Grover?

Algoritmo de Grover — un algoritmo cuántico desarrollado por Lov Grover en 1996 que busca en una base de datos sin ordenar de N elementos en tiempo O(√N), lo que proporciona una aceleración cuadrática frente a la búsqueda clásica, que requiere tiempo O(N). El algoritmo utiliza la superposición cuántica y la amplificación de amplitud para identificar un elemento marcado entre muchos no marcados. Por ejemplo, para encontrar un elemento concreto entre 1 millón de elementos, el algoritmo de Grover necesitaría unas 1000 consultas en lugar de 500 000 de media. Aunque es menos espectacular que el algoritmo de Shor, la aceleración de Grover se aplica a una gama más amplia de problemas, como la búsqueda en bases de datos, la optimización y el criptoanálisis.

Por qué el hash de su contraseña no es el objetivo real

Romper una contraseña bien protegida con hash sigue siendo caro incluso con el algoritmo de Grover, porque el coste de la función de hash se aplica a cada uno de los intentos que hace una máquina cuántica. Argon2id y bcrypt son memory-hard por diseño, así que reducir el exponente a la mitad deja al atacante pagando un precio alto por intento.

Tome una contraseña aleatoria de 16 caracteres extraída del conjunto imprimible completo de 95 caracteres: unos 105 bits de entropía antes de que el hash intervenga. La aceleración cuadrática de Grover reduce aproximadamente a la mitad ese exponente y sitúa al atacante en torno a 2⁵² operaciones efectivas. Esa cifra queda fuera del alcance de cualquier máquina cuántica que se plantee hoy en serio, y el coste memory-hard de Argon2id multiplica además el precio de cada intento.

No todas las funciones de hash ofrecen esa protección por igual. PBKDF2 está limitada por CPU y resulta más barata de paralelizar en hardware específico. Argon2id y bcrypt obligan al atacante a pagar en memoria además de en tiempo, lo que importa más a medida que mejora el descifrado con GPU y ASIC, cuántico o no. El salting sigue siendo obligatorio con cualquier algoritmo: impide los ataques con tablas rainbow precomputadas y obliga a que cada intento se ejecute individualmente contra un único hash.

Nuestra guía sobre hashing y salting de contraseñas explica con más detalle la mecánica de cada función, incluido por qué un mínimo de 16 caracteres se ha convertido en el suelo práctico.

¿Qué es Argon2id?

Argon2id — un algoritmo moderno de hash de contraseñas que ganó la Password Hashing Competition en 2015. Está diseñado para resistir tanto los ataques con GPU como con ASIC, ya que exige cantidades considerables de memoria y de tiempo de cálculo. Argon2id combina dos variantes: Argon2i (resistente a los ataques de canal lateral) y Argon2d (más rápido, pero potencialmente vulnerable a los canales laterales). Utiliza parámetros configurables de coste en tiempo, coste en memoria y paralelismo, lo que lo hace muy resistente a los ataques de fuerza bruta. Por ejemplo, con la configuración recomendada, generar el hash de una contraseña puede tardar de 1 a 2 segundos y requerir 64 MB de memoria, lo que hace poco práctico que los atacantes rompan contraseñas a gran escala.

¿Qué es PBKDF2?

PBKDF2 (Password-Based Key Derivation Function 2) — una función de derivación de claves normalizada por NIST que aplica repetidamente una función pseudoaleatoria (como HMAC-SHA256) a una contraseña y a una sal para producir una clave derivada. Está diseñada para ralentizar el hash de contraseñas mediante un número de iteraciones configurable, lo que encarece computacionalmente los ataques de fuerza bruta. PBKDF2 se ha adoptado ampliamente para el hash de contraseñas y la derivación de claves en aplicaciones muy diversas. Sin embargo, tiene limitaciones frente a algoritmos modernos como Argon2id, porque no exige una cantidad considerable de memoria, lo que la hace vulnerable a los ataques basados en GPU y ASIC. Por ejemplo, PBKDF2 con 100 000 iteraciones todavía se considera aceptable, pero menos segura que las alternativas memory-hard.

¿Qué es bcrypt?

bcrypt — un algoritmo de hash de contraseñas basado en el cifrado Blowfish, diseñado por Niels Provos y David Mazières en 1999. Incorpora una sal y un factor de coste configurable (factor de trabajo) para ralentizar el proceso de hash, lo que lo hace resistente a los ataques de fuerza bruta. El factor de coste puede aumentarse con el tiempo a medida que crece la potencia de cálculo, lo que permite que bcrypt siga siendo seguro durante años. bcrypt genera y almacena automáticamente la sal dentro del hash resultante, lo que simplifica su implementación. Por ejemplo, bcrypt con un factor de coste de 12 tarda unos 250 milisegundos en generar el hash de una contraseña en hardware moderno. Aunque bcrypt se sigue usando ampliamente y se considera seguro, no exige memoria como Argon2id, lo que lo hace algo vulnerable a los ataques con hardware especializado.

La capa que de verdad se rompe: El intercambio de claves

El intercambio de claves RSA-2048 y ECDH es el verdadero objetivo. El algoritmo de Shor hace tratables la factorización en la que se basa RSA y el cálculo de los logaritmos discretos en los que se basa ECC, lo que rompe los handshakes de TLS, las sesiones SSH, los túneles VPN y cualquier envoltura de clave privada construida sobre las mismas primitivas.

La criptografía de clave pública lleva ese riesgo a la infraestructura cotidiana en más lugares de los que controla la mayoría de los equipos:

Handshakes de TLS 1.3: intercambio de claves RSA o ECDHE, certificados ECDSA
Intercambio de claves de host y de usuario en SSH
Negociación de túneles VPN
Envoltura de claves privadas dentro de la jerarquía de claves de un gestor de contraseñas
Certificados de firma de código y de firma de documentos

Las matemáticas que hay detrás de ese riesgo no son hipotéticas. Google Quantum AI publicó en mayo de 2025 un preprint que muestra que RSA de 2048 bits podría factorizarse teóricamente con una máquina cuántica con corrección de errores lo bastante grande. La máquina todavía no existe. Las matemáticas que la romperían, sí.

Un gestor de contraseñas forma parte de esa misma lista. Compartir una bóveda con un nuevo miembro del equipo, sincronizar un registro entre dispositivos o desenvolver una clave privada al iniciar sesión dependen todos de una operación asimétrica en algún punto de la cadena. Auditar el stack criptográfico del gestor de contraseñas pertenece al mismo inventario que los endpoints TLS y los concentradores VPN.

Harvest now, decrypt later: La amenaza que ya existe hoy

Harvest now, decrypt later describe a un atacante que registra hoy tráfico cifrado y lo descifra en cuanto exista una máquina cuántica capaz de hacerlo. Reformula «lo cuántico está a diez años» como «la recolección ya ha empezado», lo que importa para cualquier dato cuya confidencialidad deba sobrevivir una década o más.

Thales encuestó en su 2026 Quantum & AI Threat Report a 3120 profesionales de seguridad y de TI de 20 países y concluyó que harvest now, decrypt later es su principal preocupación cuántica, citada por el 61 % de los encuestados, por delante de la obsolescencia de algoritmos o de los plazos de cumplimiento. Los adversarios con la paciencia de esperar años para obtener un beneficio, normalmente actores estatales, son los que llevan a cabo esa recolección hoy.

La exposición se concentra en los datos que deben seguir siendo confidenciales durante años: historiales médicos, escritos judiciales, propiedad intelectual, comunicaciones gubernamentales. Una clave de sesión TLS que se descarta en el momento en que se cierra la conexión es un objetivo pobre. Un archivo envuelto con RSA de 2024 que en 2034 siga en una cinta de copia de seguridad es exactamente lo que busca esta amenaza, igual que una exportación cifrada de una bóveda guardada en una copia de seguridad retirada que nadie se acordó de purgar.

Qué decidió realmente NIST y los plazos que le obligan

NIST finalizó sus tres primeras normas de criptografía poscuántica en agosto de 2024: FIPS 203 (ML-KEM) para el intercambio de claves, FIPS 204 (ML-DSA) y FIPS 205 (SLH-DSA) para las firmas digitales. NIST IR 8547 puso después en marcha el reloj del cumplimiento: declara obsoletos RSA, ECDSA y EdDSA después de 2030 y los prohíbe después de 2035.

Fecha	Hito
2016	NIST abre su proceso de normalización de la criptografía poscuántica
Agosto de 2024	FIPS 203, 204 y 205 finalizadas: ML-KEM, ML-DSA, SLH-DSA
Noviembre de 2024	Se publica NIST IR 8547, que fija el calendario de obsolescencia y prohibición
Después de 2030	RSA, ECDSA y EdDSA declarados obsoletos
Después de 2035	RSA, ECDSA y EdDSA prohibidos

La criptografía simétrica con seguridad de 128 bits o más no se ve afectada por nada de esto. AES-256 no necesita ningún cambio de algoritmo. Los plazos apuntan específicamente a la capa asimétrica: RSA, ECDSA y EdDSA, sustituidos por ML-KEM y ML-DSA. El Commercial National Security Algorithm Suite 2.0 refleja este mismo calendario para los sistemas de seguridad nacional de EE. UU., una señal de la seriedad con la que se espera que los equipos de compras se lo tomen.

NIST IR 8547 plantea la migración poscuántica como un esfuerzo de ingeniería de varios años, del orden de una década para integrarla en productos e infraestructura, que es el verdadero argumento para empezar un inventario ahora en lugar de esperar a 2029. La hoja de ruta cuántica pública de IBM apunta a un sistema de más de 100 000 cúbits para 2033. Es el objetivo declarado por el propio proveedor, no una proyección independiente, pero pone una fecha aproximada a partir de la cual «lo bastante grande» deja de ser teórico.

Incorporar ya la agilidad criptográfica a las compras, es decir, la capacidad de cambiar un algoritmo sin rediseñar un producto, es lo que convierte esto en una migración planificada en lugar de una carrera a contrarreloj.

La auditoría de exposición cuántica en 3 capas

Realizar esta auditoría lleva una tarde, no un proyecto de consultoría. Clasifique la infraestructura de contraseñas en tres capas, y cada una recibe su propio veredicto: seguro, vigilar o actuar ahora.

Capa	Qué es	Estado frente a lo cuántico	Veredicto
1. Hashes de contraseñas	Argon2id, bcrypt o PBKDF2 que protegen las credenciales almacenadas	Grover reduce a la mitad la fuerza efectiva; las funciones memory-hard siguen siendo caras por intento	Seguro. Vuelva a comprobar el algoritmo y el número de iteraciones, pero esto no es urgente
2. Intercambio de claves y transporte	RSA, ECDH y ECDSA en TLS, SSH, VPN y envolturas de claves privadas	Shor rompe las matemáticas subyacentes en cuanto exista una máquina cuántica capaz	Actuar ahora. Inventaríelo y planifique una migración a ML-KEM y ML-DSA
3. Datos cifrados en reposo de larga duración	Archivos, copias de seguridad y registros cuya confidencialidad debe durar más de una década	Expuestos hoy mediante harvest now, decrypt later si solo los protege un intercambio de claves asimétrico	Vigilar. Priorice según la sensibilidad de los datos y el periodo de conservación

La capa 1 es la que más preocupa a los equipos y la que menos debería preocuparles. Si los hashes de inicio de sesión y de la contraseña maestra del gestor de contraseñas ya usan Argon2id, PBKDF2 o bcrypt con un factor de trabajo razonable, el algoritmo de Grover no cambia su cálculo de riesgo. La única carencia real que merece perseguirse: un sistema heredado que todavía ejecute MD5 o SHA-1 sin sal ya estaba roto antes de que lo cuántico entrara en la conversación.

La capa 2 es donde un administrador suele encontrar la carencia real: un concentrador VPN todavía anclado a RSA-2048, una PKI interna que emite certificados ECDSA sin plan de renovación, una API heredada que nunca pasó de TLS 1.2. Inventaríe todos los lugares donde RSA, ECDH o ECDSA realizan un intercambio de claves y empiece por lo que protege el tráfico de vida más larga.

La capa 3 trata de lo que ya se ha recolectado, no de lo que se cifra mañana. Pregúntese qué datos protege hoy la organización que todavía necesitarán confidencialidad en 2035: retenciones legales, tablas de capitalización, código fuente, cualquier cosa sujeta a un NDA de varios años. Después compruebe si esa confidencialidad depende de un intercambio de claves asimétrico realizado años atrás.

Realice la auditoría una vez y luego incorpórela a la periodicidad que el equipo ya use para el inventario criptográfico. Una vez al año es razonable. Con más frecuencia si este año va a emitir una nueva PKI o renegociar un contrato de VPN.

Cómo leer la documentación criptográfica de un gestor de contraseñas

La documentación criptográfica de un gestor de contraseñas debería indicar exactamente qué protege la bóveda en cada capa. Una afirmación vaga de «cifrado de grado militar» no cuenta. Busque algoritmos con nombre, tamaños de clave declarados, una función de derivación de claves concreta y una posición pública sobre la migración poscuántica.

Qué publica un proveedor consciente de lo cuántico:

El cifrado simétrico exacto y el tamaño de clave que protegen los datos de la bóveda (AES-128 y AES-256 no ofrecen el mismo margen, así que «AES» por sí solo no basta)
El algoritmo asimétrico exacto que se usa para el intercambio de claves y la envoltura de claves privadas
La función de derivación de claves y el número de iteraciones que convierten una contraseña maestra en una clave de cifrado
Si el cifrado se realiza en el lado del cliente, el modelo de conocimiento cero o solo en reposo en el servidor

La documentación de Passwork es un ejemplo razonable de lo que significa esa transparencia en la práctica. Su cifrado del lado del cliente aplica AES-256 a los datos de bóvedas y registros, con una capa AES-256 independiente que protege la base de datos en reposo. Una contraseña maestra deriva una clave maestra de 512 bits mediante PBKDF2 (HMAC-SHA-256), que desenvuelve una clave privada RSA-2048 que, a su vez, desenvuelve las claves de cada bóveda y de cada registro, una jerarquía documentada en la visión general de la criptografía.

Pase ese stack por la auditoría de 3 capas y la respuesta honesta es sencilla. La capa de datos AES-256 sigue siendo resistente a la computación cuántica con los tamaños de clave actuales; la capa de intercambio de claves RSA-2048 es el componente que hay que vigilar a medida que maduren las normas poscuánticas en todo el sector. Esa es la misma respuesta que debería darle hoy cualquier proveedor que envuelva claves con RSA: una capa AES-256 documentada que no necesita cambiar y una capa asimétrica con una vía de migración reconocida, no la afirmación de que todo es ya a prueba de lo cuántico. Nuestro artículo explicativo sobre AES-256 explica por qué el margen del tamaño de clave importa por sí solo.

Si su equipo está empezando su propio inventario criptográfico, Passwork publica exactamente este tipo de stack AES-256/RSA-2048 documentado, con registros de auditoría exportables para incorporarlos directamente a la revisión de la capa 2. Iniciar una prueba gratuita

Qué hacer hoy (y qué puede esperar)

Empiece por lo que protege hoy el intercambio de claves de TLS, SSH y VPN, ya que es la capa con un plazo real en 2030. El despliegue de passkeys, las pruebas de intercambio de claves híbrido y un inventario criptográfico documentado pueden avanzar en paralelo. Volver a generar claves en los despliegues de AES-256 o preocuparse por la fuerza del hash de contraseñas puede esperar.

Hacer ahora:

Inventaríe todos los lugares donde RSA, ECDH o ECDSA realizan un intercambio de claves: endpoints TLS, hosts SSH, concentradores VPN, PKI interna.
Confirme que su gestor de contraseñas y su proveedor de identidad publican su stack criptográfico real en lugar de una afirmación vaga de «cifrado de nivel bancario». Si un proveedor no quiere indicar sus algoritmos y tamaños de clave cuando se le pregunta, considere que esa es la respuesta.
Active la MFA en todos los lugares donde aún no sea obligatoria. No afecta directamente a la cuestión cuántica, pero cierra exposición mientras avanza la migración.

Planificar este año:

Lleve el intercambio de claves híbrido (clásico más ML-KEM) a las conversaciones sobre la hoja de ruta de sus proveedores, especialmente para todo lo que tenga un plazo en 2030.
Priorice el despliegue de passkeys para la autenticación de cara al usuario. La agilidad de algoritmos de FIDO2 implica que la vía de migración ya existe, aunque las passkeys actuales sigan usando ECDSA, y el propio despliegue reduce la parte de la infraestructura que todavía depende de un hash de contraseña.
Cierre los endpoints que sigan en TLS 1.2. Actualizar a TLS 1.3 es un requisito previo para el intercambio de claves poscuántico, no un proyecto aparte.

Vigilar:

Las hojas de ruta de hardware cuántico de IBM y Google. Un salto que supere los hitos del calendario de NIST anterior adelantaría los plazos en lugar de limitarse a confirmarlos.
Las directrices de NIST sobre los modos híbridos y puramente poscuánticos a medida que maduren las implementaciones de FIPS 203, 204 y 205 en las principales bibliotecas de TLS y SSH.

Nada de esto exige sustituir un gestor de contraseñas ya en uso. Si ya publica un stack AES-256/RSA-2048 como el anterior, la plataforma cumple su parte; el trabajo de inventario descrito arriba le corresponde a usted.

Conclusión

La computación cuántica no va a por el hash de su contraseña. Va a por el intercambio de claves RSA y ECC que lo transporta, y NIST ya ha puesto fechas en el calendario: 2030 para declararlos obsoletos y 2035 para prohibirlos. La auditoría de exposición cuántica en 3 capas convierte ese riesgo abstracto en tres comprobaciones concretas que un equipo puede realizar este trimestre, una de las cuales probablemente pueda cerrarse esta misma tarde.

Empiece por la capa 2. Saque la lista de todos los lugares de su entorno donde RSA, ECDH o ECDSA gestionan un handshake y sabrá en un día qué proveedores necesitan una conversación sobre migración y cuáles ya la tienen iniciada.

Si su equipo está elaborando ese inventario, Passwork le ofrece una bóveda AES-256/RSA-2048 documentada con registros de auditoría exportables para incorporarlos directamente a él. Iniciar una prueba gratuita

Preguntas frecuentes

¿Romperá la computación cuántica todas las contraseñas actuales?

No. El algoritmo de Shor rompe el intercambio de claves RSA y ECC que rodea a una contraseña, no el hash de la contraseña en sí. Romper una contraseña aleatoria de 16 caracteres sigue siendo computacionalmente caro incluso con la aceleración cuadrática de Grover, sobre todo con una función memory-hard como Argon2id.

¿Son los hashes de contraseñas resistentes a la computación cuántica?

En gran medida, sí. Argon2id, PBKDF2 y bcrypt siguen siendo costosos con el algoritmo de Grover porque su trabajo memory-hard se aplica a cada intento, cuántico o no. Una longitud suficiente (16 caracteres o más) y un algoritmo de hash moderno son los dos controles que de verdad importan aquí.

¿Cuál es la diferencia entre los algoritmos de Shor y de Grover para las contraseñas?

El algoritmo de Shor ofrece una aceleración exponencial frente a la factorización y los logaritmos discretos, que es lo que rompe el intercambio de claves RSA y ECC. El algoritmo de Grover ofrece solo una aceleración cuadrática frente a la búsqueda de hash, y reduce la fuerza de 128 bits a unos 64 bits en lugar de romperla por completo.

¿Qué es harvest now, decrypt later?

Es la práctica de registrar el tráfico cifrado de hoy y descifrarlo en cuanto exista una máquina cuántica capaz de hacerlo. El objetivo son los datos con un requisito de confidencialidad prolongado, como los registros jurídicos, médicos o de propiedad intelectual, y por eso el riesgo de recolección existe ahora, no en 2030.

¿Qué significa el plazo de 2030/2035 de NIST para mi organización?

NIST IR 8547 declara obsoletos RSA, ECDSA y EdDSA después de 2030 y los prohíbe después de 2035. Los equipos deberían inventariar ahora dónde gestionan esos algoritmos el intercambio de claves y preparar un plan de migración hacia ML-KEM y ML-DSA antes de que llegue el plazo.

¿Son las passkeys resistentes a la computación cuántica?

Todavía no, pero están bien posicionadas. Las passkeys actuales usan ECDSA, que el algoritmo de Shor acabaría rompiendo, pero el protocolo FIDO2 admite la sustitución de algoritmos por diseño. Eso debería hacer que la transición a las passkeys sea más sencilla que migrar una infraestructura de contraseñas heredada.