La computación cuántica lleva años protagonizando titulares apocalípticos sobre el fin de la criptografía moderna. Parte de esa alarma está justificada especialmente en lo que respecta al algoritmo de Shor y los sistemas de clave pública como RSA. Pero otra parte, la que rodea al algoritmo de Grover y a la criptografía simétrica, merece un análisis más calmado y preciso.
Un reciente trabajo de investigación de José Israel Nadal Vidal, investigador independiente y profesional de cumplimiento de seguridad, titulado "Practical Robustness Limits of Grover's Algorithm and Their Implications for Post-Quantum Cybersecurity", hace exactamente eso: introduce rigor cuantitativo allí donde habitualmente solo hay intuición.
El problema con la narrativa estándar
La respuesta convencional ante la amenaza de Grover ha sido simple: duplicar el tamaño de las claves simétricas. Si AES-128 sufre un speedup cuadrático con Grover, migrar a AES-256 compensa el problema. Fin de la historia.
Pero esta narrativa da por sentado algo que casi nunca se examina: que el algoritmo de Grover puede ejecutarse de forma fiable a escalas criptográficamente relevantes. Y es precisamente ese supuesto el que el paper pone en cuestión.
El oráculo cuántico: la caja negra que en la práctica no lo es
El algoritmo de Grover opera a través de amplificación de amplitud. Dicho de forma intuitiva: imagina buscar una aguja en un pajar enorme. El algoritmo utiliza un componente llamado oráculo cuántico para "marcar" matemáticamente la aguja correcta y aumentar progresivamente la probabilidad de encontrarla con cada iteración.
En la teoría, ese oráculo es una caja negra perfecta. En la práctica, para algo como AES-128, el oráculo debe implementar el proceso completo de cifrado en forma de circuito cuántico reversible: cientos de operaciones de sustitución, permutaciones, expansión de clave... Todo ello en un circuito con una profundidad que los estudios de referencia estiman en más de 10.000 puertas lógicas cuánticas.
Y aquí está el problema: el hardware cuántico actual comete errores. Las tasas de error en puertas de dos qúbits se sitúan hoy entre el 0,1% y el 1%. Los qúbits pierden coherencia. Los sistemas de control fallan. En definitiva, el oráculo no es perfecto, y Grover requiere ejecutarlo millones o miles de millones de veces.
El umbral de fiabilidad práctica
El paper define un concepto clave: el umbral de fiabilidad práctica (p*). Se trata de la probabilidad máxima de fallo del oráculo por llamada para que el algoritmo mantenga una tasa de éxito superior al 50%. Por debajo de ese umbral, Grover deja de ofrecer ventaja sobre adivinar al azar.
Es importante entender que el 50% es un límite inferior muy generoso. Un ataque criptográfico real requeriría tasas de éxito mucho más altas, del 95% o más. Este umbral establece el mínimo absoluto de viabilidad, no el estándar práctico.
Los resultados experimentales, obtenidos mediante simulación Monte Carlo para tamaños de problema entre 20 y 35 bits, son los siguientes:
| Tamaño de clave | Iteraciones necesarias (k*) | Umbral de fallo tolerable (p*) | Req. en términos prácticos |
|---|---|---|---|
| 20 bits | 804 | 2,7 × 10⁻³ | 1 fallo por cada 370 llamadas |
| 25 bits | 4.549 | 4,8 × 10⁻⁴ | 1 fallo por cada 2.083 llamadas |
| 30 bits | 25.735 | 8,2 × 10⁻⁵ | 1 fallo por cada 12.195 llamadas |
| 35 bits | 145.584 | 1,5 × 10⁻⁵ | 1 fallo por cada 66.667 llamadas |
El patrón es claro y consistente: la tolerancia al fallo decrece exponencialmente con el tamaño del problema. El trabajo demuestra que esta relación sigue la ley de escala p(n) ∝ 2⁻ⁿ/²*.
La extrapolación a escala criptográfica
Las simulaciones directas se limitan a n ≤ 35 por restricciones computacionales. A partir de la ley de escala validada empíricamente, el paper extrapola a tamaños de clave reales:
| Clave | Iteraciones necesarias | Requisito de fiabilidad |
|---|---|---|
| 64 bits | 3,4 × 10⁹ | 1 fallo por cada 1,6 × 10⁹ llamadas |
| 128 bits (AES) | 2,7 × 10¹⁹ | 1 fallo por cada 9,1 × 10¹⁹ llamadas |
| 192 bits | 4,9 × 10²⁸ | 1 fallo por cada 2,3 × 10²⁹ llamadas |
| 256 bits (AES) | 9,0 × 10³⁸ | 1 fallo por cada 5,6 × 10³⁹ llamadas |
Para AES-128, el hardware cuántico necesitaría completar aproximadamente 10²⁰ llamadas al oráculo consecutivas sin un solo error. Para contextualizar: el hardware actual, incluso con corrección de errores agresiva, logra tasas de error efectivas del orden de 10⁻⁶ por puerta. Mantener coherencia a lo largo de 10²⁰ iteraciones con esas tasas está fuera del alcance tecnológico previsible, no solo a corto plazo, sino en cualquier horizonte razonable de planificación.
Qué significa esto y qué no significa
Conviene ser preciso sobre el alcance de estas conclusiones.
Lo que el paper demuestra: El algoritmo de Grover tiene un límite de robustez que decrece exponencialmente con el tamaño del problema. La ventaja cuántica colapsa de forma abrupta cuando la fiabilidad del hardware cae por debajo de un umbral que se vuelve exponencialmente más exigente a medida que el tamaño de clave crece hacia valores criptográficos relevantes.
Lo que el paper no demuestra: Que Grover sea incorrecto teóricamente, ni que los avances futuros en hardware cuántico sean imposibles, ni que la criptografía simétrica actual sea invulnerable para siempre.
El modelo asume, además, que los fallos del oráculo son independientes entre iteraciones, lo cual simplifica la realidad. Los errores en hardware cuántico real pueden estar correlacionados, aunque el propio autor señala que esa correlación, si reduce la tasa de error efectiva, solo reforzaría las conclusiones.
Implicaciones para la seguridad
Estos resultados tienen consecuencias concretas para quienes toman decisiones en ciberseguridad:
La urgencia de la amenaza cuántica sobre AES-128 es probablemente menor de lo que los pronósticos más alarmistas sugieren. No porque la amenaza no exista teóricamente, sino porque las limitaciones físicas del hardware cuántico imponen restricciones que van mucho más allá de "tener suficientes qúbits".
Las recomendaciones conservadoras siguen siendo la política correcta. Migrar hacia AES-256 tiene sentido por múltiples razones independientes de Grover: protección de datos a largo plazo, margen ante variantes algorítmicas no contempladas, y el bajo coste de implementación en hardware moderno. La robustez práctica de AES-128 no debe confundirse con una razón para relajar la postura de seguridad.
El "oráculo perfecto" es un parámetro de seguridad oculto. La mayoría de las evaluaciones de riesgo cuántico omiten por completo la fiabilidad del hardware como variable. Este trabajo proporciona una métrica concreta para incluirla en los modelos de amenaza.
Una nota sobre el trabajo
Cabe señalar que el paper es obra de un investigador independiente, no de un laboratorio universitario o industrial de referencia en computación cuántica. Eso no invalida sus conclusiones el análisis es matemáticamente sólido y consistente con literatura previa sobre sensibilidad al ruido en Grover pero sí invita a esperar validación adicional por parte de grupos con mayor acceso a hardware experimental. El propio autor reconoce esta limitación y la señala como dirección de trabajo futuro.
El algoritmo de Grover es una obra maestra de la computación cuántica. Pero como toda herramienta, su poder depende de la calidad del instrumento con que se ejecuta. Y en este caso, las leyes de la física imponen una valla que, por ahora, parece estar muy lejos del alcance de cualquier atacante realista.