Migración por fases: cómo planificar el paso al cifrado poscuántico sin detener el servicio
Un orden razonable para custodios que no pueden apagar sus sistemas
Ningún custodio serio apaga la verificación biométrica para cambiar su esquema criptográfico. Los lectores siguen en las puertas, los motores de comparación siguen resolviendo identidades y las plantillas siguen circulando entre servicios. La única vía práctica es escalonar el trabajo y aceptar que durante un tiempo convivirán dos esquemas. Eso obliga a ordenar las fases, definir qué se mide en cada una y resistir la tentación de acelerar el calendario cuando la presión interna aprieta.
El punto de partida es un inventario honesto. Antes de tocar una clave conviene saber cuántas plantillas existen, en qué formatos están guardadas, qué sistemas las consumen y por dónde viajan entre el sensor, el motor de comparación y el almacén cifrado. En muchos depósitos aparecen copias olvidadas en réplicas, registros de auditoría o entornos de prueba que nadie revisó en años. Si esa fase se salta, cualquier plan posterior se apoya en una foto incompleta del parque real.
La segunda fase es el doble cifrado. Durante un periodo acotado, la plantilla se protege con el esquema clásico y con el poscuántico en paralelo, de modo que los sistemas antiguos sigan leyendo mientras los nuevos ya validan. Esta convivencia no es gratis: los registros crecen, la latencia de comparación sube y hay que vigilar el tamaño de los almacenes. Pero permite detectar incompatibilidades en producción sin cortar el servicio, que es exactamente lo que se busca.
La rotación de claves es la fase más delicada. Aquí no se reemite la biometría, porque una huella o una geometría facial no se regeneran como una contraseña. Lo que se renueva es el material criptográfico que envuelve la plantilla, y esa operación debe hacerse por lotes controlados, con verificación de integridad después de cada tramo. Si algo falla, el retroceso tiene que ser posible sin volver a capturar el rasgo del usuario.
La retirada del esquema antiguo solo se justifica cuando las métricas confirman que la nueva capa cubre todos los flujos: lectores ya desplegados, integraciones internas, procesos de auditoría y cualquier consumidor secundario que quedó documentado en el inventario. Retirar antes de tiempo deja huecos silenciosos que no aparecen hasta la siguiente auditoría. Planificar por fases no elimina el riesgo, pero permite medir el avance con datos en lugar de con supuestos.