Resiliencia Post-Cuántica en BFT: Dilithium, Kyber y el fin de RSA/ECDSA

En un consenso BFT, las firmas no son un detalle de implementación: son lo que convierte un voto en evidencia. Cuando una réplica recibe un QC, no necesita haber visto los votos uno por uno; le basta con verificar criptográficamente que $n - f$ réplicas firmaron la misma propuesta en la misma vista. Si esa verificación se puede falsificar, el resto del argumento de safety se cae.

Por eso la pregunta post-cuántica para un diseñador de consenso no es "qué algoritmo está de moda", sino más concreta: qué objeto del protocolo se firma, qué objeto se cifra, y qué propiedad del certificado depende de cada primitiva. Vamos a separar las tres piezas: el QC y su firma umbral, la firma post-cuántica ML-DSA y el encapsulamiento de claves ML-KEM.

Por qué un QC es tan fuerte como su firma

HotStuff define un QC como una colección de $n - f$ votos sobre la propuesta de un líder, asociada a un nodo y a un número de vista. [1] Para construirlo usa firmas umbral $(k, n)$: hay una única clave pública compartida, cada réplica tiene una clave privada distinta con la que emite una firma parcial, y $k$ firmas parciales sobre el mismo mensaje se combinan con tcombine en una sola firma verificable con tverify. El paper fija $k = 2f + 1$. [1]

La propiedad de seguridad que el protocolo exige a ese esquema es exactamente la que sostiene la intersección de quórums: un adversario que obtiene firmas parciales de menos de $k - f$ réplicas correctas tiene probabilidad despreciable de producir una firma válida para ese mensaje. [1] Dicho de otro modo, un QC válido implica que al menos $f + 1$ réplicas correctas votaron. Si un atacante pudiera falsificar firmas, podría fabricar QCs para bloques en conflicto sin que ninguna réplica correcta votara dos veces, y la prueba de safety ya no tendría a qué agarrarse.

La firma umbral además define el coste del protocolo. HotStuff mide la complejidad en autenticadores, donde un autenticador es una firma parcial o una firma, y su view-change lineal depende de que un QC viaje como un único autenticador. [1] Esa compresión es la que suelen aportar los esquemas basados en emparejamientos de la familia BLS, cuya firma original se diseñó precisamente para ser corta. [2]

Qué cambia al votar con ML-DSA

El riesgo de partida está en el propio estándar: si llegan a construirse computadoras cuánticas a gran escala, la seguridad de la criptografía de clave pública basada en factorización y logaritmo discreto, tanto en cuerpos finitos como en curvas elípticas, quedaría comprometida. [3] Las firmas sobre emparejamientos de curvas elípticas, como BLS, pertenecen a esa familia. [2]

FIPS 204 estandariza ML-DSA, derivado de CRYSTALS-Dilithium y basado en el problema Module Learning With Errors. Se cree que es seguro incluso frente a adversarios con un computador cuántico tolerante a fallas a gran escala, y que es fuertemente infalsificable, lo que permite usar una firma como evidencia ante terceros. [3] Para un consenso, esa última propiedad importa: un voto firmado sigue sirviendo como prueba de equivocación cuando una réplica firma dos propuestas en conflicto.

Lo que el estándar no trae es igual de importante. FIPS 204 define tres algoritmos para una firma individual (generación de claves, firma y verificación) y tres conjuntos de parámetros. [3] No define firmas parciales, combinación umbral ni agregación. Además, la variante por defecto de la firma es "hedged" e introduce aleatoriedad fresca en cada firma, aunque se permite una variante determinista. [3] Sin un equivalente estándar de tcombine, el camino directo es que el QC transporte las $n - f$ firmas ML-DSA por separado, junto con la identidad de cada firmante, y que cada verificador las compruebe una a una.

El estándar también permite firmar con una cadena de contexto de hasta 255 bytes, vacía por defecto. [3] Es un lugar natural para separar dominios, por ejemplo para que una firma de voto nunca pueda reinterpretarse como firma de otro tipo de mensaje, aunque el diseño de esa separación queda en manos del protocolo.

Cuánto pesa un QC con ML-DSA

FIPS 204 publica los tamaños de clave y firma de cada conjunto de parámetros. La firma ocupa 2420 bytes en ML-DSA-44, 3309 bytes en ML-DSA-65 y 4627 bytes en ML-DSA-87; las claves públicas, 1312, 1952 y 2592 bytes respectivamente. [3] Los tres conjuntos se declaran en las categorías de seguridad 2, 3 y 5 del NIST. [3]

Hagamos la cuenta con un comité de $n = 100$ réplicas, que tolera $f = 33$ y exige quórums de $n - f = 67$ votos. Si el QC lleva cada firma por separado:

$67 \times 2420 = 162\,140 \text{ bytes con ML-DSA-44}$

$67 \times 4627 = 310\,009 \text{ bytes con ML-DSA-87}$

Es decir, unos 158 KiB y unos 303 KiB solo en firmas, por cada QC. Las claves públicas no tienen por qué viajar en el certificado si el conjunto de validadores es conocido, pero sí deben estar disponibles para cada verificador.

El efecto en autenticadores es el que más pesa en el análisis de HotStuff. Su argumento cuenta $n$ mensajes con un autenticador igual que un mensaje con $n$ autenticadores. [1] Si cada QC deja de ser un autenticador y pasa a ser $n - f$, un líder que difunde un QC a $n$ réplicas mueve del orden de $n^2$ autenticadores por fase. La lógica de safety no cambia; lo que cambia es la complejidad de comunicación y el coste de verificación que la firma umbral había comprimido. El coste comparado de verificar firmas en BFT se discute en Costes computacionales en BFT: BLS frente a Ed25519.

ML-KEM protege el canal, no el voto

La segunda mitad del título, Kyber, suele mezclarse con la primera, y no deberían confundirse. FIPS 203 estandariza ML-KEM, derivado de CRYSTALS-Kyber: un mecanismo de encapsulamiento de claves que dos partes usan para establecer una clave secreta compartida sobre un canal público. Esa clave se usa luego con algoritmos simétricos. [4]

El estándar lo presenta como alternativa aprobada a los esquemas de establecimiento de claves basados en logaritmo discreto y factorización, vulnerables a computadoras cuánticas suficientemente capaces. [4] En un despliegue BFT, su lugar natural son los canales entre réplicas y entre clientes y réplicas: confidencialidad del tráfico y claves de sesión.

Lo que un KEM no hace es producir evidencia transferible. El secreto compartido lo conocen las dos partes del canal, así que un mensaje autenticado con él no prueba ante una tercera réplica quién lo envió. Un voto necesita exactamente lo contrario: que cualquiera pueda verificarlo sin confiar en el remitente ni en el receptor. Por eso los votos y los QCs siguen dependiendo de una firma, que en la vía post-cuántica estandarizada es ML-DSA. [3]

Decisiones abiertas para un diseñador

Con lo anterior se pueden ordenar las decisiones sin inventar soluciones mágicas. La primera es qué hacer con el tamaño del QC: aceptar certificados de $n - f$ firmas y absorber el coste en ancho de banda y verificación, o depender de construcciones umbral o de agregación post-cuánticas que FIPS 204 no estandariza. La segunda es dónde vive el certificado: en la cabecera de cada bloque, como en Chained HotStuff, o referenciado desde otra capa de datos. [1]

La tercera es temporal. Una réplica que sincroniza una cadena antigua verifica QCs firmados hace años; si esas firmas usan un esquema que en el futuro pueda falsificarse, el historial antiguo pierde valor como evidencia. Esa consideración empuja a planificar la migración de firmas antes que la de canales, aunque el calendario concreto depende de cada sistema.

Ojo con un último malentendido: cambiar la primitiva no cambia el umbral de fallas. Un comité post-cuántico sigue necesitando $n \ge 3f + 1$ y quórums de $2f + 1$; la firma solo garantiza que esos votos no se pueden fabricar. Los fundamentos de esa aritmética están en Quórums en acción.

Siguiente lectura

Para revisar qué compacta exactamente cada familia de firmas (umbral, multifirma, agregada) y qué significa el AggQC, sigue con Firmas en BFT: threshold, agregadas y AggQC. Para el papel básico de las firmas en la reducción de nodos necesarios, vuelve a Firmas criptográficas y reducción de nodos.