Consulta las estadísticas de criptografía poscuántica (PQC) asimétrica

En esta página, se describe cómo usar el gráfico Estadísticas de criptografía poscuántica (PQC) en la Descripción general de la administración de claves de Cloud KMS en la consola deGoogle Cloud para evaluar tu inventario de claves asimétricas y prepararte para la futura modernización criptográfica.

La llegada de la computación cuántica representa una amenaza potencial para los algoritmos criptográficos de clave pública que se usan ampliamente. El gráfico de estadísticas de PQC te ayuda a identificar y registrar las claves asimétricas clásicas, lo que te brinda la visibilidad necesaria para planificar la modernización futura y garantizar la resiliencia a largo plazo.

Las claves simétricas (como las que se usan para ENCRYPT_DECRYPT) se consideran, por lo general, resistentes a los ataques de computadoras cuánticas y no se incluyen en este panel. Para obtener más información sobre los algoritmos compatibles con Cloud KMS, consulta Algoritmos y propósitos de clave.

Wiz, que ahora forma parte de Google Cloud, ofrece un inventario criptográfico y una evaluación de riesgos que pueden ayudarte a comprender tu postura de preparación criptográfica y planificar tu migración a algoritmos poscuánticos. Estas capacidades se incluyen como parte de la plataforma de seguridad de IA y nube de Wiz, y complementan las funciones de administración de claves de Cloud KMS.

Antes de comenzar

Para obtener los permisos que necesitas para ver las estadísticas de PQC, pídele a tu administrador que te otorgue el rol de IAM de Visualizador de Cloud KMS (roles/cloudkms.viewer) en el proyecto.

Visualiza las estadísticas de PQC

El gráfico Estadísticas de PQC asimétrica proporciona un desglose visual general de tus claves asimétricas en función de la categorización de los algoritmos que usan.

  1. En la consola de Google Cloud , ve a la página Administración de claves.

    Ir a Key Management

  2. Haz clic en la pestaña Descripción general y, luego, ve al gráfico Estadísticas de PQC asimétrica.

  3. Opcional: Haz clic en un segmento del gráfico para ver la cantidad de claves que representa. También puedes hacer clic en Ver en un segmento para ver una tabla de Detalles de las estadísticas de PQC asimétrica.

En este gráfico, las claves se clasifican en dos grupos principales:

  • Poscuántico: Claves que usan algoritmos criptográficos diseñados específicamente para resistir ataques de futuras computadoras cuánticas.
  • Clásico: Claves que usan algoritmos asimétricos clásicos (como RSA o ECC) que siguen siendo seguras contra ataques clásicos en la actualidad, pero son susceptibles a ataques de futuras computadoras cuánticas.

En el gráfico, también se segmentan estas claves según su propósito criptográfico y su tipo de criptografía.

Información sobre la tabla de detalles

En la tabla de esta página, se enumeran tus claves asimétricas dentro del proyecto actual y se proporciona la siguiente información:

  • Nombre de la clave: Es el nombre de la clave. Haz clic en el nombre para ir a la página Detalles de la clave de esa clave específica.
  • Ubicación: Es la ubicación en la que reside la llave.
  • Nivel de protección: Es el nivel de protección de la clave.
  • Propósito: Es el propósito criptográfico de la clave, por ejemplo, ASYMMETRIC_SIGN.
  • Tipo de criptografía: Indica si la clave usa un algoritmo de PQC o clásico.

Puedes usar la barra de filtros que se encuentra sobre la tabla para definir mejor la lista de claves según cualquiera de estos atributos.

Evalúa las claves clásicas para una futura modernización

Debes revisar tus claves asimétricas existentes para los algoritmos asimétricos clásicos que podrían migrarse a alternativas poscuánticas. Estas claves siguen ofreciendo una protección sólida contra los ataques clásicos. Sin embargo, la adopción de algoritmos poscuánticos ayuda a garantizar la resiliencia a largo plazo contra posibles amenazas cuánticas futuras. En la siguiente tabla, se enumeran los propósitos y algoritmos clave, y se indica si cada uno se considera seguro poscuántico.

Objetivo Algoritmos Tipo de criptografía Alternativa poscuántica
ASYMMETRIC_SIGN EC_SIGN_* Clásica ASYMMETRIC_SIGN con algoritmos de PQ_SIGN_*
ASYMMETRIC_SIGN RSA_SIGN_* Clásica ASYMMETRIC_SIGN con algoritmos de PQ_SIGN_*
ASYMMETRIC_SIGN PQ_SIGN_* PQC Seguridad poscuántica
ASYMMETRIC_DECRYPT RSA_DECRYPT_* Clásica KEY_ENCAPSULATION algoritmos
KEY_ENCAPSULATION Todos PQC Seguridad poscuántica

Adoptar los estándares de PQC lo antes posible proporciona los siguientes beneficios:

  • Reemplazar las claves ASYMMETRIC_DECRYPT por claves KEY_ENCAPSULATION ayuda a proteger tus datos encriptados contra ataques de "almacenar ahora y desencriptar después" (SNDL), en los que un agente malicioso intercepta tu texto cifrado sin forma de desencriptarlo, pero lo almacena con la esperanza de descifrar la encriptación algún día.
  • Reemplazar las claves ASYMMETRIC_SIGN que usan algoritmos EC_SIGN_* o RSA_SIGN_* por un algoritmo PQ_SIGN_* proporciona un no repudio a largo plazo para tus firmas.

Identifica claves con Cloud Asset Inventory

Puedes usar Cloud Asset Inventory para enumerar y filtrar de manera programática tus recursos de Cloud KMS por tipo de algoritmo.

Busca en una organización

  1. Para enumerar las claves que usan algoritmos poscuánticos, como PQ_SIGN_*, ML_KEM_* o KEM_XWING, ejecuta el siguiente comando:

    gcloud asset list \
  --organization=ORGANIZATION_ID \
  --asset-types="cloudkms.googleapis.com/CryptoKey" \
  --content-type=resource \
  --filter='(resource.data.purpose = "ASYMMETRIC_SIGN" OR resource.data.purpose = "ASYMMETRIC_DECRYPT" OR resource.data.purpose = "KEY_ENCAPSULATION") AND (resource.data.versionTemplate.algorithm:PQ_SIGN* OR resource.data.versionTemplate.algorithm:ML_KEM* OR resource.data.versionTemplate.algorithm = "KEM_XWING")' \
  --format='table(name.segment(1):label=PROJECT, name.segment(-3):label=KEY_RING, name.segment(-1):label=CRYPTO_KEY, resource.data.purpose:label=PURPOSE, resource.data.versionTemplate.algorithm:label=ALGORITHM)'

  2. Para enumerar las claves asimétricas que no usan algoritmos poscuánticos (en otras palabras, las claves asimétricas que usan algoritmos clásicos), ejecuta el siguiente comando:

    gcloud asset list \
  --organization=ORGANIZATION_ID \
  --asset-types="cloudkms.googleapis.com/CryptoKey" \
  --content-type=resource \
  --filter='(resource.data.purpose = "ASYMMETRIC_SIGN" OR resource.data.purpose = "ASYMMETRIC_DECRYPT" OR resource.data.purpose = "KEY_ENCAPSULATION") AND NOT (resource.data.versionTemplate.algorithm:PQ_SIGN* OR resource.data.versionTemplate.algorithm:ML_KEM* OR resource.data.versionTemplate.algorithm = "KEM_XWING")' \
  --format='table(name.segment(1):label=PROJECT, name.segment(-3):label=KEY_RING, name.segment(-1):label=CRYPTO_KEY, resource.data.purpose:label=PURPOSE, resource.data.versionTemplate.algorithm:label=ALGORITHM)'

Cómo buscar en un proyecto

  1. Asegúrate de que Google Cloud CLI se oriente al proyecto correcto:

    gcloud config set project PROJECT_ID

  2. Para enumerar las claves que usan algoritmos poscuánticos, como PQ_SIGN_*, ML_KEM_* o KEM_XWING, ejecuta el siguiente comando:

    gcloud asset list \
  --project="$(gcloud config get-value project)" \
  --asset-types="cloudkms.googleapis.com/CryptoKey" \
  --content-type=resource \
  --filter='(resource.data.purpose = "ASYMMETRIC_SIGN" OR resource.data.purpose = "ASYMMETRIC_DECRYPT" OR resource.data.purpose = "KEY_ENCAPSULATION") AND (resource.data.versionTemplate.algorithm:PQ_SIGN* OR resource.data.versionTemplate.algorithm:ML_KEM* OR resource.data.versionTemplate.algorithm = "KEM_XWING")' \
  --format='table(name.segment(-3):label=KEY_RING, name.segment(-1):label=CRYPTO_KEY, resource.data.purpose:label=PURPOSE, resource.data.versionTemplate.algorithm:label=ALGORITHM)'

  3. Para enumerar las claves asimétricas que no usan algoritmos poscuánticos (en otras palabras, las claves asimétricas que usan algoritmos clásicos), ejecuta el siguiente comando:

    gcloud asset list \
  --project="$(gcloud config get-value project)" \
  --asset-types="cloudkms.googleapis.com/CryptoKey" \
  --content-type=resource \
  --filter='(resource.data.purpose = "ASYMMETRIC_SIGN" OR resource.data.purpose = "ASYMMETRIC_DECRYPT" OR resource.data.purpose = "KEY_ENCAPSULATION") AND NOT (resource.data.versionTemplate.algorithm:PQ_SIGN* OR resource.data.versionTemplate.algorithm:ML_KEM* OR resource.data.versionTemplate.algorithm = "KEM_XWING")' \
  --format='table(name.segment(-3):label=KEY_RING, name.segment(-1):label=CRYPTO_KEY, resource.data.purpose:label=PURPOSE, resource.data.versionTemplate.algorithm:label=ALGORITHM)'

Para mitigar los riesgos de los ataques cuánticos, deja de usar claves asimétricas que usen algoritmos clásicos.

  • Para las claves de desencriptación asimétricas: En el caso de las claves que se usan para la desencriptación asimétrica, puedes modernizar tu inventario reemplazando la criptografía asimétrica por la encriptación de clave pública híbrida (HPKE). En HPKE, usas claves con el propósito KEY_ENCAPSULATION que usan un algoritmo poscuántico, como ML_KEM_768, para compartir un secreto. Para obtener más información, consulta Mecanismos de encapsulamiento de claves.
  • Para las claves de firma asimétricas: Para las firmas digitales, puedes modernizar tu inventario creando claves nuevas con el propósito ASYMMETRIC_SIGN que usen un algoritmo poscuántico, como PQ_SIGN_ML_DSA_65.

Resistencia poscuántica de las claves simétricas

A diferencia de las claves asimétricas que son el enfoque del gráfico de estadísticas de PQC asimétrica, las claves simétricas se consideran, en general, resistentes a los ataques de computadoras cuánticas. La excepción notable son las claves de MAC que usan el algoritmo HMAC-SHA1. Para obtener más información sobre los diferentes algoritmos, consulta Algoritmos y propósitos de clave.

¿Qué sigue?