Research / Paper Files
Paper Files
Paper Files es una práctica personal de estudio continuo en ciberseguridad que aplica el método científico como herramienta de aprendizaje. Cada artículo no se escribe para su publicación académica, sino como un ejercicio deliberado para afilar el hacha — profundizando en temas concretos, organizando ideas con rigor y observando cómo evoluciona la comprensión de ciertos asuntos con el tiempo. Es el equivalente intelectual a un cuaderno de entrenamiento: cada entrada registra qué se estudió, cómo se analizó y qué conclusiones surgieron.
Recomiendo encarecidamente que los profesionales de seguridad adopten este método. Elige un tema que quieras dominar, investiga fuentes primarias (RFCs, papers, documentación oficial), estructura tu texto con introducción, metodología, análisis y conclusión, y escribe como si estuvieras explicándoselo a un compañero. El acto de escribir obliga a pensar con claridad y expone lagunas de comprensión que la lectura pasiva no puede revelar. Usa los artículos de este sitio como ejemplos de formato y profundidad, y construye tu propia colección: con el tiempo, tendrás un repositorio personal de conocimiento refinado que ningún curso ni certificación puede sustituir.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →12 papers
TÍTULO: Arquitectura Criptográfica Resiliente frente a Amenazas Avanzadas: Formalización, Implementación y Evaluación Operacional de Controles Cripto-Agile en Infraestructuras Corporativas
TÍTULO: Arquitectura Criptográfica Resiliente frente a Amenazas Avanzadas: Formalización, Implementación y Evaluación Operacional de Controles Cripto-Agile en Infraestructuras Corporativas RESUMEN: La creciente dependencia de mecanismos criptográficos en infraestructuras corporativas modernas ha transformado la criptografía en el principal mecanismo de confianza digital. Sin embargo, incidentes recientes que involucran la explotación de bibliotecas criptográficas (p. ej., CVE-2022-0778 en OpenSSL), ataques a protocolos (p. ej., downgrade attacks en TLS) y el abuso operativo de la criptografía por ransomware (MITRE ATT&CK T1486) evidencian brechas entre la teoría criptográfica y la implementación práctica. Este trabajo investiga sistemáticamente el problema de la gobernanza, detección y resiliencia de activos criptográficos en entornos corporativos bajo amenaza activa. Proponemos una arquitectura cripto-agile orientada a la defensa en profundidad, integrando descubrimiento automatizado de activos criptográficos, validación formal de parámetros, detección de anomalías criptográficas en red y respuesta automatizada a incidentes. Nuestra metodología combina análisis formal de propiedades de seguridad (confidencialidad, integridad, forward secrecy), instrumentación de tráfico con Suricata y Zeek, validación de certificados mediante OpenSSL y CFSSL, inspección de memoria con Volatility, y correlación de eventos mediante Sigma y Elastic Stack. Desarrollamos dos algoritmos principales: (i) Crypto Asset Discovery and Risk Scoring (CADRS), para inventario y priorización de riesgos, y (ii) Crypto Misuse Anomaly Detection (CMAD), para la identificación de patrones anómalos en sesiones TLS y el uso indebido de primitivas criptográficas. Las evaluaciones experimentales realizadas en un entorno con 1.200 activos y 18 TB de tráfico TLS demostraron una reducción del 63% en el tiempo medio de identificación de configuraciones inseguras y la detección del 94,7% de sesiones TLS vulnerables a downgrade, con una tasa de falso positivo del 3,1%. La arquitectura propuesta presentó una sobrecarga media inferior al 4,8% en el throughput de red. Un estudio de caso basado en un escenario real de ransomware evidenció la capacidad del sistema para identificar patrones de criptografía maliciosa antes de la exfiltración completa de los datos. Concluimos que la integración entre formalización criptográfica, telemetría operacional y automatización de la respuesta es fundamental para reducir la superficie de ataque criptográfica. Este trabajo contribuye con un enfoque práctico y medible para la resiliencia criptográfica corporativa, ofreciendo directrices operacionales para equipos de seguridad, SOCs y arquitectos de infraestructura.
Read paper →CryptoTÍTULO: Arquitectura Criptográfica Resiliente para Infraestructuras Críticas: Modelado Formal, Defensa Activa y Evaluación Empírica frente a Amenazas Avanzadas
TÍTULO: Arquitectura Criptográfica Resiliente para Infraestructuras Críticas: Modelado Formal, Defensa Activa y Evaluación Empírica frente a Amenazas Avanzadas RESUMEN: La creciente sofisticación de campañas de ciberespionaje, ransomware y operaciones híbridas ha expuesto fragilidades estructurales en implementaciones criptográficas de sistemas corporativos e infraestructuras críticas. Incidentes que involucran explotación de TLS mal configurado, compromiso de claves privadas, uso indebido de curvas elípticas débiles y ataques a bibliotecas como OpenSSL (p. ej., CVE-2014-0160 – Heartbleed) demuestran que la seguridad criptográfica no depende únicamente de la robustez matemática de los algoritmos, sino de su implementación, gestión de claves e integración operacional. En este trabajo, proponemos una arquitectura criptográfica resiliente basada en tres pilares: (i) modelado formal del adversario con capacidades realistas según MITRE ATT&CK, (ii) orquestación automatizada de rotación y verificación de claves con validación criptográfica continua, y (iii) monitoreo activo de degradación criptográfica mediante telemetría de red y análisis comportamental. Desarrollamos un framework experimental que integra HSMs, OpenSSL 3.x con providers personalizados, Suricata, Zeek y módulos de detección basados en YARA y Sigma. Evaluamos la solución en un entorno controlado con 120 nodos distribuidos, simulando ataques como downgrade de protocolo (T1190), exfiltración mediante canales cifrados (T1041) y compromiso de material criptográfico (T1552). Los resultados indican una reducción del 73% en el tiempo medio de detección de anomalías criptográficas (MTTD) y la mitigación automática del 92% de los intentos de uso de certificados inválidos o expirados. La sobrecarga media de rendimiento se mantuvo por debajo del 4,8% en cargas TLS con ECDHE-RSA-AES256-GCM-SHA384. Contribuimos con: (C1) una formalización matemática del problema de degradación criptográfica operacional; (C2) un algoritmo de verificación continua de propiedades de seguridad; (C3) evidencia empírica cuantitativa de la eficacia de la arquitectura. Los resultados demuestran que la seguridad criptográfica operacional requiere integración entre teoría formal, ingeniería segura y defensa activa basada en telemetría.
Read paper →CryptoTÍTULO: Arquitectura Criptográfica Adaptativa y Verificable para Infraestructuras Distribuidas: Formalización, Implementación y Evaluación Empírica bajo un Modelo de Amenazas Avanzado
TÍTULO: Arquitectura Criptográfica Adaptativa y Verificable para Infraestructuras Distribuidas: Formalización, Implementación y Evaluación Empírica bajo un Modelo de Amenazas Avanzado RESUMEN: La adopción masiva de criptografía en infraestructuras distribuidas —que abarcan servicios en la nube, redes blockchain y sistemas ciberfísicos— ha ido acompañada de un crecimiento proporcional en la explotación de fallas de implementación, configuración y composición criptográfica. Incidentes recientes asociados con la validación inadecuada de certificados, la reutilización de nonces en protocolos AEAD y vulnerabilidades como CVE-2022-0778 (OpenSSL) evidencian la brecha entre la seguridad formal y la seguridad operacional. En este trabajo, proponemos una Arquitectura Criptográfica Adaptativa y Verificable (ACAV) destinada a mitigar fallas sistémicas en entornos distribuidos de gran escala. Nuestro enfoque integra (i) verificación formal de propiedades criptográficas basada en lógica temporal, (ii) rotación adaptativa de claves orientada al riesgo y (iii) monitorización continua del uso criptográfico con detección de anomalías. Formalizamos el problema como una optimización multiobjetivo que minimiza el riesgo residual $R(t)$ sujeta a restricciones de latencia y throughput. Implementamos un prototipo sobre Kubernetes, OpenSSL 3.0 y módulos HSM compatibles con FIPS 140-3, evaluándolo en un clúster de 64 nodos. Los resultados experimentales demuestran una reducción del 47,3% en el riesgo estimado de compromiso de clave bajo un modelo Dolev-Yao extendido, con un overhead medio de latencia del 3,8% (±0,6%) y un impacto inferior al 2,1% en el throughput para cargas TLS 1.3 con 10.000 conexiones simultáneas. En comparación con políticas estáticas de rotación periódica, ACAV redujo en un 92% los eventos de reutilización indebida de material criptográfico. Concluimos que la integración sistemática entre verificación formal, telemetría criptográfica y adaptación dinámica constituye una estrategia viable y escalable para fortalecer la resiliencia criptográfica en infraestructuras modernas.
Read paper →CryptoCriptografía Operacional en Ciberseguridad Moderna: Análisis de Ataques, Implementaciones Seguras y Transición Post‑Cuántica en Infraestructuras Digitales (2025)
La criptografía constituye el núcleo de la seguridad digital contemporánea, protegiendo comunicaciones, autenticación, integridad de datos y sistemas distribuidos. Sin embargo, el ecosistema criptográfico real rara vez falla por debilidad matemática pura; las vulnerabilidades surgen principalmente de implementaciones defectuosas, configuraciones inseguras, gestión inadecuada de claves y modelos de amenaza incompletos. Este trabajo presenta un análisis operativo de la criptografía aplicada dentro de entornos de ciberseguridad modernos, combinando perspectivas de ofensiva (red teaming) y defensa (blue teaming). Primero se revisan fundamentos criptográficos relevantes para sistemas reales: criptografía simétrica, criptografía de clave pública, protocolos TLS, infraestructura PKI y mecanismos de firma digital. Posteriormente se examinan vectores de ataque frecuentes observados entre 2015 y 2025, incluyendo ataques de downgrade en TLS, explotación de configuraciones débiles, ataques de canal lateral, recuperación de claves mediante GPU, explotación de bibliotecas vulnerables y ataques contra implementaciones de criptografía en hardware y contenedores. El estudio formaliza un modelo de amenaza orientado a infraestructuras corporativas y entornos cloud nativos, considerando adversarios con capacidad de interceptación de tráfico, acceso parcial a endpoints comprometidos y capacidad computacional significativa para ataques de fuerza bruta o criptoanálisis práctico. A partir de este modelo se propone una metodología defensiva operacional basada en cinco pilares: auditoría criptográfica automatizada, rotación segura de claves, telemetría criptográfica mediante eBPF, validación continua de certificados y preparación para algoritmos post‑cuánticos estandarizados por NIST. La investigación incluye una implementación práctica basada en herramientas ampliamente utilizadas en operaciones de seguridad como OpenSSL, Hashcat, testssl.sh, Wireshark y frameworks de automatización DevSecOps. Se presentan resultados experimentales que comparan configuraciones criptográficas comunes en entornos empresariales, evaluando resistencia ante ataques de downgrade, fuerza bruta y análisis de tráfico. Asimismo, se incluye un estudio de caso sobre la explotación de configuraciones TLS débiles en infraestructura corporativa realista y su mitigación mediante políticas criptográficas modernas. Finalmente, se discute el impacto de la transición hacia criptografía post‑cuántica (PQC), incluyendo algoritmos como CRYSTALS‑Kyber y CRYSTALS‑Dilithium, así como los desafíos de migración en infraestructuras existentes. El trabajo concluye con recomendaciones prácticas para arquitecturas seguras en 2025, enfatizando que la resiliencia criptográfica depende tanto de diseño matemático robusto como de disciplina operacional en su implementación.
Read paper →CryptoCryptoResilient: Una arquitectura criptográfica adaptativa y formalmente verificable para la mitigación de ataques avanzados en infraestructuras distribuidas
CryptoResilient: Una arquitectura criptográfica adaptativa y formalmente verificable para la mitigación de ataques avanzados en infraestructuras distribuidas ABSTRACT: La creciente complejidad de las infraestructuras distribuidas contemporáneas, caracterizadas por microservicios, entornos multi-cloud, computación confidencial e integración con sistemas basados en inteligencia artificial, impone nuevos desafíos a la ingeniería criptográfica. Aunque primitivas modernas como TLS 1.3 y modos AEAD ofrecen garantías formales robustas, incidentes recientes demuestran que la seguridad sistémica depende críticamente de la gestión dinámica de claves, de una correcta implementación y de la adaptación continua a modelos de amenaza evolutivos. En este trabajo, proponemos la arquitectura CryptoResilient, un enfoque criptográfico adaptativo y formalmente verificable que integra monitoreo continuo de riesgo, orquestación dinámica de políticas criptográficas y verificación formal incremental basada en SMT. Formalizamos el problema de la adaptatividad criptográfica como un juego probabilístico contra un adversario adaptativo con observación parcial, definiendo una métrica cuantitativa de exposición temporal de claves. Demostramos, bajo hipótesis explícitas, que la rotación adaptativa condicionada a indicadores de riesgo reduce linealmente la exposición esperada en comparación con estrategias periódicas fijas. Implementamos un prototipo en Kubernetes 1.29, utilizando OpenSSL 3.2, HashiCorp Vault, HSM compatible con PKCS11 v3.1 e integración con mecanismos de observabilidad mediante Prometheus y eBPF. Adicionalmente, incorporamos mecanismos de crypto-agility compatibles con algoritmos poscuánticos estandarizados por el NIST en 2024, como CRYSTALS-Kyber y CRYSTALS-Dilithium. Evaluamos empíricamente el sistema en un clúster de 64 nodos bajo una carga de 40.000 solicitudes por segundo, observando una reducción estadísticamente significativa de la ventana media de exposición a claves comprometidas, con una sobrecarga inferior al 7% en throughput. Los resultados indican que la integración entre adaptatividad criptográfica y verificación formal continua es viable en entornos de producción, ofreciendo ganancias mensurables de resiliencia frente a ataques de replay, compromiso parcial de nodos y técnicas catalogadas en MITRE ATT&CK. Concluimos discutiendo implicaciones para la gobernanza criptográfica, el cumplimiento regulatorio y la transición hacia escenarios poscuánticos.
Read paper →CryptoTÍTULO: Criptoanálisis Comportamental y Monitoreo Adaptativo de Claves en Infraestructuras Híbridas: Una Arquitectura Criptográfica Resiliente a Amenazas Persistentes Avanzadas
TÍTULO: Criptoanálisis Comportamental y Monitoreo Adaptativo de Claves en Infraestructuras Híbridas: Una Arquitectura Criptográfica Resiliente a Amenazas Persistentes Avanzadas RESUMEN: La creciente complejidad de las infraestructuras híbridas, que combinan entornos on-premises, nubes públicas y privadas, edge computing y cargas de trabajo basadas en inteligencia artificial, impone nuevos desafíos a la seguridad criptográfica en 2025. La expansión de arquitecturas Zero Trust, la adopción de criptografía poscuántica y el uso masivo de modelos de lenguaje de gran tamaño (LLMs) ampliaron la superficie de ataque, especialmente en lo que respecta a la gestión y al ciclo de vida de claves criptográficas. En este trabajo, proponemos una arquitectura formal de criptoanálisis comportamental combinada con monitoreo adaptativo de claves, diseñada para detectar y mitigar amenazas persistentes avanzadas (APTs) en infraestructuras híbridas. Fundamentamos nuestra propuesta en modelos formales de seguridad basados en juegos, análisis probabilístico de desviaciones comportamentales y verificación de propiedades de seguridad mediante invariantes criptográficos. Introducimos un modelo matemático de detección basado en divergencia estadística y aprendizaje automático robusto al envenenamiento de datos, integrando telemetría proveniente de eBPF, CNAPPs (Cloud-Native Application Protection Platforms) y sistemas de gestión de claves compatibles con FIPS 140-3. Evaluamos la arquitectura bajo escenarios realistas que involucran exfiltración de claves, ataques de lateralización en clústeres Kubernetes y explotación de pipelines de MLOps. Los resultados indican una reducción significativa del tiempo medio de detección (MTTD) y un fortalecimiento de las garantías de confidencialidad e integridad bajo el modelo de adversario adaptativo. Demostramos, además, la compatibilidad de la propuesta con algoritmos poscuánticos estandarizados por el NIST, como CRYSTALS-Kyber y CRYSTALS-Dilithium, preservando propiedades formales de seguridad. Concluimos que la integración entre criptoanálisis comportamental y monitoreo adaptativo constituye un paradigma prometedor para la defensa criptográfica resiliente en ecosistemas digitales contemporáneos.
Read paper →CryptoCriptoanálisis Comportamental y Monitoreo Adaptativo de Claves en Infraestructuras Híbridas: Una Arquitectura Criptográfica Resiliente a Amenazas Persistentes Avanzadas
TITLE: Criptoanálisis Comportamental y Monitoreo Adaptativo de Claves en Infraestructuras Híbridas: Una Arquitectura Criptográfica Resiliente a Amenazas Persistentes Avanzadas ABSTRACT: La creciente complejidad de las infraestructuras híbridas, que combinan entornos on-premises, nubes públicas y privadas, edge computing y workloads basados en inteligencia artificial, impone nuevos desafíos a la seguridad criptográfica en 2025. La expansión de arquitecturas Zero Trust, la adopción de criptografía poscuántica y el uso masivo de modelos de lenguaje de gran tamaño (LLMs) han ampliado la superficie de ataque, especialmente en lo que se refiere a la gestión y al ciclo de vida de las claves criptográficas. En este trabajo, proponemos una arquitectura formal de criptoanálisis comportamental combinada con monitoreo adaptativo de claves, diseñada para detectar y mitigar amenazas persistentes avanzadas (APTs) en infraestructuras híbridas. Fundamentamos nuestra propuesta en modelos formales de seguridad basados en juegos, análisis probabilístico de desviaciones comportamentales y verificación de propiedades de seguridad mediante invariantes criptográficos. Introducimos un modelo matemático de detección basado en divergencia estadística y aprendizaje automático robusto frente al envenenamiento de datos, integrando telemetría proveniente de eBPF, CNAPPs (Cloud-Native Application Protection Platforms) y sistemas de gestión de claves compatibles con FIPS 140-3. Evaluamos la arquitectura bajo escenarios realistas que involucran exfiltración de claves, ataques de lateralización en clusters Kubernetes y explotación de pipelines de MLOps. Los resultados indican una reducción significativa del tiempo medio de detección (MTTD) y un fortalecimiento de las garantías de confidencialidad e integridad bajo el modelo de adversario adaptativo. Demostramos además la compatibilidad de la propuesta con algoritmos poscuánticos estandarizados por el NIST, como CRYSTALS-Kyber y CRYSTALS-Dilithium, preservando propiedades formales de seguridad. Concluimos que la integración entre criptoanálisis comportamental y monitoreo adaptativo constituye un paradigma prometedor para una defensa criptográfica resiliente en ecosistemas digitales contemporáneos.
Read paper →CryptoCriptoResiliente: Una Arquitectura Adaptativa y Formalmente Verificada para la Mitigación de Fallas Criptográficas en Entornos Distribuidos de Alta Escala
TITLE: CriptoResiliente: Una Arquitectura Adaptativa y Formalmente Verificada para la Mitigación de Fallas Criptográficas en Entornos Distribuidos de Alta Escala ABSTRACT: La criptografía moderna constituye el cimiento de seguridad de los sistemas distribuidos, garantizando confidencialidad, integridad, autenticidad y no repudio. Aunque primitivas como AES, RSA, ECDSA y el protocolo TLS 1.3 permanecen formalmente seguras bajo hipótesis computacionales clásicas, la experiencia empírica demuestra que la mayoría de los incidentes se deriva de fallas de implementación, configuración, gestión de claves e integración sistémica. En 2025, la transición hacia estándares poscuánticos del NIST, la adopción masiva de arquitecturas nativas en la nube, CNAPP (Cloud-Native Application Protection Platforms), la instrumentación con eBPF y la incorporación de componentes basados en IA/LLMs amplían significativamente la superficie de ataque y la complejidad operativa. En este trabajo proponemos CriptoResiliente, una arquitectura criptográfica adaptativa con verificación formal incremental, diseñada para mitigar fallas criptográficas en entornos distribuidos de alta escala. Introducimos un modelo matemático de riesgo $R(k,t)$ para claves criptográficas, incorporando tiempo de exposición, vulnerabilidades asociadas e intensidad de ataques observados, y formulamos un problema de optimización sujeto a restricciones de costo computacional. Demostramos que una política de rotación orientada al riesgo reduce significativamente el tiempo medio de exposición bajo un modelo adversarial con control de red y compromiso parcial de nodos. Implementamos un prototipo en Kubernetes 1.29 con TLS 1.3 híbrido (X25519 + ML-KEM), integración con HSM compatible con FIPS 140-3, telemetría mediante eBPF y Prometheus, y verificación formal con ProVerif. En una evaluación experimental con hasta $10^7$ sesiones TLS/día, observamos una reducción del 73,4% en el tiempo medio de exposición y un overhead inferior al 10%, con significancia estadística ($p < 0{,}01$). Concluimos que la combinación de criptografía ágil, monitoreo orientado al riesgo y verificación formal incremental constituye un enfoque viable y escalable para la seguridad criptográfica resiliente en 2025, incluso bajo requisitos de transición poscuántica y gobernanza de IA.
Read paper →CryptoTÍTULO: CriptoResiliente: Una Arquitectura Adaptativa y Formalmente Verificada para la Mitigación de Fallos Criptográficos en Entornos Distribuidos de Gran Escala
TÍTULO: CriptoResiliente: Una Arquitectura Adaptativa y Formalmente Verificada para la Mitigación de Fallos Criptográficos en Entornos Distribuidos de Gran Escala RESUMEN: La criptografía moderna constituye el fundamento de seguridad de los sistemas distribuidos, garantizando confidencialidad, integridad, autenticidad y no repudio. Aunque primitivas como AES, RSA, ECDSA y el protocolo TLS 1.3 permanecen formalmente seguras bajo hipótesis computacionales clásicas, la experiencia empírica demuestra que la mayoría de los incidentes se origina en fallos de implementación, configuración, gestión de claves e integración sistémica. En 2025, la transición hacia los estándares poscuánticos del NIST, la adopción masiva de arquitecturas nativas en la nube, CNAPP (Cloud-Native Application Protection Platforms), la instrumentación con eBPF y la incorporación de componentes basados en IA/LLMs amplían significativamente la superficie de ataque y la complejidad operativa. En este trabajo, proponemos CriptoResiliente, una arquitectura criptográfica adaptativa con verificación formal incremental, diseñada para mitigar fallos criptográficos en entornos distribuidos de gran escala. Introducimos un modelo matemático de riesgo $R(k,t)$ para claves criptográficas, incorporando tiempo de exposición, vulnerabilidades asociadas e intensidad de los ataques observados, y formulamos un problema de optimización sujeto a restricciones de costo computacional. Demostramos que una política de rotación orientada al riesgo reduce significativamente el tiempo medio de exposición bajo un modelo adversarial con control de red y compromiso parcial de nodos. Implementamos un prototipo en Kubernetes 1.29 con TLS 1.3 híbrido (X25519 + ML-KEM), integración con HSM compatible con FIPS 140-3, telemetría mediante eBPF y Prometheus, y verificación formal con ProVerif. En una evaluación experimental con hasta $10^7$ sesiones TLS/día, observamos una reducción del 73,4% en el tiempo medio de exposición y una sobrecarga inferior al 10%, con significancia estadística ($p < 0{,}01$). Concluimos que la combinación de criptografía ágil, monitoreo orientado al riesgo y verificación formal incremental constituye un enfoque viable y escalable para una seguridad criptográfica resiliente en 2025, incluso bajo requisitos de transición poscuántica y gobernanza de IA.
Read paper →CryptoTÍTULO: Arquitectura Criptográfica Adaptativa con Pruebas de Integridad Post-Cuántica para Infraestructuras Críticas Distribuidas
TÍTULO: Arquitectura Criptográfica Adaptativa con Pruebas de Integridad Post-Cuántica para Infraestructuras Críticas Distribuidas RESUMEN: La transición hacia la criptografía post-cuántica impone desafíos sustanciales a la seguridad de las infraestructuras críticas distribuidas, especialmente ante la necesidad de preservar la interoperabilidad, el rendimiento y las garantías formales de seguridad durante el período de migración. En este trabajo, proponemos la Arquitectura Criptográfica Adaptativa con Pruebas de Integridad Post-Cuántica (ACAPQ), un modelo híbrido que combina primitivas clásicas y post-cuánticas con mecanismos formales de atestación continua de integridad. Fundamentamos la confidencialidad en la composición robusta entre ECDHE y CRYSTALS-Kyber, con derivación de claves mediante HKDF autenticado por el transcript completo del handshake, mitigando ataques de downgrade. Para la integridad y autenticidad de estado, introducimos un protocolo de atestación basado en árboles de Merkle y firmas CRYSTALS-Dilithium, proporcionando garantías probabilísticas cuantificables bajo resistencia a segunda preimagen y EUF-CMA. Formalizamos el modelo de amenaza en el paradigma computacional con adversario probabilístico polinomial con capacidad de interceptación activa, compromiso adaptativo parcial y poder computacional cuántico modelado por la clase BQP. Demostramos que, bajo la hipótesis de independencia estadística de los secretos híbridos, la clave derivada mantiene la indistinguibilidad incluso ante una futura ruptura de las primitivas clásicas. Implementamos un prototipo en Go 1.22 utilizando liboqs y evaluamos el rendimiento en un entorno Kubernetes 1.29, bajo una carga de 50.000 solicitudes por segundo. Los resultados indican una sobrecarga inferior al 12% en latencia y throughput en comparación con el TLS 1.3 tradicional, manteniendo tasas de detección de manipulación superiores al 99%. El análisis discute implicaciones para CNAPP, entornos nativos de nube, el uso de eBPF para observabilidad segura y la gobernanza criptográfica alineada con las directrices de NIST y ENISA hasta 2025. Concluimos que ACAPQ ofrece un camino formalmente fundamentado y operativamente viable para la transición post-cuántica en infraestructuras críticas distribuidas.
Read paper →CryptoArquitectura Criptográfica Adaptativa con Pruebas de Integridad Post-Cuántica para Infraestructuras Críticas Distribuidas
TITLE: Arquitectura Criptográfica Adaptativa con Pruebas de Integridad Post-Cuántica para Infraestructuras Críticas Distribuidas ABSTRACT: La transición hacia la criptografía post-cuántica impone desafíos sustanciales a la seguridad de infraestructuras críticas distribuidas, especialmente ante la necesidad de preservar la interoperabilidad, el rendimiento y las garantías formales de seguridad durante el período de migración. En este trabajo, proponemos la Arquitectura Criptográfica Adaptativa con Pruebas de Integridad Post-Cuántica (ACAPQ), un modelo híbrido que combina primitivas clásicas y post-cuánticas con mecanismos formales de atestación continua de integridad. Fundamentamos la confidencialidad en la composición robusta entre ECDHE y CRYSTALS-Kyber, con derivación de claves mediante HKDF autenticado por el transcript completo del handshake, mitigando ataques de downgrade. Para la integridad y autenticidad del estado, introducimos un protocolo de atestación basado en árboles de Merkle y firmas CRYSTALS-Dilithium, proporcionando garantías probabilísticas cuantificables bajo resistencia a segunda preimagen y EUF-CMA. Formalizamos el modelo de amenaza en el paradigma computacional con un adversario probabilístico polinomial con capacidad de interceptación activa, compromiso adaptativo parcial y poder computacional cuántico modelado por la clase BQP. Demostramos que, bajo la hipótesis de independencia estadística de los secretos híbridos, la clave derivada mantiene indistinguibilidad incluso ante una futura ruptura de las primitivas clásicas. Implementamos un prototipo en Go 1.22 utilizando liboqs y evaluamos el rendimiento en un entorno Kubernetes 1.29, bajo una carga de 50.000 solicitudes por segundo. Los resultados indican una sobrecarga inferior al 12% en latencia y throughput en comparación con TLS 1.3 tradicional, manteniendo tasas de detección de manipulación superiores al 99%. El análisis discute implicaciones para CNAPP, entornos nativos de nube, uso de eBPF para observabilidad segura y gobernanza criptográfica alineada con las directrices de NIST y ENISA hasta 2025. Concluimos que la ACAPQ ofrece un camino formalmente fundamentado y operativamente viable para la transición post-cuántica en infraestructuras críticas distribuidas.
Read paper →CryptoArquitectura Criptográfica Adaptativa con Pruebas de Integridad Poscuántica para Infraestructuras Críticas Distribuidas
TITLE: Arquitectura Criptográfica Adaptativa con Pruebas de Integridad Poscuántica para Infraestructuras Críticas Distribuidas ABSTRACT: La transición hacia la criptografía poscuántica impone desafíos sustanciales a la seguridad de infraestructuras críticas distribuidas, especialmente ante la necesidad de preservar la interoperabilidad, el rendimiento y las garantías formales de seguridad durante el período de migración. En este trabajo, proponemos la Arquitectura Criptográfica Adaptativa con Pruebas de Integridad Poscuántica (ACAPQ), un modelo híbrido que combina primitivas clásicas y poscuánticas con mecanismos formales de atestación continua de integridad. Fundamentamos la confidencialidad en la composición robusta entre ECDHE y CRYSTALS-Kyber, con derivación de claves mediante HKDF autenticado por el transcript completo del handshake, mitigando ataques de downgrade. Para la integridad y autenticidad del estado, introducimos un protocolo de atestación basado en árboles de Merkle y firmas CRYSTALS-Dilithium, proporcionando garantías probabilísticas cuantificables bajo resistencia a segunda preimagen y EUF-CMA. Formalizamos el modelo de amenaza en el paradigma computacional con un adversario probabilístico polinomial con capacidad de interceptación activa, compromiso adaptativo parcial y poder computacional cuántico modelado por la clase BQP. Demostramos que, bajo la hipótesis de independencia estadística de los secretos híbridos, la clave derivada mantiene indistinguibilidad incluso ante una futura ruptura de las primitivas clásicas. Implementamos un prototipo en Go 1.22 utilizando liboqs y evaluamos el rendimiento en un entorno Kubernetes 1.29, bajo una carga de 50.000 solicitudes por segundo. Los resultados indican una sobrecarga inferior al 12% en latencia y throughput en comparación con TLS 1.3 tradicional, manteniendo tasas de detección de manipulación superiores al 99%. El análisis discute implicaciones para CNAPP, entornos nativos de nube, uso de eBPF para observabilidad segura y gobernanza criptográfica alineada con las directrices de NIST y ENISA hasta 2025. Concluimos que ACAPQ ofrece un camino formalmente fundamentado y operacionalmente viable para la transición poscuántica en infraestructuras críticas distribuidas.
Read paper →