SSH Postcuántico
+[MLDSA44-ED25519-+ | .. . o. | | .. o . | | ..... . | | o.o = | | S.B o | | ++@+* | | E *B%.. . | | ..B+O. o | | o**+o | +----[SHA256]-----+
He compilado OpenSSH 10.6 desde la fuente porque esta última versión incluye el algoritmo de firma híbrida postcuántica ssh-mldsa44-ed25519.
ssh-mldsa44-ed25519 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
Las claves resultantes son larguísimas, pero es el precio que hay que pagar por asegurarnos una protección a largo plazo contra ordenadores que puedan ejecutar el algoritmo de Shor.
Como dice el dicho: “no por mucho madrugar amanece más temprano”. Este algoritmo de firma no está soportado por ningún servidor al que pueda conectarme fuera de mi LAN. No he podido subir la clave pública a GitHub, ni he podido guardar adecuadamente mi firma en KeePassXC, el gestor de contraseñas que uso, que además se encarga de gestionar mi SSH-agent.
A pesar de todo, creo que la transición postcuántica va a muy buen ritmo, principalmente gracias al trabajo de Cloudflare y Google. Hace bastante tiempo que a este blog se accede mediante un algoritmo de intercambio de claves X25519MLKEM768, y los certificados TLS postcuánticos basados en ML-DSA llegarán en el próximo año. En este sentido, la reciente noticia de que Cloudflare se va a posicionar como autoridad certificadora anima al optimismo.
