La ANSSI y la criptografía poscuántica híbrida: qué espera Francia

La ANSSI, la agencia nacional francesa de ciberseguridad (Agence nationale de la sécurité des systèmes d'information), no pide a las organizaciones que sustituyan la criptografía clásica por criptografía poscuántica. Pide ambas a la vez. La hibridación, es decir, un establecimiento de claves cuya clave de sesión depende de un algoritmo clásico y de un mecanismo de encapsulamiento de claves (KEM) poscuántico, es obligatoria dentro del ámbito que regula la ANSSI. Fuera de ese ámbito, la ANSSI publica recomendaciones y afirma que estas recomendaciones aún no son obligaciones reglamentarias.

Qué entiende la ANSSI por hibridación

Un handshake híbrido realiza dos establecimientos de claves y combina ambos secretos compartidos en la clave de sesión. Un atacante tiene que romper los dos para recuperar el tráfico. Este diseño responde a la vez a dos preocupaciones distintas. La mitad clásica conserva las garantías de dos décadas de análisis y de implementaciones bien auditadas, como X25519 o ECDH sobre curvas del NIST. La mitad poscuántica, en la práctica ML-KEM tal como lo normalizó el NIST en FIPS 203 el 13 de agosto de 2024 (csrc.nist.gov), elimina la exposición al riesgo de «capturar ahora, descifrar después» (HNDL), en el que un atacante registra hoy tráfico cifrado y lo descifra años más tarde. El tráfico registrado solo está protegido por el intercambio de claves, y por eso el intercambio de claves migra primero y las firmas o los certificados pueden seguir después.

En la red, la hibridación es simplemente un grupo con nombre. La IANA ha registrado X25519MLKEM768 (codepoint 0x11EC), SecP256r1MLKEM768 (0x11EB) y SecP384r1MLKEM1024 (0x11ED) para TLS 1.3 (parámetros TLS de la IANA), y el RFC 10024 (agosto de 2026) especifica mecanismos híbridos de acuerdo de claves poscuánticos y tradicionales para TLS 1.3 (rfc-editor.org). Las versiones actuales de Chrome, Edge y Firefox ofrecen X25519MLKEM768 por defecto, por lo que activarlo en el lado del servidor suele ser invisible para los usuarios. Para SSH, OpenSSH añadió mlkem768x25519-sha256 en la versión 9.9 (19 de septiembre de 2024) y lo convirtió en el acuerdo de claves por defecto en la 10.0 (9 de abril de 2025); la 10.1 (6 de octubre de 2025) muestra una advertencia cuando una conexión negocia un acuerdo de claves no poscuántico (notas de versión de OpenSSH).

Dónde la hibridación es obligatoria y dónde es un consejo

El requisito de la ANSSI es vinculante en el perímetro que administra, tal como se describe en sus preguntas frecuentes sobre criptografía poscuántica (cyber.gouv.fr):

• Cualificación de productos: productos de seguridad que cuentan con una cualificación de la ANSSI o que la solicitan.
• Diffusion Restreinte (DR): sistemas de información franceses de nivel restringido y los productos que los protegen.
• SAIV y SIIV: los sectores de actividad de importancia vital y sus sistemas de información de importancia vital.

En todos los demás casos, la posición es una recomendación. Una empresa francesa que no vende productos cualificados, no trata información Diffusion Restreinte y no es un operador de importancia vital no está obligada hoy por la doctrina poscuántica de la ANSSI, y la propia ANSSI lo dice. Este matiz es importante cuando redacta una hoja de ruta: no presente a su consejo de administración las directrices de la ANSSI como un plazo legal cuando no lo son. Aun así, puede estar sujeto a otros textos que no dicen nada sobre la computación cuántica pero sí mucho sobre el cambio de algoritmos: DORA, en el artículo 6 del Reglamento Delegado (UE) 2024/1774 de la Comisión, exige una política de cifrado y controles criptográficos que incluya disposiciones para actualizar o cambiar la tecnología criptográfica en función de la evolución del criptoanálisis (EUR-Lex), y el artículo 21(2)(h) de NIS2 exige políticas y procedimientos relativos al uso de la criptografía (EUR-Lex). Nuestra lectura, presentada como interpretación y no como requisito de ninguno de los dos textos, es que un plan de intercambio de claves híbrido es una forma creíble de demostrar que dicha política está viva y no es meramente decorativa. Este artículo ofrece información sobre directrices publicadas, no asesoramiento jurídico.

Las fechas que da la ANSSI

Dos señales orientan las compras en Francia. La ANSSI pretende exigir criptografía poscuántica para los productos que entren en cualificación a partir de 2027, y considera que después de 2030 ya no será razonable comprar productos sin criptografía poscuántica. La segunda es una recomendación, no una prohibición, pero es una indicación clara para cualquier contrato plurianual que se firme ahora. El registro completo y fechado se mantiene en nuestra página sobre la doctrina de la ANSSI.

Estas fechas están próximas al calendario europeo: la hoja de ruta coordinada de implementación de la UE (Coordinated Implementation Roadmap) v1.1, publicada el 23 de junio de 2025, prevé un inventario criptográfico y hojas de ruta nacionales para finales de 2026, la migración de los casos de uso de alto riesgo para finales de 2030 y la de los de riesgo medio para finales de 2035 (Comisión Europea). Esa hoja de ruta es una orientación coordinada para los Estados miembros, no un reglamento que obligue a las empresas, y nuestra página sobre la hoja de ruta recoge los hitos con su estado. La directriz técnica TR-02102-1 del BSI alemán apunta en la misma dirección: la versión 2026-01 recomienda el acuerdo de claves poscuántico híbrido y solo recomienda el acuerdo de claves clásico por sí solo hasta finales de 2031, o hasta finales de 2030 para necesidades de protección muy elevadas.

Niveles de seguridad más altos cuando sea posible

ML-KEM tiene tres conjuntos de parámetros: ML-KEM-512, ML-KEM-768 y ML-KEM-1024. La ANSSI expresa su preferencia por los niveles de seguridad más altos cuando el rendimiento y la interoperabilidad lo permiten. En la práctica, para los servicios web públicos, eso significa X25519MLKEM768 como base interoperable, porque los navegadores lo ofrecen hoy, y reservar SecP384r1MLKEM1024 para enlaces en los que ambos extremos están bajo su control y los bytes adicionales del handshake son aceptables. La NSA sigue una orientación comparable en un régimen distinto: CNSA 2.0, que se aplica únicamente a los National Security Systems de Estados Unidos, especifica ML-KEM-1024, ML-DSA-87 y AES-256.

Dos advertencias. Subir el conjunto de parámetros nunca es motivo para abandonar la mitad clásica: un grupo ML-KEM puro como MLKEM768 no satisface ningún requisito de hibridación. Y los grupos Kyber previos a la norma, en particular X25519Kyber768Draft00 (codepoint 0x6399), están obsoletos y deben sustituirse por los grupos ML-KEM en lugar de mantenerse como alternativa de respaldo.

Qué desplegar y cómo comprobarlo

Compruebe lo que negocia hoy

Empiece en modo de solo lectura. Los grupos ML-KEM en OpenSSL requieren OpenSSL 3.5 o posterior, así que compruebe primero la versión y después solicite a un servidor un grupo concreto.

openssl version

openssl s_client -connect example.com:443 -tls1_3 \
  -groups X25519MLKEM768 </dev/null 2>/dev/null \
  | grep -i 'Negotiated TLS1.3 group'

ssh -Q kex | grep mlkem

Si la línea del grupo vuelve vacía o recurre a X25519, el servidor no tiene ningún grupo híbrido activado. En el lado del servidor, mantenga el grupo híbrido en primer lugar y un grupo clásico después, para que un cliente antiguo pueda seguir conectándose, y pruebe en preproducción antes de pasar a producción. En nginx compilado con OpenSSL 3.5 o posterior, la directiva es:

ssl_ecdh_curve X25519MLKEM768:X25519:prime256v1;

La sintaxis varía entre servidores web y entre versiones, así que siga el detalle por servidor de nuestra guía para activar ML-KEM en nginx, Apache, HAProxy y Caddy en lugar de copiar una misma directiva en todas partes.

Evidencias que conservar

Tanto si las reglas de la ANSSI le obligan como si no, los artefactos que le pedirá un auditor o un cliente del sector público son los mismos:

Para la segunda fila, registre el nombre del grupo, no un simple aprobado o suspenso: un X25519MLKEM768 negociado es un hecho que un auditor puede volver a verificar.

Siguiente paso: medir antes de planificar

La doctrina de la ANSSI se lee en una tarde. Saber cuáles de sus propios servicios ya ofrecen un grupo híbrido requiere una medición. Puede escanear su dominio con PQC Status de forma gratuita para ver las versiones de TLS, las suites de cifrado, la cadena de certificados y si se negocia un grupo ML-KEM híbrido. Un escaneo describe únicamente la configuración TLS visible desde el exterior: no es una certificación ni una atestación de cumplimiento. Utilícelo como primera línea del inventario; después, active X25519MLKEM768 en sus endpoints públicos con un respaldo clásico y añada un requisito de intercambio de claves híbrido al próximo contrato que renueve, antes de la señal de compra posterior a 2030.