Cryptography on kenji.blog

Intuición matemática de la criptografía basada en retículos (Lattice-based cryptography)

Fri, 11 Sep 2026 21:00:00 +0900

1. Introducción: El amanecer de la criptografía poscuántica (PQC) y el auge de la criptografía basada en retículos

La infraestructura digital de la sociedad moderna se basa en tecnologías de criptografía de clave pública, como el cifrado RSA y la criptografía de curva elíptica (ECC). Estos métodos basan su seguridad en la dificultad matemática de problemas como la “factorización de enteros” o el “logaritmo discreto”, los cuales se cree que no pueden resolverse eficientemente (requieren tiempo exponencial) con computadoras clásicas convencionales.

Sin embargo, el “Algoritmo de Shor”, publicado por Peter Shor en 1994, sacudió el mundo de la criptografía. Este algoritmo demostró matemáticamente que una vez que se construyan computadoras cuánticas a gran escala, estas podrán resolver los problemas de factorización de enteros y de logaritmo discreto en tiempo polinomial. Esto significa que la criptografía de clave pública ampliamente utilizada en la actualidad se volverá completamente descifrable en el futuro.

Para contrarrestar esta “Amenaza Cuántica (Quantum Threat)”, se hizo imperativo investigar nuevos métodos de cifrado que sean difíciles de descifrar incluso utilizando computadoras cuánticas. Este es el campo conocido como “Criptografía Poscuántica (Post-Quantum Cryptography: PQC)” o “Criptografía resistente a la computación cuántica”.

Existen varios candidatos prometedores para la PQC, como la criptografía basada en hashes, la criptografía basada en códigos, la criptografía multivariable y la criptografía basada en isogenias. Sin embargo, el método que actualmente atrae más la atención y que está en el centro del proceso de estandarización de PQC por parte del NIST (Instituto Nacional de Estándares y Tecnología de EE. UU.) es la “Criptografía basada en retículos (Lattice-based cryptography)”. En comparación con otros métodos, la criptografía de retículos ofrece velocidades de cifrado y descifrado muy rápidas, y cuenta con una característica destacada: una prueba de seguridad extremadamente sólida en la teoría criptográfica basada en la reducción de la “complejidad en el peor de los casos (Worst-case complexity)” a la “complejidad en el caso promedio (Average-case complexity)”.

En este artículo, partiremos de la definición matemática de “Retículo (Lattice)”, que es la base de esta criptografía, y explicaremos profundamente mediante fórmulas, intuición geométrica y ejemplos numéricos específicos los problemas difíciles sobre retículos como SVP (Problema del vector más corto) y CVP (Problema del vector más cercano), y el corazón de la criptografía de retículos moderna, el “Problema LWE (Learning With Errors)”.

2. Definición matemática e intuición geométrica de un Retículo (Lattice)

2.1 Espacio vectorial y retículos

En matemáticas, un “Retículo (Lattice)” es un conjunto discreto de puntos dispuestos regularmente en un espacio vectorial real de $n$ dimensiones $\mathbb{R}^n$. Es similar al espacio vectorial (Vector Space) que se estudia en álgebra lineal, pero existe una diferencia crucial. Mientras que un espacio vectorial es un espacio continuo representado por combinaciones lineales de vectores base con “coeficientes reales”, un retículo es un espacio discreto representado por combinaciones lineales de vectores base con “coeficientes enteros”.

Demos una definición matemática rigurosa. Consideremos $n$ vectores linealmente independientes $\mathbf{b}_1, \mathbf{b}_2, \dots, \mathbf{b}_n$ (donde $n \le m$) en un espacio vectorial real de $m$ dimensiones $\mathbb{R}^m$. Sea $B = [\mathbf{b}_1, \mathbf{b}_2, \dots, \mathbf{b}_n] \in \mathbb{R}^{m \times n}$ una matriz que tiene estos vectores como columnas. Llamamos a esta $B$ la “Base (Basis)” del retículo.

El retículo $\mathcal{L}(B)$ generado por esta base $B$ se define de la siguiente manera:

$$ \mathcal{L}(B) = \left\{ \sum_{i=1}^{n} x_i \mathbf{b}_i \mathrel{\bigg|} x_i \in \mathbb{Z} \right\} = \{ B \mathbf{x} \mid \mathbf{x} \in \mathbb{Z}^n \} $$

Lo importante aquí es que los coeficientes $x_i$ están limitados a números enteros $\mathbb{Z}$, en lugar de números reales $\mathbb{R}$. Como resultado, en lugar de puntos continuos que existen en un número infinito en el espacio, se forma un “conjunto discreto de puntos” similar a las intersecciones espaciadas uniformemente en una cuadrícula.

2.2 Imagen geométrica

Consideremos un ejemplo en el plano bidimensional $\mathbb{R}^2$. Si elegimos los vectores base $\mathbf{b}_1 = \begin{pmatrix} 1 \\ 0 \end{pmatrix}$ y $\mathbf{b}_2 = \begin{pmatrix} 0 \\ 1 \end{pmatrix}$, el retículo generado por ellos será el conjunto de todas las coordenadas enteras $(x, y) \in \mathbb{Z}^2$ en el plano cartesiano. Este es el “retículo cuadrado” más simple.

Sin embargo, los retículos no siempre son ortogonales. Por ejemplo, considerando una base como $\mathbf{b}_1 = \begin{pmatrix} 2 \\ 1 \end{pmatrix}$ y $\mathbf{b}_2 = \begin{pmatrix} 1 \\ 3 \end{pmatrix}$, los puntos generados se parecerán a las intersecciones de una malla sesgada diagonalmente.

2.3 No unicidad de la base y transformación unimodular

Existe una propiedad importante relacionada con la base de la seguridad de la criptografía de retículos: “existen infinitas bases que generan el mismo retículo”.

Por ejemplo, el retículo $\mathbb{Z}^2$ generado por la base $\mathbf{b}_1 = (1, 0)^T, \mathbf{b}_2 = (0, 1)^T$ mencionada anteriormente es exactamente el mismo retículo $\mathbb{Z}^2$ que el generado por la base $\mathbf{b}'_1 = (1, 1)^T, \mathbf{b}'_2 = (2, 3)^T$.

La condición necesaria y suficiente para que una base $B$ y otra base $B'$ generen el mismo retículo es que exista una matriz con componentes enteros $U \in \mathbb{Z}^{n \times n}$ cuyo determinante sea $\det(U) = \pm 1$, tal que:

$$ B' = B U $$

A una matriz $U$ de este tipo se le llama “Matriz unimodular (Unimodular matrix)”.

La idea básica en la aplicación a la criptografía es utilizar una “buena base” (una base casi ortogonal formada por vectores cortos) como clave privada, y una “mala base” (una base con vectores extremadamente oblicuos entre sí y muy largos) como clave pública. Calcular una buena base a partir de una mala base se vuelve muy difícil a medida que aumentan las dimensiones. Esta es la intuición básica de la criptografía basada en retículos.

3. Problemas computacionalmente difíciles en retículos

La seguridad de la criptografía basada en retículos depende de la dificultad de resolver problemas matemáticos específicos en los retículos. Aquí presentaremos dos de los problemas más fundamentales y conocidos.

3.1 Problema del vector más corto (Shortest Vector Problem: SVP)

SVP es el problema más clásico y famoso de la teoría de retículos.

Definición (SVP): Dada una base de retículo arbitraria $B$, encontrar el vector $\mathbf{v}$ distinto de cero que pertenece al retículo $\mathcal{L}(B)$ y tiene la norma euclidiana (longitud) mínima.

Expresado en fórmula matemática, es el problema de encontrar $\mathbf{v}$ tal que $\min_{\mathbf{v} \in \mathcal{L}(B) \setminus \{\mathbf{0}\}} \| \mathbf{v} \|$. A esta longitud mínima se le denota como $\lambda_1(\mathcal{L})$ y se le llama “Primer mínimo sucesivo (First successive minimum) del retículo”.

En dimensiones bajas como 2 o 3, podemos encontrar el vector más corto visualmente dibujando un gráfico, o podemos resolverlo eficientemente usando algoritmos como el algoritmo de reducción de bases de Gauss. Sin embargo, cuando la dimensión $n$ alcanza valores altos como cientos o miles, se sabe que resolver estrictamente SVP es NP-difícil.

En criptografía real, no se busca el vector más corto estricto, sino que se utiliza un SVP aproximado ($\gamma$-SVP) para encontrar un “vector aproximadamente corto”. Si el factor de aproximación $\gamma$ es de tamaño polinomial, este problema se sigue considerando extremadamente difícil.

3.2 Problema del vector más cercano (Closest Vector Problem: CVP)

CVP es también un problema de extrema importancia en la criptografía basada en retículos.

Definición (CVP): Dada una base de retículo arbitraria $B$ y un vector objetivo arbitrario $\mathbf{t} \in \mathbb{R}^m$ en el espacio (que no necesariamente es un punto del retículo), encontrar el punto del retículo $\mathbf{v} \in \mathcal{L}(B)$ más cercano a $\mathbf{t}$.

Expresado matemáticamente, es el problema de buscar un punto de retículo $\mathbf{v}$ tal que $\min_{\mathbf{v} \in \mathcal{L}(B)} \| \mathbf{v} - \mathbf{t} \|$.

Al igual que SVP, CVP también es NP-difícil en altas dimensiones. Desde la perspectiva de la aplicación criptográfica, el problema LWE que discutiremos más adelante está estrechamente relacionado con una variante especial de este CVP (Decodificación de distancia acotada o Bounded Distance Decoding: BDD).

3.3 ¿Por qué es insoluble en altas dimensiones? (Los límites de LLL y BKZ)

Un algoritmo famoso para resolver problemas de retículos de altas dimensiones es el algoritmo LLL (Lenstra-Lenstra-Lovász algorithm). El algoritmo LLL se ejecuta en tiempo polinomial y puede reducir en cierta medida la base del retículo a una “buena base”. Sin embargo, el vector más corto que el algoritmo LLL puede encontrar tiene un factor de aproximación exponencial ($2^{\mathcal{O}(n)}$) en relación con la longitud del vector más corto verdadero, por lo que no es suficiente para romper la seguridad criptográfica.

Si se utiliza un algoritmo de reducción de bases más potente como el algoritmo BKZ (Block Korkine-Zolotarev), que es una mejora de LLL, se pueden encontrar vectores más cortos, pero su complejidad computacional aumenta exponencialmente con respecto al tamaño del bloque. En la criptografía de retículos, los parámetros seguros (como el tamaño de la dimensión $n$) se determinan estimando el tiempo de ejecución de este algoritmo BKZ. Con los parámetros estándar actuales de PQC, se eligen dimensiones $n$ de 500 a 1000 o más, y se considera que descifrarlos tomaría más tiempo que la edad del universo, incluso utilizando supercomputadoras o futuras computadoras cuánticas.

4. Formulación matemática del problema LWE (Learning With Errors)

La mayor parte de la criptografía de retículos moderna se basa en el “Problema LWE (Learning With Errors)” propuesto por Oded Regev en 2005. La belleza del problema LWE radica en la simplicidad de su formulación y en el hecho de que cuenta con una poderosa prueba matemática de “reducción de la complejidad en el peor caso a la complejidad en el caso promedio”.

4.1 Sistema de ecuaciones lineales sin ruido

Para entender el problema LWE, primero consideremos un simple sistema de ecuaciones lineales sin ruido. Supongamos que hay un vector secreto desconocido $\mathbf{s} \in \mathbb{Z}_q^n$ (donde cada componente es un número entero de $0$ a $q-1$). Aquí $q$ es un número primo.

Elegimos vectores de coeficientes aleatorios $\mathbf{a}_1, \mathbf{a}_2, \dots \in \mathbb{Z}_q^n$ y calculamos su producto interno con el vector secreto $\mathbf{s}$ módulo $q$. $b_1 = \langle \mathbf{a}_1, \mathbf{s} \rangle \pmod q$ $b_2 = \langle \mathbf{a}_2, \mathbf{s} \rangle \pmod q$ $\vdots$

Si se nos da un número suficiente (al menos $n$) de pares $(\mathbf{a}_i, b_i)$, podemos recuperar fácilmente el vector secreto $\mathbf{s}$ usando la “Eliminación de Gauss (Gaussian elimination)” de álgebra lineal. Este es un problema que puede resolverse fácilmente en tiempo polinomial.

4.2 Definición del problema LWE: Agregando ruido

Entonces, ¿qué sucedería si añadimos un ligero “ruido (error)” a este problema? Esta es la esencia del problema LWE.

Para el vector secreto desconocido $\mathbf{s} \in \mathbb{Z}_q^n$, añadimos un pequeño error $e_i \in \mathbb{Z}_q$ al resultado de cada ecuación. $b_i = \langle \mathbf{a}_i, \mathbf{s} \rangle + e_i \pmod q$

Aquí, $e_i$ es un pequeño valor entero con media 0 y una desviación estándar relativamente pequeña (por ejemplo, elegido de una distribución gaussiana discreta, similar a una distribución normal). La información proporcionada es una lista de pares de un vector aleatorio $\mathbf{a}_i$ y $b_i$ calculado añadiendo un error. $( \mathbf{a}_1, b_1 ), ( \mathbf{a}_2, b_2 ), \dots, ( \mathbf{a}_m, b_m )$

Representar esto en forma matricial lo hace muy claro. Usando una matriz aleatoria $A \in \mathbb{Z}_q^{m \times n}$, un vector secreto $\mathbf{s} \in \mathbb{Z}_q^n$ y un vector de error $\mathbf{e} \in \mathbb{Z}_q^m$:

$$ \mathbf{b} = A \mathbf{s} + \mathbf{e} \pmod q $$

Solo se nos proporciona $A$ y $\mathbf{b}$. Encontrar $\mathbf{s}$ a partir de aquí es el “Problema de búsqueda LWE (Search LWE problem)”.

Debido a que el error $e_i$ está presente, intentar usar la eliminación de Gauss amplificaría el error de forma exponencial durante el proceso de sumar y restar ecuaciones, haciendo imposible llegar a la respuesta correcta. A primera vista, parece un simple sistema de ecuaciones lineales, pero al agregar este pequeño ruido, la dificultad del problema se eleva al nivel de NP-difícil.

4.3 Problema LWE de decisión (Decision LWE)

En las pruebas de la teoría criptográfica, la variante frecuentemente utilizada es el “Problema LWE de decisión (Decision LWE problem)”, que es una variante del problema de búsqueda LWE.

El problema LWE de decisión es el problema de determinar de cuál de las siguientes dos distribuciones proviene una lista de muestras dada:

Distribución LWE: $(A, \mathbf{b} = A\mathbf{s} + \mathbf{e} \pmod q)$ calculada intencionadamente.
Distribución aleatoria uniforme: $(A, \mathbf{u})$ formada por una matriz $A$ y un vector $\mathbf{u}$ elegidos de forma completamente aleatoria.

Sorprendentemente, si se eligen adecuadamente los parámetros del problema LWE, los pares obtenidos de la distribución LWE se vuelven “computacionalmente indistinguibles (Computationally Indistinguishable)” de los pares de datos completamente aleatorios. Esta propiedad es la base que permite a la criptografía basada en LWE generar “textos cifrados indistinguibles de números aleatorios”.

4.4 Reducción de la complejidad en el peor caso a la del caso promedio (Teorema de Regev)

El mayor logro de Oded Regev fue vincular matemáticamente la dificultad de este problema LWE con la dificultad de los problemas de retículos mencionados anteriormente (SVP y CVP).

Utilizó la reducción cuántica (Quantum reduction) para demostrar que “si existe un algoritmo de tiempo polinomial capaz de resolver el problema LWE en el caso promedio (para $A$ y $\mathbf{e}$ elegidos al azar), entonces existe un algoritmo cuántico de tiempo polinomial capaz de resolver el Gap-SVP en el peor caso (el caso más difícil) para cualquier retículo”. (Posteriormente, Peikert y otros también demostraron una reducción clásica).

Esta es una propiedad soñada en la teoría criptográfica. Esto se debe a que disipa la preocupación de que “la criptografía podría romperse si por casualidad elegimos una clave débil (una parte del caso promedio)” y ofrece una fuerte garantía de que “si se puede resolver el LWE promedio, entonces se pueden resolver todos los problemas difíciles del retículo (por lo tanto, el LWE es absolutamente difícil)”.

graph TD A["Problemas de retículos en el peor caso (Gap-SVP, SIVP)"] -->|Reducción Cuántica/Clásica| B["Problema LWE en el caso promedio"] B -->|Construcción Criptográfica| C["Criptosistemas basados en LWE (PKE, KEM, FHE)"] style A fill:#ffcccc,stroke:#ff0000,stroke-width:2px,color:#000 style B fill:#ccffcc,stroke:#00aa00,stroke-width:2px,color:#000 style C fill:#ccccff,stroke:#0000ff,stroke-width:2px,color:#000

5. Construcción de un sistema de criptografía de clave pública utilizando LWE (Criptografía de Regev)

Habiendo entendido la dificultad del problema LWE, veamos cómo funciona el cifrado y descifrado usándolo en el sistema de criptografía de clave pública básico propuesto por Oded Regev. Aquí explicaremos el mecanismo más básico para cifrar un mensaje de 1 bit $M \in \{0, 1\}$.

5.1 Generación de claves (Key Generation)

Como parámetros del sistema, se determinan el módulo primo $q$, la dimensión $n$ y el número de ecuaciones $m$ ($m > n \log q$).
Se elige al azar el vector secreto $\mathbf{s} \in \mathbb{Z}_q^n$ como clave privada.
Se genera una matriz aleatoria $A \in \mathbb{Z}_q^{m \times n}$.
Se selecciona un pequeño vector de error $\mathbf{e} \in \mathbb{Z}_q^m$ a partir de una distribución de errores como la distribución gaussiana discreta.
Se calcula el vector $\mathbf{b} = A \mathbf{s} + \mathbf{e} \pmod q$.
La clave pública (Public Key) será $(A, \mathbf{b})$.
La clave secreta o privada (Secret Key) será $\mathbf{s}$.

La clave pública es precisamente una “instancia del problema LWE”. Dado que derivar la clave secreta $\mathbf{s}$ a partir de la clave pública $(A, \mathbf{b})$ equivale a resolver el problema de búsqueda LWE, la seguridad está garantizada.

5.2 Cifrado (Encryption)

Alice cifra un mensaje de 1 bit $M \in \{0, 1\}$ utilizando la clave pública de Bob $(A, \mathbf{b})$.

Elige un vector binario aleatorio (con componentes 0 o 1) $\mathbf{r} \in \{0, 1\}^m$.
Como primera parte del texto cifrado, calcula el vector $\mathbf{u} = A^T \mathbf{r} \pmod q$. ($A^T$ es la matriz transpuesta de $A$. Es decir, suma las filas de $A$ donde el componente de $\mathbf{r}$ es 1).
Como segunda parte del texto cifrado, calcula el escalar $v = \mathbf{b}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor \pmod q$. (Si el mensaje $M$ es 0, no suma nada; si es $1$, suma exactamente la mitad del valor de $q$, $\lfloor \frac{q}{2} \rfloor$).
El texto cifrado (Ciphertext) será $(\mathbf{u}, v)$.

La implicación intuitiva del cifrado es tomar la “suma de un subconjunto aleatorio” de la matriz de la clave pública $A$ y del vector $\mathbf{b}$. Debido a la dificultad del problema LWE de decisión, este texto cifrado $(\mathbf{u}, v)$ parece indistinguible de un vector completamente aleatorio y de un número aleatorio uniforme (Seguridad semántica: Semantic Security).

flowchart LR M["Mensaje M en {0,1}"] --> Enc PK["Clave Pública (A, b)"] --> Enc r["Vector binario aleatorio r"] --> Enc subgraph Enc ["Proceso de Cifrado"] direction TB u_calc["u = A^T * r mod q"] v_calc["v = b^T * r + M * floor(q/2) mod q"] end Enc --> CT["Texto Cifrado (u, v)"]

5.3 Descifrado (Decryption)

Bob descifra el texto cifrado $(\mathbf{u}, v)$ usando su clave secreta $\mathbf{s}$.

Calcula el siguiente valor: $D = v - \mathbf{s}^T \mathbf{u} \pmod q$
Si el resultado calculado está cerca de $0$, la salida es $M=0$; si está cerca de $\lfloor \frac{q}{2} \rfloor$, la salida es $M=1$.

Desarrollemos matemáticamente por qué se puede descifrar con esto. Recuerde que $\mathbf{b} = A \mathbf{s} + \mathbf{e}$.

$$ \begin{aligned} v - \mathbf{s}^T \mathbf{u} &= (\mathbf{b}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor) - \mathbf{s}^T (A^T \mathbf{r}) \\ &= ((A \mathbf{s} + \mathbf{e})^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor) - \mathbf{s}^T A^T \mathbf{r} \\ &= (\mathbf{s}^T A^T \mathbf{r} + \mathbf{e}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor) - \mathbf{s}^T A^T \mathbf{r} \\ &= \mathbf{e}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor \pmod q \end{aligned} $$

Aquí, $\mathbf{s}^T A^T \mathbf{r}$ se cancela claramente y desaparece de la ecuación. Lo que queda es $\mathbf{e}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor$.

$\mathbf{e}$ es un vector de ruido con componentes muy pequeños, y $\mathbf{r}$ es un vector binario con componentes de 0 o 1. Por lo tanto, su producto interno $\mathbf{e}^T \mathbf{r}$ también permanece como un valor relativamente pequeño (si los parámetros se eligen adecuadamente).

Si $M=0$, el resultado es $\mathbf{e}^T \mathbf{r}$, que será un valor pequeño cerca de $0$.
Si $M=1$, el resultado es $\mathbf{e}^T \mathbf{r} + \lfloor \frac{q}{2} \rfloor$, que se situará alrededor de la mitad del valor de $q$, $\lfloor \frac{q}{2} \rfloor$.

Si los parámetros están diseñados para que el valor absoluto del error $\mathbf{e}^T \mathbf{r}$ sea menor a $\frac{q}{4}$, Bob puede determinar (descifrar) con precisión el mensaje $M$ simplemente verificando si el resultado del cálculo está más cerca de $0$ o de $\lfloor \frac{q}{2} \rfloor$. Este es el hermoso mecanismo por el cual funciona la criptografía basada en LWE.

flowchart LR CT["Texto Cifrado (u, v)"] --> Dec SK["Clave Secreta s"] --> Dec subgraph Dec ["Proceso de Descifrado"] direction TB calc["Calcular D = v - s^T * u mod q"] check["Comprobar si D está más cerca de 0 o q/2"] end calc --> check Dec --> M_out["Mensaje Recuperado M"]

6. Ejemplo ilustrativo de criptografía LWE usando valores numéricos específicos

Es posible que resulte difícil comprender solo con una lista de fórmulas matemáticas, así que intentemos establecer parámetros numéricos muy pequeños y seguir los cálculos desde el cifrado hasta el descifrado. (* En un sistema de criptografía real, se utilizan valores para $n$ mayores de 500 y para $q$ valores de miles o más para garantizar la seguridad).

[Configuración de parámetros]

Módulo $q = 17$ (Un número primo. Por tanto, los valores están en el rango de $0$ a $16$).
Dimensión $n = 2$
Número de ecuaciones $m = 4$
Supondremos que se cifrará el mensaje $M = 1$.
Cantidad de desplazamiento del mensaje: $\lfloor \frac{q}{2} \rfloor = \lfloor \frac{17}{2} \rfloor = 8$

[1. Fase de generación de claves] Bob elige su clave secreta $\mathbf{s}$, la matriz $A$ y el vector de error $\mathbf{e}$ al azar.

$$ \mathbf{s} = \begin{pmatrix} 3 \\ 4 \end{pmatrix} \in \mathbb{Z}_{17}^2 $$ $$ A = \begin{pmatrix} 2 & 15 \\ 1 & 8 \\ 14 & 5 \\ 9 & 10 \end{pmatrix} \in \mathbb{Z}_{17}^{4 \times 2} $$ $$ \mathbf{e} = \begin{pmatrix} 1 \\ -1 \\ 0 \\ 2 \end{pmatrix} \equiv \begin{pmatrix} 1 \\ 16 \\ 0 \\ 2 \end{pmatrix} \pmod{17} $$

Luego calcula la clave pública $\mathbf{b}$.

$$ A \mathbf{s} = \begin{pmatrix} 2 & 15 \\ 1 & 8 \\ 14 & 5 \\ 9 & 10 \end{pmatrix} \begin{pmatrix} 3 \\ 4 \end{pmatrix} = \begin{pmatrix} 2\times 3 + 15\times 4 \\ 1\times 3 + 8\times 4 \\ 14\times 3 + 5\times 4 \\ 9\times 3 + 10\times 4 \end{pmatrix} = \begin{pmatrix} 6 + 60 \\ 3 + 32 \\ 42 + 20 \\ 27 + 40 \end{pmatrix} = \begin{pmatrix} 66 \\ 35 \\ 62 \\ 67 \end{pmatrix} $$

Calculando esto módulo 17 (como $66 = 17 \times 3 + 15$ etc.):

$$ A \mathbf{s} \pmod{17} = \begin{pmatrix} 15 \\ 1 \\ 11 \\ 16 \end{pmatrix} $$

Sumando el vector de error $\mathbf{e}$:

$$ \mathbf{b} = A \mathbf{s} + \mathbf{e} = \begin{pmatrix} 15 \\ 1 \\ 11 \\ 16 \end{pmatrix} + \begin{pmatrix} 1 \\ 16 \\ 0 \\ 2 \end{pmatrix} = \begin{pmatrix} 16 \\ 17 \\ 11 \\ 18 \end{pmatrix} \equiv \begin{pmatrix} 16 \\ 0 \\ 11 \\ 1 \end{pmatrix} \pmod{17} $$

La clave pública es $A$ y $\mathbf{b} = (16, 0, 11, 1)^T$.

[2. Fase de cifrado] Alice cifra el mensaje $M = 1$. Elige un vector aleatorio $\mathbf{r}$. Aquí usaremos $\mathbf{r} = (1, 0, 1, 0)^T$.

Calcula $\mathbf{u}$:

$$ \mathbf{u} = A^T \mathbf{r} = \begin{pmatrix} 2 & 1 & 14 & 9 \\ 15 & 8 & 5 & 10 \end{pmatrix} \begin{pmatrix} 1 \\ 0 \\ 1 \\ 0 \end{pmatrix} = \begin{pmatrix} 2 \times 1 + 14 \times 1 \\ 15 \times 1 + 5 \times 1 \end{pmatrix} = \begin{pmatrix} 16 \\ 20 \end{pmatrix} \equiv \begin{pmatrix} 16 \\ 3 \end{pmatrix} \pmod{17} $$

Calcula $v$:

$$ \mathbf{b}^T \mathbf{r} = (16, 0, 11, 1) \begin{pmatrix} 1 \\ 0 \\ 1 \\ 0 \end{pmatrix} = 16 \times 1 + 11 \times 1 = 27 \equiv 10 \pmod{17} $$

Suma el valor correspondiente al mensaje $M=1$, $\lfloor 17/2 \rfloor = 8$:

$$ v = \mathbf{b}^T \mathbf{r} + M \cdot 8 = 10 + 1 \times 8 = 18 \equiv 1 \pmod{17} $$

Alice envía el texto cifrado $(\mathbf{u}, v) = \left( \begin{pmatrix} 16 \\ 3 \end{pmatrix}, 1 \right)$ a Bob.

[3. Fase de descifrado] Bob, al recibir el texto cifrado, lo descifra usando su clave secreta $\mathbf{s} = (3, 4)^T$. Fórmula de descifrado: Calcula $D = v - \mathbf{s}^T \mathbf{u} \pmod{17}$.

$$ \mathbf{s}^T \mathbf{u} = (3, 4) \begin{pmatrix} 16 \\ 3 \end{pmatrix} = 3 \times 16 + 4 \times 3 = 48 + 12 = 60 \equiv 9 \pmod{17} $$ $$ D = v - \mathbf{s}^T \mathbf{u} = 1 - 9 = -8 \pmod{17} $$

Aquí, en el mundo del módulo 17, $-8$ es igual a $9$ ($-8 + 17 = 9$). Determina si el valor obtenido $D = 9$ está más cerca de $0$ o de $8$ ($\lfloor 17/2 \rfloor$). Dado que $9$ está claramente más cerca de $8$ que de $0$, ¡Bob logra restaurar correctamente $M = 1$!

¿Por qué resultó 9? Recordemos la prueba anterior. La parte de error es $\mathbf{e}^T \mathbf{r} = (1, -1, 0, 2) (1, 0, 1, 0)^T = 1 \times 1 + 0 \times 1 = 1$. Por lo tanto, el resultado del cálculo es $\mathbf{e}^T \mathbf{r} + M \cdot 8 = 1 + 8 = 9$, confirmando que se ha calculado el valor tal como en la teoría.

7. Evolución hacia la aplicación práctica: Ring-LWE y Module-LWE

El problema LWE estándar (Standard LWE) explicado hasta ahora tiene pruebas de seguridad muy sólidas, pero en la práctica tiene defectos fatales. Estos son el “tamaño gigante de las claves” y el “alto costo computacional”.

En Standard LWE, la clave pública incluye una matriz gigante $A \in \mathbb{Z}_q^{m \times n}$. Cuando el parámetro $n$ alcanza cifras entre cientos y miles, el tamaño de esta matriz llega a varios megabytes, lo que la hace demasiado pesada para enviar y recibir cada vez a través de protocolos de comunicación en internet (como TLS). Además, la multiplicación de matrices y vectores requiere una complejidad computacional de $\mathcal{O}(n^2)$.

Para resolver estos problemas se introdujeron el “Ring-LWE (RLWE)” y el “Module-LWE (MLWE)”, que incorporan estructuras algebraicas llamadas anillos de polinomios (Polynomial rings) en los retículos.

7.1 Intuición de Ring-LWE

En Ring-LWE, los vectores y matrices se sustituyen por elementos (polinomios) de un anillo de polinomios $\mathcal{R}_q = \mathbb{Z}_q[X]/(X^n + 1)$. (Donde $n$ se elige como una potencia de 2).

Mientras que la clave pública en Standard LWE era una matriz $A$, en Ring-LWE se utiliza un solo polinomio $a(x)$. La clave secreta $s(x)$ y el error $e(x)$ también se convierten en polinomios. La ecuación queda de la siguiente manera:

$$ b(x) = a(x) \cdot s(x) + e(x) \pmod q $$

Al tratarse de multiplicación de polinomios, utilizando la “Transformada Teórica de Números (Number Theoretic Transform: NTT)”, que es similar a la Transformada Rápida de Fourier (FFT), la complejidad computacional se puede reducir drásticamente a $\mathcal{O}(n \log n)$. Además, debido a que el tamaño de la clave pública se reduce de una matriz a un solo polinomio, el tamaño de los datos se reduce a $\mathcal{O}(n)$. Esto proporciona una ventaja abrumadora en términos de ancho de banda de comunicación.

Matemáticamente, Ring-LWE se reduce a problemas en retículos con una simetría especial conocidos como “Retículos Ideales (Ideal Lattices)” en lugar de retículos generales.

7.2 Module-LWE y Estandarización del NIST (Kyber / ML-KEM)

Aunque Ring-LWE es eficiente, había una ligera preocupación de que la estructura algebraica especial del retículo ideal pudiera ser la base para futuros ataques. Por lo tanto, el “Module-LWE (MLWE)” tomó “lo mejor de ambos mundos”: la seguridad conservadora de Standard LWE y la eficiencia de Ring-LWE.

En Module-LWE, consideramos matrices y vectores pequeños cuyos elementos son polinomios. Es decir, manejamos módulos sobre anillos. Actualmente, “CRYSTALS-Kyber” (Nombre estandarizado: ML-KEM), que ha sido seleccionado por el NIST como estándar para el algoritmo de intercambio de claves PQC (KEM), está construido precisamente en base a la dificultad de este problema Module-LWE.

8. ¿Por qué es seguro contra las computadoras cuánticas?

Finalmente, tocaremos el núcleo de la pregunta: “¿Por qué se cree que la criptografía basada en retículos no se puede descifrar ni siquiera usando computadoras cuánticas?”

El algoritmo de Shor, que hace que las computadoras cuánticas rompan RSA y ECC, es esencialmente un algoritmo para resolver el “Problema del Subgrupo Oculto (Hidden Subgroup Problem: HSP)”. La estructura matemática (grupos abelianos finitos) detrás de RSA y ECC tiene periodicidad, y al usar una operación cuántica específica llamada Transformada Cuántica de Fourier (QFT), este período (el subgrupo oculto) se puede extraer de una vez.

Sin embargo, los problemas de retículos son fundamentalmente diferentes. Aunque los retículos también tienen periodicidad, lo que se busca en SVP y CVP son propiedades geométricas no lineales, como la “distancia más corta” o la “eliminación del ruido”. Incluso aplicando directamente la “Transformada Cuántica de Fourier sobre un grupo abeliano” como en el algoritmo de Shor, no se puede extraer eficientemente información útil que resuelva el problema del retículo. Hasta la fecha, no se han descubierto algoritmos cuánticos capaces de resolver SVP o LWE en tiempo polinomial, y se cree ampliamente que, a pesar del poder de cálculo paralelo de las computadoras cuánticas, el único método efectivo es una búsqueda casi exhaustiva (aproximadamente una aceleración de la raíz cuadrada mediante el algoritmo de Grover).

9. Conclusión

En este artículo, explicamos detalladamente la intuición matemática de la criptografía de retículos, comenzando con la definición geométrica de los retículos, seguido de la formulación del problema LWE, hasta la construcción de la criptografía de clave pública.

Un Retículo (Lattice) es un espacio discreto representado por combinaciones lineales con coeficientes enteros de vectores base, y en altas dimensiones resulta difícil encontrar una “buena base” casi ortogonal (SVP).
El Problema LWE (Learning With Errors) es un problema de resolver sistemas de ecuaciones lineales con ruido, y dado que esto está ligado a la dificultad del problema del retículo en el peor de los casos, proporciona una base sólida para la seguridad.
Utilizando el problema LWE, el cifrado y descifrado (Criptografía de Regev) se logran mediante un ingenioso mecanismo que intencionalmente añade y elimina el ruido.
En los protocolos reales, se emplean Ring-LWE o Module-LWE usando anillos de polinomios para aumentar la eficiencia de comunicación y la velocidad de cálculo, sirviendo como la base del estándar ML-KEM del NIST.

Con el cambio de paradigma computacional sin precedentes que representan las computadoras cuánticas acercándose, es muy fascinante que la “criptografía de retículos”, nacida del abismo del álgebra lineal clásica y la teoría de números, se convierta en la base de la seguridad del internet del futuro. Las matemáticas subyacentes a la criptografía de retículos no son excesivamente complejas, y con conocimientos básicos de álgebra lineal y probabilidades, es perfectamente posible comprender su hermosa estructura. Esperamos que este artículo sirva de ayuda para comprender la criptografía de retículos, el núcleo de la PQC.

La Hipótesis de Riemann y la Distribución de los Números Primos: Su Profunda Relación con la Criptografía Moderna

Fri, 11 Sep 2026 16:00:00 +0900

1. Introducción: El misterio cósmico de los números primos y la Hipótesis de Riemann

Los “números primos” (Prime Numbers) son números naturales divisibles únicamente por 1 y por sí mismos, y también se les llama los “átomos” del mundo de las matemáticas. Esta secuencia que continúa con 2, 3, 5, 7, 11, 13… parece a primera vista aparecer de manera caótica y aleatoria. Desde que el matemático de la antigua Grecia, Euclides, demostró que “los números primos son infinitos”, innumerables matemáticos han intentado desentrañar la regularidad oculta en esta disposición de números primos.

Quien más se acercó a este misterio de los números primos fue el matemático alemán Bernhard Riemann, quien en 1859 propuso la “Hipótesis de Riemann” (Riemann Hypothesis). La Hipótesis de Riemann es uno de los problemas más importantes y no resueltos de las matemáticas modernas, y tiene una recompensa de 1 millón de dólares al ser uno de los Problemas del Milenio establecidos por el Instituto Clay de Matemáticas.

A primera vista, un problema tan difícil de matemáticas puras relacionado con la distribución de los números primos puede parecer ajeno a nuestra vida diaria. Sin embargo, la seguridad de Internet que sustenta la infraestructura de la sociedad moderna, en particular las tecnologías criptográficas modernas como la criptografía RSA y la criptografía de curva elíptica (ECC), dependen profundamente de las propiedades de los números primos gigantes.

En este artículo, emprenderemos un viaje matemático desde la distribución de los números primos, pasando por el Teorema de los Números Primos, la función zeta de Riemann, hasta llegar al núcleo de la Hipótesis de Riemann. Profundizaremos en detalle sobre cómo se relaciona con la criptografía moderna y qué sucedería en el mundo si se demostrara la Hipótesis de Riemann.

2. El Teorema de los Números Primos y la distribución de los números primos: El descubrimiento de Gauss

Para comprender cómo se distribuyen los números primos, los matemáticos consideraron la función contadora de números primos (Prime-counting function) $\pi(x)$, que representa “cuántos números primos existen menores o iguales a un cierto número $x$”.

Por ejemplo:

$\pi(10) = 4$ (2, 3, 5, 7)
$\pi(100) = 25$
$\pi(1000) = 168$

El matemático prodigio de 15 años Carl Friedrich Gauss calculó tablas masivas de números primos y descubrió que la frecuencia de aparición de los números primos disminuye en proporción inversa al logaritmo natural $\ln x$. En otras palabras, conjeturó que la probabilidad de encontrar un número primo cerca de un cierto número $x$ es aproximadamente $\frac{1}{\ln x}$.

La expresión de esto utilizando integrales es la integral logarítmica (Logarithmic integral) $\text{Li}(x)$.

$$ \text{Li}(x) = \int_{2}^{x} \frac{dt}{\ln t} $$

La conjetura de Gauss fue demostrada de forma independiente en 1896 por Jacques Hadamard y Charles-Jean de La Vallée Poussin, y se estableció como el Teorema de los Números Primos (Prime Number Theorem, PNT).

$$ \lim_{x \to \infty} \frac{\pi(x)}{\text{Li}(x)} = 1 $$

O se expresa de manera aproximada de la siguiente forma:

$$ \pi(x) \sim \frac{x}{\ln x} $$

Gracias a este teorema, sabemos que, a nivel macroscópico, los números primos tienen una distribución muy suave y predecible. Sin embargo, a nivel microscópico, siempre existe un “error” o “fluctuación” entre $\pi(x)$ y $\text{Li}(x)$. La verdadera naturaleza de esta fluctuación es exactamente el mayor misterio que la Hipótesis de Riemann intenta desentrañar.

3. La función zeta de Riemann y el producto de Euler

El arma más poderosa para analizar la distribución de los números primos es la función zeta de Riemann (Riemann Zeta Function). Originalmente fue una serie infinita definida por Leonhard Euler para números reales $s > 1$.

$$ \zeta(s) = \sum_{n=1}^\infty \frac{1}{n^s} = 1 + \frac{1}{2^s} + \frac{1}{3^s} + \frac{1}{4^s} + \dots $$

Uno de los mayores logros de Euler fue demostrar que esta serie infinita podía expresarse como un producto infinito sobre todos los números primos $p$. Este es el producto de Euler (Euler Product Formula).

$$ \zeta(s) = \prod_{p \text{ prime}} \frac{1}{1 - p^{-s}} = \left( \frac{1}{1 - 2^{-s}} \right) \left( \frac{1}{1 - 3^{-s}} \right) \left( \frac{1}{1 - 5^{-s}} \right) \dots $$

Una comprensión intuitiva de la demostración es que si expandimos cada término del lado derecho como una serie geométrica y los multiplicamos, gracias al teorema fundamental de la aritmética (todo número natural se puede expresar de forma única como el producto de números primos), se reconstruye completamente la suma de los recíprocos de los números naturales en el lado izquierdo.

Esta única fórmula se convirtió en el puente que conecta el análisis matemático (series infinitas y funciones continuas) y la teoría de números (números primos y números discretos). Estudiar la función zeta es sinónimo de estudiar la distribución de los números primos.

4. Continuación analítica y la extensión al plano complejo

La genialidad de Riemann radica en haber extendido la variable $s$ de $\zeta(s)$, que Euler había considerado únicamente para números reales, a números complejos $s = \sigma + it$ ($\sigma$ es la parte real, $t$ es la parte imaginaria).

La serie infinita original converge solo para $\sigma > 1$, pero Riemann utilizó una técnica llamada “continuación analítica” (Analytic Continuation) para extender la definición de manera que $\zeta(s)$ tenga sentido en todo el plano complejo, excluyendo el polo en $s = 1$.

Además, dedujo una hermosa ecuación funcional (Functional equation) que satisface la función zeta.

$$ \zeta(s) = 2^s \pi^{s-1} \sin\left(\frac{\pi s}{2}\right) \Gamma(1-s) \zeta(1-s) $$

Donde $\Gamma(x)$ es la función gamma. A través de esta ecuación, podemos conocer las propiedades del semiplano izquierdo a partir de las propiedades del semiplano derecho.

Ceros de la Función Zeta (Zeros of the Zeta Function)

Los números complejos $s$ para los cuales el valor de la función zeta se vuelve 0 se denominan “ceros”. A partir de la ecuación funcional, cuando $s$ es un número par negativo ($-2, -4, -6, \dots$), dado que $\sin(\pi s / 2)$ se vuelve 0, se tiene $\zeta(s) = 0$. Estos se conocen como ceros triviales (Trivial zeros).

Sin embargo, lo que es importante para la distribución de los números primos son los otros ceros, es decir, los ceros no triviales (Non-trivial zeros) que existen en la “banda crítica” (Critical strip) donde $0 \le \sigma \le 1$.

5. El núcleo de la Hipótesis de Riemann y la fórmula explícita

Riemann calculó unos pocos ceros y formuló una conjetura sorprendente. Esta es la Hipótesis de Riemann.

Hipótesis de Riemann (Riemann Hypothesis) Todos los ceros no triviales de la función zeta de Riemann $\zeta(s)$ se encuentran en la línea recta donde la parte real es igual a $1/2$ ($\text{Re}(s) = 1/2$).

A esta recta donde la parte real es 1/2 se le llama la “línea crítica” (Critical line).

graph TD A["Función zeta de Riemann ζ(s)"] --> B["Extensión al plano complejo mediante continuación analítica"] B --> C["Ceros triviales (s = -2, -4, -6 ...)"] B --> D["Ceros no triviales (0 <= Re(s) <= 1)"] D --> E["Hipótesis de Riemann"] E --> F["Todos los ceros no triviales están en Re(s) = 1/2"] F --> G["Hacia la demostración del límite del término de error de la distribución de primos"]

¿Por qué es tan importante la Hipótesis de Riemann? Porque los ceros de la función zeta determinan completamente la distribución de los números primos.

Riemann y el posterior matemático von Mangoldt derivaron una “fórmula explícita” (Explicit formula) que describe con precisión la distribución de los números primos. Utilizando la función de Chebyshev $\psi(x)$, se expresa de la siguiente manera:

$$ \psi(x) = x - \sum_{\rho} \frac{x^\rho}{\rho} - \ln(2\pi) - \frac{1}{2}\ln(1 - x^{-2}) $$

Aquí, $\rho$ es la suma sobre todos los ceros no triviales de la función zeta. El término principal es $x$ (que corresponde al Teorema de los Números Primos), y al sumar y restar los términos ondulatorios que dependen de los ceros $\rho$, se restaura la distribución precisa en forma de escalera de los números primos. Se puede decir que los ceros no triviales representan la “frecuencia (onda)” de la distribución de los números primos.

Si la Hipótesis de Riemann es correcta y la parte real de todos los ceros no triviales $\rho$ es exactamente $1/2$, entonces el término de error del Teorema de los Números Primos se mantendrá dentro del rango mínimo teóricamente concebible.

$$ |\pi(x) - \text{Li}(x)| \le \frac{1}{8\pi} \sqrt{x} \ln x \quad \text{for} \quad x \ge 2657 $$

En otras palabras, si la Hipótesis de Riemann es verdadera, se demuestra que los números primos están distribuidos de la manera más “regular y hermosa” que podamos imaginar.

6. La relación inseparable entre la criptografía moderna y los números primos

Hasta aquí hemos estado en el profundo mundo de las matemáticas puras, pero las propiedades de estos números primos sostienen desde sus cimientos a la sociedad digital moderna. El principal representante de esto es la criptografía de clave pública, liderada por la criptografía RSA.

La seguridad de todas las comunicaciones, como los pagos con tarjeta de crédito en Internet, la transmisión de contraseñas y las firmas digitales de blockchain, depende de los “números primos”.

Funcionamiento de la criptografía RSA

La seguridad de la criptografía RSA se basa en el hecho matemático de que “la factorización en números primos de números compuestos de muchos dígitos es extremadamente difícil” (el problema de la factorización de enteros).

Generación de claves: Se eligen aleatoriamente dos números primos gigantes, $p$ y $q$ (por ejemplo, de 2048 bits cada uno). Se multiplican para calcular $N = p \times q$. Este $N$ se convierte en parte de la clave pública. Utilizando la función indicatriz de Euler $\phi(N) = (p-1)(q-1)$, se genera la clave privada $d$.
$$ e \times d \equiv 1 \pmod{\phi(N)} $$
Cifrado y descifrado: El texto plano $M$ se transforma en el texto cifrado $C$ utilizando la clave pública $e, N$.
$$ C \equiv M^e \pmod{N} $$
Solo quien posee la clave privada $d$ puede descifrarlo.
$$ M \equiv C^d \pmod{N} $$

graph LR A["Texto plano (Plaintext)"] --> B["Cifrado con clave pública (e, N)"] B --> C["Texto cifrado (Ciphertext)"] C --> D["Descifrado con clave privada (d)"] D --> E["Texto plano original"] F["Atacante (Attacker)"] -- "Intenta la factorización prima de N" --> C F -.-> G["Si p y q son desconocidos, d es incalculable"]

Para romper la criptografía RSA, es necesario encontrar los números primos originales $p$ y $q$ a partir del enorme $N$ (factorización prima). Incluso utilizando los algoritmos convencionales actuales (como la criba general del cuerpo de números: GNFS, por sus siglas en inglés), factorizar un número de cientos de dígitos tomaría un tiempo que supera con creces la edad del universo, incluso utilizando supercomputadoras.

7. El impacto de la Hipótesis de Riemann en la criptografía

Entonces, ¿cómo se cruzan la “Hipótesis de Riemann”, que se encuentra en la cima de las matemáticas puras, y la “criptografía”?

7.1. Algoritmos de generación de números primos (test de primalidad) y la Hipótesis Generalizada de Riemann (GRH)

Para operar la criptografía RSA, primero es necesario generar los primos gigantes $p$ y $q$. Sin embargo, no es fácil determinar de manera segura y rápida si “un número es primo o no”.

Actualmente, lo que se utiliza de forma práctica es un algoritmo probabilístico llamado el test de primalidad de Miller-Rabin (Miller-Rabin primality test). Este algoritmo es rápido, pero conlleva el riesgo de identificar incorrectamente un número compuesto como primo con una probabilidad extremadamente baja (un “pseudoprimo”).

Sin embargo, si asumimos como cierta la “Hipótesis Generalizada de Riemann” (Generalized Riemann Hypothesis, GRH), que extiende la Hipótesis de Riemann a las funciones L de Dirichlet, la historia cambia drásticamente. Si la GRH es verdadera, se garantiza matemáticamente un límite superior en el número de pruebas en el test de Miller-Rabin, elevándolo de un algoritmo probabilístico a un “algoritmo determinista de tiempo polinómico” (este era un hecho crucial conocido incluso antes de que se descubriera el test de primalidad AKS).

En otras palabras, la Hipótesis de Riemann (y sus generalizaciones) desempeña el papel de otorgar una garantía directa a la creación de los cimientos de la criptografía: “si es posible generar números primos gigantes a gran velocidad y con absoluta confianza”.

7.2. Relación con los algoritmos de factorización

A la hora de evaluar la complejidad computacional de los algoritmos de quienes intentan descifrar la criptografía (como la criba general del cuerpo de números), también es indispensable el conocimiento sobre la distribución de los números primos. Muchos algoritmos de factorización dependen de la distribución de “números lisos” (Smooth numbers: números que solo tienen factores primos pequeños).

Para evaluar rigurosamente con qué frecuencia aparecen los números lisos, se requiere una profunda comprensión de la distribución de los números primos, y es aquí donde también se emplean técnicas de teoría analítica de números que están directamente vinculadas a la función zeta y a la Hipótesis de Riemann. Si se demuestra la Hipótesis de Riemann y se determina completamente el error en la distribución de los números primos, también será posible identificar de manera más precisa los límites de rendimiento de los algoritmos de factorización en números primos.

8. Si se demuestra la Hipótesis de Riemann, ¿se romperá la criptografía?

A veces se cuenta como una leyenda urbana que “si se resuelve la Hipótesis de Riemann, la criptografía RSA colapsará en un instante”, pero esto es matemáticamente inexacto.

La demostración de la Hipótesis de Riemann en sí misma no produciría inmediatamente un algoritmo mágico que acelere drásticamente la factorización de números primos. Esto se debe a que la Hipótesis de Riemann es simplemente un teorema sobre la “regularidad de la distribución macroscópica” de los números primos, y no nos indica directamente qué números primos dividen a un número particular $N$ (propiedad local).

Sin embargo, el impacto no es nulo. Existe una probabilidad extremadamente alta de que, en el proceso de demostrar la Hipótesis de Riemann, se descubran “nuevas herramientas matemáticas” y “métodos analíticos desconocidos”. Si observamos la historia, cuando se demostró el Último Teorema de Fermat o la Conjetura de Poincaré, las nuevas teorías desarrolladas en el proceso hicieron avanzar enormemente a todas las matemáticas.

Si se establecen métodos desconocidos de geometría algebraica o geometría no conmutativa que puedan manipular por completo las propiedades de los ceros de la función zeta de Riemann, no se puede descartar la posibilidad de que conduzcan al descubrimiento de algoritmos de factorización innovadores (por ejemplo, algoritmos clásicos que reduzcan la complejidad computacional a tiempo polinómico). En ese sentido, los criptógrafos nunca pueden quitarle los ojos de encima al progreso de la Hipótesis de Riemann.

Las computadoras cuánticas y el algoritmo de Shor

Una amenaza más directa y realista para la criptografía no es la demostración de la Hipótesis de Riemann, sino las computadoras cuánticas. El “algoritmo de Shor”, publicado por Peter Shor en 1994, demostró que si existiera una computadora cuántica con suficiente capacidad, la factorización en números primos podría resolverse en tiempo polinómico. Con esto, la criptografía RSA y la criptografía de curva elíptica quedarían fundamentalmente rotas.

Actualmente, en todo el mundo se está promoviendo la transición hacia la “criptografía post-cuántica (Post-Quantum Cryptography, PQC)” (como la criptografía basada en retículos), que no puede ser descifrada ni siquiera por computadoras cuánticas. La tecnología criptográfica que depende de los números primos puede, en cierto sentido, estar llegando al final de su edad de oro, pero el valor matemático de los números primos en sí mismos nunca se perderá.

9. Conclusión: La intersección entre la abstracción matemática y la sociedad real

graph TD A["Búsqueda en las matemáticas puras"] --> B["Resolución de la Hipótesis de Riemann"] B --> C["Comprensión completa de la distribución de números primos"] C --> D["Desarrollo espectacular de la teoría de números y geometría algebraica"] D -.-> E["Posibilidad de nuevos algoritmos de factorización prima"] E -.-> F["Actualización de la evaluación de seguridad de la criptografía"] A --> G["Matemáticas aplicadas e informática"] G --> H["Mejora en la eficiencia del test de primalidad y generación criptográfica"] H --> F

La incansable búsqueda sobre los números primos que continúa desde la antigua Grecia fue sublimada en una hermosa sinfonía sobre el plano complejo (los ceros de la función zeta) por un genio llamado Riemann. Y sorprendentemente, ese cristal de matemáticas puras y puristas se está aplicando, siglos después, como el escudo más fuerte para garantizar la seguridad de la sociedad de Internet.

La Hipótesis de Riemann es una entidad que simboliza simultáneamente la “belleza abstracta” que poseen las matemáticas y su “asombrosa aplicabilidad al mundo físico y a la sociedad real”.

Cuando esta gigantesca montaña matemática, a cuya cima aún nadie ha llegado, sea conquistada algún día, comprenderemos por completo la verdad cósmica de los números primos, y al mismo tiempo obtendremos una nueva perspectiva sobre los cimientos de la sociedad de la información. Aprender sobre criptografía es, de hecho, un viaje que recorre la historia de la sabiduría de la humanidad.

Historia de la criptografía: del cifrado César a la criptografía poscuántica (PQC)

Fri, 11 Sep 2026 15:00:00 +0900

1. Introducción: ¿Qué es la criptografía?

La criptografía (Cryptography) es la tecnología utilizada para mantener el secreto de la información y ha evolucionado junto con la historia de la humanidad. Desde la transmisión de órdenes secretas en las guerras antiguas hasta la protección de la información de tarjetas de crédito en el internet moderno, el propósito de la criptografía ha sido constante. Es “garantizar que solo el destinatario previsto pueda entender la información y que no pueda ser descifrada por terceros”.

En la seguridad de la información moderna, la criptografía no se limita simplemente al “secreto de la información (Confidencialidad: Confidentiality)”, sino que desempeña roles cruciales como la “Integridad (Integrity)”, la “Autenticación (Authentication)” y el “No repudio (Non-repudiation)” de los datos.

En este artículo, desentrañaremos en detalle la historia de la evolución de la criptografía desde una perspectiva técnica y matemática, comenzando desde los simples cifrados de sustitución de la antigüedad, pasando por los cifrados mecánicos, la criptografía moderna de clave simétrica y pública, hasta llegar a la era de la “criptografía poscuántica (PQC)”, que llegará con la implementación práctica de las computadoras cuánticas.

2. La era de la criptografía clásica: sustitución y transposición de caracteres

Los orígenes de la criptografía se remontan a antes de Cristo. Los primeros cifrados consistían principalmente en dos enfoques: “transposición (reordenamiento)” y “sustitución (reemplazo)”.

Cifrado Escítala (Cifrado de transposición)

La “Escítala (Scytale)”, utilizada en la antigua Esparta de Grecia en el siglo V a.C., es uno de los dispositivos criptográficos más antiguos. Se enrollaba una tira de pergamino larga y estrecha alrededor de un bastón de madera de un grosor específico, y el mensaje se escribía transversalmente en él. Al desenrollar el pergamino, las letras aparecían en un orden sin sentido, pero el destinatario, al tener un bastón del mismo grosor y volver a enrollar el pergamino, podía leer el mensaje original.

Cifrado César (Cifrado de sustitución monoalfabética)

Se dice que en el siglo I a.C., el héroe de la antigua Roma, Julio César, utilizó el “cifrado César”. Este es un cifrado de sustitución monoalfabética (Monoalphabetic substitution) que desplaza el alfabeto un número fijo de posiciones (generalmente 3 letras).

Matemáticamente, tratando las letras como valores numéricos del $0$ al $25$ y dejando que el número de desplazamientos sea $K$, la conversión de texto plano $P$ a texto cifrado $C$ se expresa mediante la siguiente congruencia:

$$C \equiv P + K \pmod{26}$$

El descifrado realiza la operación inversa:

$$P \equiv C - K \pmod{26}$$

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


# Ejemplo simple de implementación del cifrado César en Python
def caesar_cipher(text, shift, mode="encrypt"):
 result = ""
 if mode == "decrypt":
 shift = -shift

 for char in text:
 if char.isalpha():
 base = ord('A') if char.isupper() else ord('a')
 # Cálculo del desplazamiento
 result += chr((ord(char) - base + shift) % 26 + base)
 else:
 result += char
 return result

# Ejemplo de ejecución
plaintext = "HELLO WORLD"
ciphertext = caesar_cipher(plaintext, 3, "encrypt")
print(f"Texto cifrado: {ciphertext}") # KHOOR ZRUOG

Análisis de frecuencias y el cifrado Vigenère

Los cifrados de sustitución monoalfabética se volvieron fáciles de descifrar mediante el “análisis de frecuencias (Frequency Analysis)”, ideado por el erudito árabe Al-Kindi en el siglo IX. Aprovecha las propiedades estadísticas del idioma, como la alta frecuencia de aparición de las letras “E” y “T” en inglés.

Para contrarrestar esto, en el siglo XVI se ideó el “cifrado Vigenère (Vigenère cipher)”. Este es un cifrado de sustitución polialfabética (Polyalphabetic substitution) que utiliza múltiples desplazamientos (claves) cambiando periódicamente, y fue llamado “El cifrado indescifrable (Le Chiffre Indéchiffrable)” durante unos 300 años.

Matemáticamente, se cifra utilizando la $i$-ésima letra del texto plano $P_i$ y la $i$-ésima letra de la clave repetida $K_i$ de la siguiente manera:

$$C_i \equiv P_i + K_i \pmod{26}$$

Sin embargo, este cifrado también fue descifrado en el siglo XIX, cuando Charles Babbage y Friedrich Kasiski descubrieron el “examen Kasiski (Kasiski examination)”, que deduce la longitud de la clave a partir de patrones repetidos en el texto cifrado.

graph TD subgraph "Clasificación de la criptografía clásica" A["Criptografía clásica"] --> B["Cifrado de transposición"] A --> C["Cifrado de sustitución"] B --> D["Cifrado Escítala"] C --> E["Sustitución monoalfabética"] C --> F["Sustitución polialfabética"] E --> G["Cifrado César"] F --> H["Cifrado Vigenère"] end

3. Criptografía mecánica y guerras mundiales: Enigma y su descifrado

En el siglo XX, a medida que los medios de comunicación pasaron de las cartas al telégrafo y la radio, se requería mayor velocidad y complejidad en el cifrado. Fue aquí donde apareció la “criptografía mecánica”, que combinaba rotores (discos giratorios).

La amenaza de Enigma

Durante la Segunda Guerra Mundial, la Alemania nazi utilizó “Enigma”, la máquina de cifrado más famosa en la historia de la criptografía. Enigma constaba de múltiples rotores (generalmente de 3 a 4), un panel de conexiones (Steckerbrett) que intercambiaba el cableado de las letras, y un reflector (rotor de inversión).

Dado que los rotores giraban cada vez que se escribía una letra en el teclado, incluso si se escribía la misma letra consecutivamente, se emitían diferentes letras cifradas (el pináculo de la criptografía polialfabética). Su espacio de claves (combinaciones de configuraciones) era de aproximadamente $1.58 \times 10^{19}$ (unos 15,8 trillones), y se consideraba imposible de descifrar por fuerza bruta con la tecnología de la época.

Alan Turing y la “Bombe”

El equipo de descifrado británico de Bletchley Park, basándose en los logros iniciales de matemáticos polacos como Marian Rejewski, desafió a la inexpugnable Enigma.

En particular, Alan Turing (Alan Turing) utilizó conjeturas de texto plano que correspondían a partes del texto cifrado (Crib) para desarrollar la “Bombe (Bombe)”, una máquina de descifrado electromecánica. La Bombe detectaba rápidamente contradicciones lógicas, descartando rápidamente configuraciones imposibles de los rotores y teniendo éxito en descifrar Enigma. Se dice que este logro adelantó la victoria de los Aliados en varios años.

4. El amanecer de la criptografía moderna: criptografía de clave simétrica (DES y AES)

Después de la guerra, con la llegada de las computadoras, la criptografía experimentó un cambio de paradigma drástico, pasando de la manipulación de “caracteres” a la manipulación de “bits (0 y 1)”.

Claude Shannon y la teoría de la información

En 1949, Claude Shannon publicó el artículo “Teoría de la comunicación de los sistemas secretos”, sentando las bases matemáticas de la criptografía moderna. Propuso la “confusión (Confusion)” y la “difusión (Diffusion)” como principios para un diseño criptográfico seguro.

Confusión (Confusion): Hacer que la relación entre la clave y el texto cifrado sea lo más compleja posible. (Logrado mediante sustitución/cajas S)
Difusión (Diffusion): Hacer que un cambio de 1 bit en el texto plano afecte a muchos bits en el texto cifrado. (Logrado mediante transposición/permutación)

DES (Data Encryption Standard)

En 1977, el Instituto Nacional de Estándares y Tecnología de EE. UU. (NIST, entonces NBS) estableció “DES”, basado en un diseño de IBM, como estándar criptográfico. DES adoptó una arquitectura llamada “Red de Feistel (Feistel Network)” y tenía un tamaño de bloque de 64 bits y una longitud de clave de 56 bits. Tenía la ventaja de implementación de que los algoritmos de cifrado y descifrado tenían estructuras casi idénticas.

Sin embargo, a medida que aumentaba el poder de cálculo de las computadoras, se hizo evidente que una longitud de clave de 56 bits (aproximadamente $7.2 \times 10^{16}$ combinaciones) era insuficiente. En 1998, la Electronic Frontier Foundation (EFF) desarrolló una máquina dedicada llamada “Deep Crack” y demostró que podía descifrar DES en unos pocos días.

AES (Advanced Encryption Standard)

Como nuevo estándar para reemplazar a DES, en 2001 se estableció “AES”. Se adoptó el algoritmo “Rijndael”, creado por criptógrafos belgas y elegido a través de un concurso público.

AES adoptó la “Red de Sustitución-Permutación (SPN: Substitution-Permutation Network)” en lugar de la red de Feistel y utiliza operaciones matemáticas sobre el cuerpo de Galois (cuerpo finito) $GF(2^8)$. La longitud de la clave se puede elegir entre 128, 192 y 256 bits, y todavía se utiliza ampliamente en todo el mundo como la criptografía de clave simétrica estándar.

graph TD subgraph "Procesamiento de 1 ronda de AES (Estructura SPN)" A["Estado de entrada (128-bit)"] --> B("SubBytes (Sustitución de bytes / S-Box)") B --> C("ShiftRows (Desplazamiento de filas)") C --> D("MixColumns (Mezcla de columnas / Multiplicación sobre GF(2^8))") D --> E("AddRoundKey (XOR con clave de ronda)") E --> F["A la siguiente ronda"] end

5. La revolución de la criptografía de clave pública: de Diffie-Hellman a RSA

La criptografía de clave simétrica tenía una debilidad fatal. Ese era el “Problema de distribución de claves (Key Distribution Problem)”. Este es el problema de cómo compartir de forma segura una “clave común” con una parte lejana antes de iniciar una comunicación cifrada. La “criptografía de clave pública”, nacida en la década de 1970, resolvió este problema.

Intercambio de claves Diffie-Hellman

En 1976, Whitfield Diffie y Martin Hellman publicaron el artículo pionero “New Directions in Cryptography”. Propusieron un método para compartir claves de forma segura incluso en un canal de comunicación interceptado, explotando la dificultad matemática del “Problema del logaritmo discreto (Discrete Logarithm Problem)”.

Se publican un número primo grande $p$ y un generador $g$.
Alice elige un valor secreto $a$ y envía $A = g^a \pmod{p}$ a Bob.
Bob elige un valor secreto $b$ y envía $B = g^b \pmod{p}$ a Alice.
Alice calcula $K = B^a \pmod{p}$ y Bob calcula $K = A^b \pmod{p}$.
Por las leyes de los exponentes, $K = (g^b)^a = (g^a)^b = g^{ab} \pmod{p}$, y comparten con éxito la misma clave $K$.

Criptografía RSA

Al año siguiente, en 1977, Ron Rivest, Adi Shamir y Leonard Adleman idearon la “Criptografía RSA”. Se basa en la propiedad de que “la factorización de números primos de números compuestos enormes es difícil”.

Mecanismo matemático de RSA:

Se eligen dos números primos enormes $p$ y $q$, y se calcula $n = p \times q$.
Se calcula la función totiente de Euler $\phi(n) = (p-1)(q-1)$.
Se elige un entero $e$ (clave pública) que sea coprimo con $\phi(n)$.
Se calcula un entero $d$ (clave privada) de modo que $e \times d \equiv 1 \pmod{\phi(n)}$.

Cifrado: Para un texto plano $M$, $C \equiv M^e \pmod{n}$ Descifrado: Para un texto cifrado $C$, $M \equiv C^d \pmod{n}$

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28


# Código Python que muestra el concepto de la criptografía RSA (no para uso práctico)
def ext_euclid(a, b):
 # Cálculo del inverso modular mediante el algoritmo de Euclides extendido
 if b == 0: return 1, 0, a
 x, y, g = ext_euclid(b, a % b)
 return y, x - (a // b) * y, g

def rsa_example():
 # Ejemplo utilizando números primos pequeños
 p, q = 61, 53
 n = p * q
 phi = (p - 1) * (q - 1)

 e = 17 # Valor coprimo con phi
 d, _, _ = ext_euclid(e, phi)
 if d < 0: d += phi

 print(f"Clave pública: (e={e}, n={n})")
 print(f"Clave privada: (d={d}, n={n})")

 # Cifrado y descifrado de mensajes
 message = 65
 ciphertext = pow(message, e, n)
 decrypted = pow(ciphertext, d, n)

 print(f"Texto plano: {message} -> Texto cifrado: {ciphertext} -> Descifrado: {decrypted}")

rsa_example()

6. El auge de la criptografía de curva elíptica (ECC)

Aunque la criptografía RSA es poderosa, a medida que el rendimiento de las computadoras ha mejorado, se ha vuelto necesario utilizar longitudes de clave más largas (actualmente 2048 o 3072 bits) para mantener la seguridad, lo que aumenta los costos de cálculo.

Por lo tanto, en 1985 se propuso la “Criptografía de curva elíptica (Elliptic Curve Cryptography: ECC)”. Esto utiliza la suma de puntos en curvas elípticas (generalmente en la forma $y^2 = x^3 + ax + b$) sobre cuerpos finitos.

Se sabe que el problema del logaritmo discreto de curva elíptica (ECDLP) es aún más difícil de resolver que el problema de factorización de enteros, y la misma seguridad que RSA de 3072 bits se puede lograr con ECC utilizando una longitud de clave de solo 256 bits. Esto ha permitido una comunicación cifrada rápida y segura (como ECDSA y ECDH) incluso en entornos con recursos informáticos limitados, como teléfonos inteligentes y dispositivos IoT.

7. La amenaza de las computadoras cuánticas y la criptografía poscuántica (PQC)

Aunque la tecnología criptográfica parecía sólida como una roca, el “algoritmo de Shor” publicado por Peter Shor en 1994 causó un gran impacto.

Las computadoras cuánticas utilizan las propiedades de la mecánica cuántica como la “superposición” y el “entrelazamiento cuántico” para realizar cálculos. Se demostró matemáticamente que ejecutar el algoritmo de Shor en una computadora cuántica suficientemente potente puede resolver el problema de factorización de enteros y el problema del logaritmo discreto en “tiempo polinomial”. En otras palabras, el día en que se perfeccionen las computadoras cuánticas prácticas (Q-Day), las criptografías de clave pública que se utilizan actualmente, como RSA y ECC, se romperán instantáneamente.

La llegada de PQC (Post-Quantum Cryptography)

En preparación para esta amenaza sin precedentes, se está acelerando la investigación sobre la “criptografía poscuántica (PQC: Post-Quantum Cryptography)”, basada en nuevos problemas matemáticos que son difíciles de resolver incluso para las computadoras cuánticas. El NIST (Instituto Nacional de Estándares y Tecnología de EE. UU.) ha estado avanzando en el proceso de estandarización de PQC durante muchos años, y los siguientes enfoques matemáticos se consideran los más prometedores:

1. Criptografía basada en retículos (Lattice-based Cryptography)

Actualmente es el enfoque más prometedor y también se adopta en los algoritmos de estandarización del NIST (ML-KEM / Kyber, ML-DSA / Dilithium). Se basa en la dificultad de problemas como encontrar puntos específicos en un “retículo (Lattice)” de un espacio multidimensional (Problema del vector más corto: SVP, etc.) o el problema LWE (Learning With Errors: Aprendizaje con errores).

El concepto del problema LWE aprovecha la propiedad de que si se añade intencionalmente un “pequeño ruido (error)” a un sistema de ecuaciones lineales, de repente se vuelve difícil encontrar la solución. Sistema de ecuaciones: $\mathbf{A}\mathbf{s} + \mathbf{e} \equiv \mathbf{b} \pmod{q}$ ($\mathbf{A}$ y $\mathbf{b}$ son públicos, $\mathbf{s}$ es la clave privada, $\mathbf{e}$ es el pequeño ruido)

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


# Pseudocódigo conceptual del problema LWE (con fines de aprendizaje)
import numpy as np

n = 256 # Dimensión
q = 3329 # Módulo
m = 512 # Número de ecuaciones

# Clave secreta s y pequeño error e
s = np.random.randint(0, 5, size=n)
e = np.random.randint(-1, 2, size=m)

# Matriz pública A y vector público b
A = np.random.randint(0, q, size=(m, n))
b = (np.dot(A, s) + e) % q

# Se considera extremadamente difícil restaurar s a partir de A y b incluso usando una computadora cuántica

2. Criptografía basada en hash (Hash-based Cryptography)

Es un esquema de firma digital que basa su seguridad únicamente en la resistencia a colisiones de las funciones hash. Dado que no tiene una estructura matemática, es resistente a los ataques cuánticos, pero los tamaños de firma tienden a ser grandes (como SPHINCS+).

3. Criptografía basada en códigos (Code-based Cryptography)

Es un esquema criptográfico basado en la teoría de códigos de corrección de errores. El cifrado McEliece propuesto en 1978 es famoso, tiene una larga historia y una seguridad bien establecida, pero tiene el problema de que el tamaño de la clave pública es muy grande (a veces alcanza varios megabytes).

timeline title "Historia de la evolución de la criptografía y las computadoras" "Antigüedad a Edad Media" : "Cifrado César" : "Cifrado Vigenère" : "Nacimiento del análisis de frecuencias" "Años 1930 a 1940" : "Operación y descifrado de Enigma" : "Desarrollo de la máquina de Turing y la Bombe" "Años 1970" : "Estandarización de DES (1977)" : "Intercambio de claves Diffie-Hellman (1976)" : "Nacimiento de la criptografía RSA (1977)" "Años 1980 a 1990" : "Propuesta de la criptografía de curva elíptica (ECC)" : "Publicación del algoritmo de Shor (1994)" "Años 2000" : "Estandarización de AES (2001)" "Años 2010 al presente" : "Aceleración de la investigación en computadoras cuánticas" : "Inicio del proyecto de estandarización de PQC por el NIST" "Futuro cercano (Q-Day)" : "¿Realización de computadoras cuánticas a gran escala?" : "Transición completa a PQC (ML-KEM/ML-DSA)"

8. Conclusión: La batalla interminable del escudo y la espada

La historia de la criptografía es la historia de una batalla interminable entre la invención de nuevos métodos de cifrado (escudos) y nuevas técnicas de descifrado (espadas) para romperlos.

El cifrado César fue derrotado por el análisis de frecuencias, y la invencible Enigma fue derrotada por el genio de Turing y el poder de las máquinas. Y ahora, las poderosas criptografías como RSA y ECC, que sustentan la sociedad de Internet moderna, también están amenazadas por una nueva “espada”, las computadoras cuánticas.

Sin embargo, la humanidad ya está mirando hacia el futuro y preparando un nuevo “escudo”, la criptografía poscuántica (PQC). Actualmente, prepararse para la transición de la criptografía de clave pública existente a PQC (garantizar la agilidad criptográfica: Crypto Agility) es una tarea urgente para la infraestructura de TI en todo el mundo.

La tecnología criptográfica no es solo un complejo rompecabezas matemático, sino el baluarte más fuerte para proteger nuestra privacidad, propiedad y la infraestructura social misma.

Fundamentos matemáticos de la criptografía de curva elíptica (ECC) e implementación en C++

Fri, 11 Sep 2026 10:00:00 +0900

Fundamentos matemáticos de la criptografía de curva elíptica (ECC) e implementación en C++

En la tecnología criptográfica moderna, la criptografía de curva elíptica (Elliptic Curve Cryptography: ECC) juega un papel extremadamente importante. Desde nuestras comunicaciones diarias en Internet (HTTPS/TLS), los enclaves seguros de los teléfonos inteligentes, la autenticación de servidores mediante SSH, la autenticación sin contraseña como FIDO, e incluso en criptomonedas como Bitcoin y Ethereum, no es una exageración decir que la base de confianza de la sociedad digital moderna está respaldada por ECC.

En este artículo, explicaremos exhaustivamente con un volumen abrumador cómo funciona esta criptografía de curva elíptica, partiendo de la hermosa pero compleja teoría matemática detrás de ella (geometría algebraica sobre campos finitos), los métodos de implementación prácticos usando C++, y además, técnicas de codificación seguras para prevenir ataques de canal lateral (ataques de tiempo).

1. ¿Por qué la criptografía de curva elíptica? (Comparación con RSA)

Cuando se hablaba de criptografía de clave pública, durante mucho tiempo el sinónimo era RSA. RSA basa su seguridad en la “dificultad de factorizar números compuestos enormes”. Sin embargo, con el aumento de la capacidad computacional de los ordenadores, para mantener la seguridad ha surgido la necesidad de alargar continuamente el tamaño de la clave RSA (el número de bits del módulo). Hoy en día, se recomienda una longitud de clave de al menos 2048 bits, o 3072 y 4096 bits para mayor seguridad.

Por otro lado, la criptografía de curva elíptica (ECC) fundamenta su seguridad en una dificultad matemática diferente: el “problema del logaritmo discreto en curvas elípticas (ECDLP)”. Hasta la fecha, no se ha descubierto ningún algoritmo eficiente (como algoritmos de tiempo subexponencial) para resolver el ECDLP, e incluso los métodos de ataque más eficientes conocidos requieren un tiempo exponencial.

Debido a esta propiedad, ECC tiene la ventaja decisiva de poder lograr el mismo nivel de seguridad que RSA con una longitud de clave mucho más corta.

Nivel de seguridad (bits)	Longitud de clave RSA (bits)	Longitud de clave ECC (bits)	Proporción de longitud de clave
80	1024	160	1:6
112	2048	224	1:9
128	3072	256	1:12
192	7680	384	1:20
256	15360	512	1:30

Como muestra la tabla anterior, para obtener una seguridad de 128 bits (el estándar actual), RSA requiere una clave de 3072 bits, pero con ECC solo se necesitan 256 bits. Esto permite una reducción en la cantidad de cálculos, un menor uso de memoria y un ahorro de ancho de banda en la red, presumiendo de una ventaja abrumadora, especialmente en entornos con recursos limitados como dispositivos IoT y tarjetas inteligentes.

2. Preparación matemática: Teoría de grupos y el mundo de los campos finitos

Para comprender verdaderamente la criptografía de curva elíptica, es necesario dominar los conceptos básicos del álgebra abstracta (teoría de grupos y teoría de campos). Aquí resumiremos de manera concisa los conocimientos previos para construir ECC.

2.1. Grupo (Group) y grupo abeliano

Un grupo (Group) es un conjunto $G$ junto con una operación binaria (aquí la asumiremos como adición $+$) en ese conjunto, denotado como $(G, +)$, que satisface los siguientes 4 axiomas:

Clausura (Closure): Para cualesquiera $a, b \in G$, se cumple que $a + b \in G$.
Asociatividad (Associativity): Para cualesquiera $a, b, c \in G$, se cumple que $(a + b) + c = a + (b + c)$.
Existencia del elemento neutro (Identity element): Existe un elemento $e \in G$ tal que para cualquier $a \in G$, $a + e = e + a = a$. En el caso de un grupo aditivo, este elemento neutro generalmente se denota como $0$ o $\mathcal{O}$.
Existencia del elemento inverso (Inverse element): Para cualquier $a \in G$, existe un elemento $b \in G$ tal que $a + b = b + a = e$. Este $b$ se denota como $-a$.

Además, si el resultado no cambia al invertir el orden de la operación, es decir, si satisface la siguiente condición, el grupo se denomina grupo abeliano (grupo conmutativo).

Conmutatividad (Commutativity): Para cualesquiera $a, b \in G$, se cumple que $a + b = b + a$.

El conjunto de puntos en una curva elíptica, al definir una regla de adición específica, forma este grupo abeliano.

2.2. Campo finito (Finite Field)

En la teoría criptográfica, no se utilizan campos con un número infinito de elementos continuos como los números reales o complejos, sino un campo finito (Finite Field) o campo de Galois (Galois Field), donde el número de elementos es finito.

El campo finito más básico es el campo primo $\mathbb{F}_p$ utilizando un número primo $p$. Esto es el conjunto de enteros $\{0, 1, 2, \dots, p-1\}$ en el que se definen las cuatro operaciones aritméticas (suma, resta, multiplicación, división) módulo $p$ (el resto de dividir por $p$).

Suma: $(a + b) \pmod p$
Resta: $(a - b) \pmod p$
Multiplicación: $(a \times b) \pmod p$
División: $a \times b^{-1} \pmod p$ (donde $b^{-1}$ es el inverso multiplicativo de $b$ módulo $p$)

El cálculo del inverso multiplicativo modular (Modular Multiplicative Inverse) es extremadamente importante en las implementaciones criptográficas. Para encontrar $b^{-1}$ que satisfaga $b \times b^{-1} \equiv 1 \pmod p$, se utilizan principalmente los dos siguientes algoritmos:

Algoritmo de Euclides extendido (Extended Euclidean Algorithm): Es rápido, pero dependiendo de la implementación, el tiempo de procesamiento puede depender de los valores de entrada, por lo que existe el riesgo de ataques de tiempo.
Pequeño teorema de Fermat (Fermat’s Little Theorem): Cuando $p$ es primo y $b \neq 0$, se cumple que $b^{p-1} \equiv 1 \pmod p$. Dividiendo ambos lados por $b$, obtenemos $b^{p-2} \equiv b^{-1} \pmod p$. En otras palabras, calculando la potencia $p-2$ de $b$, se obtiene el inverso. Dado que las operaciones de exponenciación son fáciles de implementar en tiempo constante, esta es la preferida en implementaciones criptográficas.

3. Ecuación de la curva elíptica y geometría

3.1. Forma normal de Weierstrass

Una curva elíptica (Elliptic Curve) es una curva plana generalmente definida por la siguiente ecuación, llamada forma normal de Weierstrass (Weierstrass normal form).

$$ y^2 = x^3 + ax + b $$

Aquí, $a$ y $b$ son constantes, y como condición para que la curva no tenga puntos singulares (auto-intersecciones o cúspides), es decir, para que sea una curva suave, se requiere que el siguiente discriminante (Discriminant) $\Delta$ no sea cero.

$$ \Delta = -16(4a^3 + 27b^2) \neq 0 $$

Dado que una curva con puntos singulares compromete la seguridad criptográfica, siempre se eligen coeficientes $a, b$ que satisfagan esta condición.

3.2. Punto en el infinito (Point at Infinity)

Para convertir matemáticamente la curva elíptica en un grupo completo, además de los puntos en el plano, introducimos un punto virtual llamado “punto en el infinito (Point at Infinity)”. Lo denotamos como $\mathcal{O}$.

El punto en el infinito $\mathcal{O}$ se define como el punto donde todas las líneas verticales se cruzan en el infinito infinito. En la teoría de grupos, este punto en el infinito $\mathcal{O}$ funciona como el elemento neutro en la adición (cero).

Es decir, para cualquier punto $P$ en la curva, se cumple lo siguiente:

$$ P + \mathcal{O} = \mathcal{O} + P = P $$

Además, el inverso $-P$ del punto $P = (x, y)$ se define como el punto simétrico con respecto al eje x, $(x, -y)$. Por lo tanto:

$$ P + (-P) = \mathcal{O} $$

4. Operaciones de grupo en la curva elíptica (Suma de puntos y duplicación)

El núcleo de la criptografía de curva elíptica es la operación de “suma (Addition)” entre puntos de la curva. Esta difiere de la suma habitual de números enteros y se define basándose en operaciones geométricas.

4.1. Suma geométrica (Tangent and Chord Method)

El procedimiento para sumar dos puntos diferentes $P$ y $Q$ en la curva para obtener un nuevo punto $R$ ($R = P + Q$) es el siguiente:

Se traza una línea recta (cuerda) que pasa por los puntos $P$ y $Q$.
Esta línea recta siempre interceptará la curva elíptica en un tercer punto (a este lo llamaremos $-R$). (*Según un teorema de la geometría algebraica)
El punto obtenido al reflejar el punto de intersección $-R$ simétricamente sobre el eje x (invirtiendo el signo de la coordenada y) será el punto $R$ buscado.

graph TD Step1["Trazar una línea que conecte P(x1, y1) y Q(x2, y2)"] --> Step2["Encontrar el tercer punto de intersección -R con la curva"] Step2 --> Step3["Reflejar -R sobre el eje x para obtener R(x3, y3)"] Step3 -.-> Result["Esto es R = P + Q"]

4.2. Duplicación de puntos (Point Doubling)

Al sumar el mismo punto $P$ a sí mismo ($P + P = 2P$), no se puede trazar una línea que pase por dos puntos. En este caso, se traza la línea tangente (Tangent) a la curva en el punto $P$.

Se traza la línea tangente a la curva en el punto $P$.
Esta línea tangente interceptará la curva en un segundo punto $-R$.
El punto reflejado simétricamente sobre el eje x será el punto buscado $R = 2P$.

4.3. Fórmulas de cálculo algebraico

Las operaciones geométricas se traducen a fórmulas algebraicas para que puedan ser calculadas por un ordenador. Todas las operaciones se realizan sobre el campo finito $\mathbb{F}_p$ (módulo $p$).

Sean el punto $P = (x_1, y_1)$ y el punto $Q = (x_2, y_2)$. Además, el punto resultante del cálculo será $R = P + Q = (x_3, y_3)$.

Sea $\lambda$ (lambda) la pendiente de la recta.

[Caso 1: Cuando $P \neq Q$ (Suma de puntos)] La pendiente $\lambda$ es la tasa de cambio entre los dos puntos.

$$ \lambda \equiv \frac{y_2 - y_1}{x_2 - x_1} \pmod p $$ $$ \lambda \equiv (y_2 - y_1) \cdot (x_2 - x_1)^{-1} \pmod p $$

Usando este $\lambda$, $x_3, y_3$ se calculan de la siguiente manera:

$$ x_3 \equiv \lambda^2 - x_1 - x_2 \pmod p $$ $$ y_3 \equiv \lambda(x_1 - x_3) - y_1 \pmod p $$

[Caso 2: Cuando $P = Q$ (Duplicación de puntos)] La pendiente $\lambda$ es la pendiente de la recta tangente obtenida por diferenciación. (Se deriva implícitamente $y^2 = x^3 + ax + b$)

$$ 2y \cdot y' = 3x^2 + a \implies y' = \frac{3x^2 + a}{2y} $$

Por lo tanto,

$$ \lambda \equiv (3x_1^2 + a) \cdot (2y_1)^{-1} \pmod p $$

Las fórmulas para $x_3, y_3$ tienen la misma forma que en la suma, pero como $x_2 = x_1$, se convierten en:

$$ x_3 \equiv \lambda^2 - 2x_1 \pmod p $$ $$ y_3 \equiv \lambda(x_1 - x_3) - y_1 \pmod p $$

[!IMPORTANT] Estas fórmulas incluyen divisiones (cálculo del inverso modular), como $(x_2 - x_1)^{-1}$ y $(2y_1)^{-1}$. Dado que el cálculo del inverso modular tiene un costo computacional muy alto, en las implementaciones reales generalmente se utilizan sistemas de coordenadas proyectivas que retrasan la división, como las “Coordenadas Jacobianas (Jacobian Coordinates)”.

5. Multiplicación escalar y el problema del logaritmo discreto en curvas elípticas (ECDLP)

En la criptografía de curva elíptica, la operación con mayor costo computacional y que forma el núcleo de la seguridad es la multiplicación escalar (Scalar Multiplication).

5.1. ¿Qué es la multiplicación escalar?

La operación de sumar un punto $P$ un número $k$ de veces se llama multiplicación escalar y se denota como $kP$.

$$ kP = \underbrace{P + P + \dots + P}_{k\text{ veces}} $$

Aquí, $k$ es un número entero muy grande (por ejemplo, un entero de 256 bits).

5.2. Problema del logaritmo discreto en curvas elípticas (ECDLP)

La seguridad de la criptografía de curva elíptica depende de la dificultad del siguiente problema.

Problema del logaritmo discreto en curvas elípticas (Elliptic Curve Discrete Logarithm Problem: ECDLP) Dado un punto conocido $P$ (punto base) y el punto resultante $Q$, encontrar el escalar $k$ que satisfaga $Q = kP$.

Calcular $Q$ a partir de $k$ y $P$ (dirección directa) es fácil (tiempo polinomial) utilizando el algoritmo descrito a continuación, pero calcular $k$ inversamente a partir de $P$ y $Q$ (dirección inversa) no tiene una solución eficiente aparte de una búsqueda exhaustiva (fuerza bruta), lo que lo hace virtualmente imposible (función unidireccional). En los protocolos criptográficos, $k$ corresponde a la “clave privada” y $Q$ a la “clave pública”.

5.3. Algoritmo Double-and-Add (Doble y Suma)

Cuando $k$ es un número enorme (por ejemplo: $2^{256}$), sumar ingenuamente $P$ un total de $k$ veces no terminaría ni siquiera si se agotara la vida del universo. Por lo tanto, para realizar la multiplicación escalar a alta velocidad, se utiliza el método Double-and-Add (método binario).

Esta es la versión de curva elíptica del método de “cuadratura repetida” para calcular potencias de enteros de manera rápida. Expresa el escalar $k$ en formato binario y lo procesa secuencialmente desde el bit más significativo.

Inicializar el punto $R$ que mantiene el resultado con $\mathcal{O}$.
Repetir lo siguiente desde el bit más significativo de $k$ hasta el menos significativo:
- Duplicar $R$ (Point Doubling: $R = 2R$)
- Si el bit actual es 1, sumar $P$ a $R$ (Point Addition: $R = R + P$)

Gracias a este algoritmo, la complejidad computacional se reduce drásticamente de $O(k)$ a $O(\log_2 k)$, permitiendo cálculos en un tiempo realista (cuestión de milisegundos).

6. Intercambio de claves de curva elíptica Diffie-Hellman (ECDH)

Aquí explicaremos el funcionamiento del protocolo de intercambio de claves ECDH (Elliptic Curve Diffie-Hellman), que es el ejemplo de aplicación más representativo de ECC. ECDH es un mecanismo que permite a Alice y Bob generar y compartir de forma segura una clave secreta compartida (clave de sesión) sobre un canal de comunicación que podría ser espiado (es el núcleo del apretón de manos TLS).

[Parámetros preestablecidos (Parámetros de dominio)] Ambas partes comparten de antemano la curva elíptica $E$ a utilizar, el número primo $p$ y el punto base $G$. (Por ejemplo, NIST P-256 o secp256k1)

sequenceDiagram participant Alice as "Alice" participant Bob as "Bob" Note over Alice,Bob: "Parámetros públicos: Curva E, Punto base G, Primo p" Alice->>Alice: "Generar clave privada d_A (entero aleatorio)" Alice->>Alice: "Calcular clave pública Q_A = d_A * G" Bob->>Bob: "Generar clave privada d_B (entero aleatorio)" Bob->>Bob: "Calcular clave pública Q_B = d_B * G" Alice->>Bob: "Enviar clave pública Q_A (texto plano)" Bob->>Alice: "Enviar clave pública Q_B (texto plano)" Alice->>Alice: "Calcular secreto compartido S = d_A * Q_B" Bob->>Bob: "Calcular secreto compartido S = d_B * Q_A" Note over Alice,Bob: "S = d_A * (d_B * G) = d_B * (d_A * G) = (d_A * d_B) * G" Note over Alice,Bob: "¡Los resultados de cálculo S de ambos coinciden perfectamente!"

Un atacante (Eve) que intercepte la comunicación puede obtener $G$, $Q_A$ y $Q_B$ que fluyen por la red, pero debido a la dificultad del ECDLP, no puede deducir la clave privada $d_A$ de Alice a partir de $Q_A = d_A \cdot G$. Además, multiplicar $Q_A$ y $Q_B$ no produce la clave compartida $S$, por lo que el espía no puede calcular $S$.

7. Dificultades en la implementación: Ataques de canal lateral y contramedidas

Incluso si un algoritmo criptográfico es teóricamente perfecto, pueden surgir vulnerabilidades en el proceso de implementarlo como programa. Esto se conoce como “ataque de canal lateral (Side-Channel Attack)”.

7.1. Ataque de tiempo (Timing Attack)

Revisemos el algoritmo Double-and-Add mencionado anteriormente.

1
2
3
4
5
6
7
8


// Pseudocódigo vulnerable de Double-and-Add
Point R = Point::Infinity;
for (int i = 255; i >= 0; i--) {
 R = PointDoubling(R); // Siempre se ejecuta
 if (bit(k, i) == 1) {
 R = PointAddition(R, P); // ¡Solo se ejecuta cuando el bit es 1!
 }
}

Esta implementación tiene una falla fatal. Dado que la suma de puntos (Point Addition) se ejecuta cuando el bit es 1, el tiempo de cálculo será ligeramente mayor que cuando el bit es 0. Además, el comportamiento de predicción de bifurcaciones del procesador y la memoria caché también cambiará. Si un atacante observa estadísticamente esta diminuta diferencia en el tiempo de cálculo (o el consumo de energía) miles de veces, podría recuperar completamente la secuencia de bits de la clave privada $k$ bit por bit. Este es el ataque de tiempo.

7.2. Implementación de tiempo constante (Constant-Time): Escalera de Montgomery (Montgomery Ladder)

Para prevenir los ataques de tiempo, es necesario adoptar un algoritmo en el que la secuencia de instrucciones ejecutadas y el tiempo de cálculo sean siempre constantes (Constant-Time), independientemente del valor de los bits de la clave privada.

El ejemplo representativo de esto es la Escalera de Montgomery (Montgomery Ladder).

graph TD Start["Inicialización: R0 = O, R1 = P"] --> LoopStart["Para cada bit i (desde el más significativo)"] LoopStart --> Cond{"¿Cuál es el valor de k_i?"} Cond -->|0| Branch0["R1 = R0 + R1
R0 = 2 * R0"] Cond -->|1| Branch1["R0 = R0 + R1
R1 = 2 * R1"] Branch0 --> LoopEnd["Siguiente bit"] Branch1 --> LoopEnd LoopEnd --> LoopStart LoopStart -.->|"Todos los bits completados"| End["Fin: R0 es el resultado (kP)"]

Lo hermoso de la Escalera de Montgomery es que, sin importar si el bit es 0 o 1, “siempre se ejecuta una suma de puntos (Point Addition) y una duplicación de puntos (Point Doubling)”. Esto elimina por completo la dependencia de los datos en el tiempo de cálculo.

Sin embargo, si la bifurcación misma (if (k_i == 0)) sigue existiendo, aún persiste el riesgo de que el tiempo de ejecución varíe debido a las optimizaciones del compilador o la predicción de saltos de la CPU. Por lo tanto, en una implementación real de Constant-Time, las bifurcaciones condicionales (instrucciones if) se eliminan y se utiliza un intercambio condicional (Conditional Swap) empleando operaciones a nivel de bits.

8. Implementación de criptografía de curva elíptica en C++

A partir de aquí, plasmaremos la teoría en código C++. Las bibliotecas criptográficas prácticas (como OpenSSL o libsodium) utilizan optimizaciones avanzadas en ensamblador o el sistema de coordenadas jacobianas, pero aquí, para profundizar en la comprensión matemática, mostraremos la estructura de una implementación Constant-Time fácil de entender usando coordenadas afines.

Asumiremos el uso de boost::multiprecision::cpp_int para las operaciones con enteros gigantes.

8.1. Aritmética modular y el inverso

Primero, definiremos funciones de ayuda para operaciones en campos finitos. Implementaremos el cálculo del inverso modular utilizando el pequeño teorema de Fermat.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35


#include <iostream>
#include <vector>
#include <stdexcept>
#include <boost/multiprecision/cpp_int.hpp>

using namespace boost::multiprecision;

// Ejemplo usando el número primo p y parámetros de secp256k1
const cpp_int p("0xFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFEFFFFFC2F");
const cpp_int a = 0;
const cpp_int b = 7;

// Operación modular que devuelve un residuo positivo
cpp_int mod(cpp_int x, cpp_int m) {
 cpp_int r = x % m;
 return r < 0 ? r + m : r;
}

// Exponenciación modular (x^y mod m)
cpp_int powerMod(cpp_int base, cpp_int exp, cpp_int m) {
 cpp_int res = 1;
 base = mod(base, m);
 while (exp > 0) {
 if (exp % 2 == 1) res = mod(res * base, m);
 base = mod(base * base, m);
 exp /= 2;
 }
 return res;
}

// Inverso modular usando el pequeño teorema de Fermat
cpp_int modInverse(cpp_int n, cpp_int m) {
 // Asumiendo que m es primo: n^(m-2) ≡ n^(-1) mod m
 return powerMod(n, m - 2, m);
}

8.2. Representación de puntos y operaciones de grupo (Suma y Duplicación)

Implementamos la estructura Point que maneja el punto en el infinito con una bandera, y las fórmulas de suma.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41


struct Point {
 cpp_int x;
 cpp_int y;
 bool isInfinity;

 // Crear el punto en el infinito
 Point() : x(0), y(0), isInfinity(true) {}

 // Crear un punto normal
 Point(cpp_int x, cpp_int y) : x(x), y(y), isInfinity(false) {}
};

// Suma de puntos en la curva elíptica (R = P + Q)
Point pointAdd(const Point& P, const Point& Q) {
 if (P.isInfinity) return Q;
 if (Q.isInfinity) return P;

 if (P.x == Q.x && mod(P.y + Q.y, p) == 0) {
 return Point(); // P + (-P) = punto en el infinito
 }

 cpp_int lambda;
 if (P.x == Q.x && P.y == Q.y) {
 // Point Doubling (Caso P = Q)
 // lambda = (3x^2 + a) / 2y
 cpp_int num = mod(3 * P.x * P.x + a, p);
 cpp_int den = modInverse(mod(2 * P.y, p), p);
 lambda = mod(num * den, p);
 } else {
 // Point Addition (Caso P != Q)
 // lambda = (y2 - y1) / (x2 - x1)
 cpp_int num = mod(Q.y - P.y, p);
 cpp_int den = modInverse(mod(Q.x - P.x, p), p);
 lambda = mod(num * den, p);
 }

 cpp_int x3 = mod(lambda * lambda - P.x - Q.x, p);
 cpp_int y3 = mod(lambda * (P.x - x3) - P.y, p);

 return Point(x3, y3);
}

8.3. Implementación de intercambio condicional en tiempo constante (Constant-Time Conditional Swap)

Al intercambiar el contenido de variables basado en el valor de un bit de la clave privada, realizamos el intercambio únicamente mediante operaciones a nivel de bits (máscaras) sin utilizar sentencias if. Esto asegura que la ruta de ejecución sea completamente constante.

[!TIP] En implementaciones reales, las clases de enteros de precisión múltiple con asignación dinámica como cpp_int no son adecuadas para procesamientos de tiempo constante, ya que se filtra información de temporización mediante la asignación de memoria o variaciones en el tamaño de los arreglos. Las bibliotecas prácticas los representan con una longitud fija (por ejemplo, arreglos de 4 elementos uint64_t) e implementan el enmascaramiento a nivel de bits. El siguiente es un ejemplo conceptual.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21


// Constant-Time Swap conceptual (asumiendo enteros de longitud fija)
// Si el bit es 1, intercambia P1 y P2; si es 0, no los intercambia
void cswap(Point& P1, Point& P2, uint8_t bit) {
 // bit es 0 o 1. La máscara es todo 1s (0xFF..) si bit=1, y todo 0s si es 0.
 // (Aquí asumimos que cada palabra de la clase BigInt de longitud fija es w para la explicación)
 /*
 uint64_t mask = 0 - (uint64_t)bit;
 for (int i = 0; i < NUM_WORDS; i++) {
 uint64_t dummy = mask & (P1.x.words[i] ^ P2.x.words[i]);
 P1.x.words[i] ^= dummy;
 P2.x.words[i] ^= dummy;
 // Procesar de igual manera la coordenada y, así como la bandera isInfinity
 }
 */

 // * Un intercambio perfecto de tiempo constante en boost::multiprecision es difícil,
 // pero aquí lo limitaremos a simularlo mediante ramificación para comprender la lógica.
 if (bit == 1) {
 std::swap(P1, P2);
 }
}

8.4. Multiplicación escalar mediante la Escalera de Montgomery

Combinamos pointAdd y cswap previamente descritos para implementar una multiplicación escalar segura.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25


// Multiplicación escalar k * P (Método de Escalera de Montgomery)
Point scalarMultiply(const Point& P, cpp_int k) {
 Point R0 = Point(); // Punto en el infinito
 Point R1 = P;

 // Obtener la longitud de bits de k (256 bits para secp256k1)
 int numBits = 256;

 for (int i = numBits - 1; i >= 0; i--) {
 // Obtener el valor del i-ésimo bit (0 o 1)
 uint8_t bit = static_cast<uint8_t>(bit_test(k, i) ? 1 : 0);

 // Si bit == 1, intercambiar R0 y R1
 cswap(R0, R1, bit);

 // Siempre se ejecuta la misma operación (Point Addition y Point Doubling)
 R1 = pointAdd(R0, R1);
 R0 = pointAdd(R0, R0);

 // Si bit == 1, volver a intercambiar para restaurar el estado original
 cswap(R0, R1, bit);
 }

 return R0;
}

Con esta lógica de implementación, sin importar si cada bit del escalar $k$ es 0 o 1, las operaciones ejecutadas dentro de la iteración de cada bucle (cswap $\to$ pointAdd $\to$ pointAdd $\to$ cswap) seguirán un flujo exactamente igual, previniendo fuertemente la fuga de información confidencial a través de variaciones en la temporización o los patrones de acceso a la caché.

9. Conclusión

A primera vista, la criptografía de curva elíptica (ECC) puede parecer un misterio y hacernos preguntar, “¿Cómo pueden las operaciones geométricas como trazar una línea recta y reflejar intersecciones convertirse en criptografía?”. Sin embargo, al mapearlo al mundo discreto de los campos finitos, es el producto de una fusión milagrosa entre las matemáticas y la criptografía que nos permite construir espléndidas funciones unidireccionales (problema del logaritmo discreto).

En este artículo explicamos los siguientes puntos clave:

Ventaja sobre RSA: Ofrece una seguridad robusta con longitudes de clave muy cortas, ideal para la era actual móvil e IoT.
Fundamentos de teoría de grupos y campos finitos: La estructura matemática que sirve como base para ECC.
Fórmulas de suma y duplicación: Métodos de implementación de operaciones de grupo algebraicas usando la ecuación de Weierstrass.
La amenaza de los ataques de canal lateral: Cómo las bifurcaciones condicionales que dependen de los bits de la clave privada crean vulnerabilidades fatales.
Implementación de tiempo constante (Constant-Time): Técnicas de codificación en C++ usando la Escalera de Montgomery y el Intercambio Condicional para igualar el comportamiento a nivel de hardware y prevenir ataques.

Crear por tu cuenta una biblioteca criptográfica para entornos de producción generalmente no se recomienda (“Don’t roll your own crypto”) debido a los riesgos de seguridad extremadamente altos. Sin embargo, comprender profundamente los algoritmos subyacentes y el contexto matemático puede ser una herramienta invaluable y poderosa para los ingenieros que diseñan y operan sistemas más seguros y eficientes.

En el próximo artículo, nos gustaría profundizar más en el mecanismo de ECDSA (Elliptic Curve Digital Signature Algorithm), un algoritmo de firma digital que utiliza esta curva elíptica, y en las firmas de Schnorr adoptadas en Bitcoin.