La primera vez que envié mi tarjeta de crédito a un laboratorio de seguridad, me la devolvieron hecha pedazos. No dañado físicamente, pero comprometido. En menos de 10 minutos, los ingenieros descubrieron mi código PIN.
Sucedió a principios de la década de 1990 cuando, siendo un joven ingeniero, comencé una pasantía en una de las empresas que ayudaron a crear la industria de las tarjetas inteligentes. Pensé que mi tarjeta estaba segura. Pensé que el sistema funcionaba. Pero ver a extraños extrayendo al azar algo que se suponía era secreto y protegido fue un shock. También fue el momento en que me di cuenta de lo insegura que es realmente la seguridad y del impacto devastador que las violaciones de seguridad pueden tener en las personas, las empresas globales y los gobiernos.
La mayoría de la gente asume que la seguridad consiste en construir algo que sea irrompible. En realidad, la seguridad consiste en comprender exactamente cómo se rompe algo, en qué condiciones y con qué rapidez. Es por eso que hoy dirijo laboratorios donde se paga a los ingenieros para que ataquen los mismos chips que diseña mi empresa. Miden las fluctuaciones de corriente, inyectan señales electromagnéticas, disparan láseres y eliminan capas de silicio. Su trabajo es actuar como Estados-nación criminales y hostiles a propósito porque la única forma honesta de generar confianza es intentar destruirla primero.
Para alguien ajeno al mundo de la seguridad, este enfoque suena contradictorio. ¿Por qué pasar años diseñando hardware seguro y luego invitar a la gente a desmontarlo? La respuesta es sencilla: la confianza que nunca ha sido probada no es confianza. Es una suposición. Las suposiciones fracasan silenciosamente al principio y fracasan en el peor momento posible.
Durante las últimas tres décadas, he visto chips seguros pasar de una tecnología especializada a una infraestructura invisible. Al principio de mi carrera, gran parte de mi trabajo se centró en las tarjetas de pago. No fue fácil convencer a los bancos y a las redes de pagos de que un chip era más seguro que una banda magnética. En aquel momento se temía que hubiera vigilancia y seguimiento. Lo que pocas personas reconocieron fue que estos chips se estaban convirtiendo en pasaportes digitales. Probaron la identidad, autentificaron dispositivos y determinaron en qué se podía confiar y en qué no en una red.
Hoy en día, los chips seguros se encuentran silenciosamente dentro de tarjetas de crédito, teléfonos inteligentes, automóviles, dispositivos médicos, enrutadores domésticos, sistemas industriales e infraestructura nacional. La mayoría de la gente nunca los nota, lo que a menudo se toma como una señal de éxito. En realidad, esa invisibilidad también genera riesgos. Cuando la seguridad desaparece de la vista, es fácil olvidar que aún necesita evolucionar.
En un nivel básico, un chip seguro hace una cosa esencial. Protege un secreto: una identidad criptográfica que demuestra que un dispositivo es real. Todas las demás medidas de seguridad se basan en esta base. Cuando se desbloquea un teléfono, cuando un automóvil se comunica con una estación de carga, cuando un sensor médico envía datos a un hospital o cuando se entrega una actualización de software a un dispositivo en el campo, todas estas acciones dependen de que el secreto siga siendo un secreto.
El desafío es que los chips no sólo almacenan secretos. Los usan. Calculan, comunican y reaccionan. En el momento en que un chip hace eso, comienza a filtrar información. No porque esté mal diseñado, sino porque la física no es negociable. El consumo de energía cambia. Las emisiones electromagnéticas están cambiando. El tiempo varía. Con el equipo adecuado y suficiente experiencia, estas señales pueden medirse e interpretarse.
Esto es lo que sucede dentro de nuestros laboratorios de ataque todos los días. Los ingenieros escuchan los chips de la misma manera que un proveedor de electricidad puede deducir su rutina diaria a partir de su consumo de energía. Realizan pruebas de estrés a los dispositivos hasta que se comportan de manera diferente a lo previsto. Introducen errores y observan cómo reacciona el chip. A partir de estas observaciones, aprenden cómo pensaría un atacante, dónde se escapa la información y cómo se deben rediseñar las defensas.
La computación cuántica entra en este panorama sin drama ni ciencia ficción. Quantum no cambia lo que buscan los atacantes: todavía quieren el secreto. Lo que cambia el cuanto es la velocidad a la que pueden conseguirlo. Los problemas que a las computadoras clásicas les llevarían miles de años pueden colapsar en minutos o segundos cuando hay suficiente capacidad cuántica. El objetivo sigue siendo el mismo. La línea de tiempo desaparece.
Por eso falla la seguridad estática. Cualquier sistema diseñado para ser seguro una vez y luego no ser modificado ya está envejeciendo hacia la obsolescencia. Si un sistema nunca es atacado, eventualmente fallará porque el mundo que lo rodea no se detiene. Las técnicas de ataque evolucionan y mejoran. Las herramientas son cada vez más baratas, más potentes y más accesibles, especialmente en la era de la inteligencia artificial. El conocimiento de ataques exitosos se difunde globalmente y alienta a otros a buscar éxitos similares.
Muchas organizaciones cometen el mismo error. Suponen que verán venir la amenaza. Esperan violaciones visibles o incidentes públicos antes de actuar. Con la cuántica, esa lógica se rompe. Los primeros actores con capacidad cuántica significativa no lo anunciarán. Lo usarán silenciosamente. De hecho, esto ya está sucediendo con los ataques Harvest Now-Decrypt Later (HNDL), donde hoy se recopilan y almacenan grandes cantidades de datos cifrados para un futuro descifrado cuántico. Para cuando los ataques se hagan evidentes, el daño ya estará hecho.
Esa realidad es la razón por la que los gobiernos y los reguladores están actuando ahora. En todas las industrias, están surgiendo demandas de que los sistemas se vuelvan resilientes cuánticamente dentro de plazos definidos. Esto no está impulsado por teoría o exageración. Está impulsado por el simple hecho de que actualizar la criptografía, el hardware y la infraestructura lleva años, mientras que explotar las debilidades puede llevar unos minutos.
Al recorrer hoy nuestros laboratorios, lo que más me sorprende no es la sofisticación de las herramientas, sino la disciplina del proceso. El acceso está estrictamente controlado. Los ingenieros son examinados y auditados. Cada experimento está documentado. Esto no es un hackeo impulsado por la curiosidad. Se trata de pruebas estructuradas y repetibles diseñadas para identificar debilidades tempranamente mientras todavía hay tiempo para corregirlas. Cada ataque exitoso se convierte en un aporte para un diseño más sólido.
Esto es lo que deben comprender los administradores, propietarios de sistemas y formuladores de políticas. La seguridad no falla repentinamente. Falla silenciosamente, mucho antes de que alguien se dé cuenta. Prepararse para las amenazas cuánticas no consiste en predecir el momento exacto en que se producirá un gran avance. Se trata de aceptar que una vez que eso suceda, no habrá período de gracia. El único enfoque responsable es asumir que sus sistemas serán atacados y asegurarse de que esto ocurra bajo condiciones controladas antes de que alguien más decida el momento por usted.
Las opiniones expresadas en los comentarios de Fortune.com son únicamente los puntos de vista de sus autores y no reflejan necesariamente las opiniones y creencias de Activos.
