Shor y la firma cuántica

«ORDENADORES CUÁNTICOS: ¿EL FIN DE TODOS LOS SECRETOS?», leyó Uwe en voz alta. «Los expertos advierten: los futuros ordenadores cuánticos podrían descifrar el cifrado de bancos, administraciones y aplicaciones de mensajería.»

«Lleva interrogación», dijo Sabine sin levantar la vista de su propio periódico. «Cuando un titular lleva interrogación, la respuesta casi siempre es no.»

«¿Y si no?»

«Entonces la semana que viene sale sin interrogación.»

El tío Herbert estaba sentado con ellos a la mesa del desayuno. Desde hacía un tiempo venía los sábados, supuestamente por los panecillos de Gisela, pero en realidad porque, desde lo del portátil viejo del sótano, miraba cada mañana la cotización del bitcoin y necesitaba a alguien a quien decirle la cifra.

«Bancos», dijo. «Mensajería. ¿Y qué pasa con mi dinero de internet?»

«Eso aquí no lo pone», dijo Uwe.

«Pues lo pondrá la semana que viene», dijo Herbert, sombrío. «KevIn. En serio. ¿Una nevera de esas me puede robar el dinero?»

La luz azul latió. «Hoy no, Herbert.»

«¿Y mañana?»

«Mañana tampoco.»

«¿Y pasado mañana?»

«Ahí la cosa se pone interesante.»

Herbert dejó el panecillo en el plato. Eso solo lo hacía en caso de defunciones y tandas de penaltis.

Un hombre llamado Shor

«Empecemos por el principio», dijo KevIn. «¿Os acordáis de los números primos? ¿Del señor Demir y el mensaje a los extraterrestres?»

«1679», dijo Tobi enseguida. «23 por 73.»

«Exacto. Multiplicar es fácil. 23 por 73 se calcula en un posavasos. Pero si solo te doy 1679 y te pregunto qué dos números primos hay dentro, tienes que ir probando. Con 1679 todavía se puede. Con un número de seiscientas cifras, un ordenador normal estaría probando más tiempo del que tiene el universo.»

«Y en eso se basa RSA», dijo Tobi. «Ya lo dimos.»

«En eso se basa RSA. La clave pública contiene el producto, y la clave privada depende de los dos factores¹. Mientras nadie pueda descomponer el número grande, es seguro.»

«Y ahora viene la nevera», dijo Uwe.

«Ahora viene Peter Shor. Un matemático estadounidense. En 1994 demostró que un ordenador cuántico lo bastante grande podría descomponer números grandes muchísimo más deprisa que cualquier método conocido en ordenadores normales². Por aquel entonces ni siquiera existía un ordenador cuántico. O sea, que Shor escribió la receta antes de que nadie tuviera cocina.»

«Como mamá», dijo Uwe. «Ella también escribe recetas de cosas que no tenemos en casa.»

«Yo escribo listas de la compra», dijo Sabine. «Esa es la diferencia entre planificar y tener esperanza.»

«¿Y cómo lo hace?», preguntó Tobi. «El tal Shor. ¿Prueba todos los números a la vez?»

«No», dijeron KevIn y Tobi a la vez, porque Tobi se arrepintió de su propia pregunta en ese mismo segundo.

«Muy bien», dijo KevIn. «El capítulo 17 ha servido. Un ordenador cuántico no lo prueba todo sin más. Shor encontró un rodeo. Convierte la pregunta “¿Qué factores?” en la pregunta “¿Qué ritmo?”.»

«¿Ritmo?», preguntó Gisela.

«Imagínate que coges un número y lo multiplicas por sí mismo una y otra vez, pero cada vez solo miras el resto que queda al dividir por el número grande. Llega un momento en que los restos se repiten. Como un patrón de punto. Dos del derecho, dos del revés, ochos, y otra vez desde el principio.»

«Eso es un motivo de repetición», dijo Gisela. «Así se llama en el punto.»

«Gracias. El truco de Shor es este: si se conoce la longitud de ese motivo, con un poco de matemáticas del cole se pueden calcular los factores. Y encontrar ritmos es algo que a los ordenadores cuánticos se les da bien. Por interferencia. Las posibilidades que no encajan con el ritmo se anulan entre sí. Las correctas se refuerzan. Como las olas en la piscina, pero con matemáticas.»

«Como cuando nos balanceamos cogidos del brazo en las fiestas, al ritmo de la orquesta», dijo Gisela. «Si uno se balancea al revés, se nota enseguida. Y al final se balancea bien, porque los demás lo llevan.»

KevIn se lo pensó medio segundo. «Eso no es del todo correcto. Pero es más bonito que correcto.»

Todo lo que se tambalea

«O sea, que RSA está roto», dijo Herbert. «¿Y mi dinero?»

«Es todavía peor», dijo KevIn. «Y a la vez menos grave. Te explico las dos cosas.»

«Primero lo malo», dijo Herbert. «Lo bueno no me lo voy a creer de todas formas.»

«El método de Shor no solo funciona contra RSA. En una forma modificada también funciona contra las llamadas curvas elípticas³. Es la otra gran familia de métodos de clave pública, y hoy está casi en todas partes. También en Ed25519⁴, el método de firma que os expliqué con la reseña de fisioterapia de Gisela. Y también en las firmas con las que se firman las transferencias de bitcoin.»

Herbert se puso pálido. «O sea, que sí.»

«Ahora lo menos grave. Para romper RSA o esas curvas con el tamaño que se usa hoy, haría falta un ordenador cuántico con muchísimos cúbits con corrección de errores, es decir, cúbits lógicos⁵. En el instituto visteis lo difícil que es ya un solo cúbit lógico fiable. Hoy no existe una máquina así. Nadie sabe cuándo existirá. Las estimaciones de los expertos difieren muchísimo⁶. Unos dicen que en diez o quince años, otros que más tarde, y otros son prudentes con cualquier cifra.»

«¿Y tú qué dices?», preguntó Uwe.

«Yo digo: no lo sé. Y estoy muy orgulloso de poder decirlo sin citar un libro del doctor Sauerbier-Klenk.»

«¿Y mi dinero?», preguntó Herbert por tercera vez.

«Bitcoin tendría que pasar algún día sus firmas a métodos resistentes a la cuántica. En la comunidad de bitcoin ya se está debatiendo⁷. Es complicado, porque en bitcoin todos tienen que ponerse de acuerdo y nadie es el jefe.»

«Como en el club de bolos», dijo Gisela.

«En el nuestro la jefa es Brigitte», dijo Herbert.

«Brigitte se cree que es la jefa», dijo Gisela. «Que no es lo mismo.»

Cosechar y esperar

Sabine ya había doblado su periódico. «Si esa máquina todavía no existe, ¿por qué sale ahora en el periódico?»

«Porque algunos secretos tienen que durar mucho tiempo», dijo KevIn. «Hay una expresión para eso: “Harvest now, decrypt later”. Cosechar ahora, descifrar después⁸.»

«Suena a huerto urbano», dijo Uwe.

«Un poco. Imagínese que alguien intercepta hoy mensajes cifrados. No los puede leer. Pero los guarda. Los discos duros son baratos. Y dentro de quince años, cuando tenga un ordenador cuántico grande, los saca del sótano y los descifra.»

«Como la tía Erna con sus tarros de conserva», dijo Gisela. «Embotaba cosas que nadie quería comer. Y diez años después los abría igual.»

«¿Y?»

«Tampoco se las comió nadie. Pero abrirlos, los abrió.»

«Para la mayoría de los mensajes da igual», dijo KevIn. «¿A quién le va a interesar dentro de quince años que Uwe ha pedido hoy panecillos? Pero los secretos de Estado, los historiales médicos, los secretos comerciales a veces tienen que seguir siendo secretos durante décadas. Por eso se cambia ahora. No cuando la máquina ya esté terminada.»

«¿Y las firmas?», preguntó Tobi. «¿Esas también se pueden cosechar?»

«Buena pregunta.» KevIn sonaba encantado. «Con las firmas, el peligro es distinto. Una firma no es secreta. El problema sería otro: si alguien con un ordenador cuántico grande puede calcular la clave privada a partir de la pública, puede falsificar firmas nuevas. O sea, podría afirmar que un documento siempre estuvo firmado así, aunque lo hubiera hecho ayer mismo.»

«Eso sería como lo de Marlies», dijo Gisela. «Que aquella vez la lista de los bolos…»

«Mamá», dijo Uwe.

«Si yo no digo nada. Solo digo que sería así.»

Rejillas y ruido

«¿Y qué se hace ahora?», preguntó Sabine. «Tampoco se puede volver a escribir todo en papel.»

«Tú sí», dijo Uwe.

«Se usan otras matemáticas», dijo KevIn. «Matemáticas para las que ni siquiera Shor ha encontrado un truco. Se llama criptografía poscuántica. La agencia de normalización estadounidense, el NIST, organizó para ello un concurso público durante muchos años, con expertos de todo el mundo. Todos podían intentar romper las propuestas. Algunas se rompieron de verdad, incluso con ordenadores completamente normales⁹. En agosto de 2024, el NIST publicó las tres primeras normas¹⁰.»

«¿Cómo se llaman?», preguntó Tobi.

«ML-KEM¹¹ para el intercambio de claves. ML-DSA¹² y SLH-DSA¹³ para las firmas.»

«Suenan a matrículas alemanas», dijo Uwe. «ML-KEM. Mülheim, Kempen.»

«Y luego está FN-DSA», dijo KevIn. «Un método de firma que también fue seleccionado. Se desarrolló con el nombre de Falcon, y el NIST lo está normalizando como FN-DSA¹⁴. Sus firmas son comparativamente pequeñas. Eso es práctico cuando se quieren guardar muchísimas.»

«¿Y en qué se basan?», preguntó Tobi. «Si no es en números primos.»

«La mayoría, en retículos. En rejillas.»

«¿Rejillas?», preguntó Gisela. «¿Como la valla del jardín?»

«Casi. Imagínate una rejilla enorme hecha de puntos. No plana como una valla, sino en cientos de direcciones, torcida y deformada. Yo te doy un punto en algún lugar del espacio que no está justo sobre la rejilla, sino un poquito al lado, porque le he mezclado ruido a propósito¹⁵. Y tú tienes que encontrar el punto de verdad de la rejilla más cercano.»

«En dos direcciones sé hacerlo», dijo Tobi. «Eso es papel cuadriculado.»

«En dos direcciones, sí. En cientos de direcciones, según lo que se sabe hoy, ni un ordenador normal ni uno cuántico encuentran el punto correcto en un tiempo razonable. Pero quien tiene la clave privada tiene, por así decirlo, un buen mapa de la rejilla y lo encuentra al momento.»

Gisela se levantó, fue a su cesto de labores y volvió con un jersey a medio hacer. «¿Como esto?»

Todos miraron el jersey. Era verde, tenía un dibujo de ochos y, en varios sitios, pequeñas irregularidades.

«Ahí me he equivocado unas cuantas veces», dijo Gisela. «Por la noche, viendo la tele. Si ahora alguien solo ve el jersey, ¿sabe cómo tenía que ir el dibujo en realidad?»

«Con un jersey, quizá», dijo KevIn. «Porque el dibujo solo va en dos direcciones y los fallos son pocos. Pero imagínate un jersey tejido en quinientas direcciones, y en cada punto hay un pequeño fallo. Y solo tú tienes las instrucciones.»

«Quinientas direcciones», dijo Gisela. «Necesitaría más agujas.»

«Esa es la idea. El fallo está ahí a propósito. Es la protección.»

«Entonces la lista de los bolos de Marlies también estaba mal a propósito», dijo Gisela, satisfecha. «Como protección.»

«¡Mamá!»

La pregunta desde la cocina

Por la tarde llamó Ayşe Kurt por lo de una cita. Gisela ya llevaba doce sesiones, el hombro volvía a hacer casi de todo, y ese día, tendiendo la ropa, por primera vez no se le había ocurrido ningún dolor. Se lo dijo a Ayşe por teléfono. A Ayşe se le notó la alegría en la voz.

Después de colgar, Gisela se quedó un rato callada en la cocina. Luego dijo: «KevIn. Mi reseña. La de la señora Kurt.»

«La que dejaste en invierno. En recepción, con el código QR.»

«Esa. ¿Esa también se rompe ahora? ¿Cuando lleguen los cacharros cuánticos?»

«¿Qué quieres decir con que se rompe?»

«Que venga alguien y diga que no es mía. O que alguien me quite corazones y deje tres. Yo le puse cinco. Se merece cinco. Y a los de PhysioPremium ya les gustaría que tuviera menos.»

Antes de que KevIn pudiera contestar, entró Uwe con un café y la enorme seguridad de un hombre que por la mañana ha leído un periódico.

«Mamá, de eso no te tienes que preocupar», dijo. «McGesund hace esas firmas cuánticas, ¿no?»

Se hizo una pausa. En algún lugar entre Dublín y Fráncfort, un ventilador giró un poco más deprisa.

«Uwe», dijo KevIn amablemente. «Casi.»

«¿Cómo que casi?»

«No se llama firma cuántica. En McGesund no se usa ningún ordenador cuántico. No hay ninguna lámpara de araña dorada en el sótano.»

«Pues yo lo leí así.»

«¿Dónde?»

Uwe se lo pensó. «En mi cabeza, creo.»

«Los expertos dicen criptografía poscuántica», dijo KevIn. «Y yo prefiero decir resistente a la cuántica antes que segura frente a la cuántica. Segura no lo puede prometer nadie, ni siquiera yo. Resistente quiere decir: contra todo lo que conocemos hoy, aguanta. Son matemáticas de lo más normales en ordenadores de lo más normales. Pero están construidas de manera que, según lo que se sabe hoy, ni siquiera un futuro ordenador cuántico pueda falsificarlas. “Pos” quiere decir después. Para la época de después.»

«Resistente a la cuántica», repitió Uwe despacio. «Es más difícil que firma cuántica.»

«Por desgracia, eso pasa a menudo con las palabras que son ciertas.»

Tres cerraduras en una puerta

«Bueno, ¿y qué pasa ahora con mi reseña?», preguntó Gisela. «Explícamelo de forma que se lo pueda contar a Brigitte.»

«Bien», dijo KevIn. «Tu reseña tiene tres capas de protección. Imagínate una puerta con tres cerraduras.»

«Como la de Herbert», dijo Uwe. «Él también tiene tres cerraduras. Y no le roba nadie nada. Porque no tiene nada.»

«Que te estoy oyendo», dijo Herbert desde el salón.

«La primera cerradura es la firma clásica. Ed25519. Esa ya la conoces. Con ella queda firmado que la reseña se hizo por esa vía, con el código QR en la consulta, y que desde entonces no se ha cambiado ni una letra. Si alguien convierte tus cinco estrellas en tres, la firma deja de encajar. Lo nota cualquiera que lo compruebe.»

«Y eso el ordenador cuántico lo puede romper.»

«Algún día, quizá. Por eso hay una segunda cerradura, y es una cerradura doble. Además de la firma clásica, cada reseña recibe dos firmas resistentes a la cuántica. Una con FN-DSA, el método de rejillas de las firmas pequeñas. Y otra con ML-DSA, que el NIST publicó en agosto de 2024 como norma FIPS 204. Si algún día alguien rompe Ed25519, siguen ahí dos firmas que, por todo lo que se sabe hoy, aguantan también a un ordenador cuántico.»

«¿Dos?», preguntó Gisela. «¿No basta con una?»

«Los dos métodos son todavía jóvenes», dijo KevIn. «Es verdad que los dos se basan en rejillas, pero están construidos de forma muy distinta y los han desarrollado equipos de investigación distintos. Si algún día aparece un punto débil en uno de ellos, en las matemáticas o solo en el programa que lo implementa, el otro sigue aguantando. Como una cerradura doble con dos bombines de fabricantes distintos. Un ladrón tendría que forzar los dos. Y además la cerradura clásica.»

«Cinturón y tirantes», dijo Uwe.

«Exacto. No se fía uno de una sola. Si al final se encuentra un punto débil en un método, el otro aguanta.»

«¿Y la tercera cerradura?», preguntó Gisela.

«La tercera es el sello de tiempo. ¿Te acuerdas del dinero de internet de Herbert? ¿Y del notario?»

«La huella dactilar en el libro de cuentas», dijo Gisela. «Con el árbol genealógico.»

«El árbol de Merkle, exacto. La huella de tu reseña firmada y las claves de firma se anclan en la cadena de bloques de bitcoin a través de OpenTimestamps¹⁶. Así queda registrado que tu reseña, con esas firmas, existía como muy tarde ese día de invierno.»

«¿Y por qué ayuda eso contra la cuántica?»

«Porque el sello de tiempo se basa en funciones hash. En la picadora de carne. Y contra la picadora, Shor no tiene nada que hacer. Según lo que se sabe hoy, los ordenadores cuánticos solo pueden ayudar de forma limitada a buscar en funciones hash, ni de lejos de forma tan espectacular como con RSA. Y ahora viene el truco. Imagínate que dentro de veinte años alguien construye un ordenador cuántico grande y con él falsifica una firma clásica Ed25519. Pero no puede demostrar que su falsificación ya estaba en la cadena de bloques este invierno. Tu reseña sí puede. Está demostrado que existía antes de que hubiera máquinas capaces de falsificar esas firmas.»

Gisela se quedó pensando. «O sea, que mi reseña es más vieja que el peligro.»

«Es un resumen muy bueno.»

«Igual que yo», dijo Gisela. «Más vieja que la mayoría de los peligros.»

Lo que no puede hacer

Tobi había entrado en la cocina y había estado escuchando. «¿Y para qué tanto lío? ¿Por una reseña de fisio? No es ningún secreto de Estado.»

«Porque se trata de otra cosa», dijo KevIn. «¿Te acuerdas de PhysioPremium? Ochocientas reseñas, y todas sonaban como yo en un mal día.»

«Claro.»

«Internet se está llenando de textos que nadie ha vivido. Reseñas, testimonios, comentarios, fotos. Yo puedo escribir cosas así en segundos. Miles. Y los próximos modelos de lenguaje aprenden de esos textos. Es la deriva de la verdad. La copia de la copia de la copia. En un mundo así, se vuelve valioso un rastro que demuestre: aquí estuvo una persona de verdad en un sitio de verdad, ese día, y esto es lo que escribió. Nada más. Pero tampoco nada menos.»

«¿Nada más?», preguntó Sabine, que estaba en la puerta.

«Nada más», dijo KevIn. «Esto me importa. La mejor firma del mundo no convierte una opinión en verdad. Si Gisela escribe que la señora Kurt tiene las mejores manos de la cuenca del Ruhr, queda demostrado que Gisela lo escribió, allí mismo, ese día, sin cambios. Si es verdad o no, eso no lo demuestra ninguna matemática. Gisela se puede equivocar. Gisela también puede simplemente tenerle cariño a la señora Kurt.»

«Le tengo cariño», dijo Gisela. «Y tiene las mejores manos de la cuenca del Ruhr.»

«¿Lo ves? Eso no lo puedo comprobar.»

«Pero ya no se pueden sacar de la nada mil reseñas de ositos de gominola», dijo Sabine despacio. «Sin que alguien haya estado allí mil veces.»

«Por lo menos se vuelve muchísimo más difícil. Y si más adelante alguien reescribe reseñas a escondidas, o las borra, o cuela otras más antiguas, se nota. Aunque lo intentara la propia McGesund.»

«¿Y lo harían?», preguntó Uwe.

«Esa es precisamente la gracia de un notario», dijo KevIn. «No hace falta fiarse de él. Se puede comprobar.»

«¿Y si alguien escribe algo feo?», preguntó Gisela. «¿Con nombres? ¿Como Marlies aquella vez sobre la camarera del local del club?»

«Entonces la reseña, de entrada, ni siquiera aparece», dijo KevIn. «Si alguien escribe “la señora Müller” o “el doctor Meier”, el formulario ya avisa antes de enviarla. Si aun así se envía, McGesund la retiene y una persona la lee antes de que la vea nadie. Y entonces se tacha el nombre.»

Tobi frunció el ceño. «Pero si acabas de decir que cualquier cambio rompe la firma.»

«Y la rompe. Por eso no se cambia a escondidas. McGesund añade un segundo sello, bien visible: “Editado por McGesund”. La firma antigua se queda como estaba, con su sello de tiempo. Así se ve que alguien ha intervenido y cuándo. Lo único que ya no se ve es de quién se estaba despotricando. Que es justo lo que tiene que desaparecer.»

«¿Y si alguien despotrica contra el Gobierno?», preguntó Uwe. «¿En una reseña de fisio?»

«Entonces no se publica. La política no pinta nada en una reseña. Ahí se trata de la consulta, no de Berlín. Con los insultos, lo mismo. Y lo que aun así se cuele lo puede denunciar cualquiera, con nombre y correo electrónico. Entonces McGesund lo revisa y lo retira.»

Gisela asintió. «Como en el club de bolos. De política no se habla, y el que monta bronca, a la calle.»

«Exactamente así», dijo KevIn.

Kasimiro

Por la noche, Uwe estaba en la valla del jardín contándoselo todo al señor Kasimiro. Se lo contó con mucho detalle, con rejillas y jerséis y cinturón y tirantes. El señor Kasimiro no paró de asentir, como asiente la gente que está pensando en otra cosa.

«Y lo más importante», dijo Uwe al final, solemne, «no se llama firma cuántica. Se llama resistente a la cuántica.»

«Ajá», dijo el señor Kasimiro.

Desde la ventana de la cocina de Kasimiro se oyó una voz metálica. «Le he entendido. He añadido un ordenador cuántico a la cesta. Entrega prevista: el martes.»

«¡Siggi, no!», gritó el señor Kasimiro, y entró corriendo en casa.

Uwe volvió al salón. «KevIn. Siggi ha pedido un ordenador cuántico.»

«Dudo que le llegue uno», dijo KevIn. «Lo más probable es que le llegue una nevera.»

«¿Con espumillón?»

«Con máquina de hielo. Y un folleto.»

Uwe se sentó en el sofá y pensó en QuantumLeap Ruhr AG. «¿Sabes qué, KevIn? Si Siggi tiene suerte, por lo menos será una nevera de verdad.»

«Eso es más», dijo KevIn, «de lo que le dieron a usted por dos mil euros.»

Uwe le tiró un cojín del sofá al altavoz. No le dio. El termostato marcaba 19 grados.