Autenticación preparada para la era poscuántica: por qué cambia las decisiones de diseño passwordless
La autenticación passwordless está llevando a las empresas hacia un login resistente al phishing basado en clave pública. Pero también hay un segundo cambio ocurriendo en paralelo: la estandarización de criptografía poscuántica (PQC).
NIST ha aprobado nuevos estándares (FIPS) para criptografía poscuántica, incluyendo FIPS 203 (ML-KEM) y FIPS 204 (ML-DSA). No todas las empresas necesitan migrar la criptografía de autenticación hoy, pero todas deberían diseñar sistemas de identidad para poder migrar de forma segura cuando sea necesario.
Esto es lo que significa de verdad la “preparación poscuántica” aplicada a autenticación passwordless.
La preparación poscuántica es un problema de arquitectura, no un simple cambio de algoritmo
Los equipos suelen tratar PQC como una futura “actualización criptográfica”. Pero, en sistemas de autenticación, las actualizaciones rara vez son simples.
La autenticación es el resultado de:
- Decisiones de protocolo (qué se firma o intercambia)
- Restricciones de dispositivos y autenticadores
- Alta y ciclo de vida de credenciales
- Recovery y vías de excepción
- Requisitos de evidencia para auditoría
Si tu diseño de autenticación incrusta una primitiva criptográfica concreta en flotas de dispositivos, clientes de aplicaciones y políticas, creas una dependencia rígida que luego cuesta muchísimo deshacer.
El objetivo es agilidad criptográfica: la capacidad de adoptar nuevos algoritmos sin reescribir todo el stack de identidad.
Qué cambia PQC en el diseño passwordless
1) La vida útil de las credenciales importa más que nunca
Las credenciales passwordless pueden ser de larga duración. Eso es una ventaja para la usabilidad. Aumenta la importancia de diseñar pensando a futuro.
Si tu organización maneja identidades de larga duración, necesita auditabilidad regulada o tiene exposición en infraestructuras críticas, el coste de un cambio criptográfico futuro no es una hipótesis. Acaba convirtiéndose en un programa real.
2) Necesitas un límite claro entre «autenticador» y «política»
Las credenciales WebAuthn se crean y acotan a un relying party, y los autenticadores aplican consentimiento del usuario y controles de uso de claves.
Para estar preparado para la era poscuántica, conviene evitar mezclar «lógica de política» con «implementación criptográfica». Las políticas pueden evolucionar rápido. La criptografía desplegada en una flota, no.
3) Interoperabilidad y alineación con estándares se vuelven estratégicas
Muchos despliegues passwordless dependen de estándares maduros como FIDO2/WebAuthn. Las empresas deberían seguir de cerca cómo evolucionan los estándares para incorporar soporte de algoritmos y cómo los proveedores exponen opciones criptográficas sin romper compatibilidad.
La postura más resiliente suele ser evitar criptografía «a medida» dentro del login, salvo que tengas capacidad de mantenerla a largo plazo.
Un checklist práctico para autenticación preparada para la era poscuántica
No necesitas decidir hoy qué algoritmo poscuántico correrá en cada autenticador. Sí necesitas asegurarte de que no te estás diseñando hacia un callejón sin salida.
Usa este checklist:
- Haz un inventario de las primitivas criptográficas que usas: ¿Dónde dependes de firmas ECC, RSA o perfiles de protocolo concretos?
- Separa la política de criptografía: Mantén decisiones de riesgo, reglas de step-up y comprobaciones de postura de dispositivo independientes de elecciones de algoritmo.
- Planifica operaciones del ciclo de vida: Rotación, re-alta, revocación y pérdida de dispositivo deberían ser rutina, no excepción.
- Refuerza la recuperación desde el principio: Los atacantes atacan la vía más débil. La preparación poscuántica importa poco si la recuperación sigue siendo vulnerable al phishing.
- Exige claridad de roadmap a proveedores: pregunta cómo adoptarán estándares tipo ML-KEM/ML-DSA y cómo mantendrán interoperabilidad.
Dónde encaja Secrets Vault: Passwordless para la era poscuántica en entornos reales
En la realidad enterprise, los programas passwordless fallan cuando no pueden gestionar entornos restringidos: terminales compartidos, políticas de «sin móvil» y continuidad operativa bajo presión.
Secrets Vault apoya estrategias passwordless con una capa centrada en intención (Visual Passcodes) y una mentalidad de diseño alineada con preparación poscuántica y expectativas de privacidad, incluyendo minimización y control impulsados por GDPR.
El objetivo no es “reemplazar” tu IdP. Es reforzar tu programa de autenticación para que sea resiliente allí donde fallan los supuestos habituales.
