Planificar la transición poscuántica en equipos que ya verifican identidades

Ningún custodio puede apagar su verificación biométrica para cambiar el cifrado. Por eso conviene trabajar por fases: inventariar dónde se guardan y circulan las plantillas, sostener un periodo de doble cifrado, rotar claves de forma controlada y retirar el esquema antiguo cuando las métricas lo permitan. En esta página reunimos ese orden de trabajo y los puntos donde suelen aparecer los roces: formatos de plantilla, longitudes de clave y compatibilidad con los lectores que ya están desplegados en planta.

Los equipos técnicos que llegan aquí suelen tener la misma pregunta: cómo mover una base biométrica sin romper el servicio. La respuesta no es un algoritmo aislado, sino una secuencia de decisiones verificables. Los esquemas híbridos ayudan a mantener la infraestructura actual en funcionamiento mientras se prepara la transición, y cada fase necesita sus propias señales de control: latencia de comparación, tamaño de los registros cifrados y compatibilidad con los lectores existentes. Sin esas señales, la migración avanza a ciegas.

Qué cambia en cada fase de la transición

Un custodio no puede apagar la verificación biométrica para migrar. Por eso conviene trabajar por etapas: primero saber qué hay, después cifrar dos veces, luego rotar claves y, al final, retirar el esquema antiguo. Cada etapa tiene sus propias comprobaciones y su propio margen de error.

Inventario de plantillas y formatos

Antes de tocar un algoritmo hay que saber dónde vive cada plantilla: en el sensor, en el motor de comparación, en el almacén cifrado o en réplicas de respaldo. También importa el formato y la longitud de clave que usa hoy cada sistema, porque de eso depende qué esquema poscuántico encaja sin romper la verificación. Un inventario incompleto es la causa habitual de que una migración se detenga a mitad de camino.

Doble cifrado durante la convivencia

Mantener el esquema actual y el nuevo en paralelo permite seguir operando mientras se comprueba el comportamiento real. Los esquemas híbridos son útiles aquí: conservan compatibilidad con la infraestructura desplegada y, a la vez, preparan el terreno para la transición. La pregunta práctica no es cuál algoritmo es mejor, sino qué combinación sigue funcionando con los lectores que ya están en producción.

Rotación de claves sin cortar el servicio

La rotación se planifica por lotes y con ventanas de mantenimiento acotadas. Hay que decidir qué claves se retiran, cuáles se conservan para verificar registros antiguos y cómo se documenta cada cambio para auditoría interna. Si la rotación se hace de golpe, cualquier fallo de compatibilidad se convierte en una interrupción de acceso.

Métricas que indican si la fase va bien

Tres números bastan para saber si la transición avanza: latencia de comparación, tamaño de los registros cifrados y compatibilidad con los lectores ya desplegados. Si la latencia sube más de lo previsto o los registros crecen hasta comprometer el almacenamiento, conviene detener la fase y revisar antes de continuar. Estas métricas también sirven para justificar el ritmo ante otras áreas del custodio.

Retirada del esquema antiguo

El cierre de la migración no es solo apagar el cifrado viejo: implica verificar que ningún servicio sigue dependiendo de él, que las copias de respaldo se han regenerado y que los procedimientos internos reflejan el nuevo estado. Es la fase que más se retrasa, precisamente porque exige coordinación entre equipos que no siempre comparten calendario.

Para ver cómo encajan estas fases con un plan de trabajo más amplio, revisa el proceso de migración o consulta las líneas de trabajo disponibles.

Qué entra y qué no en una migración poscuántica

Antes de mover una base biométrica conviene fijar el alcance. Estas son las precisiones que más discusiones generan entre custodios y equipos técnicos cuando se planifica la transición.

¿Sustituye el cifrado poscuántico al motor de comparación?

No. El motor que compara una huella, un iris o una geometría facial con la plantilla almacenada sigue haciendo su trabajo. Lo que cambia es cómo se protege esa plantilla en reposo y en tránsito entre el sensor, el motor y el almacén. Adoptar ML-KEM o ML-DSA por sí solo no resuelve nada si la capa biométrica continúa enviando plantillas sin cifrar entre servicios internos. La migración es de la capa criptográfica, no del algoritmo de comparación.

¿Se puede migrar sin detener la verificación?

Es el supuesto de trabajo de este marco. Ningún custodio puede apagar la verificación biométrica durante una migración criptográfica, así que la transición se escalona: inventario de dónde se almacenan y se transmiten las plantillas, un periodo de doble cifrado, rotación controlada de claves y retirada del esquema anterior. Los esquemas híbridos permiten mantener compatibilidad con la infraestructura ya desplegada mientras se prepara el cambio.

¿Qué se mide en cada fase?

La latencia de comparación, el tamaño de los registros cifrados y la compatibilidad con los lectores que ya están en producción. Son tres indicadores que suelen moverse en direcciones distintas: un registro más grande puede encarecer el almacenamiento, y una verificación más lenta puede notarse en los puntos de acceso. Sin estas métricas, la fase avanza a ciegas y los problemas aparecen recién en el despliegue completo.

¿Cuándo se retira el esquema antiguo?

Solo cuando el doble cifrado haya cubierto todo el inventario y la rotación de claves esté verificada en los sistemas de verificación existentes. Retirar antes deja plantillas accesibles únicamente bajo el esquema viejo, que es justamente la ventana temporal que la migración busca cerrar. La retirada es la última fase, no la primera, y conviene documentar qué formatos y longitudes de clave quedan activos en cada lector.

¿Qué queda fuera de este marco de trabajo?

No se afirman funciones no descritas, cifras de rendimiento, clientes ni plazos de respuesta. Tampoco se trata aquí el detalle de ML-KEM o ML-DSA como solución suficiente, ni la explicación general del riesgo a largo plazo, que corresponde a otras secciones del recorrido. Este bloque solo ordena el alcance de la transición escalonada para equipos técnicos y custodios que gestionan verificación biométrica.

Qué se ve cuando una migración biométrica avanza por fases

Cuatro momentos del trabajo técnico que un custodio atraviesa antes de retirar el esquema antiguo. Las imágenes son ilustrativas: muestran el tipo de superficie, panel o registro que aparece en cada etapa, no instalaciones ni equipos concretos del proyecto.

Inventario de plantillas y puntos de salida

Antes de tocar claves conviene saber cuántas plantillas hay, en qué formato están guardadas y por qué servicios pasan. En la práctica esto significa recorrer sensores, motores de comparación y almacenes, y anotar dónde una plantilla viaja sin cifrado. Ese mapa es el que después define el orden de la migración y evita sorpresas cuando se cambia la longitud de clave.

Doble cifrado durante la transición

El periodo de doble cifrado permite que el sistema antiguo y el nuevo convivan sin cortar la verificación. Aquí se mide latencia de comparación y tamaño de los registros cifrados: si el registro crece demasiado, el motor de comparación lo nota. Los esquemas híbridos son útiles en esta fase porque mantienen compatibilidad con la infraestructura ya desplegada mientras se prepara el cambio definitivo.

Rotación de claves sin detener el servicio

La rotación es la parte que más se subestima. Cada clave nueva tiene que llegar a los servicios que cifran y a los que descifran, y ambos deben aceptar el registro durante la ventana de solapamiento. Los equipos técnicos suelen descubrir aquí incompatibilidades con los lectores ya desplegados, sobre todo cuando el firmware del lector no admite el nuevo tamaño de clave.

Retirada del esquema antiguo

El cierre de la migración no es apagar el sistema viejo, sino dejar de aceptar registros cifrados con él. Eso exige verificar que ninguna plantilla quedó fuera del nuevo formato y que los respaldos también fueron reescritos. Recién entonces se puede hablar de una base biométrica protegida frente a la captura diferida, que es el riesgo que motiva todo el proceso.