Temporada 2 · Cartas desde el Polvo Marciano · JVV-T2-14
Apagón de clave pública: crónica de un día post-RSA
I La hora cero
07 h UTC. Laboratorios de Shandong publican un pre-print: un arreglo de 10 000 qubits superconductores factoriza un módulo RSA-2048 en 43 minutos.
08 h UTC. El paper vuela por Telegram y X; bancos disparan protocolos “post-quantum”.
10 h UTC. • GitHub colapsa brevemente cuando proyectos OSS corren a regenerar llaves.
14 h UTC. • Certificados TLS expirados dejan fuera a 17 % de sitios .gov pequeños—no alcanza personal para renovar.
18 h UTC. Mercado cripto batalla bifurcación de código: intercambios suspenden retiros mientras scripts maliciosos “re-firman” mensajes dentro de wallets aún con RSA.
El apagón de clave pública no fue luz que se apaga, sino señal de confianza que parpadea en escalas de milisegundos.
II Por qué cayó tan rápido
| Dependencia heredada | Motivo del fallo instantáneo |
|---|---|
| TLS 1.2 RSA handshake | Cientos de miles de servidores legacy aún sin P-256 + AEAD |
| Firmware IoT de 2015-2022 | No se puede actualizar; chips OTP con clave embebida |
| Países en sanción | Imposible importar módulos post-cuánticos firmados; quedaron en RSA por default |
| Firmas de software | Instaladores históricos (.exe, .deb) ahora falsificables; cadena de confianza rota |
III Líneas de defensa que aguantaron
-
Certificados híbridos (X.509+Dilithium)
– Plataformas que ya usaban firmas NIST PQC resistieron, aun con latencia extra. -
Canales ciegos con PSK
– VPNs que renegocian con pre-shared keys rotativas se mantuvieron opacas. -
Hardware enclaves
– Algunas tarjetas HSM “dual-stack” anularon la vía RSA y pasaron a Kyber768 sin reiniciar.
IV Cascada social y económica
- Micropagos móviles en el Sur global cortados 6 h; se duplicó uso de efectivo físico.
- Hospitales: monitores antiguos negaron conexiones HL7; médicos imprimieron resultados en vez de enviarlos al cloud.
- Desinformación: cuentas verificadas con PGP revocado enviaron falsos boletines de desabasto, provocando compras de pánico.
V Plan de choque (72 h)
| Horizonte | Acción de emergencia | Responsable |
|---|---|---|
| 6 h | Listar servicios críticos aún en RSA, aislarlos en VLAN interna | CSIRT nacionales |
| 24 h | Distribuir parches con firmas PQC + timestamp en blockchain pública (ancla contra spoof) | Vendors / OSS maintainers |
| 48 h | Liberar micro-bypass para IoT no actualizable: túnel a gateway Kyber-wrapped | Operadores telco |
| 72 h | Forzar HSTS-preload a solo suites PQ; revocar masiva de certs RSA | Autoridades de certificación |
(Detalle técnico abstracto; no se incluyen vectores de ataque.)
VI Lecciones para el día +1
-
Criptografía viva
– No basta con “quantum-safe”; requiere ciclos de reemplazo cada 5 años y auditoría comunitaria constante. -
Soberanía de micro-firmware
– Países y empresas: fabricar rutas de actualización fuera de export-controls para no quedar atrapados en hardware legado. -
Backup social
– Formularios, manuales y eventuales procesos en papel listos en industrias críticas: la resiliencia incluye lo analógico. -
Educación
– Entrenar a usuarios para verificar huellas PQC como hoy revisan candado TLS.
VII Coda
“La confianza digital es un cristal: brilla hasta que un solo fotón lo atraviesa.”
El colapso de RSA no mató la red; exhibió cuánto apostamos a un algoritmo sin plan de evacuación.
El día después del apagón, la criptografía se volvió plural: lattice, hash-based, código-corrección… y conciencia de que ningún cimiento es eterno.