Microsoft ha acelerado su Programa de Seguridad Cuántica (QSP) con el objetivo de completar la transición de sus productos y servicios críticos a criptografía poscuántica antes de 2029, e incorpora los requisitos PQC a su Secure Future Initiative, el marco de ingeniería de seguridad que la empresa usa para sus compromisos más críticos.

El anuncio llegó en un post de Mark Russinovich, CTO de Microsoft Azure, con un mensaje directo: “Los avances en investigación y desarrollo cuántico han desplazado el horizonte de riesgo. Creemos que los ordenadores cuánticos criptográficamente relevantes podrían llegar antes de lo previsto, y el trabajo necesario para prepararse es significativo, así que las organizaciones necesitan empezar ahora.”

Las tres prioridades concretas

Microsoft ha identificado tres áreas de trabajo. La primera es modernizar la criptografía de red adoptando TLS 1.3, que establece una base más sólida para el intercambio de claves híbrido y poscuántico cuando los estándares maduren. La segunda es construir “agilidad criptográfica” para que los algoritmos puedan sustituirse por variantes PQC sin tener que rediseñar las aplicaciones. La tercera es modernizar las cadenas de confianza criptográficas: firma de código, emisión de certificados, actualizaciones de software y protección de claves respaldada por hardware.

A nivel técnico, SymCrypt, la biblioteca criptográfica open source de Microsoft, ya tiene ramas experimentales con ML-KEM y ML-DSA. La próxima generación de CNG soportará descubrimiento y negociación de algoritmos basados en política, no en constantes fijas. UEFI Secure Boot se está actualizando para aceptar múltiples algoritmos de firma.

El calendario

Microsoft apunta a tener capacidades poscuánticas disponibles desde 2029, con adopción gradual como opción predeterminada en años posteriores, y completar la transición total de sus servicios y productos antes de 2033, dos años antes del plazo de 2035 que han marcado la mayoría de gobiernos.

El movimiento de Microsoft se produce en la misma semana en que la orden ejecutiva de Trump fija 2030 como fecha límite para los sistemas federales estadounidenses. El patrón es consistente: los grandes actores tecnológicos y los gobiernos están convergiendo en la misma ventana temporal, lo que dice bastante sobre cuándo esperan que la amenaza sea real.