Es viernes por la tarde. Estás cerrando una auditoría y el CTO del cliente te comenta orgulloso:
«Ya completamos nuestra migración a criptografía post-cuántica.»
Excelente. O al menos eso parece.
Porque en ciberseguridad hay una regla no escrita que deberíamos tatuarnos en la frente:
Nunca confíes únicamente en lo que dice la documentación.
Mientras todos celebran el proyecto, decides hacer una última validación.
Abres una terminal. Ejecutas unas cuantas pruebas. Y descubres algo curioso.
El servidor frontal negocia un esquema híbrido moderno, pero detrás del balanceador de carga siguen existiendo servicios que utilizan mecanismos clásicos de intercambio de claves. Algunos ni siquiera soportan TLS 1.3.
La migración está terminada. O al menos eso dice la presentación de PowerPoint.
La realidad es otra historia.
Cuando migras la fachada, pero no la casa
Esto ocurre más de lo que cualquier equipo de seguridad quisiera admitir.
Cuando una organización decide emprender una migración post-cuántica, casi siempre empieza por lo visible: el dominio principal, el API Gateway, el sitio corporativo o el portal que utilizan los clientes.
Es lo que se audita primero y lo que se anuncia primero. Y, por lo tanto, es lo que se prueba primero.
¿Dónde está el problema? En que la infraestructura real de una empresa mediana o grande rara vez es un único endpoint.
Son decenas de microservicios internos, integraciones con proveedores, colas de mensajería, VPNs administrativas, paneles de terceros y sistemas heredados que nadie quiere tocar porque llevan años funcionando sin quejarse.
Cuando auditas únicamente la fachada, confirmas que el servidor que ve el usuario final negocia correctamente un esquema híbrido.
Pero no confirmas qué está ocurriendo detrás del balanceador, donde muchas veces siguen viviendo RSA-2048, ECDHE clásico o configuraciones heredadas que nunca formaron parte del proyecto de migración.
¿Y adivina qué es lo primero que encuentra un atacante paciente? ¡Exactamente eso!
Lo mismo que encontraría una auditoría bien hecha.
Cómo se ve una auditoría de migración PQC hecha en serio
Entonces, ¿cómo verificamos si la migración es real o simplemente un bonito proyecto que luce bien en las diapositivas de la junta directiva?
Aquí es donde empieza el trabajo del auditor.
Si vas a validar una migración post-cuántica, no basta con probar el punto de entrada.
Este es el flujo que debería seguir cualquier auditoría honesta:
1. Mapea toda la superficie, no solo el dominio principal
Un descubrimiento de subdominios y puertos abiertos mediante herramientas como amass, subfinder o incluso un simple nmap -p- sobre los rangos internos, puede darte una visión mucho más cercana a la realidad que cualquier documento de arquitectura.
El objetivo es construir un inventario real de los servicios existentes, no del que alguien cree que existe.
2. Verifica la negociación real, servicio por servicio
Herramientas como testssl.sh y sslyze permiten identificar exactamente qué versiones de TLS, cipher suites y mecanismos de intercambio de claves soporta cada endpoint.
Y cuando digo cada endpoint, me refiero a todos los que estén dentro del alcance de la auditoría, no solamente al servidor frontal.
Porque muchas veces la diferencia entre una migración exitosa y una migración incompleta se encuentra precisamente en esos sistemas que nadie pensó revisar.
3. Confirma que el híbrido sea realmente híbrido
Que un servidor anuncie soporte para un grupo como X25519MLKEM768 no significa que el cliente realmente lo esté utilizando.
Tampoco significa que no exista un fallback silencioso a curvas clásicas cuando algún componente de la cadena presenta problemas de compatibilidad.
Por eso resulta tan importante capturar el handshake completo con un sniffer como, por ejemplo, Wireshark y verificar lo que realmente ocurre durante la negociación.
La confianza está bien, pero la evidencia es mejor.
4. Prioriza por la vida útil del dato, no por la visibilidad del sistema
Un servicio interno que procesa contratos, propiedad intelectual o información sensible puede ser mucho más importante que un portal público que únicamente sirve contenido estático.
La pregunta correcta no es:
«¿Qué sistema se ve más?»
La pregunta correcta es:
«¿Qué información seguiría teniendo valor si alguien la copia hoy y logra descifrarla dentro de cinco o diez años?»
La respuesta a esa pregunta suele definir dónde conviene empezar.
La diferencia entre auditar y marcar casillas
Hoy cualquiera puede ejecutar una herramienta.
De hecho, cada vez más personas pueden pedirle a una IA que les diga qué comando ejecutar.
Pero descubrir qué significa realmente el resultado, cómo impacta al negocio y qué debería hacerse después… esa sigue siendo una habilidad humana.
Porque una auditoría no consiste solamente en generar un reporte lleno de luces verdes y rojas.
Consiste en entender qué sistema quedó fuera del alcance de la migración, por qué ocurrió, qué información protege y cuál sería el impacto real para la organización si alguien ya estuviera capturando ese tráfico.
Esa capacidad de conectar un hallazgo técnico con una decisión de negocio es exactamente lo que diferencia a quien sabe usar herramientas de quien puede liderar una auditoría criptográfica de principio a fin.
Y es, cada vez más, una de las habilidades mejor valoradas por las organizaciones.
Tu misión esta semana
No necesitas esperar a que un cliente te contrate para practicar esto.
Toma cualquier dominio de tu laboratorio personal, o alguno de los entornos vulnerables que utilizas para entrenar, y realiza un descubrimiento completo de servicios.
Después ejecuta testssl.sh contra cada uno de ellos.
Documenta lo que encuentres. Compara lo que parece estar migrado con lo que realmente está migrado.
Y, sobre todo, acostúmbrate a verificar. Porque al final del día, una migración post-cuántica no está completa cuando alguien la anuncia. Está completa cuando alguien la audita.
Y como ya hemos visto una y otra vez en ciberseguridad, esas dos cosas no siempre ocurren al mismo tiempo.
Si quieres aprender a estructurar este tipo de auditorías con metodología, herramientas y acompañamiento real, en Academia Hacker tenemos el camino para ayudarte a desarrollar habilidades de pentesting aplicadas al mundo real.
¡Hasta el próximo artículo!
